情報漏洩は、外部からの高度なサイバー攻撃だけで起こるものではありません。メールの宛先間違い、端末の紛失、クラウドの公開設定、退職者アカウントの放置など、日常業務の延長線上にある小さな不備も原因になります。
東京商工リサーチが2026年1月30日に公表した調査では、2025年に上場企業とその子会社が公表した情報漏洩・紛失事故180件のうち、「ウイルス感染・不正アクセス」が64.4％を占めました。一方、2位から4位までは、誤送信、紛失、内部からの不正持ち出しといった内部要因です。
つまり、ファイアウォールやウイルス対策ソフトを導入するだけでは、情報漏洩のリスクを十分に下げられるとは限りません。外部攻撃への備えと、社内の運用・権限・設定を見直す対策の両方が求められます。
本記事では、CyberCrewのホワイトハッカーが、最新の公表データをもとに情報漏洩の原因をランキング形式で整理します。原因ごとの発生経路、国内企業の事例、企業が優先して取り組むべき対策、すでに情報漏洩が起きた場合の初動対応まで解説します。
なお、情報漏洩に対しては事前の対策が重要となっており、脆弱性診断やペネトレーションテストが有効です。CyberCrewでは、複数名のホワイトハッカーが在籍し、攻撃者が実際に狙うポイントから現場感のあるテストでリスクを評価します。まずは無料でご相談ください。
TABLE OF CONTENTS
情報漏洩が起こる原因とは
情報漏洩とは、企業や組織が管理している情報を、権限のない第三者が閲覧・取得できる状態になることです。
「情報流出」という言葉も使われますが、両者を明確に区別する統一的な法律上の定義があるわけではありません。本記事では、第三者に情報を知られる可能性が生じた状態を広く「情報漏洩」、データが組織の管理領域外へ持ち出された状態を「情報流出」として説明します。
漏洩の対象になるのは、氏名、住所、電話番号、メールアドレスなどの個人情報だけではありません。次のような情報も、企業にとって重要な保護対象です。
- 顧客名簿
- 契約書
- 見積書
- 設計図
- ソースコード
- ID・パスワードなどの認証情報
- 仕入価格や販売価格
- 未公表の事業計画
- 研究開発情報
- 従業員の人事情報
なお、不正競争防止法上の「営業秘密」として保護されるためには、秘密管理性、有用性、非公知性の3要件を満たす必要があります。単に「社外秘」と書かれているだけで、すべての情報が営業秘密として扱われるわけではありません。詳しくは、経済産業省の営業秘密に関する案内で確認できます。
情報漏洩の原因は、大きく内部要因と外部要因に分けられます。
| 分類 | 主な原因 | 発生する場所・場面 |
|---|---|---|
| 内部要因 | 誤送信、紛失、誤廃棄、内部不正、権限設定ミス、クラウドの公開設定、生成AIへの不適切な入力 | 社内業務、テレワーク、端末持ち出し、クラウド利用、退職・異動時 |
| 外部要因 | ランサムウェア、不正アクセス、標的型攻撃、ビジネスメール詐欺、Webサイトの改ざん | VPN、サーバー、Webサイト、メール、クラウド、公開システム |
| 組織横断的な経路 | 委託先やサプライチェーンを経由した漏洩 | システム保守、印刷、発送、コールセンター、クラウド事業者、再委託先 |
内部要因と外部要因は、完全に独立しているわけではありません。
例えば、攻撃者が漏洩したパスワードを使用して社内システムへ侵入した場合、直接の原因は「不正アクセス」です。しかし、パスワードの使い回しや多要素認証の未設定といった、組織内部の管理上の不備も攻撃を成功させた要因になります。
原因を一つに決めつけるのではなく、次の3点を分けて考えることが重要です。
- 攻撃者や第三者がどこから情報へ到達したか
- なぜアクセスや持ち出しを防げなかったか
- なぜ発見や対応が遅れ、被害が拡大したか
情報漏洩の原因別ランキングと割合（2026年最新）
2026年8月時点で確認できる最新の年間集計として、東京商工リサーチの「上場企業の『個人情報漏えい・紛失』事故」調査を紹介します。
調査対象は、2025年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故です。
| 順位 | 原因 | 件数 | 割合 | 分類 |
|---|---|---|---|---|
| 1位 | ウイルス感染・不正アクセス | 116件 | 64.4％ | 外部要因 |
| 2位 | 誤表示・誤送信 | 37件 | 20.5％ | 内部要因 |
| 3位 | 紛失・誤廃棄 | 18件 | 10.0％ | 内部要因 |
| 4位 | 不正持ち出し・盗難 | 7件 | 3.8％ | 内部要因 |
| その他 | その他の原因 | 2件 | 1.1％ | 個別判断 |
| 合計 | 180件 | 100％ |
原因別割合
- ウイルス感染・不正アクセス：64.4％
- 誤表示・誤送信：20.5％
- 紛失・誤廃棄：10.0％
- 不正持ち出し・盗難：3.8％
- その他：1.1％
※各構成比は小数点以下で処理されているため、表示上の合計が100％にならない場合があります。「その他」は総件数と主要4分類との差分から算出しています。
この数字を読む際は、調査範囲に注意が必要です。
この調査は、日本にあるすべての企業を対象としたアンケートではありません。上場企業とその子会社が公表した事案を東京商工リサーチが独自に集計したものです。公表されていない事故や、非上場企業だけで発生した事故がすべて含まれているわけではありません。
また、「事故件数が多い原因」と「漏洩した人数が多い原因」は一致しません。
誤送信は発生頻度が高い一方で、1件当たりの対象人数が数十人から数百人にとどまる場合があります。これに対して、顧客データベースや業務サーバーへの不正アクセスでは、1件の事故で数十万件、数百万件の情報へ到達されることがあります。
したがって、情報漏洩対策の優先順位を決める際は、次の両方を評価しなければなりません。
- どの程度の頻度で発生するか
