情報漏洩対策の必要性を社内で説明するとき、「サイバー攻撃が増えている」「情報管理を徹底する必要がある」といった抽象的な説明だけでは、経営層や現場の危機感につながらないことがあります。
一方、同じ業種や同程度の規模の企業で起きた事例を示し、「何が原因だったのか」「どこまで影響が広がったのか」「事故後にどれだけの対応が必要になったのか」を伝えると、自社の課題として捉えやすくなります。
情報漏洩は、大企業だけに起きる問題ではありません。高度なサイバー攻撃だけでなく、クラウドの設定ミス、復旧作業中の誤設定、記録媒体の紛失、廃棄したパソコンのデータ消去不足、退職者による情報の持ち出しなど、日常的な管理の不備からも発生します。
本記事では、CyberCrewのホワイトハッカーが、2026年8月3日時点で確認できる企業・自治体・関係機関の公表資料をもとに、情報漏洩の事例12件を原因別に整理します。
速報から確定までに対象件数が変わった事例については、第一報と最新の公表値を区別しました。社内研修、経営会議、セキュリティ対策の稟議資料にも使えるよう、各事例を「公表日」「被害規模」「原因」「対応」「教訓」の順で解説します。
なお、情報漏洩に対しては事前の対策が重要となっており、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。
TABLE OF CONTENTS
情報漏洩の原因は大きく4つ
東京商工リサーチが2026年1月30日に公表した調査によると、2025年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故は180件でした。対象となった個人情報は合計3,063万6,910人分で、前年の約2倍に増えています。
原因別の内訳は次のとおりです。
| 順位 | 原因 | 件数 | 構成比 | 代表的な経路 |
|---|---|---|---|---|
| 1位 | ウイルス感染・不正アクセス | 116件 | 64.4％ | ランサムウェア、脆弱性悪用、認証情報の窃取 |
| 2位 | 誤表示・誤送信 | 37件 | 20.5％ | 宛先ミス、誤設定、閲覧権限の不備 |
| 3位 | 紛失・誤廃棄 | 18件 | 10.0％ | PC・記録媒体の紛失、書類や機器の誤廃棄 |
| 4位 | 不正持ち出し・盗難 | 7件 | 3.8％ | 内部不正、退職者による持ち出し、機器の窃盗 |
| その他 | その他 | 2件 | 1.1％ | 個別の事情によるもの |
| 合計 | 180件 | 100％ |
件数だけを見ると、約6割は外部からのウイルス感染・不正アクセスです。しかし、残りの約4割は、誤設定、誤送信、紛失、誤廃棄、内部不正など、社内の人や運用が関係しています。
また、情報漏洩は一つの原因だけで発生するとは限りません。不正アクセスを受けた背景に、更新されていない機器、多要素認証の未設定、過剰なアクセス権限、ログ監視の不足が重なっていることもあります。
ここからは、4つの原因ごとに、実際の事例を3件ずつ見ていきます。
【ウイルス感染・不正アクセス】情報漏洩の事例3選
2025年に公表された事故では、ウイルス感染・不正アクセスが116件、全体の64.4％を占め、原因別で最多でした。
外部攻撃は、フィッシングメールだけでなく、VPNやネットワーク機器の脆弱性、Webサービスの認証・検索機能、ベンダーも把握していなかった未知の脆弱性などを入口として成立します。
ここでは、ゼロデイ脆弱性、契約者サイトへの不正アクセス、ネットワーク機器経由のランサムウェアという、異なる3つの攻撃経路を紹介します。
KDDI｜ISP向けメール基盤のゼロデイ脆弱性
公表日： 2026年6月23日に第一報、7月6日に第二報、7月21日に対象人数を訂正
被害規模： 第一報では最大約1,422万件。最新の訂正値ではメールアドレス1,223万1,954人分、うちパスワード761万6,173人分
原因： ISP向けメールサービス基盤で利用していた第三者製ソフトウェアの未知の脆弱性
企業の対応： 発見当日にシステムを改修し、外部通信を制御する全サーバーへEDRを導入
教訓： 更新だけでは防げないゼロデイを想定し、侵入後の検知と隔離を準備する
KDDIは2026年6月23日、同社がケーブルテレビ事業者や電力系通信事業者へ提供していたISP向けメールサービス基盤が、不正アクセスを受けたと公表しました。
第一報では、メールアドレスとパスワードを合わせて最大約1,422万件が外部へ流出した可能性があるとされていました。その後の調査で対象が精査され、7月21日の訂正後の最新値は、メールアドレス1,223万1,954人分、うちパスワード761万6,173人分です。
パスワードの対象人数は、メールアドレスの対象人数に含まれています。第一報と確定値を単純に足し合わせるものではありません。
侵入口となったのは、メール基盤で利用していた第三者製ソフトウェアの脆弱性でした。不正アクセスを確認した2026年6月17日時点では、ソフトウェアベンダーも把握していなかった未知の脆弱性だったと説明されています。
KDDIは不正アクセスを確認した6月17日中にシステムを改修し、6月21日までに外部通信を制御する全サーバーへEDRを導入しました。第三者機関によるフォレンジック調査も実施し、当該脆弱性以外に不審な痕跡がないことを確認しています。詳しい経緯は、KDDIの調査結果および対応状況で確認できます。
この事故の盲点は、修正プログラムが公開されていない段階で攻撃を受けたことです。未知の脆弱性を事前に完全排除することが難しい以上、EDRや通信監視によって侵入後の異常を早期に見つけ、影響範囲を限定できる体制が欠かせません。
アフラック生命保険｜契約者サイトへの不正アクセス
公表日： 2026年6月30日に第一報、7月13日に第二報、7月31日に最終調査結果
被害規模： 第一報の約438万人から、第二報・最終報告で約440万人へ更新。保険料振替口座情報を含む顧客は、第一報の約23万人から約22万人へ更新
原因： 契約者向けサイトのアクセス・データ照会に対する制御と監視の不足
企業の対応： 関連システムの停止、外部専門機関による調査、対象者への通知、金融庁への報告
教訓： 通常の利用に見える大量照会も検知・遮断できる仕組みが必要
アフラック生命保険は2026年6月30日、契約者向けWebサービスなどが第三者による不正アクセスを受け、顧客情報が漏洩したと公表しました。
第一報では対象が約438万人とされていましたが、第二報と最終報告では約440万人へ更新されています。不正アクセスによる情報漏洩が最初に発生した日も、当初の6月15日から6月10日へ訂正されました。
