Webサービスやスマホアプリを運営していると、「もし会員情報が漏れたらどうなるのか」「自社は何から手を付ければよいのか」と気になる場面があるのではないでしょうか。
本記事は、Webサービスやアプリを運営している、またはこれから立ち上げる企業の事業責任者・IT担当者の方に向けた記事です。個人情報保護委員会（個人情報保護法を所管する国の機関）が原因を調べて公表した事例をもとに、漏えいがなぜ起きたのかを整理し、考えられる対策について解説します。
取り上げる事例は、いずれも委員会が公表した資料に書かれた事実だけに絞っています。内容は各資料の公表時点のものです。
この記事の結論
- 個人情報保護委員会が処理した漏えい等の報告は年間1万7千件を超え（令和7年度）、上場企業の事故原因は6割以上がウイルス感染・不正アクセスです
- 委員会が公表した事例の原因は、脆弱性の放置、パスワードの平文保存、クラウドの設定ミス、権限管理の不備、APIの設計不備でした
- その背景には「誰が直すか決まっていない」「委託先に任せきり」「異常に気づけない」という体制の問題があります。まずは開発会社との保守契約の範囲を確認するところから始めるのが現実的です
個人情報漏洩とは
個人情報漏洩（個人情報流出）とは、会社が預かっている個人情報が、本来見るべきでない第三者に渡ったり、見られる状態になったりすることです。対象は氏名や住所だけではありません。メールアドレス、電話番号、ログインIDとパスワード、会員番号なども、その情報自体、または他の情報と容易に照合することで特定の個人を識別できる場合は、個人情報に該当します。
注意したいのは、「実際に盗まれた」と確認できたケースだけが問題になるわけではない点です。本記事で紹介する事例にも、外部から見られる状態になっていたことが判明し、「漏えいが発生したおそれのある事態」として扱われたものがあります。
個人情報漏洩の最近の状況
国への漏えい等報告の処理件数は年間1万7千件を超え、上場企業の事故では原因の6割以上がウイルス感染・不正アクセスです。
国への漏えい等報告の処理件数は年間1万7千件超
個人情報保護委員会によると、令和7年度（2025年4月〜2026年3月）に民間事業者から受けた漏えい等の報告の処理件数は17,139件でした。前年度の19,056件より減ったものの、1年で1万7千件を超える水準です。
出典：個人情報保護委員会「令和７年度 年次報告の概要について」
なお、これは委員会がその年度に処理した報告の件数です。その年度に新たに起きた事故の件数とは必ずしも一致しません。
2026年4〜6月の3か月間でも、6,101件の報告が処理されています。
出典：個人情報保護委員会「令和８年度第１四半期における漏えい等報告の処理状況」
上場企業の事故は6割以上が「ウイルス感染・不正アクセス」
東京商工リサーチの集計では、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件でした。漏えい・紛失した個人情報は3,063万6,910人分です。原因の内訳は次のとおりです。
出典：東京商工リサーチ「上場企業の「個人情報漏えい・紛失」事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分」
| 原因 | 件数 | 割合 |
|---|---|---|
| ウイルス感染・不正アクセス | 116件 | 64.4% |
| 誤表示・誤送信 | 37件 | 20.5% |
| 紛失・誤廃棄 | 18件 | 10.0% |
| 不正持ち出し・盗難 | 7件 | 3.8% |
さらに同社は、上場企業の100万件以上の漏えいが、2026年は10月5日時点で10件あり、2025年1年間の6件をすでに上回ったと公表しています。最近の漏えいは規模が大きくなっていると分析しています。
出典：東京商工リサーチ「上場企業「個人情報漏えい」、過去最悪ペース ～ 100万件以上、2026年はすでに10件の異常事態 ～」
個人情報漏洩の事例と原因
ここでは、個人情報保護委員会が原因を調べて公表した4つの事例と、委員会が社名を伏せて紹介している1つの型を取り上げます。いずれも、各資料の公表時点の内容です。
事例1：脆弱性を突かれ、約1,223万人分のIDとパスワードが漏えい（KDDI）
何が起きたか
