個人情報が漏洩していないか確認するには：PHPの脆弱性と利用者ができること

MacWindowsiPhoneAndroid更新 2026-10-31

脆弱性は弱点のことで、サイトに弱点があることと、あなたの個人情報が盗まれたことは同じではありません。PHP2Shellは、多くのウェブサイトで使われているPHPの2件の深刻な脆弱性で、2026年10月21日に修正版が出ました。JPCERT/CCは、悪用された場合はPHPの実行プロセスの権限で任意のコードを実行される可能性があるとしています。2026年10月23日時点で、影響を受けた企業や利用者の一覧を示した公的な発表はありません。

要点

脆弱性があるだけで、個人情報が漏洩したことにはなりません。PHP2Shellはウェブサーバーの弱点で、サーバーに弱点があることと、そこから情報が持ち出されたことは別の話です。日本では、個人の権利利益を害するおそれがある漏洩が起きた場合、事業者は個人情報保護委員会への報告と本人への通知をしなければなりません。今のうちに、パスワードの使い回しをやめ、多要素認証を設定し、漏洩を名乗るメールやSMSを疑ってください。

PHPの脆弱性で個人情報は盗まれたのですか

それだけでは、盗まれたことにはなりません。PHP2Shellは、修正されていないサーバーで攻撃者がコードを実行できるかもしれない弱点です。特定のサイトから実際に何かが持ち出されたかどうかは、そのサイトが攻撃されたかどうかによります。それを確かめられるのは、サイトを運営している事業者だけです。

2026年10月23日時点で、公的な情報からわかっていることは次のとおりです。

PHPプロジェクトは10月21日に修正版を公開し、PHPの利用者に更新を求めています。
JPCERT/CCは、PHPが国内で広く利用されていることを確認しているとしています。
米国のCISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。

どれも、特定のお店や銀行、サービスについての発表ではありません。脆弱性そのものについてはPHP2Shellの解説をご覧ください。

使っているサイトから漏洩したら、どうやって知るのですか

基本的には、事業者から知らされます。個人情報保護委員会によると、令和4年4月1日から、個人データの漏えい等が起き、個人の権利利益を害するおそれがあるときは、事業者は委員会への報告と本人への通知をしなければなりません。対象になるのは次の4つです。

要配慮個人情報が含まれる場合
財産的被害が生じるおそれがある場合
不正の目的をもって行われた漏えい等が起きた場合
1,000人を超える漏えい等が起きた場合

本人への通知は、状況に応じて速やかに、概要、漏れた個人データの項目、原因などを、本人にわかりやすい方法で行うとされています。本人への通知が難しい場合は、ホームページでの公表や問い合わせ窓口の設置といった代替措置も認められています。ですから、メールや郵便での通知のほかに、事業者のサイトでの公表も確認先になります。

通知を装ったメールについては、下の「ニュースに便乗した詐欺はどう見分けますか」で説明しています。

利用しているサイトが不正アクセスを受けたかもしれないときは

届いたメールのリンクではなく、ブックマークや公式アプリ、自分で入力したアドレスから事業者のサイトを開き、お知らせや公表を確認してください。IPAは、よくアクセスするサイトはブックマークに登録し、それ以外から開かないよう勧めています。事業者が問い合わせ窓口を設けていれば、そこで自分が対象かどうか、何をすればいいかを確認できます。

パスワードは変えたほうがいいですか

理由があるときは変えてください。事業者から変更を求められた場合や、そのパスワードをほかのサービスでも使っている場合です。IPAは、入力したパスワードをほかのサービスでも使っている場合は、そちらも同様に変更するよう案内しています。

メールのリンクからではなく、自分でアドレスを入力するか、公式アプリでサービスを開きます。
アカウントの設定からパスワードを変更します。
同じパスワードを使っているほかのサービスでも変更します。
登録しているメールアドレスや電話番号を確認し、自分のものではない情報があれば削除します。IPAが不正ログインの対処として挙げている手順です。

IPAは、パスワードは長く複雑にして使い回さないこと、パスワードマネージャーの利用を検討すること、パスキーが使える場合はできるだけ使うことを勧めています。

多要素認証は設定したほうがいいですか

設定できるところでは設定してください。IPAによると、多要素認証を設定していれば、IDとパスワードを不正に使われても、それだけではログインできないため、不正ログインの防止に効果があります。ワンタイムパスワードや生体認証などを組み合わせる方式です。

ニュースに便乗した詐欺はどう見分けますか

IPAは、偽のメールやSMSは確定申告など実社会の動きに合わせて送られてくると説明しています。実在の企業や公的機関、金融機関、ショッピングサイトを名乗り、偽サイトのURLが書かれているのが典型です。

IPAが勧めている対処は次のとおりです。

突然届いた身に覚えのないメールやSMSは、真偽を見分けようとせず、基本的に無視して削除する
添付ファイル、URLリンク、QRコードを安易に開かない
普段は人に教えない情報の入力を求められたら、特に注意する

アカウントで何を確認すればいいですか

IPAは、被害に遭っていないかを早めに確かめる方法として、ログインすると通知が届くログインアラート機能の利用、利用しているサービスのログイン履歴の確認、クレジットカードやポイントの利用履歴の定期的な確認を挙げています。

身に覚えのない利用があれば、カード会社やサービスの提供者に相談してください。IPAは、クレジットカード情報を入力してしまった場合は速やかにカード会社に相談するよう案内しています。どこに相談すればいいかわからないときは、IPAの「安心相談窓口」があります。

よくある質問

事業者は必ず漏洩を知らせてくれますか

すべての漏洩が対象ではありません。個人情報保護委員会の示す報告と本人通知の義務は、上の4つのように、個人の権利利益を害するおそれがある場合です。それ以外の漏洩は直接知らされないこともあります。気になるときは、事業者に問い合わせることができます。

漏洩したら事業者はいつまでに知らせるのですか

個人情報保護委員会は、本人への通知は状況に応じて速やかに行うとしています。委員会への報告は、速やかに、おおむね3日から5日以内に行うよう事業者に求めています。

個人情報が漏洩したらまず何をすればいいですか

事業者の通知や公表の内容を、公式サイトで確かめてください。そのうえで、対象のサービスと、同じパスワードを使っているサービスのパスワードを変え、多要素認証を設定し、カードの利用履歴を確認します。通知を装ったメールのリンクは使わないでください。

スマホやパソコンに何か入れる必要がありますか

PHP2Shellのために必要なものはありません。脆弱性はウェブサーバーにあり、更新するのはサイトの運営者です。ただ、IPAは対策の基本としてソフトウェアの更新を挙げているので、自分の端末の更新は続けてください。