漏洩した情報には、氏名、生年月日、住所、電話番号、証券番号、保障内容などに加え、約22万人分の保険料振替口座情報が含まれていました。マイナンバー、クレジットカード情報、メールアドレスは含まれていないと説明されています。
同社のシステムには不正アクセスを検知・遮断する機能があり、システム設計時のセキュリティレビューやリリース前の侵入テストも実施されていました。
しかし、攻撃に使用されたアクセス形式が通常の利用時と同様だったため、不正アクセスとして直ちに検知できませんでした。短時間に大量のデータ照会が行われた場合の監視・制御も不足していたとされています。
同社は関連システムを停止し、アクセス時の認証、データ照会時の認可、大量アクセスの監視・制御を強化しました。口座情報を含む顧客には優先して通知し、7月31日に調査結果と再発防止策を金融庁へ報告しています。
詳しい内容は、アフラック生命保険の最終調査結果で確認できます。
この事例から分かるのは、一般的な脆弱性診断や侵入テストを実施していても、すべての業務ロジック上の悪用を事前に想定できるとは限らないということです。通常操作に見える大量検索や、特定条件で繰り返される照会を検知する運用も必要になります。
アサヒグループHD｜ネットワーク機器経由のランサムウェア
発生日： 2025年9月29日
被害規模： 漏洩のおそれがある情報は約191万4,000件。2026年2月時点で漏洩が確認された情報は11万5,513件
原因： グループ拠点のネットワーク機器を経由した侵入とランサムウェア攻撃
企業の対応： ネットワーク隔離、フォレンジック調査、バックアップからの復旧、EDR・ガバナンスの強化
教訓： 情報漏洩は、製造・物流・受発注を止める事業継続上の問題でもある
アサヒグループホールディングスは2025年9月29日、サイバー攻撃によるシステム障害を確認しました。
調査では、攻撃者がグループ拠点に設置されたネットワーク機器を経由して侵入し、管理者権限を取得したうえで、社内ネットワークを探索していたとみられています。9月29日にはランサムウェアが実行され、複数のサーバーや端末のデータが暗号化されました。
この事例では、「漏洩のおそれがある件数」と「実際に漏洩が確認された件数」を分けて理解する必要があります。
2025年11月時点で漏洩のおそれがあるとされた情報は、問い合わせ窓口の利用者、慶弔電報の社外関係者、従業員・退職者、家族情報など、合計約191万4,000件でした。
その後の精査により、2026年2月時点で漏洩が確認されたのは、従業員・退職者5,117件と、取引先の役職員等11万396件の合計11万5,513件です。約191万件すべての外部流出が確認されたわけではありません。
影響は個人情報の問題だけにとどまりませんでした。商品の受注・出荷に関係するシステムが停止し、これらの業務は手作業で対応する状態となりました。物流関連システムの段階的な再開後も、通常のリードタイムへ戻るまで時間を要しています。
アサヒグループはネットワークを隔離し、安全性を確認したシステムから段階的に復旧するとともに、EDR、ペネトレーションテスト、セキュリティガバナンスを強化しています。
この事例は、情報漏洩対策を個人情報保護部門だけへ任せてはいけないことを示しています。製造、受発注、物流、営業活動を継続するための事業継続対策として、経営層が関与しなければなりません。
【誤表示・誤送信】情報漏洩の事例3選
誤表示・誤送信は37件、全体の20.5％を占める2番目に多い原因です。
メールの宛先間違いやBCC漏れを想像しがちですが、ここで紹介する3件は、いずれもシステムの機能、設定変更、閲覧権限の管理が事故に関係しています。
担当者が送信前に画面を目視するだけでは防げない事故もあります。システム設定の変更、障害復旧、委託先の作業手順をどのように管理するかという視点で確認してください。
NHK｜委託先の送信対象選択ミスで3万2,940人分が流出
公表日： 2026年3月18日
被害規模： メールアドレス3万2,940件
原因： 外部ベンダーの作業担当者が、承認依頼メールの送信対象として誤ってシステム登録者全員を選択
組織の対応： 対象者への謝罪とメール削除依頼、個人情報保護委員会への報告、システム改修
教訓： 送信件数を分割しても、グループ内で宛先が見えれば情報漏洩になる
NHKでは、情報システムの作業申請に関する承認依頼メールを送信する際、システム保守を担当する外部ベンダーの作業担当者が、送信対象として誤ってシステム登録者全員を選択しました。
対象となったメールアドレスは3万2,940件です。内訳は、NHK職員・スタッフ1万5,199件、関連団体9,188件、外部事業者8,553件でした。
システムは登録者を100人ずつのグループへ分割してメールを送信していました。しかし、各メールでは、同じグループに含まれる最大100人分のメールアドレスを受信者同士が確認できる状態になっていました。
「一度に数万人へ送っていないから安全」ということではありません。1通当たりの宛先を分割していても、受信者へ他人のメールアドレスが表示されれば情報漏洩になります。
NHKは対象者へ謝罪してメールの削除を依頼し、登録者全員への一括送信を選択できないよう、システムを改修すると説明しています。詳しい経緯は、NHK広報局の報道資料で確認できます。
委託先へメール配信やシステム保守を任せる場合も、対象者の選択方法、承認手順、テスト送信、表示形式を発注者側が確認する必要があります。
佐川急便｜復旧作業中の設定ミスで別人の情報を誤表示
公表日： 2026年7月18日
被害規模： 約7万人が影響を受けた可能性
原因： システム不具合からの復旧作業中に発生した設定ミス
企業の対応： 誤表示の停止、影響範囲の調査、利用者への案内
教訓： 障害復旧時の緊急作業にも、変更管理と第三者確認が必要
佐川急便の会員向けサービスでは、荷物の配達予定を知らせるメールに、別の利用者の氏名、メールアドレス、問い合わせ送り状番号が表示される事象が発生しました。
影響を受けた可能性がある利用者は約7万人です。住所やクレジットカード情報は対象に含まれていないと報じられています。
ITmedia NEWSの報道によると、同社は原因について、外部からの不正アクセスやサイバー攻撃ではなく、システム不具合からの復旧作業中に発生した設定ミスであると説明しました。
障害が起きると、担当者には一刻も早い復旧が求められます。その結果、通常時には行うレビューや検証を省略し、別の情報漏洩事故を引き起こすことがあります。
