無料会員登録
Geminiを使って文章作成や要約、相談などをしていると、誤って氏名や住所、メールアドレス、社内資料など、本来入力するつもりのなかった情報を送信してしまうことがあります。業務利用では、顧客情報や契約書、ソースコードなどが含まれるケースもあり、「入力した情報が外部へ漏えいしないか」と不安になることがあります。
入力してしまった場合は、まず該当する会話や共有状態を確認し、必要に応じて削除やアクティビティ設定の見直しを行います。ただし、パスワードやAPIキー、クレジットカード情報などを入力した場合は、履歴を削除するだけでは十分ではありません。第三者に知られた可能性を前提として、利用可能な認証情報や決済情報そのものを失効・変更することが重要です。
また、会社や顧客に関する情報を入力した場合は、個人判断で削除して終わらせるのではなく、勤務先の情報セキュリティ担当や法務、個人情報保護担当へ報告する必要があるケースもあります。入力した情報の種類によって、取るべき対応は大きく異なります。
そこで本記事では、Geminiに個人情報を入力してしまったときにまず行うこと、入力した情報別の対処法、業務データを入力した場合の対応、削除だけでは不十分なケース、今後安全にGeminiを利用するためのポイント、フォレンジック調査で影響範囲を確認する考え方までを解説します。
Geminiに個人情報を入力してしまったときにまず行うこと
Geminiへ誤って個人情報や機密情報を入力した場合は、入力内容を整理したうえで、会話履歴や共有設定を確認します。
該当するチャットを確認・削除する
まず、Geminiの履歴から誤って情報を入力した会話を確認し、不要な会話を削除します。
複数の会話に同じ情報を貼り付けた可能性がある場合は、入力した時刻の前後も確認してください。
ただし、会社のインシデント対応や証拠保全が必要な場合は、先にスクリーンショットや入力時刻などを記録し、社内担当者の指示を受けてから削除した方がよいケースもあります。
Geminiアプリアクティビティを確認する
GoogleアカウントやGemini側の設定から、Geminiアプリアクティビティの状態を確認します。
今後の会話履歴保存を抑えたい場合は、利用目的やアカウント種別を確認したうえで設定を変更します。
設定画面に削除オプションが表示される場合は、誤入力した履歴が対象になっているか確認してください。
共有リンク・アップロードしたファイルを確認する
チャットそのものだけでなく、共有リンクや添付した画像、PDF、文書なども確認します。
共有リンクを作成した場合は、不要であれば共有解除や削除を行います。
ファイル内に氏名、顧客情報、契約情報、秘密情報などが含まれている場合は、入力したテキストだけを見るのではなく、添付物全体を対象として考える必要があります。
入力した情報の種類と時刻を記録する
後から対応漏れを防ぐため、以下を整理します。
- 入力した日時
- 利用したGoogleアカウント
- 入力した情報の種類
- 添付ファイルの有無
- 共有リンク作成の有無
- 個人利用か業務利用か
個人情報そのものを別のメモやチャットへコピーする必要はありません。情報の種類だけを記録する方法が安全です。
認証情報・決済情報ならすぐに無効化する
パスワード、APIキー、秘密鍵、カード番号などの場合は、チャットを削除するだけでは対応として不十分です。
「削除したか」よりも「その情報が現在も利用可能か」を優先して確認し、利用可能な秘密情報は失効・変更してください。
- 何を入力したかを整理します。
- 該当チャットと共有状態を確認します。
- 必要に応じて会話履歴を削除します。
- Geminiアプリアクティビティの設定を確認します。
- パスワード・APIキー・カード情報などは失効・変更します。
- 業務情報なら勤務先へ報告します。
Geminiに入力した情報別の対処法
Geminiへ入力した情報によって緊急度は異なります。氏名やメールアドレスと、パスワード・カード情報では必要な対応を分けて考えます。
氏名・住所・電話番号・メールアドレス
氏名、住所、電話番号、メールアドレスなどを入力した場合は、まず会話履歴や共有リンクを確認します。
直ちにアカウントを停止する必要がある情報ではありませんが、今後は本人情報を利用したフィッシングやなりすましに注意します。
