相次ぐ情報漏えい、小さな会社がいま確認したい5つのこと

毎日のように、「不正アクセスにより、お客様の情報が漏えいしたおそれがあります」というお知らせが出ています。ご自身が使っているサービスから、連絡を受け取った方も多いのではないでしょうか。「うちのような小さな会社にも関係があるのか」「何から確認すればよいのか」。この記事では、いま起きていることを公的機関の資料をもとに整理し、情シス担当がいない会社が今週のうちに確認したいことを、5つにまとめます。

内容は、2026年11月11日時点で公表されている情報にもとづいています。状況は日々変わるので、最新の情報は、記事の最後に挙げた公的機関のページで確かめてください。

いま、何が起きているのか

報告は、半月で前の月の約2.7倍に

個人情報保護委員会の資料（2026年10月28日付）によると、不正アクセスによる個人データの漏えい等の報告は、次のように増えています。

10月は、半月で9月の約2.7倍です。4月1日から10月16日までに漏えい等した人数は、延べで約2億6,000万人とされています。件数は速報の時点のもので、金融業や電気通信業など、所管の省庁を通じて報告されたものは含まれていません。

これを受けて、10月7日に個人情報保護委員会が、10月9日に国家サイバー統括室やIPA（情報処理推進機構）などが、事業者に向けて注意喚起を出しました。11月6日には、政府の関係閣僚会議が「サイバーセキュリティ緊急対策パッケージ」を決定しています。

規模の大小を問わず、狙われている

国家サイバー統括室は、11月5日の事業者向けの注意喚起で、攻撃の進め方を次のように説明しています。攻撃者は、インターネットに公開されている国内のウェブサイトなどを大規模に調べ、侵入する方法が見つかったところに入り、個人情報を盗んだとみられる。調査や侵入にAIを使っている可能性も高い。そのため、事業の規模の大小を問わず、幅広い事業者が攻撃の対象になっていると考えられる、というものです。

つまり、狙われるのは「有名な会社」ではありません。「入れる場所が見つかった会社」です。

データを暗号化して使えなくし、金銭を要求するランサムウェアの被害も続いています。警察庁によると、2026年上半期の被害の報告は123件で、半期としては統計を取り始めてから最も多くなりました。被害に遭った組織の約6割が中小企業です。被害組織へのアンケートでは、侵入の経路はVPN機器（社外から社内のネットワークにつなぐための機器）が約5割を占め、復旧に1,000万円以上かかった組織が6割、1か月未満で復旧できた組織は5割弱でした。

預け先の事故が、自社の事故になる

今回の一連の事案では、多くの会社が使っているサービスが被害に遭い、利用している会社に影響が広がる例が目立ちます。

• メール配信サービスのアララは、不正アクセスにより、重複を除いて約8,100万件のメールアドレスが持ち出されたと公表しました。対象になる契約企業は、最大で約380社と推計されています（11月6日の第3報）。サービスを使ってメールマガジンなどを送っていた企業や自治体が、それぞれの利用者にお知らせを出しています
• クラウドサービスのIDCフロンティアは、ランサムウェア攻撃により、495の企業や自治体の仮想サーバーが停止し、暗号化されたと公表しました（10月27日の第7報。サーバー内のデータの外部への流出はなかったとしています）

どちらの例でも、利用していた会社は、自社が直接攻撃されたわけではありません。それでも、業務が止まったり、お客様にお知らせを出す立場になったりしています。IPAの「情報セキュリティ10大脅威 2026」でも、組織向けの2位は「サプライチェーンや委託先を狙った攻撃」です。

原因の多くは「基本」の不足

政府の緊急対策パッケージは、最近の事案について、すでに知られている弱点の放置、ウェブサイトなどの設定の不備、アプリを開発するときの対策の不足など、自社や委託先の基本的な対策が十分でなかった例が多いと指摘しています。

裏を返せば、特別な製品を入れる前に、基本を確かめることに意味があるということです。

小さな会社には、3つの立場がある

自社がどう関係するかは、次の3つの立場で考えると整理できます。

1つ目は、どの会社にもすでに起きている可能性があります。2つ目と3つ目は、次の5つの確認で、備えを進められます。

いま確認したい5つのこと

1. お客様の情報を、どこに預けているかを書き出す

まず、お客様や取引先の情報を預けている外部のサービスを、1枚の表にします。

• メール配信、メールマガジン
• 予約や問い合わせのフォーム
• ネットショップ、決済
• 会計、給与、勤怠
• クラウドのファイル共有、顧客管理
• ホームページの制作会社や、保守を頼んでいる会社

表には、「サービスの名前」「預けている情報」「管理者のアカウントを持っている人」「事故のときの連絡先」を書きます。

書き出したら、それぞれのサービスの「お知らせ」のページを開き、今回の一連の事案について案内が出ていないかを確かめます。事業者からの連絡が、すでに退職した人や、担当者個人のアドレスだけに届く設定になっていないかも、あわせて見ておきます。

2. 要らなくなった情報を消す

個人情報保護委員会は、10月7日の注意喚起で、不要になった個人データの消去を、あらためて求めました。消去が徹底されていなかったために、事故がより深刻になった例があるとしています。

