情報漏洩が続いている状況で、法人として優先して確認すべきこと

個人情報の漏洩報道が相次ぐと、自社も危ないのではないかと不安になりがちです。ITmediaエンタープライズの2026年10月20日のまとめによると、10月6日から19日までの2週間だけでも主な公表が33件あり、公表人数の単純合計は延べ約1億3000万件に達しました。ただし、この数字は各社が公表した最大値の合算であり、メールアドレスのみの事案や対象者の重複も含んでいます。件数の多さだけに圧倒されず、まずはニュースを自社との関係で分類します。

ニュースを自社との関係で4つに分ける

目にした報道は、次の4つのどれに当てはまるかを考えます。

• 自社が業務で契約して使っているクラウドやツール
• 委託先や、多くの企業が共通して利用するサーバー基盤
• 自社で運営しているWebサイト、会員機能、問い合わせフォーム
• 自社と一切関係がない企業やシステム

自社と関係がない事案は、不安材料にする必要がありません。関係がある事案だけを残すと、確認すべき対象は大幅に減ります。

実際の侵入経路は3つに集中している

原因が判明した事案を見ると、侵入経路は主に3つです。

• 委託先や共通クラウド基盤のトラブル
• 自社サイトのプログラムや会員情報APIの不備
• 社員が使う業務アカウントへの不正ログイン

それぞれの典型例を実際の報道から確認します。

1. 委託先や共通クラウド基盤のトラブル

IDCフロンティアは2026年10月7日、法人向けクラウド「IDCFクラウド」東日本リージョン1の一部がランサムウェア攻撃を受けたと公表しました。契約企業や自治体など495組織が影響を受けました。

10月14日の続報によると、仮想サーバー内のデータが外部へ持ち出された痕跡は確認されず、外部流出はなかったと判断されています。

利用している外部基盤で障害や攻撃が起きたときは、被害の規模ではなく「自社がそのサービスに何のデータを預けているか」を確認します。

2. 会員情報を扱うWeb機能の不備

ソースネクストは2026年10月15日、会員管理システムへの不正アクセスを公表しました。10月9日から会員情報取得APIが不正利用され、最大で約2252万人分のメールアドレスや氏名、住所などが流出した可能性があります。

自社でWebサイトや会員機能を運用している場合は、外部から不正に情報を引き出せる穴がないかを確認する必要があります。

3. 業務アカウントへの不正ログイン

日本経済新聞社は2026年10月4日、社員のMicrosoft 365とGoogle Workspaceのアカウントに不正ログインがあったと公表しました。悪意あるサイトへ誘導するなりすましメールの送信や、社内外のメールアドレスの流出が確認されています。また10月16日には、開発用クラウドへの不正アクセスで約183万件の情報が流出した事案も公表されました。

社員のアカウント管理では、誰がIDを持っていて、不審なログインに気づける体制があるかが重要です。

自社サイトがある場合に担当者へ確認する3点

自社でWebサイトや問い合わせフォームを持っているなら、社内の開発者や運用委託先へ次の3点を確認してください。専門的な知識がなくても、そのまま質問できます。

• 会員情報や問い合わせ内容を外部に返す機能に、権限のない第三者がアクセスできないよう制限をかけているか
• 利用しているサーバーやソフトウェアの更新作業を、誰がどの頻度で確認しているか
• 委託先のサービスが停止した際、自社のどのデータが影響を受けるか把握できているか

すぐに回答が出ない項目があれば、担当者や責任の所在が定まっていないサインです。

AIの利用停止とセキュリティ確認は分けて考える

一連の漏洩事案の主な原因は、Webサイトの不備、委託先、アカウント管理です。生成AIに文章を入力したこと自体が原因ではありません。ニュースを見て慌てて社内のAI利用を一律に禁止しても、Webサイトや委託先の脆弱性は解決しません。

業務でAIを安全に使うための基準は、AIを安心して試すために、最初に決めておきたいルールでまとめたとおりです。入力してよい情報の区分やアカウントの分離といった基本方針を維持したまま、業務を進めてください。

個人のアカウントで今日できること

会社の確認と並行して、自分個人のアカウントでは次の3点を実施してください。

• 被害が報じられたサービスと同じパスワードを使い回している場合、他サービスのパスワードも変更する
• 届いたセキュリティ通知のリンクを安易に開かず、公式サイトの告知欄から直接事実を確認する
• 登録しているサービスからの重要な連絡を見落とさないよう、定期的にメールや通知を確認する

今日着手する最初の一歩

自社のWebサイトやフォームがある場合は、先ほど挙げた3つの質問を担当者や委託先へ送ってください。自社サイトがない場合は、業務で使っている外部サービスを1枚の紙に書き出し、顧客情報を預けているものに印をつけます。

印をつけたサービスに関する報道があれば、一次情報の続報を確認します。最初の見出しだけで判断せず、自社への実際の影響を確かめてください。

生成AIの導入活用支援では、業務内容に応じた利用ルールの整理や安全な運用手順の策定も支援しています。

参照

この記事で取り上げた事例は、2026年10月23日時点の各社公表および報道に基づきます。

• ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）
• IDCフロンティア「【第2報】当社サービスの一部システムに対する不正アクセスについて」（2026年10月7日）
• IDCフロンティア「【第5報】不正アクセスによる障害に関する調査の進捗について」（2026年10月14日）
• 日本経済新聞「日経に不正ログイン、1646人分の個人情報漏洩か」（2026年10月4日）
• 朝日新聞「日経にサイバー攻撃　なりすましメールを取材先などに9千件不正送信」（2026年10月4日）
• ITmedia NEWS「日経新聞、不正アクセスで183万件の個人情報流出」（2026年10月16日）
• ITmediaエンタープライズ「ソースネクスト、ヤマトなど数十社2026年10月総まとめ第2弾」（Yahoo!ニュース配信）（2026年10月20日）