大東ガスから質問状への回答が届いた――分かったことと、これから確かめたいこと

2026年11月13日｜情報流出の可能性に関する続報

大東ガスから郵送された「お客さま情報流出の可能性」の通知について、私は10月30日付の質問状を送りました。その回答が、11月13日、同社の総務業務部DX推進課からメールで届きました。前の記事でお約束したとおり、回答の内容と私の受け止めを共有します。［1］［2］

まず、10項目の質問に沿って文書で回答していただいたことに感謝します。当初の郵送通知では分からなかった事情が具体的に説明され、電話以外の問い合わせ手段を設ける方針も示されました。質問した意味はあったと思います。

その一方で、顧客情報ファイルの保存・削除の期限を定めていなかったこと、委託先での管理措置を大東ガスが当時確認する運用ではなかったことも明らかになりました。改善の方針は示されていますが、その実施と効果はこれから確かめる必要があります。

以下は回答全文の転載ではなく、質問10項目に対応した要旨と筆者の評価です。会社が説明した内容と、私の意見を分けて記します。回答者個人の氏名・直通連絡先、私の住所や顧客情報は掲載しません。

何が流出したのか――まず、確定したことと可能性を分ける

1．対象のデータと、調査で分かった範囲

【回答の要旨】対象情報の時点は2023年11月、2024年2月、2024年4月。ファイルには氏名、住所、電話番号、料金番号、お客さま番号、ガスメータ番号、ガス使用量、ガス料金が含まれていたとのことです。私については、対象データに情報が含まれることを確認したため個別通知を送った、と明記されました。［1］

外部専門機関の調査では、ランサムウェア攻撃による両毛システムズの社内ネットワークへの侵入と、社内サーバーなどへのアクセスの痕跡を確認。大東ガスの顧客情報が保存されたサーバーにもアクセス可能な状態だったため、外部流出の可能性があると判断した、と説明しています。調査は引き続き行うとのことです。［1］

【私の評価】対象となるデータに私の情報が含まれていたことは、今回の回答で明確になりました。ただし、顧客情報ファイルが実際に持ち出されたことや、外部で公開・販売されたことまで確認された、という回答ではありません。「対象データへの収録」「攻撃者がアクセスできた状態」「実際の持ち出し」「悪用による被害」は区別する必要があります。

また、どの記録をどこまで調べ、何が不足しているため流出の有無を確定できないのか、その調査上の限界は具体的には示されていません。対象期間も、連続した全期間の情報と即断せず、回答が挙げた三つの時点として理解するのが正確です。

今回、最も重く受け止めた二つの説明

2．保存・削除の期限を定めていなかった

【回答の要旨】ファイルは、大東ガスの申請業務に必要なデータの集計作業に使ったもの。保存期間や削除時期については、「具体的な期間等を定めた運用とはなっておりませんでした」と回答しています。業務上必要でなくなった情報が保存され続けないよう、保存期間や削除方法などの見直しを検討するとのことです。［1］

【私の評価】以前の記事で問うた「なぜ過去の情報が残っていたのか」に対する、重要な回答です。集計に使ったという目的は分かりました。しかし、どの申請業務だったのか、個人を識別できる情報がいつまで必要だったのか、作業終了後も保存する必要があったのかまでは説明されていません。

日々使っているシステムが守られていても、集計用に取り出したファイルが別の場所に残れば、そこも守る必要があります。今回の問題は、攻撃への防御に加え、情報を「いつまで、どこに残すか」という管理にも関わります。必要な保存と不要な残存を区別し、同様のファイルや複製も含めて点検した結果を知りたいところです。

3．委託先の管理措置を確認する運用ではなかった

【回答の要旨】両毛システムズからは、ファイルへのアクセス制限とアクセス記録の取得を行っていたとの報告を受けたとしています。一方、大東ガスは「当時これらの実施状況を確認する運用とはなっておりませんでした」と説明しています。今後は確認方法や頻度を含め、継続的に確認できるよう見直すとのことです。［1］

【私の評価】管理状況を自社が確認していなかった点まで明記したことは評価します。ただし、「両毛システムズが対策していたと報告したこと」と、「大東ガスがその実施状況を確かめていたこと」は別です。暗号化の有無については、今回の回答には記載がありません。

この回答だけで、あらゆる委託先監督がなかった、あるいは法令違反だった、と断定することはできません。それでも、顧客情報を預ける側が、実際の管理状態をどう把握するのかという課題ははっきりしました。契約書に対策を記すだけでなく、確認の結果と改善の完了を説明してほしいと思います。