持っていない情報は、漏れません。次のようなものが残っていないかを確かめます。

• 終わったキャンペーンやイベントの、応募者や参加者の名簿
• 退会した方、取引が終わった方のデータ
• 本人確認のために預かった、免許証などの画像
• 古いバックアップや、テストのために複製したデータ
• 使わなくなったサービスに、残したままのデータ

帳簿のように、法令で保存の期間が決まっているものは別です。「いつまで持つか」が決まっていない情報から、手をつけます。

3. ログインの守りを固める

預け先のサービスの管理画面、会社のメール、クラウドのファイル共有。この3つは、入られると被害が大きくなります。

• 多要素認証を設定する。パスワードに加えて、スマホに届く確認などを求める設定です。パスワードが漏れても、それだけでは入れなくなります
• 管理者の権限を持つ人を、必要な人数に絞る
• 退職した人や、使っていないアカウントを止める
• パスワードを使い回さない。ほかのサービスから漏れたIDとパスワードが、そのまま使われることがあります

4. 外から入れる機器とサイトを、最新の状態にする

インターネットから届く場所にある機器やソフトは、弱点が見つかると、短い期間で狙われます。次のものが対象です。

• VPN機器、ルーター
• 社外から見られるようにしているファイルサーバー（NAS）や、リモート接続の仕組み
• ホームページを動かしているソフト（WordPressなど）と、追加した機能

自社で分からないときは、保守を頼んでいる会社に、次の3つを聞きます。

• 更新は、誰が、いつ行っていますか
• メーカーのサポートが終わった機器やソフトは、ありますか
• 使っていない機能や、公開したままのページは、残っていませんか

答えがあいまいなら、そこが最初に手を入れる場所です。

5. 起きたときの連絡先を、1枚にまとめる

事故は、起きてから調べ始めると間に合いません。不正アクセスなど、不正の目的による個人データの漏えい（そのおそれを含みます）は、人数にかかわらず、個人情報保護委員会への報告と、本人への通知が必要になります。最初の報告（速報）の目安は、気づいた日から3〜5日以内です。預け先で起きた事故でも、預けている側の会社が報告を求められることがあります。

1枚にまとめておくのは、次の3つです。

• 社内で、誰に、どの手段で知らせるか
• 預け先のサービスと、保守を頼んでいる会社の連絡先
• 外部の相談先

外部の相談先は、今回の事案を受けて、次の窓口が設けられています。

窓口の一覧は、国家サイバー統括室の「サイバー対応特設サイト」にまとまっています。

預け先に確認したい4つの質問

1で書き出したサービスのうち、お客様の情報を多く預けているところには、次の4つを確認します。

• 今回の一連の事案で、当社のデータに影響はありましたか
• 管理画面に、多要素認証を設定できますか
• 事故が起きたとき、どのくらいの早さで、誰に連絡が来ますか
• 解約したあと、預けたデータは、いつ、どのように消されますか

国家サイバー統括室の注意喚起も、委託先の対策の状況を把握すること、事故のときの報告を契約で決めておくこと、業務が終わったあとのデータの削除を徹底することを挙げています。聞きにくい質問ではありません。いまは、どの事業者も聞かれることを想定しています。

慌てて、大きな買い物をしない

事故の報道が続くと、セキュリティ製品の案内も増えます。必要な投資はありますが、順番があります。政府の資料が指摘しているのは、基本的な対策の不足でした。

まず、この記事の5つを確かめる。足りないところが見えてから、それを埋める方法を選ぶ。この順番なら、「入れたけれど使われていない」製品を増やさずに済みます。現状を確かめるには、IPAの「5分でできる！情報セキュリティ自社診断」も使えます。

判断に迷ったときは

どのサービスに何を預けているかを書き出すことや、保守を頼んでいる会社への確認は、日々の業務のなかでは後回しになりがちです。

nexbridgeの社外IT顧問サービスでは、預け先の一覧づくり、アカウントの整理、保守を頼んでいる会社への確認のしかたなど、システム管理の進め方を一緒に考えます。特定の製品を売り込まない立場で、御社に合った順番をお伝えします。

迷ったときは、無料のオンラインヒアリングでご相談ください。

参考にした公的な資料

• 個人情報保護委員会「最近の不正アクセスによる個人データの漏えい等の傾向」（2026年10月28日）、「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）、「漏えい等の対応とお役立ち資料」
• 国家サイバー統括室「個人情報の漏えい等につながる不正アクセスへの対策について」（2026年11月5日）、「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）、「サイバー対応特設サイト」
• サイバーセキュリティに関する関係閣僚会議「サイバーセキュリティ緊急対策パッケージ」（2026年11月6日）
• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）、「サイバー事案に関する相談窓口」
• IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）、「不正アクセス特別相談窓口」、「情報セキュリティ10大脅威 2026」
• 中小企業庁「中小企業・小規模事業者向けサイバーセキュリティ関連情報」
• アララ「アララメッセージへの不正アクセスによる情報流出およびサービス停止について（第3報）」（2026年11月6日）
• IDCフロンティア「不正アクセスに関する調査結果および今後の対応について（第7報）」（2026年10月27日）