なぜ情報漏えいが起こったのか？
絶えない不正アクセスと情報漏えい
カーシェアリングサービスを運営する企業が 2026 年 9 月 25 日、Web システムへの不正アクセスを公表し、約 660 万件のアカウント情報が外部に漏えいしたことを明らかにしました。
実は、ここ数週間で情報漏えいを公表したのはこの企業だけではありません。
公開情報を整理している「漏えいウォッチ」では、初回公表日を基準にした直近の集計期間（ 2026 年 9 月 15 日〜 10 月 14 日）で、143 事案が掲載されています。
これは公表情報を確認できた範囲の数字であり、日本国内の全事案を網羅した件数ではありませんが、とんでもない数の情報漏えいが発生していたことが窺えます。
同サイトによれば、漏えい、または漏えいの恐れがあるとして公表された掲載 51 事例の合計件数（重複含む）は約 1.34 億件と報告しています。
一方で、デジタル庁によれば、政府共通システムで約 24.6 万件の個人情報漏えいの可能性を公表していますが、その他、今現在も、画像共有サービスや物流、証券、出版、外食、研究機関と、業種を問わず企業の「漏えい」や「漏えいの恐れ」に関する公表が続いています。
AI の仕業なのか
日本国内で最近公表された情報漏えい事案について、AI が直接の原因だったと確認できる事例は特定できていません。
しかし、急速に進化する AI を利用した、プログラムの解析、新たな攻撃手法など、これまで時間のかかっていたことが、企業が対策を行うより前に実行され、類似の脆弱性などを突いた多数への攻撃へ広がる可能性は否定できません。
AI そのものが原因ではないとしても、デジタル庁は AI と情報漏えいの関係をリスク管理上の重要課題として扱っており、AI は便利な一方で、管理された環境とルールの下で活用するという考え方の大切さを真剣に考え取り組んでいく必要があるようです。
AI に関係する具体例として、誤った指示を鵜吞みにした扱う人や組織のリテラシー、ルール不足に起因する事例、成長する AI がセキィリティ境界を突破した事例、AI エージェントが実際に不正侵入した事例が報告されていますので、参考までにご紹介します。
Meta
エンジニアが技術的な問題について AI エージェントに相談したところ、AI の誤った指示に従った結果、機密性の高いユーザー情報や企業データが他のエンジニアから閲覧可能になってしまっていた。
Anthropic
サイバーセキュリティ評価環境の調査で、Claude モデルがインターネットへアクセスし、3 つの組織の実システムに不正アクセスしたことが判明した。
その他
OpenAI の隔離環境から脱出した AI エージェントが、Hugging FaceやModal Labs の顧客システムに不正侵入した事案や中国を拠点とする人物がAIエージェント ARTEX や Claude を利用して、韓国の銀行などを標的としたサイバー攻撃を行った疑いがある。
では、なぜこんなにもの情報漏えいが起こったのでしょうか。
公開されている情報漏えい事故につながった不正アクセスの主な要因をまとめてみました。
| 主な要因 | 内容 |
|---|---|
| 不正アクセス手法 | 認知していなかった手法による不正アクセス |
| 脆弱性の悪用 | ソフトウェアの脆弱性 |
| 設定不備 | システムの一部機能の仕様の不備 |
| 不正ログイン | 従業員が利用する正規アカウントを利用した不正ログイン |
こうして眺めてみると、システムで利用する OS やソフトウェアの脆弱性に関する適切な対策を行っていなかったことや、ソフトウェアの条件設定、通信設備の設定不備など人為的ともいえる管理の弱さなど、近年の情報漏えい事故は様々な要因に起因しており、総合的な対策が必要であると言えそうです。
情報漏えいは結果、まず何をすべきか
デジタル庁、国家サイバー統括室（ NCO ）を中心とする政府横断的な注意喚起公表内容から要約すると、サイバー攻撃の手口は日々巧妙化しており、迅速な脆弱性対策、多要素認証などの認証機能の強化、漏えいした情報の悪用を防止する対策を委託先も含めて強化するように訴えています。
主な対策要請
- 脆弱性への迅速な対処：システムの弱点を放置せず、修正・更新を進める。
- 認証機能の強化：多要素認証などを導入する。
- 漏えい情報の悪用防止：流出した認証情報などを使った不正アクセスや二次被害を防ぐ。
- 委託先も含めた対策：自社システムだけでなく、業務委託先のセキュリティ対策も強化する。
ネット上に流出した情報は取り戻すことができません。
従業員や利用者の正規なアカウント情報を利用され、不正アクセスによる2次被害を抑止するためにも、速やかなパスワード変更や多要素認証の導入が必須で、システムの脆弱性を把握し対策し、悪意のある攻撃手口が巧妙化する昨今、現状のリスクを適切に把握、適切に対処されているか、その進捗を継続して管理していくことが重要です。
まとめ
近年の情報漏洩事故は、様々な要因に起因しており、総合的な対策が求められます。フィッシング攻撃や脆弱ソフトウェアの問題に特に注意を払い、対策を講じることが重要です。
筆者後記
筆者個人的に、気になったのは、日本経済新聞社や東日本三菱自動車の正規アカウントによる不正ログインで、正規のアカウントで侵入する「正面玄関突破」となると防ぎようもないのではないと感じました。
何を隠そう、筆者自身もとあるサービスの情報漏えいに該当しており、今さらとも思いますが、個人的には銀行やショッピング、行政サービスなどを利用する際には、基本に立ち返りパスワードの使いまわしや、連想しやすい簡単なパスワードを使わないことを改めて肝に命じました。
ID・パスワード認証のほかに、パスキー認証もガッチリ活用して、第三者による不正ログインをさせない対策もしていきたいと思います。
それから、すでに漏えいした情報は取り返すことはできないので、しかるべき信用機関への報告、相談をもって、漏えいした自身の情報を使った被害を最小限にできるようしていきます。
