2026年10月、日本国内で公表されたサイバー攻撃関連事案は233件に達し、個人情報の漏えい件数も約1億8500万件と、過去に例のない規模となった。2026年1月から10月末までの累計漏えい件数も約3億7600万件に達しており、日本のサイバーセキュリティ環境は重大な転換点を迎えている。

現状（2026年11月時点）

日本国内でサイバー攻撃による被害が急速に拡大している。2026年11月9日に明らかになった調査結果によると、10月に国内で公表されたサイバー攻撃関連事案は233件に達し、月間の過去最多を更新した。

さらに深刻なのが、個人情報の漏えい規模である。情報通信市場の調査会社であるMM総研が11月4日に公表した調査では、2026年10月に公表されたサイバー攻撃による情報漏えい件数は約1億8500万件に達した。これは9月の約2倍に相当し、2025年の年間漏えい件数約4953万件と比較しても、わずか1カ月で約3.7倍という異常な規模である。

2026年1月から10月末までの累計では、情報漏えい件数は約3億7600万件に達している。2025年の年間実績の約7.6倍であり、サイバー攻撃による情報被害が従来の増加傾向を大きく超えて拡大していることを示している。

ただし、ここでいう漏えい件数は、流出した情報の件数やアカウント数などを集計したものであり、被害を受けた実人数を意味しない。同一人物の情報が複数の事案に含まれる可能性もあるため、3億7600万人の個人情報が流出したという解釈は誤りである。

注目すべきなのは、攻撃事案の増加以上に、1件当たりの情報漏えい規模が拡大している点だ。サイバー攻撃は単に発生頻度が高まっているだけでなく、企業や組織が保有する大量の情報を一度に奪取する方向へと変化している。

これは、日本企業の情報管理体制やシステム防御のあり方に、従来の対策では十分に対応できない構造的な問題が存在することを示唆している。

何が起きているのか

今回の急増を理解するには、サイバー攻撃の発生件数だけでなく、攻撃者がどのような方法で企業や組織のシステムに侵入し、情報を取得しているのかを分析する必要がある。

従来の代表的な攻撃は、電子メールを利用した標的型攻撃、コンピューターウイルスへの感染、システムの脆弱性を悪用した不正侵入、ランサムウェアによるデータの暗号化などだった。攻撃者は企業の内部ネットワークに侵入し、機密情報を窃取したり、業務システムを停止させたりすることを狙っていた。

しかし、近年は攻撃対象と侵入経路が多様化している。特に問題となっているのが、企業が提供するスマートフォン向けアプリケーションや会員制サービス、その背後で稼働するサーバー、外部接続の仕組みを狙う攻撃である。

アプリケーションそのものに重大な欠陥がなくても、アプリとサーバーを接続する仕組みの認証やアクセス制御が不十分であれば、攻撃者が不正にデータベースへアクセスできる場合がある。利用者から見れば正常に稼働しているサービスであっても、その裏側では大量の個人情報が危険にさらされている可能性がある。

また、企業が利用するクラウドサービスや外部委託先のシステムを経由して被害が発生するケースも増えている。企業自身の防御が一定水準に達していても、取引先やシステム運用会社の管理が不十分であれば、そこを侵入口として情報が流出する。

さらに、盗み出された認証情報が別のサービスへの不正ログインに利用されるなど、1回の攻撃が次の攻撃を生み出す連鎖も深刻化している。今回の事態は、個々の企業の情報システムを守るだけでは、もはや十分な防御にならないことを浮き彫りにしている。

攻撃件数と流出規模の歴史的急増

MM総研の2026年10月末時点の調査は、今回の異常な増加を過去との比較によって明確に示している。同社の集計によると、サイバー攻撃に起因する情報漏えい件数は2022年の約890万件から、2025年には約4953万件へと増加した。

ところが、2026年は10月末までのわずか10カ月で約3億7600万件に達した。2025年の年間実績の約7.6倍であり、これまでの増加傾向とは明らかに異なる段階に入ったと考えられる。

情報漏えい件数の推移

※公表された漏えい・漏えい可能性のある情報件数。各年の集計期間は異なる。

事案数についても増加は著しい。2026年10月末までの累計は661件で、2025年の年間428件をすでに大きく上回った。一方、漏えい件数の増加率は事案数の増加率をはるかに超えており、個々の攻撃による被害規模が大型化している。

特に、100万件以上の情報が漏えいした大規模事案は、2025年の12件に対し、2026年10月末までに45件に増加した。さらに、10月だけで30件が確認されており、大規模漏えいが例外的な事故ではなく、繰り返し発生する状況になっている。

また、2026年の漏えい情報件数の約94％は7月以降に公表された事案によるものだった。夏以降に被害が急拡大したことは、攻撃手法の変化だけでなく、複数の組織で共通して利用されるサービスやシステムが侵害された可能性を検討する必要性を示している。

ここで重要なのは、公表された件数が実際の攻撃発生件数そのものではないという点である。攻撃を受けても公表されない事案や、調査が続いていて被害規模が確定していない事案も存在するため、統計は国内の被害実態を把握するための重要な指標ではあるものの、すべての攻撃を網羅しているわけではない。

それでも、複数年にわたる同一基準の集計でこれほど大きな変化が確認されていることから、2026年の急増を一時的な統計上の変動として片付けることはできない。日本のサイバーセキュリティ環境そのものに、重大な転換が生じていると見るべきである。

標的の変化と「日本特有」の脆弱性

2026年のサイバー攻撃の特徴は、攻撃対象が大企業や政府機関だけでなく、中小企業、医療機関、自治体、教育機関、外部委託事業者など、社会全体に広がっていることだ。特に、企業が保有する顧客情報、従業員情報、決済情報、取引先情報など、経済活動に直結するデータが狙われている。

