メルカリの顧客データ2,400万件がダークウェブで400ドルで売られている——2026年10月16日の未明から、こうした投稿が日本語圏で一気に広まりました。元は海外のアカウント Dark Web Informer の投稿で、そこには「主張は現在未検証」と書かれています。本記事は、メルカリ情報漏洩の主張について、確認できていることと、できていないことを分けて整理します。
CLAIM VS CONFIRMED主張と確認
出ているのは販売者の主張で、流出の事実はまだ誰も確かめていない
販売者「tet」の主張
2026-10-16 時点で確認できること
販売者「tet」の主張: メルカリの2,400万件
2026-10-16 時点で確認できること: 件数も出どころも第三者の確認なし
販売者「tet」の主張: 氏名・メール・電話・住所
2026-10-16 時点で確認できること: サンプルの真偽は検証が割れている
販売者「tet」の主張: 取引・出品・売上の履歴
2026-10-16 時点で確認できること: 分析用データに見えるとの指摘あり
販売者「tet」の主張: 400ドルで販売
2026-10-16 時点で確認できること: メルカリの公式発表は当サイト未確認
30秒でわかる（2026年10月16日 12時時点）
- ・出ているのは販売者の主張：「tet」と名乗る人物が、メルカリのデータ2,400万件を400ドルで売ると主張。伝えた Dark Web Informer 自身が「未検証」と書いている
- ・流出は確認されていない：データの中身も、メルカリから出たものかどうかも、第三者は確かめていない。メルカリの公式発表は当サイトの環境から確認できていない
- ・見方は割れている：分析用のデータに見えるという指摘と、サンプルが生成AIで作られた偽物の可能性が高いという検証がある
- ・いまできること：メルカリを名乗る連絡のリンクを開かない、パスワードの使い回しをやめる、公式の発表を待つ
インシデントの読み方やほかの事案は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめています。
メルカリ情報漏洩の主張のタイムライン
投稿の時刻は、X の投稿 ID から求めた値です（ID には投稿時刻が埋め込まれている）。
| 日時（日本時間） | 出来事 | 出どころ |
|---|---|---|
| 2026-10-16 0:05 | Dark Web Informer が「メルカリの2,400万件のデータセットが販売中」と投稿 | X の投稿（ID 2110748848565977514） |
| 10-16 朝 | 日本語の転載・まとめ記事が相次ぎ、X のトレンドに入る | 国内の投稿・まとめサイト |
| 10-16 9:51 | Aikido Community Japan が「分析系（BI・DWH）のデータに見える」と投稿 | X の投稿（ID 2110896455221379569） |
| 10-16 | セキュリティ対策Lab が「生成AI製のサンプルデータで嘘の可能性が非常に高い」とする記事を公開 | rocket-boys.co.jp（見出しのみ確認） |
当サイトの環境からは、X・メルカリの公式サイト・セキュリティ対策Lab のいずれのページも開けませんでした。元の投稿の文面は、読者から寄せられた投稿のスクリーンショットで確かめています。
販売者は何を主張しているのか
Dark Web Informer の投稿によると、販売者「tet」の主張は次のとおりです。
・メルカリから取ったとされるデータセットで、2,400万件のレコードを含む
・価格は400ドル
・顧客情報として、氏名・メールアドレス・電話番号・住所・アカウントの詳細を含む
・売買の情報として、完了した取引・キャンセルされた購入・出品中の商品・販売者の売上を含む
どの掲示板に出されたのか、いつ・どこから取ったのか、サンプルが何件あるのかは、元の投稿には書かれていません。件数・中身・出どころのすべてが販売者の申告で、第三者がデータそのものを確かめた形跡は、10月16日時点で見当たりません。
メルカリ情報漏洩は本当か——判断の材料
真偽については、少なくとも2つの見方が出ています。
