九州電力送配電、最大1,090万口分の顧客の個人情報入り外部記憶媒体を紛失-需要者名・住所・使用電力量データなど保存

九州電力送配電株式会社は2026年6月8日、一部システムのデータをバックアップするために使用していた外部記憶媒体が、保管場所から所在不明になったと公表しました。

外部記憶媒体には、需要者名、供給場所住所、使用電力量データ、電話番号、小売電気事業者名などのお客さま情報が保存されており、社外に漏えいしたおそれがあります。保存されていたお客さま情報は最大1,090万口分です。銀行口座やクレジットカード情報は含まれていないとされています。

同社は、現時点でお客さま情報が流出した事実は確認されていないと説明しています。一方、経済産業省は同日、九州電力送配電に対し、電気事業法に基づき、本事案の事実関係、経緯、発生原因、実効的な再発防止策を報告するよう求めました。

この記事のサマリー

• 九州電力送配電で、お客さま情報を保存した外部記憶媒体が所在不明になりました。
• 保存されていた情報は、最大1,090万口分です。
• 含まれる情報は、需要者名、供給場所住所、使用電力量データ、電話番号、小売電気事業者名などです。
• 銀行口座やクレジットカード情報は含まれていません。
• 現時点で、お客さま情報の流出の事実は確認されていません。
• 外部記憶媒体はサーバ室内のキャビネットで保管されていましたが、キャビネットは施錠されていませんでした。
• 4月27日に保管を確認し、5月26日のバックアップ準備時に所在不明が判明しました。
• 九州電力送配電は、個人情報保護委員会および監督官庁へ報告済みです。
• 経済産業省は、電気事業法に基づく報告徴収を実施しました。
• 同社は所在確認を継続し、対象のお客さまに個別に知らせるとしています。

何が起きたか

九州電力送配電の一部システムでは、サーバのデータ容量を確保するため、定期的にバックアップを実施していました。対象システムでは、バックアップシステムの容量が逼迫したため、一時的に外部記憶媒体を使ったバックアップを行っていたと説明されています。

外部記憶媒体は、同社サーバ室内のキャビネットに保管されていました。サーバ室自体は多重のセキュリティ対策がなされ、入退室も特定の関係者に限定されていたとされています。一方で、外部記憶媒体を保管していたキャビネットは施錠されていませんでした。

2026年5月26日、定期バックアップ作業の準備をしようとしたところ、保管場所に外部記憶媒体がないことが判明しました。その後、4月27日から5月26日までにサーバ室へ入退室した関係者へのヒアリングや現地調査を実施したものの、発見には至っていません。

経緯

九州電力送配電は、無断持ち出しの可能性も含めて調査しているものの、現時点では発見に至っていないと説明しています。

所在不明の外部記憶媒体に保存されていた情報

外部記憶媒体に保存されていたお客さま情報は、最大1,090万口分です。九州電力送配電が公表している保存情報は以下です。

銀行口座やクレジットカード情報は含まれていません。

一方で、需要者名、供給場所住所、電話番号、小売電気事業者名、使用電力量データが組み合わさると、電力契約者や供給地点、契約先、生活実態の一部を推測される可能性があります。金銭情報が含まれていないとしても、個人情報としての影響は大きい事案です。

九州電力送配電の対応

九州電力送配電は、個人情報保護委員会および監督官庁へ報告済みです。今後、外部記憶媒体の所在確認を継続するとともに、対象のお客さまに個別に知らせるとしています。

また、外部記憶媒体の管理について、再発防止策を検討・実施すると説明しています。

同日には、経済産業省から本件に関する報告徴収を受領したことも公表しました。報告徴収では、事案の事実関係、経緯、発生原因、実効的な再発防止策の報告が求められています。

利用者が注意すべきこと

九州電力送配電は、対象のお客さまへ個別にお知らせを行うとしています。対象者は、今後届く案内を確認し、不審な電話、SMS、メール、訪問に注意する必要があります。

特に、以下のような連絡には注意してください。

今回の所在不明媒体には銀行口座やクレジットカード情報は含まれていないとされています。そのため、これらの情報を確認すると称する連絡があった場合は、不審な連絡として扱うべきです。

企業・自治体が確認すべきバックアップ媒体管理

今回の事案は、外部記憶媒体を使ったバックアップ運用のリスクを示しています。

バックアップは重要な業務ですが、サーバ室内で実施していたとしても、外部記憶媒体を使用する場合は、保管、暗号化、持ち出し管理、棚卸し、アクセス権限、廃棄まで含めた統制が必要です。

特に、今回のようにバックアップシステムの容量逼迫を理由に一時的な外部記憶媒体運用へ切り替える場合、通常運用よりも管理が甘くなりやすいため、例外運用の承認と終了条件を明確にする必要があります。

情報システム部門が確認すべきポイント

バックアップの例外運用を棚卸しする

外部記憶媒体によるバックアップは、障害時や容量逼迫時の一時対応として使われることがあります。しかし、一時対応が長期化すると、媒体の保管や棚卸しが通常管理から漏れる可能性があります。

確認すべき項目は以下です。

施錠された部屋と施錠された媒体保管は別に考える

サーバ室の入退室が厳重に管理されていても、媒体を保管するキャビネットが施錠されていなければ、媒体単位の管理としては不十分です。

物理セキュリティでは、入退室管理、ラック施錠、媒体保管庫施錠、監視カメラ、棚卸しを重層的に組み合わせる必要があります。

使用電力量データの機微性を評価する

今回保存されていた情報には、使用電力量データが含まれます。使用電力量は、単なる契約情報ではなく、時間粒度や期間によっては生活パターンや事業活動の傾向を推測できる可能性があります。

電力、ガス、水道、通信、物流などのインフラ事業者は、利用量データを個人情報・行動情報として慎重に扱う必要があります。

問い合わせ窓口

九州電力送配電は、本件に関するお客さま問い合わせ窓口として、九州電力送配電コールセンターを案内しています。

参考情報・出典

• 九州電力送配電：お客さま情報を保存した外部記憶媒体の所在不明について
• 九州電力送配電：経済産業省からの報告徴収の受領について
• 経済産業省：九州電力送配電株式会社に対して電気事業法に基づく報告を求めました

関連記事

九州電力送配電、システム設計ミスによる顧客の情報漏洩を発表 エン株式会社「ミドルの転職」にリスト型攻撃-2,503件の不正ログイン、キャリアデザインセンター「女の転職type」と被害開始日が完全一致、転職サービスへのサイバー攻撃が集中 GitHubがGHES 3.20.3をリリース-事前認証SSRFが可能な脆弱性を修正-CVE-2026-9312 ネックストラップ ECサイト「ホットストラップ」で不正アクセス、クレジットカード含む個人情報が最大1,506件流出の可能性 北九州市立大学がサポート詐欺の被害、個人情報漏洩の恐れ EUサイバーレジリエンス法(CRA)とは-対象製品・罰則や日本企業への影響 個人情報保護法 2026年改正案が衆議院通過-AI 学習 データ利用の場合要配慮個人情報の同意不要 7-Zipにヒープバッファオーバーフローが可能な危険な脆弱性-CVE-2026-48095 偽発注書メールのRAR 添付でフィルレスマルウェア「PureLogs」を配布するサイバー攻撃 キャンペーン

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)