- 1件発生した場合にどこまで被害が拡大するか
情報漏洩の原因となる内部要因：社内から情報が漏れるケース
東京商工リサーチの調査では、件数ベースの2位から4位までが、誤送信、紛失・誤廃棄、不正持ち出し・盗難といった内部要因でした。
情報漏洩というと、外部の攻撃者がシステムへ侵入する場面を想像しがちです。しかし、外部から攻撃されていなくても、従業員の日常的な操作、設定の間違い、権限管理の不備によって情報は漏れます。
内部要因への対策では、「従業員が気をつける」「送信前に確認する」といった注意喚起だけでは不十分です。人は間違えるという前提に立ち、誤操作を止める仕組み、不要な操作をできなくする権限設計、異常な行動を発見するログ監視を組み合わせる必要があります。
メールの誤送信・宛先ミス
メールによる情報漏洩には、主に3つのパターンがあります。
1つ目は、本来とは異なる相手を宛先に指定する「宛先間違い」です。名前が似ている取引先や、メールソフトに自動表示された別人のアドレスを選択してしまうことで発生します。
2つ目は、一斉送信時にBCCを使用せず、TOやCCへ複数のメールアドレスを入力する「BCC漏れ」です。受信者同士で他人のメールアドレスを確認できる状態になり、個人情報の漏洩に該当する可能性があります。
3つ目は、正しい相手へ送ったものの、別の顧客の契約書、請求書、名簿などを添付してしまう「添付ファイル間違い」です。
送信前に確認するルールがあっても、誤送信を完全に防ぐことはできません。似た会社名や氏名が並んでいる、同じフォルダーに複数の顧客資料が保存されている、差し替え前のファイルが残っているなど、人が誤認しやすい条件が日常業務の中に存在するためです。
ダブルチェックを導入していても、確認者が送信者と同じ思い込みを持って画面を見れば、間違いを見逃すことがあります。
在宅勤務や複数拠点での業務では、隣席での確認や口頭での補足が難しくなり、従業員が一人で送信作業を完結させる場面も増えます。ただし、在宅勤務の増加と誤送信件数の増加を直接結びつける十分な公的統計は限られています。「在宅勤務だから誤送信が増えた」と断定するのではなく、確認方法や業務環境の変化を踏まえて対策を設計するべきです。
管理者が確認したい兆候としては、次のようなものがあります。
- 受信者から「自分宛てではない」と連絡が来る
- 想定していない相手から返信が届く
- 短時間に大量の社外宛てメールが送られている
- 機密ファイルが通常とは異なる宛先へ送信されている
送信保留、社外宛て警告、添付ファイルの確認、一斉配信システムの利用など、働く場所に左右されない仕組みを整えることが重要です。
端末や書類の紛失・置き忘れ
ノートパソコン、スマートフォン、USBメモリー、紙の書類は、社外へ持ち出した時点で紛失の可能性が高まります。
代表的な発生場面は、次のとおりです。
- 電車やタクシーへの置き忘れ
- 飲食店や宿泊施設での紛失
- 車上荒らしや置き引き
- 自宅へ持ち帰った後の所在不明
- 出張先での盗難
- 私物端末への一時保存
見落とされやすいのが、紙資料の誤廃棄です。
保存期限を迎えていない申込書を誤って廃棄する、機密文書を一般ごみへ混入する、廃棄業者へ渡す箱を取り違えるといった事故も情報漏洩につながります。東京商工リサーチの調査でも、紙媒体では書類の紛失や誤廃棄に起因する事案が確認されています。
暗号化されていないパソコンを紛失した場合、ログインパスワードが設定されていても安全とは限りません。記憶装置を取り外して別の端末へ接続されると、保存されたデータを読み取られる可能性があります。
端末内の顧客名簿だけでなく、次の情報も悪用されるおそれがあります。
- ブラウザーに保存されたID・パスワード
- VPNの接続設定
- メールデータ
- クラウドサービスのセッション情報
- 社内サーバーへの接続先
- 顧客とのメール履歴
資産管理台帳と現物が一致しない、MDM上で端末が長時間オフラインになっている、紛失後に不審なログインが発生したといった事象は、調査を開始する手掛かりになります。
端末のフルディスク暗号化、画面ロック、遠隔ロック・消去、持ち出し記録を組み合わせて管理してください。
内部不正・退職者による持ち出し
内部不正は、大きく2つのパターンに分けて考える必要があります。
1つ目は、退職や異動の直前に、顧客名簿、営業資料、設計データ、ソースコードなどを短期間で持ち出すケースです。
個人のクラウドストレージへのアップロード、私物メールへの転送、USBメモリーへのコピー、大量印刷などが使われます。転職先で利用するために営業情報を持ち出す、退職後の仕事に使うために資料を保存するといった行為も該当します。
2つ目は、管理権限を持つ担当者が、長期間にわたり少量ずつ情報を取得するケースです。
日常業務と似た操作になるため、単純なアクセス制御だけでは発見しにくくなります。本人にとって閲覧権限がある情報であっても、業務目的を外れてコピー、販売、第三者提供を行えば内部不正です。
内部不正というと、金銭、処遇への不満、転職などの「動機」に注目しがちです。しかし、実務上より重視すべきなのは、不正を実行できる「機会」が長期間与えられていることです。
例えば、次のような状態は内部不正の機会を増やします。
- 業務に必要な範囲を超える権限を持っている
- 特権アカウントが複数人で共有されている
- 操作ログが取得されていない
- USBメモリーへのコピーを制御できない
- 大量ダウンロードを検知できない
- 退職日まで管理者権限が残っている
- 権限の定期的な棚卸しが行われていない
通常業務を超える大量検索やファイル出力、深夜・休日のアクセス、私物媒体の接続、退職予定者による大量ダウンロードなどが見つかった場合は、業務上必要な操作だったかを確認します。
最小権限、職務分離、特権操作の記録、定期的な権限棚卸しが内部不正対策の基本です。
クラウド・SaaSの設定ミス
クラウドストレージやSaaSでは、共有範囲を「組織内限定」に設定したつもりでも、「リンクを知っている全員」へ公開されていることがあります。
