2026-10-16
メディア・出版
日本経済新聞社
183万件確定
日本経済新聞社は2026年10月16日、システム開発に使うクラウドサービスへの不正アクセスで、約183万件の個人情報が漏洩したと発表しまし…
詳細を読む →01 / RECENT
直近の事例
影響度大：100万件以上 / 業務停止 / 他組織へ波及中小大影響件数が100万件以上、業務停止があった、または他組織へ波及した事案。中影響件数が1,000件以上、または件数が非公表の事案。小それ以外。
2026-10-16
製造
アステモ
350人確定
自動車部品メーカーのアステモで、利用するデータ共有クラウドに第三者が不正アクセスし、従業員や取引先関係者など約350名分の個人情報が流出し…
詳細を読む →2026-10-16
製造
三菱ガス化学
2,093人おそれ
三菱ガス化学の業務委託先T4Cの従業員が、2026年9月16日に元従業員2,092名と現従業員1名の氏名・社員番号を含む資料を、誤って他社…
詳細を読む →2026-10-16
小売・EC
ファンケル／アテニア
83.5万件確定
ファンケルとアテニアの通販サイトが不正アクセスを受け、会員情報が最大約83万4,947件（人数の単純合計は約78万5,496人）漏えいしま…
詳細を読む →2026-10-15
飲食
ビーケー・ジャパン
1,118万件確定
バーガーキングを運営するビーケー・ジャパンは2026年10月15日、公式アプリの会員情報が不正アクセスで外部に漏えいしたと発表した。
詳細を読む →02 / TRENDS
この1年の傾向
※ 本レポートの収録件数（公表日ベース）であり、国内の発生件数そのものではありません。
侵入経路が公表されていない
収録465件のうち251件。「最終報」が出た事案でも48%は経路が書かれていません。公表から半年以上たった事案でも経路判明は44%で、直近の事案（40%）と大きく変わりません。
読み方を見る
読み方上場企業（56件）の経路判明率は39%で、非上場（121件）の49%より低くなっています。開示義務の重い企業ほど侵入経路を書かない傾向がうかがえますが、件数が少なく、上場の有無が不明な事案も多いため、参考値です。
経路判明分のうち、アカウントの悪用
経路が分かっている214件のうち68件が、盗まれた・使い回されたID/パスワードやフィッシングによるものでした。
読み方を見る
読み方この33%は、経路が公表された事案だけの割合です。盗まれたIDの悪用は、自社製品の欠陥に触れずに書きやすいため、経路不明の事案まで含めた実像より多めに出ている可能性があります。67件の内訳は、認証情報の窃取・流用が40件、フィッシングが27件です。パスワードの使い回しだけでなく、偽のログイン画面も入口になっています。
ランサムウェアの入口はVPN・境界機器
ランサムウェアで経路が判明した43件のうち21件が、VPN装置などネットワークの境界にある機器からの侵入でした。警察庁の令和7年の統計でも、ランサムウェアの侵入経路はVPN機器が6割以上でした（被害報告226件）。（出典: 警察庁）
読み方を見る
読み方この50%は、経路が公表された42件だけの数字です。ランサムウェア108件のうち66件は経路が書かれていません。公表された分ではVPN・境界機器が21件で最多ですが、認証情報の悪用が8件、委託先経由が7件あります。入口がVPNだけ、とは読めません。
製造の事案はランサムウェア
製造55件のうち30件。全体平均（23%）の2.3倍です。警察庁の統計でも、ランサムウェア被害の約4割は製造業でした。（出典: 警察庁）
読み方を見る
読み方製造のランサムウェア事案を見ると、約半数が海外子会社・海外拠点に関係していました（米国・ベトナム・タイ・台湾など）。また30件中26件は侵入経路が公表されていません。「製造業が狙われている」だけでなく、本社から目の届きにくい拠点が入口になっている点に注意が必要です。
読み方を見る
読み方調査中の事案は経路が書かれていないのが当然なので、割合から除いています。線が下がっていれば、公表の透明度が上がっていることを意味します。
経路が判明 177件（49%）公表済みだが経路は書かれていない 107件（29%）調査中 80件（22%）
読み方を見る
読み方経路不明には、組織が公表していないものと、公開情報が少ないものの両方が含まれます。出典が10件以上の事案では経路判明が57%、3件未満では37%です。
経路が判明した177件の内訳 ↓
アカウントの悪用66件・37%
認証情報の窃取・流用41
フィッシング25
外から見える入口83件・47%
公開サーバの脆弱性27
VPN・境界機器23
Webアプリ脆弱性17
管理画面・API14
RDP2
委託先・外部サービス26件・15%
委託先経由25
ソフトウェアサプライチェーン1
その他2件・1%
内部者2
読み方を見る
読み方経路が公表された事案だけの内訳です。「IDが不正に使われた」は自社の欠陥に触れずに公表しやすい一方、自社機器の脆弱性は公表されにくいため、アカウントの悪用が多めに出ている可能性があります。
| 業種 | ランサムウェア | 認証情報悪用 | サプライチェーン | 脆弱性悪用 | マルウェア感染 | 設定不備 | 紛失・誤送付 |
|---|---|---|---|---|---|---|---|
| 全体465件 | 23% | 19% | 16% | 14% | 7% | 9% | 10% |
| IT/クラウド66件 | 15% | 32% | 33% | 24% | 6% | 9% | 5% |
| 製造55件 | 55% | 15% | 5% | 4% | 5% | 2% | 2% |
| 行政・公共49件 | 2% | 8% | 10% | 4% | — | 16% | 45% |
