個人情報の漏えいは、もはや「大企業だけの問題」ではありません。原因の多くは不正アクセスやランサムウェアなどのサイバー攻撃と、誤送付・紛失などの人的ミスで、どちらも企業規模にかかわらず起こりえます。そして一度起きると、被害者への補償、事業の停止、信頼の低下など、経営に大きな影響を与えます。

2026年10月には、GMOインターネットグループのVPSサービス「お名前.com デスクトップクラウド」への不正アクセスが公表され、利用者の取引口座のログイン情報が悪用された可能性が報じられました。この記事では、最近の主な事例と最新の統計から漏えいの傾向を整理し、企業が今すぐ取り組むべき対策を解説します。

最新データで見る個人情報漏えいの傾向

上場企業の漏えい・紛失事故（東京商工リサーチ）

項目2025年
事故件数180件（過去最多だった2024年の189件から4.7%減）
漏えい・紛失した可能性のある人数3,063万6,910人分（前年比93.1%増）
公表した企業数158社（過去最多）
最多の原因ウイルス感染・不正アクセス：116件（構成比64.4%）

件数はわずかに減ったものの、1件あたりの被害規模が大きくなっているのが特徴です。東京商工リサーチは2026年10月、2026年は10月5日までに100万人分以上の大型事故が10件に達し、2025年通年（6件）を上回ったと発表しています。

民間事業者の漏えい等報告（個人情報保護委員会）

個人情報保護委員会の「令和7年度年次報告」によると、民間事業者からの個人データの漏えい等の報告は17,139件で、過去最多だった前年度（19,056件）から約1割減少しました。件数の多い原因は、誤送付・誤交付・紛失などの人的ミスです。

最近の主な事案

GMOインターネットグループ「お名前.com デスクトップクラウド」への不正アクセス（2026年10月）

報道（2026年10月〜11月）によると、事案の概要は次のとおりです。

項目報道されている内容
対象サービス「お名前.com デスクトップクラウド」（FX自動売買などに使われるVPS）
発覚2026年10月20日、一部顧客のサーバー環境で不正なプログラムの設置を確認
影響の可能性があるサーバー最大26,739件
主な被害サーバー内の取引ツールに保存されていた取引口座のログイン情報等が取得され、FXなどの取引口座で不正な取引が報告された
攻撃者の要求金銭の要求があったが、同社は支払わない方針を表明
対応利用者全員への見舞金（一律5,000円）、取引口座の損失補償の方針、警察等との連携、政府への「能動的サイバー防御」の適用要請

さらに@ITの報道（2026年11月3日）によると、同社の会見では、最初の侵入は2026年8月だったこと、攻撃者が管理用のサーバーに侵入していたこと、そしてグループのセキュリティ企業が2024年4月にシステムの問題点を指摘していたにもかかわらず、十分な対応がとられず経営層にも報告されていなかったことなどが説明されたとされています。

アサヒグループホールディングスへのランサムウェア攻撃（2025年9月〜）

項目公表・報道されている内容
発生2025年9月29日にシステム障害が発生し、サイバー攻撃と公表
事業への影響受注・出荷などの業務に大きな影響
漏えいの可能性（2025年11月27日発表）約191万4千件（お客様相談室への問い合わせ者、従業員の家族などの情報）
漏えいの確認（2026年2月18日発表）取引先関係者・従業員などの情報、合計約11万5千件

ランサムウェアは、データを暗号化して業務を止めるだけでなく、事前にデータを盗み出し「公開する」と脅す手口が一般的になっています。バックアップだけでは被害を防ぎきれない点に注意が必要です。

漏えいの主な原因と対策の方向性

原因典型的な例対策の方向性
不正アクセス脆弱性の放置、推測されやすいパスワード、認証情報の使い回し脆弱性管理、多要素認証、アクセス権の最小化
ランサムウェアVPN機器などの脆弱性、フィッシングメール更新の徹底、バックアップ、ネットワークの分離
委託先・クラウドからの漏えい委託先のサーバーへの攻撃委託先の管理、契約での取り決め
人的ミスメールの誤送信、書類の紛失、設定ミス送信前の確認、共有設定の点検、教育
内部不正退職者による持ち出し権限管理、アクセスログの記録
AIの利用機密情報の入力、AIへの攻撃利用ルール、法人向けプラン（生成AIの情報漏えいリスク）