ほかにも、次のような設定ミスが情報漏洩につながります。
- プロジェクトメンバー全員へ管理者権限を付与する
- テスト用に公開したストレージを本番移行後も放置する
- 退職者を共有グループから削除しない
- 外部共有リンクに有効期限を設定しない
- 検索エンジンからアクセスできる状態にする
- APIキーや認証情報を公開リポジトリへ保存する
この原因が一般的なサイバー攻撃と決定的に異なるのは、攻撃者がシステムを侵害しなくても情報を取得できる点です。
公開URLへアクセスするだけでファイルを閲覧できる状態なら、脆弱性の悪用やマルウェア感染は必要ありません。攻撃を受けていないように見えても、実際には誰でも閲覧できる状態になっている可能性があります。
監査ログでは、匿名ユーザーによるアクセス、想定外のドメインへの共有、共有リンクへの大量アクセスなどが調査の手掛かりになります。
クラウド側の監査ログ、外部共有一覧、公開リソースを定期的に確認し、不要になった共有設定を削除する運用が欠かせません。
パスワードの使い回し・アクセス権限の設定ミス
複数のサービスで同じメールアドレスとパスワードを使っていると、他社サービスから流出した認証情報が、自社システムへの侵入口になります。
攻撃者は、過去に漏洩したIDとパスワードの組み合わせを大量に入手し、さまざまなサービスへ自動的にログインを試みます。この手口が、リスト型攻撃またはクレデンシャルスタッフィングです。
自社からパスワードが漏れていなくても、従業員が他社サービスと同じパスワードを使用していれば被害につながります。
アクセス権限の管理では、退職者アカウントの放置も問題です。
退職後もメール、VPN、クラウド、業務システムのアカウントが有効なままだと、元従業員本人や、認証情報を入手した第三者がアクセスできてしまいます。異動前の権限が残り続けることで、本来閲覧できない部署の情報へアクセスできる状態になることもあります。
監視すべきサインには、次のようなものがあります。
- 普段と異なる国や地域からのログイン
- 短時間に繰り返される認証失敗
- 長期間使われていなかったアカウントの利用
- 心当たりのない多要素認証要求
- 退職済みの従業員によるアクセス
- 業務時間外の管理者ログイン
多要素認証、パスワードの使い回し禁止、退職・異動と連動したアカウント停止を徹底してください。
生成AIへの機密情報の入力
生成AIの普及により、従業員が顧客情報、ソースコード、会議録、契約書、未公表の経営情報などを入力する新しい漏洩経路が生まれています。
本人は文章の要約や校正をしているだけでも、入力した時点で情報が自社の管理外にあるサービスへ送信される場合があります。画像生成サービスへ社外秘の設計資料をアップロードする、議事録の要約を目的に顧客名や案件情報を入力するといった利用にも注意が必要です。
入力データが保存、学習、品質改善に利用されるかどうかは、サービス、契約プラン、管理設定によって異なります。
法人向けサービスでは、入力内容を学習に利用しない契約や設定が用意されている場合もあります。そのため、「生成AIへ入力した情報は必ず学習される」と一律に説明するのは正確ではありません。
利用前に確認すべき項目は、次のとおりです。
- 入力データが学習に利用されるか
- 入力内容の保存期間
- データが処理・保存される地域
- 管理者が利用状況を確認できるか
- 入力データを削除できるか
- 再委託先や外部AIモデルへデータが送信されるか
IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向け脅威の3位に初めて選出されました。
なお、この順位は事故件数の多さを直接示すランキングではありません。情報セキュリティ分野の専門家による審議と投票をもとに、社会的な影響が大きい脅威を選出したものです。
未承認AIサービスへのアクセス、機密ファイルのアップロード、個人契約アカウントからの利用などが確認された場合は、入力された情報と利用目的を調査します。
利用を全面的に禁止するだけでは、従業員が個人アカウントを使うシャドーAIを招くことがあります。承認するサービス、入力してよい情報、入力してはいけない情報を具体的に定めることが現実的です。
情報漏洩の原因となる外部要因：社外の攻撃で情報が漏れるケース
東京商工リサーチの調査では、ウイルス感染・不正アクセスが全180件の64.4％を占め、件数ベースで最多でした。
攻撃者は、必ずしも知名度や企業規模だけで標的を選ぶわけではありません。脆弱性が残るVPN機器、インターネット上に公開された管理画面、使い回されたパスワードなど、侵入しやすい対象を自動的に探索しています。
外部攻撃は、侵入された瞬間に気づけるとは限りません。攻撃者が認証情報を窃取し、正常な利用者を装って数週間から数か月活動することもあります。
入口をふさぐ対策に加え、侵入後の異常な操作を発見するログ監視やEDR、SIEMなどを組み合わせる必要があります。
ランサムウェア攻撃
ランサムウェア攻撃では、社内のファイルやサーバーが暗号化され、業務を継続できなくなります。
近年は、データを暗号化する前に外部へ持ち出し、「身代金を支払わなければ公開する」と脅す二重恐喝が広く使われています。バックアップからシステムを復旧できたとしても、窃取された情報の公開リスクは残ります。
典型的な侵入口には、次のようなものがあります。
- 脆弱性が残ったVPN機器
- リモートデスクトップなどの遠隔接続サービス
- 窃取されたID・パスワード
- フィッシングメール
- 管理不備のある公開サーバー
- 委託先や保守会社のアカウント
侵入後、攻撃者は管理者権限の奪取、セキュリティ製品の停止、バックアップの削除、複数端末への一斉展開を行います。暗号化を開始する前に、社内の重要サーバーやバックアップの位置を調べている場合もあります。
短時間での大量ファイル変更、見慣れない拡張子、バックアップの削除、管理者アカウントの追加、外部への大容量通信などは、早急に調査すべき事象です。
