個人情報流出はなぜ相次ぐ？「突破される前提」で備える4つの視点
2026年9月末から10月初旬にかけて、国内企業による個人情報流出の公表が相次いでいます。会員情報が1,000万件を超える規模で漏えいした事案もあり、自社は大丈夫かと不安を感じた担当者の方も多いのではないでしょうか。攻撃手口が巧妙化するなか、AIの悪用による新たな脅威も指摘されています。本記事では、最近の流出事案から見えてきた傾向を整理し、「突破される前提」で業務を守るために何を備えるべきかを解説します。
INDEX
9月末から相次いだ個人情報流出の公表
この期間、業種や規模を問わず多くの企業が不正アクセスによる被害を公表しています。
- 大手飲食チェーンのアプリ会員情報、約1,079万件の漏えいを確認（10月5日公表）
- カーシェア・レンタカーサービスで約660万アカウント分の情報が漏えいし、一部は運転免許証などの本人確認書類も対象（9月28日公表）
- アンケートサイトでソフトウェアの脆弱性が悪用され、最大約95万件の個人情報が流出したおそれ。一部会員のポイントが不正に交換される被害も発生（10月5日公表）
- 外部委託先が提供する問い合わせ管理システムへの不正アクセスにより、証券会社や損害保険会社など複数社の顧客情報に影響が及んだ可能性（10月上旬に各社が公表）
東京商工リサーチの集計では、上場企業とその子会社による100万件以上の個人情報漏えいは、2026年は10月5日時点ですでに10件にのぼり、2025年の年間6件を上回りました。1,000万件以上の事案は2025年までの14年間で3回だったのに対し、2026年だけで3回発生しています。
なぜ今、流出が相次いでいるのか
報道では、最近の攻撃にAIが悪用されている可能性も指摘されています。ただし、今回紹介した個々の流出事案でAIの利用が確認されたわけではありません。
2025年11月には米Anthropicが、国家の支援を受けたとみられる攻撃グループが、約30の組織を狙った侵入作業の8〜9割をAIエージェントに自律的に実行させていた事例を公表しました。標的の調査、脆弱性の探索、攻撃コードの作成、認証情報の窃取といった、これまで熟練した攻撃者が時間をかけていた作業を、AIが高速かつ大量にこなせるようになっています。
防御側はすべての入り口を守らなければなりませんが、攻撃側は一つの穴を見つければ十分です。この非対称性はもともと存在していましたが、AIの悪用が進めば、攻撃の試行を効率化・高速化させ、防御側の負担をさらに増やすおそれがあります。警察庁によると、2026年上半期のランサムウェア被害の報告件数は123件と、半期として過去最多を記録しています。
自社を固めるだけでは防ぎきれない
最近の事案で目立つのは、自社のシステムではなく、外部委託先やクラウドサービスを経由した被害です。前述の問い合わせ管理システムの件では、影響を受けた各社が「自社システムへの不正アクセスは確認されていない」と説明しています。それでも、顧客から見れば情報を預けた企業の問題であることに変わりはありません。
現在の業務は、SaaS、クラウド、委託先のシステムが複雑につながって成り立っています。自社の対策をどれだけ強化しても、つながっている先のどこかが突破されれば影響を受けます。セキュリティ対策は今後も欠かせませんが、「絶対に破られない」ことを前提に業務を組み立てるのは、もはや現実的ではありません。委託先を選ぶ際のセキュリティ確認に加えて、委託先が止まったり、データが失われたりした場合にどう業務を続けるかまで、あらかじめ考えておく必要があります。
情報流出だけではない「業務停止」というリスク
不正アクセスの被害は、情報の流出だけにとどまりません。10月7日には、国内のクラウド事業者がランサムウェア攻撃を受け、契約する495の企業・自治体に影響が出ました。在庫管理ツールが使えなくなった企業、商品の入出荷ができなくなった物流会社、Webサイトが閲覧できなくなった自治体など、影響は業務そのものに及んでいます。
