情報漏えい・不正アクセスの最近の動き　公的機関の公表資料から読み解く2026年の実態

本記事は、個人情報保護委員会および警察庁が公表した資料のみを出典として、2025年から2026年にかけての情報漏えい・不正アクセスの発生状況を整理したものです。報道をもとにした推計値や、公表資料に記載のない数値は掲載しておりません。各数値の末尾に出典を示しています。

---

1. 直近の公表値（3項目）

指標	直近の公表値	出典
個人情報の漏えい等報告の処理件数	6,101件（2026年度第1四半期）	個人情報保護委員会（2026年9月2日公表）
ランサムウェアの被害報告件数	123件（2026年上半期・半期として過去最多）	警察庁（2026年9月公表）
直近の大規模事案で漏えいした認証情報	1,223万1,954人分（KDDI株式会社の事案）	個人情報保護委員会（2026年8月19日公表）

漏えい等報告の処理件数6,101件は、2025年度の四半期あたり平均4,854件を上回っています（個人情報保護委員会「令和８年度第１四半期における漏えい等報告の処理状況」）。

---

2. 公表された行政上の対応の一覧

個人情報保護委員会が組織名を明らかにして公表した事案を、公表日順に整理しました。件数・原因は、いずれも同委員会の公表資料に記載された内容です。

公表日	対象	漏えい等の規模	原因	委員会の対応
2026年8月19日	KDDI株式会社および一部のインターネットサービスプロバイダ	認証情報が漏えいした本人数 1,223万1,954人。うち 761万6,173人分のパスワードが平文で保存されていた	メールシステムを構成するソフトウェアの脆弱性を悪用した不正アクセス（2026年6月17日に発覚）	法第147条に基づく指導（KDDIおよび一部のプロバイダ）。KDDIには法第146条第1項に基づき、二次被害の発生状況も含めた再発防止策の実施状況を2026年10月19日までに報告するよう要求
2026年2月25日	埼玉県所沢市	親族 14人 の個人番号を含む個人情報	市民税課の元職員による内部不正。戸籍謄本等の公用申請、住民基本台帳ネットワークシステム、統合宛名システムを不正に利用	個人情報保護法第157条および番号法第33条に基づく指導
2025年9月10日	株式会社中央ビジネスサービス	提供した個人情報は 約49万人分（37回の取引）および 約11万人分（5回の取引）	名簿販売事業者が、提供した個人情報が特殊詐欺グループに提供された可能性があることを認識した後も取引を継続（法第19条「不適正な利用の禁止」違反）	法第148条第1項に基づく勧告、法第146条第1項に基づく報告等の求め
2025年5月16日	有限会社ビジネスプランニング	公表資料に人数の記載なし	名簿の販売先が違法な行為に及ぶ者である可能性を認識しながら個人情報を提供（法第19条違反）。第三者提供の記録も作成していなかった（法第29条第1項違反）	法第148条第3項に基づく命令（第19条違反について）、同条第1項に基づく勧告（第29条第1項違反について）、法第146条第1項に基づく報告等の求め

この表の読み方について。 個人情報保護委員会が組織名を明らかにして公表する事案は、一部に限られます。2026年度第1四半期の公表事案は「なし」とされており（同委員会「監視・監督権限の行使状況の概要」）、同じ四半期に141件の指導・助言が行われていても、個別の組織名は公表されません。公表された事案の数は、発生した事案の数ではありません。

---

3. 全体の件数はどう推移しているか

個人情報保護委員会は、漏えい等報告の処理件数を四半期ごとに公表しています。

期間	総計	個人情報取扱事業者	国の行政機関等	地方公共団体等
2025年度 第1四半期	5,652件	5,007件	55件	590件
2025年度 第2四半期	4,528件	3,916件	76件	536件
2025年度 第3四半期	4,635件	4,086件	56件	493件
2025年度 第4四半期	4,602件	4,130件	61件	411件
2026年度 第1四半期	6,101件	5,451件	66件	584件

出典：個人情報保護委員会「令和８年度第１四半期における漏えい等報告の処理状況」（2026年9月2日）

直近の四半期は、それ以前の4四半期をいずれも上回りました。ただし同委員会は、この数値について「本資料の計数は公表時点のものであり、『個人情報保護委員会年次報告』等の段階で数値等が改訂される可能性がある」と注記しています。確定値ではない点にご留意ください。