攻撃者にとって重要なのは、必ずしも社会的に有名な企業へ侵入することではない。防御が弱く、侵入しやすく、かつ価値のある情報を保有している組織を見つけることが合理的な戦略となっている。

このため、従業員数が少なく、専任の情報セキュリティ担当者を置けない中小企業も攻撃対象になる。大企業と取引関係にある中小企業の場合、直接的な情報資産の価値だけでなく、大企業のネットワークや業務システムへ接続するための経路として利用される危険もある。

医療機関も重要な標的だ。電子カルテ、診療予約、検査結果、患者の個人情報などは、攻撃者にとって価値の高い情報であるうえ、システムが停止すれば診療や救急対応に重大な影響が生じる。業務停止による損失を避けたいという組織側の事情が、身代金要求を伴う攻撃の標的になりやすい背景にもなっている。

自治体や公共機関では、住民基本情報、税務情報、福祉関連情報など、社会生活に不可欠な情報が集中している。行政サービスのデジタル化によって利便性は向上した一方、外部ネットワークとの接続や複数の業務システム間のデータ連携が増え、管理すべき攻撃経路も複雑になっている。

日本特有の問題として指摘できるのが、企業間の取引関係を基盤とした多層的な業務委託構造である。大企業がシステム開発や保守、データ処理、顧客対応などを外部に委託し、その委託先がさらに別の事業者へ業務を再委託する構造が広く存在する。

この仕組みでは、情報を保有する企業と、実際に情報を処理・管理する企業が異なる場合がある。情報の管理責任が契約上は明確でも、実際のシステム運用やアクセス権限の管理が複数の事業者に分散すると、どこに脆弱性が存在し、誰が修正する責任を負うのかが不明確になりやすい。

さらに、日本企業では長年利用してきた業務システムを変更することに慎重な傾向がある。安定稼働を重視するあまり、古いシステムを維持し続け、更新費用や移行リスクを理由に必要なセキュリティ対策が先送りされることがある。

こうした事情は日本だけに存在するものではないが、長期的な取引関係、系列的な企業構造、多重委託、現場の運用慣行などが重なることで、サイバー攻撃への対応が遅れる要因となる。したがって、今回の被害拡大は個々の企業の技術力だけでは説明できず、日本の産業構造や企業経営のあり方とも深く関係している。

背景にある要因（なぜこれほど多発しているのか）

サイバー攻撃が急増している背景には、攻撃者側の技術や組織力の向上と、防御側の対応が追いついていないという構造的な不均衡がある。インターネットを通じて利用できるサービスやシステムが増える一方、それらを安全に管理するための人材、予算、運用体制は十分に整備されていない。

第1の要因は、企業のデジタル化によって攻撃対象となる領域が拡大したことだ。クラウドサービス、スマートフォン向けアプリケーション、遠隔勤務、電子商取引、オンライン決済、外部委託システムなどが普及し、企業の情報資産は社内ネットワークだけでは完結しなくなった。

かつては社内ネットワークを中心に防御を構築すれば、一定の安全性を確保できた。しかし現在は、従業員の端末、外部接続サービス、クラウド上のデータ、取引先のシステムなど、複数の環境を横断して管理する必要がある。管理対象が増えれば、それだけ設定ミスや認証情報の流出、アクセス権限の不備が発生する可能性も高まる。

第2の要因は、攻撃者が利用できる情報や攻撃手段が増えていることだ。インターネット上には、公開されたシステムの構成情報、過去に流出した認証情報、脆弱性に関する技術情報などが存在する。攻撃者はこれらを組み合わせることで、侵入可能な組織を効率的に選別できる。

特に、ソフトウェアの脆弱性が公表された後、修正プログラムが適用されるまでの時間差は重大な問題となる。攻撃者は脆弱性の情報を入手すると、修正が遅れているシステムを自動的に探索し、侵入を試みることができる。

第3の要因は、サイバー犯罪の分業化と収益化である。攻撃者がすべての技術や設備を自ら用意する必要はなくなり、侵入用の手段、盗み出した情報、攻撃に利用する不正プログラムなどを犯罪市場で取引する仕組みが形成されている。

代表例が、ランサムウェアをサービスとして提供する犯罪形態だ。高度な技術を持つ犯罪グループが攻撃基盤を構築し、別の攻撃者がそれを利用して企業へ侵入する。攻撃の実行者と基盤の開発者が分離されることで、専門的な技術を持たない犯罪者でも大規模な攻撃に参加できるようになる。

第4の要因は、情報漏えいが犯罪収益につながる経済構造である。盗み出された個人情報や認証情報は、不正ログイン、詐欺、なりすまし、恐喝などに利用されるほか、犯罪者間で売買される可能性がある。企業の業務停止による損害だけでなく、情報そのものが継続的に換金できる資産となっている。

つまり、サイバー攻撃は単なる技術的な嫌がらせではなく、専門化された犯罪経済の一部になっている。攻撃者にとって利益が見込める限り、攻撃は継続され、成功した手法は別の犯罪グループにも模倣される。

第5の要因として、攻撃対象の国際化も挙げられる。攻撃者は国境を越えて活動し、複数の国や地域に設置されたサーバーやサービスを経由して侵入することがある。被害企業が日本国内にあっても、攻撃の準備、実行、情報の保管、金銭の受け取りが異なる国で行われる場合があり、捜査や犯人特定を難しくしている。

このように、攻撃対象の拡大、脆弱性情報の流通、犯罪の分業化、情報の換金市場、国際的な攻撃基盤が相互に作用している。2026年10月の急増は、こうした要因が複合的に表面化した結果として捉える必要がある。

