なぜデータ流出・不正アクセスが相次ぐのか｜国内の事案と統計から見える6つの理由
仕様確認・更新日: · 編集: 株式会社ウェステリア
2026年9月下旬から10月上旬にかけて、会員向けサービスからの大規模な流出の公表が続きました。ランサムウェアで受注や出荷が止まる事案も、2025年から相次いでいます。「なぜこんなに多いのか」と感じている経営者・情シスの方は多いはずです。この記事では、当特集で整理した2024年から2026年10月6日までの国内51件の事案と、警察庁・IPAの統計をもとに、背景を6つに分けて説明します。公表された事実と統計で言えることだけを書き、推測で原因を決めつけることはしません。
結論から
- 警察庁によると、2026年上半期のランサムウェア被害報告は123件で、半期として統計開始以来最多でした。うち79件が中小企業です。2026年9月下旬から10月上旬には会員向けサービスからの流出の公表が集中しましたが、共通の原因は2026-10-06時点で公表されていません
- 事案と統計から見える理由は6つです。入口がVPN機器と盗まれたIDに集中していること、ランサムウェアが分業化したこと、委託先・SaaSがもう1つの入口になっていること、認証の例外と私物端末、侵入から発覚までの時間、持っているデータの多さです
- 6つのうち、自社で手を付けられるのは入口・アカウント・委託先・データの一覧づくりです。確認する順番は「今週確認する10項目」に、手口ごとの事例と対策は手口別のページにまとめています
2026年に何が起きているか
警察庁の「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月)によると、2026年1〜6月のランサムウェア被害報告は123件でした。統計を取り始めた2020年下半期以降、半期として最多です。内訳は中小企業79件、大企業31件、団体等13件でした。
2026年9月下旬から10月上旬には、会員向けのWebサービスやアプリからの流出の公表が集中しました。タイムズカー(約660万アカウント)、焼肉きんぐのアプリ(1,078万8,963件)、Gyazo(約2,362万件)などです。ただし、共通の原因や同じ攻撃者によるという公式の発表は、2026-10-06時点でありません。
以下の6つは、こうした個々の事案と統計を並べたときに繰り返し現れる背景です。1つの事案に複数が重なっていることもあります。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / @IT「タイムズカーへの不正アクセス」(2026-09-30)
理由1: 入口は、VPN機器と盗まれたIDに集中している
社外から社内に入るためのVPN機器やリモートデスクトップは、インターネットに公開されています。修正していない脆弱性や、推測しやすいパスワードは外から探せます。
警察庁の2026年上半期のアンケートでは、感染経路の有効回答36件のうちVPN機器が18件、リモートデスクトップが9件でした。2025年は有効回答92件のうちVPN機器が61件です。
個別の事案でも同じ傾向があります。岡山県精神科医療センターの調査報告書は、保守用VPN装置の脆弱性が2018年の設置以来残っていたと指摘しています。イセトーについて個人情報保護委員会は、VPN機器を約3年更新していなかったことを指摘しました。2026年にはデジタル庁のGSS(VPNの脆弱性)や両毛システムズ(VPNアカウントの悪用)でも、VPNが入口になったと公表されています。
出典: 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) / 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」 / ScanNetSecurity「岡山県精神科医療センターの調査報告書」(2025-02-27) / Web担当者Forum「個人情報保護委員会がイセトーに行政指導」(2025-03-25) / @IT「デジタル庁GSSへの不正アクセス」(2026-09-14)
理由2: ランサムウェアが分業化し、攻撃する側の裾野が広がった
警察庁は、ランサムウェアの開発・運営をするグループが、攻撃を実行する側に道具やリークサイトを提供する「RaaS(Ransomware as a Service)」を確認しています。高度な専門知識がない者でも攻撃を実行できるようになり、攻撃者の裾野が広がったとしています。
手口も変わりました。データを暗号化するだけでなく、盗んだデータを公開すると脅す「二重恐喝」が被害の多くを占めています。暗号化せずに、データを盗んで公開を予告するだけの手口も確認されています。
狙われるのは大企業だけではありません。2026年上半期の123件のうち79件が中小企業で、業種では製造業が37件で最多でした。
理由3: 委託先・SaaSが、もう1つの入口になっている
自社のネットワークを固めても、データを預けた委託先や、使っているSaaSが侵害されれば、自社の顧客の情報が漏れます。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの2位は「サプライチェーンや委託先を狙った攻撃」でした。
東海大学の事案では、学内で作業する決まりだったのに、委託先が大学のデータを社内に持ち帰っており、そのデータが被害を受けました。IIJのメールサービスでは他社製ソフトの未知の脆弱性が使われ、利用企業にも影響が広がりました。Eストアーの「ショップサーブ」では、不正プログラムが約2か月動き、出店する多くの店舗の購入者情報が対象になりました。
