2026年 日本の個人情報漏えい事件まとめ — 主な事案の一覧と、原因を6つの型で読み解く

はじめに：2026年は「100万件超え」が当たり前になった

2026年9月下旬から10月上旬にかけて、国内企業の個人情報漏えいの公表が立て続けにあった。 タイムズカーが約660万アカウント、焼肉きんぐの公式アプリが約1,079万件、ミスターマックスが最大約174万人分。 その少し前にも、画像共有サービスのGyazoが約2,362万件、KDDIのISP向けメールシステムが約1,223万件の漏えいを公表している。

本記事では、2026年1月〜10月上旬に公表された国内の主な事案を一覧にし、公表された原因を手口ごとに分類する。 個々のニュースを追うだけでは「また漏れた」で終わってしまう。原因を型で整理すると、システムを作る側・運用する側が先に手を打てる箇所が見えてくる。

全体像：漏えいの6割強は不正アクセス

まず統計で全体を押さえておく。東京商工リサーチの調査によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件（158社）だった。 件数は前年の189件から減ったが、漏えいした人数は3,063万人分で前年比93.1%増と、ほぼ倍になった。 100万人以上の大型事故が6件あり、最大はAOKIホールディングスの子会社（快活CLUB）が不正アクセスを受けた729万人分だった。

原因別の件数は次のとおり。

ウイルス感染・不正アクセスが116件で全体の64.4%を占める。1件あたりの平均漏えい人数も約56万人で最も大きい。 件数で見ても人数で見ても、外部からの攻撃が中心にある。2026年もこの傾向は変わっておらず、規模はさらに大きくなっている。

2026年に公表された主な事案

2026年に公表された事案のうち、規模が大きいものと原因が明らかになったものを中心に抜き出した。日付は第1報の公表日。

件数こそ小さいが、原因が教訓的な事案もある。TOPPANは損保ジャパン契約者約17.7万人分のデータを、ドラッグ&ドロップの操作ミスで別の損保会社向けのデータに混ぜて送ってしまった（9月）。 チケプラはキャッシュ設定の変更で他人の情報が画面に表示され（10月）、ベネフィット・ワンはアンケート機能の条件設定の不備で他社から閲覧できる状態になっていた（9月）。

時系列で並べると、夏以降に大規模な事案が集中していることが分かる。

原因を6つの型に分ける

原因が公表された事案を並べると、手口はおおむね次の6つの型に収まる。 ただし、表を見て分かるように侵入経路を「未公表」または「調査中」とする事案が多い。以下の分類は、原因が明らかになったものに限った整理だ。

flowchart TD
  A["個人情報の漏えい"] --> B["外部からの侵入"]
  A --> C["内部の設定・作業ミス"]
  B --> D["① 境界機器の脆弱性"]
  B --> E["② Webアプリ・ソフトの脆弱性"]
  B --> F["③ 盗まれた認証情報"]
  B --> G["④ 正規機能の大量照会"]
  B --> H["⑥ 委託先・SaaS経由"]
  C --> I["⑤ 設定ミス・誤送付"]
  D --> J["VPN・ネットワーク機器"]
  E --> K["アップロード処理・管理画面・組込みソフト"]
  F --> L["MFAなしの管理者・委託先アカウント"]
  G --> M["通常利用と区別できないアクセス"]

① 境界機器（VPN・ネットワーク機器）の脆弱性

インターネットと社内ネットワークの境目に置くVPN機器やルーターは、外から常に見えているため真っ先に狙われる。 デジタル庁のガバメントソリューションサービスでは、VPN機器の脆弱性を突かれてシステムに侵入され、保守担当者のアカウントで大量のファイルにアクセスされた。 検知は6月25日、侵入の判明は7月9日、公表は9月11日で、発覚から公表まで2か月以上かかっている。

群馬の両毛システムズ（8月）はVPNアカウントを悪用され、ランサムウェアの被害が委託元の伊勢崎市やガス事業者に広がった。 YCC情報システム（4月）も、ネットワーク機器の管理者アカウントの認証情報を推測または取得されたことが起点だった。 2025年秋のアサヒグループホールディングスの事案（約191万件の漏えいのおそれ）でも、攻撃者は拠点のネットワーク機器を経由して社内網に入っている。

② Webアプリ・ソフトウェアの脆弱性

件数が大きくなりやすいのがこの型だ。 Gyazoでは画像アップロードサーバの脆弱性を突かれて任意のコマンドを実行され、ユーザー情報約2,362万件と、主に2019年以前の画像メタデータ約4.9億件が流出した。 画像IDが漏れたことで、非公開画像を第三者に閲覧された可能性も否定できないとしている。

KDDIの事案は、ISP向けメールシステムに組み込んでいた第三者製ソフトウェアの脆弱性が原因だった。 BIGLOBE、ニフティ、J:COMなど6社のメールサービスが影響を受け、不正アクセスは5月16日から始まっていたが、KDDIが気づいたのは6月17日だった。 自社で書いたコードだけでなく、製品に組み込んだOSSや商用ソフトも攻撃面になる。 ほかにも、ムラウチドットコム（Webシステムの脆弱性から複数システムへ侵入）、オズモール（サイトの脆弱性）、スマレジのEC構築SaaS（管理画面のログイン機能の脆弱性）などがこの型にあたる。

③ 盗まれた認証情報とMFAの未適用

脆弱性を突かなくても、正しいIDとパスワードがあれば入れてしまう。 2025年10月のアスクルのランサムウェア被害（約74万件の漏えい）では、業務委託先が使っていた管理者アカウントの認証情報が盗まれ、そのアカウントに多要素認証（MFA）が適用されていなかったことが突破口になった。

