2026年の秋、「あなたの情報が漏えいしました」という通知が珍しくなくなりました。本物の通知を詐欺メールと勘違いする人が出るほど、大規模な漏えいが立て続けに起きています。
この記事では、報道や公的資料をもとに次の4点を整理します。
- 何が起きたのか（2026年秋の主な事件）
- 対策していても漏れたら、会社は責任を負うのか
- 漏れたら法律上なにをしなければならないのか
- 専門部署のない中小企業が今日からできる対策
2026年秋、何が起きたのか
2026年は「1000万件超」の漏えいが毎月のように公表される異常な年になりました。東京商工リサーチによると、2025年までの14年間で1000万件以上の漏えいは3回だけでした（ITmedia）。
個人情報保護委員会の集計では、2026年4月1日〜10月16日に報告された不正アクセス事案は2094件、対象者は延べ約2億6000万人です。報告件数は8月235件、9月303件、10月830件と急増しています（個人情報保護委員会 資料）。
主な事件を整理します（公表日の新しい順）。
| 公表日 | サービス（運営会社） | 件数 | 主な漏えい情報 |
|---|---|---|---|
| 2026-10-15 | バーガーキング公式アプリ（ビーケー・ジャパン） | 約1118万件 | 会員ID、氏名、メールアドレス、電話番号 |
| 2026-10-05 | 焼肉きんぐ公式アプリ（物語コーポレーション） | 1078万8963件（登録者の約99.8%） | 会員番号、氏名、メールアドレス、電話番号 |
| 2026-09-28 | タイムズカー（タイムズモビリティ） | 最大約660万アカウント（退会者含む） | 氏名、住所、電話番号、運転免許証画像など（画像は約160万件） |
| 2026-09-16 | Gyazo（Helpfeel） | ユーザー情報約2362万件＋画像メタデータ約4.9億件 | ユーザー名、メールアドレス、SNS連携情報など |
| 2026-07-31 | PeakManager（EPARKリラク&エステ。リラクゼーション店舗向け予約管理） | 最大約3300万レコード（人数とは異なる） | 氏名、生年月日、住所、電話番号、メールアドレスなど |
焼肉きんぐやバーガーキングでは、クレジットカード情報をそもそも自社で持っていなかったため、決済情報の漏えいは免れています。
最も深刻なのは「本人確認書類」の漏えい
タイムズカーの件が重いのは、運転免許証の画像が含まれていた点です。免許証画像は銀行口座の開設やクレジットカードの発行に使われるため、なりすまし被害につながりかねません。北海道新聞の社説は、漏えいが退会後7年以内の人にまで及んだことを挙げ、個人情報保護法が不要データの遅滞ない消去を求めていることから、保存の必要性そのものを疑問視しています（北海道新聞）。
免許証は再発行できても、顔・氏名・住所・生年月日は変わりません。一度流出したデータも消えません。泥棒が家にないものを盗めないのと同じで、持っていないデータは漏れません。これが後述の対策5「集めない・残さない」につながります。
なぜ急増しているのか：攻撃は最新、入口は古典的
攻撃側のAI活用は数字にも表れています。IBMの「2026年 データ侵害のコストに関する調査」によると、悪意ある侵害の4件に1件がAIを使ったもので、前年比56%増でした。AIを使った侵害の平均コストは約600万ドルで、全体平均の約499万ドルを約100万ドル上回ります（IBM 2026 Cost of a Data Breach Report 発表）。
ただし、侵入の入口そのものは昔ながらのものが中心です。
- 放置された脆弱性：Gyazoは画像アップロードサーバーの脆弱性を突かれ、任意のコマンドを実行されました（INTERNET Watch）。9月〜10月初旬の10万件以上の事案のうち、侵入口が公表された7件はすべて脆弱性でした（SmartScope）。
- VPN・リモートデスクトップ：警察庁の令和7年上半期の統計では、ランサムウェアの感染経路はVPN機器が62%、リモートデスクトップが22%でした（神奈川県警察 資料）。社外から社内につなぐ「入口」が狙われています。
