個人情報流出はどの程度増えたのか？
2026年10月30日
2026年9月末ごろから、企業や自治体による個人情報流出のニュースを耳にすることが増えた。ただし、ニュースが増えたからといって、流出そのものが増えたとは限らない。一つは、過去の事案の公表が交じることだ。2025年12月に検知した不正アクセスを、2026年10月になって公表した企業もある（※１）。もう一つは、多くの組織が利用する共通のサービスや委託先が攻撃を受けると、一つの攻撃でも被害を受けた組織ごとに報じられ、件数が膨らみやすいことだ。
そこで、2026年9月以降に日本経済新聞 電子版で新たに報道された日本国内の個人情報流出件数を、組織・案件ごとに集計した（※２）。その結果、9月は9件だったのに対し、10月は25日までで140件と急増したことが確認された（図表）。さらに複数の組織にまたがる同一事案を1件にまとめた「共通事象」で数え直しても、9月の7件に対し、10月は72件と10倍を超える。
もちろん、報道がすべての流出を捉えているわけではないだろう。反対に、世間の関心の高まりを受け、以前なら報道されなかった事案まで取り上げられるようになった面も考えられる。また、集計対象かどうかの判定や同一事案のとりまとめは、記事を1件ずつ人手で読んで行ったため、判断の揺れや見落としも残りうる。それでも、共通事象で数えた件数が、前月と比べて10倍を超えたことは、単なる偶発的な増加とは考えにくく、攻撃側で何かが変わったとみるのが自然だろう。
その有力な候補はやはりAIである。サイバーセキュリティサービスを手掛けるサイバーセキュリティクラウドは、約40分間に1,200件を超えるアクセスを繰り返す攻撃を観測し、その挙動からAIなどが使われた可能性を指摘した（※３）。セキュリティ事故への対応を支援する専門機関のJPCERTコーディネーションセンターも、攻撃者がAIを使って既知の脆弱性を探るなどしていたと公表した（※４）。さらに、国内企業約20社を標的としていたとされる攻撃元で、侵入テスト（模擬攻撃による弱点の点検）を自動化する中国製のAIツール「ARTEX」の悪用も確認された（※５）。
こうしたAIを悪用した攻撃手法は、既知の弱点を探して突く作業を自動化し、人手では及ばない速さと規模で繰り返す水準まで高度化した可能性がある。加えて、このような作業をツールが肩代わりすることで、ITの専門技術を持たない者でも攻撃に手を出しやすくなったおそれもある。このように、攻撃の担い手と数が増え、その一つ一つが速くなれば、防御側は人手で個別に対処していては追いつかなくなる。この新たな時代に、企業や自治体は、脆弱性の修正から異常の検知、被害からの復旧までを、人手に頼らず速く回せる仕組みを整えることが一層求められるだろう。
（https://www.nikkei.com/topics/19022000）の掲載記事を基に大和総研が集計。対象は、2026年9月1日～10月25日に新たに報じられた国内の企業、公的機関（国公立の大学・病院を含む）、学校・医療機関、団体の個人情報流出（疑いを含む）。海外に本社・拠点を置く組織自身の事案は除いた（日本企業の海外拠点は、国内事業の顧客の情報が対象の場合に限り含めた）。報道を基に把握した件数であり、実際に起きた攻撃や流出の件数ではない。
主な集計方法は次の通り。
単位：組織と事案の組み合わせ（組織・案件）を1件とし、記事で組織名と流出（そのおそれを含む）の両方を確認できたものに限った。同じ組織でも、時期・システム・原因（経由した委託先を含む）が異なれば別の案件とした。このため、異なる委託先を通じて複数回被害を受けた組織は複数回数えている。続報は加算せず、その案件を裏付ける最初の記事の公開日に計上した。
除外：判定は続報を含む取得時点の記事に基づく。続報で流出が否定されたもの、流出のおそれが示されていないもの、サービス停止だけのもの、流出した情報に個人情報が含まれないもの、発表や発生から180日以上たって初めて報じられた過去の事案は数えていない。
委託元と委託先：委託先（サービス提供事業者）への攻撃で複数の委託元が被害を受けた場合、記事で名称と被害を確認できる委託元をそれぞれ1件とし、侵害を受けた国内の委託先も1件とした（海外の委託先は数えていない）。同じ委託先を利用していた別々の法人はそれぞれ1件とした。
企業グループ：グループ内の子会社や委託先で起きた事案は、発表した法人を1件とした。同じ事案をグループ内の複数の法人がそれぞれ発表した場合は、法人ごとに計上した。
共通事象：同じ侵害（同じ委託先やシステムへの攻撃）に関わる組織・案件を、最初の記事公開日に1件としてまとめた値を指す。
このコンテンツの著作権は、株式会社大和総研に帰属します。著作権法上、転載、翻案、翻訳、要約等は、大和総研の許諾が必要です。大和総研の許諾がない転載、翻案、翻訳、要約、および法令に従わない引用等は、違法行為です。著作権侵害等の行為には、法的手続きを行うこともあります。また、掲載されている執筆者の所属・肩書きは現時点のものとなります。
- 執筆者紹介
-
経済調査部
主任研究員 新田 尭之
