情報漏洩のニュースが毎日のように流れてくるけれど、社員が数人の会社にも関係があるのだろうか。
2026年10月は、国内で大きな情報漏洩の公表が続きました。10月15日には、ソースネクストが会員情報22,519,960件の流出の可能性を、バーガーキングを運営するビーケー・ジャパンが公式アプリの会員情報約1,118万件の漏えいを発表しています。20日には、ふるさと納税サイト「ふるさとチョイス」の4,454,097件の流出も公表されました。
社員が数人の会社でも、クラウドの顧客管理やホームページの問い合わせフォーム、採用の応募管理など、外のサービスにお客様や応募者の情報を預けていれば関係があります。明日から見直せる所も、公表された原因からはっきり見えてきます。
先にまとめ
9月25日から10月21日までに公表された、外部からの攻撃による主な17件を、当事者の公式発表で確かめました。公表した会社が自分で管理するシステムへの不正アクセスが10件、委託先や使っていた外部のサービスで起きたものが7件です。自社で管理するシステムの10件のうち6件は、原因を調査中とするか、手口の詳細を公表していないかのどちらかです。
2025年秋からの約1年の間には、データを暗号化して身代金を求めるランサムウェアの被害も続きました。入口は、外から社内につなぐ機器や、多要素認証（パスワードのほかにもう1つの確認を求める仕組み）を例外的に外していたアカウントでした。メールの宛先の入れ間違いや、資料を入れたかばんの置き忘れも公表されています。
中小企業が明日から手を付けるなら、使っているクラウドと委託先を書き出す、ログインの多要素認証を例外なくオンにする、外からつなぐ入口と更新を確かめる、戻せるバックアップを取る、の4つから始めるのが現実的です。報告の対象になる漏えい（要配慮個人情報が含まれる・お金の被害のおそれ・不正の目的のおそれ・本人が1,000人超のいずれか）に気づいたら、個人情報保護委員会への速報は、知ってから概ね3〜5日以内が目安です（2026年10月21日確認）。
9月下旬からの1か月で、100万件を超える公表が12件続いた
10月21日に、9月25日以降に公表された主な事案のお知らせ・報道発表・適時開示を1件ずつ開き、件数・原因・公表日を確かめました。外部からの攻撃による主な17件のうち、100万件を超える数を出しているものが12件あります。
下の表の件数は、各社の言い方をそのまま写しています。読むときは、件数に添えてある言葉を見てください。「漏えいしたことを確認」と書く会社もあれば、「流出した可能性」「漏えいしたおそれ」と書く会社もあり、同じ数字でも重さが違います。
組織名から各社の発表へ飛べます（いずれも10月21日確認）。
| 公表 | 組織（サービス） | 公式の件数の書き方 | 公表された原因 |
|---|---|---|---|
| 10/19・20 | トラストバンク（ふるさとチョイス） | 流出が確認された 4,454,097件（今後変わる可能性あり） | 第三者による不正アクセス。原因は調査中 |
| 10/20 | NEC | 件数の記載なし（影響のあった複数のお客さま） | 開発・保守の委託先がサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用された |
| 10/20 | 国土交通省（住宅省エネ2024キャンペーン） | 漏洩の可能性 23,918名（速報値） | 事務局（博報堂）の申請システムに外部から不正操作。調査中 |
| 10/20 | 東邦ガス | 漏えいの可能性 対象者数100件 | 新規事業で使っていた Studio 社のクラウドサービスの脆弱性を悪用された |
| 10/19 | 阪急阪神百貨店（H2O ID） | 約126万件の個人情報の一部が漏えい | 予約サイトを経由した第三者による不正アクセス。詳しい原因は調査中 |
| 10/16 | 日本経済新聞社 | 約183万件が漏洩（うち約168万件は識別子のみ） | システム開発に使うクラウドの認証情報が盗まれた |
| 10/16・20 | 岩井コスモ証券 | 対象 4,975名。7口座で意図しない売買注文（うち5口座で約定） | 委託先（トレードワークス）のシステムの管理機能の設定不備を悪用された |
| 10/15 | ソースネクスト | 流出した可能性 対象件数 22,519,960件 | 会員情報を取り出す仕組み（API）を不正に利用された |
