流出個人情報が闇サイトで売買される実態｜悪用の手口と対策

「流出した個人情報が闇サイトで売買されている」というニュースを見て、自分の名前や住所も売られているのではと不安になった方もいるでしょう。2026年は大手企業からの流出の発表が相次ぎ、10月にはテレビや新聞でも闇サイトの実態が取り上げられました。

この記事では、闇サイトで何がいくらで売られているのか、買われた情報がどう悪用されるのか、流出したときに何をすればよいのかを順に整理します。内容は2026年10月19日時点の報道と公的機関の発表にもとづいています。

流出した個人情報は、闇サイトで実際に売り物になっています。ただ、被害の多くはその情報を使ったフィッシングや不正ログインといった「二次被害」で起こるため、パスワードの変更と不審な連絡への備えで、被害に遭う可能性を下げられます。

流出した個人情報が闇サイトで売買される実態【2026年10月時点】

企業から盗まれた個人情報は、犯罪者どうしの市場に流れて売り物になります。2026年10月のTBSの報道では、流出した電話番号や住所などの情報が数千万件規模で闇サイトで売買されている可能性が伝えられました。取材に応じた日本ハッカー協会の杉浦隆幸代表理事は、こうした情報が詐欺や不正ログインに使われる危険を指摘しています。

ここではまず闇サイトがどんな場所かを押さえ、2026年に相次いだ流出の発表を確認します。そのうえで、「数千万件が売買」といった報道の数字をどう読めばよいかを説明します。

闇サイト（ダークウェブ）とはどんな場所か

インターネットには、検索エンジンで普通に見つかる部分と、特別な接続方法を使わないとたどり着けない部分があります。後者のうち、利用者の身元を隠す仕組みで運営され、違法な取引の場にもなっている領域が「ダークウェブ」と呼ばれます。

報道でいう「闇サイト」は、ダークウェブ上の闇市場（マーケット）や、ハッカーが集まる掲示板、通信アプリの非公開グループなどをまとめて指す言葉です。盗まれたデータは「商品」として出品され、支払いには足がつきにくい暗号資産（仮想通貨）が使われることが多いとされています。

同じような場所は、強盗や詐欺の実行役を集める「闇バイト」の募集にも使われています。なお、この記事では闇サイトへの接続方法やサイト名は扱いません。理由はよくある質問で触れます。

2026年に相次いだ大手企業の流出の発表

2026年は、身近な企業からの個人情報の流出が続きました。主なものを発表の時期順に並べます。

• イエローハット（8月28日公表）：WEB作業予約システムが攻撃を受け、最大約180万人分の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性
• 日本経済新聞社（10月16日発表）：システム開発に使うクラウドサービスへの不正アクセスで、約183万件が漏えい（氏名などを含むのは約15万件）
• ヤマト運輸（10月16日発表）：「クロネコ代金後払いサービス」への不正アクセスで、氏名や住所などの顧客情報約531万件の流出を確認。カード情報とパスワードは含まれないと説明

ヤマト運輸は発表の時点で、流出した情報が悪用された二次被害は確認していないとしています。どの発表でも、流出した情報が闇サイトで売られていると企業が認めたわけではありません。先の報道も、ここ数週間の流出分は確認した闇サイトにまだ出ていなかったと伝えています。ただ、盗まれた情報は売買されるものと考えて備えておくのが現実的です。

「数千万件が売買」という報道の読み方

ニュースの数字には読み方のコツが3つあります。1つ目は、件数と人数は同じではないことです。ヤマト運輸の約531万件は、購入者の情報と届け先の情報を合わせたデータの件数で、同じ人が何度も含まれることがあります。

2つ目は、闇サイトでの「売ります」という主張がすべて本物とは限らないことです。2026年10月には、大手フリマアプリから盗んだとする約2,400万件のデータの販売をうたう投稿が見つかりました。しかしセキュリティ専門のメディアは、添えられたサンプルが生成AIで作られた可能性が高いと指摘しています。

3つ目は、流出そのものは珍しくないことです。個人情報保護委員会の令和7年度年次報告によると、民間事業者からの漏えい等の報告は1万7,139件でした。過去最多だった前年度の1万9,056件からは約1割減ったものの、1日あたり40件を超えるペースです。

闇サイトで売られる個人情報の種類と値段の目安

闇サイトでは、メールアドレス1件から運転免許証の画像まで、さまざまな個人情報に値段が付けられています。値段を左右するのは「すぐにお金に換えやすいか」と「手に入りにくいか」の2点です。そのまま不正利用できるカード情報や、本人確認に使える書類の画像ほど高くなる傾向があります。

