📡 Signal｜個人情報保護委員会、不正アクセスの漏えいは半年余りで延べ2億6,000万人

個人情報保護委員会は10月28日の委員会に出した資料で、2026年4月1日から10月16日までに不正アクセスで個人データが漏えいした、またはそのおそれがある本人の数が、延べで約2億6,000万人にのぼると示した。報告は計2,094件で、10月は16日までの半月だけで830件と、期間全体の約4割を占める。

延べ2億6,000万人は、重複を含めて日本の人口の2倍を超える数だ。同じ日の委員会では、企業に求める安全管理の具体策を書き足すガイドラインの改訂案も審議され、委員会は施行を「可能な限り前倒す」とした。漏えいの勢いが、規則の見直しの日程を先に動かした。

10月は1日52件、9月の5倍の速さ

委員会の資料は、不正アクセスによる漏えいの報告を、報告を受け付けた月ごとに並べている。

2026年4月: 166件
5月: 163件
6月: 185件
7月: 212件
8月: 235件
9月: 303件
10月 (16日まで): 830件

4月から9月までは月に160〜300件台で、少しずつ増えていた。10月は16日間で830件に跳ね、1日あたりにすると約52件になる。9月の1日あたり約10件の5倍を超える速さだ。

規模の大きい事案も10月に集まった。漏えいした本人数が1,000万人を超える報告は、8月と9月に1件ずつだったのが、10月は16日までに4件。100万人超1,000万人以下の報告も、9月の4件から10月は18件に増えた。本人数が「不明」とされた報告も10月だけで197件あり、確報が出るにつれて延べ人数はさらに動く。

この表に入らない漏えいもある

数字を読むうえで、資料の注記が二つ大事になる。

一つは、委託の連鎖による重なりだ。個人データの取り扱いを外部に委託している場合、同じ事象について委託先と委託元の双方が報告することがある。メール配信のような共通の基盤が破られると、その基盤を使う何社もの報告が同じ月に並ぶ。今週伝えたバンダイナムコの漏えいも、配信事業者のユミルリンクを経由したものだった。延べ人数が人口を超えるのは、この重なりを含むためでもある。

もう一つは、数えていない報告だ。集計は委員会に直接届いた報告だけで、金融業や電気通信業のように所管の省庁を経由する報告と、行政機関からの報告は含まない。今週のソニー生命の約38.5万件 (生命保険) や So-net の約258万件 (通信) は、業種からみてこの表の外にある可能性が高い。2億6,000万人は全体の上限ではなく、見えている部分の合計だ。

改訂の中身は「例示」の書き足し

同じ日に審議されたのは、個人情報保護法のガイドライン (通則編) のうち、企業が講じるべき安全管理措置の「手法の例示」を書き足す改訂案だ。委員会は、近年のサイバー攻撃が高度化し、漏えいの大きな要因になっていると説明している。

追加される例示には、次のようなものが並ぶ。

同じユーザー ID とパスワードの使い回しの原則禁止
多要素認証、指紋・静脈・顔による認証
許可した端末からだけ接続させる、管理者権限のアカウントを絞るといった、誰も信頼せず全てを確かめる考え方 (ゼロトラスト)
侵入型のランサムウェアに入られた後、被害が社内に広がるのを止める対策
ログの保管と、不正アクセスを早く見つける仕組み

委員会は「新たな規律を設けるものではない」としている。法律が企業に義務づける措置そのものは変えず、何をすれば義務を果たしたと言えるかの例を具体的にする。それでも、例示に載った手法を取っていない企業は、事案が起きたときに説明を求められる側に回る。

9月の委員会で示した当初の日程は、11月に見直し案を審議し、12月にパブリックコメント、2027年2月に決定、4月に施行というものだった。今回の審議はそれより1か月早く、施行も「可能な限り早く」に置き換わった。

暗号資産の利用者にとっても他人事ではない。漏えいしたメールアドレスや電話番号は、取引所やウォレットを装うフィッシングの宛先になる。パスワードの使い回しの禁止と多要素認証が例示の筆頭に来たのは、どの業種でも同じ入り口から破られているからだ。

次に見るもの

確認先は、電子政府の総合窓口 e-Gov のパブリックコメントの欄だ。今回の改訂案の告示が意見募集にかけられれば、ここに載る。当初は12月の予定だったが、前倒しの方針でそれより早まる。あわせて、委員会が毎週の会合で公表する資料に、10月16日以降の報告件数の続きが出るかを見る。10月の残り半月で1日あたりの件数が落ち着くかどうかが、今回の急増が一過性かを分ける。

ことば

漏えい等報告 — 一定の規模や性質の漏えいが起きた、または起きたおそれがあるとき、企業が個人情報保護委員会に出す報告。まず速報を出し、調べが進んだ後に確報を出す。今回の数字は速報の段階のもの。
安全管理措置 — 個人データの漏えいを防ぐために企業が講じなければならない措置。組織・人・物理・技術の4つに分かれ、ガイドラインはそれぞれに義務と、その義務を果たす手法の例を書いている。
ゼロトラスト — 社内のネットワークの中なら安全という前提を置かず、接続のたびに利用者と端末を確かめる考え方。社内に一度入られると広く動かれる、従来の守り方の弱点を埋める。

🔗 一次ソース

10月は1日52件、9月の5倍の速さ

この表に入らない漏えいもある

改訂の中身は「例示」の書き足し

次に見るもの

ことば

Related articles