| 10/15 | ビーケー・ジャパン（バーガーキング公式アプリ） | 約1,118万件の漏えいを確認 | 第三者による不正アクセス。経緯と詳しい原因は調査中 |
| 10/13〜 | アルカディア（一斉メール配信の SpeeCAN RAIDEN） | 漏洩の可能性 メールアドレス最大 約3,136,000件（推定値）ほか | 添付ファイル用サーバーの欠陥から設定ファイルの鍵を取られ、アカウントIDを総当たりされた |
| 10/9・13 | ブックオフ | 漏えい対象 6,427,735件（6,383,279人） | 第三者による不正アクセス。手法の詳細は公表を差し控える |
| 10/9 | ディップ（バイトル・バイトルNEXT） | 漏えいした可能性 最大3,885,771件（メールアドレスのみ） | 一部機能の仕様の不備を突いた、海外からの不正アクセス |
| 10/8 | ローソン（ローソンID） | 215万5,345件の漏えいを確認 | アプリで本人に情報を表示する仕組みが不正アクセスを受けた |
| 10/8 | 第一興商 | 約8,724,000件が漏えいしたおそれ | 委託先（日本コロムビアグループ）の社員のパソコン1台がマルウェアに感染 |
| 9/30 | 吉野家・はなまる | 応募者 吉野家4,998件・はなまる368件、採用担当の従業員418件（従業員の件数はアカウント数） | 採用業務の委託先（ApplyNow）の仕組みに不正アクセス。契約終了後も応募者の情報が残っていた |
| 9/29〜 | ヤマト運輸（クロネコ代金後払いサービス） | 約526万件ほかの不正な持ち出しが判明 | 第三者による不正アクセス。手口の記載なし |
| 9/25〜 | タイムズカー | 漏えいしたアカウント 約660万件（うち本人確認書類 約160万件） | 第三者による不正アクセス。原因と影響範囲は調査中（漏えいの詳細は10/23 に案内の予定） |
報道の見出しとは数字が違うものもあります。ヤマト運輸の報道の「531万件」は、公式の約526万件（利用した一部のお客さまの情報）と約5万件（お届け先の情報）を足した数字です。
漏れた項目にパスワードが入ると書いているのは、ソースネクスト、ふるさとチョイス（ハッシュ化＝元に戻しにくい形に変えたもの）、ブックオフ（ハッシュ値）、タイムズカー（復元できない形式）、吉野家・はなまる（採用担当の従業員418件分の暗号化されたパスワード）の5件です。ふるさとチョイスは、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている人に、そちらのパスワードを変えるよう呼びかけています。
同じ時期に、国の機関も動いています。10月7日に個人情報保護委員会が、9日には国家サイバー統括室・IPA（情報処理推進機構）・経済産業省・金融庁が、相次ぐ漏えいを受けた注意喚起を出しました。IPA は16日に不正アクセス対策の特設サイトを公開し、事業者向けの不正アクセス特別相談窓口を案内しています。自社に引き寄せて読むなら、件数の大きさより、どこから漏れたかを見ます。
マメ
うちは社員6人の工務店で、お客様の名前と住所は、クラウドの顧客管理と、ホームページの問い合わせフォームに入っています。大きな会社のニュースばかりですが、うちにも関係ありますか。
ホク
関係があります。17件のうち7件は、委託先や使っていた外部のサービスで起きました。東邦ガスの件は、新しい事業で使っていたホームページ作成サービスのクラウドから漏れた可能性があるもので、問い合わせた人の名前とメールアドレスなどが対象です。
マメ
サービスの側で起きたら、うちの担当者1人でできることはありますか。
ホク
預けた側にも対応が回ってきます。Studio 社は、フォームを使っていた会社に、個人情報保護委員会へ自社で報告するか、同社と連名で報告するかを選べると案内しています。慌てないために、どのサービスにお客様の情報を預けているかを先に書き出しておきます。
原因で分けると、委託先や外部のサービスで起きた件が17件中7件
17件を原因で分けると、公表した会社が自分で管理するシステムが不正アクセスを受けた件が10件、委託先や使っていた外部のサービスで起きた件が7件でした。7件のうち、NEC・第一興商・吉野家・岩井コスモ証券・国土交通省の5件は、仕事を任せていた先で起きています。東邦ガスは使っていたクラウドサービスの側、アルカディアは自社のサービスで起きた件ですが、情報を預けていた自治体などから見ると外部の配信サービスの側なので、こちらに数えています。