本番環境の設定を変更するときは、緊急時であっても、変更内容、影響範囲、承認者、検証方法、元に戻す手順を記録します。復旧後に、通常機能が動くことだけでなく、別人の情報表示や過剰な権限が発生していないことまで確認して完了とすべきです。
コマツ｜設定不備で13万人分が約5年間閲覧可能に
公表日： 2026年6月16日
被害規模： 登録者13万9,302人分
原因： 関連システムのアクセス制御設定の不備
企業の対応： アクセス設定の修正、個人情報保護委員会への報告、再発防止策の実施
教訓： 権限設定は導入時だけでなく、運用中も定期的な棚卸しが必要
コマツは、同社が管理するシステムへ登録された一部の利用者が、ほかの登録者の氏名、メールアドレス、利用者区分、一部のアクセス日時を閲覧できる状態になっていたと公表しました。
対象となった登録者は13万9,302人です。
設定不備は2021年頃から存在し、2026年4月23日に発覚するまで、約5年間にわたって見つかっていませんでした。
ただし、これらの情報がインターネット上で不特定多数へ公開されていたわけではありません。閲覧できたのは、関連システムへ登録されていた利用者に限られていました。
コマツは発覚後、速やかにユーザー情報を閲覧できない設定へ変更し、個人情報保護委員会への報告などを実施しています。詳しい対象範囲は、コマツの公表資料で確認できます。
この事故の最大の論点は、設定不備そのものに加え、約5年間、誰もその状態に気づかなかったことです。
アクセス権限は、システム導入時に設定すれば終わりではありません。システム連携の追加、組織変更、利用者区分の変更、機能改修によって、当初想定していなかった閲覧経路が生まれることがあります。
【紛失・誤廃棄】情報漏洩の事例3選
紛失・誤廃棄は18件、全体の10.0％でした。
サイバー攻撃を受けていなくても、SSD、DVD、パソコンなどの媒体が所在不明になったり、データが残った機器が第三者へ渡ったりすれば、情報漏洩につながります。
ここでは、「保管中の紛失」「受領物の誤廃棄の疑い」「廃棄処理の不備」という異なる3つの事例を取り上げます。いずれも、媒体を作成・利用している最中ではなく、保管、受領、廃棄という見落とされやすい工程で起きています。
九州電力送配電｜暗号化なしのSSDが所在不明
公表日： 2026年6月8日に第一報、7月8日に精査結果
被害規模： 第一報では最大約1,090万口。精査後は個人情報と契約情報を合わせて1,354万件
原因： バックアップ用SSDの保管・持ち出し管理不足
企業の対応： 全媒体の調査、委託先管理の見直し、「使わない・持ち出させない・読み取れない」の三原則
教訓： 厳重な部屋の中でも、媒体そのものを施錠・暗号化しなければ守れない
九州電力送配電は、顧客情報を保存したバックアップ用SSDが所在不明になったと公表しました。
第一報では最大約1,090万口の情報が保存されている可能性があるとされていました。その後の精査により、個人情報約1,003万件と契約情報約351万件の合計1,354万件が保存されていたことが判明しました。
この数値は重複を含み得るデータの件数であり、1,354万人の情報が漏洩したという意味ではありません。
SSDが置かれていたサーバー室には、身分証明書による本人確認、カード認証、生体認証、監視カメラなど、複数の物理的な対策が設けられていました。
一方、SSDを収納していたキャビネットは施錠されず、媒体自体にも暗号化やパスワード保護が行われていませんでした。
バックアップ作業を行う委託先の作業手順にも、SSDの保管場所や施錠方法が具体的に定められておらず、作業時に九州電力送配電の社員が立ち会う運用にもなっていませんでした。
同社は再発防止策を、「使わない」「持ち出させない」「読み取れない」の三原則で整理しています。
まず外部記録媒体を使わずに済む業務へ変更します。やむを得ず使用する場合は施錠や台帳で管理し、それでも紛失・盗難が起きた場合に備えて、暗号化とパスワード保護を行う考え方です。
西村証券｜受領したDVDを誤って廃棄した疑い
公表日： 2025年11月7日
被害規模： 顧客4,104人分
原因： 宅配便で受領したDVDを所定の場所へ保管せず、封筒とともに廃棄した可能性
企業の対応： 社内捜索、対象者への連絡、個人情報保護委員会・関係当局への報告
教訓： 情報媒体は作成・利用時だけでなく、受領した瞬間から管理する
西村証券では、業務上受領したDVDの正副2枚が所在不明になりました。
DVDには、顧客4,104人分の氏名、住所、口座番号、取引データが保存されていました。ファイルにはパスワードが設定されていたものの、媒体そのものが見つかっていません。
調査では、宅配便で受領した社員がDVDを所定の保管場所へ収納しておらず、DVDが入っていた封筒もすでに廃棄されていたことが判明しました。このため、封筒とともにDVDを誤廃棄した可能性があるとされています。
同社は社内捜索を実施し、対象者へ文書と電話で連絡するとともに、個人情報保護委員会、近畿財務局、日本証券業協会へ報告しました。公表時点で情報の不正利用は確認されていません。詳細は、西村証券の公表資料に記載されています。
情報管理では、保管中の媒体や自社で作成した媒体に注目しがちです。しかし、郵便、宅配便、取引先から手渡された媒体も、受領した時点から管理対象になります。
受領者、受領日時、保管場所、引き渡し先を記録し、封筒や梱包材を廃棄する前に、中身が残っていないことを確認する手順が必要です。
ミカサ｜廃棄PCのデータ消去が不十分で10年前の情報が流出
公表日： 2026年6月16日
被害規模： 最大4,298人分
原因： 廃棄業者によるパソコンの破壊処理が不十分で、記憶媒体にデータが残存
企業の対応： 対象PCの回収、影響範囲の調査、個人情報保護委員会への報告、廃棄手順の見直し
教訓： 廃棄を委託しても、データ消去の完了まで確認する責任は残る
スポーツ用品メーカーのミカサは、廃棄処理を委託したパソコンにデータが残ったまま流通し、一時的に第三者へ渡った可能性があると公表しました。
廃品処理業者はパソコンを破損させていましたが、データが保存された箇所の処理が十分ではありませんでした。その後、ミカサは対象PCを回収し、調査を行っています。
保存されていた可能性があるのは、2013年9月から2016年3月までにオンラインショップを利用した最大4,298人分の氏名、住所、メールアドレス、電話番号、生年月日、購入情報などです。クレジットカード情報など、決済に関係する情報は含まれていませんでした。
