2026年9月から10月にかけて、国内の金融機関や通信事業者をはじめとする幅広い事業者から、不正アクセスによる個人情報漏えいの事案が相次いで公表されました。とくに、大量の個人情報を取り扱うオンラインサービスやアカウントサービス等のシステムが不正に侵入され、個人情報を含むデータが窃取される事案が複数確認されています。

IPAは2026年10月9日、「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公表し、経営者に対し、サイバーセキュリティリスクを自社のリスクマネジメントにおける重要課題として認識し、自らのリーダーシップのもとで対策を進めるよう求めました。あわせて、外部に公開しているアプリケーション、自組織が利用している外部サービス、保有するデータという3つの対象ごとに、点検と対策を速やかに行うことを呼びかけています。

現段階では、特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されていません。公表事例の傾向からは、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえます。つまり、標的として選ばれるかどうかではなく、インターネットに接していれば対象になり得るという前提で、自社の状態を見直す段階に入っています。

従業員数名から数十名規模の企業でも、顧客名簿、取引履歴、採用応募者の個人情報など、漏えいすれば取引先や個人に実害が及ぶ情報を日常的に扱っています。被害を受けてしまった情報は、悪用されるだけでなく「窃取した情報を公開する」と脅迫されたり、不正に売買されたりと、二次被害が拡大する傾向が強まっています。だからこそ、不要な情報を持たないことと、異変に気づける状態にしておくことの2点が、規模を問わず問われています。

国の動きも一斉に進みました。10月7日から9日にかけて、個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室、総務省、経済産業省、金融庁、IPAが相次いで注意喚起を公表しています。自社の業種や規模に関係なく、経営判断として確認しておくべき内容です。