NEC の件では、委託先がサイバー攻撃を受け、盗まれた正規アカウントの認証情報（ID やパスワードなど）が悪用されて、委託先の端末からお客さまのシステムに入られました。NEC は、委託先に自社で管理する端末を貸し出すなどの対策を進めているとしています。
吉野家の件で漏れたのは、契約が終わったあとも委託先に残っていた応募者の情報でした。アルバイト採用の一部を任せていた ApplyNow の採用管理の仕組みに不正アクセスがあり、2022年4月から2024年6月までの応募者の情報が漏れています。吉野家は、契約の終了とともに消えるものと認識していたが、実際の運用は認識と違っていた、と書いています。
東邦ガスの件は、新しい事業で使っていた Studio 社のクラウドサービスで起きました。Studio は、ホームページを作って公開するサービスで、問い合わせフォームの機能もあります。東邦ガスで対象になったのは、問い合わせた人や紹介先の担当者の名前とメールアドレスなど100件です。Studio 社は、暗号化して保存していた内容も、元に戻す鍵が同じ不正アクセスで読み出されたため、知られた可能性があると説明しています。
岩井コスモ証券の委託先のトレードワークスは、お客さまのログインは多要素認証やパスキーで守られていたが、システムの一部の管理機能の設定に不備があり、悪用されたと開示しています。ログインの入口を固めていても、管理用の機能が別の入口として残っていました。
i-Style では、委託先や外部のサービスで起きた7件を見て、社員が数人の会社ほど「外に預けている情報」の書き出しが効くと見ています。自社でサーバーを持たない会社ほど、お客様の情報の置き場所は外のサービスになるからです。
対象の期間が長い件もあります。ヤマト運輸の対象には、2018年10月からの利用者の情報が入っていました。タイムズカーは、退会した人の運転免許証の画像を、なりすまし対策や問い合わせ対応などのために退会後7年間保有していたと説明しています。今回、会員登録の確認が済んだら画像を持たない扱いに改め、手元の画像も10月末までに削除するとしています。持つ情報を減らせば、漏れたときの範囲も小さくなります。
ランサムウェアの入口は、外からつなぐ機器と、多要素認証を外していたアカウントだった
この1か月の17件は、原因の中身がまだ出ていないものが多くあります。入口まで書かれているのは、2025年秋以降に起きたランサムウェアの被害です。
2025年9月29日にシステム障害が起きたアサヒグループホールディングスは、攻撃者が障害の約10日前にグループの拠点のネットワーク機器を経由して侵入したことが分かり、パスワードの弱さを突いて管理者の権限を奪ったとみられる、と説明しました（2026年2月18日）。
アサヒは再発防止策に、外から社内のネットワークにつなぐリモートアクセスの VPN 装置の全面廃止を入れています。
アスクル（2025年10月19日に攻撃を検知）は、例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントの ID とパスワードが漏れ、不正に使われたことを確認したと報告しています（2025年12月12日）。どう漏れたかは、ログが消えていて完全な究明は難しいとしています。攻撃者は、暗号化と同時にバックアップのファイルも削除しました。
ランサムウェアの被害は、2026年に入ってからも続いています。両毛システムズは、外部の第三者が8月12日に VPN 機器のアカウントを悪用して社内のネットワークに侵入したと公表し、漏えいのおそれがある件数は精査中としています。八王子学園 八王子中学校・高等学校は、攻撃者がファイアウォールを突破し、リモートデスクトップ接続（離れた場所からパソコンを操作する機能）でサーバーにログインしていたと説明し、この接続を今後は遮断するとしています。
警察庁の統計でも、侵入の入口は VPN 機器とリモートデスクトップが多くを占めています。2026年上半期（1〜6月）のランサムウェアの被害報告は123件で、半期としては統計を取り始めた2020年下半期以降で最も多くなりました。79件が中小企業です。被害組織へのアンケートで侵入経路の回答があった36件のうち、VPN 機器が18件、リモートデスクトップが9件でした。