公表は2026年です。約10年前に使用していたデータであっても、廃棄処理が不十分なら、後から情報漏洩問題として表面化します。
同社は、データへアクセスするには煩雑な復旧作業が必要であり、実際に情報が閲覧された可能性は高くないと説明しています。ただし、一度は第三者が取得した状態で流通した以上、漏洩の可能性を完全には否定できません。
廃棄業者へ機器を渡した時点で管理を終えるのではなく、対象機器の型番やシリアル番号、データ消去方法、物理破壊の方法、処理日を記載した証明書を受領する必要があります。
【不正持ち出し・盗難】情報漏洩の事例3選
不正持ち出し・盗難は7件、全体の3.8％で、件数としては4分類の中で最少です。
ただし、正規の権限を持つ内部関係者は、大量の情報へアクセスできる場合があります。1件当たりの対象規模や事業への影響は、ほかの原因より大きくなる可能性があります。
ここでは、退職者によるクラウド経由の持ち出し、転売目的のパソコン窃盗、再委託先の担当者による名簿業者への売却という、動機と手口が異なる3件を紹介します。
ユナイテッドアローズ｜元従業員が退職後にクラウド経由で持ち出し
公表日： 2026年3月16日
被害規模： 取引先担当者など約1万件
原因： 退職前にクラウドの外部連携機能でリンクを作成し、退職後に社外端末からダウンロード
企業の対応： 元従業員・転職先への確認、外部機関による調査、個人情報保護委員会への報告
教訓： 退職日のアカウント停止だけでなく、退職前の共有・ダウンロード操作も確認する
ユナイテッドアローズでは、元従業員が退職前に、広報・PR活動に関係する取引先担当者など約1万人分の情報を持ち出しました。
元従業員はクラウドサービスの外部連携機能を使い、対象データへアクセスできるリンクを個人メールへ送信していました。その後、2025年12月31日の退職後、2026年1月4日に社外のパソコンからリンクへアクセスし、データをダウンロードしています。
同社は1月6日に事案を把握し、翌7日に元従業員へ事情聴取を行いました。1月9日には転職先とも面談し、元従業員に貸与していたPC、元従業員の個人PC、転職先PCについて、外部機関を交えた調査を進めています。
個人情報保護委員会への報告は3月9日、公表は3月16日で、事案把握から約2か月後でした。
調査では、元従業員がデータを使用した実績や、元従業員以外が閲覧した可能性は確認されていないと説明されています。詳しい経緯は、ユナイテッドアローズの公表資料で確認できます。
退職日にアカウントを停止しても、退職前に外部共有リンクを作成されていれば、退職後もアクセスできる場合があります。
退職予定者については、大量ダウンロード、外部共有、個人メールへの送信、クラウド連携の作成など、退職前の操作ログまで確認する必要があります。
沖縄県浦添市｜委託先職員がノートPC83台を窃取
第一報： 2026年4月18日。その後、5月29日から7月31日まで続報を更新
被害規模： ノートPC83台が所在不明。うち3台に個人情報を保存
原因： ヘルプデスク業務の委託会社社員による窃盗とみられる行為
自治体の対応： 警察への届出、機器の回収、フォレンジック・ダークウェブ調査、資産台帳と受け渡し手順の見直し
教訓： 情報を狙わない盗難でも、端末に情報が残っていれば漏洩リスクになる
沖縄県浦添市では、業務用ノートパソコン83台が所在不明となり、委託会社の社員が窃盗容疑で逮捕されました。
市の説明では、容疑者は端末を同じ販売事業者へ持ち込んでいたことから、転売を目的としていたとみられています。個人情報そのものを取得する目的だったことを示す事実は、確認されていません。
しかし、盗難に遭った83台のうち3台には、市民の個人情報が保存されていました。
市民課で使用されていた1台には、2025年11月17日時点の住民登録者11万5,526件の情報が含まれていました。給付金室で使用されていた2台には、申請者112件の氏名、住所、電話番号、メールアドレス、口座番号、生年月日が含まれていました。
個人情報を含む3台はいずれも回収されています。
市民課PCのフォレンジック調査では、外部記録媒体の接続、クラウドサービスの利用、個人情報ファイルへのアクセス、Webメールの利用を示す痕跡は確認されませんでした。一方、給付金室の2台は初期化済みだったため、詳細な解析ができなかったとされています。
浦添市はダークウェブ調査も継続しており、2026年7月30日までの調査では、本件に関係する情報の流出は確認されていません。詳しい経緯と最新情報は、浦添市の公表ページで確認できます。
この事例の教訓は、盗難の目的が情報でなくても、端末にデータが残っていれば、結果として個人情報が危険にさらされることです。
端末を固定資産台帳へ登録するだけでなく、現在地、利用者、保管場所、受け渡し履歴を継続的に更新しなければなりません。
ベネッセ｜再委託先の派遣社員が大量の顧客情報を名簿業者へ売却
発覚・公表： 2014年
被害規模： 当時公表された漏洩件数は最大約3,504万件。重複を除いた対象者は約2,895万人と推計
原因： 再委託先の担当者が私物スマートフォンを業務PCへ接続し、顧客情報を取得して名簿業者へ売却
企業の対応： 顧客への通知・補償、刑事告訴、セキュリティ管理体制の再構築
教訓： 正規権限を持つ内部関係者には、持ち出せない仕組みと、持ち出しを検知する仕組みが必要
ベネッセコーポレーションの個人情報漏洩事件は、国内最大級の内部不正事例として、現在も委託先管理や内部不正対策の説明で参照されています。
業務委託先からさらに再委託された事業者の担当者が、貸与された業務用パソコンへ私物スマートフォンを接続し、顧客情報を取得しました。取得した情報は名簿業者3社へ売却され、その後、複数の事業者へ流通しています。
当時のセキュリティ対策では、一般的なUSBメモリーへの書き出しは制御されていました。
しかし、スマートフォンで使用される別のデータ転送方式は制御の対象外でした。また、業務用パソコンと顧客データベースの間の通信量についても、異常を検知するアラートが設定されていませんでした。私物スマートフォンの執務室への持ち込みや、業務用PCへの接続も許容されていました。
経済産業省は2014年9月、委託先に対する必要かつ適切な監督が不十分だったとして、ベネッセコーポレーションへ勧告を行いました。
損害賠償請求では、裁判所が一部の原告について、1人当たり3,300円の支払いを命じた判決があります。すべての対象者へ同額を一律に支払うという判決ではなく、個々の訴訟で認められた金額である点に注意が必要です。
