スマホの情報流出対策｜まずやる無料の基本と、ウイルス対策アプリが要る人

個人情報の流出は、いま何が起きているのか

夜のニュースで、自分が使っているサービスの情報漏えいを知る。そんな夜に、まず確かめたいのは数字です。

公表されている数字は、機関ごとに、数えている範囲と単位が違います。違いが分かるように並べました。

東京商工リサーチの集計は、「漏えいの可能性がある」と公表された事例も数えています。

2026年は、100万件以上の流出が10月5日の時点で、2025年の1年分を上回っています。上場企業の事故は件数が前年より減りましたが、漏えいした個人情報は大きく増えました。

会社が公表した事故のうち、原因で最も多いのは、ウイルス感染や不正アクセスです。180件のうち116件(64.4%)を占めます。

フィッシングの報告は、2026年9月に94,661件でした。報告のうち、Amazonをかたるものが約33.2%、Appleをかたるものが約11.1%で、上位5ブランドで約65.3%を占めます。

SMSから誘導するスミッシングの報告は減っていますが、宅配業者をかたる文面の報告は続いています。協議会は、同じ月に情報漏えいの公表が相次いだことを挙げ、漏れた情報が不正ログインやフィッシング、詐欺への誘導に使われる可能性があると注意しています。

IPAの「情報セキュリティ10大脅威 2026」個人編は、10項目を順位をつけず、五十音順に挙げています。このうち、スマホの情報流出と深く関わるのは、次の4項目です。

• インターネット上のサービスからの個人情報の窃取
• インターネット上のサービスへの不正ログイン
• フィッシングによる個人情報等の詐取
• 不正アプリによるスマートフォン利用者への被害

会社の側で起きる漏えいを、利用者が完全に防ぐことはできません。利用者にできるのは、漏れる情報を減らすこと、漏れたあとに被害を広げないこと、手口に引っかからないことです。

無料でできる基本は、何から始めればよいのか

宅配業者を名乗るSMSに、リンクが付いて届く。そんな日に迷わないよう、公的機関が勧める基本を先に決めておきます。基本の多くは、設定と習慣で済み、お金がかかりません。

総務省の「サイバーセキュリティ初心者のための三原則」は、次の3つです。

• その1 ソフトウェアを最新に保とう。OSとアプリの更新を確認し、出ていればすぐに入れます。機種ごとの更新の提供年数は、Androidのアップデート保証の年数一覧と長く使えるスマホの一覧にまとめています。
• その2 強固なパスワードの設定と多要素認証を活用しよう。同じパスワードを、複数のサービスで使いまわしません。
• その3 不用意に開かない・インストールしない。メールやSMSのリンクと添付ファイルを、不用意に開きません。公式サイトや公式ストア以外から入れた、提供元が分からないアプリによるマルウェアの被害も報告されています。

IPAは、さらに広く「情報セキュリティ対策の基本」を6項目で示しています。ソフトウェアの更新、セキュリティソフトの利用、パスワードの管理・認証の強化、設定の見直し、バックアップの取得、脅威・手口を知ること、の6つです。

三原則とIPA、警察庁の資料を、スマホの毎日に直すと、次の6つです。

• パスワードを使い回さない。IPAは、長く複雑にして使い回さないよう勧めています。パスキーが使えるなら極力使い、パスワードマネージャーの利用も検討します。
• よく使うサービスは、ブックマークから開く。検索結果や、メール・SMSのリンクからは開きません。警察庁も、公式サイトのブックマークか公式アプリから開くよう案内しています。
• 身に覚えのないメールとSMSは、無視して削除する。IPAは、真偽を見分けようとしないよう勧めています。リンクの真偽を見た目で判断するのは非常に難しい、と警察庁は説明しています。
• 迷惑メッセージのブロックを使う。携帯電話会社などが出している、迷惑メールや迷惑SMSのブロックサービスがあります。警察庁は、フィッシングメールや不審なSMSが届きにくい設定を勧めています。
• 使っているサービスの多要素認証を有効にする。設定できるサービスから順に、オンにします。
• 使っていないサービスは退会し、任意の項目は入れない。預ける情報が少ないほど、漏れる情報も減ります(IPA)。

偽サイトに入力してしまったら、どうすればよいのか

SMSのリンクを開き、ログイン画面にIDとパスワードを入れた。送信したあとで「偽サイトだったかもしれない」と気づく。そんな時は、警察庁が示す手順を上から進めます。