注目したいのは、利用企業によって復旧の見通しに差が出ている点です。クラウド側から「データの復元は難しい」と伝えられ、手元のデータから環境を作り直すことになった企業がある一方、別のクラウドにバックアップを保管していた企業は、そこから別の基盤へ移行して復旧する方針を示しています。同じ攻撃の影響を受けても、データを別の場所に確保していたかどうかで、その後の選択肢が大きく変わることを示す例といえます。
警察庁の同じ報告では、ランサムウェア被害から1か月未満で復旧できた組織は5割弱にとどまり、復旧に1,000万円以上を要した組織が6割を占めました。情報流出は信用を損ない、業務停止は売上や日々の事業活動にも影響します。両方に備えておく必要があります。
「突破される前提」で業務を組み直す4つの視点
侵入を前提とする考え方は、対策をあきらめることではありません。守りを固めたうえで、破られたときの被害と停止時間を最小限に抑える設計に切り替えることです。次の4つの視点で整理すると、抜け漏れを防ぎやすくなります。
- 防ぐ：多要素認証の徹底、VPN機器やサーバーの脆弱性への迅速な対応、委託先のセキュリティ管理など、基本の対策を緩めないこと。警察庁の報告でも、ランサムウェアの侵入経路の約5割をVPN機器が占めています。
- 広げない：アクセス権限を必要最小限に絞り、不要になった個人情報を持ち続けないこと。侵入されても、到達できる範囲と保有するデータが少なければ、被害は小さく抑えられます。
- 続ける：システムが止まったときに、どの業務を優先し、どんな代替手段で回すかを事前に決めておくこと。電話や紙での対応への切り替えなど、手段を決めておくだけでも初動の混乱は大きく減ります。
- 戻す：データとシステムを、攻撃を受ける前の健全な状態（known-good-state）に戻せる仕組みを用意しておくこと。復旧の早さが、業務停止の長さを直接左右します。
このうち「戻す」は、被害が発生した後の業務再開を支える重要な手段です。
バックアップは「最後の砦」として機能するか
ランサムウェア攻撃では、攻撃者がデータを暗号化する前に、バックアップを探して削除や暗号化を試みることが知られています。そのため、バックアップを「取っているかどうか」だけでなく、「攻撃を受けても使える状態か」を確認しておくことが大切です。
- 本番環境と同じ場所や、同じ管理者アカウントで管理していないか
- 削除や改ざんができないイミュータブルな状態で保存されているか
- 本番環境からエアギャップなどで論理的に切り離されているか
- 必要なデータだけを、必要な時点からピンポイントで戻せるか
- 実際に復元を試し、かかる時間を把握しているか
また、すべてを一度に戻そうとすると時間がかかります。受注、請求、顧客対応など、止まると影響の大きい業務から順に戻せるよう、復旧の優先順位をあらかじめ決めておくと、限られた時間の中でも業務を再開しやすくなります。
SaaS上のデータも例外ではありません。Microsoft 365やGoogle Workspace、SalesforceといったSaaSでも、責任共有モデルに基づき、利用企業側でもデータの保護や復元に備える必要があります。標準機能によるデータの保持・復元には対象や期間などの制約があるため、被害に気づくのが遅れた場合、必要なデータを戻せなくなるおそれがあります。
まとめ
サイバー攻撃の手口は巧妙化し、AIの悪用も新たな懸念となっています。セキュリティ対策を強化し続けることは前提ですが、それだけで被害をゼロにすることは難しくなりました。これからは突破されることも想定し、被害を広げず、業務を止めず、速やかに元に戻せる体制をあわせて整えておくことが求められます。
まずは、自社の重要業務がどのシステムとデータに依存しているか、それが失われたときに、どこから、どれくらいの時間で戻せるのかを確認するところから始めてみてください。
なお、SaaSデータを守る手段の一つに、当社が提供するバックアップサービス「Keepit」があります。Microsoft 365やGoogle Workspace、Salesforceなどのデータを本番環境から独立したクラウドにイミュータブルな状態で保管し、必要なデータを必要な時点から復元できます。バックアップ体制を見直す際の選択肢の一つとして、ぜひ検討してみてください。