KDDIがプロバイダ（インターネット接続事業者）向けに開発し、複数のプロバイダに提供していたメールシステムでの事案です。2026年6月17日、システムを構成するソフトウェアの脆弱性（プログラムの弱点）を悪用した不正アクセスにより、利用者のID（メールアドレス）とパスワードの漏えいが発覚しました。
漏えいが確認された本人数は12,231,954人です。このうち7,616,173人分のパスワードは、ハッシュ化（元の文字列に戻せない形に変換すること）などをしていない「平文」のまま保存されていました。そのため、IDとパスワードを盗んだ第三者が、メールボックス内の情報を閲覧できる状態になっていました。
委員会が指摘した問題
- KDDI：多くの利用者が使うシステムで、平文のパスワードも保存されていたにもかかわらず、侵入された後の被害拡大を防ぐアクセス制御などの対策が十分ではなかった
- 一部のプロバイダ：パスワードの平文保存は、そのプロバイダ側の事情によるものだった。そのため、そのプロバイダも指導を受けた
出典：個人情報保護委員会「ＫＤＤＩ株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応並びにメールサービス利用者に対する注意喚起について」、2026年8月19日
この事例からわかるのは、入口の弱点を防ぐだけでは足りないことです。入られた後に被害を広げない仕組みと、パスワードを読める形で残さない保存方法の両方が問われました。
事例2：クラウドの業務システムがランサムウェア被害（エムケイシステム）
何が起きたか
エムケイシステムは、社会保険労務士事務所などに、社会保険や人事労務の業務システムをクラウド（インターネット経由で使うサービス）で提供していました。2023年6月、同社のサーバが不正アクセスを受けました。ランサムウェア（データを暗号化して使えなくし、身代金を要求する不正なプログラム）により個人データが暗号化され、漏えい等のおそれが生じました。
委員会が受けた漏えい等の報告は3,067件で、報告された本人数の合計は7,496,080人です。ただし、同じ人を重複して数えている可能性があると注記されています。また、同社の報告時点では、悪用などの二次被害は確認されていません。
委員会が指摘した問題
- 利用者のパスワードのルールが弱く、管理者のパスワードも推測できるものだった
- ソフトウェアのセキュリティ更新が適切に行われず、深刻な脆弱性が残っていた
- ログ（操作や通信の記録）の保管・監視が適切でなく、不正アクセスにすぐ気づけなかった
あわせて委員会は、サービスを利用していた事業者の多くについて、クラウドサービスの利用が「個人データの取扱いの委託」に当たるという認識が薄く、委託先の監督が結果的に不十分になっていた可能性があると述べています。
出典：個人情報保護委員会「株式会社エムケイシステムに対する個人情報の保護に関する法律に基づく行政上の対応について」
「クラウドサービスを使っているから安心」とは言い切れません。サービスの選び方や、利用中の確認も、利用する側の責任になり得ます。
事例3：クラウドの設定ミスで、10年近く外部から見られる状態に（トヨタ自動車）
何が起きたか
トヨタ自動車は、車両の利用者向けサービス（T-Connect、G-Link）に関する個人データの取扱いを、関連会社のトヨタコネクティッド株式会社に委託していました。委託先のクラウド環境の設定ミスにより、サービス用のサーバが公開状態になっていました。
公開状態だった期間は、T-Connect用が2013年11月頃から2023年4月頃まで、G-Link用が2015年2月頃から2023年5月頃までで、10年近くに及びます。この間、約230万人分の車載機ID、車台番号、車両の位置情報などが外部から閲覧できる状態にあり、漏えいが発生したおそれのある事態となりました。
委員会が指摘した問題
- クラウドの設定を行う従業員への研修が不十分で、保存していた情報が個人情報だと認識されていなかった
- サーバのアクセス制御が適切に行われていなかった
- 委託元として、委託先のクラウド環境の設定を監査・点検していなかった
同社は再発防止策として、社内教育の徹底、クラウドの設定を継続的に監視する仕組みの導入と公開設定をできないようにする措置、委託先の定期的な監査を定めています。
出典：個人情報保護委員会「トヨタ自動車株式会社による個人データの漏えい等事案に対する個人情報の保護に関する法律に基づく行政上の対応について」
