九州「ほぼ全域」1090万件の顧客情報が消えた日──暗号化なきSSD紛失が突きつける、私たちのデータ管理の現実
リード ── 「サーバ室にあるはずの記憶媒体が、ない」
2026年6月8日、九州の暮らしを支えるインフラ企業から、にわかには信じがたい発表があった。九州電力の100%子会社で、送配電事業を担う九州電力送配電（福岡市）が、最大で延べ約1090万件分の顧客情報を保存した外部記憶媒体「SSD」を紛失したと公表したのである。
1090万件という数字は、九州本土で電気を使うほぼすべての契約者に相当する。つまり、福岡・佐賀・長崎・熊本・大分・宮崎・鹿児島に暮らす人々の多くが、当事者になりうる事案だ。しかもこのSSDには暗号化もパスワードもかかっておらず、保管していたキャビネットには鍵すらかかっていなかった。同社は窃盗の疑いもあるとして福岡県警に被害届を提出。「所在不明」という控えめな表現の裏に、日本でも有数の規模の情報セキュリティ事故が横たわっている。
本稿では、何が起きたのか、なぜ防げなかったのか、私たち利用者にどんな影響があり、何ができるのかを整理する。
背景 ── 手のひらサイズのSSDに「九州まるごと」が入っていた
紛失したのは、システムのバックアップに使っていた手のひらサイズの外付けSSD1個だ。なぜ重要なデータが外付けの小さな媒体に入っていたのか。同社の説明によれば、対象システムでは普段、本来のサーバ内で定期的にバックアップを取っていた。ところがバックアップ用システムの容量が逼迫したため、一時的な代替として外付けSSDを使っていたという。いわば「応急処置」の媒体に、九州全体の契約情報が集約されていたことになる。
SSDに保存されていた情報は、毎日新聞の報道によれば大きく2種類に分かれる。1つは2016年7月から2024年1月までの、九州全域（大半の離島を除く）の電気供給契約 約944万件分で、契約者の氏名・住所・使用電力量などのデータ。もう1つは2025年10月から2026年4月までに引っ越し手続きをした 約146万件分で、氏名・住所・電話番号・乗り換え前の小売電気事業者名などである。合計すると延べ約1090万件にのぼる。
一方で、銀行口座番号やクレジットカード情報は含まれていない。同社は「現時点で顧客情報が外部に流出した事実は確認されていない」としている。ただし「確認されていない」ことは「漏れていない」ことを意味しない。媒体の所在自体が分からない以上、安全だと断言できる状態にはないのが実情だ。
詳細① ── 5月26日に発覚、二度のバックアップの「すき間」で消えた
時系列を追うと、不可解さが浮かび上がる。直近のバックアップ作業は4月27日に実施され、その時点ではSSDの保管が確認されていた。ところが、次のバックアップを行おうとした5月26日、業務委託先の職員が所定の保管場所であるサーバ室のキャビネットを開けたところ、SSDが見当たらなかった。この約1か月の「すき間」のどこかで、媒体は消えたことになる。
九州電力送配電によれば、サーバ室への入退室は厳重に管理され、立ち入れるのは一部の関係者のみだったという。しかし、肝心のSSDをしまっていたキャビネット自体には施錠がされていなかった。物理的なセキュリティの最後の一線が抜け落ちていた格好だ。
公表までに約2週間を要した点も論点になる。同社は社内調査を続けつつ、対象顧客への個別の通知準備や、個人情報保護委員会・経済産業省への報告を進めてきたとしている。経産省は事実関係の報告などを求めており、九電送配電の稲月勝巳副社長は福岡市内で記者会見し、「大切な顧客の情報を保存する記憶媒体を所在不明とし、経営として大変重く受け止めている」と陳謝した。
詳細② ── なぜ防げなかったのか。抜け落ちた「いくつもの当たり前」
専門家やセキュリティ実務者の間では、この事案は「複数の基本対策が同時に欠けた結果」と受け止められている。本来であれば、被害の発生や拡大を食い止められたはずの「関門」がいくつも存在した。
第一に、保存時の暗号化だ。媒体が物理的に持ち出されても、データが暗号化されていれば中身は読めない。今回はそれがなかった。第二に、データの最小化。九州全域・約8年分という巨大なデータを、なぜ一つの可搬媒体に丸ごと載せる必要があったのか。第三に、物理的な施錠。サーバ室の入退室管理は厳格でも、媒体を収めたキャビネットが無施錠では意味が薄れる。第四に、媒体の在庫追跡だ。SSDが「いつ・誰が・どこへ」動いたかを常時把握できていれば、1か月も気づかないという事態は避けられた可能性が高い。そして第五に、委託先を含めた権限の最小化である。