ベネッセホールディングスは、個人情報漏洩への対応に伴う費用を含む特別損失を計上し、2014年度第2四半期累計では136億3,700万円の純損失となりました。ただし、この純損失の全額が、情報漏洩対応費用だったという意味ではありません。
この事件では、刑事責任も問われました。情報を持ち出した担当者には、不正競争防止法違反について有罪判決が言い渡されています。
12件中4件では委託先・再委託先が関係している
本記事で紹介した12件のうち、NHK、九州電力送配電、浦添市、ベネッセの4件では、委託先または再委託先の担当者・作業が事故に関係しています。
KDDIについても、第三者製ソフトウェアの脆弱性が侵入口となりましたが、これを委託先起因と同じ分類に含めるかは、契約関係や責任範囲によって判断が分かれます。
自社の端末やシステムだけを守っても、委託先のアクセス権限、作業手順、媒体管理、再委託の状況を確認しなければ、情報漏洩を防ぎきれません。
情報漏洩が企業に与える影響
12件の事例から分かるように、情報漏洩が企業へ与える影響は、顧客への謝罪やシステム修正だけでは終わりません。
賠償や補償、フォレンジック調査、対象者への通知、問い合わせ窓口の設置、業務停止、取引先対応、再発防止、信用回復など、長期間にわたる対応が必要になります。
ここでは、金銭、事業継続、信用の3つの観点から、前章で紹介した事例をもとに整理します。
賠償金の支払いが発生する
個人情報が漏洩した場合の賠償額に、法律で定められた一律の相場はありません。
一般的な解説では、氏名、住所、電話番号などの基本情報について、1人当たり1,000円から6,000円程度が目安として紹介されることがあります。病歴、金融情報、認証情報などの機微性が高い情報や、実際の不正利用が発生した場合には、1万円を超える判断となる可能性もあります。
ただし、これらは法定された金額ではありません。漏洩した情報の内容、第三者への拡散状況、二次被害、企業側の過失、事故後の対応などを踏まえて、個別に判断されます。
ベネッセ事件では、東京地方裁判所が一部の原告について、1人当たり3,300円の支払いを命じました。
企業の実際の支出は、賠償金だけではありません。
- フォレンジック調査
- 法律相談
- 対象者の特定
- 通知書の印刷・発送
- コールセンターの設置
- カード再発行や認証情報変更の支援
- システムの再構築
- 広報・記者会見
- セキュリティ製品の追加導入
対象者1人当たりの賠償額が数千円であっても、対象人数が数十万人、数百万人になれば負担は急増します。さらに、調査、復旧、顧客対応の実費が加わるため、事故対応の総額は賠償額だけを見た場合とは大きく異なります。
事業が長期間ストップする
ランサムウェアなどの攻撃では、個人情報が漏れるだけでなく、受発注、製造、物流、顧客対応などの業務が止まることがあります。
アサヒグループでは、サイバー攻撃後に、商品の受注・出荷に関係するシステムが停止しました。物流関連のシステムが段階的に再開された後も、通常の業務へ戻るまで数か月を要しています。
別の大規模事例では、アスクルが、ランサムウェア攻撃によるシステム障害への対応費用として、52億1,600万円の特別損失を計上しました。東京商工リサーチは、サービス停止によって売上の大部分が失われ、通期業績予想も取り下げられたと報告しています。
情報漏洩対策を個人情報保護だけの問題として扱うと、業務停止への準備が不足します。
- 受注システムが使えない場合の代替手段
- 工場や倉庫の手作業運用
- 顧客・取引先への連絡方法
- バックアップからの復旧順序
- 代替端末・ネットワークの確保
- 復旧を判断する責任者
こうした内容を、事業継続計画とインシデント対応手順の両方へ反映させる必要があります。
信用の回復に時間がかかる
調査費用や賠償金は金額を算出できます。システムも、時間と費用をかければ復旧できます。
一方、顧客や取引先から失った信用は、短期間で元に戻せるものではありません。
ベネッセの情報漏洩事件は、発生から10年以上が経過しても、内部不正や委託先管理を説明する代表的な事例として引用されています。
同社はその後の報告書でも、情報漏洩によって失った信頼の回復を、長期的な経営課題として扱ってきました。
事故後の信用を左右するのは、漏洩件数だけではありません。
- 発表が不自然に遅れていないか
- 説明や対象件数が変わった理由を示したか
- 対象者へ具体的な対処方法を伝えたか
- 問い合わせへ対応できたか
- 原因と再発防止策を公表したか
- 同じ事故を繰り返していないか
事実を隠そうとしたり、調査中の段階で被害を過小に説明したりすると、事故そのもの以上に、企業姿勢が批判される可能性があります。
【原因別】情報漏洩を防ぐ対策
「情報セキュリティを強化する」という方針だけでは、担当者が何を変えるべきか判断できません。
ウイルス感染・不正アクセス、誤表示・誤送信、紛失・誤廃棄、不正持ち出し・盗難では、原因も有効な対策も異なります。
すべての対策を一度に実施するのが難しい場合は、自社で最も起こりやすい原因を一つ選び、その原因に直接対応する対策から確認してください。
ウイルス感染・不正アクセスへの対策
外部からの攻撃を100％防ぐことは困難です。
KDDIのように、ソフトウェアベンダーも把握していなかった未知の脆弱性が悪用される場合もあります。一方で、修正プログラムが公開済みの脆弱性や、盗まれたパスワードが侵入口となる事故も少なくありません。
そのため、外部攻撃への対策は、「侵入を難しくする」「侵入後の被害を限定する」「侵入されたことに早く気づく」という3つの観点で組み合わせます。
KDDIが事故後にEDRを導入したように、予防だけでなく、検知と対応まで含めた体制が必要です。
多要素認証の導入とパスワード管理の徹底
IDとパスワードだけでログインできる状態では、パスワードを盗まれると、攻撃者も正規利用者と同じようにサービスへアクセスできます。
多要素認証は、パスワードに加えて、認証アプリ、セキュリティキー、生体認証など、別の確認要素を要求する仕組みです。
攻撃者がパスワードを入手しても、もう一つの認証要素を用意できなければログインを防げます。
追加費用なしで利用できるサービスも多いため、最初に次のアカウントで有効にしてください。
- メール
- VPN・リモートアクセス
- クラウド管理画面
- 管理者アカウント
- 会計・給与・顧客管理システム
パスワードは使い回さず、サービスごとに異なる長い文字列を設定します。会社で承認したパスワード管理ツールを用意すれば、付箋や表計算ファイルへ保存する運用を減らせます。
OSやソフトウェアの定期的なアップデート