攻撃を受けなくても、設定一つで情報は外から見える状態になります。長期間気づけなかった点も見逃せません。
事例4：システム保守の担当者による長期間の持ち出し（NTTマーケティングアクトProCXほか）
何が起きたか
株式会社NTTマーケティングアクトProCXは、多くの民間事業者や自治体からコールセンター業務を受託していました。業務で使うシステムの保守は、NTTビジネスソリューションズ株式会社が担っていました。
そのシステム保守に従事していた派遣社員が、2013年7月頃から2023年2月頃にかけて、委託元の顧客や住民などの個人データ約928万人分を不正に持ち出しました。影響を受けた委託元は、民間事業者30社、独立行政法人1機関、地方公共団体38団体です。
委員会が指摘した問題
- すべてのデータを見られる管理者アカウントを4人で共用しており、誰が操作したかを記録から区別できなかった
- 私物のUSBメモリを業務用の端末につなぐことを、技術的に防いでいなかった
- アクセスログの分析・監視をしていなかった
- ProCX社は、保守を任せた先での個人データの扱いを把握しておらず、委託先の監督が不十分だった
委員会は、過去に委託元の依頼で調査した際に十分な調査ができず、漏えいを是正できなかったこと、その経緯と原因をいまだ明らかにできていないことなどを踏まえ、組織的な安全管理の不備を是正するよう両社に勧告しました。
出典：個人情報保護委員会「株式会社NTTマーケティングアクトProCX及びNTTビジネスソリューションズ株式会社に対する個人情報の保護に関する法律に基づく行政上の対応について」
外部からの攻撃だけでなく、システムの内側で強い権限を持つ人も、漏えいの経路になり得ることを示す事例です。
公表資料にある型：アプリやWebサービスのAPIが悪用される
個人情報保護委員会は、報告された事案を9つの型に分けて紹介する注意喚起を、2026年10月7日に改訂しました。その中に、スマホアプリやWebサービスのAPI（システム同士がデータをやり取りするための窓口）が悪用された型があります。社名は公表されていません。
どんな型か
攻撃者がサービスにログインした後、URLや会員IDなどの値を書き換えると、本来は見られないはずの他の利用者の情報を取得できる状態になっていた、というものです。たとえるなら、自分の部屋の鍵で、部屋番号を変えるだけで隣の部屋も開いてしまうような状態です。
委員会が挙げた原因
- 管理の対象から漏れているAPIがあった
- 会員IDなどを書き換えると、他の利用者のデータにアクセスできた
- 応答に不要な情報が含まれ、会員IDが連番だったため、仕組みを推測されやすかった
- 短時間の大量アクセスを制限する仕組みがなかった
出典：個人情報保護委員会「不正アクセスによる個人データ漏えい防止のための注意喚起」
会員機能のあるアプリやWebサービスであれば、規模にかかわらず当てはまり得る型です。
個人情報漏洩の事例に共通する3つの原因
5つの事例を並べると、技術の問題の手前に、体制や役割分担の問題があることが見えてきます。大きく分けると次の3つです。
1. 「誰が直すか」が決まっていない
脆弱性が放置された事例の原因として、システム会社と導入時の契約しか結んでおらず保守の契約がなかったケースがあります。保守の契約はあっても、脆弱性への対応が契約の範囲に含まれていなかったケースもあります。
システムは作って終わりではありません。更新や修正を誰がいつ行うのかが決まっていないと、事例2のように弱点が残ったままになります。
2. 委託先やクラウドに任せきりになっている
事例2〜4は、いずれも委託先やクラウドサービスが関わっていました（事例2はクラウドサービスの提供会社への攻撃、事例3は委託先でのクラウドの設定ミス、事例4は保守の委託先での内部不正）。個人データの扱いを外部に任せた場合でも、委託元には、委託先が適切に扱っているかを監督する義務があります。
情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」でも、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。
出典：IPA「プレス発表「情報セキュリティ10大脅威 2026」を決定」