特にメールアドレスと氏名、勤務先などを一緒に入力した場合は、「本人確認」「アカウント停止」「社内連絡」など、本人に合わせた内容のフィッシングに警戒してください。
パスワード・APIキー・秘密鍵・回復コード
パスワードやAPIキーなどを入力した場合は、優先度が高くなります。
該当する秘密情報は速やかに失効・変更してください。
パスワードを他サービスでも使い回している場合は、同じパスワードを使用しているサービスも変更します。
APIキーやアクセストークンでは、新しいキーを発行しただけで旧キーが有効なままになっていないか確認してください。
可能であれば、アクセスログや利用履歴も確認し、意図しない接続がなかったかを確認します。
クレジットカード・銀行口座情報
カード番号、有効期限、セキュリティコードなどを入力した場合は、カード会社の公式窓口へ相談します。
利用停止やカード番号変更、再発行が必要か確認し、利用明細も継続して確認してください。
銀行口座情報に加えて暗証番号やオンラインバンキングの認証情報まで入力した場合は、金融機関への連絡を優先します。
マイナンバー・運転免許証・パスポート情報
本人確認書類の番号や画像を入力した場合は、会話履歴・添付ファイル・共有状態を確認します。
その後は、本人情報を利用したなりすましや不審な本人確認要求に注意します。
画像を添付した場合は、番号だけでなく氏名、生年月日、住所、顔写真など複数の情報が含まれている可能性があります。
健康情報・家族情報などのセンシティブ情報
病歴、治療内容、家族情報、犯罪被害など、機微性の高い情報を入力した場合は、会話や共有範囲の確認を優先します。
業務上取り扱っている第三者の情報であれば、本人のデータではなく組織が管理する個人情報として扱い、勤務先への報告を検討してください。
顧客情報・社内資料・ソースコード
顧客リスト、社員情報、契約書、未公開資料、ソースコード、認証情報を含む設定ファイルなどを入力した場合は、個人で削除して終了しないことが重要です。
勤務先のCSIRT、情報システム、情報セキュリティ、法務、個人情報保護担当など、社内の定められた窓口へ速やかに報告します。
GeminiにパスワードやAPIキーを入力した場合の対処法
認証情報やシークレットを入力した場合は、削除よりも無効化を優先します。
パスワードを変更する
該当サービスを公式サイト・公式アプリから開き、新しいパスワードへ変更します。
同一・類似パスワードを使っているサービスも変更してください。
APIキー・トークンを失効する
APIキーやアクセストークンの場合は、管理画面から旧キーを無効化し、新しい値を発行します。
新しいキーを作成しただけでは旧キーが残るサービスもあるため、失効まで確認する必要があります。
ログイン済みセッションを失効する
パスワードを変更しても既存セッションが残る場合があります。
利用サービスに「すべての端末からログアウト」「セッション終了」などの機能があれば実施します。
MFAを確認する
多要素認証を有効にし、登録されている認証アプリ、電話番号、セキュリティキー、パスキーなどに不審な変更がないか確認します。
アクセスログを確認する
クラウドやSaaS、開発環境の資格情報を入力した場合は、不審なAPIアクセス、ログイン、リソース作成などがないか確認します。
秘密情報は「Geminiから削除できたか」ではなく、「第三者が利用しても無効な状態にできたか」で対応完了を判断することが重要です。
Geminiにカード情報を入力してしまった場合の対処法
クレジットカード番号などを入力した場合は、金融被害を防ぐ対応を優先します。
カード会社へ連絡する
カード裏面の電話番号やカード会社の公式アプリから相談します。
停止・再発行の必要性を確認する
カード番号だけなのか、有効期限やセキュリティコードまで入力したのかを伝え、対応を確認します。
利用明細を確認する
少額決済も含め、身に覚えのない取引がないか継続して確認してください。
関連アカウントの認証情報も確認する
カード情報と一緒にECサイトや銀行、メールなどのID・パスワードを入力していた場合は、そちらも別途変更します。
会社・顧客の情報をGeminiに入力してしまった場合の対処法
