事案の概要データ
| 公表日 | 2026年11月6日 |
|---|---|
| 不正アクセスを受けた組織 | 株式会社プレステージ・コアソリューション（PCS）＝ロードサービスの旧委託先 |
| 委託契約の終了日 | 2026年1月31日 |
| 影響する範囲 | 契約終了日までにPCSへロードサービスを委託した案件の個人情報 |
| 対象外 | 2026年2月以降のチューリッヒ保険のロードサービス利用者すべてが対象になるという意味ではない |
| 流出件数・情報項目 | PCSが調査中（2026年11月6日時点） |
| 契約終了からの経過 | 約9か月 |
| 上流の事案 | プレステージ・インターナショナルが2026年11月2日に公表。重複を含め最大約550万件（本サイト掲載） |
| 第2報での追加 | 2026年11月6日のPCS側の第2報で、持ち出された情報にクレジットカード番号3件が含まれていたことが判明（グループ全体の調査結果） |
| 今後 | PCSから調査結果の報告を受け次第、チューリッヒ保険が公式サイト等で案内する方針 |
図解：この事故の構造
- 2026年1月31日チューリッヒ保険とPCSのロードサービス委託契約が終了
- ↓ 契約終了から約9か月
- 2026年10月29日PCSが不正アクセスを検知
- 2026年11月2日プレステージ・インターナショナルが最大約550万件の持ち出しを公表
- 2026年11月6日チューリッヒ保険が、過去の委託業務の顧客情報の漏えいを公表（件数・項目は調査中）
何が起きたのか
チューリッヒ保険会社は2026年11月6日、かつてロードサービス業務を委託していた株式会社プレステージ・コアソリューション（PCS）の業務システムが第三者の不正アクセスを受け、過去の委託業務で取り扱われた顧客の個人情報が外部へ漏えいしたと発表しました。
委託契約は、2026年1月31日に終了していました。 それでも、PCSが侵害されたシステムで扱っていた流出データに、契約終了前に委託した際の情報が含まれていたことが判明しています。
チューリッヒ保険の顧客に関する流出件数や具体的な情報項目は、11月6日時点で調査中です。
なお、2026年2月以降のチューリッヒ保険のロードサービス利用者すべてが対象になるという意味ではありません。 対象は、契約が終わるまでにPCSへ委託していた案件です。
契約が終わって9か月、データは残っていた
本サイトは2026年11月、「終わったのに消していない」という形の事案を、繰り返し扱ってきました。
@cosme（退会済みの人も対象）、ネットマイル（退会会員を含む最大約549万人）、ApplyNow（契約終了後もデータが残存）、クレディセゾンのMUJI Card（退会者を含む約109万件）、SMBCコンシューマーファイナンス（2020年に受付を終了した商品の審査情報、提携を終えた銀行の解約済み顧客）、駿河屋（退会者を含むアフィリエイト登録者）。
そして本件は、「委託契約そのものが終わっていた」という形です。
契約が終われば、関係も終わる。 そう考えるのが自然です。けれども、データは相手の会社に残ったままでした。
ここで公平に書いておきます。この発表だけでは、どこにデータが残っていたのか、保存期間が契約でどう定められていたのか、保持が不適切だったのかまでは判断できません。 法令や業務上の理由で一定期間の保存が必要な場合もあります。
それでも、中小企業が学べることははっきりしています。委託を終えるときに、データの扱いを決めていますか。
解約・契約終了のときにやることを、チェックリストにしてください。
□ 預けたデータの削除を、書面で依頼する
□ 削除が完了した旨の報告をもらう（日付入りで）
□ 法令等で保存が必要な分があれば、何を・いつまで・どこに残すかを確認する
□ アカウント（管理画面のID）を無効化する
□ APIキー・連携設定を失効させる
□ 委託先がさらに預けていた先（再委託先）についても、同じ確認をする
この6行を、解約手続きの書類に挟んでおくだけで、9か月後に自分の顧客の情報が漏れる可能性は下がります。
「委託先の一覧」には、過去の委託先も要る
もう1つ、実務的な話をします。
多くの会社は、現在の委託先の一覧を持っています（持っていない会社も多いのですが）。しかし、過去の委託先の一覧を持っている会社は、ほとんどありません。
本件で、チューリッヒ保険は9か月前に契約を終えた相手からの連絡を受けました。もし「過去にどこへ何を委託したか」の記録がなければ、自社の顧客が対象になるかどうかの判断に時間がかかります。
中小企業がやっておくとよいのは、簡単な表を1つ作ることです。
①委託先の名前 ②委託した業務 ③渡した個人情報の項目 ④委託していた期間 ⑤終了時にデータ削除を確認したか
現在の委託先だけでなく、終わった委託先も残しておきます。 行を消さず、「終了」と書いて下に残す。
この表があると、事故の連絡が来たときにその日のうちに影響範囲を判断できます。 なければ、過去の契約書を探すところから始まります。
なお、上流のPCSの事案では、11月6日の第2報で、持ち出された情報にクレジットカード番号3件が含まれていたことが新たに判明しています。これはグループ全体の調査結果であり、チューリッヒ保険の顧客情報にカード番号が含まれていたと確認されたわけではありません。上流の件数・項目を、そのまま自社の被害として当てはめない——これも、本サイトが繰り返している読み方です。
時系列で見る経過
- 2026年1月31日チューリッヒ保険とPCSのロードサービス委託契約が終了
- 2026年10月29日PCSが不正アクセスを検知（上流の事案）
- 2026年11月2日プレステージ・インターナショナルが、重複を含め最大約550万件の持ち出しを公表
- 2026年11月6日チューリッヒ保険が、過去の委託業務で取り扱われた顧客情報の漏えいを公表。件数・項目は調査中
- 2026年11月6日PCS側の第2報で、持ち出された情報にクレジットカード番号3件が含まれていたことが判明（グループ全体）
中小企業が学ぶべきポイント
- 2026年1月31日に委託契約が終わっていたのに、約9か月後に旧委託先のデータから顧客情報が流出した。
- 契約が終われば関係も終わる、とは限らない。データは相手の会社に残る。
- 解約・契約終了のチェックリストを作る。削除依頼、削除完了の報告、保存が必要な分の確認、アカウント無効化、APIキー失効、再委託先の確認。
- 「現在の委託先の一覧」だけでなく「過去の委託先の一覧」も要る。行を消さず「終了」と書いて残す。
- 一覧があれば、事故の連絡が来たその日に影響範囲を判断できる。なければ契約書探しから始まる。
- 上流の件数・項目（最大約550万件、カード番号3件）を、そのまま自社の被害として当てはめない。
- 「2026年2月以降の利用者すべてが対象ではない」と範囲を限定して書いたのは、親切な公表の仕方。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。