- 弱い・使い回しのパスワード：推測しやすいパスワードからの侵入は今も多く報告されています。
- 内部・委託先：グループ会社、委託先、従業員からの持ち出しもあります（後述のベネッセ事件）。
攻撃者が新しい道具を持っても、こちらが「古い鍵」を新しくするだけで防げる攻撃はまだ多くあります。
対策していても漏れたら、会社は責任を負うのか
結論は「漏れたら必ず責任を負う」わけではありません。問われるのは、その時点で求められる水準の対策をとり、それをきちんと運用していたかです。
例えるなら、戸締まりを全部していたのに窓を割って入られたなら仕方がない。鍵を開けっ放しにしていたなら自業自得、というイメージです。
「ソフトを入れていた」だけでは足りない：ベネッセ事件
2014年に発覚したベネッセの顧客情報流出事件は、この「運用」の重要性を示す代表例です。
- 何が起きたか：システム開発・運用を担うグループ会社シンフォームの再委託先社員が、業務用PCに私物スマートフォンをつなぎ、顧客情報を持ち出して名簿業者に売却しました（ニュースイッチ）。
- 何が穴だったか：シンフォームは外部媒体への書き出し制御システムを導入していました。しかし、Android 4.0以降のスマートフォンが使うMTPという転送方式には制御が効かない状態でした（同上）。
- 裁判所の判断：東京高裁は、委託先の書き出し制御の不備と、ベネッセが委託先の設定状況を確認・監督しなかったことの両方を認め、共同不法行為として慰謝料の支払いを命じました（ファネルAi 判例整理、判決PDF）。
- 最高裁の判断：2017年10月の最高裁判決は、氏名・住所などの漏えいでもプライバシー侵害にあたるとし、二次被害がないことを理由に請求を退けた判断を差し戻しました（判決PDF）。
教訓は、鍵（ソフト）を買ってくるだけでなく、その鍵がきちんとかかっているか（設定・運用）を確認していたかが評価されるという点です。
持ち出した本人は刑事罰
持ち出した元システムエンジニアは不正競争防止法違反で起訴され、2017年3月の東京高裁で懲役2年6月の実刑判決を受けました（政治山）。社内や委託先の情報を持ち出すのは、漏えいであると同時に犯罪です。社内研修で「刑務所に行くことになる」と具体的に伝えるだけでも抑止力になります。
漏れたら法律上なにをするのか：報告と本人通知は「義務」
2022年4月の個人情報保護法改正で、一定の漏えいが起きたときの個人情報保護委員会への報告と本人への通知は、努力義務から法的義務になりました（個人情報保護委員会）。対象になるのは次の4つの事態です（施行規則7条）。
| 号 | 事態 | 例 | 人数要件 |
|---|---|---|---|
| 1号 | 要配慮個人情報を含む | 病歴、診療情報、健康診断結果 | なし |
| 2号 | 財産的被害が生じるおそれ | クレジットカード番号、ログインID・パスワード | なし |
| 3号 | 不正の目的によるおそれ | 不正アクセス、ランサムウェア、従業員の持ち出し | なし |
| 4号 | 本人の数が1000人を超える | 誤送信、紛失、設定ミスでの公開 | 1000人超 |
「1000人以下なら報告不要」は誤解です。 不正アクセスによる漏えい（3号）は、たとえ1人分でも、漏えいの「おそれ」の段階でも報告対象になります。サイバー攻撃による事案の多くはこの3号に当たります。
- 報告は速報（おおむね3〜5日以内）と確報（原則30日以内、不正目的の場合は60日以内）の2段階です。
- 義務は事業規模に関係なく、個人情報を扱う事業者すべてにかかります。個人事業主も例外ではありません（参考）。
- 本人通知は人数が多いほど費用がかかります。日頃から連絡先と手順を決めておくことが、実際のコストを下げます。
賠償はどこまで？ 委託すれば逃げられる？
二次被害の賠償は「普通に予想できる範囲」まで
流出した情報を使って詐欺が行われた場合、直接の加害者は詐欺師です。ただし、会社の対策に大きな落ち度があり、漏えいがなければ起きなかった被害と認められれば、会社も賠償責任を負うことがあります。
ポイントは、その被害が漏えいから普通に予想できる範囲かどうか（相当因果関係）です。