業務データを入力した場合は、個人利用時とは異なり、会社の情報管理ルールや契約、個人情報保護上の対応が関係します。
入力内容・日時・アカウントを記録する
どのGoogleアカウントを利用し、いつ、何を入力したかを整理します。
ファイルをアップロードした場合は、ファイル名と含まれていた情報の種類も確認します。
社内の情報セキュリティ担当へ報告する
勤務先が生成AI利用ルールを定めている場合は、そのインシデント報告手順に従います。
独断で履歴を削除して報告しないままにすると、後から影響範囲を確認できなくなる可能性があります。
顧客情報・個人情報の件数を整理する
氏名やメールアドレスだけなのか、住所、契約内容、健康情報、カード情報などまで含むのかを整理します。
認証情報が含まれていれば失効する
設定ファイルやソースコードの中に、APIキー、パスワード、秘密鍵、トークンなどが含まれていた場合は、関連する資格情報をローテーションします。
法務・個人情報保護担当と影響を評価する
入力した情報が顧客・社員など第三者の個人情報である場合は、契約や社内規程、個人情報保護上の対応要否も確認します。
Geminiのチャットを削除すれば情報漏えいリスクはなくなる？
チャット削除は重要な対応ですが、入力内容によっては、それだけでリスクが解消したとは判断できません。
パスワード・APIキーを入力した
有効な秘密情報は失効させなければ、削除後も利用可能な状態が残ります。
カード情報を入力した
カード情報は履歴削除だけでなく、発行会社へ相談して悪用リスクに備えます。
共有リンクを作成した
会話を共有していた場合は、共有リンク自体の解除も確認します。
顧客・社員情報を入力した
第三者の情報の場合は、本人だけの判断でリスクを受容できないため、組織として影響を評価する必要があります。
業務用アカウント・端末を利用した
Google Workspaceなど組織管理下の環境では、個人向けアカウントとは設定やデータ管理が異なる場合があります。
社内管理者が設定している利用ルールを優先してください。
Geminiに個人情報を入力してしまったときにやってはいけないこと
削除だけで安全になったと判断する
秘密情報や決済情報については、その情報自体の無効化が必要です。
確認のため同じ情報を再入力する
「本当に保存されているか確認したい」として、再び同じパスワードや個人情報を入力しないでください。
別の生成AIへ同じ情報を貼り付ける
事故について相談するために、同じ顧客データや秘密情報を別のAIサービスへ貼り付けると、取り扱い範囲をさらに広げることになります。
業務情報の誤入力を隠す
顧客情報や会社情報の場合は、早期報告によって認証情報の失効や影響確認を迅速に進められる可能性があります。
証拠を残さず履歴をすべて消す
企業のインシデント対応では、何をいつ入力したかを確認する情報が必要になる場合があります。
社内報告が必要なケースでは、先に必要な記録を残してください。
Geminiに個人情報を入力しないための対策
再発防止では、利用者の注意だけに頼らず、生成AIへ送る前にデータを加工する運用が重要です。
氏名・メールアドレスを匿名化する
文章レビューなどで実名が必要ない場合は、「田中太郎」を「担当者A」、「株式会社○○」を「会社X」のように置き換えます。
メールアドレス、住所、顧客ID、具体的な契約番号などもダミー値へ置換します。
パスワード・秘密鍵は入力しない
パスワード、APIキー、アクセストークン、秘密鍵、MFAコードなどは、生成AIへの入力対象から除外してください。
添付ファイルを送る前に内容を確認する
PDFやExcel、Wordファイルには、本文だけでなく氏名、コメント、メタデータ、非表示シートなどが含まれる場合があります。
業務利用では社内ルールを確認する
会社で承認された生成AIサービス・アカウント・契約形態がある場合は、それ以外を利用しない運用が重要です。
生成AIへの入力範囲を最小化する
全文を送る必要がなければ、相談に必要な部分だけを切り出し、個人情報や秘密情報を除去してから入力します。
Geminiへの個人情報入力による影響をフォレンジック調査で確認する方法
氏名やメールアドレスを一度誤って入力し、すぐに削除しただけで、その後に不審なアカウント利用や端末異常がない場合は、通常フォレンジック調査まで必要になるケースは多くありません。
