スペインで個人データ侵害の通知が急増──エンデサの不正アクセスとホテル予約を使う詐欺

スペインで、電力会社の顧客情報への不正アクセスや、実際のホテル予約情報を悪用する詐欺が問題となっている。スペインの個人情報保護当局AEPDは10月20日、2026年1〜8月に受けた個人データ侵害の通知が4,556件となり、前年同期比163%増えたと発表した。電力大手エンデサでは年初に身分証番号や口座番号に関わる不正アクセスが判明。宿泊分野では、本物の予約内容を使ってカード情報を入力させる詐欺が確認されている。ただし、通知件数は攻撃回数や被害者の実人数ではなく、事件ごとに漏れた情報と確認済みの被害を分けて見る必要がある。

日本では、GMOインターネットが10月24日、「お名前.com デスクトップクラウド」への不正アクセスで利用者の情報が持ち出されたことを確認し、身に覚えのない取引の報告を受けていると公表した。スペインの事例も、企業に預けた情報が二次被害の足がかりになる点で共通する。一方、同じ攻撃者や侵入方法による事件だと確認されたわけではない。本稿は10月27日までに確認できた公表資料を基に、スペインの状況を整理する。

1〜8月に4,556件。ただし「4,556回の情報窃盗」とは限らない

AEPDが示した数字を同じ期間で比べると、増加ははっきりしている。1〜6月の通知は前年の1,271件から3,027件へ138%増加。1〜8月では1,728件から4,556件へ増えた。1〜6月だけで、2025年の年間通知数を超えたという。

ここでいう「個人データ侵害」は、ネット上への名簿の公開だけを指さない。AEPDの説明では、個人情報の紛失や破壊、改変、不正な開示・アクセスも含む。したがって、すべてを「ハッカーが情報を盗んだ事件」と読み替えることはできない。逆に、誰でも閲覧できるサイトに出ていなくても、不正な閲覧が起きれば問題となる。

通知の数と事件の数にも違いがある。AEPDは3月、一つの受託事業者で起きた事故が、複数の情報管理主体の個人データ侵害につながったケースを把握した。共通のサービスに依存する企業がそれぞれ通知すれば、一件の事故が複数の通知に表れる。通知の急増を、そのまま攻撃者の人数や攻撃回数の増加率とすることはできない。

また、この集計はAEPDに届いた通知の数字だ。AEPDは、公的部門のうちカタルーニャ、バスク、アンダルシアの各管轄に属する機関について、別の地域当局が扱う場合があると案内している。スペインで起きたあらゆる事故を漏れなく数える全国一律の総数として読むべきではない。前年と同じ窓口・期間を比べた指標として、増加を受け止める必要がある。

また、同庁によると、1〜6月に侵害を届け出た組織から本人に向けた連絡は7,100万件を超えた。これは高いリスクの可能性を踏まえた通知の延べ件数であり、「7,100万人の異なる人が被害を受けた」という意味ではない。規模を理解するうえでは、通知件数、対象の情報、実際の金銭被害を別々に確認する必要がある。

エンデサでは、身分証番号や電力契約の情報に不正アクセス

生活に近い具体例が、電力・ガス販売のエンデサの事件だ。2026年1月12日のスペインのラジオ局カデナ・セールの報道に続き、国立サイバーセキュリティ機関INCIBEも13日に注意情報を出した。INCIBEは、自由市場と規制料金市場の販売会社に関わる顧客情報が対象になったと説明している。

エンデサ・エネルヒアの本人向け通知は、顧客管理の商用プラットフォームへの不正アクセスを認めている。同社が列挙したのは、基本的な本人識別情報、連絡先、スペインの国民身分証（DNI）の番号、電力・ガスの契約に関する情報。さらに、場合によっては支払いに使う銀行口座番号IBANも含まれる。一方、ログイン用のパスワードは影響を受けていないとした。

情報の持ち出しについて、会社通知は「アクセスし、持ち出した可能性がある」という条件付きの説明をしている。確認した通知には、侵入に使われた具体的な脆弱性や、全対象者を数えた確定値は示されていない。契約者の総数を、そのまま流出した人数として扱うこともできない。