レガシーシステムと脆弱性の放置

日本企業のサイバーセキュリティを考えるうえで、避けて通れない問題がレガシーシステムの存在である。レガシーシステムとは、長期間にわたって利用されてきた古い情報システムであり、現在の技術環境やセキュリティ要件に十分対応できなくなったシステムを指す。

企業では、販売管理、会計、人事、在庫管理、顧客管理、生産管理など、経営の中核を担うシステムが長年利用されている。これらは日常業務に深く組み込まれているため、更新や刷新には多額の費用が必要となり、移行時に業務が停止する危険もある。

その結果、システムの更新が後回しになり、古い基本ソフトやデータベース、開発環境が使われ続けることになる。開発企業によるサポートが終了したシステムでは、新たな脆弱性が発見されても修正プログラムが提供されない場合があり、攻撃者にとって侵入しやすい環境となる。

また、古いシステムでは、現在の認証方式や暗号化技術、アクセス管理の仕組みを十分に導入できないこともある。システムの設計そのものが現代の脅威を想定していないため、個別の対策を追加しても根本的な安全性を確保できない場合がある。

経済産業省が2018年に公表した「ＤＸレポート」では、複雑化・老朽化した既存システムが企業のデジタル変革を妨げる問題が指摘された。いわゆる「2025年の崖」は、既存システムを刷新できなければ、経済的損失や競争力低下が発生するという警告だった。

2026年になった現在、この問題は単なる経営効率やデジタル化の遅れにとどまらない。古いシステムを維持すること自体が、サイバー攻撃による情報漏えいや業務停止の危険を高める要因になっている。

さらに深刻なのは、企業が自社の情報システムを完全に把握できていないケースがあることだ。過去に導入したサーバー、使用されていないアカウント、保守契約が終了した機器、外部委託先が管理するシステムなどが残存し、管理対象から漏れている可能性がある。

攻撃者は、企業が正式に管理している主要システムだけを狙うわけではない。管理されていない機器や更新されていないソフトウェア、放置された接続口など、組織の目が届きにくい場所を侵入口として利用する。

したがって、レガシーシステムの問題は、単に古い技術を新しい技術に置き換えれば解決するものではない。企業が保有する情報資産を正確に把握し、利用状況、接続関係、脆弱性、管理責任者を明確にすることが不可欠である。

API管理やサプライチェーンの盲点

レガシーシステムと並んで、近年の情報漏えいを引き起こす重要な要因となっているのが、ＡＰＩの管理不備である。ＡＰＩとは、異なるソフトウェアやシステムが相互に情報をやり取りするための接続の仕組みであり、スマートフォン向けアプリケーション、電子商取引、金融サービス、クラウドサービスなど、幅広い分野で利用されている。

例えば、スマートフォンの利用者が残高を確認したり、商品を注文したり、会員情報を変更したりする場合、アプリケーションはＡＰＩを通じてサーバーへ要求を送り、必要な情報を取得する。利用者から見えるのはアプリケーションの画面だが、実際の情報処理はサーバー側で行われている。

問題は、このＡＰＩの認証やアクセス制御が適切に設定されていない場合である。本来は本人しか閲覧できない情報に別の利用者がアクセスできたり、通常の利用者には許可されていない操作を実行できたりする可能性がある。

特に危険なのは、利用者の認証とデータへのアクセス権限の確認が十分に分離されていないケースだ。ログインに成功したことだけを理由に、サーバー側が広範囲の情報へのアクセスを許可すれば、攻撃者は正規の認証情報を悪用して大量のデータを取得できる。

また、開発段階で使用した試験用ＡＰＩや、すでに利用されなくなった古い接続口が残されている場合もある。企業が新しいサービスを導入する一方、過去の接続経路を完全に廃止していなければ、管理者が認識していない場所から侵入される危険が生じる。

この問題は、企業が自社で開発したシステムに限らない。外部の開発会社やクラウド事業者が提供するＡＰＩを利用している場合、その管理水準や設定の適切性も自社の情報セキュリティに直接影響する。

さらに、サプライチェーン全体を通じた情報管理の問題がある。企業は業務効率化や専門性の確保を目的として、システム開発、保守、顧客管理、決済処理、データ保存などを外部事業者へ委託している。

こうした委託関係が複雑化すると、企業が直接管理できないシステムや接続経路が増加する。委託先が十分なセキュリティ対策を実施していなければ、そこから侵入され、委託元の情報資産まで被害が及ぶ可能性がある。

特に、複数の企業が共通のクラウドサービスや業務システムを利用している場合、1つの事業者への攻撃が多数の利用企業に波及する危険がある。これは個別企業の防御能力だけでは解決できない、サプライチェーン全体のリスクである。

したがって、企業には自社のシステムを守るだけでなく、取引先や委託先のセキュリティ水準を確認し、情報へのアクセス権限、事故発生時の報告義務、脆弱性への対応責任などを契約と運用の両面で明確にすることが求められる。

攻撃の自動化・高度化（ＡＩの悪用）

2026年のサイバー攻撃を考えるうえで、人工知能の普及も無視できない要因である。生成ＡＩをはじめとする技術の進歩によって、攻撃者は従来よりも短い時間で攻撃の準備や実行を進められるようになっている。

従来、標的型攻撃を成功させるには、対象企業の業務内容、取引関係、従業員の役職、利用しているシステムなどを調査し、相手に合わせた攻撃文面や侵入手段を準備する必要があった。こうした作業には一定の専門知識と時間が必要だった。