バックアップがあっても、戻せるとは限りません。同じ統計で、バックアップから戻せたかの回答があった40件のうち、29件は戻せませんでした。理由で最も多いのは、バックアップそのものの暗号化や消去（14件）です。アスクルで起きたことと同じです。
IPA の「情報セキュリティ10大脅威 2026」の組織編でも、1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」で、この2つは2023年から4年続けて同じ順位です。
報告の件数で多いのは、渡し間違い・送り間違いと紛失
ニュースになりやすいのは攻撃の件ですが、件数で多いのは人の手違いです。個人情報保護委員会の2025年度（2025年4月〜2026年3月）の年次報告では、委員会に直接届いた報告のうち、報告した事業者のところで起きた11,040件で、渡す相手を間違えた誤交付が6,072件、送り先を間違えた誤送付が2,889件と、合わせて8割を超えます。紛失は654件、不正アクセスは533件でした。
9月には TOPPAN が、損害保険ジャパンから受けていた保険料控除証明書の発行の業務で、177,426名分のデータを別の損害保険会社へ送っていたと公表しました（同じ契約者が重複して含まれている可能性があり、精査で人数が減ることがあるとしています）。
原因は、手作業でファイルを送る際のマウスの操作（ドラッグ＆ドロップ）の誤りと、送る前に中身を確かめていなかったことです。誤って送られた項目は、カナの氏名と保険料控除用の証券番号などです。送り先ではすぐに削除され、第三者への流出は確認されていないとしています。
東京都江戸川区は9月24日、職員の採用内定者96名に送った案内メールで、アドレスを BCC 欄ではなく宛先欄に入れていたと公表しました。受け取った全員に、互いのアドレスが見える形です。再発防止として、複数の宛先に送るときは BCC で送り、送る前に複数人で確かめるとしています。
持ち物の紛失も続いています。広島県教育委員会は10月20日、県立大門高校の教員が修学旅行の引率中に、生徒の個人情報が入ったリュックサックを紛失したと発表しました（教員は置き忘れたと認識しているとしています）。中には、2年生226名分の保護者の連絡先や、治療中の病気やアレルギーなどを書いた108名分の健康調査表が入っていました。リュックサックは、発表の時点で見つかっていません。攻撃も、預け先での漏えいも、手違いも、社員が数人の会社に起こりえます。
中小企業が明日からできる対策は7つ。最初の4つから手を付ける
帝国データバンクが10月に1,328社へ聞いた調査では、情報漏えい（可能性のある事案を含む）が起きたことがある企業は16.2%（中小企業は14.3%）で、「分からない」も14.8%ありました。小規模企業の回答には「コンピュータのデータ処理に関する専門家がいないため、情報漏洩があったのか、なかったのかが分からない」という声も載っています。気づけなければ、委員会への報告も本人への知らせも始まりません。
ここからは、上の事案と国の機関の資料を突き合わせ、社員が数人から数十人の会社が明日から手を付けられることを7つに絞ります。初めの4つが、先にまとめで挙げた最低限です。IPA が「中小企業の情報セキュリティ対策ガイドライン」で最初に取り組むよう勧める6か条とも、重なる所が多くなっています。
使っているクラウドと委託先を書き出し、契約と「やめたあと」を確かめる
書き出す表は、サービスの名前、入っている情報、管理者のアカウントを持っている人、多要素認証の有無、やめたあとの消し方、の5つの欄で足りると i-Style では見ています。IPA の自社診断にも、クラウドやウェブサイトの運用で使う外部サービスを、安全・信頼性を把握して選んでいるか、という項目があります。社員が文章づくりや要約に使っている AI のサービスも、お客様の情報を入れているなら、同じ表に入れます。
書き出すときは、自社の顧客管理や応募の記録に、もう使わない古い情報が残っていないかも見ます。個人情報保護法の第22条は、利用する必要がなくなった個人データを遅滞なく消すよう努めることを求めています。
やめたあとは、契約が終わったら情報が消えると決まっているかを、利用規約か契約書で確かめます。消したかどうかは相手に聞き、返事を残しておきます。吉野家の件は、消えると思っていた情報が委託先に残っていた例でした。
マメ
