ハッカーがメルカリから窃取した個人情報、2,400万件データ販売を主張-生成AI製のサンプルデータで嘘の可能性が非常に高い

2026年10月、ダークウェブのハッカーフォーラムでフリマアプリ「メルカリ」の利用者情報約2,400万件を保有し、販売するという情報が確認されました。氏名、メールアドレス、電話番号、住所、取引履歴などを含むとするデータのサンプル13件も提示されています。

セキュリティ対策Labがサンプルの構造と記載内容を分析した結果、「メルカリから2,400万件の顧客情報が流出した」という主張は、虚偽である可能性が非常に高いと評価しています。 件数が同社の公表する月間利用者数と一致することに加え、取引履歴やアカウント状態に不自然な規則性が見られ、メルカリの実際のデータベースから取得した情報であることを示す裏付けもありません。

これは提示された主張とサンプルの信頼性に対する評価であり、全データの偽造が証明されたという意味ではありません。10月16日時点で、同社から2,400万件の情報流出を確認したとの公式発表も確認されていません。

「メルカリ2,400万件流出」情報の検証結果

• 約2,400万件という数字は、メルカリが公式に公表した「月間利用者約2,400万人」と一致する。
• サンプルは13件、30項目のCSV形式で、全件の集計期間が2026年7月17日～10月14日の90日間に統一されている。
• 13件すべてで出品数、販売件数、販売手数料、売上相当額が0となっている。
• 「ACTIVE」の9件には購入実績が設定され、「DORMANT」の4件は購入実績がすべて0と、状態と取引数が整然と対応している。
• 氏名は全件アルファベット表記で、住所はローマ字と日本語が混在する。
• サンプルには、実際のメルカリのシステムから取得されたことを証明できる情報がない。

「2,400万件」はメルカリの公式公表値を流用した可能性

最も分かりやすい疑問点は、流出したとされる件数です。

メルカリは2026年8月21日に公開した「透明性レポート」紹介記事で、月間約2,400万人がサービスを利用していると説明しています。今回、販売対象だと主張された件数も「24M」、すなわち2,400万件です。

月間利用者数は一定期間に利用した人の規模を示す数字であり、データベースに記録されている顧客情報の総数や、漏えいした人数を表すものではありません。公開済みの利用者数を、もっともらしい「流出件数」として転用した可能性が疑われます。

サンプルに見られる不自然な規則性

全員の集計期間が90日間で統一

各レコードには、データ基準日を示す snapshot_date、集計開始日を示す activity_start、終了日を示す activity_end が含まれています。13件とも基準日が2026年10月14日、集計期間が7月17日から10月14日までに統一されていました。

同一条件でデータを抽出・集計すれば、このような値になることはあります。ただし、今回示されたのは、氏名や住所などの会員属性と、一定期間の購入・販売実績を組み合わせた整形済みデータです。元の顧客データベースがそのまま取得されたことを示すものではありません。

出品者が1人もおらず、購入履歴と状態が整然と対応

13件すべてで出品数、販売済み件数、販売手数料、売上相当額が0でした。一方、アカウント状態が「ACTIVE」の9件には1～9件の購入実績が設定され、「DORMANT」の4件は購入件数・購入金額が0です。購入キャンセル数も全件で0でした。

購入専用の利用者を抽出した場合には起こり得るため、これだけで架空データとは断定できません。しかし、サンプル全体が特定のパターンに収まっており、実際の利用履歴から無作為に取り出された情報とみなすための根拠がありません。人工的に作成した例示用データでも再現できる特徴です。

氏名と住所は統一的な英字表記を中心に構成

サンプル13件の氏名はすべてアルファベットで記載され、住所はローマ字表記を主体としながら都道府県名や町名には日本語が含まれています。表記の組み合わせは、元データを別形式に変換した場合にも生じますが、元のメルカリ登録データとの対応は確認されていません。

なお、掲載された氏名・連絡先が実在する可能性は否定できません。架空の取引履歴に別の入手元の個人情報を結び付けたケースも考えられるため、実データの有無と「メルカリから流出したかどうか」は区別する必要があります。本記事ではサンプル中の個人情報を転載していません。

サンプルの存在は「メルカリからの流出」を意味しない

今回の主張には、2,400万件という総件数を証明する情報や、提示されたCSVがメルカリの実際のシステムから取得されたことを確認できる資料がありません。サンプルの整形・加工を示唆する特徴と、公開済みの利用者数との一致を総合すると、2,400万件の顧客データ流出という説明の信ぴょう性は極めて低く、虚偽の可能性が非常に高いというのが現時点の評価です。

ただし、公開サンプル13件のみで「全件が生成AI製」「個人情報はすべて架空」とまで証明することはできません。また、販売主張が信頼できないことは、メルカリのシステムに一切の問題がないことの証明でもありません。

利用者は、未確認の「大量流出」情報を確定した被害情報として拡散せず、メルカリの公式発表に基づいて判断してください。アカウントに関する不審な連絡を受けた場合は、メール内のリンクではなく公式アプリや公式サイトから確認することを推奨します。

出典

• セキュリティ対策Labが2026年10月16日までに確認した販売主張と提示サンプル13件（個人情報保護のため原本は非掲載）
• 安心・安全の取り組みに関する「透明性レポート」2026年上半期版を公開 ― メルカリ
• メルカリ公式のお知らせ一覧