しかし、生成ＡＩを利用すれば、公開情報を整理し、対象企業の業務に合わせた自然な文章を作成する作業を効率化できる。日本語の不自然な表現や誤字が多かった従来の不審メールと比べ、正規の取引先や社内担当者から届いたように見える文章を作成することも容易になっている。

また、攻撃者が従業員になりすました音声や映像を作成する危険も高まっている。経営者や取引先担当者の声を模倣し、緊急の送金や機密情報の提供を要求する手口は、従来の電子メールによる詐欺よりも相手を信用させやすい可能性がある。

技術面では、ＡＩを利用して公開システムの情報を分析し、脆弱性の候補を探したり、攻撃対象を優先順位付けしたりすることも考えられる。攻撃者は人手による調査を減らしながら、より多くの企業やシステムを探索できるようになる。

さらに、攻撃に必要なプログラムの作成や修正、侵入後の情報整理などにもＡＩが悪用される可能性がある。高度な技術を持つ攻撃者だけでなく、比較的経験の浅い犯罪者も、既存の攻撃手段とＡＩを組み合わせることで活動範囲を広げられる。

ただし、ＡＩが2026年10月の攻撃急増を直接引き起こしたと断定することはできない。現時点で、国内の233件や約1億8500万件の漏えい情報のうち、ＡＩがどの程度関与したのかを示す統一的な統計は確認できないためである。

重要なのは、ＡＩが攻撃の発生件数を単純に増やすというより、攻撃の準備、対象選定、偽装、実行に必要なコストを引き下げる可能性があることだ。企業側は従来の迷惑メール対策やウイルス検知だけでなく、本人確認の強化、複数の認証手段の導入、送金や情報提供に関する確認手順の徹底など、人間の判断を狙う攻撃への対応も強化する必要がある。

また、防御側もＡＩを活用して不審な通信や異常なログイン、通常とは異なるデータの持ち出しを検知する取り組みを進めるべきである。攻撃者だけが新技術を利用する状況を避け、検知と対応の速度を高めることが重要になる。

コンプライアンスと情報開示の進展

サイバー攻撃による被害が拡大するなか、企業には技術的な防御だけでなく、法令遵守や情報開示の面でも、これまで以上に厳しい対応が求められている。個人情報を取り扱う企業や団体には、情報漏えいが発生した場合の報告や本人への通知など、個人情報保護法に基づく対応が必要となる。

個人情報保護委員会の制度では、一定の要件に該当する漏えい等について、委員会への報告と本人への通知が義務付けられている。特に、要配慮個人情報を含む場合、不正利用によって財産的被害が生じるおそれがある場合、不正目的による行為が原因である場合などは、報告対象となる。

こうした制度の整備によって、企業が事故を内部処理だけで終わらせることは難しくなっている。被害を受けた企業には、何が起きたのか、どの情報が対象になったのか、二次被害を防ぐために何を実施したのかを説明する責任がある。

一方、情報開示の進展には課題もある。サイバー攻撃の被害が発生した直後は、侵入経路や漏えいした情報の範囲が確定していないことが多く、企業は調査と公表のタイミングを慎重に判断しなければならない。

公表が遅れれば、利用者がパスワードの変更や不正利用の確認など、必要な対策を取る機会を失う可能性がある。逆に、調査が不十分な段階で断定的な説明をすれば、後から内容を訂正することになり、企業への信頼がさらに低下する危険もある。

また、情報漏えいは単なる法令違反の問題ではない。顧客や取引先からの信用低下、契約解除、損害賠償、株価への影響、ブランド価値の毀損など、企業経営全体に長期的な損失をもたらす。

このため、サイバーセキュリティは情報システム部門だけの責任ではなく、経営層が直接関与すべき経営課題になっている。事故発生時の対応手順、情報開示の判断基準、関係機関への報告体制などを平時から整備することが必要である。

浮き彫りになった主な課題

2026年10月のサイバー攻撃と情報漏えいの急増によって明らかになったのは、日本のサイバーセキュリティ対策が、攻撃の高度化と社会全体のデジタル化に十分追いついていないという現実である。企業は個別のシステムに対する防御を進めてきたが、複数の組織やサービスが接続される現在の環境では、部分的な対策だけでは情報資産を守り切れない。

第1の課題は、企業が自社の情報資産と攻撃経路を正確に把握できていないことだ。どのサーバーに重要情報が保存され、どの外部サービスと接続し、誰がアクセス権限を持っているのかを把握できなければ、適切な防御策を構築することは難しい。

特に、クラウドサービスや外部委託先の利用が増えたことで、情報の保管場所や管理責任が分散している。企業の情報システム部門が把握していないサービスや、過去に導入されたまま放置されている接続経路が存在すれば、攻撃者にとって格好の侵入口となる。

第2の課題は、脆弱性が発見されても修正が遅れることである。ソフトウェアの更新には、業務への影響確認や動作検証、関係部門との調整が必要となるため、企業によっては修正プログラムの適用に数週間から数カ月を要する場合がある。

しかし、攻撃者は脆弱性の公表後、短期間で攻撃を開始することがある。防御側が安全性を確認している間に、攻撃者が侵入を完了するという時間的な不均衡が生じている。

第3の課題は、セキュリティ対策が経営上の優先事項として十分に位置付けられていないことだ。情報セキュリティへの投資は、売上高のように直接的な利益を生み出すものではなく、経営者が費用対効果を判断しにくい分野である。

そのため、システム更新や監視体制の強化が後回しになり、重大な事故が発生してから初めて大規模な投資を行う企業もある。被害が発生した後の復旧費用、事業停止による損失、顧客への補償などを考えれば、事前の対策を経営投資として位置付ける必要がある。