| 小売・EC47件 | 19% | 9% | 9% | 28% | 11% | 9% | — |
| 教育45件 | 29% | 22% | 9% | 9% | 9% | 18% | 9% |
| 医療・製薬27件 | 11% | 11% | 15% | — | 4% | 7% | 33% |
| 金融・保険22件 | 9% | 36% | 27% | 23% | 5% | 5% | 5% |
| エンタメ・旅行22件 | 5% | 18% | 9% | 18% | 14% | 14% | 14% |
読み方を見る
読み方行政・公共の誤送付は、1件あたりの影響件数の中央値が30件で、民間の誤送付（994件）よりずっと小さい事案です。行政機関は小規模な誤送付も公表するため割合が高く出ており、行政のミスが特に多いことを示すものではありません。
業務停止なし 10件（9%）記載なし 14件（13%）1日未満 11件（10%）1〜7日 6件（6%）8〜30日 9件（8%）31日以上 4件（4%）期間は非公表 55件（50%）
停止日数がわかる30件のうち、1日以内に再開したのは11件です。1日以上止まった19件では、中央値13日、最長105日でした。
03 / FOR BUSINESS
企業が確認したいこと
01
外から見える機器・サーバを把握し、すぐ塞ぐ
経路判明分の41%（88件）が、VPN装置・公開サーバ・Webアプリ・管理画面など外から到達できる入口でした。
- インターネットに公開している機器・サーバ・管理画面を一覧にする
- 境界機器の脆弱性情報を毎週確認し、緊急パッチの適用期限を決めておく
- 使っていない公開サービスや管理画面は閉じる
02
正規のID・パスワードでの侵入を前提にする
攻撃手法として最も多いのは「正規アカウントの悪用（T1078）」で127件。盗んだID/パスワードでの侵入は、通常のログインと見分けにくくなります。
- VPN・クラウド・管理画面はすべて多要素認証にする
- 退職者・委託先・テスト用のアカウントを定期的に棚卸しする
- 普段と違う場所・時間からのログインを検知できるようにする
読み方を見る
読み方同じ組織で、手口を変えながら被害が繰り返される例もあります。ある大学では、2026年だけで教職員・学生のメールアカウントがフィッシングで乗っ取られる事案が4回公表され、乗っ取られたアカウントから大量の迷惑メールが送られました。多要素認証の導入は、一部の部署だけでは効果が限られます。
03
委託先・SaaSの事故を自社の事故として備える
他組織への波及の起点になった事案が86件あります。波及先の数がわかる40件では、1件の事故が中央値7組織に広がり、最大はいえらぶGROUPの約17,000組織でした。
- 個人情報を預けている委託先・SaaSを一覧にし、連絡窓口を決めておく
- 委託先が事故を起こしたときの連絡・公表の手順を契約で決める
- 預けるデータを必要最小限にする
関連する事例
- 岩井コスモ証券2026-10-16
- ライドオンエクスプレスホールディングス2026-10-13
- 東海旅客鉄道2026-10-09
04
誤送付・設定ミスを仕組みで減らす
紛失・誤送付と設定不備は合わせて83件。攻撃がなくても、運用のミスで情報は漏れます。
- メールの宛先確認や添付ファイルの送信を仕組みで制限する
- クラウドストレージの公開設定を定期的に点検する
- 持ち出し用の媒体・PCは暗号化する
05
『漏れていない』と言える記録を残す
漏えいがあった事案のうち「漏えいしたおそれ」としか言えなかったものが235件で、「漏えいを確認」の117件の約2.0倍です。検知から公表までは中央値5日。短い期間で、どこまで漏れたかを説明する必要があります。
- サーバ・クラウド・認証基盤のアクセスログを、少なくとも1年分残す
- ログを、攻撃者が消せない別の場所に保管する
- 「誰が・いつ・どのデータを見たか」を後から追えるか、事故を想定して一度試す
関連する事例
- 三菱ガス化学2026-10-16
- 日本生命済生会 日本生命病院2026-10-15
- ソースネクスト2026-10-15
読み方を見る
読み方公表資料の中で「ログが残っていなかった」「ログが不足していた」ことに触れている事案が、少なくとも18件ありました。ログがないと、漏えいの範囲を絞れず、対象者全員に「おそれ」として連絡することになります。
04 / FOR YOU
自分の情報が漏れたかもしれないとき
件数は、その種類の情報が漏えい（おそれを含む）した事案の数です。
メールアドレス213件
事案を名乗るメールのリンクを開かない。問い合わせは公式サイトに載っている窓口へ自分からかける
電話番号・住所198件
事案を名乗る電話・郵便で、支払いや個人情報を求められても応じない
パスワード22件
同じパスワードを使い回しているサービスも含めて変更し、2段階認証を有効にする
銀行口座39件
入出金の明細を確認する。銀行を名乗る連絡には、通帳やカード裏面の番号へ自分からかけて確認する
クレジットカード25件
利用明細を確認し、身に覚えのない請求はカード会社へ。必要なら再発行する
本人確認書類・マイナンバー25件
なりすましの契約・口座開設に注意する。心当たりのない契約の連絡が来たら発行元に確認する
読み方を見る
読み方パスワードが暗号化されずに保存されていた（平文）ために、そのまま漏えいした事案もあります。大手の通信・IT企業、大学、自治体でも起きています。ほかのサービスで同じパスワードを使っていると、そのサービスにもログインされるおそれがあります。
05 / EXPLORE
もっと詳しく
自社は大丈夫か、一度確認しませんか。
事例をもとにした社内勉強会や、委託先・クラウド構成のセキュリティ確認をご相談いただけます。