うちの工務店の採用は、担当1人が応募管理のサービスを使っています。去年ほかのサービスに乗り換えたのですが、前のサービスに残った応募者の情報まで、担当1人で確かめきれるでしょうか。
ホク
1人で足ります。前のサービスの問い合わせ窓口に、会社名と契約を終えた日を添えて、応募者の情報を消したかどうかを聞きます。返事はメールでもらい、書き出しの表と一緒に残します。
マメ
社員6人の会社が問い合わせて、答えてもらえるものでしょうか。
ホク
答えが返ってこないこと自体が、次に選ぶときの材料になります。前のサービスの管理画面にまだ入れるなら、今のうちに自分で消しておくのが早いです。
個人情報保護法の第25条は、個人データの扱いを任せるとき、任せた先を必要かつ適切に監督するよう求めています。個人情報保護委員会のガイドラインは、その中身を、適切な委託先を選ぶこと、委託の契約を結ぶこと、委託先での扱いの状況をつかむこと、の3つにしています。委員会の2025年度の年次報告でも、委託先で起きた漏えい等の報告が1,292件ありました。
委員会の資料「委託先管理に関する着眼点」は、一般的な業務委託の契約にはセキュリティの項目が入っていないことが多いので、確かめて盛り込む必要があるとしています。国家サイバー統括室も、委託の契約に、不正アクセスや漏えいが起きたときの報告の義務を書くよう求めています。
ログインは多要素認証を例外なく。パスワードは使い回さない
アスクルの入口は、多要素認証を例外的に外していたアカウントでした。日本経済新聞社と NEC の件も、盗まれた認証情報で入られています。国家サイバー統括室は10月9日の文書で、多要素認証の導入、推測されやすいパスワードの禁止、退職者や使っていない不要なアカウントの速やかな無効化を挙げています。
総務省の「国民のためのサイバーセキュリティサイト」は、パスワードをできる限り使い回さないことと、パスワードを覚えておかなくて済む管理ツールを使うことを勧めています。流出した事実がなければ、定期的に変える必要はないとしています。メールや会計など、外から入れるサービスの管理者のアカウントから順に多要素認証をオンにしていくと、手間のわりに効きが大きいと i-Style では見ています。
外からつなぐ入口を書き出し、更新を止めない
VPN 機器やリモートデスクトップのように、外から社内につなぐ入口は、使っている機器と、誰が使えるかを書き出しておきます。使っていない入口は閉じます。八王子学園が遮断を決めたのも、この入口でした。
更新は、パソコンだけでなくネットワークの機器も対象です。警察庁の統計では、ランサムウェアの被害で回答のあった29件のうち、17件にまだ当てていないセキュリティの修正がありました。国家サイバー統括室は、サポートが終わった製品や版を使わないことも求めています。
バックアップは、ふだんの場所とは別にも取り、戻せるか試す
IPA は2026年3月27日のガイドライン第4.0版で、それまでの5か条に「バックアップを取ろう！」を足して6か条にしました。ガイドラインのコラムは、取るだけでは足りないとして、保管場所を考えること、世代を分けて残すこと、正しく戻せるか確かめることを挙げています。
警察庁の統計で戻せなかった理由の最多が、バックアップの暗号化や消去でした。それを考えると、ふだん使うパソコンやサーバーとつながったままの場所だけに置かず、別の所にも置いておくのが現実的です。実際に一度戻してみると、どれだけ時間がかかるかも分かります。
メールは、宛先と BCC と添付を送る前に確かめる
総務省は、宛先を間違える原因の1つに、入力の途中で候補を出す自動補完（オートコンプリート）を挙げ、BCC で送るべきところを CC で送る事例が多いとしています。多くの相手に同じ文面を送るときは、ふだんのメールソフトを使わず、通信事業者などの一斉配信のサービスを使うことも検討するよう書いています。使うなら、その配信サービスも書き出しの表に入れておきます。アルカディアの件は、一斉メール配信のサービスの側で起きました。
個人情報保護委員会は、1,000人を超える会員にメールマガジンを送るとき、BCC 欄に入れるべきアドレスを CC 欄に入れて一括送信した場合を、報告の対象になる例として挙げています。添付ファイルについては、TOPPAN が再発防止策として、ファイルを選ぶ方法を「ファイルを選択」にそろえ、作業する人とは別に確かめる人を置くとしています。
共有の設定と持ち出しを見直す