第4の課題は、事故発生後の対応能力に企業間で大きな差があることだ。大企業には専門の情報セキュリティ部門や外部の専門事業者を利用する余力がある一方、中小企業では担当者が他の情報システム業務と兼務していることも少なくない。

侵入の検知、被害範囲の特定、ネットワークの遮断、証拠の保全、関係機関への報告、業務復旧を迅速に進めるには、専門知識と実務経験が必要となる。こうした体制が整っていない企業では、攻撃を受けた後も侵入に気付かず、被害が長期化する危険がある。

「知っているが対策できない」サプライチェーンの構造

日本企業のサイバーセキュリティにおける深刻な問題の1つが、サプライチェーン全体の安全性を確保する難しさである。多くの企業は、取引先や委託先を経由した攻撃の危険を認識しているが、実際にすべての関係企業の対策状況を把握し、改善させることは容易ではない。

大企業は自社のシステムに一定水準の防御を導入できても、取引先の中小企業まで同等の対策を求めることには限界がある。中小企業には専任人材や予算が不足しており、高額な監視サービスや最新のセキュリティ設備を導入できない場合があるためだ。

また、サプライチェーンは単純な親会社と子会社の関係だけではない。システム開発会社、保守会社、クラウド事業者、データ処理会社、決済代行会社など、多数の事業者が複雑に関係している。

このため、委託元企業が直接契約している事業者の対策状況を確認しても、その先の再委託先まで十分に把握できるとは限らない。情報の取り扱いが複数の組織に分散することで、事故発生時の責任範囲や対応窓口が不明確になることもある。

さらに、取引先に対するセキュリティ要求が、実態を伴わない形式的な確認にとどまる問題もある。チェックシートへの回答や認証取得の有無だけで安全性を判断してしまえば、実際の運用状況や脆弱性への対応能力を見落とす可能性がある。

必要なのは、取引先の規模や取り扱う情報の重要性、接続するシステムの範囲に応じて、要求する対策水準を変えることである。すべての企業に一律の高度な対策を求めるのではなく、重要な情報を扱う事業者や、基幹システムに接続する事業者を優先して管理する仕組みが必要となる。

また、サプライチェーン全体で事故情報や脆弱性情報を共有することも重要だ。ある企業で攻撃が確認された場合、同じシステムやサービスを利用する他の企業が速やかに警戒できるよう、情報共有の仕組みを整備しなければならない。

セキュリティ人材・リソースの深刻な不足

日本のサイバーセキュリティ対策を制約する大きな要因が、専門人材の不足である。サイバー攻撃への対応には、ネットワーク、サーバー、基本ソフト、認証、暗号化、クラウド、脆弱性管理、デジタル証拠の分析など、幅広い知識が必要となる。

さらに、技術的な知識だけでは不十分である。攻撃を受けた際に業務を停止するかどうかを判断し、経営層や法務部門、広報部門、取引先と連携しながら対応を進める能力も求められる。

しかし、日本企業では情報システム部門の人員が十分に確保されていない場合が多い。通常のシステム運用や利用者対応に追われ、脆弱性管理や侵入監視、訓練などの予防的な業務に時間を割けない状況も生じている。

特に中小企業では、情報システム担当者が社内のパソコン管理、業務システムの運用、通信環境の整備などを兼務していることがある。高度な攻撃を検知し、侵入経路を分析して被害を封じ込める専門能力まで備えることは難しい。

人材不足は採用だけで解決できる問題ではない。専門人材の育成には時間がかかり、経験豊富な人材は大企業や専門事業者に集中しやすい。中小企業が独自に高度な防御体制を構築しようとしても、費用と人材の両面で制約を受ける。

このため、すべての企業が自前で専門人材を抱えるという考え方には限界がある。外部の専門事業者による監視サービス、共同利用型のセキュリティサービス、業界単位の情報共有などを活用し、限られた人材を効率的に利用する必要がある。

また、経営層や一般従業員に対する教育も欠かせない。高度な攻撃であっても、認証情報の使い回し、不審なメールへの対応、安易なファイル共有、権限管理の不備など、人間や組織の基本的なミスが侵入のきっかけになる場合がある。

したがって、人材不足への対応は専門技術者の確保だけでなく、組織全体のセキュリティ意識を高めることと一体で進めるべきである。

「防御側」と「攻撃側」の非対称性

サイバー攻撃が深刻化する根本的な理由の1つに、防御側と攻撃側の間に存在する非対称性がある。企業は自社のすべてのシステムを守り、業務を継続し、顧客情報を適切に管理しなければならない一方、攻撃者は防御の弱い部分を1カ所見つければ侵入に成功する可能性がある。

企業側は、サーバー、端末、通信回線、クラウドサービス、外部接続、従業員の認証情報など、膨大な対象を継続的に管理する必要がある。攻撃者側は、その中から最も侵入しやすい経路を選べばよい。

また、防御側には業務への影響を考慮する制約がある。システムの更新やネットワークの遮断を実施する場合、サービス停止や取引への影響を避けるため、事前の調整や検証が必要になる。

一方、攻撃者はこうした業務上の制約を受けない。深夜や休日を含め、企業の監視体制が手薄になる時間帯にも攻撃を実行できる。国境を越えて活動し、匿名化された通信経路や複数の中継サーバーを利用することで、追跡を困難にすることもある。

さらに、攻撃者は一度成功した手法を複数の組織に繰り返し適用できる。攻撃の仕組みを自動化すれば、少人数でも多数の企業を同時に探索できるため、攻撃に必要な費用に対して得られる利益が大きくなる。

これに対し、防御側は個々の企業や組織がそれぞれ対策を実施している。情報共有が不十分であれば、ある企業が経験した攻撃手法を別の企業が知らず、同じ被害を受ける可能性がある。

