大東ガスから届いた情報流出の通知――住民が知りたいこと、会社に問いたいこと

情報流出の通知、その先へ。郵便の封筒と地域の住まい、家族、情報を守る盾を描いたイラスト

2026年10月30日｜郵送通知と公式発表をもとに考える

大東ガスから、一通の手紙が届いた。メールではなく、私宛ての郵送通知である。業務委託先の両毛システムズが不正アクセスを受け、顧客情報が外部に流出した可能性があるという。

こうした通知を見る機会が増えた。しかし、読み慣れてしまってよい話ではない。氏名や住所、電話番号などを預けた私たちは、何が起き、どのような影響があり、これから何をすべきなのかを知る必要がある。

今回はAIとともに文面を読み、大東ガスの公式発表や個人情報保護委員会の指針も確認した。私の受け止めは、「対象者に郵送で知らせたことには意味がある。しかし、これだけでは住民が十分に理解し、安心して暮らすための説明には足りない」というものだ。

この記事で考えたい三つのこと
・過去の顧客情報は、なぜ委託先に残っていたのか。
・電話だけの案内と二社の窓口で、利用者は十分に質問できるのか。
・会社、住民、地域は、二次被害を防ぐために何ができるのか。

本稿は2026年10月30日時点の資料に基づく。実際の流出、悪用、法令違反を断定するものではない。確認できた事実と、私の評価・提案を区別して記す。

「自分も対象」という通知だった

手紙は、対象となるデータに含まれていた顧客へ送っていると説明している。つまり、単に「取引先で事故がありました」と全員に知らせる一般的な案内ではない。

ここでは、対象ファイルに自分の情報が含まれていたことと、その情報が実際に外部へ持ち出され、悪用されたことを分けて考えなければならない。通知が知らせているのは前者であり、後者は、この手紙では確定していない。

手紙に挙げられている情報は、氏名、住所、電話番号、料金番号、お客さま番号、ガスメータ番号、ガス使用量、ガス料金。金融機関の口座情報とクレジットカード情報は含まれないとしている。大東ガスの公表する対象規模は約12万4,000件である。これは三芳町内だけの件数ではない。［1］［2］

別のガス会社と契約していても関係する

地域への周知で見落とせないのが、契約会社の違いだ。郵送通知によると、2023年11月から2024年4月の対象期間に、大東ガスの供給区域内で利用していた顧客のうち、対象データに含まれていた人が通知先となる。当時の契約先が東京電力エナジーパートナーや日本瓦斯であった顧客も含まれる。なお、この二社の顧客のガス料金情報は含まれないとされる。［1］

これは「導管事業」、つまりガス管を通じてガスを届ける仕事に関する情報だからだ。ガスを販売する会社が変わっても、供給に必要な情報は、ガス管を管理する側で扱われる。

「うちは別会社と契約しているから関係ない」と受け止めると、大切な注意喚起を見落としかねない。三芳町の住民にも、私の暮らすマンションの住民にも共有する価値がある。

ただし、全町民やマンションの全住民が対象だと確認されたわけではない。転居時期やデータへの収録状況は異なる。全住民に知らせる必要性と、全住民の情報が流出対象であることは別の話である。

守っていたシステムの外に、過去のファイルがあった

公式発表を読んで、手紙には書かれていない重要な説明に気づいた。通常利用している顧客情報システムと、攻撃を受けた両毛システムズの社内ネットワークは分離されていた。一方、過去の業務で扱った顧客情報ファイルが、その社内ネットワークに残っており、外部へ流出した可能性があるという。［2］

これは、情報管理を考えるうえで重要な点だ。普段使うシステムを守っていても、別の場所に置いたコピーや作業用ファイルが守られていなければ、顧客情報は危険にさらされる。

