なぜ個人情報漏えいは減らないのか ― 「対策済み」の企業でも事故が起きる構造的理由
久々に投稿記事を書いています。
昨今、余りにも情報漏洩したという報道ばかりが流れるので、一度も個人情報が情報漏洩していない人を見つけることが困難な状況になってきたのでは？と思えるほど、様々なWeb/ECサイトで次から次へと個人情報の漏洩が確認されています。
なぜ、企業は情報漏洩をするのか？Webサイトをハックし、こじ開け、個人情報を盗む攻撃者はどのような手口をつかっているのか？今後、私達はどのような対策をしていけばいいのか？について調査しましたので、ご紹介できる範囲で書いていこうと思います。
はじめに:「うちは対策している」という言葉の危うさ
「ファイアウォールもEDRも入れている」「ガイドラインに沿って対策は済ませた」。
Sierや情報部門の担当者からこのような説明を受け、経営層や取引先にこう説明した経験がありませんか？
一見すると、セキュリティ対策としてやるべきことをすべてやった。他にやることはない。と感じるような状態ではありますが、公的機関の統計は、その説明が安心材料になりにくい状況を示しています。
個人情報保護委員会：PPC(※外部リンク)は2026年10月28日、不正アクセスによる個人データの漏えい等の報告状況を公表（※外部リンク）しました。2026年4月1日から10月16日までの報告件数は合計2,094件で、対象者数は延べ約2億6,000万人です。これは日本の総人口の2倍以上に相当します。
この数字は、PPCに直接報告された事案だけを数えたものです。残念なことに、委任先省庁を経由した報告(金融業、電気通信業等)や、行政機関等の保有個人情報は含まれていないようです。
つまり、日本全体の被害は、この数字より大きい可能性があるということです。
ニュースサイトで毎日のように情報漏洩した という報道がありますので、実感している人も多いと思いますが、日を追うごとに勢いが増しています。
月別の速報受付件数は、4月の166件から9月の303件へと緩やかに増え、10月は16日までで830件に達しました。10月は16日間だけで、9月1か月分の約2.7倍です。
被害は大企業に限りません。警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について（※外部リンク）」によると、2026年上半期のランサムウェア被害報告は123件で、半期として過去最多でした。そのうち中小企業が79件を占めています。
こうした状況を受け、PPCは10月7日に事業者向けの注意喚起を公表しました。技術的安全管理措置として、5点を挙げています。「対策をしているかどうか」だけでなく、「その対策が実際に機能しているか」が問われる局面に入ったと言えます。
では、対策を講じている企業でも、なぜ事故は起きるのでしょうか。
前置きが長くなってしまいましたが、、、本記事では、「導入済み」と「守れている」の間にある構造的なギャップを5つの理由に分けて整理します。自社の「対策済み」を点検する視点として、お役立てください。
漏えいの現状:データで見る
1. 漏えいの現状:データで見る「拡大」の実態
不正アクセスの報告は、10月に急増しています。 個人情報保護委員会(PPC)によると、2026年4月1日から10月16日までに報告された不正アクセスによる漏えい等は2,094件で、対象者数は延べ約2億6,000万人です。月別では、4月の166件から9月の303件へと緩やかに増え、10月は16日までで830件に達しました。10月は16日間で、9月1か月分の約2.7倍です。
ただし、件数の多数派は不正アクセスではありません。
PPCの令和7年度年次報告によると、委員会に直接報告された個人情報取扱事業者等の漏えい等13,345件のうち、原因は次のとおりです(筆者集計)。
- 誤交付・誤送付が約74%(病院・薬局の書類の誤交付などが中心)
- 不正アクセスは約9.4%(1,256件)
- 紛失は約5.7%、内部不正・盗難はそれぞれ1%未満
1件あたりの漏えい人数は、1,000人以下が93.6%と、大半が小規模な事案です。
注目すべきは、委託先が漏えい元
注目すべきは、委託先が漏えい元の場合です。 委託先が漏えい元の1,292件のうち、不正アクセスは328件で、約4分の1を占めます(筆者集計)。自社の守りだけでは足りないことを示しています。