IPA の6か条の4つ目は「共有設定を見直そう！」です。データを保管するウェブサービスや、ネットワークにつないだ複合機の設定を間違えて、無関係な人に情報を見られるトラブルが増えているとしています。個人情報保護委員会も、クラウドサービスによっては初期設定のままだと全員に公開する設定になっている、と注意を促しています。
持ち出しについて、総務省は、USB メモリなど持ち運べる記録媒体には、持ち運ぶ必要のない機密情報や個人情報を保存しないこと、ファイルは暗号化して保存することを挙げています。紙の名簿は暗号化できないので、持ち出す紙を減らすのがいちばんの手当てです。
社員に、手口と「気づいたら誰に言うか」を伝える
個人情報保護委員会が2026年3月に出した中小企業向けの資料では、不正アクセスの原因のうち、偽サイトへ誘うメールのリンクを開いて ID やパスワードを入れてしまったものが20%でした（2025年度の実態調査）。教育産業は9月18日の最終報で、フィッシングメールで Microsoft 365 の認証情報を盗まれ、不正アクセスが起きたと考えられると公表しました。8月24日に気づいた直後に、パスワードを変えて多要素認証を設定しています。
伝えるのは、手口と、おかしいと思ったら誰にすぐ言うかの2つです。委員会の自己点検チェックリストも、漏えいが起きたときに備えて、社員から責任者への報告・連絡の体制を決め、社員に周知することを挙げています。
漏えいに気づいたら、まず責任者へ。委員会への速報は概ね3〜5日以内
気づいたら、まず責任ある立場の人にすぐ報告し、被害が広がらないようにします（個人情報保護委員会のガイドライン 通則編 3-5-2）。IPA の「中小企業のためのセキュリティインシデント対応の手引き」は、ネットワークの遮断や機器の隔離を挙げる一方で、電源を切るなどの不用意な操作で記録を消さないよう注意しています。
委員会への報告が義務になるのは、個人データの漏えい・滅失・毀損（ランサムウェアで暗号化されて戻せなくなった場合を含みます）のうち、個人情報保護法の施行規則 第7条が定める4つの場合です。病歴などの要配慮個人情報が含まれるとき、不正に使われるとお金の被害が出るおそれがあるとき、不正アクセスなど不正の目的で行われたおそれがあるとき（この場合だけは、問い合わせフォームが書き換えられて入力内容を抜き取られたときのように、これから受け取る予定だった情報も対象に入ります）、本人の数が1,000人を超えるときです。どれも、起きた場合だけでなく、起きたおそれがある場合も入ります。高度な暗号化などで中身を守り、元に戻す鍵も別に管理していて漏れていない場合は、4つのどれでも報告は要りません（個人情報保護委員会のよくある質問 6-19）。鍵まで一緒に漏れたときは、暗号化していても報告が要らない扱いにはなりません。
期限は2段階です。まず速報を、事態を知ってから速やかに出します。ガイドラインの目安は概ね3〜5日以内で、会社の場合はどこかの部署が知った時点から数えます。次に確報を、知った日を1日目として30日以内に出します。不正の目的で行われたおそれがある場合は60日以内です（期限は施行規則 第8条第2項。数え方はガイドライン 通則編 3-5-3-4 で、土日・祝日も数え、30日目・60日目が土日・祝日・年末年始に当たるときは翌日が期限です）。
報告は、原則として委員会のホームページの報告フォームから行います。委員会が報告の受付を所管の省庁に任せている業種では、その省庁が報告先です。ただし、自社の社員の情報や株主の情報が漏れたときは、その業種でも委員会へ報告します（一覧と注意書きは委員会の「漏えい等の対応とお役立ち資料」のページにあります）。報告の対象になる場合は、本人にも知らせる義務があり（個人情報保護法 第26条第2項）、時期は事態の状況に応じて速やかに、とされています（施行規則 第10条）。連絡先が分からないなど知らせるのが難しいときは、公表などの代わりの措置で対応することも認められています（同項ただし書）。
委託先で起きたときは、原則として委託元と委託先の両方に報告の義務があり、連名で報告することもできます。委託先が委託元に知らせた場合は、委託先の報告と本人への通知は要らなくなります（同法 第26条第1項ただし書・第2項）。アルカディアは、契約している自治体などに代わって委員会へ報告する予定だと案内しました。
