不正アクセス（原因調査中）
大手焼肉チェーン公式アプリの会員管理システム
約1,079万件
- 漏えい等の情報
- 会員番号、氏名（登録名）、メールアドレス、電話番号
- 公表された原因
- 会員管理システムへの第三者による不正アクセス。経緯は調査中
中小企業・個人事業主の方へ｜セキュリティ・脆弱性診断 サイバー攻撃と情報漏えいの
サイバー攻撃と情報漏えいの
原因と対策
ランサムウェア被害の6割以上は中小企業で起きています。どこから入られて、そのあと何が起きたのか。公的機関の最新データで整理して、小さな会社や個人事業主でもできる対策を原因ごとに並べました。
226件
ランサムウェア被害（2025年）
2022年から約200件の高水準
63%
被害のうち中小企業の割合
226件中143件
87%
侵入口はVPN機器かリモートデスクトップ
有効回答92件中80件
52%
調査・復旧に1,000万円以上
有効回答89件中46件
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
よくある思い込み
「うちは小さいから大丈夫」は、本当？
相談を受けていると、よく聞く言葉です。ただ、データを見るかぎり、どれも安心していい理由にはなりません。
「うちは小さいから、狙われない」
ランサムウェア被害の63%は中小企業です（226件中143件）。攻撃者は会社の大きさより、外から見える弱点を探しています。侵入口の87%は、VPN機器とリモートデスクトップでした。
「大した情報は入っていないから」
ランサムウェアは情報を盗むほかに、データを暗号化して業務を止めてしまいます。被害企業の91%で業務に影響が出て、52%は調査・復旧に1,000万円以上かかっています。また、不正アクセスで顧客や従業員の個人情報が漏れた場合は、1件だけでも、漏れたおそれがある段階でも、個人情報保護委員会への報告と本人への通知が義務になっています。
「取引先は大企業じゃないから、関係ない」
委託先や取引先を経由した攻撃は、IPAの情報セキュリティ10大脅威で2位に入っています。大きな取引先に入り込む足がかりとして、小さな会社が狙われることがあります。下の事例にも、委託先のシステムから漏れたものがあります。
「バックアップがあるから、大丈夫」
被害企業の91%はバックアップを取っていました。ところが、それで元に戻せたのは20%です。バックアップまで一緒に暗号化されていた例が多くあります。
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）／IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）／個人情報保護委員会「漏えい等の対応とお役立ち資料」
いま起きていること
被害は減らず、手口も増えている
ランサムウェア（データを暗号化して身代金を要求する攻撃）の被害は、ここ数年ずっと年200件前後のままです。フィッシングの報告は、2021年からの4年で約4.7倍に増えました。
ランサムウェア被害の報告件数
146 2021
230 2022
197 2023
222 2024
226 2025
フィッシング報告件数
53万 2021
97万 2022
120万 2023
172万 2024
245万 2025
法人口座のネットバンキング不正送金：約47億円 前年（約11億円）の約4.2倍です。銀行を名乗って会社に電話をかけ、ネットバンキングの更新手続などを口実にメールアドレスを聞き出してから偽のメールを送る、「ボイスフィッシング」という手口が急に増えました。
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
最近の主な事例
身近なサービスでも、漏えいは続いている
2025年以降に公表された、主な情報漏えいとサイバー攻撃です。よく使われているサービスや大手企業でも起きています。原因が公表されているものには、このページの対策へのリンクをつけました。
委託先経由
大手証券会社問い合わせ管理（委託先のシステム）
約11万名分（問い合わせ等を含め約22万件）
- 漏えい等の情報
- 氏名、メールアドレス、口座番号など
- 公表された原因
- 委託先サーバーへの不正アクセス。自社システムへの侵入は確認されていない
不正ログイン・認証情報の悪用
大手新聞社社内で使うクラウドのメール・業務ツール
1,646人分
- 漏えい等の情報
- メールアドレス、氏名など（社員・取引先等）
- 公表された原因
- 社員のクラウドアカウントへの外部からの不正ログイン
不正アクセス（手口は非公表）
大手生命保険会社従業員向けの人事システム
約12万名（従業員・退職者）
- 漏えい等の情報
- 従業員番号、氏名、住所、電話番号、所属など
- 公表された原因
- 第三者による不正アクセス。経路は公表されていない
不正アクセス（原因調査中）
大手宅配会社Webの荷物問い合わせサービス
件数は調査中
- 漏えい等の情報
- 送り主・届け先の氏名・住所・電話番号（約100日分）など
- 公表された原因
- 第三者による不正アクセス。原因は調査中
不正アクセス（原因調査中）
コンビニチェーン公式アプリ
