なんでセキュリティ対策しっかりしているはずの大企業が？情報漏えいが続く理由を調べました

この記事の要点

2026年に公表された不正アクセスと情報漏えいの事案を表にまとめ、対策している大企業でも漏えいが起きる理由を4つに整理しました。中小企業が今週できる点検と、「漏えいのお知らせ」が届いたときの動き方も書いています。

2026年は、大企業での不正アクセスと情報漏えいの公表が続いています。100万件を超える個人情報の漏えいは、上場企業とその子会社だけで10件ありました。東京商工リサーチが10月5日時点で数えた件数で、2025年1年間の6件をすでに超えています。

名前が挙がっているのは、セキュリティ対策に人も予算もかけているはずの会社です。各社の発表と報道を読むと、漏えいが起きた理由は4つに分けられました。

この記事は2026年11月6日までの公表と報道をもとにしています。件数は続報で変わることがあります。

2026年に公表された主な事案

規模の大きいものを、公表の順に並べます。

公表（2026年）	会社・サービス	規模と、対象になった主な情報
6月23日 続報7月6日	KDDI （プロバイダー各社に提供しているメールの仕組み）	メールアドレス約1,223万件。うち約762万件はパスワードも
6月30日	アフラック生命保険	約438万人。氏名、住所、証券番号など。約23万人は保険料の振替口座も
9月28日	タイムズモビリティ （タイムズカー）	約660万アカウント。氏名、住所のほか、一部は運転免許証の画像など
10月5日	物語コーポレーション （焼肉きんぐ公式アプリ）	1,078万8,963件。氏名、メールアドレス、電話番号
10月15日	ソースネクスト	2,251万9,960件が流出した可能性。メールアドレス、パスワード、住所など
10月16日	Studio （ホームページ制作サービス）	件数は未公表。すべての利用者のアカウント情報と、サイトのフォームに送信された内容などが流出した可能性
10月19日 続報10月26日	ユミルリンク （メール配信サービス）	延べ約5,162万件が漏えいしたおそれ。メールアドレスを含む情報

件、人、アカウントという単位は、各社の発表のままです。上場していない会社も含めているので、冒頭の10件とは一致しません。

東京商工リサーチによれば、1,000万件を超える漏えいは、2012年から2025年までの14年間で3回でした。2026年は10月5日までに、すでに3回起きています。

ニュースが増えた背景には、公表のルールが変わったこともあります。2022年4月に改正個人情報保護法が施行され、不正アクセスによる漏えいなどは、個人情報保護委員会への報告と本人への通知が義務になりました。また、あるサービスが不正アクセスを受けると、そのサービスを使っていた会社や自治体がそれぞれお知らせを出すので、1件がいくつものニュースになります。Studioの件がそうでした。

対策している大企業でも漏えいが起きる理由

運用・保守の相談

WordPressやサイト運用の不安を、原因切り分けから相談できます

表示が重い、更新が止まっている、バックアップやセキュリティが不安など、運用課題は放置すると機会損失につながります。緊急対応だけでなく、再発防止まで整理します。

• WordPressの不具合や表示速度を見てほしい
• 保守範囲、更新頻度、バックアップ体制を整理したい
• 必要な時だけ相談できる運用体制を作りたい

サイト運用を相談する 運用・保守の詳細を見る

守る場所の多さ

大きな会社には、システムも、アプリも、拠点も、委託先も数多くあります。守る側はそのすべてをふさぎ続ける必要があり、攻める側は弱い場所を1か所見つければ済みます。全体としてはよく守られていても、昔つくったまま忘れられたサーバーや、更新が1台だけ漏れた機器が残っていれば、そこが入り口になります。

昔からある入り口

各社の発表や警察庁の資料で、入り口として多く挙がっているのは次のようなものです。

• 修正プログラム（脆弱性と呼ばれる弱点をふさぐための更新）が出ているのに、入れていなかった機器やソフト
• 社外から社内のネットワークに入るための装置（VPN機器）
• だましメールで盗まれた、メールやクラウドのIDとパスワード
• 設定の間違い、誤送信、紛失

警察庁のまとめでは、2026年上半期のランサムウェアの被害は123件で、半期として過去最多でした。ランサムウェアは、データを暗号化して、元に戻す代わりにお金を要求する攻撃です。入り口が分かった36件のうち、18件がVPN機器でした。