通知までの日数と、通知が届かない人への対応

4．個別通知までの経緯は説明されたが、空白も残る

【回答の要旨】9月28日に公式サイトとプレスリリースで公表。その後、対象情報の精査、東京電力エナジーパートナー・日本瓦斯との調整、対象者の確認を進め、10月17日以降に印刷・封入などの準備を行い、10月27日以降に順次郵送したとのことです。公式サイト等だけで全対象者に届くと判断していたわけではない、とも明記しています。［1］

【私の評価】通知が遅れた理由について、対象者の確認や他社との調整、発送準備という作業の流れは分かりました。9月24日の報告受領から10月27日の郵送開始までは33日あります。［3］その期間のすべてを不当な遅延と決めつけるべきではありませんが、対象確認にどれほど日数を要したのか、確認途中の注意喚起を検討したのかは、なお不明です。

5．転居した人には送らないという説明を、どう受け止めるか

【回答の要旨】対象者に分かりやすい案内に改善するとしつつ、市町村別の件数は集計・公表していないとしています。通知先については「対象データ郵送時点の住所情報をもとに」と記載され、本人が住んでいないと確認した住所には送らず、転居先も全ては把握しておらず居住確認もできないため、転居先への送付は行っていないとの説明です。本人確認をしたうえで、対象者かどうかの問い合わせには対応するとしています。［1］

【私の評価】別人への誤送付を避ける配慮は理解できます。ただ、転居した対象者に通知が届かない可能性が残ります。「手紙が来ていないから、自分は対象ではない」とは判断できません。これは三芳町の住民や、マンションから転居した方にとっても大切な点です。

回答の住所に関する表現だけでは、過去の対象データの住所と発送時点の最新住所をどう照合したかは明確ではありません。未通知・不達の件数、転居者に知らせる代替手段、他のガス小売事業者との連携など、届かなかった人をどう補うかという説明が必要です。市町村別件数を公表しないことと、未通知者への周知策を用意することは分けて考えたいと思います。

被害が起きたときの支援と、これからの改善

6．二次被害の把握方法と、補償を含む対応

【回答の要旨】二次被害の有無は、大東ガスと両毛システムズに寄せられた問い合わせや被害の申し出を通じて確認しているとのことです。本件専用の問い合わせフォームを公式サイトに設置する予定で、不審な電話・訪問・郵便・SMS（携帯電話番号宛ての短いメッセージ）・メールや実際の被害について情報を受け付けるとしています。［1］

申し出があれば、内容、発生時期、使われた情報などを個別に確認。本件との関連が認められる具体的な被害については、個別事情を踏まえ「補償を含め必要な対応」を検討するという回答です。［1］

【私の評価】相談から個別確認へ進む流れと、補償の可能性に触れたことは前進です。ただし、補償を約束した回答ではありません。判断に必要な資料や、相談後の回答までの目安も未提示です。

また、問い合わせ・申し出を通じた把握には、本人が被害に気づいていない場合や、会社に申告していない場合を捉えにくい限界があります。従来の「二次被害は確認されていない」という案内を、被害が一切ない証明と受け取ることはできません。11月13日時点の集計結果や確認基準日も、今回の回答には明記されていません。

7．再発防止の方向性と時期は示された

【回答の要旨】警察と個人情報保護委員会への報告は両毛システムズが行い、大東ガスは9月29日に経済産業局へ報告したとのことです。警察・委員会への報告日は、この回答には記載されていません。［1］

両毛システムズでは、攻撃を早期発見する監視強化への対応を開始。権限・社内システム・保管情報の管理、事故時の対応体制などは11月以降に順次対策し、外部接続の経路制限や認証、ネットワーク監視の強化は翌年1月以降の適用に向けて取り組む予定としています。アクセス記録の長期保存も進めるとのことです。［1］

大東ガス側も、契約内容の見直し、定期的な現地監査、提供情報の保存期間・削除方法の見直しに取り組むとしています。［1］

【私の評価】一般的な「再発防止に努める」より具体的で、契約と監査に踏み込んだ点は評価できます。ただし、対応開始と完了は異なります。「翌年1月以降」は2027年1月以降であり、1月までの完了を約束した表現でもありません。それぞれの完了予定、完了までの暫定措置、外部確認などによる効果の検証を、次の報告で示してほしいと思います。

電話以外の問い合わせと、会社の説明責任

8．専用フォームの設置を明言した

【回答の要旨】郵送通知に電話窓口を記載した理由は、速やかに受け付けて直接答えるため、としています。そのうえで、複数の質問や文書回答を希望する場合には、電話以外の手段も分かりやすく案内する必要があると認め、本件専用フォームの設置を明言しました。［1］

【私の評価】文書で問い合わせたいという要望に、具体的な改善方針が示されました。電話では整理しにくい質問を残せる窓口には意味があります。ただし、開設日、受付確認の方法、回答時期の目安、郵送で問い合わせたい人への案内は示されていません。11月13日に確認した公式サイトの本件第二報には、専用フォームへの案内は確認できませんでした。この記事では設置済みとは扱いません。［3］