約57万人分
- 漏えい等の情報
- 氏名、性別、生年月日、住所、電話番号、メールアドレス
- 公表された原因
- アプリのサーバーを経由して会員情報のサーバーへ不正アクセス
不正アクセス（原因調査中）
大手カーシェアサービス会員向けのWebシステム
約660万アカウント（本人確認書類 約160万）
- 漏えい等の情報
- 氏名、住所、生年月日、電話番号、運転免許情報、免許証などの本人確認書類画像
- 公表された原因
- Webシステムへの第三者による不正アクセス。フォレンジック調査中
脆弱性の悪用
画像共有サービス画像のアップロード用サーバー
約2,362万件
- 漏えい等の情報
- メールアドレス、パスワードのハッシュ値、プロフィール、画像のメタデータ
- 公表された原因
- 画像アップロードサーバーの脆弱性を突かれ、任意のコマンドを実行された
不正アクセス（原因調査中）
大手レンタルサーバ事業者レンタルサーバ・販売管理システム
対象の可能性 約136万アカウント
- 漏えい等の情報
- 会員ID、氏名、住所、電話番号、メールアドレスなど
- 公表された原因
- 不正アクセス。侵入経路は特定に至らず。一部の初期パスワードが平文で保存されていた
ランサムウェア
大手通販会社物流・社内システム
流出確認 約74万件
- 漏えい等の情報
- 事業所・個人のお客様、取引先、社員の氏名・住所・電話番号など
- 公表された原因
- 多要素認証を例外的に適用していなかった委託先の管理者アカウントのID・パスワードが漏れ、不正利用された（ランサムウェア）
ランサムウェア
大手飲料メーカー国内グループのシステム
漏えいのおそれ 約229万件（2026年7月時点）
- 漏えい等の情報
- お客様相談室の問い合わせ者、従業員・家族、取引先等の氏名・住所・電話番号など
- 公表された原因
- 拠点のネットワーク機器を経由して侵入し、パスワードの弱点を突いて管理者権限を奪取（ランサムウェア）
不正アクセス（手口は非公表）
大手損害保険会社社内のWebシステム
お客様関連データ 約726万件（重複を含む）
- 漏えい等の情報
- 氏名、生年月日、住所、電話番号、メールアドレス、証券番号など
- 公表された原因
- 社内Webシステムへの外部からの不正アクセス。再発防止として他システムの同様の脆弱性を確認
不正アクセス（手口は非公表）
ネットカフェ・フィットネスチェーン会員システム
約729万件
- 漏えい等の情報
- 氏名、性別、住所、電話番号、生年月日、会員番号など
- 公表された原因
- サーバーへの不正アクセス。再発防止としてプログラムの改修とセキュリティパッチを適用
各社の公式発表（2026年10月8日時点の最新の続報まで）をもとに要約しています。件数は公表時の表現のままで、「可能性」「おそれ」の段階のものも含みます。
原因
どこから入られ、何で漏れているか
ランサムウェアは、メールよりも、インターネットに開いている機器から入られるケースが大半です。情報漏えいは不正アクセスによるものが中心ですが、誤送信などのミスも2割あります。
ランサムウェアの感染経路
VPN機器 66.3%61件
リモートデスクトップ 20.7%19件
不審メール・添付ファイル 2.2%2件
その他 10.9%10件
個人情報漏えい・紛失事故の原因
ウイルス感染・不正アクセス 64.4%116件
誤表示・誤送信 20.5%37件
紛失・誤廃棄 10%18件
不正持ち出し・盗難 3.8%7件
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）／東京商工リサーチ「2025年 上場企業の個人情報漏えい・紛失事故」調査（2026年1月30日）
被害
業務が止まり、復旧にもお金がかかる
被害企業の91%で業務に影響が出ています。調査や復旧にかかった費用は、半数以上の会社で1,000万円を超えました。
調査・復旧費用の総額
100万円未満 18%16件
100万〜500万円 20.2%18件
500万〜1,000万円 10.1%9件
1,000万〜5,000万円 36%32件
5,000万〜1億円 10.1%9件
1億円以上 5.6%5件
バックアップは役に立ったか
バックアップを取っていた91%
それで元に戻せた20%
戻せなかった理由
バックアップも暗号化された 66.7%48件
運用の不備 26.4%19件
その他 6.9%5件
出典：警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
原因と対策
原因ごとの対策
被害の多くは、前から知られている弱点を突かれて起きています。特別な製品を買う前に、まず入口をふさいで、やられたときの備えをしておくほうが効果があります。
01
VPN機器・リモートデスクトップの弱点
ランサムウェアの侵入口の約9割を占めます。狙われるのは、古いままのファームウェアや、使い回し・推測しやすいパスワード、退職した人のアカウントが残っているところです。
対策
- ファームウェアを最新に保つ
- 多要素認証を必須にする
- 不要なアカウント・公開ポートを閉じる
トヒツでできること
外部に公開している機器の脆弱性診断と設定点検
02