以下では、売られやすい情報の種類、調査で示された値段の目安、日本人の情報が高値になりやすい理由の順に見ていきます。値段は調査の方法や時期によって大きく変わるので、目安として読んでください。

売られやすい個人情報の種類

闇サイトに出回る個人情報は、使い道ごとに次のように分けられます。

• メールアドレスとパスワードの組み合わせ：ほかのサービスへの不正ログインに使われる
• クレジットカード情報（番号・有効期限・セキュリティコード）：ネット通販での不正利用に使われる
• 氏名・住所・電話番号・生年月日：詐欺の電話や郵便、なりすましの材料になる
• 運転免許証などの本人確認書類の画像：口座開設やスマホ契約の本人確認を突破するのに使われる
• SNS・ゲーム・動画配信などのアカウント：乗っ取ったうえで転売されたり、知人をだます詐欺に使われたりする

1つずつでは価値が低い情報も、組み合わさると危険度が上がります。氏名・住所・生年月日・カード情報などを1人分ひとまとめにしたセットは「フルズ（fullz）」と呼ばれ、単品より高く取引されます。

調査で示された値段の目安

VPNサービスを提供するNordVPNが、脅威監視サービスのNordStellarと共同で2026年4月に公表した調査があります。2025年1月から2026年2月にかけて、ダークウェブ上の約7万5,000件の出品を分析したものです。主な値段は次のとおりです。

情報の種類	値段の目安（中央値）
日本のクレジットカード情報	約27ドル（約4,000円）
日本のMicrosoft 365アカウント	約26.5ドル（約3,900円）
個人のメールアカウント	約1ドル

本人確認書類はさらに高く、報道によると、杉浦代表理事は運転免許証の画像が1枚1,050ドル（約17万円）で取引されている例を挙げています。一方、メールアカウントが1ドル程度なのは、大量に出回っていて単体では使い道が限られるためです。

日本人の情報が高値になりやすい理由

先ほどの調査では、日本のカード情報の値段は世界でも最も高い水準でした。理由として挙げられているのは希少性です。盗まれたカード情報の出品は7割以上が北米のもので、アジアのものは4.8%にとどまりました。日本やシンガポールのように流通量が少ない国のデータは、高い値が付きやすいと分析されています。

高く売れるということは、それだけ「まだ使える」「元が取れる」と犯罪者に見込まれているということです。持ち主の側から見れば、カード番号を変える、明細をこまめに見るといった備えが、相手の見込みを外す手段になります。

買われた個人情報はどう悪用されるか（二次被害の手口）

闇サイトで買われた個人情報は、それ自体が目的ではなく、お金を引き出すための道具として使われます。住所や電話番号が知られただけで、口座のお金が勝手に消えることはまずありません。被害の多くは、その情報をきっかけに本人をだましたり、パスワードを悪用したりする二次被害として起こります。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」でも、個人向けの脅威として、フィッシングによる個人情報等の詐取、インターネット上のサービスへの不正ログイン、クレジットカード情報の不正利用などが挙がっています。ここでは代表的な4つの手口を見ていきます。

流出元や「補償手続き」を装うフィッシング

最も身近なのが、本物そっくりのメールやSMSで偽サイトに誘い、IDやパスワード、カード番号を入力させる「フィッシング」です。流出の直後は、「個人情報流出のお詫びと補償のご案内」「ご本人確認のお願い」など、流出元の企業を名乗る連絡が届きやすくなります。宛名や購入履歴まで正しく書かれていると、つい信じてしまいがちです。

1つでも当てはまったら、リンクは開かずに閉じましょう。受け取ったフィッシングメールは、フィッシング対策協議会に報告することもできます。

パスワードの使い回しを狙う不正ログイン

メールアドレスとパスワードの組み合わせが流出すると、犯罪者はそれを自動のプログラムで別のサービスに次々と試します。これを「パスワードリスト攻撃（リスト型攻撃）」と呼びます。同じパスワードを通販サイト・SNS・メールで使い回していると、1か所の流出から芋づる式に乗っ取られてしまいます。

乗っ取られたアカウントでは、登録済みのカードで買い物をされたり、知人に「電子マネーを買ってきて」と頼む詐欺メッセージを送られたりします。警察庁の注意喚起でも、パスワードを使い回さないこと、ワンタイムパスワードなどの多要素認証を設定することが対策として挙げられています。