この非対称性を縮小するには、企業単独の防御能力を高めるだけでは不十分だ。政府、業界団体、専門機関、通信事業者、セキュリティ企業が連携し、攻撃情報や脆弱性情報を共有する仕組みを強化する必要がある。

加えて、侵入を完全に防ぐことは難しいという前提に立ち、侵入された後の被害を最小限に抑える設計が重要となる。重要情報の分離、アクセス権限の制限、通信の監視、バックアップの保護、迅速な復旧体制などを組み合わせることで、攻撃が成功した場合でも被害の拡大を抑制できる。

2026年10月の大規模漏えいは、日本企業が従来の境界型防御や個別システム中心の対策から脱却し、組織全体とサプライチェーンを対象とした防御体制へ転換する必要性を示している。

今後の展望と取るべき対策

2026年10月のサイバー攻撃と大規模情報漏えいは、日本企業が従来の情報セキュリティ対策を根本的に見直す必要性を示している。今後は、攻撃を完全に防ぐことだけを目標とするのではなく、侵入を前提として被害の発生を早期に検知し、情報流出や業務停止を最小限に抑える防御体制へ転換することが重要になる。

特に必要なのは、個々のシステムを個別に保護する考え方から、企業全体の情報資産、従業員、取引先、外部サービスを一体的に管理する考え方への移行である。企業の情報システムは相互に接続されているため、一部の対策が不十分であれば、そこから組織全体に被害が広がる危険がある。

具体的な対策として、次の5つが重要となる。

• 情報資産と外部接続経路の全面的な把握

• 多要素認証とアクセス権限の最小化

• 脆弱性の迅速な修正と古いシステムの刷新

• 取引先・委託先を含むサプライチェーン対策

• 侵入検知、初動対応、バックアップ、事業復旧体制の強化

これらを単発の設備投資で終わらせず、定期的な点検、訓練、評価、改善を繰り返すことが必要である。また、セキュリティ対策を情報システム部門だけに任せるのではなく、経営者が予算、人材、組織体制を確保し、全社的な経営課題として取り組むべきである。

経済産業省・政府の動向と「SCS評価制度」の活用

日本政府も、サイバー攻撃の高度化とサプライチェーン全体の脆弱性を踏まえ、企業の対策水準を可視化する制度の整備を進めている。その中心となるのが、経済産業省と独立行政法人情報処理推進機構が進める「サプライチェーン強化に向けたセキュリティ対策評価制度」、通称「SCS評価制度」である。

この制度は、企業が実施しているセキュリティ対策を一定の基準で評価し、取引先や委託元がその水準を確認できるようにすることを目的としている。これまで企業間では、取引先ごとに異なるセキュリティ確認票への回答を求められるなど、対策状況の確認に大きな負担が生じていた。

SCS評価制度では、サプライチェーンにおける重要性や想定される脅威に応じて、対策水準を段階的に示す。これによって、発注企業は取引先に求めるセキュリティ水準を明確にでき、受注企業も自社がどの程度の対策を実施すべきか判断しやすくなる。

制度は★3、★4、★5の3段階で構成される。

★3では、企業による自己評価を基本とし、所定の要件を満たすセキュリティ専門家による確認を受ける仕組みが想定されている。★4では、第三者評価によって、より高い水準の対策が実施されているかを確認する。

2026年11月時点で、★3と★4の登録申請受付は2027年3月の開始が予定されている。★5については要求事項や評価方法の具体化が今後の検討課題となっている。

重要なのは、この制度が法律によって全企業に取得を義務付けるものではなく、企業間の取引においてセキュリティ水準を共有するための任意制度である点だ。ただし、発注企業が取引先に一定の評価水準を求めるようになれば、実際の取引条件や企業選定に影響する可能性がある。

また、制度の導入によって中小企業に過度な負担が生じないようにすることも重要である。大企業と同じ設備や専門人材を中小企業に求めるのではなく、企業規模や取り扱う情報の重要性に応じて、現実的に実施できる対策を段階的に整備する必要がある。

政府の取り組みでは、重要インフラの防御強化も進んでいる。国家サイバー統括室は2026年7月に重要インフラ統一基準を決定し、同年10月1日に施行した。

この基準は、電力、通信、金融、医療、交通など、国民生活と経済活動を支える重要インフラのサイバーセキュリティ対策について、分野横断的な統一基準を設けるものである。従来は分野や事業者によって対策水準にばらつきがあったが、共通の基準を設けることで、国全体としての防御力を高める狙いがある。

さらに、政府は2026年7月に「サイバーセキュリティ2026」や脅威ハンティングの基本方針を決定した。攻撃を受けてから対応するだけでなく、脅威を積極的に探索し、侵入の兆候を早期に発見する方向へ政策を進めている。

今後は、SCS評価制度による企業間の対策水準の可視化と、重要インフラ統一基準による社会基盤の防御強化を組み合わせることが重要になる。制度を策定するだけでなく、企業が実際に対策を実行できるよう、専門人材の育成、資金面の支援、情報共有の仕組みを充実させる必要がある。

ゼロトラスト原則の徹底とアクセス権限の最小化

企業の防御体制を見直すうえで、重要な考え方となるのがゼロトラストである。これは、社内ネットワークに接続しているという理由だけで利用者や端末を信用せず、すべてのアクセス要求について本人や端末の正当性、利用目的、権限を確認する考え方である。

従来の企業ネットワークでは、社内と社外を分け、社内ネットワークに接続できれば一定の信頼を与える境界型防御が中心だった。しかし、クラウドサービスや遠隔勤務が普及した現在、重要な情報が社外のサービスにも保存されるようになり、社内外の境界だけで安全性を確保することは難しくなっている。