もちろん、この資料だけで「不要なデータを放置した」とまでは言えない。保存が必要だった事情があるかもしれない。しかし、それならば理由を説明してほしい。

何の業務に使ったファイルなのか。
なぜ2026年まで保存していたのか。
保存期限、削除、閲覧権限、暗号化を、どう管理していたのか。

知りたいのは、攻撃者の技術的な手口だけではない。顧客情報を、どのような判断と管理のもとでその場所に保管していたのかである。

委託先で起きた事故であっても、委託する側の管理は問われる。個人情報保護委員会の指針は、委託先への必要かつ適切な監督を求めている。ただし、今回その義務に違反したかどうかは、管理の実態を確認して判断する必要がある。［4］

把握から郵送開始まで、33日

日付	大東ガスの公表で分かる経緯
9月24日	顧客情報が流出した可能性について報告を受ける
9月28日	公式サイトで公表
10月27日以降	対象者への通知を順次郵送

会社が報告を受けてから郵送開始まで33日ある。対象者の特定や送付先の確認に時間を要した可能性はある。しかし、その理由は利用者に説明されていない。［2］［3］

「不審な電話に注意してください」と言われても、通知前の期間、利用者はその危険を知らなかったかもしれない。ホームページへの掲載や新聞社への発表が、そのまま対象者への到達を意味するわけではない。

本人への通知は、事案の状況に応じて速やかに行うことが求められ、全事項の判明を待ってよいというものでもない。日数だけで違法とは断定できないが、なぜこの時期になったのかを問うことは、十分に合理的である。［4］

「口座情報は含まれない」で安心しきれない理由

口座やカードの情報が対象外であることは重要だ。それでも、氏名、住所、顧客番号などを組み合わせれば、利用者を信用させる材料になり得る。

例えば「情報流出のおわびに返金する」「安全確認のため訪問する」「請求を訂正するので手続きしてほしい」といった連絡である。これは想定される悪用の例であり、今回実際に起きたと確認された話ではない。

相手が自分の氏名や顧客番号を知っていても、それだけで本物だと判断しない。
急かされてもいったん連絡を切り、請求書など手元の正規の資料や公式サイトで確認した窓口へ、自分から問い合わせる。

「二次被害は確認されていない」は、現時点で会社が把握した状況を示す説明である。将来の悪用まで否定するものではない。一方、過去の使用量だけから現在の在宅・不在が分かる、といった推測を広げるべきでもない。

質問したいのに、案内は電話だけ

手紙の末尾にある連絡方法は、平日9時から17時までの電話窓口である。文書で質問を送りたい場合の住所や、メールなどの案内はない。「電話以外は受け付けない」と明記されてはいないが、受取人には電話を求める案内として伝わる。

電話は簡単な確認には便利だ。しかし、保存の理由、管理体制、通知までの経緯といった複数の問いを正確に伝え、回答を残し、後から読み返すには、文書でのやり取りが適している。

調べると、大東ガス自身のプライバシーポリシーには、個人情報に関する苦情などを郵送で受け付ける窓口が記載されていた。文書で受け付ける仕組みはあるのに、今回の通知では案内していない。［5］

公式サイトに掲載された個人情報関係の郵送受付窓口
〒354-0018
埼玉県富士見市西みずほ台一丁目2番地12
大東ガス株式会社　総務企画部総務課
※本件専用の郵送窓口とは明記されていない。出典はプライバシーポリシー「10.受付方法・窓口」。［5］

公式サイトには、一般の問い合わせページとメールでの回答に関する案内もある。［6］なぜこれらを通知に載せなかったのか、会社の意図は分からない。問い合わせを集約するなどの運営上の事情は考えられるが、「記録を残したくないから」と決めつける根拠もない。

それでも、平日日中に電話をかけ、複雑な質問を口頭で伝え、回答を自分で記録し、別の問い合わせ方法まで探す負担が、顧客側に生じていることは指摘できる。

二社の窓口を、利用者が使い分けるのか

さらに分かりにくいのは、窓口の区分だ。手紙では「本件に関するお問い合わせ」は大東ガス、「不正アクセスに関するお問い合わせ」は両毛システムズとなっている。

しかし、今回の本件は、不正アクセスによる情報流出の問題そのものではないか。「私の情報をなぜそこに保存していたのか」「どこに管理上の問題があったのか」という質問は、両方に関わる。