会社は、侵害されたアクセス用ユーザーの遮断、ログの分析、対象顧客への通知などを実施し、AEPDにも報告したとしている。通知時点で情報の不正利用は確認していないとも説明した。ただし、これはその通知時点の会社の認識であり、10月現在まで二次被害が一切なかったことを証明するものではない。

同じ理由で、この年初の事件を「10月に新たに発生した流出」として扱うこともできない。いま確認できる通知文が存在する日と、侵害が発生した日、利用者に説明された日はそれぞれ異なる。今回、最新のAEPD発表と並べて振り返るのは、どんな情報が対象になり得るかを具体的に見るためであり、年初と今月の件数を足して被害規模を作るためではない。

利用者側から見ると、パスワードが守られたかどうかだけでは安心を判断できない。本人の氏名や契約先を知る相手から連絡が来れば、無関係な迷惑電話より本物らしく見える。INCIBEも、この事件の情報が本人へのなりすましや、情報を狙う偽メールなどに使われる可能性を指摘した。不正利用の確認と、今後の悪用リスクの説明は区別して受け取る必要がある。

ホテルでは、本当の宿泊日を知る相手がカード情報を求める

旅行者に直接関わるのが、ホテル予約を使う詐欺だ。INCIBE-CERTが10月15日更新の解説で取り上げたのは、実際の予約内容を利用し、宿泊客に銀行カードの情報を入力させる手口である。AEPDも、ホテルと予約管理ソフトの受託事業者に関連する通知が、侵害通知の増加に大きく寄与したと説明している。

カタルーニャ州のサイバーセキュリティ庁も6月12日、ホテルやアパートメントを装うWhatsAppの連絡について警告した。宿泊施設名、滞在日、予約の確認番号など、本当の情報を織り込み、支払方法に問題があるなどと告げる。取り消しを避けるためだとしてリンク先へ急がせ、個人情報や銀行情報、場合によっては決済の承認を求めるという。

問題は、誤字や不自然な日本語だけでは見分けられない点だ。泊まる施設と日程が合っていれば、旅行の準備中の人には重要な事務連絡に見える。INCIBEが7月31日に出した注意情報も、本物の予約情報が書かれていることは、連絡の正当性を保証しないと強調した。

ただし、こうしたメッセージを受け取ったからといって、ただちに特定の予約サイト本体から漏れたと断定はできない。予約には宿泊施設、旅行会社、予約を仲介・管理する事業者など複数のシステムが関わる。INCIBE-CERTは、関連するシステムのどこかが侵害されると情報が犯罪者に渡り得ると説明している。個別事件の侵入口は、その事件の調査で確かめる必要がある。

委託先一社の侵害が、複数の企業の顧客に広がる

エンデサの事件と宿泊分野の詐欺では、確認されたシステムや情報が異なる。両者を一つの攻撃とみなす根拠はない。それでも、利用者が情報を預けたと認識する相手だけを見ていては、実際の情報の所在が見えにくいという共通の問題が浮かぶ。

宿泊予約の場合、予約サイトから施設へ送られた情報は、その施設が使う管理ソフトなどにも入る。複数施設が同じクラウドサービスを使っていれば、一つの供給元の問題が多くの施設へ及ぶ可能性がある。これはINCIBE-CERTが示す構造であり、施設自身のシステムが直接攻撃されていなくても影響が出得るという。

この構造からすると、利用者に「そのサイトへ登録した覚えがない」という感覚があっても不思議ではない。予約した施設の名前と、データ管理を担う事業者の名前が一致するとは限らないためだ。これは、確認された業務の仕組みに基づく本稿の分析である。

対策にも利用者と企業の役割の違いがある。利用者は偽の支払い請求に応じないようにできるが、委託先の管理画面の権限を変更することはできない。必要以上の情報を持たないこと、アクセスできる範囲を絞ること、問題が起きたら関係者へ伝えることは、情報を扱う側の課題になる。AEPDも、データの最小化、早期の削除・匿名化、システムの分離などを事故前の対策として挙げている。