2026年の7月から9月に報道・公表された情報漏洩を拾っていくと、私が拾えた分だけで366件ありました（Security NEXTなどの報道をもとに集計）。そのうち半分は、不正アクセスやランサムウェアといったサイバー攻撃です。数千万件規模の事案もあり、ニュースを見ていると「うちのような会社にできることはない」と感じるかもしれません。

ただ、国に届いている報告の中身を開くと、様子がかなり違いました。国に報告された漏洩で一番多いのは、渡し間違いと送り間違いです。

国に届く報告は増えています

個人情報が漏れたとき、次のような場合は個人情報保護委員会に報告する義務があります（会社と国の機関は2022年4月から、自治体は2023年4月から）。

その件数は、2025年度に19,417件でした。前の年度の21,007件より7.6%少なく、一見すると減っています。ただ、前の年度には特殊な事情がありました。社会保険の手続きのシステムを運営していた1社がランサムウェアの被害にあい、そのシステムを使っていた会社などから、1件の事故について2,745件の報告が届いています。これを除くと、2025年度は前の年度より6%ほど増えています。2026年4〜6月も6,101件で、前の年の同じ時期より7.9%多くなっています。

民間の報告の4分の3は、渡し間違いと送り間違い

個人情報保護委員会の年次報告によると、民間から委員会に直接届いた2025年度の報告13,345件のうち、原因が「誤交付」（渡し間違い）のものが48.3%、「誤送付」（送り間違い）のものが26.0%でした。合わせて74.3%です。漏れたものも、76.9%は紙媒体だけでした。

委員会は多い原因として、「病院や薬局における要配慮個人情報を含む書類等の誤交付」と「クレジットカード等の誤送付」を挙げています（ほかに不正アクセス等も多いとしています）。上の条件のとおり、病歴やカード番号は1人分でも報告の対象になるので、病院・薬局やカード会社の事故が報告に入りやすい、という事情はあります。

それでも、窓口で書類を渡す、郵送する、メールを送るという作業は、業種を問わずどの会社にもあります。委員会に直接届いた民間の報告の4分の3は、この日常の作業の中で起きています。

9月29日には、TOPPANが、損害保険各社から受託している業務で、損保ジャパンの契約者のべ177,426名分のデータを別の損害保険会社1社に誤って送付したと公表しました。担当者がマウスのドラッグ＆ドロップを誤り、損保ジャパン分のZIPファイルを他社向けのZIPファイルの中に入れたまま送っていました。同社は原因を「納品時の手作業による誤操作と確認手順の不備」としています。送り先で削除済みで、第三者への流出は確認されていないとのことです。大きな会社が外から受けた業務でも、事故の形は窓口や郵送と同じです。

攻撃に見える事案も、始まりは人の手元にあります

サイバー攻撃の側でも、始まりは人の手元にあることがあります。

那覇市の市立学校では、教員が校務用のパソコンで調べものをしていたとき、画面がロックされ、解除サポートの連絡先が表示されました。その指示に従って、遠隔操作のツールを入れてしまいました。いわゆるサポート詐欺で、報道によると、約500人の児童生徒の成績や保護者の連絡先が漏れたおそれがあります。被害に気づいたのは、約2か月後の校内研修でした。

建設会社の安藤ハザマでは、警察官を名乗る人物から、交友関係の捜査に必要だとして名刺情報を求められ、従業員が名刺管理システムから約5,000件分をダウンロードしてメールで送っています。

どちらも、システムの穴を突かれたのではなく、人が指示に従ったところから始まっています。

社内で最初に決める4つのルール

中小企業向けの対策には、IPA（情報処理推進機構）の「情報セキュリティ6か条」があります。OSやソフトを最新にする、ウイルス対策ソフトを入れる、パスワードを強くする、共有設定を見直す、脅威や手口を知る、バックアップを取る、の6つです。まだであれば、こちらが先です。

6か条は主に技術面の最低限です。ここでは、上の報告データと事例から、運用面で社内のルールとして決めておきたいことを4つ挙げます。

1. 渡す前・送る前に、何を確かめるかを決める

委員会に直接届いた民間の報告の4分の3は、渡し間違いと送り間違いです。「気をつける」では減らないので、確かめる中身を決めます。たとえば、窓口では名前ともう1項目（生年月日など）で相手を確かめる。封入する人と、宛名と中身を照らし合わせる人を分ける。メールは添付ファイルと宛先を送信前に声に出して読む。申込フォームは、公開前に回答者として送信してみて、ほかの人の回答が見えないことを確かめる。郵送やメール配信を外部に任せているなら、委託先の確認手順も一度見ておきます。上のTOPPANの件も、業務を受託した側で起きた送り間違いです。

2. 警告画面が出たとき、誰に知らせるかを決める

IPAによると、正規のセキュリティサービスが警告画面に電話番号を出してサポートすることは、通常ありません。「画面に出た連絡先には連絡しない」「ブラウザを閉じるか再起動する」「遠隔操作のツールは入れない」に加えて、そのとき誰に知らせるかを決めておきます。小さな会社や店舗ではIT担当がいないことも多いので、社長でも外部の保守業者でも構いません。那覇市の件では、気づくまで約2か月かかっています。

3. 警察や役所を名乗る相手には、その場で情報を渡さない

一度連絡を切り、自分で調べた代表番号にかけ直すか、警察の相談窓口（#9110）に相談する。これを社内の決まりにしておけば、従業員が1人で判断しなくて済みます。

4. 仕事のデータを入れてよいAIを決める

9月にはRIZAPが、社員が作業中に、個人で使っている生成AIのサービスへ特定保健指導の対象者のデータを誤ってアップロードしたと公表しました。同社は、第三者に見られた可能性やAIの学習に使われた可能性はないと確認し、24時間以内に削除したとしています。ただ、一度入れたデータは、サービスによっては自分で消せないこともあります。

生成AIの業務利用を一律に禁止しても、使いたい人が個人のアカウントで使ってしまえば、会社からは見えなくなります。会社として使ってよいサービスとアカウントを決め、入れてよいデータと入れてはいけないデータを線引きしておく方が現実的です。

予防の段階のご相談を受けています

大規模なサイバー攻撃そのものを、中小企業や店舗が単独で防ぐのは難しいことです。ただ、委員会に直接届いた民間の報告の4分の3は、渡す・送るときの間違いです。そこは、業務の中の確認の手順で減らせる部分です。

私は、AI×DXのコンサル・エンジニアとして、業務フローの見直しやAI導入の支援をしています。情報漏洩については、運用面の予防のご相談をお受けしています。たとえば次のようなことです。

脆弱性診断など、サイバー攻撃への技術的な対策は、セキュリティ専門の事業者の領域です。

もし漏洩がすでに起きてしまった場合は、まず個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページを確認してください。報告が必要な場合、速報は発覚から3〜5日以内に出すことになっています。

出典

2026年7〜9月の366件と原因別の件数は、Security NEXTなどの報道・公表をもとに筆者が集計した値です。誤交付・誤送付の割合は、令和7年度年次報告の付表（漏えい等元及び漏えい等原因）から筆者が合算しました。