株式会社中央ビジネスサービスへの個人情報保護法に基づく行政上の対応（特殊詐欺グループへの名簿提供に関する第19条違反）
公表日
名簿販売の株式会社中央ビジネスサービスについて、個人情報保護委員会が2025年9月10日に個人情報保護法に基づく行政上の対応を発表した。影響を受けた人数はまだ発表されていない。
何が起きたのか
個人情報保護委員会は、警察から「特殊詐欺グループの被疑者が、同社名義の銀行口座へ振込入金していた事実が確認された」との情報提供を受けました。委員会は2025年8月21日に同社への立入検査を実施しました。2025年9月10日には、同社に対する行政上の対応が発表されました。報道では、個人情報の取扱いについて個人情報保護法第19条の規定違反が認められたと伝えられています。その後、2025年12月10日の四半期の概要と、2026年7月7日の令和7年度年次報告でも、この事案が勧告・命令事案として紹介されました。
なぜ起きたのか・なぜ広がったのか
なぜ起きたのか、どこまで広がったのかについては、渡された情報の範囲では詳しく発表されていません。提供された個人情報の件数や種類も、まだ発表されていません。
いまの状況2026-07-07 時点続報待ち
2026年7月7日の年次報告で、同社の事案が勧告・命令事案として紹介されています。同社の是正措置、影響を受けた人の数、本人への通知については、まだ発表されていません。
企業として考えたいこと
あなたの会社が持つ個人情報を外部に渡すとき、渡す相手の確認と、渡した記録をあとから示せる状態になっていますか。
技術的な要約
個人情報保護委員会は2025年9月10日、名簿販売の事業を営む株式会社中央ビジネスサービスに対する個人情報保護法に基づく行政上の対応を発表した。警察から、特殊詐欺グループの被疑者が同社名義の銀行口座へ振込入金していた事実が確認されたとの情報提供を受け、委員会は2025年8月21日に同法第146条第1項に基づく立入検査を実施した。検査の結果、個人情報の取扱いについて同法第19条の規定違反が認められたと報じられた。2025年12月10日には令和7年度第2四半期の監視・監督権限行使状況の概要が、2026年7月7日には令和7年度年次報告が公表され、同社の事案は勧告・命令事案として紹介されている。提供された個人情報の件数や種類は、渡された情報からは読み取れない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明外部からの侵入事案としては扱われていない。警察からの情報提供で、特殊詐欺グループの被疑者が同社名義の口座へ振込入金していた事実が確認された。侵入経路に関する公表はない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- 調査中上限 —確定 —提供された個人情報の件数・種類は渡された情報からは不明
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2024-09-26関連記事として、NTTマーケティングアクトProCXの元派遣社員による不正持ち出しで、中央ビジネスサービスとネクストステージへの売却が判明したとする記事が掲載された。1
- 2025-08-21個人情報保護委員会が個人情報保護法第146条第1項に基づく立入検査を実施した。1
- 2025-09-10
- 2025-09-10警察からの情報提供で、特殊詐欺グループの被疑者が同社名義の銀行口座へ振込入金していた事実が確認されたとされる。1
- 2025-09-10立入検査の結果、個人情報保護法第19条の規定違反が認められたと報じられた。1
- 2025-09-24ScanNetSecurityが「特殊詐欺グループに個人情報を提供 ～ 中央ビジネスサービスに行政指導」を掲載した。1
- 2025-12-10個人情報保護委員会が令和7年度第2四半期における監視・監督権限の行使状況の概要を発表した。2
- 2026-07-07個人情報保護委員会が令和7年度年次報告を公表し、勧告・命令事案として同社の事案を紹介した。3
技術解説
公表された経緯と手続き 事実
個人情報保護委員会は2025年9月10日、名簿販売の事業を営む株式会社中央ビジネスサービスに対する個人情報保護法に基づく行政上の対応を発表した。委員会は警察から、特殊詐欺グループの被疑者が同社名義の銀行口座へ振込入金していた事実が確認されたとの情報提供を受けている。委員会は2025年8月21日に同法第146条第1項の規定による立入検査を実施した。報道によれば、検査の結果、個人情報の取扱いについて同法第19条の規定違反が認められたとされる。その後、2025年12月10日に令和7年度第2四半期の監視・監督権限の行使状況の概要が、2026年7月7日に令和7年度年次報告が公表された。年次報告では、勧告・命令事案として同社の事案が紹介されている。