会社側には顧客対応と技術調査を分担する意図があるのかもしれない。しかし、その内部分担を利用者が理解し、質問を振り分けることを、当然の常識とは言えない。

私は、大東ガスに質問をまとめて送り、両毛システムズへの確認が必要な事項も、大東ガスが取りまとめて書面で回答するよう求める。利用者に両社を行き来させない受付体制を望む。

会社に、具体的に説明してほしいこと

質問は、謝罪の言葉を増やしてもらうためのものではない。次の点を、確認済み・調査中・確認困難に分け、分かる形で説明してほしい。

対象情報と確認の限界――自分について何が含まれ、流出の有無はどこまで調べられたか。
保存と監督――過去のファイルを残した理由、保護方法、委託元による点検はどうなっていたか。
通知の時期と範囲――郵送まで時間を要した理由と、転居者・通知不達者への対応は何か。
二次被害への支援――不審な連絡や被害が生じたとき、誰が相談を受け、何を支援するか。
改善と報告の予定――何をいつまでに改め、誰が効果を確認し、いつ対象者に報告するか。
問い合わせの改善――文書でも質問でき、大東ガスから一括して回答を受けられるようにするか。

攻撃に使える詳細な設定を公開してほしいわけではない。利用者に説明できる管理の実態と改善の内容を求めている。

マンションと町に、ここで提案しておきたい

各戸に通知が届いても、全員が同じように理解できるわけではない。私は、管理組合と三芳町への提案を、まずこの記事に記しておきたい。

管理組合には、個人情報を集めずにできる周知がある。公式発表への案内、別の契約会社の利用者も対象になり得ること、氏名や顧客番号を言い当てられても信用しきらないこと、正規の点検訪問を確認する方法。こうした情報を、掲示や住民向けの連絡で共有することだ。

顧客番号や各戸の契約情報を管理組合で集める必要はない。会社の技術調査を肩代わりする必要もない。住民同士の情報格差を減らすことが目的である。

三芳町には、地域の消費者被害を防ぐ立場からの対応を望む。大東ガスから町内への影響と対応状況の説明を受け、必要な注意喚起を行い、消費生活相談や見守り活動につなぐ。民間企業の事故でも、被害を受け得るのは町民である。

この資料から町に漏えいの責任があるとは言えない。しかし、所管の線引きを確認するだけでなく、町民を守るためにできることを考えてほしい。ここで述べたのは私の提案であり、両者が既に対応を拒んだという意味ではない。

「注意してください」の先にある責任

情報流出の通知を受け取った側には、読む、調べる、理解する、警戒する、判断するという負担が生じる。電話や訪問を疑いながら暮らすこと自体が、生活の負担でもある。

だからこそ、会社の対応は謝罪と注意喚起で終わってほしくない。対象者が質問しやすく、正確な回答を受けられ、会社の改善を確かめられることが必要だ。

AIは、個人でも通知を読み解き、公表資料と照合し、論点を整理する助けになる。今回もその力を使った。しかし、利用者がAIを使わなければ理解できない説明のままでよいわけではない。

情報を預かる会社には、情報を守る仕組みとともに、問題が起きたとき利用者の負担を減らす説明の仕組みも整えてほしい。私は、そのための具体的な質問を大東ガスに送る。

参考資料・出典

大東ガスから筆者に届いた2026年10月付郵送通知。個人の住所・顧客番号を含む原本は公開しない。
大東ガス：情報流出の可能性について（2026年9月28日）
大東ガス：第二報・お客さまへの個別通知について（2026年10月27日）
個人情報保護委員会：個人情報保護法ガイドライン（通則編）。委託先の監督、本人への通知等。
大東ガス：プライバシーポリシー。「10.受付方法・窓口」。
大東ガス：お問い合わせ

資料確認日：2026年10月30日。本文の整理・資料照合にAIを活用。冒頭のイラストはAIによるイメージで、実在の建物や被害状況を描いたものではありません。