報告の理由の内訳（個人情報取扱事業者・2026年度第1四半期）

該当要件	件数	比率
第1号（要配慮個人情報を含む）	3,196件	58.6%
第3号（不正の目的によるおそれ）	1,450件	26.6%
第2号（財産的被害が生じるおそれ）	1,093件	20.1%
第4号（1,000人を超える）	246件	4.5%

複数の要件に該当する事案があるため、比率の合計は100%を超えます。同委員会は、この四半期の傾向として「病院や薬局に限らず、損害保険業者における誤交付によるもの」が目立つと述べています。

---

4. 原因の内訳：何が指導の対象になっているか

同じ四半期に、個人情報保護委員会は141件の指導・助言を行っています（民間事業者98件、行政機関等43件）。このうち民間事業者98件について、指導の対象となった不備の内訳は次のとおりです。

指導の対象となった不備	件数
外部からの不正アクセス等の防止の不備	21件
アクセス者の識別と認証の不備	14件
委託先に対する監督の不備	12件
情報システムの使用に伴う漏えい等の防止の不備	3件
（別枠）漏えい等報告の提出の遅延	45件

出典：個人情報保護委員会「令和８年度第１四半期における監視・監督権限の行使状況の概要」（2026年9月2日）

民間事業者では漏えい等報告の提出の遅延が45件と、技術的な不備の件数を上回っています（行政機関等に対しても、遅延についての指導が31件あります）。攻撃を受けたかどうかとは別に、報告の体制そのものが指導の対象になっています。

同資料は、不正アクセスによる漏えいの原因として次の3点を挙げています。

1. VPN機器やECサイト構築用アプリケーション等の脆弱性が公開され、対処方法がリリースされていたにもかかわらず放置していたこと
2. ID・パスワードが容易に推測されやすいものとされていたこと
3. 設定ミスによりデータベースへの適切なアクセス制御を行っていなかったこと

攻撃の種類としては、ブルートフォース攻撃、ウェブサイトへのSQLインジェクション攻撃のほか、ランサムウェア攻撃が15件確認されています。

---

5. ランサムウェアの被害は半期として過去最多

警察庁「令和８年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月・警察庁サイバー警察局）によると、2026年上半期のランサムウェア被害報告件数は123件で、統計を取り始めた2020年下半期以降、半期としては最多となりました。

同資料から、被害の輪郭を示す数値を抜き出します。

• 侵入経路はVPN機器が約5割（被害組織へのアンケート結果）
• 被害企業の規模別では、中小企業が約6割
• 業種別では、製造業が約3割。次いで卸売・小売業、情報通信業、不動産・物品賃貸業
• 復旧に総額1,000万円以上を要した組織が全体の6割
• 1か月未満で復旧した組織は全体の5割弱

あわせて、警察庁が設置したセンサーで検知した脆弱性探索行為等の不審なアクセス件数は、前年同期比51%増と報告されています。

近年の手口について同資料は、「インターネットに露出した箇所から攻撃者が遠隔操作でネットワーク内部に侵入する手口が多くを占め、標的型攻撃メール等の添付ファイルによる感染は少なくなっている」としています。入口対策の重心が、メールから、外部に公開された機器・サービスへ移っていることを示す記述です。

---

6. 2026年10月7日の注意喚起で何が示されたか

個人情報保護委員会は2026年10月7日、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表しました。同委員会は背景として、「国民に広く普及した、大量の個人情報を取り扱う個人情報取扱事業者が外部からの不正アクセスを受け、その取り扱う大量の個人データが漏えいし、又は漏えいのおそれが生じた漏えい等事案に接しています」と述べています。

この注意喚起には、サイト・システムの運営者にとって実務上の意味を持つ点が3つあります。

(1) ガイドラインの「手法の例示」が見直される

個人情報保護法ガイドライン（通則編）別添の「手法の例示」について、現代化を含めた見直しが予定されています。見直しの内容の確定は2027年4月の予定ですが、同委員会は「近時の動向を踏まえて、『手法の例示』として、より参考になると考えられる」として、見直し予定の技術的安全管理措置の内容を先行して示しました。