KDDIのようなゼロデイ攻撃は、修正プログラムが存在しない段階で悪用されるため、通常の更新だけでは防げません。
しかし、すでに修正プログラムが公開されている既知の脆弱性を放置すれば、攻撃者へ既知の侵入口を提供することになります。
更新対象は、従業員のパソコンだけではありません。
- VPN機器
- ファイアウォール
- NAS
- 複合機
- Webサーバー
- CMSとプラグイン
- リモートアクセス製品
- バックアップ装置
機器台帳には、製品名、バージョン、管理担当者、保守先、サポート終了日、最終更新日を記録します。
月1回を目安にメーカーのセキュリティ情報と照合し、緊急性の高い脆弱性については、通常の更新日を待たずに対応できる承認手順を準備してください。
誤表示・誤送信への対策
NHK、佐川急便、コマツの事例では、担当者の単純な宛先入力ミスだけでなく、システムの送信対象、復旧作業中の設定、アクセス権限の不備が事故に関係しています。
この類型は、送信前のチェックリストや担当者の注意力だけでは防げません。
設定変更時のレビュー、テスト環境での確認、本番反映後の動作確認、公開範囲と権限の定期的な棚卸しが必要です。
特に障害復旧時は、早く復旧させることだけを完了条件とせず、別人の情報が表示されないことや、権限が広がっていないことまで確認してください。
システム設定を変更したときの二重確認
佐川急便では、システム不具合からの復旧作業中に設定ミスが発生しました。NHKでは、委託先の作業担当者が、承認依頼メールの送信対象として登録者全員を選択しています。
システム設定を変更するときは、作業者とは別の担当者が、次の項目を確認します。
- 変更する対象が正しいか
- 対象外の利用者へ影響しないか
- テスト環境で確認したか
- 本番反映後の表示を確認したか
- 問題発生時に元へ戻せるか
- 作業内容と結果を記録したか
委託先へ作業を任せる場合は、作業手順書に確認者、テスト方法、本番反映後の確認項目まで記載します。
発注者側にも、作業内容の承認と結果確認を行う責任があります。
情報の公開範囲と閲覧権限の定期的な見直し
アクセス権限は、一度設定して終わりではありません。
コマツの事例では、設定不備が約5年間見つかりませんでした。システム連携や利用者区分の変更後に、当初とは異なる閲覧経路が生まれることがあります。
四半期または半年ごとに、次の内容を棚卸しします。
- 外部共有されているファイル
- 匿名で閲覧できるリンク
- 退職者や異動者の権限
- 管理者権限を持つ利用者
- 委託先アカウント
- 長期間利用されていないアカウント
- 一般利用者が閲覧できるデータ項目
設定値の一覧を見るだけでなく、実際の一般利用者アカウントでログインし、どの情報が表示されるかを確認することが有効です。
紛失・誤廃棄への対策
記録媒体の対策は、九州電力送配電が示した「使わない」「持ち出させない」「読み取れない」という3段階で考えると整理しやすくなります。
最初に、USBメモリーや外付けSSDを使わずに済む業務へ変更します。使用が必要な場合は、保管場所、貸出者、利用者、返却日を管理します。
それでも紛失・盗難が起きる可能性を考え、媒体そのものを暗号化します。
廃棄時には、業者へ渡したことを完了とせず、データの消去・破壊が完了した証拠まで確認しなければなりません。
USBメモリなど外部記録媒体の持ち出し制限
外部記録媒体を使わせないことが、最も確実な紛失防止策です。
ファイル共有が必要な場合は、会社が承認したクラウドストレージやファイル転送サービスを用意します。
業務上、外部媒体が必要な場合は、次の運用を定めてください。
- 会社が支給した媒体だけを使用する
- 媒体ごとに管理番号を付ける
- 貸出者、使用目的、持ち出し日、返却日を記録する
- 使用できる端末を制限する
- 鍵付きの場所へ保管する
- 利用終了後にデータを削除する
- 定期的に現物を確認する
委託先が媒体を使用する場合も、同じ基準を契約書や作業手順書へ反映します。
データの暗号化と廃棄時の消去確認
記録媒体を暗号化していれば、紛失や盗難が起きても、第三者が内容を読み取るリスクを下げられます。
九州電力送配電の事例では、サーバー室に複数の物理的な対策があった一方、SSD自体は暗号化されていませんでした。部屋の安全性と、媒体単体の安全性は切り分けて考える必要があります。
廃棄時には、初期化だけでなく、専用ソフトによる消去、セキュアイレース、暗号鍵の破棄、物理破壊など、媒体に適した処理を行います。
ミカサの事例を踏まえ、廃棄業者には、対象機器のシリアル番号、処理方法、処理日を記載したデータ消去証明書を求めてください。
証明書の台数と、実際に引き渡した機器の台数が一致するかまで確認します。
不正持ち出し・盗難への対策
内部不正は、「社員や委託先を信頼する」という性善説だけでは防げません。
正規の権限を持つ人は、マルウェアを使わなくても、ファイルのダウンロード、クラウド共有、メール転送、外部媒体へのコピーによって情報を持ち出せます。
そのため、内部不正対策では、「そもそも必要以上の情報へアクセスさせない」「持ち出しに使える機能を制限する」「持ち出そうとしたら検知する」という3つの仕組みが必要です。
監視を行う場合は、就業規則、社内規程、従業員への周知、プライバシーへの配慮も必要になります。
アクセスできる範囲を必要最小限にする
業務に必要のない情報へアクセスできる状態そのものがリスクです。
営業担当者が全顧客の名簿を一括でダウンロードできる、委託先が契約範囲外のデータを閲覧できる、通常業務用アカウントに管理者権限が付いているといった状態を見直します。
権限の棚卸しでは、システム管理者だけで判断せず、各部門長へ利用者と権限の一覧を渡し、業務上必要かを確認します。
- 現在の担当業務で必要か
- 閲覧だけでよいか
- ダウンロードや編集が必要か
- 一括出力が必要か
- 有効期限を設定できないか
大量ダウンロード、通常と異なる時間帯のアクセス、短時間の連続検索については、アラートを出す仕組みも検討してください。
退職者のアカウント停止とデータ確認
退職者対策は、退職日のアカウント停止だけでは足りません。
ユナイテッドアローズの事例では、元従業員が退職前に外部共有リンクを作成し、退職後に社外のパソコンからデータをダウンロードしました。
退職手続きでは、次の内容を確認します。
- メール、VPN、SaaSのアカウント停止
- 外部共有リンクの削除
- APIキーやアクセストークンの無効化
- 私物メールへの転送設定
- 退職前の大量ダウンロード
- 個人用クラウドへのアップロード
- USBメモリーの接続