| 被害の例 | 予想できる範囲か |
|---|---|
| 流出した免許証画像で勝手に口座やカードを作られた | 入りやすい |
| 漏えいのニュースに動揺して交通事故を起こした | 入りにくい |
実際の慰謝料の水準はどうでしょうか。タイムズカーの件では、運営会社が見舞金3000円の支払いを発表し（KAB）、集団訴訟を呼びかける弁護士は1人あたり3万〜5万円を請求する方針で、年内の提訴を目指すとしています（熊本日日新聞／共同通信）。1人あたりの額は小さくても、人数が多ければ会社の負担は巨額になります。
委託先に丸投げしても責任は消えない
「個人情報は外注先に直接渡し、自社には残さない」という方法で責任を逃れられるか。答えは、委託先に落ち度があれば委託先の責任ですが、安易に委託した側も責任を問われる可能性が十分にあります。
個人情報保護法25条は、委託元に委託先の監督を求めています。適切な委託先の選定、契約での取り決め、取扱い状況の把握が必要です（個人情報保護委員会 通則ガイドライン）。前述のベネッセ事件でも、委託元のベネッセ自身の監督不備が認定されました。
委託するなら、次の点を契約と運用で押さえておきます。
- 委託先の安全管理（権限、認証、ログ、書き出し制御）を誰が確認するか
- 再委託の有無と、その把握方法
- 事故が疑われた時点での連絡期限と窓口
- 定期的な点検の記録
IT担当がいなくてもできる5つの対策
「うちは小さいから関係ない」は通用しません。むしろ、守りの固い上場企業の取引先として、小さな会社が踏み台に狙われることがあります。国の資料などを参考に、すぐできる5つの対策をチェックリストにしました。
1. ソフトと機器を最新の状態にする
- [ ] パソコンのOS・業務ソフトの自動更新をオンにする
- [ ] VPN機器・ルーターなどネットワーク機器のファームウェアを更新する（ランサムウェアの最大の侵入口）
- [ ] セキュリティソフトの定義ファイルが更新されているか確認する
2. パスワードを強くし、多要素認証をオンにする
- [ ] 社名・代表者名・誕生日などの推測しやすいパスワードをやめる
- [ ] 長く複雑にし、サービスごとに使い回さない
- [ ] メール、クラウド、VPNなどで多要素（2段階）認証を有効にする
3. 「誰が何を見られるか」を見直す
- [ ] 顧客情報にアクセスできる人を必要な人だけに絞る
- [ ] みんなで共有しているIDやパスワードをなくす
- [ ] 退職者・異動者のアカウントをすぐ止める
4. バックアップとログを残す
- [ ] 普段ネットワークにつないでいない場所にもバックアップをとる
- [ ] 誰がいつどこにログインしたかの記録を残す（ログがないと、漏えい時に何件・何が漏れたかを報告できない）
5. 不要な情報は集めない・残さない
これが最も重要で、最も低コストな対策です。泥棒は家にないものは盗めません。
- [ ] 本人確認書類の画像など、確認が済んだら不要なデータは削除する
- [ ] 退会者のデータをいつまで持つか決め、期限が来たら消す
- [ ] クレジットカード番号は自社で持たず、決済代行に任せる
タイムズカーは漏えい後、免許証画像を会員登録完了後は保有しない運用に改め、既存の画像も2026年10月末までに削除すると発表しました（@IT）。逆に、焼肉きんぐやバーガーキングはカード情報を持っていなかったため、決済情報の漏えいを免れています。
国の無料ツールから始める
IPA（情報処理推進機構）は「中小企業の情報セキュリティ対策ガイドライン」と、その付録の「情報セキュリティ5か条」「5分でできる！情報セキュリティ自社診断」を無料で公開しています。5か条に取り組むと宣言する「SECURITY ACTION」制度もあります（IPA、中小企業庁）。何から始めるか迷ったら、まず自社診断から試すのが近道です。
まとめ
一度漏れた情報は、完全に消すことも取り戻すこともできません。押さえておきたいのは次の3点です。
- 責任は「対策の運用」で判断される。 ソフトを入れるだけでなく、設定が効いているか確認し、委託先も監督する。