2026年も、楽天ドライブ（盗まれた管理用認証情報）、大和証券の委託先（FAQシステムの管理サイトへの不正ログイン）、日本経済新聞社（社員アカウントへの不正ログインからなりすましメール約9,000件）と同じ型が続いている。 どれも「ログインに成功している」ので、ふつうの不正アクセス検知には引っかかりにくい。

④ 正規の機能を使った大量照会

システムに穴がなくても、正規の機能を大量に呼び出されると情報は抜ける。 アフラック生命保険の約440万人分の漏えいでは、「オンライン相談」と「よりそうネット」に不正アクセスを検知・遮断する機能はあった。 しかし攻撃のアクセスが通常利用と同じ形式だったため、すぐには検知できなかった。 同社は原因として、短時間に大量のデータ照会が行われた場合の監視と制御の仕組みが足りなかったことを挙げている。

リクルートの「スタディサプリ」では、機能の仕様を突かれて、メールアドレス3,687件について登録の有無を特定された可能性がある（10月）。 集英社の「HAPPY PLUS COMMUNITY」では、CMSの設定不備を起点にAPIの認証情報を狙われ、特権ユーザーを作られたうえでAPIを繰り返し実行された（9月）。 ログインの成否や登録済みかどうかで応答が変わる仕様は、それだけで情報源になる。

⑤ 設定ミス・作業ミス

攻撃者がいなくても漏えいは起きる。東京商工リサーチの統計でも「誤表示・誤送信」は37件で、原因の2位だ。 2026年の事案では、チケプラのキャッシュ設定変更による他人の情報の表示、ベネフィット・ワンのアンケート機能の条件設定ミス、TOPPANの誤送付などがこれにあたる。 りそな銀行は、1992〜2001年に解約した顧客約9,000人分の記録を紛失した（誤廃棄の可能性が高いとしている）。

キャッシュの誤設定は、Webエンジニアにとって身近な落とし穴だ。ログインユーザーごとに内容が変わるページをCDNや共有キャッシュに載せると、最初にアクセスした人のページが別の人に返る。

⑥ 委託先・SaaS経由（サプライチェーン）

上の①〜⑤とは別の軸だが、2026年の大きな特徴なので独立させた。被害を受けたのは委託先なのに、漏れたのは委託元の顧客情報という事案が多い。

• 自治体の委託先：YCC情報システム（山形市など）、両毛システムズ（伊勢崎市など）
• EC・予約のSaaS：Eストアー「ショップサーブ」は不正プログラムによる外部送信で延べ約885万件。利用しているEC事業者の購入者情報が対象になった。ファインズの予約システムも同様
• ホスティング：さくらインターネットでは、侵入されたサーバ上のレンタルサーバ利用者の情報が影響を受けた
• 業務委託先：大和証券（FAQシステム。同じ委託先の事案でシチズン時計も約10万人分が対象に）、旭化成セラピューティクス（医薬情報の委託先、最大約51万名分）、マイナビ（業務で使う外部クラウドサービスの侵害）

委託元から見ると、自社のシステムに何の問題がなくても顧客に謝罪することになる。 個人情報保護法でも、委託先の監督は委託元の義務だ。

ランサムウェア事案に共通する流れ

①③⑥の型は、ランサムウェア攻撃の入口として組み合わさることが多い。 アスクルやアサヒの事案で公表された経緯をもとに、典型的な流れを図にした。

sequenceDiagram
  participant A as 攻撃者
  participant E as VPN・ネットワーク機器
  participant N as 社内ネットワーク
  participant D as サーバ・データ
  A->>E: 脆弱性の悪用、または盗んだ認証情報でログイン
  E->>N: 侵入（MFAなしの管理者・委託先アカウント）
  N->>N: 内部偵察と権限昇格（数日〜数週間）
  N->>D: 管理者権限でファイルサーバ・DBへ到達
  D-->>A: 個人情報を外部へ持ち出し
  A->>D: 暗号化して業務停止、身代金を要求
  A-->>A: 支払わなければリークサイトで公開（二重恐喝）

この流れで大事なのは、侵入から暗号化までに時間があることだ。アサヒの事案では、システム障害が起きる約10日前に侵入されていた。 暗号化されて初めて気づくのでは遅く、それまでにデータはすでに持ち出されている。 ランサムウェアの被害が「業務停止」だけでなく「個人情報漏えい」として公表されるのはこのためだ。

開発・運用側が打てる対策

6つの型に対応させて、システムを作る側・運用する側が確認しておきたい点をまとめる。

型をまたいで効くのが、そもそも持たない・残さないことだ。 タイムズカーでは退会済み会員や入会手続きを終えていない人の情報まで対象になり、運転免許証の画像が約160万件流出した。 Gyazoで漏れた画像メタデータの多くは2019年以前のものだった。 本人確認が済んだら書類の画像は消す、退会者のデータは保存期間を決めて削除する。こうした運用は、どの型の攻撃を受けたときも被害の上限を下げる。

利用者として自分を守るには

漏えいの対象になったかどうかは、多くの場合、事業者からのメールや公式サイトの告知で分かる。対象になったときにやることは決まっている。

• パスワードの使い回しをやめる：Gyazoのようにパスワードのハッシュが漏れた場合、同じパスワードを使っている別のサービスが狙われる。パスワードマネージャーで固有のものにする
• MFAやパスキーを有効にする：パスワードが漏れても、それだけではログインできなくなる
• 漏えいを口実にした連絡を疑う：メールアドレスや電話番号が漏れると、「お詫び」や「補償」をうたうフィッシングが届く。リンクは開かず、公式サイトやアプリから確認する
• 本人確認書類が漏れたら：なりすまし契約を防ぐため、信用情報機関への本人申告制度の利用を検討する