ゼロトラストでは、利用者が社内にいるか社外にいるかではなく、誰が、どの端末から、どの情報に、どのような目的でアクセスしようとしているのかを継続的に確認する。

具体的には、多要素認証の導入、端末の安全性確認、通信の暗号化、異常なアクセスの監視、利用者の行動分析などを組み合わせる。通常と異なる場所や時間帯からのログイン、短時間での大量データ取得、不自然な権限変更などを検知し、必要に応じて追加認証や接続遮断を実施する。

特に重要なのが、アクセス権限の最小化である。従業員や外部委託先に対して、業務上必要な情報や機能だけを利用できるようにし、不要な権限を与えないことが基本となる。

例えば、顧客情報を閲覧する必要がない従業員に、顧客データベース全体へのアクセス権限を与えるべきではない。システム管理者の権限についても、日常業務で常時使用する権限と、特別な作業の際に一時的に使用する権限を分離する必要がある。

また、退職者や異動者、契約終了となった外部委託先のアカウントを速やかに停止することも欠かせない。長期間使用されていないアカウントや、複数人で共有されている管理者アカウントは、攻撃者に悪用される危険がある。

ゼロトラストは、特定の製品を導入すれば完成するものではない。認証、権限管理、端末管理、通信監視、組織の運用ルールを一体的に整備する必要があり、導入後も継続的な評価と改善が求められる。

レガシーシステムの迅速な淘汰とIT資産の可視化

日本企業が早急に取り組むべきもう1つの課題は、古い情報システムの整理と刷新である。長期間利用してきたシステムを維持することは、業務の安定性という点では合理的な判断に見えるが、サポートが終了したソフトウェアや更新できない機器を使い続ければ、攻撃に対する脆弱性が蓄積する。

したがって、企業は既存システムを一律に維持するのではなく、重要度と危険度に応じて更新、移行、廃止の判断を行う必要がある。特に、インターネットに接続され、顧客情報や認証情報を扱うシステムについては、優先的に点検しなければならない。

その前提となるのが、IT資産の可視化である。企業が保有するサーバー、端末、ネットワーク機器、ソフトウェア、クラウドサービス、外部接続先などを一覧化し、利用目的、管理責任者、更新状況、保有情報、接続関係を把握する必要がある。

特に、管理対象から漏れている機器やサービスを発見することが重要だ。現場の部門が独自に契約したクラウドサービス、開発時に使用したまま残っている試験用サーバー、長期間利用されていないアカウントなどは、企業の公式な管理体制から外れている場合がある。

また、脆弱性情報を継続的に収集し、影響を受けるシステムを速やかに特定する仕組みも必要である。修正プログラムの適用が難しい場合には、対象機器のネットワーク分離、接続制限、監視強化などの代替策を実施しなければならない。

システム刷新に際しては、単に新しい製品へ置き換えるだけでは不十分である。設計段階から安全性を組み込み、不要な機能やデータを削減し、認証と権限管理を適切に設定する必要がある。

さらに、重要な情報を扱うシステムについては、データのバックアップを通常のネットワークから分離して保管することが重要だ。ランサムウェアによって本体のシステムとバックアップの両方が暗号化されれば、復旧が困難になるためである。

レガシーシステムの刷新は、単なる情報システムの更新ではなく、企業の事業継続性を確保するための経営課題である。費用や移行リスクだけを理由に先送りするのではなく、放置した場合の情報漏えい、業務停止、復旧費用まで含めて判断する必要がある。

今後の展望

2026年10月の急増を踏まえると、今後の日本のサイバーセキュリティ環境は、さらに厳しい状況になる可能性が高い。企業のデジタル化やクラウド利用が進む一方、攻撃者も人工知能、自動化された探索技術、盗まれた認証情報などを組み合わせ、攻撃の効率を高めていくと考えられる。

特に警戒すべきなのは、個別企業への攻撃から、共通のサービスやシステムを利用する複数の組織への連鎖的な攻撃に重点が移ることである。クラウド事業者や業務システム提供会社が侵害された場合、利用企業だけでなく、その顧客や取引先にまで被害が広がる可能性がある。

また、認証情報の漏えいが増加すれば、情報流出が確認された企業以外にも危険が及ぶ。利用者が同じパスワードを複数のサービスで使い回している場合、ある企業から流出した情報が、別の金融サービスや電子商取引サイトへの不正ログインに悪用される可能性がある。

企業にとっては、サイバー攻撃による損害が一時的な復旧費用にとどまらなくなる。顧客の信用を失い、取引先との契約を打ち切られ、事業そのものの継続が困難になるケースも想定される。

今後、セキュリティ対策の水準は企業の競争力や取引上の信用を左右する要素になると考えられる。SCS評価制度などを通じて対策状況の可視化が進めば、一定の安全性を説明できる企業と、十分な対策を示せない企業との間で、取引機会に差が生じる可能性もある。

一方、政府の制度整備や企業の投資が進めば、攻撃の影響を抑制できる余地も大きい。重要インフラの共通基準、企業間の情報共有、脆弱性管理の迅速化、専門人材の育成などを継続すれば、日本全体の防御力を高めることができる。

今後の焦点は、制度を作ることから実際に運用することへ移る。評価制度を取得しても、日々の監視や更新、訓練が不十分であれば、実際の攻撃に対応できないためである。

2027年以降は、SCS評価制度の運用開始とともに、企業間のセキュリティ要求が具体化することが予想される。また、人工知能を利用した攻撃への対応や、重要インフラを狙う高度な攻撃への備えも、政府と企業の双方にとって重要な課題となる。