その不正アクセスの原因は、高度な攻撃とは限りません。 年次報告は、公開済みの脆弱性があるVPN機器やアプリケーションの放置、推測されやすいID・パスワード、設定ミスによるデータベースのアクセス制御の不備を、主な原因として挙げています。
つまり、事故の多くは「特殊な攻撃」ではなく、「基本的な管理の不備」から起きています。では、なぜ対策済みの企業でも、その不備が残るのでしょうか。
解説記事「なぜ個人情報漏えいは減らないのか ― 「対策済み」の企業でも事故が起きる構造的理由」の続きは
現在準備中です。
公開までお待ちください。
APPSWINGBYは、最先端の技術の活用と、お客様のビジネスに最適な形で実装する専門知識を有しております。AI開発から既存の業務システムへの統合などの他、リファクタリング、リアーキテクチャ、DevOps環境の構築、ハイブリッドクラウド環境の構築、システムアーキテクチャの再設計からソースコードに潜むセキュリティ脆弱性の改修の他、テクノロジーコンサルティングサービスなど提供しています。
貴社のセキュリティ対策等についてご相談されたい方は、お問い合わせフォームからお気軽にご連絡ください。システムの専門家が、貴社の課題解決をサポートいたします。
システム開発にお困りではありませんか？
もしも今現在、
- どのように開発を依頼したらよいかわからない
- どのように開発を依頼したらよいかわからない
- 企画や要件定義の段階から依頼できるのか知りたい
- システム開発費用がどれくらいかかるのか知りたい
- 見積りがほしい
など、システム開発に関するご相談・ご依頼がございましたら、お気軽にご相談ください。APPSWINGBYでは、「アプリでお客様のビジネスを加速し、お客様とともにビジネスの成功と未来を形作ること」をミッションとしています。大手SIerやＲ＆Ｄ部門で培った経験やノウハウ、高度な技術力でお客様の「やりたい」を実現します。
この記事を書いた人
株式会社APPSWINGBY マーケティング
APPSWINGBY（アップスイングバイ）は、アプリケーション開発事業を通して、お客様のビジネスの加速に貢献することを目指すITソリューションを提供する会社です。
ご支援業種
情報・通信、医療、製造、金融（銀行・証券・保険・決済）、メディア、流通・EC・運輸 など多数
株式会社APPSWINGBY マーケティング
APPSWINGBY（アップスイングバイ）は、アプリケーション開発事業を通して、お客様のビジネスの加速に貢献することを目指すITソリューションを提供する会社です。
ご支援業種
情報・通信、医療、製造、金融（銀行・証券・保険・決済）、メディア、流通・EC・運輸 など多数
監修
株式会社APPSWINGBY CTO 川嶋秀一
動画系スタートアップや東証プライム上場企業のR&D部門を経て、2019年5月より株式会社APPSWINGBY 取締役兼CTO。
Webシステム開発からアプリ開発、AI導入、リアーキテクチャ、リファクタリングプロジェクトまで幅広く携わる。
C, C++, C#, JavaScript, TypeScript, Go, Python, PHP, Java などに精通し、Vue.js, React, Angular, Flutterを活用した開発経験を持つ。
特にGoのシンプルさと高パフォーマンスを好み、マイクロサービス開発やリファクタリングに強みを持つ。
「レガシーと最新技術の橋渡し」をテーマに、エンジニアリングを通じて事業の成長を支えることに情熱を注いでいる。
株式会社APPSWINGBY CTO 川嶋秀一
動画系スタートアップや東証プライム上場企業のR&D部門を経て、2019年5月より株式会社APPSWINGBY 取締役兼CTO。
Webシステム開発からアプリ開発、AI導入、リアーキテクチャ、リファクタリングプロジェクトまで幅広く携わる。
C, C++, C#, JavaScript, TypeScript, Go, Python, PHP, Java などに精通し、Vue.js, React, Angular, Flutterを活用した開発経験を持つ。
特にGoのシンプルさと高パフォーマンスを好み、マイクロサービス開発やリファクタリングに強みを持つ。
「レガシーと最新技術の橋渡し」をテーマに、エンジニアリングを通じて事業の成長を支えることに情熱を注いでいる。
