個人情報の流出はなぜ起きるのか|大手企業でも防ぎきれない5つの入口

※この記事は、2026年10月14日時点で公表・報道されている情報をもとに書いています。調査が続いている事案もあり、続報によって内容が変わる可能性があります。

「大手なのに、なぜ」という疑問

2026年9月から10月にかけて、誰もが名前を知っている企業やサービスから、個人情報の流出が相次いで公表されています。飲食チェーン、コンビニ、カーシェア、証券会社、小売店。ニュースを見て、「大手企業なのに、なぜ防げなかったのか」と感じた方も多いと思います。

結論から言うと、大手であっても、防ぎきるのは、とても難しいのが実情です。この記事では、情報が流出する入口を、5つに分けて整理します。直近の事案の背景は、なぜ今、個人情報の流出が相次いでいるのかで整理しています。

流出の入口は、大きく5つ

① 脆弱性の悪用

ソフトウェアや、VPN機器のような通信機器には、設計上の欠陥(脆弱性)が見つかることがあります。メーカーは、修正プログラムを提供しますが、適用が遅れている間に、攻撃者に先に突かれることがあります。

政府の共通の業務基盤で2026年9月に公表された不正アクセスでは、既知のVPN機器の脆弱性を悪用した侵入が確認されたと、報じられています。攻撃者は、特定の企業を狙うだけでなく、広く「穴の空いたシステム」を探してから、試すこともあります。

脆弱性の対応が難しいのは、どこで、何のソフトウェアを使っているのかを、把握しきれていない組織が少なくないからです(SBOMとはの考え方が役立ちます)。

② APIの不備

スマートフォンのアプリは、裏側で、サーバーとAPIという窓口を通して、情報をやり取りしています(APIとは)。この窓口の守りが弱いと、アプリを通さずに、直接情報を取り出されることがあります。

JPCERT/CCの注意喚起では、次のような手口が報告されています。

• 公開されているスマートフォンアプリを解析して、APIの宛先や、キーを特定する
• 画面からは操作できない内部のAPIに、不正なリクエストを送る
• 他のシステムへの侵入で盗んだAPIキーを使う

APIには、呼び出せる回数の制限や、権限の確認が必要です(レートリミットとは、APIをループで呼ぶ時の3つの約束)。

③ 盗まれたIDとパスワード

システムの欠陥を突かず、盗んだログイン情報で、正面から入る手口もあります。特に危険なのが、管理用アカウントです。ある事案では、管理用アカウントのログイン情報が不正に取得されていたと報じられています。

正規のIDとパスワードでログインされると、通常のアクセスと、見分けにくいことがあります。そのため、パスワードだけに頼らない多要素認証や、使わなくなったアカウントの整理が重要になります(最小権限の原則とは)。

④ 委託先・共通サービス経由

企業は、問い合わせ窓口、システム運用、会員管理など、さまざまな業務を、外部の委託先やサービスに任せています。そこが狙われると、そのサービスを使う複数の企業に、同時に影響が出ます。

2026年10月には、複数の企業が利用する、問い合わせ対応のシステム(FAQシステム)への不正アクセスで、証券会社などの顧客情報が漏えいした可能性があると、公表されました。委託先の従業員のパソコンがマルウェアに感染したことが原因と報じられた事案もあります。

自社のシステムを、いくら守っていても、委託先から漏れることがある。これが、サプライチェーンの怖さです(ゼロトラストとはの「社内だから安全」を疑う考え方にも通じます)。

⑤ 管理不備

意外に大きいのが、設定や管理の不備です。JPCERT/CCは、脆弱性ではなく、機器の管理不備を利用した攻撃として、環境設定ファイルやバックアップファイルを盗まれる例を挙げています。

• 本来、外から見えてはいけない管理機能や、分析ツールが、インターネットに公開されている
• 過去の改修で追加したまま残った、不要な設定やルールが、穴になっている
• 使わなくなった古いシステムやデータが、放置されている

「入れているから大丈夫」と思っていても、棚卸しをしてみると、誰も覚えていない設定が残っていたというケースは、少なくありません。

なぜ大手ほど、守りきれないのか

大手企業が狙われやすく、守りにくい理由は、いくつか考えられます。

これは、大手を擁護するためではなく、構造上、守る側が不利になりやすいという説明です。だからこそ、企業側には、データを必要以上に持たない、保存期間を過ぎたデータを消す、といった対策が求められます。

個人にできること

企業のシステムを、個人が守ることはできません。だからこそ、「いつか、どこかのサービスから、自分の情報が漏れるかもしれない」という前提で、備えておくことが現実的です。

• 漏れた時の対処:自分の情報が流出したと通知が来たら
• 漏れる前の備え:個人情報流出から自分を守る7つの予防策

組織の側の点検項目は、個人情報を漏らさないための点検リストにまとめています。

まとめ

• 流出の入口は、脆弱性・API・盗まれたID・委託先・管理不備の5つ
• 大手は、データが集まり、管理対象が広く、外部とのつながりも多いため、守りにくい
• 「入れているから大丈夫」でも、古い設定や、想定外の公開が残っていることがある
• 個人は、漏れる前提で、被害を小さくする備えをする

この特集の記事(個人情報流出)

• 個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表
• ソースネクストの会員情報が最大約2,252万件流出の可能性
• バーガーキング公式アプリの会員情報が約1,118万件漏えい
• AIエージェントによる自動ハッキングとは?
• 自治体の防災メール登録情報が流出のおそれ(登録者がやること)
• なぜ今、個人情報の流出が相次いでいるのか
• 自分の情報が流出したと通知が来たら(最初の24時間)
• 自分の個人情報が流出したか確認する方法
• 「パスワードは流出していない」と言われたら、パスワード変更は必要?
• メールアドレスと電話番号が流出したら、何をされる?
• 流出後の「お詫び」「補償」の連絡は本物?
• 運転免許証の画像が流出したら?なりすましを防ぐ5つの対処
• 個人情報流出から自分を守る7つの予防策
• 使っていないアカウントの探し方と退会の手順
• メールアドレスの使い分け方
• 二段階認証はSMS・認証アプリ・パスキーのどれがいい?
• 個人情報を漏らさないための点検リスト(組織向け)

関連する用語

• リスト型攻撃(クレデンシャルスタッフィング)とは
• ハッシュ化されたパスワードが流出したら
• サプライチェーン攻撃とは
• SQLインジェクションとは
• Webシェルとは

参考にした情報

• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(JPCERT-AT-2026-0030、2026年10月8日公開・9日更新):https://www.jpcert.or.jp/at/2026/at260030.html
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について(注意喚起)」(2026年10月7日):https://www.ppc.go.jp/files/pdf/261007_houdou.pdf
• ITmedia ビジネスオンライン「政府システムに不正アクセス」(2026年9月11日):https://www.itmedia.co.jp/business/articles/2609/11/news072.html
• 週刊アスキー「相次ぐ不正アクセス、どう侵入される?」(2026年10月8日):https://weekly.ascii.jp/elem/000/004/441/4441170/

※各事案の侵入経路や原因は、調査中のものもあります。ここに挙げた手口は、公表・報道された情報に基づく一般的な整理であり、すべての事案が同じ原因とは限りません。