1. 同じIDとパスワードを使う全サービスで変更する1つが盗まれると、銀行やSNS、通販など全てのサービスが乗っ取られるおそれがあるため、速やかに変えます。
2. 最寄りの警察署か、通報の窓口に相談する警察庁は、最寄りの警察署か、サイバー事案の通報等のオンライン受付窓口に、通報・相談するよう案内しています。
3. お金の被害があるなら、金融機関やカード会社にも連絡する不正送金は金融機関、カードの不正利用はカード会社が、補償制度や相談窓口を設けているところがあります。被害に遭ったサービスの会社に相談します。

金融機関が、IDやパスワードをメールやSMSで問い合わせることはありません。そうした文面は、偽の連絡です。

警察庁は、「個人情報の漏えい」「不正アクセス検知」「取引の停止」で急がせる文面が、フィッシングで多いと書いています。ニュースで漏えいを知った夜ほど、連絡の中のリンクではなく、ブックマークか公式アプリから確かめます。

2段階認証だけで足りるのか

IDとパスワードを入れると、スマホに確認コード(ワンタイムパスワード)が届き、その入力を求められる。二要素認証(2段階認証)を設定してあるから大丈夫。そう考えたくなる場面です。

IPAは、リアルタイム型フィッシングで二要素認証を突破する手口が、近年横行していると指摘しています。流れは、IPAの説明では次の3段階です。

1. 偽サイトにIDとパスワードを入れるメールやSMSのリンクから開いた、本物そっくりの画面です。
2. 攻撃者がその場でログインを始める同じIDとパスワードを使って、本物のサービスにログインします。すると、あなたのスマホにワンタイムパスワードが届きます。
3. 届いたワンタイムパスワードを、偽サイトに入れる偽サイトに入れる、または電話で伝えると、二要素認証を設定していても、攻撃者がログインできてしまいます。

それでも、多要素認証は有効にしておきます。総務省は、パスワード以外の認証を足すことで、不正アクセスを防ぐ効果があると説明しています。

IPAは、パスキーが使えるなら極力使うよう勧めています。パスワードを使わず、指紋や顔の認証、スマホに登録したPINコードなどでログインする方法です。フィッシング対策協議会は、パスキーを「フィッシング耐性のある多要素認証」の例に挙げています。

確認コードを求められたら、その画面を自分で開いたのか、リンクから開いたのかを思い出します。リンクから開いたなら、いったん閉じて、アプリかブックマークから入り直します。

パスワードマネージャーも役に立ちます。協議会は、自分で登録した正規サイトにだけIDとパスワードを自動で入れるので、偽サイトには反応しないと説明しています。

iPhoneとAndroidに、ウイルス対策アプリは要るのか

親に「このアプリを入れて大丈夫か」と聞かれる。iPhoneとAndroidでは守りの仕組みが違い、当サイトは対策アプリを一律に必要・不要とは書きません。次の3つの場面に当てはまるかで考えます。

iPhoneの場合は、AppleがApp Storeのすべてのアプリとアップデートを審査しています。既知のマルウェアの自動スキャンと、人による審査です。他社製のアプリはサンドボックス化され、ほかのアプリが保存した情報を集めたり変えたりすることを防いでいます。

一方でAppleは、「App Storeのセキュリティ対策だけで万全を期すことはできません」と書いています。これは、プラットフォームを守る徹底した防衛戦略の一環という位置づけです。さらに、「ユーザがだまされて行う可能性のある行為に対する保護を提供することはできません」とも明記しています。

Androidの場合は、Google Play プロテクトが初期設定でオンです。Google Playからのダウンロード前にアプリの安全チェックをし、ほかの提供元から入れたアプリも調べます。有害なものは、無効にしたり削除したりする場合があります。

Google Play プロテクトはオフにもできますが、Googleは常にオンにしておくことを勧めています。

公式ストアでも、万全ではありません。IPAは、公式マーケットに不正アプリが紛れ込むことがあり、アプリの更新時に不正アプリに変わることもあると書いています。

2025年12月には、「スマートフォンにおいて利用される特定ソフトウェアに係る競争の促進に関する法律」が施行されました。IPAは、アプリを多様な経路で提供できるようになったと説明しています。公式マーケット(AndroidはGoogle Play、iPhoneはApp Store)以外から入手するアプリは、慎重に確認する必要があるとも書いています。

IPAは、対策の基本6項目に「セキュリティソフトの利用」も入れています。目的は「攻撃を検知してブロックする」ことです。

3つの場面は、次のとおりです。

• 家族の端末とパソコンも、まとめて守りたい。親のスマホ、自分のスマホ、家のパソコンを、1つの契約でまとめて守れるタイプがあります。親のスマホを選び直す時は、シニア向けスマホの選び方を読んでください。
• 公式ストア以外から、アプリを入れる。審査やPlay プロテクトの外から入れるアプリは、提供元を自分で確かめる必要が増えます。入れる前の確認が基本で、対策アプリを足すかどうかは、そのうえで考えます。
• 自分の情報が漏れたかを知りたい。流出した情報が見つかった時に通知する機能が、有料のプランに付くことがあります。

