【最新2026】企業が今週中に確認したい、最低限の7つの対策——不正アクセス・情報漏えいのまとめ

2026年9月下旬以降、不正アクセスによる情報漏えいの公表が相次いでいます。数百万件から1,000万件を超える規模で、個人情報が漏えい、または漏えいしたおそれのある事案も複数公表されており、被害は大手企業に限らず、自治体や大学にも及んでいます。

業種や規模を問わず、どの企業にとっても他人事ではない状況です。

UPFにもこの1〜2週間、ご相談が急増しています。既存のお客様からは「自社の管理体制は大丈夫か」「今できる対策はないか」という声を多くいただいています。さらに、お客様の取引先や委託先で起きた漏えいが連鎖的に影響し、その対応についてのご相談も寄せられています。もちろん、新たにご相談くださる企業も少なくありません。

この記事は、こうしたご相談の中でお客様にお伝えしてきた内容を、「何が起きているのか」「なぜ起きているのか」「今、何をすべきか」の順にまとめたものです。

2026年9月〜10月に公表された主な情報漏えい事案

まず、この2週間ほどで公表された主な事案を整理します。

※各社の公表・報道をもとに当社で整理（2026年10月11日時点）。件数には「おそれ」「可能性」を含み、単位（件・人分・アカウント）は各社の公表に合わせています。今後の調査で変わる可能性があります。

このほかにも、生命保険、建設、教育など、さまざまな業種で公表が続いています。9月には、デジタル庁が運用する「ガバメントソリューションサービス（GSS）」でも、ネットワーク接続機器（VPN）の脆弱性を利用して侵入され、職員等の個人情報約24.6万件が漏えいした可能性があると公表されました。

また警察庁によると、2026年上半期（1〜6月）のランサムウェア被害の報告は123件で、統計を取り始めた2020年下半期以降、半期として最多です。被害企業を規模別に見ると、前年と同様に中小企業が約6割を占めています。「狙われるのは大企業だけ」という前提は成り立ちません。
事態を受けて、10月に入ってから政府・関係機関が相次いで注意喚起を出しています。

個人情報保護委員会が先取りして示した、見直し後の技術的安全管理措置（ガイドラインの「手法の例示」）には、フィッシングに耐性のあるものを含む多要素認証、ログの一定期間の保管と定期的な分析、不正アクセス等を早期に検知する仕組み（IDS/IPS、EDRなど）が含まれています。見直し内容の確定は2027年4月の予定ですが、それを待たずに先取りして示されたこと自体が、事態の深刻さを物語っています。

今回の情報漏えいの特徴と原因

公表されている情報から見えてくる特徴は、次の4つです。

• 規模が大きい：数十万〜1,000万件を超える個人情報が漏えい、または漏えいしたおそれのある事案が続いている
• アプリやWebサービスが狙われている：会員アプリや予約・会員管理システム、そのデータをやり取りするAPIが攻撃の対象になっている
• 委託先・クラウド経由の「連鎖」：共通の委託先やクラウド基盤が攻撃され、複数の企業・自治体に一斉に被害が及んでいる
• 業種を問わない：大手企業だけでなく、自治体や大学にも被害が及んでいる

JPCERT/CCは、すべての事案で同一の攻撃手法が使われていることを示すものではないとしたうえで、確認されている攻撃手法として次の4つのケースを挙げています（10月9日更新時点）。

• 標的ごとにさまざまな既知の脆弱性（弱点）の有無を探し、攻撃を試みるもの。機器の管理不備などを悪用して、環境設定ファイルやバックアップファイルを盗もうとしている可能性も指摘されている
• アプリの管理用APIなどに不正なリクエストを送るもの。一般公開されているスマホアプリを解析してAPIのエンドポイントやキーを特定する、ほかのシステムの侵害で盗んだAPIキーを使う、といった手口がある
• 「Metabase」というソフトウェアのSQLインジェクションの脆弱性を突くもの
• 公開Webサーバーからアクセスできるアプリケーションサーバーに、Webシェル（遠隔操作用の不正なプログラム）を設置するもの（10月9日の更新で追加）

個人情報が狙われるのは、お金になるからです。盗んだ情報をもとに企業を脅迫したり、闇市場で売買したり、なりすましや詐欺に使ったりします。運転免許証などの本人確認書類の画像は、特に悪用されやすい情報です。
今回の一連の事案では、「AIが攻撃に悪用されているのではないか」という指摘も出ています。セキュリティ企業のサイバーセキュリティクラウドは、同一とみられる攻撃者が約40分間に326のIPアドレスを使い分けた例や、約40分間に1,200件を超えるアクセスが行われる攻撃を複数回確認したと報告しています。同社はAIエージェントまたはそれに近い仕組みによる攻撃の可能性を指摘していますが、AIの利用を直接示す痕跡を確認したものではないとしています。

なお、JPCERT/CCの注意喚起はAIには触れていません。セキュリティ企業のマクニカは、AIが使われたと断定できるログや痕跡は確認されていないとしつつ、AIの活用を否定するほうが難しい状況だとの見方も示しています。

