九州電力送配電のSSD紛失で顧客情報最大1354万件が流出の恐れ、暗号化・パスワード未設定の管理体制に問題

「電力会社に個人情報を預けているんでしゅが、漏れたりしないでしゅよね？」
「SSDを紛失って、そんな大事なデータがUSBみたいに持ち出せる状態だったんでしゅか？」

チップス

ボスっ、九州電力送配電がSSDを紛失して1354万件の個人情報が漏洩するかもって聞いたんでしゅが…1354万件って九州の人口より多いでしゅよね？

ボス

その通りだ。2016年から2026年の約10年分の契約者情報が、暗号化もパスワードも設定されていないSSD1台に保存されていた。しかも保管していたキャビネットに施錠もしていなかったことが明らかになっている。

九州電力送配電株式会社は2026年7月21日、5月26日に発覚した顧客情報入りSSDの紛失について、影響を受ける件数が最大1,354万件に拡大すると公表しました。
九州在住の電力契約者ほぼ全員が対象となる規模で、杜撰な情報管理体制が問題の背景として浮かび上がっています。

この記事を読むことで、事件の全体像と企業の情報管理体制に何が足りなかったかが分かります。

九州電力送配電のSSD紛失、1354万件への拡大と事件の経緯

本件は2026年6月8日に初報が公表された際には1,090万件とされていましたが、精査の結果、2026年7月21日に1,354万件へと拡大が公表されました。

紛失の経緯と対象となる顧客情報

バックアップ用のSSDは、サーバー室内のキャビネットに保管されていました。
2026年4月27日に存在が最後に確認されましたが、5月26日のバックアップ作業時に所在不明が発覚しました。
紛失から発覚まで約1カ月の空白があったことになります。

SSDに保存されていた情報の内容は以下のとおりです。

現時点で顧客情報の流出は確認されていません。
2026年8月上旬以降、対象顧客へのダイレクトメールによる個別通知が予定されています。

サーバー室に多重認証がありながら、媒体の保護は無防備だった

サーバー室自体は身分証確認、カード認証、生体認証、監視カメラなど多重のセキュリティで保護されていました。
しかしSSD自体の保護が致命的に欠如していたことが、今回の問題の核心です。

チップス

入室は厳しいのに、中にあるSSDがガバガバってことでしゅか？それって、入口だけ守って金庫は開けっ放しみたいなことでしゅよね？

ボス

まさに、そういうことだ。「部屋に入れなければ安全」という誤った前提に立った設計で、媒体自体への保護策がなかった。委託業者が室内に出入りしていた状況を考えると、内部からの持ち出しリスクへの対策が皆無だったと言わざるを得ない。

今回の事件が教える情報媒体管理の教訓

九州電力送配電は再発防止策として「使わない・持ち出させない・読み取れない」という三原則を掲げています。
今回の教訓から導かれる具体的な情報管理のベストプラクティスは以下のとおりです。

個人情報保護委員会は2023年改正で、個人情報の漏洩（または漏洩の恐れ）が生じた場合の報告義務と本人への通知義務を課しています（個人情報保護委員会ガイダンス参照）。
1,000件超の個人情報が関わる今回のケースは、その典型的な適用事例です。

まとめ

九州電力送配電のSSD紛失事案は、施設セキュリティと媒体セキュリティを別々に設計することの重要性を改めて示しました。
暗号化もパスワードも施錠もなければ、物理的に取り出されるだけで1,354万件のデータが無防備にさらされます。
今回影響を受ける方は、続報と個別通知を待ちながら、フィッシング詐欺などの二次被害に注意することが重要です。

チップス

「施設のセキュリティ」と「データのセキュリティ」は別物なんでしゅね。うちの会社でも確認してみるでしゅ！

ボス

ふふふ、それでいい。バックアップ媒体の管理は「存在しているだけ」では意味がない。「漏れても読めない状態にする」ことが本当のセキュリティだな。

データを守るのは物理的な壁だけではありません。
暗号化という技術的な壁を組み合わせて初めて、情報は本当の意味で保護されます。