どれにも当てはまらないなら、無料の基本を先に進めます。対策アプリを足すかどうかは、そのあとでも決められます。

ウイルス対策アプリでも防げないことは何か

対策アプリを入れても、防げないことがあります。先に書いておきます。

• 会社やサービスの側で起きる漏えい。東京商工リサーチが数えた180件は、会社が公表した事故です。自分のスマホにアプリを入れても、会社の側で起きる漏えいは止められません。
• だまされて、自分で行う操作。偽サイトにIDとパスワードを入れる、届いた確認コードを偽サイトに伝える、といった操作です。Appleも、ユーザがだまされて行う可能性のある行為は保護できないと書いています。
• パスワードの使い回し。1つのサービスから漏れると、同じパスワードを使う全てのサービスが狙われます(警察庁)。パスワードの使い方は、アプリを入れても変わりません。
• VPNでは防げないこと。対策アプリのプランに付くVPNは、通信の経路を守る機能です。偽サイトへの入力、不正アプリ、サービス側からの漏えいは防げません。

だから、無料の基本が先です。対策アプリは、その上に足す守りで、基本の代わりではありません。

VPN が役に立つ場面と要らない場面は、スマホにVPNは必要かの記事で、総務省の公衆Wi-Fiのマニュアルに沿って整理しています。

自分の情報が漏れたかは、どうやって知るのか

流出のニュースを見たら、まず無料でできる確認から始めます。IPAは、被害に遭っていないかを確認することが大事だとして、次の3つを挙げています。

• ログインすると通知される、ログインアラート機能を使う
• 使っているサービスの、ログイン履歴を見る
• クレジットカードの利用明細を、定期的に見る

サービスから案内が出た時は、案内に従って、登録メールアドレスやログインID、パスワードを変えます(フィッシング対策協議会)。

盗まれた個人情報は、複数の犯罪者の間で共有・売買されると、IPAは説明しています。盗まれた自分のメールアドレスに、フィッシングなどの詐欺メールが送られることもあります。

ダークウェブ モニタリングは、盗まれた個人情報が売り買いされるとされる場所(ダークウェブ)に、自分のメールアドレスなどが出ていないかを調べる機能です。

流出を防ぐ機能ではなく、見つかった時に通知する機能です。通知が届いたら、そのサービスのパスワードを変え、同じパスワードを使っているサービスも変えます。

有料の対策アプリでは、上位のプランに付く機能として提供されていることがあります。提供元の注記には、一部の国では使えないことや、監視できる情報が国と製品で違うことが書かれています。

ノートン 360は、どのプランを選べばよいのか

守りたい端末が、親のスマホ、自分のスマホ、家のパソコンと3台ある。流出の通知も受け取りたい。そんな場面で、編集部はノートン 360のデラックスを選びます。

ノートン 360は、ウイルス対策とVPNを備えたセキュリティ製品です。この2つは、どのプランにも付きます。違いは、使える台数、クラウドバックアップの容量、保護者機能、ダークウェブ モニタリングです。

価格は2026年10月24日時点の公式の税込価格です。3年版は最初の3年間、1年版は最初の1年間の額で、期間が違うので、金額の大小だけでは比べられません。バックアップは、Windows向けのクラウドバックアップです。

第三者機関の試験では、独立系の検査機関 AV-TEST の2026年7月の Android 向けテスト(Android 15)で、ノートン 360 は防御・パフォーマンス・使いやすさの3項目とも6.0点(6点満点)でした。同じテストで満点の製品はほかにも多く、順位を付ける試験ではありません。結果は AV-TEST の公式ページ で見られます。

選ぶ軸は、台数と、流出の通知が要るかの2つです。

• 自分のスマホ1台だけ。スタンダードが候補です。2台なら2台版があり、どちらもダークウェブ モニタリングは付きません。
• 家族の端末やパソコンもあり、流出の通知も欲しい。デラックスです。3台まで使え、ダークウェブ モニタリングと保護者機能が付きます。
• 3台を超える。プレミアムは5台まで使えます。デラックスと同じく、ダークウェブ モニタリングと保護者機能が付きます。

編集部は、情報流出が気になって、家族のスマホやパソコンもあるなら、デラックスを選びます。理由は2つです。3台を1つの契約でまとめられることと、自分の情報が見つかった時に通知が届くことです。

ダークウェブ モニタリングの初期設定の監視対象は、電子メールアドレスです。ほかの情報を足すには、ノートンのアカウントにサインインします。監視できる情報は、住んでいる国や選んだ製品で違います。