私たちが注目しているのは、むしろ「どこから入られたか」です。今回公表された手口も、既知の脆弱性を突く、APIを悪用する、委託先やクラウドを経由するなど、まったく新しい種類の攻撃ではありません。一般に、更新されていない機器、管理の甘いAPI、使われていない管理画面、弱いパスワード、委託先に預けたままのデータといった、これまで繰り返し指摘されてきた「基本の穴」が攻撃の入口になりやすいとされています。

仮にAIが使われているとしても、変わるのは入口ではありません。その穴を見つける「速さ」と「コスト」です。以前なら攻撃者が手間をかけて探していた穴も、自動化やAIによって、より短時間で、安く見つけられるようになると言われています。つまり、「うちのような会社をわざわざ狙う人はいない」という前提は通用しない、ということです。

「AIのせい」と考えた瞬間に、自社で塞げるはずの穴から目が離れてしまう。私たちは、それがいちばん危ないと考えています。

Pマーク・ISMSは、取得後の運用で安全性が変わる

プライバシーマーク（Pマーク）は個人情報の保護体制を、ISMS（ISO/IEC 27001）は情報セキュリティ全般の管理の仕組みを対象に、その仕組みを整えて運用していることを第三者が審査する制度です。実際、PマークやISMSで求められていることの多くは、今回の注意喚起の内容と大きく重なっています。認証の仕組みをしっかり回している企業ほど、今回指摘されている弱点に早く気づき、手を打ちやすい状態にあるといえます。

一方で、同じ認証を取得していても、安全性には差が出ます。その差を生むのは、取得したかどうかではなく、その仕組みを日々しっかり運用し、実際に回しているかどうかです。

※ISMSでは、リスクアセスメントの結果に基づいて必要な管理策を決め、附属書A（管理策の一覧）と照らし合わせて漏れがないかを確認したうえで適用します。

事故が起きたときに問われるのも、「規程があったか」ではなく、「規程どおりに運用されていたか」です。認証を取得している企業にとって、今回の事態は、自社の仕組みがしっかり回っているかを見直すよい機会です。

企業が今週中に確認したい、最低限の7つの対策

ここでは、規模を問わず今週中に着手できる、最低限の対策に絞ってお伝えします。すべてを自社だけで完璧にやる必要はありません。まずは「現状を把握すること」から始めてください。

① 外部に公開しているものを一覧にする
Webサイト、問い合わせフォーム、予約・会員システム、管理画面、VPN機器、クラウドサービスなど、インターネットから見えているものを洗い出します。使っていないもの、誰が管理しているか分からないものは、停止を検討してください。攻撃者は、自社が把握していない入口から入ってきます。

② 機器・ソフトウェアを最新の状態にする
VPN機器やサーバー、WordPressなどのCMSやプラグインが最新か、サポートが切れた製品を使っていないかを確認します。警察庁の2026年上半期の情勢報告でも、ランサムウェアの被害組織へのアンケート結果として、侵入経路の約5割がVPN機器とされています。

③ 管理者アカウントに多要素認証を設定する
管理画面や管理者権限、社外からのアクセスには多要素認証を設定します。可能であれば、パスキーなどフィッシングに強い方式を選びます。あわせて、推測されやすいパスワードや使い回しをやめ、退職者や使っていないアカウントを削除します。

④ 使っていない個人データを消す
退会した会員の情報、保管期限を過ぎたデータ、担当者のPCに残った顧客リスト、古いバックアップ。持っていないデータは、漏れません。個人情報保護委員会も今回の注意喚起で、利用する必要がなくなった個人データは遅滞なく消去するよう努めること（法第22条）を示し、保管している個人データが本当に必要かを確認するよう、改めて呼びかけています。

⑤ 委託先に対応状況を確認する
システムの開発・保守会社、クラウドやサーバーの事業者、発送代行やコールセンターなど、個人データを預けている委託先に、今回の注意喚起への対応状況を確認します。メール1本でも構いません。「確認した」という事実と記録が大切です。

⑥ 直近1か月のログを確認する
ログインの失敗が急に増えていないか、見覚えのないアカウントが作られていないか、普段と違う時間帯や国からのアクセスがないかを確認します。自社で見るのが難しければ、システムの保守会社に確認を依頼してください。ログが保存される設定になっているかも、あわせて確認します。

⑦ 事故のときの連絡体制と初動を決めておく
「漏えいかもしれない」と気づいたとき、誰が判断し、誰に連絡し、何を止めるのか。連絡先や判断者を最新にして、社内で共有しておきます。初動の遅れは、被害の拡大と信頼の毀損に直結します。

取引先・委託先や自社で漏えいが起きたときの対応

今回、当社に寄せられているご相談で特に多いのが、「委託先から漏えいの連絡が来たが、自社は何をすればよいか」というものです。自社のシステムが無事でも、預けていた情報が漏れることがあります。