クレジットカードの不正利用

カード番号・有効期限・セキュリティコードがそろうと、ネット通販で本人になりすまして買い物ができてしまいます。最初に少額の決済で「使えるカードかどうか」を試し、通ったら高額の買い物をする手口もあります。見覚えのない数百円の請求でも、見過ごさずに確認したいところです。

カードの不正利用は、カード会社に届け出れば補償の対象になる場合が多くあります。ただし、届け出の日からさかのぼって何日分まで補償するかといった範囲は、カード会社の会員規約で決まっているのが一般的です。気づくのが遅れると補償の範囲から外れることもあるため、明細を見る習慣そのものが身を守る手段になります。

住所や電話番号を使った電話・郵便の詐欺

氏名・住所・電話番号は簡単には変えられない情報なので、一度流出すると長く使われます。典型的なのは、宅配業者の不在通知を装うSMS、未払い料金をかたる架空請求のはがき、「流出したあなたの情報を削除できます」と持ちかける電話などです。名前や住所を正しく言われると本物だと思いやすいので、注意が必要です。

特に「削除」をうたう話には応じないでください。一度出回った情報を有料で消せるというのは、それ自体が詐欺の入り口です。知らない番号や非通知の電話への備えは、次の記事も参考になります。

自分の情報が流出したか確かめる方法

自分の情報が流出したかどうかを確かめる方法は、主に「企業からの知らせを確認する」「自分の利用履歴を点検する」「確認サービスを使う」の3つです。2022年4月に施行された改正個人情報保護法で、不正アクセスによる漏えいなどが起きた企業には、個人情報保護委員会への報告と本人への通知が原則として義務づけられました。

まず届いた知らせを正しく確かめ、次に自分でできる点検、最後に確認サービスを使うときの注意点という順で説明します。「流出したかもしれない」と思ったら、確認の結果を待たずに次の章の対策に進んで構いません。

企業からの通知と公式発表の確かめ方

流出が起きると、企業はメール・郵便・会員ページのお知らせなどで本人に連絡し、公式サイトにおわびと経緯を載せます。発表では、次の点を確かめておくと、自分がやるべきことがはっきりします。

• 対象のサービスと期間：自分がその期間にそのサービスを使ったか
• 流出した項目：カード情報やパスワードが含まれているか
• 企業の案内：専用の問い合わせ窓口や、利用者にお願いしている対応

注意したいのは、この通知を装った偽メールが同時に出回ることです。届いた連絡が本物かどうかは、メール内のリンクではなく、ブックマークや検索から開いた企業の公式サイトに同じお知らせが出ているかで確かめます。問い合わせの電話番号も、メールに書かれたものではなく公式サイトに載っている番号を使いましょう。

カードの明細とログイン履歴の点検

企業からの通知を待たなくても、自分でできる点検があります。どれもスマホで数分あれば確かめられます。

• クレジットカードの利用明細：カード会社のアプリやWeb明細で、見覚えのない請求がないかを見る。少額の請求も見落とさない
• 主なアカウントのログイン履歴：Google・Apple・Microsoftのアカウントや、SNS・通販サイトの「ログイン履歴」「デバイス」の画面で、知らない端末や地域からのログインがないかを見る
• 登録情報：メールアドレス・電話番号・届け先住所が勝手に書き換えられていないかを見る

点検は思い出したときだけだと続きません。カードの引き落とし日の前後など、毎月の日にちを決めておくと習慣にしやすくなります。

流出確認サービスを使うときの注意

メールアドレスを入れると、過去に流出したデータに含まれているかを調べられるWebサービスがあります。世界的に知られているのは、セキュリティ研究者が運営する「Have I Been Pwned」です。ブラウザやスマホのパスワード管理機能、セキュリティソフトにも、流出したパスワードを知らせる機能が付いているものがあります。

確認サービスを名乗る偽サイトもあります。メールアドレスに加えて、パスワードやカード番号の入力を求めるサイトは使わないでください。

また、「該当なし」と出ても安心しきれません。確認サービスが調べられるのは、手に入った一部の流出データだけです。結果は判断材料の1つにとどめ、パスワードを使い回さないといった基本の対策は続けましょう。

流出がわかったときにやること【優先順位つき】

流出の連絡を受けたら、まず「流出した項目」を確かめ、変えられるものから変えていきます。パスワードやカード番号は変更できますが、氏名・住所・電話番号・生年月日は簡単には変えられません。変えられる情報は変える、変えられない情報は悪用されたときに気づけるようにしておくというのが基本の考え方です。