3. 異常に気づく仕組みがない
事例2と事例4では、ログの監視が不十分だったことが指摘されています。事例3と事例4は、問題のある状態が10年近く続いていました。入られない対策に加えて、入られたときや設定がおかしいときに早く気づける仕組みが欠かせません。
個人情報が漏洩すると会社はどうなるか
漏えいの内容によっては、個人情報保護委員会への報告や、本人への通知が法律で求められます。対象になるのは、要配慮個人情報（病歴など）が含まれる、財産的被害のおそれがある、不正な目的によるおそれがある、本人の数が1,000人を超える、のいずれかに当てはまる場合です（漏えいの「おそれ」がある段階も含みます）。委員会は報告を受けると、発生原因や再発防止策を調べ、同じことが起きないよう助言するほか、本人への通知を行わせるなどの対応をとっています。本記事の事例も、そうした調査の結果として指導や勧告を受け、公表されたものです。
影響は法律上の対応だけではありません。東京商工リサーチは、2025年はランサムウェアなどの不正アクセスにより、生産やサービスの停止に至り、企業の信用低下や業績の悪化に直結するケースも起きたと分析しています。
出典：東京商工リサーチ「上場企業の「個人情報漏えい・紛失」事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分」
報告が必要になる条件や期限、本人への通知の方法、罰則については、以下の記事で詳しく解説しています。
個人情報漏洩の対策｜Webサービス・アプリ事業者が今からできること
対策は、システム面・運用面・委託先との契約・社内ルールの4つに分けて考えると整理しやすくなります。対策は一つ講じれば済むものではなく、何重にも行う必要があります。また、具体的な方法は、扱う個人データの性質や量、事業の規模などのリスクに応じて決めるものとされています。すべてを一度に行う必要はありません。まずは現状を確認し、優先順位をつけて進めるのが現実的です。
まず確認したい7つの質問
事例をもとに、社内や開発会社に確認しておきたい点をまとめました。答えられない項目があれば、そこが最初に手を付ける候補です。
| 確認すること | 関係する事例 |
|---|---|
| 開発会社との保守契約に、脆弱性への対応やクラウドの設定見直しが含まれているか | 共通する原因1 |
| 利用者のパスワードを、読める形のまま保存していないか | 事例1 |
| 管理者アカウントを複数人で共用していないか | 事例4 |
| クラウドの公開設定を、誰がどの頻度で確認しているか | 事例3 |
| 会員IDなどを書き換えたとき、他人の情報が見えてしまわないか | APIの型 |
| 不正アクセスに気づくための記録を残し、確認しているか | 事例2・事例4 |
| 使っていない個人データが残っていないか | 委員会の注意喚起 |
答えられない項目が多い場合や、開発会社に何をどう確認すればよいかわからない場合は、弊社でもご相談を承っていますので、ご連絡ください。
システム面：入られにくく、入られても広がらない作りにする
- ログインの守り：推測されにくいパスワードの利用、一定回数ログインに失敗したら一時的にロックするなどの制限、管理者や社外からのアクセスには多要素認証（パスワードに加え、スマホに届く確認コードなど複数の方法で本人を確かめる仕組み）を導入する
- 権限を絞る：個人データを扱える人と範囲を必要最小限にする。アカウントは共用せず（事例4）、異動や退職のときに見直す
- APIの守り：APIを定期的に一覧で確認する。最も重要なのは、ログインした人が本人かどうかに加えて、そのデータを見る権限があるかを毎回確かめること。あわせて、不要な情報は返さず、短時間の大量アクセスを制限する。会員IDを推測されにくい値にするのも有効だが、権限の確認の代わりにはならない
- 記録と検知：アクセスや操作の記録を一定期間保管し、定期的に確認して不正の兆しに早く気づけるようにする
- 開発時の注意：動作確認に本物の個人データを使うのは必要最小限にする。システムを変更するときは、安全性が損なわれないかを確かめる
アプリを新しく立ち上げる段階で決めておきたいセキュリティの方針は「新規事業のアプリセキュリティ超入門」、社内外を問わずアクセスを確かめる考え方は「ゼロトラストセキュリティ完全ガイド」で詳しく解説しています。