9．今回の質問は、大東ガスが取りまとめて回答

【回答の要旨】大東ガスは顧客情報・個別通知、両毛システムズは不正アクセス・同社の情報管理に関する問い合わせを担当するとのことです。そのうえで、今回の質問は大東ガスが取りまとめ、両毛システムズへの確認が必要な事項も同社が確認して回答するとしています。［1］

【私の評価】利用者が二社に分けて質問し直さずに済んだことは評価します。ただし、この記述の対象は「今回いただいたご質問」です。すべての利用者の関連相談を大東ガスが一括して受け付ける方針まで明言したものとは読めません。利用者が窓口の役割分担を判断しなくて済む案内へ、もう一歩進めてほしいと思います。

10．定期報告と次回更新日は、まだ示されていない

【回答の要旨】顧客への影響、二次被害防止、再発防止の重要事項など、新たに知らせるべき事実が確認された場合に、内容に応じて公式サイト等で知らせるとしています。専用フォームでの問い合わせ・情報提供の受付も改めて示されました。［1］

【私の評価】今回、10月30日付質問状に対して11月13日に、記録の残るメールで回答が来たことは評価できます。

質問した「新しい事実がなくても経過を知らせること」や「次の更新予定日」への回答はありません。利用者にとっては、追加発表がないと、調査中なのか、終了したのか、対策が完了したのか分かりません。少なくとも次の報告予定日を示すことが、安心につながると考えます。

三芳町とマンションの住民に共有したいこと

この件は、私一人への通知で終わる話ではありません。ただし、三芳町民全員、マンションの全住戸の情報が対象だったと確認されたわけでもありません。自分が対象かどうかと、地域として注意喚起を共有することは分けて考えましょう。

まず、通知を保管してください。通知が届いていなくても、対象とされた時期に関係する契約があり心配な方は、大東ガスの公式窓口に対象確認の方法を尋ねることができます。住所変更や他社との契約に関する判断を、近隣の人の通知の有無だけで決めないことが大切です。

また、氏名や住所、ガス利用の情報を知っている相手だからといって信用せず、不審な連絡は手続きを進める前に、公式サイトなど自分で確認した連絡先から確かめましょう。不審な電話の日時、番号、メッセージなどを残しておくことは、会社へ相談する際にも役立ちます。

管理組合や町役場に期待するのは、技術的な調査を代わりに行うことではありません。公式案内の共有、対象確認先の周知、転居者やインターネットを使わない人に情報が届きにくい点への配慮です。掲示板や回覧に顧客番号・個人名を集める必要はありません。この要望は本記事を通じて共有します。

回答を受けて、次に確かめたい四つのこと

一つ目は、専用フォームの開設日と、文書で回答を受けられる仕組みです。すべての対象者にとって分かりやすい受付、受付確認、回答の目安まで用意されるかを見たいと思います。

二つ目は、保存情報の点検と削除、委託先監査の実施結果です。どの範囲を点検し、誰が確認し、いつ完了するのか。改善したという説明を裏付ける結果が必要です。

三つ目は、通知が届いていない人への代替の周知です。誤送付を防ぎながら、転居者や不達となった対象者へどう知らせるかを、公表してほしいと思います。

四つ目は、次回報告日です。2026年11月以降、2027年1月以降という対策予定を示した以上、途中経過と実施結果を住民が確認できる形にしてほしいと思います。

今回の回答には、評価すべき説明と改善方針がありました。同時に、保存期限や管理確認の運用に課題があったことも、会社自身の説明から分かりました。私は、回答をいただいたことに感謝しつつ、今後は、示された改善がいつ実行され、その結果がどう説明されるかを見ていきたいと思います。

参考資料・出典

［1］大東ガス株式会社 総務業務部DX推進課から筆者宛ての回答メール「１０月３０日付のご質問書への回答」（2026年11月13日受信）。本記事はその要旨と筆者の評価。原本は筆者が保管。会社の回答内容は、独立した監査によって検証したものではありません。

［2］筆者の10月30日付質問状、および前の記事「大東ガスから届いた情報流出の通知――住民が知りたいこと、会社に問いたいこと」。質問状原本には個人情報があるため公開リンクは掲載しません。

前の記事を読む

［3］大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について（第二報・お客さまへの個別通知について）」（2026年10月27日、11月13日確認）。

大東ガスの公式発表（第二報）

※本記事は2026年11月13日時点の回答と確認内容に基づきます。追加説明や訂正すべき事実が判明した場合は、該当箇所に日付を付けて更新します。