相談先は、犯罪が疑われるときは警察です。警察庁の全国統一のオンライン受付窓口のほか、最寄りの警察署や相談専用電話の #9110 でも相談を受け付けています。どう動けばよいか分からないときは、IPA の不正アクセス特別相談窓口（事業者向け・03-6759-5760。平日9時30分〜17時30分、12時〜13時を除く）が、初動の相談を受け、対応を頼める専門業者の一覧も紹介しています。
なお、2026年7月17日に公布された改正個人情報保護法では、本人の権利利益の保護に欠けるおそれが少ない場合に本人への通知の義務をゆるめるなどの見直しが入りました。施行は原則として公布から2年以内で、この記事で書いた報告の期限は、今の規則によるものです（2026年10月21日時点）。
まとめ：大きな会社の事案でも、漏れた原因は小さな会社にもあるもの
この1年の公表を原因でたどると、多要素認証を外していたアカウントや外からつなぐ機器から入られた件、外に預けた先で漏れた件、宛先の入れ間違いや置き忘れの件に分かれました。多要素認証を外したアカウントも、外からつなぐ機器も、情報の預け先も、メールの宛先も、社員が数人の会社にもあります。件数の多さは会社の規模によりますが、警察庁の統計では2026年上半期のランサムウェアの被害123件のうち79件が中小企業でした。
明日やるなら、最初の4つのうち、使っているクラウドと委託先を書き出し、その中で管理者のアカウントに多要素認証が入っているかを確かめるところからだと i-Style では見ています。続けて、外からつなぐ入口と更新、戻せるバックアップを確かめれば、最初の4つがそろいます。書き出した表は、漏えいに気づいたとき、どこに何を預けていたかをすぐ言うための台帳にもなります。
冒頭の「社員が数人の会社にも関係があるのか」への答えは、外のサービスに情報を預けている限り関係がある、です。どこに情報を預けていて、管理者のアカウントを誰が持ち、多要素認証が入っているかが分かっていれば、次にニュースを見たとき、自社の何を確かめればよいかもすぐに分かります。
確かめた資料（すべて2026年10月21日に確認）
件数・原因・日付は、当事者の公式発表（お知らせ・報道発表・適時開示）で確かめ、報道の要約は使っていません。公式で確かめられなかった数字（各県警の人数など）は載せていません。調査中の事案は、今後の続報で件数や原因が変わることがあります。
表の事案（表の組織名からも開けます）: トラストバンク 10月19日・10月20日／Studio 第一報・個人情報保護委員会への報告の案内／トレードワークス 適時開示 10月16日／アルカディア 経過の説明 10月19日／タイムズカー 第4報・ご質問と回答
ランサムウェア・手違いの事案: アサヒグループホールディングス 2026年2月18日／アスクル 2025年12月12日／両毛システムズ 第3報／八王子学園 第2報／TOPPAN 9月29日／江戸川区 9月24日／広島県教育委員会 10月20日／教育産業 8月28日・9月18日
法令と個人情報保護委員会: 個人情報保護法（e-Gov。第22条・第25条・第26条）／同法施行規則（e-Gov）／ガイドライン（通則編）・ガイドラインに関するよくある質問／漏えい等の対応とお役立ち資料／令和7年度 年次報告／中小企業向けの資料（令和8年3月）／委託先管理に関する着眼点／クラウド利用の注意喚起／自己点検チェックリスト／10月7日の注意喚起／令和8年改正法
国の機関の対策の資料: 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」／IPA 情報セキュリティ10大脅威 2026／IPA 中小企業の情報セキュリティ対策ガイドライン 第4.0版・付録8 インシデント対応の手引き／IPA 10月9日の注意喚起／経済産業省 10月9日の注意喚起／金融庁 10月9日の注意喚起／IPA 不正アクセス対策特設サイト／警察庁 令和8年上半期の情勢・統計データ／警察庁 サイバー事案の相談窓口／総務省 国民のためのサイバーセキュリティサイト（パスワード・メールの誤送信・持ち出し）
i-Styleに相談する
i-Styleの「まるっとAI」では、AI活用支援のひとつとして、書き出しの表に入った AI のサービスに、どの情報を入れてよいかを一緒に整理するところからお手伝いします。漏えいに気づいたときの相談は、本文で挙げた警察や IPA の窓口をお使いください。
お問い合わせページへ arrow_forward相談するほどでもなければ、右下のチャット窓口に「AIに入れてよい情報を決めたい」と送ってみるところからでも十分です。