情報漏洩の事例一覧｜2026年9〜10月の国内156件と原因の公表状況

2026年9〜10月に、国内でどれだけ情報漏洩が公表されたか

この一覧でいう情報漏洩とは、組織が預かる情報が外部に漏れた、または漏れたおそれがあると公表された事案のことです。不正アクセスだけでなく、メールの誤送信、書類の紛失、元従業員による持ち出し、設定のミス、生成AIへの入力も含めました。結果として個人情報の漏洩がなかったと分かった事案や、機密情報・資金の流出、システム障害だけの事案も、同じ時期に公表された関連の事案として残しています。

期間中に国内で公表された事案と、同じ期間に続報が出た事案は、合わせて422件でした。1つの組織が1つの事案について出した公表を、初報と続報をまとめて1件と数えています。台帳に記録した日付で分けると、9月が163件、10月（25日まで）が227件、8月以前が31件で、1件は日付が分かりません。日付の一部は報道の掲載日で、組織の公式な初報の日と異なる場合があります。8月以前の31件は、9月より前に起きて期間中に続報が出た事案です。

委託先を通じて起きた事案は、ほかの種類にも当てはまる場合でも「委託先・取引先経由」に数えました。委託先で事故が起きた場合は、その委託先の公表と、委託先のサービスを利用する各組織の告知を別々に数えています。同じ事故の公表を1件にまとめ直すと、422件は274件になります。まとめサイトが名前だけを挙げた組織は、422件に入れていません。

422件のうち、公表された件数が大きい事案、複数の組織が告知を出すきっかけになった委託先の事故、原因の型ごとの典型例を中心に156件を選び、公式発表を探して確かめました。以下の集計は、この156件の数字です。選び方に偏りがあるため、国内のすべての情報漏洩の割合を示す数字ではありません。

情報漏洩の原因は、公表文にどこまで書かれたか

156件の公表文を、原因の書き方で6つに分けました。情報が漏れた経路と、漏洩につながった問題点まで説明した公表文を「具体的に書かれている」としています。

誤送付・誤送信、詐欺、設定ミスのように人の操作が起点になった事故は、15件のうち12件で原因が具体的に書かれていました。一方、委託先経由とランサムウェアの事故は、合わせて47件のうち2件だけでした。

1件に1つの型を割り当て、委託先経由に当てはまるものを優先しています。各行の件数から右の3列の合計を引いた残りは、組織の公式発表が見つからないか、読めなかった事案です。神戸市内のホテルでは、客室に置かれたパソコンからフィッシングメールが送られる事案がありました。手口は兵庫県警の資料に書かれていますが、ホテル自身は公表していないため、「具体的に書かれている」には数えていません。

防災情報の一斉配信サービス「SpeeCAN RAIDEN」を運営するアルカディアは、原因を具体的に公表しました。攻撃者が添付ファイル用サーバーの弱点（脆弱性）を突いて設定ファイルを取り、ファイルの中の鍵を使ってアカウントへのログインを総当たりで試した経緯を、時刻とともに説明しています。TOPPANは、複数社分のZIPファイルを同じフォルダに置いてドラッグ＆ドロップで操作し、損保ジャパンの契約者177,426名分のデータを別の保険会社に送ったと説明しています。反対に、調査を終えたうえで詳細の公表を控えた会社もあります。タイムズカーを運営するパーク24は二次被害を防ぐため、シーイーシーはセキュリティ上の観点から、侵入の手法を公表しないとしています。

公表された個人情報の「○万件」は、実際に漏れた数か

そうとは限りません。156件を最新の公表内容で分けると、漏洩を確認した件数が示された事案は55件で、漏洩のおそれや可能性のある件数だけが示された事案も55件でした。

単位もそろっていません。人数のほか、アカウント数、メールアドレス数、データの行数（レコード）、問い合わせの延べ件数が混ざっています。初報と続報で、公表された数が大きく変わった例も多くありました。