漏えいが起きたときの法律上の義務

個人情報保護法では、一定の漏えい等が起きた場合、個人情報保護委員会への報告と本人への通知が義務づけられています。

報告・通知が必要になる主なケース
要配慮個人情報（病歴など）の漏えい等
不正に利用されることで財産的被害が生じるおそれがある漏えい等（クレジットカード情報など）
不正の目的によるおそれがある漏えい等（不正アクセスなど）
1,000人を超える漏えい等

報告は、事態を知った後「速やかに」行う速報と、原則30日以内（不正の目的によるおそれがある場合は60日以内）に行う確報の2段階です。詳細は個人情報保護委員会の公式ページで確認してください。

漏えいが起きたときの初動対応

  1. 被害の拡大を止める：該当システムのネットワーク切断、アカウントの停止、パスワードの変更
  2. 事実を確認する：いつ・何が・どの範囲で漏えいした可能性があるか、ログを保全して調査する
  3. 報告・相談する：個人情報保護委員会への報告、警察への相談、必要に応じて専門家へ依頼
  4. 本人へ通知し、窓口を設ける：影響を受けた人への連絡と問い合わせ窓口
  5. 原因を分析し、再発防止策を公表する

無料相談受付中

「自社の場合はどうすればいい？」を、専門スタッフと一緒に整理できます。

対象業務の洗い出しからツール選定・実装まで。初回のご相談は無料です。

無料で相談する30秒ツール診断

中小企業が今すぐやるべき対策チェックリスト

サイバー攻撃への備え

  • OS・ソフトウェア・VPN機器などを最新の状態に保つ
  • 重要なサービスに多要素認証を設定する
  • 退職者・不要なアカウントを停止する
  • バックアップを取り、ネットワークから切り離した保管と復元テストを行う
  • ログを保存し、不審なアクセスに気づける仕組みをつくる

人的ミスへの備え

  • メール送信前の宛先確認、添付ファイルの扱いのルールを決める
  • クラウドの共有設定を定期的に点検する
  • 個人情報を扱う書類・端末の管理ルールを決める

組織としての備え

  • 外部からの脆弱性の指摘や警告を、経営層まで報告する仕組みをつくる
  • 委託先の情報管理を契約と定期確認で管理する
  • 漏えい時の連絡先・手順を1枚にまとめる
  • 社員に注意点を定期的に共有する

基本的な対策の全体像は中小企業の情報セキュリティ対策の基本で解説しています。

よくある質問

Q中小企業でも個人情報漏えいの報告義務はありますか？
A

あります。個人情報保護法は、企業規模にかかわらず個人情報を取り扱う事業者に適用されます。報告・通知が必要なケースに当てはまる場合は、個人情報保護委員会への報告と本人への通知が必要です。

Q取引先のクラウドサービスから漏えいした場合、自社に責任はありますか？
A

業務を委託している場合、委託元にも委託先を監督する義務があります。どのような情報を、どのような管理のもとで預けているかを確認し、契約で取り決めておくことが重要です。

Qランサムウェアの身代金は支払うべきですか？
A

支払ってもデータの復旧や削除が保証されるわけではなく、さらなる攻撃を招くおそれもあります。GMOインターネットグループの事案でも、同社は支払わない方針を示しています。まずは警察や専門家に相談してください。

Q何から始めればよいですか？
A

ソフトウェアの更新、多要素認証、バックアップの3つは、費用をかけずに始められ効果も大きい対策です。そのうえで、漏えい時の連絡手順を決めておきましょう。

まとめ

  • 漏えい件数の多さは人的ミス、被害の大きさはサイバー攻撃が主な原因
  • 2025年は上場企業の漏えい人数が前年の約2倍に、2026年は大型事故がさらに増加
  • GMOの事案は「脆弱性の指摘への対応」と「早期発見」の重要性を示している
  • 法律上の報告・通知義務を理解し、平時に初動の手順を決めておく

自社のクラウドやシステムの使い方を見直したい場合は、導入支援や無料相談でご相談ください。

参考資料