個人情報の漏えいは、なぜ続くのか
直近90日（2026-07-31〜2026-10-29）にこの台帳へ載った事案は 277 件。そのうち外部からの不正アクセスが 177 件、委託先・外部サービス経由が 60 件です。数字は台帳が更新されるたびに集計し直しています。
台帳に載るのは、組織が公表した事案だけです。個人情報保護委員会への漏えい等の報告は、令和8年度第1四半期（3か月）だけで 5,451 件ありました（不正アクセス等による「不正の目的」のおそれがあるものは 1,450 件）。報告と本人への通知は法律上の義務ですが、公表は義務ではないため、台帳に載らない事案のほうがはるかに多いと考えられます。
01どこから漏れているか
外部からの侵入（不正アクセス）
いちばん多い経路です。インターネットに公開されたサーバーや管理画面、VPN 機器の脆弱性（修正されていない欠陥）を突かれる、管理者のパスワードや API キーが漏れて使われる、といった形で侵入されます。ECサイトでは、決済画面を改ざんされて入力中のカード番号を抜き取られる手口が繰り返し起きています。
- ソニー生命保険株式会社（2026-10-28）
- モイ株式会社（2026-10-28）
- 花キューピット株式会社（2026-10-28）
ランサムウェア
社内のデータを暗号化して使えなくし、復旧の対価を要求する攻撃です。最近は暗号化の前にデータを盗み、「払わなければ公開する」と二重に脅す手口が多くを占めます。警察庁によると、2026年上半期の被害報告は 123 件で、半期として統計開始以来最多。侵入経路は VPN 機器が約5割、被害企業の約6割は中小企業です。個人情報を扱う業務システムが巻き込まれると、顧客や従業員の情報の漏えいにつながります。
- エンタッチ株式会社（東邦ホールディングス）（2026-10-19）
- 株式会社IDCフロンティア（ソフトバンク子会社）（2026-10-07）
- 公立大学法人大阪（大阪公立大学）（2026-10-06）
委託先・外部サービス経由の連鎖
メール配信、Webフォーム、予約管理、サイト制作などは、多くの会社が同じ外部サービスを使っています。そのサービス1つが侵害されると、利用している会社や自治体それぞれで漏えいが起き、一斉に公表が続きます。IPA の「情報セキュリティ10大脅威 2026」でも、組織向けの2位が「サプライチェーンや委託先を狙った攻撃」です（1位はランサム攻撃）。直近90日の台帳では、原因の分類を問わず、委託先・外部サービスを経由したと公表資料にある事案が 69 件あります。
台帳に載せているのは、利用先が個別に公表し、確認できたものだけです。事業者側が公表している影響先の数は、これより多い場合があります。
設定ミス・誤送信・紛失
攻撃ではなく運用のミスで起きるものです。公開範囲の設定を誤ってファイルや管理画面を誰でも見られる状態にする、宛先を表示したまま一斉メールを送る、書類や端末をなくす、など。件数は少なめでも、気づかれないまま長期間見える状態だったという事案があります。
- 広島県教育委員会（広島県立大門高等学校）（2026-10-20）
- スカイマーク株式会社（2026-10-19）
- 株式会社HANOWA（2026-10-19）
02盗まれた情報の使われ方
漏えいした情報は、すぐに使われるとは限りません。脅迫の材料としてリークサイトに公開されたり、別の漏えい情報と組み合わされたりして、時間がたってから使われることもあります。漏れた項目ごとの主な使われ方は次のとおりです。
その会社や宅配業者・カード会社を名乗るフィッシングのメール・SMS・電話に使われます。本物のお知らせと見分けにくく、偽サイトでパスワードやカード番号を入力させるのが典型です。
同じ組み合わせで他のサービスにログインできないか、まとめて試されます（リスト型攻撃）。使い回していると、漏れていないサービスまで乗っ取られます。
ネット通販などでの不正利用に使われます。ECサイトの決済画面が改ざんされ、入力した番号がそのまま抜き取られる事案が繰り返し起きています。
あなたになりすました契約や口座開設に使われるおそれがあります。
不正な引落しや、口座情報を示して信用させる詐欺の連絡に使われるおそれがあります。
単独ではすぐ被害につながりにくいものの、他の情報と組み合わせて「本人のことを知っている」連絡に見せかける材料になります。
組織に対しては、盗んだデータの公開を予告して金銭を要求する恐喝に使われます。警察庁は、財務情報や個人情報がダークウェブ上のリークサイトに掲載される事例を多数確認しているとしています。フィッシングの報告は2026年上半期だけで約73万件です。
03該当したらやること
該当チェックの結果画面と同じ内容です。漏れた項目に応じて、上から優先して対応してください。
| 漏れた項目 | やること |
|---|---|
| パスワード | パスワードを変更する 同じパスワードを他のサービスでも使っていれば、そちらも今すぐ全て変更（最優先） |
| カード番号・セキュリティコード | カード会社に連絡して再発行 利用明細に覚えのない請求がないか確認 |
| 本人確認書類・マイナンバー | 本人確認書類の不正利用に注意 なりすまし契約への備えとして、CIC の本人申告制度も検討 |
| 口座 | 口座の入出金通知をオンにする 不正引落に気づけるようにする |
| メールアドレス・電話番号 | 社名を名乗る連絡を疑う メール・SMS・電話のリンクから入らず、必ず公式アプリかブックマークから |
| 項目が未公表、または対象外の可能性が高い | 公表資料で対象者の定義を確認 対象外の可能性が高い、または項目が未公表の事案 |
04出典と集計の方法
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
- IPA「情報セキュリティ10大脅威 2026」（2026年1月）
- 個人情報保護委員会「令和8年度第1四半期における漏えい等報告の処理状況」（2026年9月）
件数・内訳・実例は、この台帳の事案（初報が2026-07-31〜2026-10-29のもの 277 件）から集計しています。原因の分類は各組織の公表資料の記載によります。原因が「委託先」以外でも、委託先のシステムが侵入口だった事案は「経由した事業者」に含めています。各事案の根拠は、事案ページの出典（公式発表へのリンク）を見てください。攻撃者の名前や国籍は、公的機関が公表したものも含めてこのページでは扱いません。