【調査レポート】2026年4〜9月の情報漏えい182件を集計｜原因・業種・規模別データと全事案一覧

この半年の要点

• 原因の最多はシステム侵害（脆弱性・VPN等）79件（43%）。次いでランサムウェア41件、アカウント乗っ取り・認証情報悪用27件。
• 影響100万件以上の11件はすべてシステム侵害。Gyazo（約2,362万件）、KDDI（約1,223万件）、ショップサーブ（約885万件）が上位3件。
• ランサムウェア41件のうち14件が製造業。海外子会社・海外拠点を起点とする被害は全体で11件。
• 委託先・SaaS・取引先を経由した事案は24件。いえらぶCLOUD、ショップサーブ、YCC情報システムのように、1社の侵害が数十〜数千の利用企業に波及した。
• 紛失・誤廃棄と内部不正・ソーシャルエンジニアリングは計23件。廃棄HDDの流通、「ニセ警察」電話、私用の生成AIへの顧客情報入力など、人と運用に起因する事案も続いた。

集計の方法と読み方

対象は、2026年4月〜9月にAND SECUREのインシデント速報で取り上げた国内組織（海外子会社の被害を国内本社が公表したものを含む）の情報漏えい事案です。漏えいの「おそれ」「可能性」として公表されたものも含みます。脆弱性情報のみの記事、個人情報への影響がないWeb改ざんやシステム障害、2025年以前に発生し続報のみが期間内に出た事案（アサヒグループホールディングス等）は除外しました。

月は編集部が最初に報じた時点を基準にしています。影響件数は期間内に公表された最大値（確定値があれば確定値）で、人数・件数・アカウント数の区別は各社の公表に従います。同一人物の重複や、委託先経由で複数社が同じ情報を公表しているケースがあるため、合計値は延べの数字です。

本集計は全数調査ではありません。特に6月は速報記事の本数が少なく、外部のまとめ記事で補完しています。公的統計としては、警察庁が2026年上半期（1〜6月）のランサムウェア被害報告を123件（半期として過去最多）と公表しています。

原因別：システム侵害が4割強、ランサムウェアが2割強

「システム侵害」はWebアプリやCMSの脆弱性、VPN機器、メールサーバなどへの侵入です。暗号化や脅迫を伴うものは「ランサムウェア」に分類しました。「アカウント乗っ取り・認証情報悪用」はGitHub、Microsoft 365、社用メール、クラウドストレージなどの正規アカウントを使われたケースで、フィッシングやパスワードの使い回しが起点になっています。

月別推移

列は左から、システム侵害／ランサムウェア／アカウント乗っ取り／設定ミス／紛失／内部不正。4月はランサムウェアが12件で最多でしたが、8〜9月はWebサービスやECサイトへのシステム侵害が増え、9月は23件に達しました。8月以降は会員数の多いアプリ・EC・SaaSで100万件規模の公表が続いています（ショップサーブ、イエローハット、さくらインターネット、Gyazo、タイムズカー、セイコーマート）。

業種別：製造・小売・ITの3業種で半数超

製造業は31件中14件がランサムウェアで、VPN経由や海外子会社経由の侵入が目立ちます。小売・ECはカード情報や会員情報を狙ったECサイト・アプリへの侵害が中心です。IT・通信には、SaaSやホスティングを提供する側が侵害され、利用企業に被害が広がったケースを多く含みます。公共・教育では、メールアカウントの乗っ取りと委託先経由の被害が目立ちました。

影響規模別

182件のうち97件（53%）は、影響件数が公表されていないか調査中です。ランサムウェア被害では、調査に数か月かかり件数の公表が遅れる傾向があります。予約・顧客管理SaaS「PeakManager」は、転送が確認された約2,218万レコードが人数に換算できないとされているため、件数の集計から外しました。

影響件数の上位15件

上位15件のうち14件は不正アクセス・ランサムウェアによるもので、残る1件は北海道医療センターの廃棄HDD流出（最大約51万人分）です。東京商工リサーチの集計では、上場企業とその子会社による100万件以上の漏えいは2026年に入って10月5日時点で10件となり、2025年通年の6件をすでに上回っています。

データから見える4つの傾向

1. 1社の侵害が数千社に波及する「SaaS・委託先経由」

委託先・SaaS・取引先を経由した事案は24件で、判明分だけで延べ約1,259万件に上ります。不動産SaaS「いえらぶCLOUD」（約240万件）、EC構築サービス「ショップサーブ」（最大約885万件）、自治体向けシステムのYCC情報システム（70万件超）では、利用企業がそれぞれ個別に公表する事態になりました。自社に落ち度がなくても、顧客への通知と問い合わせ対応は利用企業側に発生します。

2. ランサムウェアは製造業と海外拠点に集中

ランサムウェア41件のうち製造業が14件。デンソー、山一電機、住友金属鉱山、サンコーテクノなど、海外子会社が最初に被害を受ける例が続きました。警察庁の上半期統計でも、被害の約6割が中小企業、侵入経路の約5割がVPN機器とされています。

3. 正規アカウントの悪用が27件

CAMPFIRE、マネーフォワード、イノベーションはGitHubの認証情報から、日経・JST・講談社はメールやMicrosoft 365から侵入されました。中部電力と三井不動産は「資格情報の不正利用」と公表しています。侵入に脆弱性は使われておらず、多要素認証と、退職者・委託先アカウントの棚卸しが防御の中心になります。

4. 人と運用の事案は減っていない

紛失・誤廃棄11件、内部不正・ソーシャルエンジニアリング12件、設定ミス12件。HDDを破砕せずに流通させた廃棄委託先、警察を名乗る電話で情報を送ってしまった大阪国税局と安藤ハザマ、私用の生成AIに顧客情報を入力したRIZAP、非表示シートに名簿が残ったまま公開した大川市などです。ツールの導入だけでは防げない領域です。

全182件の事案一覧（2026年4月〜9月）

公表月は編集部の初報時点、影響件数は期間内の最大値です。「経路」は委託先・SaaS・取引先経由を「委託」、海外子会社・拠点経由を「海外」と表記しています。

2026年4月（28件）

2026年5月（27件）

2026年6月（18件）

2026年7月（33件）

2026年8月（39件）

2026年9月（37件）