裏を返せば、これらは特別な先端技術ではなく、情報を扱う組織にとっての「当たり前」の積み重ねだ。インフラを担う大企業ですら、その当たり前が運用の現場で崩れうることを、今回の事案は示している。
注目すべきは、問題の発端が「バックアップ用システムの容量逼迫」という、どの組織にも起こりうる地味なトラブルだった点だ。日々の運用では、容量が足りなくなれば手近な外付け媒体で急場をしのぐ、という判断はしばしば現場の裁量でなされる。しかしその「一時的な代替」が常態化し、誰も全体像を管理しないまま巨大なデータが可搬媒体に固定化されてしまうと、たった一つの紛失が全顧客規模の事故に直結する。技術というより、運用とガバナンスの問題である。委託先の職員が紛失に気づいたという事実も、自社内での日常的なチェック体制が十分に働いていなかった可能性をうかがわせる。
影響・今後 ── 「自分ごと」としての備えと、問われる事業者の責任
利用者にとって最大の懸念は、流出した可能性のある情報が悪用されるリスクだ。口座やカード情報は含まれていないものの、氏名・住所・電話番号がそろえば、九州電力をかたる不審な電話やメール、訪問など、いわゆる「なりすまし」の材料になりうる。当面、利用者ができる自衛策としては、九電や公的機関を名乗る連絡に安易に応じない、心当たりのないSMSやメールのリンクを開かない、料金やポイントを口実に個人情報や送金を求める手口に警戒する、といった基本動作の徹底が現実的だ。
また、情報が悪用されなかったとしても、利用者の側で「自分の情報が今どこにあるか分からない」という不安が残ること自体が、インフラ事業者への信頼を損なう。電気は生活に不可欠で、契約を止めるという選択肢が事実上ない以上、利用者は不安を抱えたまま関係を続けざるをえない。この「逃げられなさ」が、独占的インフラの情報事故が持つ特有の重みである。
社会的に見れば、この事案は日本のデータ管理の縮図でもある。個人情報保護委員会の年次報告によれば、報告が義務づけられた漏えい等事案は令和6年度（2024年度）に19,056件と過去最多を更新し、前年から約57%増えた。ただし、その大半は1件あたり1000人以下の小規模なもので、5万人を超える大規模事案は全体の0.8%にすぎない。1090万件という規模は、その中でも突出している。民間調査でも、上場企業とその子会社が公表した個人情報の漏えい・紛失は2012年からの累計で延べ2億人分を超えるとされ、もはや「どこかで起きる例外」ではなく「いつ自分が当事者になってもおかしくない日常的リスク」になっている。
電力の送配電事業は、地域に一社しか存在しない「地域独占」の性格を持つ。利用者は事業者を選べず、契約に伴って情報を預けざるをえない。だからこそ、預かる側には一段高い説明責任とガバナンスが求められる。今後は、原因の特定と公表、第三者を交えた検証、暗号化やデータ最小化といった再発防止策の具体化、そして監督官庁による行政対応の行方が焦点となる。
まとめ
九州電力送配電による1090万件のSSD紛失は、「現時点で流出は確認されていない」という言葉だけでは安心できない、構造的な問題をはらんでいる。暗号化なし、無施錠、巨大データの可搬媒体への集約──そのどれか一つでも止められていれば、被害の可能性は大きく下がっていた。
これは九州だけの、あるいは電力会社だけの話ではない。私たちは日々、見えないところで自分の情報を多くの組織に預けている。今回の一件は、その「預け先」がどれだけ真剣にデータを守っているのかを問い直すとともに、利用者一人ひとりが不審な連絡への警戒という最低限の備えを持つことの大切さを、改めて突きつけている。
参考ソース
- 九州電力送配電「お客さま情報を保存した外部記憶媒体の所在不明について」プレスリリース（2026年6月8日）
- 日本経済新聞「九州電力送配電、顧客情報1090万件が漏洩のおそれ」（2026年6月8日）
- ITmedia NEWS「『サーバ室にあるはずの記憶媒体が行方不明』 九電子会社 最大1090万口分の顧客情報保存」（2026年6月8日）
- 毎日新聞「九電送配電で個人情報1090万件入りSSD不明 管理に課題か」（2026年6月8日）
- 読売新聞「九州電力子会社が顧客情報1090万件紛失…経済産業省が事実報告など求める」（2026年6月9日）
- 西日本新聞「九州電力送配電が1090万件の顧客情報紛失 記憶媒体盗まれる？」（2026年6月8日）
- INTERNET Watch「九州電力送配電、最大1090万件の個人情報漏えいのおそれ、バックアップ媒体が所在不明に」（2026年6月8日）
- 個人情報保護委員会「令和6年度 個人情報保護委員会 年次報告」（2025年6月10日公表）