示された技術的安全管理措置は、(1)アクセス制御、(2)アクセス者の識別と認証、(3)外部からの不正アクセス等の防止、(4)情報システムの使用に伴う漏えい等の防止、(5)不正アクセス等の検知等の5項目です。(5)には「不正アクセス等が発生した場合に早期に検知等するための措置を平時から講じ、組織内ネットワークにおける被害拡大を防止できるよう適切に運用しなければならない」と記されています。

(2) 不要になった個人データの消去があらためて示された

同注意喚起は、個人情報保護法第22条（データ内容の正確性の確保等）に触れ、「こうした対応が徹底されず、漏えい等事案がより深刻化するといった事例にも接しています」と述べています。当サイトでは、不要になったデータを持ち続けないこと自体が、漏えい時の被害を小さくする対策になると考えます。

(3) 事例の類型が9つに整理された

同日改訂された「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」（初版2024年12月11日、2026年10月7日改訂）では、報告された事案を分析した結果として、次の9類型が示されています。

1. 脆弱性が放置された事例
2. 脆弱性への対応が遅れた事例
3. 不正ログインの事例
4. グループ会社や海外拠点が狙われた事例
5. グループ会社間のアクセス制御不備があった事例
6. 個人領域に保存したデータの漏えい事例
7. グループ会社への監督が不十分な事例
8. 利用するクラウドサービスからの漏えい事例
9. APIが悪用される事例

当サイトの整理では、9類型のうち4つ（4・5・7・8）が、グループ会社・海外拠点・クラウドサービスなど、自社単体の外側との関係に関わるものです。同資料も「これらの事例の多くは、委託先等を含め、個人情報取扱事業者内外における複数の組織・部署が関係する」と指摘し、「単純な技術的問題への対応にとどまらず、経営層を交えて現状の組織体制の抱える問題点や漏えい等が発生した場合に生じ得る損害等を評価し、組織的に対応することが必要」としています。

---

7. 公表資料から読み取れること

ここまでの数値を並べると、いくつかの傾向が見えてきます。以下は当サイトによる整理であり、公表資料に明記された分析ではありません。

入口は、人のミスより機器と設定に移っている。 警察庁は侵入経路の約5割がVPN機器であるとし、個人情報保護委員会も指導事例の筆頭にVPN機器の脆弱性の放置を挙げています。一方で、添付ファイルによる感染は「少なくなっている」とされました。従業員向けの訓練だけでは、現在の主要な侵入経路を塞げません。

対策は、責任の所在の確認から始まる。 個人情報保護委員会の「WARNING」は、脆弱性が放置された事例の原因として「システム保守の業務委託契約は締結していたが、委託業務の内容に脆弱性対応が含まれていなかった」「脆弱性情報の収集は行っていたが、収集した脆弱性情報に基づき対策を講ずる際の役割分担が決められていなかった」といった例を挙げています。技術の不足ではなく、責任の所在が決まっていないことが原因として示されている点は、技術面の投資より先に確認すべき事項を示しています。

規模の小さい組織ほど当事者になりやすい。 ランサムウェアの被害企業の約6割は中小企業です。そのうえで復旧に1,000万円以上を要した組織が6割を占めます。

報告の遅れそのものが指導対象になる。 2026年度第1四半期は、民間事業者への指導のうち45件（行政機関等を含めると76件）が報告の遅延に対するものでした。漏えいが起きた場合に誰が・いつまでに・どこへ報告するかを、事前に決めておく必要があります。

---

8. まとめ

2026年に公表された資料を並べると、件数は増加し、侵入経路は外部に公開された機器に集中し、被害は中小企業にも及び、復旧費用は高額化しています。一方で、指導の対象となっている不備の多くは、脆弱性への対応、アクセス制御、委託先の監督、そして報告体制といった、いずれも平時に決めておける事柄です。

個人情報保護委員会はガイドラインの「手法の例示」の見直しを2027年4月に確定する予定としており、見直し後の技術的安全管理措置の内容はすでに先行して示されています。確定を待たずに、自社および委託先の状況を点検できる時期にあたります。

本記事では、元号表記を西暦に読み替えて記載しています（令和8年＝2026年、令和7年＝2025年、令和6年＝2024年、令和2年＝2020年）。公表資料の原文は元号表記です。