相次ぐ情報漏洩事故：公開事例と今すぐ見直したい基本対策

はじめに

2026年は、中央省庁から大手保険・通信、病院、中小企業まで、規模や業種を問わず情報漏洩の公表が続いています。9月にはデジタル庁が運用する共通システムへの不正アクセスで最大24.6万件の漏えいを公表し、6月にはアフラック生命保険が約438万人分の漏洩の恐れを公表しました。

本記事では、2026年に公表された主な事例を整理し、そこから見える共通の原因と、組織が今すぐ見直すべき基本対策をまとめます。

2026年に公表された主な事例

9月末からの10日足らずで、10万人以上が対象となる公表が9件続きました。下表は2026年の主な公表事例です（新しい順）。件数・人数・アカウント数は単位が異なり、「漏えい確認」と「漏えいの可能性」も混在するため、合算はできません。

特に注目したい3件は次のとおりです。

• デジタル庁 GSS：ゼロトラストの考え方を取り入れた政府基盤でも、VPN機器の脆弱性から侵入されました。攻撃者は5月下旬から侵入を繰り返し、保守担当者のアカウントで大量のファイルにアクセスしていました。
• ショップサーブ：委託先のEC基盤が侵害され、すでに別システムへ移行した企業の旧顧客データまで対象になりました。キングジムやマンズワインは、移行後に残っていたデータで影響を受けています。
• infoQ：漏えいが実際の金銭被害につながった例です。611件、計約287万円分のポイントが本人の意思によらずギフトコードへ交換されました。

事例から見える5つの共通パターン

2026年の事例の多くは、高度な新手法ではなく、既知の弱点の積み重ねから起きています。原因は大きく5つに分けられます。

もう一つ共通するのは、発覚までの長さです。ショップサーブは約2か月半、GSSは約1か月、侵入に気づけませんでした。RIZAPグループ傘下のD&Mでは、漏えい対象期間が約2年に及んでいます。

そして漏えい後は、流出した氏名・メール・電話番号を使ったフィッシングや詐欺電話という二次被害のリスクが続きます。

基本対策：まず押さえたい6つの柱

上の5パターンに対応させると、優先すべき対策は次の6つです。どれも新しい製品を買う前にできる「基本」です。

1. 外部に公開している機器・ソフトを把握し、すぐ更新する

• VPN、リモートデスクトップ、メールサーバーなど、インターネットに面した機器を台帳にまとめる
• ベンダーの脆弱性情報を監視し、悪用が報告されたものはCVSSの点数にかかわらず最優先で更新する
• 使っていない公開機器やポートは止める

2. アカウントを最小限にし、多要素認証を必須にする

• 外部からのアクセスと管理者・保守用アカウントには多要素認証を必ず設定する
• 退職者・廃止システム・委託終了先のアカウントを定期的に棚卸しし、即時に無効化する
• 保守用アカウントは必要なときだけ有効にし、権限を業務に必要な範囲に絞る

3. 「おかしい動き」に早く気づく仕組みを作る

• 大量のファイル閲覧やデータ出力、深夜の管理者ログインなどを検知するアラートを設定する（GSSはこの検知が発見の糸口になった）
• サーバーやPCにはEDRなど振る舞い検知の仕組みを入れる
• ログは攻撃者に消されないよう別の場所へ送り、侵入の初期まで遡れる期間を保存する

4. 委託先・SaaSのリスクを契約と運用で管理する

• 個人情報を預ける委託先を一覧にし、セキュリティ対策の状況を定期的に確認する
• 事故時に「何時間以内に委託元へ連絡するか」を契約に明記する
• 機器廃棄は破砕証明書を取得するなど、委託先任せにしない

5. 持たなくていいデータは持たない

• 退会者・退職者・旧システムのデータに保存期限を決め、期限が来たら削除する
• サービス移行や解約時は、旧事業者側のデータ削除を確認する
• カード情報は自社で持たない（トークン化）、個人情報は暗号化し鍵を別管理する