1社の被害が数十〜数千の組織に一度に広がる。これが、事案の数が多く見える理由の1つです。
出典: IPA「情報セキュリティ10大脅威 2026」 / ScanNetSecurity「東海大学 委託先経由の漏えいのおそれ」(2026-03-06) / ITmedia NEWS「IIJの不正アクセス、原因はActive! mailのゼロデイ」(2025-04-22) / @IT「Eストアー『ショップサーブ』の情報流出」(2026-08-05)
理由4: 多要素認証の「例外」と私物端末が突破される
多要素認証(パスワードに加えてスマホの確認などを求める仕組み)を入れていても、例外が残っていると、そこが入口になります。アスクルの調査報告書は、例外的に多要素認証を適用していなかった委託先向けの管理者アカウントが不正に使われたとしています。
日本経済新聞社では、社員の私物PCがウイルスに感染し、Slackの認証情報が流出しました。2025年の証券口座の乗っ取りでは、偽サイトで認証情報を盗む手口が使われました。金融庁の集計では、2025年の不正取引は9,860件、売買の合計は約7,415億円です。
どれも「仕組みはあったが、一部が対象外だった」事案です。全体の方針より、例外の一覧のほうが被害に直結します。
出典: ITmedia NEWS「アスクルが調査報告書を公表」(2025-12-12) / @IT「日本経済新聞社のSlackへの不正ログイン」(2025-11-10) / 金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」(2026-09-09版)
理由5: 侵入から発覚まで時間がかかる
攻撃者は入ってすぐに暗号化するとは限りません。警察庁は、管理者権限の奪取や内部の探索を経てから、データを盗み、暗号化するという流れを示しています。
アサヒグループの調査結果では、侵入はランサムウェアが一斉に実行される約10日前でした。さくらインターネットの販売管理システムへの不正アクセスは2023年4月から2026年3月まで続いていました。IIJでは2024年8月以降の不正アクセスが2025年4月に確認され、Eストアーでは不正プログラムが2026年5月21日から8月1日まで動いていました。
ログを取っていても、誰かが見て判断しなければ気づけません。発覚が遅れるほど、盗まれる量と影響の範囲が広がります。
出典: アサヒグループホールディングス「調査結果」(2025-11-27) / @IT「さくらインターネットへの不正アクセス 続報」(2026-08-20) / ITmedia NEWS「IIJの不正アクセス、原因はActive! mailのゼロデイ」(2025-04-22) / @IT「Eストアー『ショップサーブ』の情報流出」(2026-08-05)
理由6: 持っているデータが多いほど、漏れる量も多い
タイムズカーの事案では、退会者や手続きが完了しなかった申込者の情報も対象になり、約660万アカウント、運転免許証の画像など本人確認書類約160万件に及びました(第3報時点)。
反対に、東京メトロのポイントサービスはサーバにメールアドレスしか保存していなかったため、閲覧・取得された可能性があるのはメールアドレス約5万9,000件でした。
侵入を完全に防ぐのは難しくても、持っているデータを減らせば、漏れたときの被害は小さくなります。
出典: @IT「タイムズカーへの不正アクセス」(2026-09-30) / 東京メトロ「メトロポイントクラブへの不正アクセスについて」(2026-09-27)
6つの理由を、自社の確認にどうつなげるか
6つの理由のうち、2つ(攻撃の分業化と、攻撃者側の事情)は自社では変えられません。残りの4つ(入口、委託先、認証の例外、データの量)と、気づくための体制は、自社の一覧と運用で確かめられます。
具体的な確認の順番は「経営者・情シスが今週確認する10項目」に、手口ごとの事例と対策は手口別のページに、件数の推移は「サイバー被害の統計」にまとめています。被害が疑われる場合は、自社で調べ続けず、フォレンジック(侵入の痕跡を調べる調査)の専門会社に相談してください。
よくあるご質問
- データ流出や不正アクセスは本当に増えているのですか
- ランサムウェアについては増えています。警察庁によると、2026年上半期の被害報告は123件で、半期として統計開始以来最多でした。一方、個人情報保護委員会が処理した民間事業者の漏えい等の報告は、2025年度が1万7,139件で、2024年度の1万9,056件から約1割減りました。何を数えた統計かで傾向は違います。
- 2026年9月下旬から10月上旬に流出の公表が集中したのはなぜですか
- 2026-10-08時点で、共通の原因や同じ攻撃者による一連の攻撃だという公式の発表はありません。原因が公表されていない事案について、当特集は推測で理由を書きません。公表された事案の一覧と原因の型は「2026年9月末から相次ぐ情報漏えい」にまとめ、続報が出たら更新します。
- 中小企業も狙われますか
- 狙われます。警察庁の統計では、2026年上半期のランサムウェア被害123件のうち79件が中小企業でした。大企業の委託先・取引先として入口にされる事案もあります。
- どの理由から手を付ければよいですか
- 多くの事案で入口になっている、VPN機器などの社外から入れる入口と、多要素認証の例外の確認からが目安です。確認する項目は「今週確認する10項目」にまとめています。