何が起きたか
この事故で流出した、または流出したおそれがある情報は、氏名、住所、生年月日、電話番号、契約情報、クレジットカード番号の下4桁または銀行口座番号の下3桁。現・元顧客約90万人分。8月21日の続報では、約60人の銀行口座番号の全桁、約100人の身分証番号、約1万5000人の公的な割引制度の番号も含まれたと説明です。その後の対応と影響は、豪サイバーセキュリティセンター（ACSC）、国家サイバーセキュリティ局、連邦警察と対応し、情報コミッショナー事務局（OAIC）に届け出た。対象者に個別に通知し、専用窓口と本人確認の不正利用に関する支援を用意した。CEOが謝罪した。業務への影響はないとしたです。
原因になったのは「顧客データへの不正アクセス（経路は公表されていない）」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
第三者が顧客データに不正にアクセスした。侵入の経路は、警察の捜査中を理由に公表されていない。
- 1つ外側 流出した情報報道
氏名、住所、生年月日、電話番号、契約情報、クレジットカード番号の下4桁または銀行口座番号の下3桁。現・元顧客約90万人分。8月21日の続報では、約60人の銀行口座番号の全桁、約100人の身分証番号、約1万5000人の公的な割引制度の番号も含まれたと説明。
- いちばん外側 その後の対応と影響報道
豪サイバーセキュリティセンター（ACSC）、国家サイバーセキュリティ局、連邦警察と対応し、情報コミッショナー事務局（OAIC）に届け出た。対象者に個別に通知し、専用窓口と本人確認の不正利用に関する支援を用意した。CEOが謝罪した。業務への影響はないとした。
なぜ起きたか
会社は7月上旬から脅威の可能性を調べていたが、当初は信頼できないと判断した。7月22日に新たな情報を受けて正式な調査を始めた。侵入経路は刑事事件の捜査中として公表されていない。退職者の認証情報が委託先のシステムに残っていた可能性を指摘する報道もあるが、会社は認めていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年7月上旬会社が脅威の可能性を調べ始める（当初は信頼できないと判断）
- 2026年7月22日新たな情報を受けて正式な調査を始め、当局に連絡する
- 2026年7月23日顧客データへの不正アクセスのおそれを公表する
- 2026年7月28日CEOが約90万人分の情報が取得されたと発表し謝罪する
- 2026年8月21日口座番号の全桁や身分証番号を含む人数を公表する
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）外部から攻撃の予告や脅しの連絡が来た時に、内容の真偽にかかわらず記録の確認を始める手順と、退職者や委託先のアカウントを期限どおりに止める手順があれば、取得を早く止められた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 外部から「データを持っている」と連絡が来た時の受け付け先と、最初の24時間の確認手順を決める
- 退職者と契約終了した委託先のアカウントが、自社と委託先のシステムで止まっているかを確認する
- 顧客データベースから大量にデータが引き出された時に通知が届く設定かを確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- Australia's Origin Energy probes potential unauthorised data access（techpartner.news / Reuters）2026.07.23
- Origin Energy confirms 900,000 customers hit in data breach（Insurance Business）2026.07.28
- Factbox: OpenAI data breach latest in long list of hacks in Australia（The Star / Reuters）2026.09.24