運用面：更新の担当と期限を決め、不要なデータを消す
- 使っているサーバ、ソフトウェア、外部サービスを一覧にする
- 弱点の情報を集め、更新を誰がいつまでに行うかを決める。委員会も、管理する機器やソフトの洗い出し、弱点の情報の収集、速やかな対処という流れを確実に行うよう求めています
- 不要になった個人データは消す
委託先・保守契約：任せた範囲と確認方法をはっきりさせる
- 開発会社との契約に、公開後の保守、脆弱性への対応、クラウドの設定見直しが含まれているかを確認する。含まれていなければ、誰が担うかを決める
- クラウドサービスは、機能やサポートだけでなく、セキュリティ対策も利用規約や資料で確認してから選ぶ
- 委託先から定期的に報告を受けるなどして、安全管理の状況を確認する
社内ルール：教育と、生成AIへの入力の扱いを決める
- 業務で扱う個人データを、個人のパソコンなど決められた場所以外に保存しない。委員会は、個人が管理する場所に保存されていたデータまで漏えいした型も紹介しています
- 何が個人情報に当たるかを、システムの担当者も含めて教育する。事例3では、研修が不十分で、保存していた情報が個人情報だと認識されていませんでした
- 生成AIに個人情報を入力する場合のルールを決める。利用するサービスの利用規約や契約条件で、入力データの保存期間や取り扱いも確認しておく。委員会は、入力が利用目的の範囲内かを確認すること、入力したデータがAIの学習に使われないかを確認することを求めています。IPAも、AIへの理解不足による意図しない情報漏えいを、AIの利用をめぐるリスクの一つに挙げています
出典：個人情報保護委員会「生成AIサービスの利用に関する注意喚起等について」、2023年6月2日
出典：IPA「プレス発表「情報セキュリティ10大脅威 2026」を決定」
自社だけで進めにくい場合は
対策の多くは、技術の判断と、開発会社との契約や役割分担の整理が組み合わさっています。社内に技術の判断ができる人がいない場合、何から手を付けるべきかを決めること自体が難しいかもしれません。
オプスインは、Webシステムやアプリの開発会社として、技術顧問・開発伴走のサービスを提供しています。開発会社との保守体制の整理や、クラウドの設定見直しの進め方など、技術面の判断に迷う場合はご相談ください。詳しくは事業内容ページをご覧ください。
ご相談はお問い合わせフォームから受け付けています。
個人情報漏洩に関するよくある質問
個人情報漏洩の原因で最も多いものは何ですか？
東京商工リサーチの集計では、2025年に上場企業とその子会社が公表した漏えい・紛失事故180件のうち、ウイルス感染・不正アクセスが116件（64.4%）で最も多く、誤表示・誤送信が37件（20.5%）で続きます。
実際に盗まれたと確認できなくても問題になりますか？
なります。外部から見られる状態になっていたなど、漏えいが疑われるものの確証がない場合も、「漏えい等が発生したおそれがある事態」として扱われます。本記事で紹介したトヨタ自動車の事例も、このおそれがある事態として扱われたものです。
開発や運用を外部に委託していれば、責任は委託先にありますか？
委託先に任せた場合でも、委託元には、委託先が個人データを適切に扱っているかを監督する義務があります。エムケイシステムの事例では、クラウドサービスの利用が委託に当たるという認識が利用事業者の側で薄く、監督が不十分だった可能性が指摘されています。
小規模なサービスでも対策は必要ですか？
必要です。委員会は、対策の具体的な方法は扱う個人データの性質や量、事業の規模などに応じて決めるものとしています。また、APIが悪用される型は、会員機能のあるサービスであれば規模にかかわらず起こり得ます。
まとめ
- 個人情報保護委員会が令和7年度に処理した民間事業者からの漏えい等の報告は17,139件で、高い水準が続いています
- 公表された事例の原因は、脆弱性の放置、パスワードの保存方法、クラウドの設定ミス、権限の管理不足、APIの設計不備などでした
- その背景には、「誰が直すかが決まっていない」「委託先やクラウドに任せきり」「異常に気づく仕組みがない」という体制の問題がありました
- まずは本記事の「7つの質問」で現状を確認し、答えられない項目から優先順位をつけて対策を進めましょう
- 特に、開発会社との保守契約の範囲は、今日からでも確認できる項目です