委員会の権限と令和7年度の監督実績 事実
個人情報保護委員会は、漏えい等事案に関する報告の受理等による監視を行っている。報告徴収・立入検査等で収集した情報に基づき確認、調査及び分析を進めた上で、個人情報保護法及びマイナンバー法に基づき指導、勧告等を行う権限を有している。令和7年度の監督実績として、勧告2件、命令1件、漏えい等事案に関する報告の処理17,139件、報告徴収19件、指導及び助言455件が示されている。年次報告は、名簿業者である有限会社ビジネスプランニングと株式会社中央ビジネスサービスの事案を、勧告・命令事案として紹介している。なお、関連記事として2024年9月26日付の記事（NTTマーケティングアクトProCXの元派遣社員による不正持ち出しと、同社などへの売却判明）が挙げられている。ただし、本事案との関係は渡された情報からは分からない。
事案の構造の読み取り（解釈） 解釈
本件は外部からの侵入による漏えいではなく、名簿の提供という個人情報の取扱いそのものが規制当局の対象となった事案として読める。そのため、侵入経路、脆弱性、攻撃者といった一般的なインシデントの観点は当てはまりにくい。焦点は、名簿を扱う事業者が個人情報を誰に、どのような確認を経て提供するかにあると考えられる。警察から口座への入金事実の情報提供があったことが、調査の手がかりの一つになった可能性がある。ただし、提供された情報の件数や種類、提供の経緯、第19条違反の具体的な内容は渡された情報からは分からない。これ以上の評価は控える。関連記事にある別事案との関係も、確認できる範囲では示されていない。
公表の評価（解釈） 解釈
規制当局が事案を公表し、その後の四半期概要と年次報告でも継続的に紹介している点は、後から経緯を追える形になっていると評価できる。立入検査の日付、根拠条文、違反とされた条項が示されているため、手続きの流れは把握しやすい。一方、渡された情報の範囲では、提供された情報の件数や種類、本人への通知の有無、被害の有無、再発防止策は読み取れない。同社自身の説明も、今回の情報の中には含まれていない。そのため、同社の対応全体を評価することはできない。続報や当局の原文で確認できる事項を整理した上で、判断を補う必要がある。
対応
- 封じ込め
- —
- 公表の仕方
- 個人情報保護委員会が2025年9月10日に報道発表を行った。
- 当局対応
- 個人情報保護委員会
- 警察
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 個人データの提供先が不正に使う可能性を、提供前に確認する必要がある。 | 提供先の本人確認と利用目的の確認手順を文書化し、審査記録を保存する。審査を通っていない提供先へのデータ出力は、システム側の承認フローで止める。 |
| 資金の流れ（入金元）が不審な取引の手がかりになる。 | 入金元と顧客の突合を定期的に行い、第三者名義や不自然な振込を検知するルールを経理システムに設定する。該当時は提供を保留し、確認する運用とする。 |
| 名簿を扱う事業は、出所と提供の経緯を追えなければ法的リスクが大きくなる。 | 個人データごとに取得元・取得日・提供先・提供日を記録する台帳を整備し、提供ログを改ざんできない形で保管する。 |
| 規制当局の調査に備え、記録と説明の準備を平時から整えておく。 | 立入検査や報告徴収を想定し、データ提供の台帳・契約書・審査記録を速やかに提出できる状態にする。検査対応の担当者と手順を決めておく。 |
| 外部から指摘を受ける前に、自社の取扱いが法令に適合しているかを点検する。 | 個人情報保護法の各条項に照らした自己点検を年次で実施し、結果を経営層に報告する。外部の専門家による評価も併用する。 |
自組織などでの確認項目
- 自組織が個人データを第三者に提供する場面を洗い出し、提供先の確認と記録がどこまで残っているか確認できますか。
- 取引先の入金元や名義に不自然な点があった場合、誰がどの時点で気づき、提供や取引を止められる体制になっていますか。
- 規制当局から立入検査や報告徴収を受けたとき、自組織は何日以内にどの資料を提出できますか。
未解明点
- 提供された個人情報の件数と種類は、渡された情報には含まれていない。
- 第19条違反とされた具体的な行為の内容と、勧告・命令の詳細な内容は、渡された情報では確認できない。
- 同社が講じた是正措置や再発防止策、および本人への通知の有無は、渡された情報には含まれていない。
- 2024年9月の関連記事で挙げられている別事案と本事案の関係は、渡された情報では確認できない。
出典
- 1ScanNetSecurity2025-09-24報道本文確認済
- 2ScanNetSecurity2025-12-24報道本文確認済
- 3ScanNetSecurity2026-07-15報道本文確認済
- 4個人情報保護委員会2025-09-10当局本文確認済