- 会社端末と記録媒体の返却
- 共有パスワードの変更
退職が決まった時点から、業務上必要な範囲で操作ログを確認し、外部共有や大量ダウンロードが行われていないかを確認してください。
情報漏洩対策ができているか確認するならCyberCrew
事例を見ると、自社でも多要素認証、更新、権限管理、ログ取得、媒体管理を進める必要があると分かります。
しかし、設定した対策が実際に機能しているか、攻撃者が別の経路から侵入できないかを、設定を行った担当者だけで判断するのは困難です。
KDDIでは未知の脆弱性が悪用され、コマツではアクセス設定の不備が約5年間見つかりませんでした。「対策を導入していること」と「現実の攻撃や誤操作を防げる状態」は同じではありません。
CyberCrewでは、ホワイトハッカーが攻撃者の視点でシステムを検証するペネトレーションテストを提供しています。
脆弱性を一覧にするだけでなく、実際に侵入できるか、一般アカウントから権限を拡大できるか、ほかのシステムへ移動できるか、重要情報へ到達できるかを確認します。
ダークウェブモニタリングでは、自社のメールアドレス、認証情報、企業情報などが、外部の漏洩データやダークウェブ上で流通していないかを調査します。
社内のファイアウォールやEDRでは直接確認できない、自社の管理範囲外で発生した認証情報の流出を把握するための対策です。
CyberCrewのペネトレーションテストサービスと脆弱性診断サービスは、日本セキュリティ監査協会が運営する情報セキュリティサービス台帳へ登録されています。Web、モバイル、ネットワーク、クラウド、大規模言語モデルなどを対象としたサービス概要が公開されています。登録内容は、情報セキュリティサービス台帳のCyberCrew掲載ページで確認できます。
なお、台帳登録は個別のシステムの安全性や、将来にわたるサービス品質を国が保証する制度ではありません。診断を依頼するときは、対象範囲、実施方法、報告内容、再テストの条件も確認してください。
自社の対策状況や必要な診断範囲が分からない場合は、CyberCrewの公式サイトからご相談ください。
情報漏洩が発生したときの対応手順
情報漏洩は、予防だけでなく、発生後の対応によっても結果が変わります。
初動を誤ると、攻撃が継続して被害が広がったり、原因究明に必要なログや証拠が失われたりする可能性があります。
また、個人情報を含む一定の事故には、個人情報保護委員会への報告期限があります。事故発生後に担当者や連絡先を決め始めるのではなく、平時から初動手順を準備しておく必要があります。
発見したらすぐシステムを遮断する
不正アクセスやマルウェア感染が疑われる場合は、被害の拡大を止めることを優先します。
端末であればLANケーブルを抜く、Wi-Fiを無効にする、VPNを切断するなど、ネットワークから隔離します。不正利用が疑われるアカウントは一時停止し、公開設定や外部共有リンクも停止します。
KDDIは不正アクセスを確認した2026年6月17日中に、侵入口となったシステムの改修を完了しました。迅速な遮断と修正は、追加の情報流出を防ぐうえで重要です。
ただし、安易に端末やサーバーを初期化、再起動、削除してはいけません。
メモリー上の情報、通信先、実行中のプログラム、不審ファイルなど、調査に必要な証拠が失われる可能性があります。
暗号化やデータ破壊が進行している場合など、電源を維持する方が危険なケースもあります。状況によって対応は異なるため、インシデント対応責任者やフォレンジック専門家の指示を受けてください。
外部機関に調査を依頼する
自社の担当者だけで調査すると、侵入経路や影響範囲を特定しきれない場合があります。
攻撃者がログを削除している、複数のサーバーへ移動している、正規アカウントを使っている場合は、通常の管理画面だけでは痕跡を見つけにくくなります。
フォレンジック調査では、端末、サーバー、ネットワーク機器、クラウド、メール、認証ログなどを保全し、次の点を確認します。
- 最初の侵入時刻
- 侵入口
- 使用されたアカウント
- 攻撃者が操作した端末・サーバー
- 取得・送信された情報
- 不正ファイルやバックドア
- 現在も残る侵入経路
大規模な事故では、数日で全容を確定できるとは限りません。
アサヒグループでは、2025年9月末の攻撃から、原因や影響範囲をまとめた公表まで約2か月を要し、その後も追加調査が続きました。
調査に時間がかかる前提で、速報ではその時点で判明している事実を報告し、未確定の内容を断定しないことが重要です。
3〜5日以内に速報、30日以内に確報を提出する
個人情報保護法では、個人の権利利益を害するおそれが大きい一定の漏洩等について、個人情報保護委員会への報告が義務付けられています。
主な報告対象は、次の4類型です。
- 要配慮個人情報を含む
- 不正利用によって財産的被害が生じるおそれがある
- 不正な目的で行われたおそれがある
- 対象となる本人が1,000人を超える
報告対象に該当する場合、速報は事態を知った時点から概ね3〜5日以内に提出します。
確報は原則として30日以内です。不正アクセス、内部不正、盗難など、不正な目的で行われたおそれがある事案は60日以内となります。
期限は事故が発生した日ではなく、企業が報告対象となる事態を知った日を基準にします。
調査が完了していなくても、速報期限までに判明している内容を報告し、その後、確報で原因、対象人数、二次被害、本人対応、再発防止策などを提出します。
詳しい要件と報告方法は、個人情報保護委員会の漏えい等報告に関する案内で確認できます。
本人への通知と公表を行う
報告対象となる情報漏洩については、原則として影響を受ける本人への通知も必要です。
通知では、次の内容を分かりやすく伝えます。
- 何が起きたか
- どの情報が漏洩したか
- 二次被害のおそれ
- 本人に行ってほしい対応
- 問い合わせ窓口
アフラック生命保険は、保険料振替口座情報を含む顧客について、二次被害防止の観点から金融機関との連携を進めました。また、7月10日から対象顧客へ文書を送付しています。
本人への通知義務と、企業がプレスリリースや記者会見で広く公表することは、別の判断です。
公表の要否は、対象人数、情報の内容、二次被害のおそれ、社会的影響、問い合わせ対応の必要性などを踏まえて決めます。
本人への連絡が困難である場合には、公表など、本人の権利利益を保護するための代替措置を講じる場合もあります。
情報漏洩の事例に関するよくある質問
情報漏洩の事例について、事故規模、従業員への処分、賠償、漏洩の確認方法、報告義務など、実務上よく聞かれる質問をまとめます。