Geminiを利用した日時・端末の操作履歴
ブラウザ履歴や端末の利用記録などから、いつGeminiへアクセスし、問題の入力が行われた可能性があるか整理します。
アップロードしたファイルや入力元データ
添付したファイルや、コピー元となった資料を確認し、どの情報が入力対象に含まれていた可能性があるか整理します。
Googleアカウントへの不正アクセス
Googleアカウントのログイン履歴やセキュリティイベントを確認し、Geminiへの誤入力とは別にアカウント侵害が起きていないか確認します。
漏えいした認証情報の不正利用痕跡
パスワード、APIキー、クラウド資格情報などを入力した場合は、関連サービスの監査ログを確認し、不審なログインやAPI操作が発生していないか調査します。
業務データが送信された範囲
業務端末や会社アカウントから顧客情報などを入力した場合は、ブラウザ、クラウド、DLP、プロキシなどの記録を組み合わせ、どのデータが外部サービスへ送信された可能性があるか整理します。
Geminiに顧客情報・認証情報を入力した場合はフォレンジック調査会社に相談する
個人利用で氏名や連絡先などを一度入力してしまい、該当チャットや共有状態を確認でき、不審なアカウント利用もない場合は、履歴管理とフィッシングへの注意で対応できるケースがあります。
一方、顧客情報や大量の個人情報、ソースコード、APIキー、クラウド資格情報などを入力した場合や、入力後に不審なログイン・API利用が確認された場合は、関連する端末やアカウントまで確認した方が安全です。
特に、業務端末のブラウザ履歴やクラウドログを確認せずに削除したり初期化したりすると、どのデータをいつ送信し、その後に認証情報やアカウントが悪用された可能性があるのかを確認する証跡が失われる場合があります。
不審な兆候を確認した場合、フォレンジック調査会社への相談をお勧めします。フォレンジック調査会社では、端末のブラウザ履歴、Googleアカウントやクラウドサービスのログ、ファイル操作履歴などを確認し、入力された情報の範囲や、認証情報が悪用された痕跡がないかを整理できます。
企業で顧客情報や機密情報を誤入力したケースでは、技術的な事実関係を整理することで、社内報告、法務判断、本人・取引先への説明、再発防止策の検討にもつなげやすくなります。
おすすめのフォレンジック調査会社
公式サイトデジタルデータフォレンジック
編集部が厳選したおすすめのフォレンジック調査会社は、デジタルデータフォレンジックです。
デジタルデータフォレンジックは、累計4万7千件以上の豊富な相談実績を持ち、全国各地の警察・捜査機関からの相談実績も409件以上ある国内有数のフォレンジック調査サービスです。
24時間365日の相談窓口があり、緊急時でも安心です。相談から見積りまで無料で対応してくれるので、フォレンジック調査の依頼が初めてという方もまずは気軽に相談してみることをおすすめします。
まとめ
Geminiに個人情報を入力してしまった場合は、まず入力した情報の種類、日時、利用したアカウント、添付ファイルや共有リンクの有無を整理し、該当する会話やGeminiアプリアクティビティの設定を確認します。
氏名やメールアドレスなどの場合は、履歴や共有状態を確認したうえで、今後のフィッシングやなりすましに注意します。一方、パスワード、APIキー、秘密鍵、クレジットカード情報などを入力した場合は、会話削除だけでは不十分です。パスワード変更、キー・トークンの失効、カード会社への連絡など、情報そのものを利用できない状態にする必要があります。
また、顧客情報、社員情報、契約書、ソースコードなどの業務情報を入力した場合は、個人判断で削除して終わらせず、勤務先の情報セキュリティ・法務・個人情報保護担当へ速やかに報告してください。
どの情報を送信したのか分からない、認証情報の不正利用が疑われる、業務データの影響範囲を技術的に確認する必要がある場合は、証跡を不用意に削除せず、必要に応じてフォレンジック調査で端末、ブラウザ、アカウント、クラウドログなどを確認することが重要です。
![中小企業の情報瀬キィリティ相談窓口[30分無料]](/wp-content/uploads/2023/07/bnr_footer04.png)