IPAの「情報セキュリティ10大脅威 2026」では、「ランサム攻撃による被害」が組織向け脅威の1位に選出されています。2016年の初選出から11年連続、11回目の選出です。
外部からの不正アクセス
不正アクセスの主な侵入口は、認証情報とシステムの脆弱性です。
認証情報を利用する手口では、フィッシング、マルウェア、ダークウェブ上の漏洩データ、リスト型攻撃などによりIDとパスワードを入手します。
正規アカウントでログインされると、通信そのものは正常な利用者と同じように見えます。接続元の許可・拒否だけでは、不正利用を見抜けないことがあります。
脆弱性を利用する手口では、VPN機器、Webサーバー、ファイル転送製品、クラウド上の管理システムなどに残る既知の脆弱性が悪用されます。
侵入後にバックドアや新しい管理者アカウントを作成されると、侵入口になった脆弱性を修正しても、攻撃者のアクセスが継続する場合があります。
攻撃者が長期間潜伏するケースでは、次の行動が段階的に行われます。
- 社内ネットワークやシステムの調査
- より強い権限の取得
- 重要サーバーやバックアップの確認
- データの収集・圧縮
- 外部サーバーへの持ち出し
- ログや痕跡の削除
通常と異なる時間帯や地域からのログイン、新規管理者アカウント、予期しない権限変更、未知の外部サーバーへの通信、監査ログの停止などが見つかった場合は、不正アクセスの可能性を調査します。
標的型攻撃・ビジネスメール詐欺
不特定多数へ同じメールを送るばらまき型攻撃に対し、標的型攻撃は、特定の企業や担当者を事前に調査したうえで実行されます。
攻撃者は、取引先、役員、弁護士、採用応募者などになりすまし、添付ファイルの開封や偽サイトへのログインを誘導します。企業のWebサイト、SNS、プレスリリース、採用情報などから、組織構成や取引関係を調べていることもあります。
ビジネスメール詐欺では、実在する取引先とのメール履歴や請求時期を把握し、「振込先が変更になった」「至急対応してほしい」などと送金を指示します。
攻撃者がメールアカウントへ侵入している場合、次の情報を踏まえた自然な文面を作成できます。
- 過去のメールの文体
- 実在する担当者名
- 商談中の案件名
- 請求予定日
- 実際の取引金額
- 上司と部下の関係
そのため、誤字や不自然な日本語だけを基準に見抜くことは困難です。
受信者が作成していない自動転送ルール、突然の振込先変更、通常とは異なる承認手順、返信先ドメインのわずかな違いなどが確認された場合は、メール以外の手段で相手へ確認します。
IPAの2026年版では、「機密情報を狙った標的型攻撃」が5位、「ビジネスメール詐欺」が10位に選出されています。
Webサイト・ECサイトからの情報窃取
ECサイトでは、攻撃者が決済ページや入力フォームへ不正なスクリプトを挿入し、利用者が入力したカード番号、氏名、セキュリティコードなどを外部へ送信させることがあります。
画面上は通常どおり決済が完了するため、運営企業も利用者も被害に気づきにくい手口です。
侵入口としては、次のようなものが挙げられます。
- ECパッケージの脆弱性
- CMSやプラグインの脆弱性
- 管理画面の認証情報
- 開発会社や保守会社のアカウント
- 改ざんされた外部JavaScript
- 公開されたAPIキー
- 更新されていないサーバー
自社で決済システムを開発していなくても、Webサイト上でカード情報を入力させている企業は確認が必要です。
攻撃者にとっては、企業の規模よりも、取得できるカード情報が存在するか、侵入できる脆弱性が残っているかが重要です。中小企業が運営するECサイトも例外ではありません。
決済ページのファイル変更、未知の外部ドメインへの通信、CSP違反の通知、管理画面への不審なログイン、カード会社からの照会などが発見のきっかけになります。
委託先・サプライチェーンを経由した攻撃
委託先を経由する情報漏洩は、単純な内部要因・外部要因の二分類だけでは管理しにくい、組織横断的な経路です。
厳密には、委託先への不正アクセスは外部要因、委託先担当者による持ち出しは内部要因です。しかし、情報を預けた企業から見ると、自社環境が侵害されていなくても顧客や従業員の情報が漏洩します。
印刷、発送、給与計算、コールセンター、システム保守などの委託先には、複数企業の顧客情報や従業員情報が集約されます。攻撃者が1社へ侵入するだけで、多数の委託元へ被害を連鎖させられる構造です。
IPAの「情報セキュリティ10大脅威 2026」では、「サプライチェーンや委託先を狙った攻撃」が2位に選出されています。8年連続、8回目の選出です。
イセトーの事案では、同社が委託元から預かっていた個人データを含むファイルがランサムウェアにより暗号化され、一部のファイルがダークウェブ上で公開されました。
個人情報保護委員会が公表した行政上の対応資料によると、対象者は3,076,477人、直接の委託元は41団体、再委託を含む影響団体は約100団体に及びました。
同資料では、VPN機器の更新、ログの取得、データの保管場所、委託契約上のルールなど、複数の管理上の問題が指摘されています。
委託先からの事故連絡、委託先用アカウントの不審な利用、APIトークンによる異常アクセスなどが確認された場合は、自社側のデータやシステムへの影響を調査します。
委託先の安全性は、契約開始時に確認して終わりではありません。契約期間中の運用状況、再委託先、アクセス権限、事故時の連絡体制まで継続的に確認する必要があります。
情報漏洩の被害事例4選
ここからは、国内企業が公表した4つの情報漏洩事例を紹介します。
いずれも、各社または関係機関の公式発表に基づいて、発生時期、漏洩件数、原因、発覚の経緯、その後の対応を整理しています。
注目すべき点は、4件の発覚経緯がそれぞれ異なることです。自社のシステム障害から発覚したケース、カード会社から指摘されたケース、警察の捜査で判明したケースなどがあります。
企業が自力で情報漏洩を検知できるとは限りません。外部からの連絡を受けるまで、数か月または数年にわたって被害を把握できない場合もあります。
【事例1】KADOKAWAの情報漏洩｜ランサムウェア攻撃