事故ごとに漏洩した情報、故意性、被害範囲、企業側の管理状況が異なります。ここで紹介する数字や処分を、すべての事故へ一律に当てはめないよう注意してください。
Q. 情報漏洩事件で最も規模が大きいのはどれですか？
国内では、ベネッセの最大約3,504万件が、最大級の事例として知られています。
ただし、重複を除いた実人数は約2,895万人と推計されており、「件数」と「人数」は区別する必要があります。
近年の大規模事例では、KDDIのメールアドレス1,223万1,954人分、九州電力送配電の1,354万件などがあります。
九州電力送配電の数値は、個人情報と契約情報を合わせたデータの件数であり、同数の個人が存在するという意味ではありません。
事例を比較するときは、公表された単位が「件」「人」「契約」「メールアドレス」のどれかを確認してください。
Q. 情報漏洩を起こすと必ず解雇されますか？
情報漏洩を起こしたからといって、必ず解雇されるわけではありません。
処分は、故意か過失か、被害規模、社内ルール、過去の指導、事故発生後の報告、再発防止への対応などを踏まえて判断されます。
ベネッセのように情報を故意に持ち出して売却した事例や、浦添市のようにパソコンを窃取した事例では、懲戒処分だけでなく、刑事責任や損害賠償責任を問われる可能性があります。
一方、誤送信や紛失などの過失では、事案の重大性や企業側の管理状況によって処分が変わります。
個別の処分については、就業規則と労働法を踏まえ、弁護士や社会保険労務士へ相談してください。
Q. 賠償金はいくらくらいになりますか？
情報漏洩の賠償額に、法律で定められた一律の相場はありません。
一般的な解説では、基本的な個人情報について、1人当たり1,000円から6,000円程度が目安として紹介されることがあります。機微性の高い情報や実際の二次被害がある場合は、1万円を超える可能性もあります。
ただし、漏洩した情報の種類、拡散状況、経済的被害、企業側の過失、事故後の対応によって判断は変わります。
ベネッセ事件では、一部の原告について、1人当たり3,300円の支払いが命じられました。
企業には賠償金以外にも、調査、通知、コールセンター、復旧、広報、再発防止の費用が発生します。
Q. 漏洩したかどうか確認する方法はありますか？
個人の場合は、対象企業からの通知や公式発表を確認するのが基本です。
身に覚えのないログイン通知、パスワード変更通知、カード請求、迷惑メールの増加などがある場合は、該当サービスのパスワードを変更し、多要素認証を有効にしてください。
企業では、ダークウェブ監視や漏洩認証情報の調査により、自社ドメインのメールアドレスやパスワードが流通していないか確認する方法があります。
ただし、監視で情報が見つからないからといって、漏洩していないことを完全に証明できるわけではありません。
ログ監視、脆弱性診断、インシデント調査などと組み合わせて判断します。
Q. 中小企業でも報告義務はありますか？
中小企業でも、報告対象となる事故であれば、個人情報保護委員会への報告義務があります。
企業規模が小さいことを理由に免除される制度ではありません。
「対象者が1,000人を超える」という基準だけでなく、要配慮個人情報、財産的被害のおそれ、不正な目的のおそれがある事案は、対象人数が1,000人以下でも報告義務が生じます。
例えば、数十人分であっても、医療情報、カード情報、ログインIDとパスワード、不正アクセスによる漏洩などは、報告対象になる可能性があります。
判断に迷う場合は、個人情報保護委員会の案内を確認し、法律専門家へ相談してください。
Q. 患者や利用者について家族や友人と話すだけでも情報漏洩になりますか？
氏名を出していなくても、本人を特定できる内容を業務上必要のない相手へ話せば、守秘義務や個人情報取扱規程に反する可能性があります。
例えば、所属先、年齢、病状、入院日、居住地域、事故の状況などを組み合わせると、周囲の人が本人を特定できる場合があります。
医療、介護、教育、行政、コールセンターなどで知った情報は、SNSへ投稿しなければ自由に話してよいわけではありません。
家族との会話、個人のLINE、飲食店や電車内での会話でも、情報が第三者へ伝わる可能性があります。
実習生や学生も、所属先の守秘義務、実習規程、個人情報取扱ルールに従ってください。誤って話した可能性がある場合は、自分だけで判断せず、速やかに指導者や責任者へ報告します。
まとめ｜事例から学んで、自社の情報漏洩対策を見直そう
情報漏洩の原因は、大きく次の4つに分けられます。
- ウイルス感染・不正アクセス： 多要素認証、更新、EDR、ログ監視
- 誤表示・誤送信： 設定変更の二重確認、権限・公開範囲の棚卸し
- 紛失・誤廃棄： 媒体の利用制限、暗号化、廃棄時の消去確認
- 不正持ち出し・盗難： 最小権限、操作ログ、退職者・委託先管理
外部攻撃が件数の約6割を占めていますが、残りの約4割は、誤設定、紛失、内部不正など、社内の運用が関係しています。
また、今回紹介した12件のうち、少なくとも4件では、委託先または再委託先の作業・担当者が事故に関係していました。自社のネットワークを守るだけでなく、情報を預ける相手の権限、作業、媒体、再委託先まで確認する必要があります。
すべての対策を一度に実施する必要はありません。
まずは、自社で最も起こりやすい原因を一つ選び、その原因に対応する対策を2つ以上確認してください。
例えば、クラウドサービスを多用している企業なら、外部共有一覧と退職者アカウントを確認します。VPNや公開サーバーを運用している企業なら、更新状況と多要素認証を確認します。顧客情報を委託先へ渡している企業なら、委託契約、アクセス権限、再委託先を確認します。
情報漏洩事例から得られる最大の教訓は、「対策しているつもり」と「実際にできている状態」は別であるということです。
生体認証付きのサーバー室があっても、媒体が暗号化されていなければ情報は守れません。セキュリティ製品を導入していても、設定不備が5年間見つからないことがあります。退職日にアカウントを停止しても、退職前に外部共有リンクを作られていれば持ち出されます。
社内で設定やルールを見直した後は、第三者による脆弱性診断やペネトレーションテストを活用し、攻撃者の視点から抜け漏れを確認してください。
自社の情報漏洩リスクや、優先すべき対策が分からない場合は、CyberCrewへご相談ください。現在のシステム構成と保有情報を整理し、実際の攻撃経路と事業への影響を踏まえて、必要な診断範囲をご提案します。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