ほかの製品にも、似た機能があります。NordVPNは、コンプリート以上のプランに、メールアドレス・電話番号・クレジットカード・マイナンバーの監視が付きます。

ノートンの公式ページにも、「サイバー犯罪や個人情報の盗難を完全に防ぐことはできません」と書かれています。入れたからといって、無料の基本が要らなくなるわけではありません。

申し込む前に、返金と自動更新の条件を押さえておきます。

• 返金保証。年間ライセンス(1年以上の期間)は、購入から60日以内に申請すれば、全額返金の対象です。月間ライセンスは14日以内です。
• 購入先。この条件は、ノートンから直接買った場合のものです。アプリストアや小売店など、第三者を通した購入は、条件が異なることがあります。
• 自動更新。請求が発生する前に、アカウントの「更新をキャンセル」で止められます。更新料金は、初回料金より高くなる場合があります。

公式の申込ページで、いまの価格と台数を確かめられます。

ノートン 360の申込ページへ

この記事で扱っていないこと

次の項目は、この記事の範囲外です。

• 企業が個人情報の漏えいそのものを防ぐ方法
• 各アプリのウイルス検出率と、検出の仕組みの比較
• ノートン以外のウイルス対策ソフトの比較
• 2026年に漏えいした個人情報の総件数と総人数。東京商工リサーチの速報(10月5日時点)に記載がありません
• 公衆Wi-Fiでの通信の守り方と、VPNの選び方
• スマホが壊れた時や盗まれた時の備え。スマホ保険の比較記事で扱っています

出典(いずれも2026年10月24日確認): 東京商工リサーチ TSRデータインサイト(2025年の個人情報漏えい・紛失事故)・東京商工リサーチ TSRデータインサイト(2026年の速報)・フィッシング対策協議会(2026年9月の報告状況)・独立行政法人情報処理推進機構(IPA) 情報セキュリティ10大脅威 2026・IPA 情報セキュリティ10大脅威 2026 個人編ハンドブック・総務省 サイバーセキュリティ初心者のための三原則・総務省 メール・SMSの詐欺対策・警察庁 フィッシング対策・Apple App Storeのセキュリティ・Apple アプリのセキュリティ・Google Play プロテクト・ノートン 360・ノートンのキャンセルと返金ポリシー・NordVPNの料金とプラン

IPAの資料は、文意を変えない範囲で要約しています。

よくある質問

ウイルス対策アプリを入れれば、情報流出は防げますか?

防げません。会社が公表した事故で原因として最も多いのは、ウイルス感染や不正アクセスです。自分のスマホにアプリを入れても、会社の側で起きる漏えいは止められません。

iPhoneにウイルス対策アプリは必要ですか?

当サイトは、一律に必要・不要とは書きません。Appleは、App Storeのすべてのアプリを審査していますが、App Storeのセキュリティ対策だけで万全を期すことはできないとも書いています。家族の端末をまとめて守りたい、公式ストア以外からアプリを入れる、自分の情報の流出を知りたい、のどれかに当てはまるなら、検討する場面です。

2段階認証をしていれば、偽サイトに入力しても大丈夫ですか?

大丈夫とは言えません。IPAは、リアルタイム型フィッシングで二要素認証を突破する手口が横行していると指摘しています。パスキーが使えるなら極力使うよう、IPAは勧めています。

偽サイトにIDとパスワードを入力してしまったら、まず何をしますか?

同じIDとパスワードを使っている全てのサービスで、パスワードを変更します。そのあと、最寄りの警察署かサイバー事案の通報窓口に相談します(警察庁)。

ダークウェブ モニタリングで、情報の流出は防げますか?

防げません。流出した情報が見つかった時に通知する機能で、一部の国では使えません。通知が届いたら、そのサービスのパスワードを変え、同じパスワードを使っているサービスも変えます。

ノートン 360は、合わなければ返金してもらえますか?

年間ライセンスは、購入から60日以内に申請すれば、全額返金の対象です。月間ライセンスは14日以内です。アプリストアや小売店など第三者を通した購入は、条件が異なることがあります。

ノートン 360の自動更新は、どうすれば止められますか?

請求が発生する前に、ノートンのアカウントにサインインして、ライセンスの「更新をキャンセル」を選びます。止めても、支払い済みの期間は使えます。

8つの質問・約90秒・登録不要

乗り換え先まで、あなたの使い方から1分で絞り込む

• 住まいと使い方を選ぶだけ
• 主要キャリアのプランと光回線を横断して提案
• 年間いくら変わるかの目安をその場で表示

無料で診断をはじめる →

メール登録・会員登録は不要。結果はこのままブラウザで見られます

関連コラム