| 見方 | 出どころ | 根拠として挙げているもの |
|---|---|---|
| 分析系のデータに見える（真偽は不明） | Aikido Community Japan（X） | 列に snapshot_date と集計項目が並んでおり、本番の顧客データベースより BI・DWH の形に近い |
| 偽物の可能性が非常に高い | セキュリティ対策Lab（見出し） | 公開されたサンプルが生成AIで作られたデータに見える |
2つは矛盾していません。前者は「本物だとしたら、どこから出たものに見えるか」、後者は「そもそも本物か」を見ています。前者も冒頭で「真偽は不明」と断っています。後者の記事は、本文を開けなかったため見出しの範囲でしか紹介できません。
この記事で確かめられなかったこと
- ・販売ページそのもの、サンプルデータの中身、販売者の過去の実績
- ・メルカリの公式発表の有無（公式サイトがこの環境から開けなかった）
- ・セキュリティ対策Lab の検証の詳細（見出しのみ確認）
ダークウェブの販売告知は、数字の大きさがそのまま信頼度を示すわけではありません。以前に流出した別のデータの再販売や、公開情報を寄せ集めたもの、作ったサンプルで買い手を集めるものも混ざります。判断の決め手は、データを照合できる立場にある当事者、つまりメルカリの発表です。
利用者がいまできること
真偽が出る前でも、取れる備えはあります。流出が本当かどうかに関係なく、話題になった時点でメルカリを名乗る偽の連絡が増えやすいからです。
WHAT YOU CAN DOいまできること
真偽が分からないうちは、なりすましの連絡に備えるのが先
-
1.メールやSMSのリンクを踏まない
「流出の確認はこちら」型の連絡はアプリから開き直す
-
2.パスワードの使い回しをやめる
同じパスワードの他サービスから先に変える
-
3.公式の発表を待って判断する
まとめ記事や投稿の転載は根拠にしない
・メールや SMS のリンクを開かない：「情報流出の確認はこちら」「アカウントが停止されます」といった連絡が来ても、リンクは踏まずにメルカリのアプリを直接開いて確かめる
・パスワードの使い回しをやめる：メルカリと同じパスワードを他のサービスで使っているなら、そちらから先に変える。一つ漏れると芋づる式に入られるのは、使い回しがあるときだ
・公式の発表で判断する：まとめ記事や投稿の転載は、同じ1本の投稿を引いているだけのことが多い。今回も、広まった記事の多くが Dark Web Informer の投稿を元にしている
Amazon SES悪用フィッシング・BEC攻撃急増2026｜SPF/DKIM突破の手口とIAM最小権限 で扱ったように、正規のサービスから送られた体裁のメールでも本物とは限りません。差出人の表示だけで判断しないことが大切です。
影響範囲と、続報で見るべき点
主張どおりなら、影響を受けるのはメルカリのアカウントを持つ利用者と、出品・販売をしている人です。ただし、ここまでのとおり主張そのものが確認されていないため、2026年10月16日時点で「誰の情報が出たか」を言える材料はありません。
続報では次の点を見ると、真偽を判断しやすくなります。
・メルカリが調査の開始や結果を発表するか、個人情報保護委員会への報告に触れるか
・第三者の調査者がサンプルを照合し、実在のアカウントと一致したと示すか
・主張された項目（売上や取引履歴）が、メルカリが実際に持つデータの形と合うか
似た事案として、さくらインターネット不正アクセスとは｜第三報の951と136万・2023年4月からの期間・自分の確認手順 では、第一報から第三報までに数字と期間が変わりました。今回はそもそも第一報にあたる公式発表が出ていない段階です。続報が出たら、本記事も更新します。
参照ソース
- Dark Web Informer の投稿（2026-10-16 0:05 JST）（当サイトの環境から開けず、文面は読者提供のスクリーンショットで確認）
- Aikido Community Japan の投稿（2026-10-16 9:51 JST）（検索結果に出た投稿文で確認）
- セキュリティ対策Lab「ハッカーがメルカリから窃取した個人情報、2,400万件データ販売を主張」（見出しのみ確認）