10月の事案では、ソースネクストが、会員情報を取り出すための窓口（API）を不正に使われたとしています。

KDDIは事情が違います。メールシステムで使っていた他社製のソフトに、メーカーも把握していなかった弱点がありました。修正プログラムがまだ無い弱点を突かれると、更新を続けていても防げません。

預け先からの漏えい

自社ではなく、仕事を頼んでいる先や、使っているサービスから漏れる例も続いています。

ユミルリンクは、メール配信のサービスを多くの企業に提供している会社です。10月19日の第一報では延べ約900万件としていた件数が、1週間後の第二報で延べ約5,162万件になりました。メールを送るために企業が預けていた情報が対象で、影響のあった利用企業には同社から個別に連絡が行っています。

Studioは、コードを書かずにホームページを作れるサービスです。10月16日、クラウド環境への不正アクセスで、すべての利用者の情報が流出した可能性があると公表しました。対象には、Studioで作ったサイトの問い合わせフォームに送信された内容も入っています。デジタル庁も、Studioで作った問い合わせフォーム5種類、あわせて最大13,323件が対象になりうると発表しています。

ホームページを持っている会社の側は、何も破られていません。それでも、フォームを置いていたサービスが破られれば、お客様が書き込んだ内容が外に出るおそれがあります。自社の守りを固めるだけでは防げないので、預ける情報を減らすことと、どこに何を預けているかを把握しておくことが対策になります。

IPA（情報処理推進機構）が毎年まとめている「情報セキュリティ10大脅威」の2026年版でも、組織向けの1位はランサム攻撃、2位が「サプライチェーンや委託先を狙った攻撃」でした。

ホームページの周りには、問い合わせフォーム、予約、メール配信、会員管理、決済、アクセス解析など、預け先が数多くあります。当社のような制作会社や保守会社も、お客様から見れば預け先の一つです。

悪用される弱点の増加

攻撃に使われる弱点そのものも増えています。Googleの脅威分析チームの報告によると、実際の攻撃で悪用が確認された弱点は、2026年1月から8月で141件あり、2025年1年間の127件を8か月で超えました。この報告は、AIが弱点を見つけるペースを変えていると見ています。IPAの10大脅威でも、「AIの利用をめぐるサイバーリスク」が初めて選ばれ、3位でした。

国内の個々の事案でAIが使われたかどうかは、各社の発表からは分かりません。確かなのは、修正プログラムを入れる機会が増えていることです。10月21日に公表されたPHPの弱点（通称 php2shell）では、当社も修正版が出た夜のうちに、管理しているサーバーへ入れました（10月22日のお知らせ）。

中小企業と不正アクセス

狙われるのは大企業だけではありません。警察庁の同じ資料では、ランサムウェア被害123件のうち79件が中小企業でした。

攻撃する側は、弱点のある機器やサイトを機械で一斉に探して、見つかったところに入ります。会社の名前や規模は、その時点では見ていません。会社案内だけのホームページでも、問い合わせフォームに届いた内容と、メールのアカウントは持っています。入られたサイトが、別の会社を攻撃する踏み台に使われることもあります。

中小企業が今週できる点検

小さな会社は守る場所が少ないので、全部を書き出して点検できます。次の3つを、上から順に進めてください。

ログインの二段階認証

パスワードに加えて、スマホに届く確認コードなどを求める設定を入れてください。二段階認証や多要素認証と呼ばれるものです。パスワードが漏れても、それだけではログインできなくなります。先に設定するのは、会社のメール（Google WorkspaceやMicrosoft 365）、サーバーとドメインの管理画面、WordPressの管理画面、ネットバンキング、SNSの公式アカウントです。

パスワードの使い回しも、この機会にやめてください。KDDIやソースネクストの事案ではパスワードも対象になりました。同じパスワードをほかのサービスでも使っていると、そちらにも不正にログインされるおそれがあります。

ソフトと機器の更新

ホームページでは、WordPressの本体とプラグイン、その下で動いているPHPを、修正プログラムが出るたびに更新します。社内では、ルーターやVPN機器の本体ソフト（ファームウェア）が対象です。使っていないプラグイン、昔のキャンペーンサイト、テスト用に作ったまま残っているWordPressは、更新されないまま放置されやすいので、削除してください。