Eストアーは最終報で、店舗の運営者とアフィリエイターも集計の対象に含め、人数に直して公表しています。初報とは単位も対象も違うため、2つの数字から漏洩の規模が広がったとは読めません。こうした数を足して合計を出す記事もありますが、本記事では単位と確かさがそろわないため、合計は出していません。

1つの委託先の事故は、何社の公表に広がったか

422件のうち171件は委託先・取引先経由で、1つの事業者の事故を受けて数十から数百の組織が告知を出す例が続きました。表の組織数は、サービスを利用する組織が出した告知と、まとめサイトに名前が載った組織をもとに数えた目安です。委託先経由の事故のつながり方は、別の記事「サプライチェーン攻撃の国内事例｜2026年9〜10月の委託先経由の情報漏洩」で詳しく取り上げています。

上の表の5つの事故のうち、影響を受けた利用組織の数をサービスの提供事業者が自ら公表したのは、IDCフロンティアだけでした。495は障害の影響を受けた契約者の数で、漏洩した件数ではありません。IDCFクラウドの影響を公表した組織のうち、弊社が公式発表を読んだ9組織では、8組織がメール配信事業者を通じてIDCFクラウドを使っていました。

2026年9〜10月の情報漏洩事例一覧（詳しく調べた156件）

初報の日付順に並べています。「公表された件数」には、2026年10月25日時点で最新の公表文に書かれた数を載せ、単位は各社の表記に合わせました。「件数の確かさ」の列は、その数が漏洩を確認した数か、おそれや上限の数かを示します。最後の表は、事故自体が9月より前に起きた事案です（PFUのように、利用組織の初報が9月に出たものを含みます）。組織名がサービス名と一致しても、事故が起きたのがそのサービス自体なのか、そのサービスを使っていた組織のアカウントなのかは行ごとに違います。日本経済新聞社の行は、同社の社員アカウントへの不正ログインで、Google Workspace や Microsoft 365 自体の事故ではありません。

9月に初報が出た事案（40件）

10月に初報が出た事案（90件）

9月より前に起き、期間中に続報が出た事案（26件）

公式発表の列を「なし」とした行は、組織の公式発表が見つからなかったか、公式サイトがページの自動取得を受け付けず本文を確かめられなかったか、公表ページの掲載が終わっていたものです。件数や原因は続報で変わるので、引用するときは各社の最新の公表を確かめてください。

よくある質問

この一覧は、どのように作ったか

対象は、2026年9月1日から10月25日までに国内で公表された事案と、同じ期間に続報が出た事案です。9月より前に起きた事案でも、期間中に件数の確定や原因の公表があったものは入れました。公式発表が8月以前に出され、期間中には報道だけがあった6件は数えていません。海外の事案と、オープンソースのパッケージへの攻撃も除いています。

事案の情報は、セキュリティ専門メディアのSecurity NEXTとScanNetSecurityの9〜10月の記事、まとめサイト（piyolog、rocket-boysほか）の一覧、個人情報保護委員会の公表から集め、同じ事案の重複を除いて一覧にしました。詳しく調べた156件以外の266件のうち、15件は調査の途中で公式発表を確かめ、251件は報道とまとめサイトの記載によります。原因の書き方と件数の確かさは、公表文の表現をもとに弊社が分類しました。公表資料を整理した集計で、侵入の原因を弊社が独自に調べたものではありません。取得できた公式発表の本文は2026年10月25日までに保存し、リンクは2026年10月28日に開けることを確かめました。

誤りに気づいた場合は、お問い合わせフォームからお知らせください。確かめたうえで訂正します。

引用するときの表記の例：株式会社ノーコードソリューションズ「情報漏洩の事例一覧｜2026年9〜10月の国内156件と原因の公表状況」（2026年10月25日時点の集計）

登壇・セミナー実績

開催レポートを読む →

開催レポートを読む →

神戸商工会議所・石川県庁など、各地の商工会議所や自治体でAI活用セミナーに登壇しています。