ここでは、今日のうちにやること、しばらく続けること、困ったときの相談先の順にまとめました。全部を一度にやろうとせず、上から順に片づけていけば大丈夫です。

今日のうちにやること

1. 流出したサービスのパスワードを変える。同じパスワードを使っているほかのサービスも、すべて別のものに変える
2. 2段階認証（多要素認証）を設定する。メール・ネット銀行・通販サイト・SNSを優先する
3. カード情報が含まれていた場合は、カード裏面の番号からカード会社に連絡し、利用停止や再発行を相談する
4. 流出元の企業が案内している専用窓口やお願い事項を確認し、必要な手続きをする

新しいパスワードは、サービスごとに違う長いものにするのが基本です。覚えきれない場合は、ブラウザやスマホのパスワード管理機能に任せると、使い回しをやめやすくなります。

しばらく続けること

住所や電話番号などは、流出から数か月、数年たってから悪用されることもあります。対策は一度で終わりにせず、次のことを続けましょう。

• カードの明細とログイン履歴の点検を、月に1回は続ける
• 企業・宅配業者・警察・役所を名乗る電話は、その場で個人情報を答えず、いったん切ってから自分で調べた番号にかけ直す
• 知らない番号からの電話は留守番電話で受け、用件を聞いてから折り返すかを決める
• フリマアプリや通販では匿名配送を選ぶなど、新たに住所を渡す場面を減らす

住所を相手に知らせずにやり取りする方法は、次の記事でくわしく紹介しています。

困ったときの相談先

実際に被害に遭った、あるいは被害かどうか判断に迷うときは、一人で抱えずに相談しましょう。内容ごとの主な相談先は次のとおりです。

相談したいこと	相談先
不正利用・乗っ取り・詐欺の被害に遭った	最寄りの警察署、都道府県警察のサイバー犯罪相談窓口
被害かどうか迷う、警察に相談したい	警察相談専用電話「#9110」
架空請求や契約のトラブル	消費者ホットライン「188」（最寄りの消費生活センターなどにつながる）
カードの身に覚えのない請求	カード裏面に書かれたカード会社の連絡先
フィッシングメールを受け取った	フィッシング対策協議会の報告窓口

「#9110」は緊急の事件・事故のための110番とは別の、相談専用の番号です。受付時間は都道府県によって違い、多くは平日の日中です。今まさに脅されている、お金を払えと迫られているといった差し迫った状況なら、迷わず110番に連絡してください。

よくある質問

自分の情報が売られていないか、闇サイトを見て確かめてもいいですか？

おすすめしません。闇サイトにはウイルスを仕込んだページや詐欺の出品が多く、のぞいただけで端末が危険にさらされるおそれがあります。情報を買い戻そうとすると、犯罪者にお金を渡すことにもなります。確かめたいときは、企業の発表や流出確認サービスを使いましょう。

流出した情報を闇サイトから消してもらうことはできますか？

一度出回った情報を、個人が回収したり消したりするのは難しいのが実情です。そのため、パスワードやカード番号のように変えられる情報を変え、流出した情報を使えなくすることが対策の中心になります。「有料で削除します」という連絡は詐欺を疑ってください。

流出のおわびとして補償はもらえますか？

企業によって対応が違います。おわびのポイントや金券を配る例もあれば、案内と注意喚起だけの例もあります。2026年10月19日時点で、ヤマト運輸や日本経済新聞社の件の補償の扱いは各社の発表で確認してください。補償を名目にカード番号や手数料を求める連絡は、偽物を疑いましょう。

カード情報やパスワードが含まれていなければ安心ですか？

直接の金銭被害の可能性は下がりますが、安心しきるのは早いです。氏名・住所・電話番号・購入履歴がわかると、本物らしく見えるフィッシングや詐欺電話が作りやすくなります。流出元を名乗る連絡には、しばらく注意を続けてください。

まとめ

企業から流出した個人情報は、闇サイトで値段を付けられて売り買いされています。日本のカード情報は1件約27ドルと世界でも高い水準で、本人確認書類の画像にはさらに高い値が付く例も報じられています。ただし、販売の主張には偽物も混ざっており、件数の数字はそのまま人数を意味しません。

買われた情報は、フィッシング、パスワードリスト攻撃による不正ログイン、カードの不正利用、電話や郵便の詐欺といった二次被害に使われます。だからこそ、流出を知ったら変えられる情報から変え、変えられない情報は悪用に気づける状態にしておくことが大切です。

今日できるのは、パスワードの使い回しをやめること、2段階認証を設定すること、カードの明細を見ることの3つです。流出元を名乗る連絡はリンクを開かずに確かめ、困ったときは「#9110」や「188」に相談しましょう。