2026年7月に公表されたWordPressの脆弱性（wp2shell）に該当する版かどうかは、当社の無料チェッカーで確認できます。

預け先の一覧

会社の情報やお客様の情報を預けているサービスを、すべて書き出します。紙1枚で足ります。それぞれに「何を預けているか」「管理者は誰か」を書き添えてください。見落としやすいのは次のものです。

• 問い合わせ・応募・予約のフォーム
• メール配信、LINE公式アカウント、会員管理
• ネットショップと決済
• 昔契約して、いまは使っていないサービス

書き出すと、消せるものが見つかります。たとえば、数年前のキャンペーンの応募者データや、退職した人のアカウントです。

特にフォームは確認してください。送信された内容は、通知メールで受け取ったあとも、フォームのサービスの中に残っています。WordPressのフォームプラグインにも、送信内容をデータベースに保存する機能を持つものがあります。保存する期間を決めて、古いものは消してください。

焼肉きんぐの運営会社は、今回の発表のなかで、クレジットカードなどの決済情報は「当社で保持しておりません」としています。持っていない情報は、不正アクセスを受けても対象になりません。

「漏えいのお知らせ」が届いたとき

使っているサービスや取引先から、お詫びのメールが届いたときの動き方です。

1. メールの中のリンクは押さず、その会社の公式サイトを自分で開いて、同じお知らせが出ているかを見る。漏えいに便乗した偽のメールがあります
2. そのサービスのパスワードを変える。同じパスワードを使っているほかのサービスも変える
3. そのサービスに、外部とつなぐための鍵（APIキーなど）を登録していたら、作り直す
4. お客様の情報を預けていたなら、自社からお客様へ知らせる必要があるかを、サービス側の案内を読んで決める

最後の項目は、自社が漏えいを公表する側になる場合です。不正アクセスによる個人情報の漏えいなど、法律で報告が義務になっている場合、個人情報保護委員会への最初の報告（速報）は知ってからおおむね3〜5日以内、詳しい報告（確報）は、不正アクセスが原因なら60日以内とされています。

そのときに必要になるのが連絡先です。サーバー会社、制作・保守会社、使っているサービスの窓口、社内で判断する人の連絡先を、預け先の一覧と一緒に1枚にまとめておいてください。自社のサイトが改ざんされた疑いがあるときの動き方は、サイト改ざん疑いの初動に書いています。

預け先の書き出しや、WordPressとPHPの版の確認は、当社でもお手伝いしています。保守契約のない方からのご相談も受け付けています。お問い合わせはこちら。

参考にした公表・報道

• 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）
• ＠IT「ランサムウェア被害は過去最多　警察庁が明かした2026年上半期の異変」（2026年9月17日）。元の資料は警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」
• IPA「情報セキュリティ10大脅威 2026」
• Google Cloud「AI 時代の脆弱性の発見と悪用の傾向」（2026年10月15日）
• ITmedia Mobile「KDDIのメールシステム不正アクセス、約1223万件のアドレス／約762万のパスワードが漏えい」（2026年7月6日）
• ITmedia NEWS「アフラックに不正アクセス、約438万人分の個人情報漏えい」（2026年6月30日）
• Impress Watch「タイムズカー、660万件の情報漏えい」（2026年9月28日）
• 物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）
• Impress Watch「ソースネクスト、最大2251万件の情報流出」（2026年10月15日）
• ScanNetSecurity「Studio が利用するクラウド環境に不正アクセス」（2026年10月28日）
• デジタル庁「Studio 株式会社における不正アクセスによる個人情報の漏えいの可能性について」（2026年10月22日）
• INTERNET Watch「ユミルリンク、管理する5つのシステムに不正アクセス」（2026年10月20日）
• piyolog「ユミルリンクのメール配信サービス『Cuenote』への不正アクセスについてまとめてみた」（2026年11月4日）

運用・保守の相談

WordPressやサイト運用の不安を、原因切り分けから相談できます

表示が重い、更新が止まっている、バックアップやセキュリティが不安など、運用課題は放置すると機会損失につながります。緊急対応だけでなく、再発防止まで整理します。

• WordPressの不具合や表示速度を見てほしい
• 保守範囲、更新頻度、バックアップ体制を整理したい
• 必要な時だけ相談できる運用体制を作りたい

サイト運用を相談する 運用・保守の詳細を見る