- 不正アクセスなら1人分でも報告義務。 速報は3〜5日以内。連絡先と手順を平時に決めておく。
- 最強の防御は「持たないこと」。 不要なデータを集めず、確認が済んだら消す。
攻撃側がAIで速く大量に動く時代でも、更新・パスワード・権限・バックアップ・データ削減という基本で防げる攻撃はまだ多くあります。今日、自社のどこに「開けっ放しの鍵」があるか、一度点検してみてください。
本記事は一般的な情報提供を目的としたもので、個別の法的助言ではありません。具体的な事案は弁護士等の専門家にご相談ください。
SMART AI WATCHERで打てる対策
記事で取り上げた侵入口の多くは「社内のどの端末・機器に、どんな弱点が残っているか分からない」ことから生まれます。エンドポイント統制製品「SMART AI WATCHER」は、この見えない部分を見える化し、対策の優先順位づけを支援します。
| 記事で触れた問題点 | SMART AI WATCHERでの対策 | 対応する機能 |
|---|---|---|
| 放置された脆弱性（Gyazoのサーバー脆弱性、VPN機器の未更新） | 端末上のソフトの脆弱性を公的データベースで評価し、実際に悪用されているもの・悪用されやすいものから優先して対処できる | NVD・JVN iPedia・KEV・EPSSを使った脆弱性評価（強化予定） |
| 外部から見える入口（VPN・リモートデスクトップ・公開サーバー） | 社外から見えている自社のIT資産を把握し、意図しない公開や放置された入口を洗い出す | Microsoft Defender EASM連携（対応予定） |
| 更新漏れ・設定が効いていない（ベネッセ事件の書き出し制御） | 端末管理の仕組みと連携し、ポリシーや構成が実際に適用されているかを確認する | Microsoft Intune MDM API連携 |
| OSの混在で管理が行き届かない | Windows以外のMacやLinux端末も同じ基準で管理し、管理対象外の端末を減らす | Mac版、Linux版（Mac版と同等機能で追加予定） |
| 事故後に何が起きたか分からない（記録がないと、何件・何が漏れたかを報告できない） | 事件が起きた後もログから、いつ・どの端末で・何が行われたかをさかのぼって追跡でき、影響範囲の特定や個人情報保護委員会への報告に使える | ログによる事後トレース |
「鍵を買う」だけでなく「鍵がかかっているかを確かめ続ける」という、記事で見た責任判断のポイントに沿った運用を、仕組みで支えられるのが強みです。
「予定」と記載した機能は提供時期・仕様が変わる可能性があります。
図解：漏えいの流れと対策の全体像
[embedded content: 漏えいの流れと各段階の対策 · 4段階\]
記事の内容をひと目で振り返れるようにまとめた図です。左列は漏えいが進む4段階（侵入→漏えい→発覚・報告→責任の判断）、右列はそれぞれの段階で効く対策です。青い点の項目はSMART AI WATCHERで対応できるもので、一部は対応予定です。
参考情報・出典
- 個人情報保護委員会：最近の不正アクセスによる個人データの漏えい等の傾向（PDF）
- 個人情報保護委員会：漏えい等報告・本人への通知の義務化について
- ITmedia ビジネスオンライン：情報漏えい2.6億人分 1000万件超続々【10月時点】
- @IT：タイムズカーで不正アクセス 約660万件の情報が流出
- @IT：タイムズカー、免許証画像を即時削除へ
- INTERNET Watch：Gyazo、不正アクセスで続報
- 週刊アスキー：焼肉きんぐに不正アクセス、1078万人分の情報流出
- IBM 2026 Cost of a Data Breach Report 発表
- 神奈川県警察：ランサムウェア感染経路（警察庁 令和7年上半期統計）
- ファネルAi：個人情報漏洩の責任分界はどう決まる？（ベネッセ事件判例整理）
- ニュースイッチ：ベネッセの顧客情報漏えい事件
- 政治山：ベネッセ情報漏洩で2年6ヶ月の実刑判決
- 熊本日日新聞（共同通信）：タイムズカー問題、集団提訴へ
- IPA：中小企業の情報セキュリティ対策ガイドライン関連資料
