個人情報の流出事例から学ぶこと　公式発表で確かめた原因を分類する

個人情報の流出で最も多い原因は、高度な攻撃ではなく、書類やメールを間違った相手へ渡す誤交付と誤送付です。個人情報保護委員会の令和7年度の数字では、この2つ⁠が直接報告の約74%⁠を占めました。

今日やることは、この1年⁠に社内で起きかけた出来事を5つほど書き出し、この記事の分類に当てはめることです。宛先の間違い、書類の入れ間違い、USBメモリの置き忘れ、不審なログイン。数えてみると、自社が先に直す場所が見えてきます。

実在の組織の事例は、その組織の公式発表で確かめた内容だけを書いています。公表した組織を責める趣旨ではありません。公表してくれるからこそ、ほかの会社が学べます。全体の対策は情報漏えい対策のカテゴリ⁠にまとめています。

原因の内訳はどうなっているのか？

個人情報保護委員会の令和7年度年次報告⁠によると、処理した個人データの漏えい等の報告は17,139件で、前年度の19,056件から減りました。委員会への直接報告は13,345件です。

その13,345件を、年次報告の付表から原因別に足し上げると次のようになります。

付表は漏えい等の発生元（報告者、委託先、不明）ごとの件数なので、合計と割合は私たちが計算しました。

読むときに注意したい点が2つあります。

1つ目は、業種の偏りです。年次報告は、病院や薬局での書類の誤交付、クレジットカードなどの誤送付が多いと説明しています。漏えいした情報の形態は紙媒体のみが76.9%です。製造業の内訳がこのとおりとは限りません。

2つ目は、件数と影響の大きさは別だということです。1件あたりの人数は1,000人以下⁠が93.6%でした。不正アクセスは件数では約9%でも、1件⁠で多くの人に影響する場合があります。件数の少なさだけで軽く見ないでください。

最新の動きとして、令和8年度第1四半期の処理状況⁠の総計は6,101件でした。病院や薬局に限らず、損害保険業者での誤交付も目立つと説明されています。委員会は、この数字は後に改訂される可能性があるとしています。

誤送付の事例から何がわかるか？

2026年⁠の公式発表を見ると、一斉メールの宛先の間違いが繰り返し出てきます。

注目したいのは大阪市消防局の発表です。ダブルチェックをしていたのに、起きています。再発防止として人の確認を増やすだけでは足りない場合があるということです。

中小企業が取れる手

人の注意に頼らない形へ変えます。

• 社外への一斉連絡は、BCCではなく配信専用の仕組みから送る
• 宛先が複数の社外ドメインにまたがると警告や保留が出る機能を使う
• 送信を数分遅らせて、取り消せる時間を作る

こうした機能の違いはメールセキュリティの製品比較で見られます。製造業なら、協力会社50社への仕様変更の案内や、展示会の来場者へのお礼メールが同じ形です。たとえば、担当者のメールソフトで宛先を貼り付ける運用なら、同じことが起こり得ます。

紛失の事例から何がわかるか？

持ち運べる媒体が、そのまま原因になります。

茨城県教育庁の発表（4月28日）では、のべ438名分の成績等を保存した私物のUSBメモリーが紛失しました。原因は学校の許可なく私物のUSBを使用し持ち歩いたことと説明され、再発防止にはUSBメモリーの使用禁止の周知が挙げられています。

松下記念病院の発表（5月19日）では、院内で患者データを収めたUSBメモリが紛失し、パスワードで保護されていたと説明されました。その後、5月25日の発表⁠で院内での発見が報告され、不正利用等をうかがわせる事実は認められなかったとされています。

この2つから言えるのは、無くしても読めない状態にしておくと説明できることが変わる、という点です。社内での対応は、持ち出す媒体を減らすことと暗号化の2本立てになります。方法の違いはファイル暗号化の方法の違い⁠で場面ごとに整理しています。

不正アクセスの事例から何がわかるか？

入口は特殊なものとは限りません。

講談社の発表（8月3日）⁠によると、取引先を偽装したフィッシングメールから偽のログイン画面で認証情報が入力され、メールアカウントに不正ログインされました。最大3,812件⁠の連絡先情報が盗まれ、553件⁠のアドレスに社員を装ったメールが送られたと説明されています。

取引先を装ったメールは、取引の多い製造業にも関わりのある形です。訓練についてはセキュリティ教育サービスの比較で見られます。パスワードだけのログインを減らす話はIDaaSの仕組みと導入の条件⁠に書きました。

燦ホールディングスの発表（10月20日）⁠は⁠、グループ会社のサイトのシステムへの不正アクセスについて、個人情報が外部へ漏えいした可能性を公表したものです。発表の時点では持ち出しの痕跡は確認できていないとしたうえで、外部専門家の調査を進めるとしています。可能性の段階で知らせる形の例です。

委託先の事例から何がわかるか？

自社で使うサービスでも、運用は他社という場合があります。

東海電子の発表（2月25日）では、利用するメールサービスで、委託先が管理するサーバ機器の脆弱性を悪用した不正アクセスが原因と考えられると説明されました。当時は未発見の脆弱性だったことも記されています。

年次報告でも、漏えい等の発生元が委託先という報告は1,292件で、直接報告の9.7%でした。法律の第25条は、委託先に対する必要かつ適切な監督⁠を求めています。IPAの情報セキュリティ10大脅威2026でも、組織向けの2位⁠はサプライチェーンや委託先を狙った攻撃です。

委託している先の一覧を作り、どの個人データを預けているか、事故のときの連絡先と期限を契約で決めているかを確かめます。

内部不正はどう考えるか？

件数としては少なく、年次報告では86件でした。ただ、IPAの10大脅威2026では組織向けの7位⁠に入っています。公式発表で原因まで確かめられる2026年⁠の事例は、今回の調査では確認できなかったので、この記事では個別に挙げません。

対策の方向は誤送付とも重なります。誰が何を持ち出せるかを絞り、記録を残すことです。ファイルの持ち出しの制御についてはDLPの製品比較で製品の違いを見られます。

起きたときの報告はどう決まっているか？

個人情報保護委員会の個人情報保護法ガイドライン（通則編）⁠は⁠、報告の対象を4つ⁠の類型で示しています。

• 要配慮個人情報を含むもの
• 不正に利用されると財産的被害が生じるおそれがあるもの
• 不正の目的をもって行われたおそれがあるもの
• 本人の数が千人を超えるもの

速報は、知った時点から概ね3〜5日以内⁠が目安です。確報は30日以内⁠、不正の目的によるおそれがあるものは60日以内です。法人の場合、いずれかの部署が知った時点が起点になります。つまり、現場が抱え込んでいる間にも期限は進みます。

自社の分類表をどう作るか？

事例を読んで終わらせないために、この記事の分類をそのまま社内の記録に使います。

たとえば、部品メーカーの総務なら、採用の応募書類と名刺の管理も対象です。通則編は、名刺の情報を表計算ソフトで整理している場合も個人データの扱いになる例を挙げています。製品図面ばかり守っていて、人の情報が手薄になっていないかを見ます。

発生に備えて、書類側の整備も一緒に進めると話が早くなります。何の目的で集めているかが明確なら、漏れたときに誰へ何を知らせるかも決めやすくなります。書き方は個人情報の取り扱いの例文⁠にまとめました。