発生時期： 2024年6月
漏洩件数： 個人情報254,241人分
原因： 窃取されたアカウント情報を利用した社内ネットワークへの侵入とランサムウェア攻撃
発覚の経緯： 複数サーバーへアクセスできない障害を受けて調査
その後の対応： 外部専門企業による調査、対象者への通知、相談窓口の設置、再発防止策の実施
KADOKAWAグループでは、2024年6月8日に複数のサーバーへアクセスできない障害が発生しました。
調査の結果、ニコニコ関連サービスを標的とした大規模なサイバー攻撃を受け、ドワンゴの専用ファイルサーバーなどがランサムウェアの影響を受けたことが確認されています。
KADOKAWAグループの調査結果によると、漏洩が確認された個人情報は254,241人分です。
攻撃経路の詳細は完全には特定されていないものの、フィッシングなどにより従業員のアカウント情報が窃取され、社内ネットワークへの侵入、ランサムウェアの実行、情報漏洩につながったと推測されています。
サービス停止は動画サービスだけでなく、出版物の受注、製造、物流にも影響しました。
KADOKAWAは、サイバー攻撃に伴う特別損失の計上と業績予想の修正も公表しています。
情報漏洩がシステム部門だけの問題にとどまらず、売上、復旧費用、顧客対応、事業継続へ波及することを示す事例です。
教訓：認証情報の窃取を入口とした攻撃は、情報漏洩と全社的な業務停止を同時に引き起こす可能性があります。
【事例2】マルカワみその情報漏洩｜ECサイトの脆弱性を突いた不正アクセス
発生時期： 2023年3月から11月
漏洩件数： 個人情報89,673人分、カード情報5,447件の可能性
原因： ECサイトの脆弱性を悪用した不正アクセスと偽のカード入力フォーム
発覚の経緯： クレジットカード会社からの連絡
その後の対応： カード決済の停止、第三者調査、委員会・警察への報告、対象者への通知
マルカワみそは、2023年11月6日にクレジットカード会社から情報漏洩の可能性について連絡を受け、同日中にカード決済を停止しました。
第三者調査により、ECサイトの脆弱性を悪用した不正アクセスを受け、偽のクレジットカード情報入力フォームが設置されていたことが判明しています。
マルカワみそが公表した調査結果では、個人情報89,673人分と、カード情報5,447件が漏洩した可能性があるとされています。
カード情報漏洩の可能性があると特定された顧客数は4,851人です。「カード情報の件数」と「対象となった顧客の人数」は同じではない点に注意が必要です。
公表日は2024年4月2日で、カード会社からの連絡から約5か月後でした。この間に、第三者調査、カード会社との連携、警察への相談、対象者の特定などが行われています。
この事例が示しているのは、大手企業だけがサイバー攻撃の標的になるわけではないということです。地域に根差した食品製造・小売企業であっても、ECサイトで個人情報や決済情報を扱っていれば攻撃対象になり得ます。
教訓：企業規模ではなく、インターネット上に公開された資産と取得可能な情報の価値が攻撃リスクを左右します。
【事例3】NTT西日本子会社の情報漏洩｜元派遣社員による不正持ち出し
発生時期： 2013年7月頃から2023年2月頃
漏洩件数： 約928万件、委託元69社
原因： 運用保守担当者によるシステム管理者アカウントの悪用
発覚の経緯： 委託元からの調査依頼後も見逃され、その後の警察捜査で判明
その後の対応： 外部専門家を含む調査、緊急点検、権限・監視・組織体制の見直し
NTTビジネスソリューションズへ派遣されていた元派遣社員は、保守運用業務で利用できるシステム管理者アカウントを悪用し、約10年にわたり顧客情報を不正に持ち出していました。
NTT西日本が公表した調査報告書によると、最終的な対象は約928万件、委託元69社に及びました。
この事例で特に重要なのは、不正が約10年間発覚しなかったことです。
2022年には、委託元から「顧客情報が流出している可能性がある」と調査を依頼されていました。しかし、当時の不十分な調査により、問題はないと回答していました。
その後、2023年7月に警察が元派遣社員の勤務先を捜査し、同年10月に事案が公表されました。
管理者権限が業務上必要であったとしても、操作内容の監視、アクセス対象の制限、データ出力の検知、独立性のある調査体制がなければ、不正を長期間見逃す可能性があります。
担当者が閲覧権限を持っていたことと、持ち出しを許可されていたことは別の問題です。
教訓：内部不正対策の本質は、担当者を信用するかではなく、権限を持つ人の操作も後から検証できる状態にすることです。
【事例4】協立情報通信の情報漏洩｜メール誤送信（BCC漏れ）
発生時期： 2025年1月30日
漏洩件数： メールアドレス349件
原因： BCCで送るべき宛先を通常の宛先欄へ入力
発覚の経緯： 公表資料では具体的な発見経緯は明記されていない
その後の対応： 発生から約1.5時間後に一次報告と削除依頼、送信フローの見直し
協立情報通信は、2025年1月30日15時26分頃、本来BCCで送信すべき349件のメールアドレスを通常の宛先として送信しました。
これにより、受信者同士で他人のメールアドレスを確認できる状態になりました。
協立情報通信の公表資料では、具体的に誰が、どのような方法で誤送信を発見したかは明記されていません。
一方で、同社は事案発生から約1.5時間後、受信者へ一次報告を行い、該当メールの削除を依頼しています。その後、一斉送信時の運用フローと、複数社員による確認方法を見直すと公表しました。
漏洩件数は、大規模な不正アクセスと比べれば限定的です。しかし、発生後すぐに対象者へ連絡し、削除を依頼した初動の速さは参考になります。
ただし、削除依頼を送っただけで情報漏洩の事実がなくなるわけではありません。送信先、漏れた情報の内容、転送や二次利用の可能性を確認し、個人情報保護委員会への報告要否を判断する必要があります。
教訓：誤送信を防ぐ仕組みだけでなく、発生後の連絡・判断・報告手順も事前に定めておくことが重要です。