バックアップが「あるだけ」
バックアップを取っていても、ネットワークにつながったままだと本体と一緒に暗号化されてしまいます。被害企業では、取っていた91%のうち、元に戻せたのは20%でした。
対策
- ネットワークから切り離した世代バックアップ
- 管理者権限とバックアップの分離
- 定期的な復元テスト
トヒツでできること
バックアップ構成の見直しと復元手順づくり
03
Webサイト・サーバの脆弱性
更新していないCMSやプラグイン、設定のミスがあると、そこから改ざんや情報漏えいが起きます。
対策
- CMS・プラグイン・サーバOSの更新
- 管理画面へのアクセス制限
- WAFの導入
トヒツでできること
Webサイト・サーバの脆弱性診断と改修
04
誤送信・共有設定のミス
上場企業の漏えい事故でも、約2割（20.5%）は誤表示・誤送信によるものです。攻撃を受けなくても、ちょっとした操作ミスで漏れてしまいます。
対策
- クラウドの共有リンク・権限の棚卸し
- 送信前確認・宛先制限の設定
- 端末紛失時の遠隔ロック
トヒツでできること
Microsoft 365 / Google Workspace の設定点検
05
フィッシング・なりすましメール
フィッシングの報告は245万件（2025年）ありました。法人口座の不正送金被害も約47億円で、前年の約4.2倍です。
対策
- 全アカウントの多要素認証
- 銀行・取引先からの連絡は代表番号へ折り返して確認
- 自社ドメインの送信元認証（SPF・DKIM・DMARC）
トヒツでできること
メール認証の設定と、社内向けの注意喚起
情報セキュリティ10大脅威 2026
組織向けの脅威ランキング
IPA（情報処理推進機構）が毎年公表しているランキングです。ランサム攻撃は11年連続で選ばれ、今年は「AIの利用をめぐるリスク」が初めて入りました。
- 1ランサム攻撃による被害11年連続
- 2サプライチェーンや委託先を狙った攻撃8年連続
- 3AIの利用をめぐるサイバーリスク初選出
- 4システムの脆弱性を悪用した攻撃6年連続
- 5機密情報を狙った標的型攻撃11年連続
- 6地政学的リスクに起因するサイバー攻撃（情報戦を含む）2年連続
- 7内部不正による情報漏えい等11年連続
- 8リモートワーク等の環境や仕組みを狙った攻撃6年連続
- 9DDoS攻撃（分散型サービス妨害攻撃）2年連続
- 10ビジネスメール詐欺9年連続
出典：IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）
セキュリティ・脆弱性診断
攻撃される前に、弱点を見つけておく
製品やメーカーに関係なく、機器からクラウドまでまとめて点検します。見つかった弱点は、設定の変更や更新など、直すところまで同じ担当者が引き受けます。
外部公開機器
VPN・ルータ・NAS・リモートデスクトップなど、インターネットから見える入口
Webサイト・サーバ
CMS・プラグインの更新状況、管理画面、設定ミス、証明書
社内ネットワーク・端末
Wi-Fi、OS・ソフトの更新、ウイルス対策、管理者権限の扱い
アカウント・メール
多要素認証、退職者アカウント、共有設定、SPF・DKIM・DMARC
バックアップ・復旧
取り方・保管場所・世代、実際に戻せるかの確認
- 1ヒアリング
使っている機器・サービスと、診断してよい範囲を確認
- 2診断
許可をいただいた範囲で、外部・内部から点検
- 3報告
見つかった弱点を、危険度と直す順番をつけてご説明
- 4対策
設定の変更や更新、構成の見直しまで続けて対応
まずは自分で点検したい方へ
登録不要で診断する → 25の質問に3段階で答えると、リスクの度合いと、先に直したほうがいい3項目が分かります。メールアドレスなどの登録は要りません。結果はその場で出て、入力した内容はどこにも送信されません。
セキュリティまわりの対応事例と費用
ほかで原因が分からない、対応できないと言われた、というご相談から始まることがよくあります。まず原因を切り分けて、直せるところから手を付けます。
約20万円（機器代含む）
士業事務所へのNAS設置
リモート社員とのファイル同時編集と、士業ソフトのデータベース共有のご相談。クラウドストレージやリモートデスクトップも比べたうえで、ランニングコストと機能からNASを選択。停電や故障による消失への備え、アクセス権の個別設定とデータ移行、IT担当者への引継ぎまで。
約3万円
サイトの白画面・改ざん復旧
更新後の白画面（致命的エラー）を復旧。改ざんの痕跡を駆除し、PHP整合・自動バックアップ・WAF導入で再発防止まで。
金額は当時の税込で、おおよその目安です。内容や環境によって変わります。
出典
- 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）
- 東京商工リサーチ「2025年 上場企業の個人情報漏えい・紛失事故」調査（2026年1月30日）
- 個人情報保護委員会「漏えい等の対応とお役立ち資料」
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）
割合は各調査の有効回答数を分母に四捨五入しています。設問ごとに回答数が異なります。