国内企業・団体の情報漏えい、2026年は10月初めに506件　マクニカが指摘する攻撃手法の変化

国内企業・団体が公表した情報漏えい被害は、2026年10月5日までに506件に達した。トレンドマイクロと読売新聞が同じ条件で集計した2024年の少なくとも503件、2025年の473件を、今年は10月初めの時点で上回った。

被害には、タイムズカーのWebシステムから約660万アカウントの情報が取得された事案も含まれる。マクニカの瀬治山豊氏は、攻撃者が各システム固有の弱点を探して侵入する手口の広がりを指摘する。一方、今回の攻撃にAIが使われたことを示す確定的な証拠は、報道されていない。

公表された情報漏えいは10月5日までに506件

トレンドマイクロと読売新聞は、2024年から2026年に国内企業・団体が発表した情報漏えい被害を集計した。2026年は6月に76件、9月に73件が公表され、10月1日から5日だけでも13件に達した。この506件は被害を公表した件数であり、漏えいした人数やアカウント数ではない。

9月には、タイムズカーのWebシステムへの不正アクセスが発覚した。運営会社のパーク24は、現会員に加え、退会済み会員や入会未完了の申込者を含む約660万アカウントの情報が取得されたと発表した。読売新聞によると、そのうち約160万件には運転免許証などの本人確認書類の画像が含まれる。取得された情報の種類は対象者によって異なり、同システムに保存されていなかったクレジットカード情報の漏えいは発表されていない。

10月初めにも複数の企業が被害を公表した。読売新聞によると、ミスターマックス・ホールディングスは最大173万人の会員情報の流出を発表した。シチズン時計は、問い合わせフォームの委託先への不正アクセスによって約10万人の個人情報が漏れた可能性を発表している。これらの人数とタイムズカーのアカウント数は対象や単位が異なるため、合計して被害者数を示すことはできない。

マクニカが指摘する攻撃手法の変化とAIの位置付け

マクニカでセキュリティ研究センター長補佐を務める瀬治山豊氏は、従来の攻撃では複数のシステムに共通する弱点を見つけ、一斉に狙う手口が一般的だったと説明する。現在は、それぞれのシステムに固有の弱点を探して侵入する手口が広がっているという分析だ。

瀬治山氏は、人がシステムの弱点を探すと2〜3週間かかる作業を、AIなら数時間で進められると説明し、幅広い企業が標的になっている状況からAIの使用を推測している。ただし、これは瀬治山氏の見解であり、個別の情報漏えい事案でAIが使われたと確認されたわけではない。

攻撃への対応に使える時間も短くなっている。横浜国立大学の吉岡克成教授は、脆弱性が発見・公表されてから攻撃が確認されるまでの期間について、2024年の141日に対し、2026年8月末時点では35日だったと分析した。吉岡氏はAIの悪用によって短時間で広範囲への攻撃が可能になったと指摘し、企業に迅速な対応を求めている。

確認された二次被害と、企業・利用者への提言

漏えいに伴う金銭的な被害も報告されている。読売新聞によると、GMOリサーチ＆AIはアンケートサイトへの不正アクセスで最大94万8498人分の会員情報が外部に漏えいしたと発表した。同社は一部会員のポイントについて、611件、計286万9500円分がAmazonギフトコードに不正交換されたことも公表し、全額を補填する方針を示した。他社の事案でも同様の不正利用が起きたかどうかは確認されていない。

企業の対策について、ラックの倉持浩明氏は、退会者や契約終了者の情報を早期に削除して保有データを減らすこと、漏えい時には委託先を含めて被害範囲を確認すること、外部に公開したサービスを継続的に点検することを挙げた。瀬治山氏は、企業ごとに見つかった弱点をまとめて分析し、中小企業も含めた対応策を政府主導で整備する必要があると訴えている。

利用者に対しては、神戸大学の森井昌克名誉教授が、漏えいが報告されていないサービスでも同じパスワードを使っている場合は変更するよう勧めている。森井氏は多要素認証の活用に加え、届いたメールのURLや連絡先をそのまま使わず公式サイトやアプリで確認すること、クレジットカードの取引履歴を確認することも呼びかけた。