情報漏洩によって企業が受ける3つのリスク
情報漏洩が起きた場合の影響は、漏れた情報の種類、対象人数、悪用の可能性、業務停止の有無によって異なります。
必ず同じ結果になるわけではありませんが、企業は少なくとも、直接的な支出、信用や取引への影響、法的な対応の3つを想定しておくべきです。
また、事故の影響は発生直後だけに限られません。数か月後に追加調査が必要になる、対象人数が拡大する、取引先から新たな説明を求められるといった形で、長期化することがあります。
金銭的な損失が発生する
情報漏洩が判明すると、原因と影響範囲を特定するためのデジタルフォレンジック調査費、法律相談費、外部専門家への委託費などが発生する可能性があります。
対象者が多い場合は、次のような費用も必要です。
- 通知書の作成・発送
- 専用コールセンターの設置
- 問い合わせ対応
- クレジットカードの再発行対応
- 見舞金や補償
- 広報・記者会見対応
- Webサイト上の告知ページ作成
システムが侵害されていれば、端末の再構築、認証情報の変更、セキュリティ製品の追加、脆弱性修正、監視強化にも費用がかかります。
ランサムウェアによって受発注、生産、物流、顧客対応が停止した場合は、売上減少や納期遅延による機会損失も発生します。復旧までの間に代替業務を行うための人件費や、取引先への補償が必要になることもあります。
損害賠償については、情報漏洩が起きた時点で一律に一定額が発生するわけではありません。
被害者との合意、訴訟の有無、漏れた情報の内容、企業側の過失、実際に発生した二次被害などを踏まえて判断されます。
将来の賠償額だけを想定するのではなく、事故発覚後の数か月以内に必要となる調査、通知、問い合わせ対応、復旧費用を確保しておくことが現実的です。
社会的な信用を失う
漏洩した情報が悪用されると、顧客にフィッシングメールが届く、本人になりすまして契約される、ほかのサービスのアカウントを乗っ取られるといった二次被害が生じる可能性があります。
企業にとっては、顧客から「安心して情報を預けられない」と判断され、解約、利用停止、会員登録の減少につながることがあります。
事故そのものに加え、発生後の対応も信用へ影響します。
例えば、次のような対応は不信感を強める可能性があります。
- 公表が大幅に遅れる
- 説明内容が何度も変わる
- 問い合わせ窓口がつながらない
- 対象者へ十分な説明をしない
- 「悪用は確認されていない」ことだけを強調する
- 原因や再発防止策を明らかにしない
法人取引では、委託元から追加のセキュリティ調査を受ける、契約更新を見送られる、新規入札の要件を満たせなくなるといった影響も考えられます。
特に大手企業のサプライチェーンに組み込まれている企業は、自社情報だけでなく、取引先の顧客情報や業務情報を預かっているという認識が必要です。
法的な対応と責任が生じる
個人情報保護法では、すべての情報漏洩が一律に個人情報保護委員会への報告対象となるわけではありません。
次のような、個人の権利利益を害するおそれが大きい事態については、委員会への報告と本人への通知が必要です。
- 要配慮個人情報を含む場合
- 財産的被害が生じるおそれがある場合
- 不正な目的で行われたおそれがある場合
- 漏洩した本人の数が1,000人を超える場合
詳しい要件は、個人情報保護委員会の漏えい等報告・本人通知に関する案内で確認できます。
報告対象に該当する場合、速報は事態を把握してから概ね3〜5日以内に行います。調査が完了していなくても、その時点で判明している内容を報告します。
確報の期限は原則として30日以内です。不正な目的で行われたおそれがある場合は、60日以内となります。
確報には、次の内容を記載します。
- 発生した事態の概要
- 漏洩した個人データの項目
- 対象人数
- 原因
- 二次被害のおそれ
- 本人への対応
- 公表の実施状況
- 再発防止措置
罰則の仕組みにも注意が必要です。
一般的な情報漏洩が発生しただけで、直ちに企業へ刑事罰が科されるわけではありません。
一方、個人情報保護委員会からの報告徴収に応じない場合や虚偽の報告をした場合、立入検査を拒否・妨害した場合には、刑事罰が科される可能性があります。また、委員会の命令に違反した場合にも罰則が定められています。
不正な利益を図る目的で個人情報データベース等を提供・盗用した場合には、別の罰則規定が適用される可能性があります。
情報漏洩を防ぐための4つの対策
情報漏洩対策は、高額なセキュリティ製品から導入すればよいわけではありません。
まず、既存のクラウドサービスや業務システムの設定変更、アカウントの棚卸しなど、比較的着手しやすい対策から進めます。その後、脆弱性診断や監視、委託先管理を追加していく方法が現実的です。
| 対策 | 対応する主な原因 | 費用目安 | 着手難易度 |
|---|---|---|---|
| アカウント・権限管理 | パスワード漏洩、退職者アカウント、内部不正 | 低。既存機能なら追加費用なしの場合あり | 低 |
| 更新と脆弱性対策 | 不正アクセス、ランサムウェア、ECサイト侵害 | 低〜中。診断費は対象範囲による | 低〜中 |
| 誤操作・紛失防止の仕組み | 誤送信、端末紛失、クラウド設定、生成AI入力 | 低〜中 | 中 |
| 委託先を含む管理 | サプライチェーン、委託先からの漏洩 | 低〜中。監査まで行う場合は中〜高 | 中〜高 |
詳しい実施手順については、CyberCrewの「情報漏洩対策」を解説する関連記事もあわせて確認してください。
アカウント管理と権限設定を見直す
最初に実施したいのが、多要素認証の有効化です。
パスワードが漏洩した場合でも、スマートフォンアプリ、セキュリティキー、生体認証などの追加要素がなければログインできない状態にします。
Microsoft 365、Google Workspace、クラウドサービスなどでは、現在の契約内で多要素認証を利用でき、追加費用なしで始められる場合があります。