6. 人による持ち出し・ミスを防ぐ

• アクセス権限を業務上必要な範囲に限定し、大量ダウンロードを監視する
• USBメモリなど外部媒体の利用を原則禁止または暗号化必須にする
• メール誤送信対策（送信前確認・遅延送信）と、定期的な教育・訓練を実施する

今すぐできるチェックリスト

• □ インターネットに公開しているVPN・機器の一覧と、最新の更新状況を確認した
• □ 外部アクセスと管理者アカウントすべてに多要素認証を設定した
• □ 退職者・不要アカウントを棚卸しして無効化した
• □ 個人情報を預けている委託先・SaaSの一覧を作った
• □ 不要になった顧客・退会者データの保存期限を決めた
• □ ログが別の場所に保存され、少なくとも数か月遡れることを確認した
• □ 漏えい発生時の連絡先と初動手順を文書化した

万一、漏えいが起きたときの初動

漏えいは「確定」ではなく「おそれ」の段階で報告義務が生じます。社内のどこかの部署が把握した日から期限が動き出すため、手順を事前に決めておくことが重要です。

1. 被害拡大を止める：侵害されたアカウントの停止、機器の通信遮断。ただしサーバーの初期化や再起動は証拠が消えるため避ける
2. 証拠を保全し、外部の専門家に連絡する：不正アクセスやランサムウェアの場合は、発覚当日にフォレンジック調査会社へ連絡する
3. 報告対象かを判定する：次の4類型のいずれかに当たれば、個人情報保護委員会への報告と本人への通知が義務になる
   • 要配慮個人情報（病歴など）を含む
   • 財産的被害のおそれがある（カード番号、ログインIDなど）
   • 不正の目的によるおそれがある（不正アクセス、持ち出しなど）
   • 本人の数が1,000人を超える
4. 速報を出す：知ってからおおむね3〜5日以内。分からない項目は「調査中」でよい
5. 確報を出す：知った日から30日以内（不正目的の事案は60日以内）
6. 本人へ通知・公表する：漏えいした項目、原因、二次被害のおそれなどを伝える。連絡先が分からない本人には公表と問い合わせ窓口で代える

委託先で起きた漏えいは、原則として委託元が報告します。委託先からの連絡が遅れても、委託元の期限は延びません。

通知の出し方にも注意が必要です。通知メールにリンクを貼ってパスワード再設定を促すと、それを真似たフィッシングを招きやすくなります。「当社からパスワードやカード番号を尋ねることはない」と明記し、公式サイトの固定ページで情報を確認できるようにしましょう。

なお、2026年7月17日に公布された改正個人情報保護法（令和8年改正）では、本人通知義務の一部緩和や速報の一部免除が盛り込まれました。ただし施行は公布から2年以内で、詳細は今後の規則で決まります。それまでは現行の手順で対応する必要があります。

まとめ

2026年の漏えい事故は、政府基盤から地域の小売まで規模を問わず起きており、「自社は狙われない」という前提はもう成り立ちません。一方で原因の多くは、脆弱性の放置、アカウント管理の甘さ、委託先任せ、不要データの残存といった基本の抜けです。まずはチェックリストの7項目から、自社の状況を確認してみてください。

※本記事の件数・状況は2026年10月6日時点の各社公表・報道に基づきます。調査の進展により変わる可能性があります。

参考資料

• デジタル庁GSS不正アクセス（INTERNET Watch）
• デジタル庁GSS：VPNの脆弱性が侵入口に（@IT）
• さくらインターネット最大136万件の不正アクセス（@IT）
• KDDIメールシステムへの不正アクセス（@IT）
• KDDI、パスワード漏れ762万人と発表（熊本日日新聞／共同通信）
• Eストアー「ショップサーブ」不正アクセス 第2報（Eストアー）
• ショップサーブ情報漏洩 影響企業一覧（セキュリティ対策Lab）
• 9月末〜10月の大規模漏えいと個人の対策（セキュリティ対策Lab）
• 2026年6月 個人情報漏洩の事例まとめ（セキュリティ対策Lab）
• 2026年 ランサムウェアの事例（セキュリティ対策Lab）
• 個人情報保護委員会への報告義務と令和8年改正（一創）
• 漏えい等の対応とお役立ち資料（個人情報保護委員会）