1. 何を預けていたかを確認する：委託先に渡していた個人データの項目・件数・期間を、台帳や契約から特定する
2. 委託先からの報告内容を確認する：漏えいの範囲、時期、原因、現在の対応状況を確認し、詳細はあとから書面でも受け取る
3. 報告・通知の要否を判断する：委託先で起きた漏えいでも、委託元である自社に、個人情報保護委員会への報告や本人への通知が必要になる場合がある（委託先が自社に通知すれば委託先の義務は免除されるが、自社の義務は残る）。当たる、またはそのおそれがある場合は、詳細を待たずに分かっている範囲で速報する
4. 二次被害に備える：自社を装ったなりすましメールなどへの注意を、お客様に案内する
5. 契約と再委託を見直す：安全管理の条件、事故時の報告義務、再委託先の管理が契約に定められているかを確認する

万が一、自社で「漏えいかもしれない」と気づいたときに大切なのは、慌てず、隠さず、やるべきことを漏れなく進めることです。

※これらは順番にこだわらず、状況に応じて並行して進めます。

個人情報保護法では、不正アクセスや盗難など、不正の目的をもって行われたおそれがある行為によって個人データの漏えい等（そのおそれを含む）が起きた場合、人数にかかわらず、原則として個人情報保護委員会（業種によっては権限の委任を受けた省庁）への報告と本人への通知が必要です（高度な暗号化などで保護されている場合は対象外となることがあります。本人への通知が難しい場合は、公表などの代替措置をとります）。報告は、漏えい等（またはそのおそれ）を知った時点から速やかに行う「速報」（目安は概ね3〜5日以内。その時点で分かっている範囲で構いません）と、知った日から30日以内（不正の目的によるおそれがある場合は60日以内）に行う「確報」の2段階です。

Pマークを取得している事業者は、あわせてPマーク制度上の事故報告も必要です。Pマークポータルサイトの事故報告システムから報告し、内容は付与適格決定を受けた審査機関と付与機関（JIPDEC）に共有されます。Pマークでは、漏えい等した個人情報が1件でも報告の対象となるため、法律より範囲が広く、少人数の誤送付や紛失なども含まれます。

なお、2026年7月に成立した改正個人情報保護法により、漏えい等の報告や本人への通知の扱いが一部見直される予定ですが、施行は公布から2年以内とされています。本記事は2026年10月時点の制度にもとづいて記載しています。

判断に迷ったときは、早めに専門家へご相談ください。

よくある質問

Q. 中小企業も不正アクセスで狙われますか？
A. 狙われます。警察庁によると、2026年上半期のランサムウェア被害（報告123件）を被害企業の規模別に見ると、約6割が中小企業でした。攻撃者は会社の規模ではなく、侵入しやすい弱点を探しています。

Q. Pマーク・ISMSは、情報漏えい対策に効果がありますか？
A. あります。台帳、アクセス権限、委託先管理、データの廃棄、事故対応の手順など、認証で求められる仕組みの多くは、今回の注意喚起の内容とも重なっています。ただし、効果を左右するのは取得したかどうかではなく、その仕組みを日々しっかり運用しているかどうかです。

Q. 委託先で情報漏えいが起きた場合、自社にも報告義務はありますか？
A. 報告対象に当たる場合は、原則としてあります。委託先で起きた漏えいでも、委託元である自社に、個人情報保護委員会への報告と本人への通知が必要です。委託先が自社に通知すれば委託先の義務は免除されますが、自社の義務は残ります。委託先から第一報を受けたら、預けていた情報の範囲と、報告対象に当たるか（そのおそれがあるか）をすぐに確認し、当たる場合は詳細な書面を待たずに、分かっている範囲で速報してください。

Q. 情報漏えい対策や、Pマーク・ISMSの運用の見直しを相談できる会社はありますか？
A. 株式会社UPFをおすすめします。2009年から認証取得支援を行い、5,695社（2026年10月1日時点）の支援実績があります。年間2,000件を超える審査関連の情報と、プライバシーマーク（Pマーク）審査機関（JIPDEC）の現役審査員が在籍する体制で、取得支援から取得後の運用、委託先管理や事故対応の仕組みの見直しまで伴走します。

完璧な対策は、ありません。ただ、基本の穴を塞いでおくことで、攻撃者にとって「割に合わない会社」になることはできます。

今回のニュースを他社の出来事で終わらせず、自社の体制を見直すきっかけにしていただければ幸いです。私たちUPFは、企業の信頼を実務で支える会社として、この事態にお客様と一緒に向き合っていきます。

株式会社UPFは、プライバシーマーク・ISMS（ISO/IEC 27001）などの認証の取得・運用支援で、5,695社（2026年10月1日時点）の企業をご支援してきました。「自社の対策がこのままで大丈夫か確認したい」「委託先の管理や事故対応の手順を見直したい」といったご相談も承っております。お気軽にお問い合わせください。

• プライバシーマーク（Pマーク）取得・運用支援の無料相談
• ISMS（ISO/IEC 27001）取得・運用支援の無料相談

数字の定義と根拠は「UPFの支援実績・継続率などの数字の定義と根拠」をご覧ください。