ただし、多要素認証を有効にしただけで安全になるわけではありません。攻撃者が偽サイトを使って認証情報と認証コードを同時に盗む手口や、利用者へ認証通知を繰り返し送り承認させる手口もあります。
可能であれば、フィッシング耐性のあるセキュリティキーやパスキーの導入も検討します。
権限は、業務に必要な範囲だけを与える最小権限の原則で設定してください。
管理者権限を日常業務用アカウントへ付けたままにせず、通常業務用と管理作業用のアカウントを分離する方法も有効です。
退職・異動時には、人事部門から情報システム部門へ確実に連絡されるフローを作り、メール、VPN、SaaS、クラウド、共有フォルダーなどの権限を同時に停止・変更します。
四半期または半年ごとの棚卸しにより、使われていないアカウントや過剰な権限を削除してください。
システムを最新の状態に保ち、攻撃の侵入口をふさぐ
OS、ブラウザー、業務ソフトウェア、VPN機器、ファイアウォール、Webサーバー、ECパッケージ、プラグインを最新の状態に保ちます。
攻撃者は、脆弱性情報が公開されると、インターネット上にある該当製品を自動的に探索します。修正プログラムが公開されている既知の脆弱性を放置すると、攻撃者にとって侵入しやすい標的になります。
特に、インターネットへ直接公開されている次の機器やシステムは優先して確認してください。
- VPN機器
- ファイアウォール
- リモートアクセス製品
- Webサーバー
- ECサイト
- メールサーバー
- ファイル転送製品
- 管理画面
ただし、更新を適用しただけで安全とは限りません。
不要な管理画面が公開されていないか、初期パスワードが残っていないか、すでに侵入された痕跡がないかも確認します。
Webサイト、ECサイト、VPN、外部公開サーバーについては、定期的な脆弱性診断が有効です。
重要なシステムでは、脆弱性の有無を調べるだけでなく、実際にどこまで侵入・権限拡大できるかを検証するペネトレーションテストも検討してください。
IPAの2026年版でも、「システムの脆弱性を悪用した攻撃」は組織向け脅威の4位に選出されています。
誤送信や紛失を防ぐ仕組みをつくる
メールでは、社外宛て送信の一時保留、添付ファイル付きメールの警告、一斉配信システム、上長承認などを利用します。
確認項目を増やすだけでなく、誤った操作をしたときにシステムが止める設計が重要です。
端末には、次の対策を設定します。
- フルディスク暗号化
- 自動画面ロック
- MDMによる管理
- 遠隔ロック・消去
- USBメモリーの利用制限
- 持ち出し端末の記録
- ローカル保存データの制限
紙資料についても、持ち出し記録、保管場所、返却方法、溶解・裁断による廃棄方法を決めてください。
クラウドでは、匿名公開を原則として禁止し、外部共有の期限、承認者、定期棚卸しを定めます。
生成AIについては、承認済みサービス、入力してよい情報、入力禁止情報、法人アカウントの利用、学習設定の確認方法をルール化します。
「注意する」「間違えないようにする」といった個人の注意力に依存する対策では、担当者や繁忙度が変わったときに再発しやすくなります。
人が間違えても情報漏洩につながりにくい仕組みへ変えることが大切です。
委託先を含めた管理体制を整える
委託先を選定する際は、価格や実績だけでなく、次の項目を確認します。
- アクセス制御
- 多要素認証
- ログ管理
- 脆弱性管理
- バックアップ
- インシデント対応
- 従業員教育
- 再委託の有無
- データの保管場所
- 契約終了時のデータ削除
契約書には、取り扱える情報の範囲、保管場所、再委託条件、事故発生時の連絡期限、調査への協力、ログや証拠の保全、契約終了時のデータ削除などを定めます。
契約書へ書くだけでなく、実際に運用されているかを定期的に確認することが重要です。
クラウドサービスやシステム保守会社へ強い権限を付与する場合は、委託先アカウントを担当者ごとに発行し、多要素認証、接続元制限、操作記録を設定します。
複数人で一つの管理者アカウントを共有すると、誰が操作したかを後から特定できなくなります。
自社環境を十分に守っていても、委託先に預けた情報までは自社のセキュリティ製品で直接保護できません。
委託先管理は、自社だけの技術対策では防げない領域を補う取り組みです。
情報漏洩対策ができているか確認するならCyberCrew
多要素認証、パッチ適用、社員教育などの対策を実施しても、自社のどこに侵入可能な弱点が残っているかを、社内だけで判断することは容易ではありません。
設定を行った担当者自身が確認すると、設計時の前提や思い込みまで引き継いでしまうためです。また、設定上は問題がないように見えても、複数の小さな不備を組み合わせることで重要情報へ到達できる場合があります。
CyberCrewでは、ホワイトハッカーが攻撃者と同じ視点でシステムを検証します。
脆弱性の有無を一覧化するだけでなく、ペネトレーションテストを通じて、次の点を確認します。
- 外部から実際に侵入できるか
- 一般ユーザーから管理者権限へ昇格できるか
- ほかのサーバーやシステムへ移動できるか
- 顧客情報や機密情報へ到達できるか
- 一つの認証情報から被害がどこまで拡大するか
Webアプリケーション、モバイルアプリ、ネットワーク、クラウド、LLM・生成AIシステムなどの診断に加え、ダークウェブ上に流出した認証情報や企業情報を確認するモニタリングまで、ワンストップで提供しています。
ダークウェブ監視の内容については、CyberCrewのダークウェブモニタリングサービスをご覧ください。
自社の弱点や、対策の優先順位が分からない場合は、CyberCrewの公式サイトからご相談ください。現在のシステム構成、保有している情報、外部公開範囲を確認し、必要な診断内容をご提案します。
情報漏洩が起きたときの対処法
情報漏洩が疑われる場合、最初から原因を断定してはいけません。
「不正アクセスだと思う」「誤送信だけだろう」と決めつけると、必要な証拠を失ったり、被害範囲を過小評価したりする可能性があります。
初動対応は、次の順番で進めます。
- 被害拡大を防止する
侵害されたアカウントの無効化、通信の遮断、公開設定の停止などを行います。ただし、端末やサーバーを自己判断で初期化、再起動、削除すると、メモリー上の情報やログ、攻撃の痕跡を失う可能性があります。ネットワークからの切断方法を含め、社内手順や専門家の指示に従ってください。 - 漏洩した情報と影響範囲を確認する
いつ、どのシステムから、どの情報が、何人分漏れた可能性があるかを整理します。ログ、メール、端末、クラウドの操作履歴などを保全し、調査担当者以外が変更できない状態にします。 - 個人情報保護委員会への報告要否を判断する
報告対象事態に該当する場合、速報は事態を把握してから概ね3〜5日以内です。調査完了を待つのではなく、その時点で分かっている内容を報告します。 - 対象者へ通知する
漏れた情報、発生原因、二次被害のおそれ、本人が取るべき対応、問い合わせ先などを案内します。クレジットカードや認証情報が含まれる場合は、変更・停止の手順も示します。 - 原因を特定し、再発防止策を実施する
直接の原因だけでなく、検知が遅れた理由、被害が拡大した理由、管理体制上の問題も確認します。確報には原因や再発防止措置の記載が必要です。
IPAのインシデント対応に関する実践資料でも、調査前にメールやファイルを削除したり、端末の電源を切ったりすると証拠を失う可能性があるため、証拠保全を考慮した初動手順を事前に定めることが推奨されています。
ただし、端末をネットワークから切断すべきか、電源を維持すべきかは、攻撃の状況や端末の種類によって異なります。専門知識がない状態で独自調査を進めず、必要に応じてフォレンジック調査会社やセキュリティ専門会社へ相談してください。
報告対象となる条件や期限については、CyberCrewの「個人情報漏洩時の報告義務」を解説する関連記事でも詳しく紹介しています。
情報漏洩の原因についてよくある質問
情報漏洩の原因について、企業の担当者からよく寄せられる質問をまとめます。
回答は結論から簡潔に記載しています。詳しい発生経路や対策については、本文の各項目を確認してください。
Q. 情報漏洩の3大原因は何ですか？
件数ベースでは、「ウイルス感染・不正アクセス」「誤表示・誤送信」「紛失・誤廃棄」が上位3項目です。
東京商工リサーチの2025年調査では、それぞれ116件、37件、18件でした。
ただし、この調査は2025年に上場企業とその子会社が公表した事故を対象としており、日本国内の全企業で発生した情報漏洩を網羅したものではありません。
Q. 情報漏洩の原因1位は何ですか？
東京商工リサーチが集計した2025年の事故では、「ウイルス感染・不正アクセス」が116件、全体の64.4％で1位です。
ランサムウェア、窃取されたパスワードによるログイン、VPN機器やサーバーの脆弱性悪用などが含まれます。
集計対象や分類方法によって順位は変わるため、社内資料へ引用する際は、調査主体、対象期間、対象企業も併記してください。
Q. なぜ情報漏洩が起こるのですか？
情報漏洩には、人や運用に起因する内部要因と、第三者の攻撃による外部要因があります。
誤送信や紛失のような人的ミスだけでなく、パスワードの使い回し、権限設定ミス、脆弱性の放置など、攻撃を成功させる管理上の不備が重なる場合もあります。
原因を一つに限定せず、直接原因、管理上の原因、被害拡大の原因を分けて分析することが重要です。
Q. 情報漏洩はどこから発生しますか？
主な発生経路は、メール、パソコン、スマートフォン、USBメモリー、紙資料、クラウドストレージ、Webサイト、VPN、業務システム、生成AI、委託先です。
東京商工リサーチの2025年調査では、原因となった媒体の77.7％が社内システム・サーバーでした。
端末や紙資料だけでなく、組織内に集約されたデータを守る対策が求められます。
Q. 中小企業でも情報漏洩対策は必要ですか？
必要です。
攻撃者は、企業の知名度だけでなく、公開された脆弱性、取得できるカード情報、侵入しやすい認証設定などを基準に標的を探します。
マルカワみその事例では、地域の食品製造・小売企業が運営するECサイトへの不正アクセスにより、89,673人分の個人情報と、5,447件のカード情報が漏洩した可能性が公表されました。
企業規模にかかわらず、インターネット上で個人情報や決済情報を扱う場合は対策が必要です。
まとめ｜情報漏洩の原因を知ることが対策の第一歩
情報漏洩を防ぐには、外部攻撃への対策と、社内の運用・権限管理のどちらか一方だけでは不十分です。
原因ごとに発生頻度と影響範囲を確認し、自社にとって優先度の高い対策から進める必要があります。
- 最新集計では、ウイルス感染・不正アクセスが116件、64.4％で最多
- 2位から4位は、誤送信、紛失・誤廃棄、不正持ち出しという内部要因
- 事故件数の順位と、漏洩人数や事業への影響の大きさは一致しない
- 委託先、クラウド、生成AIなど、自社の管理境界外へ情報が移る経路が増えている
- 発覚後は初期化や再起動を急がず、証拠を保全して報告期限に対応する
最初に着手すべきことは、社外からアクセスできるシステムと、そこへログインできるアカウントを一覧化することです。
VPN、クラウド、Webサイト、ECサイト、リモート管理画面を洗い出し、次の項目を確認してください。
- 多要素認証が有効になっているか
- 退職者や異動前のアカウントが残っていないか
- 不要な管理画面が公開されていないか
- OSやVPN機器の更新が滞っていないか
- 外部共有されたクラウドファイルが放置されていないか
- 管理者権限が必要以上に付与されていないか
ただし、社内で設定を確認するだけでは、攻撃者が実際にどこまで侵入できるかを判断できない場合があります。
自社の弱点と対策の優先順位を客観的に確認したい場合は、CyberCrewへご相談ください。
ホワイトハッカーが攻撃者の視点でシステムを検証し、経営層と実務担当者の双方が判断できる形でリスクと改善策をご報告します。
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