日本が目指すべき方向は、サイバー攻撃を受けない企業を個別に増やすことだけではない。攻撃を受けても被害を局限し、迅速に復旧し、社会全体のサービスを継続できる強靱な情報社会を構築することである。

まとめ

2026年10月、日本国内で公表されたサイバー攻撃関連事案は233件に達し、個人情報の漏えい件数も約1億8500万件と、過去に例のない規模となった。2026年1月から10月末までの累計漏えい件数も約3億7600万件に達しており、日本のサイバーセキュリティ環境は重大な転換点を迎えている。

今回の急増の背景には、攻撃対象の拡大、クラウドや外部サービスへの依存、レガシーシステムの放置、ＡＰＩの管理不備、サプライチェーンの複雑化、攻撃手法の自動化など、複数の要因が存在する。さらに、専門人材や予算の不足、企業間の対策水準の格差、防御側と攻撃側の非対称性が被害を拡大させている。

特に重要なのは、今回の問題が一部の企業の管理ミスだけでは説明できないことである。日本企業の長期的なシステム運用、外部委託への依存、取引先との関係、経営上の投資判断など、産業構造と企業経営に根差した問題が表面化している。

今後は、政府によるSCS評価制度や重要インフラ統一基準の整備を進めるとともに、企業がゼロトラスト原則を取り入れ、アクセス権限を最小化し、情報資産を可視化する必要がある。古いシステムの刷新、脆弱性への迅速な対応、サプライチェーン全体の防御、人材育成も不可欠である。

サイバーセキュリティは、もはや情報システム部門だけの技術的な問題ではない。企業の信用、経済活動、行政サービス、医療、金融、国家安全保障に直結する社会全体の課題である。

2026年10月の被害急増を一時的な異常値として処理すれば、日本は同じ問題を繰り返すことになる。必要なのは、今回の事態を構造的な警告として受け止め、企業、政府、専門機関、取引先が連携して防御体制を再構築することである。

日本のサイバーセキュリティ対策は、攻撃を受けてから復旧する段階から、侵入を早期に発見し、被害を局限し、社会全体で継続的に防御力を高める段階へ移行しなければならない。

参考・引用リスト

サイバー攻撃・情報漏えいの統計

1. ＭＭ総研「国内サイバー攻撃による情報漏えい動向調査（2026年10月末時点）」2026年11月4日

2. テレビ朝日「10月のサイバー攻撃が233件で過去最多、個人情報流出は1億8500万件」2026年11月9日

3. ＩＴｍｅｄｉａ「サイバー攻撃の漏えい情報件数、10月だけで2025年の約3.7倍に急増」2026年11月4日

政府・経済産業省の政策資料

4. 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（ＳＣＳ評価制度）」2026年

5. 独立行政法人情報処理推進機構「ＳＣＳ評価制度に関するよくある質問」最終更新2026年10月30日

6. 国家サイバー統括室「重要インフラ対策関連」2026年

7. 首相官邸「サイバーセキュリティ戦略本部」2026年7月31日

法令・個人情報保護

8. 個人情報保護委員会「漏えい等報告・本人への通知の義務化について」

9. 個人情報保護委員会「漏えい等の対応とお役立ち資料」

企業のセキュリティ対策・技術資料

10. 経済産業省「サイバーセキュリティ経営ガイドラインＶｅｒ3.0」

11. 独立行政法人情報処理推進機構「ゼロトラスト導入指南書」

12. 米国国立標準技術研究所「ゼロトラスト・アーキテクチャ」2020年

13. 独立行政法人情報処理推進機構「中小企業の情報セキュリティ対策ガイドライン第4.0版」2026年

追記：情報漏えいの本当の深刻さは「件数」よりも「内容」にある

今回の情報漏えいで特に警戒すべきなのは、流出した情報の種類である。ＭＭ総研の2026年11月4日の調査によると、2026年10月末までに公表された事案では、メールアドレスや電話番号などの連絡先情報が延べ約3億6300万件、氏名が延べ約2億8400万件に達している。

さらに深刻なのが、パスワードやログイン識別情報などの認証情報である。これらは延べ約1億6100万件に達し、2025年の約514万件と比較して約31倍に増加した。

認証情報の流出は、単なる個人情報の漏えいとは異なる危険を持つ。利用者が複数のサービスで同じパスワードを使い回している場合、1つのサービスから流出した情報によって、別の電子商取引、金融、メールなどのサービスにも不正ログインされる可能性がある。

また、氏名や連絡先が流出すれば、実在する企業や金融機関を装った詐欺メール、偽の請求、なりすまし電話などに悪用される危険がある。攻撃者が氏名、勤務先、電話番号、利用サービスなどを組み合わせれば、対象者に合わせた精巧な詐欺を実行できる。

したがって、情報漏えいの評価では、総件数だけでなく、どの種類の情報が流出したのか、認証情報が含まれているのか、他の情報と組み合わせて悪用される可能性があるのかを確認する必要がある。

攻撃検知数4億7500万件が示す別の現実

今回の問題を考えるうえで、もう1つ注目すべき統計がある。共同通信が2026年11月5日に報じたサイバーセキュリティクラウドの調査では、国内企業のウェブサイトを中心に検知された不正通信が、10月だけで約4億7500万件に達した。

前年同月比では約2.5倍であり、2026年9月の過去最多記録も更新した。約2万のウェブサイトを対象とする防御サービスで観測された数値であり、国内のサイバー攻撃環境が極めて活発化していることを示す。

ただし、この4億7500万件と、10月の公表事案233件、情報漏えい約1億8500万件は、同じものを数えた統計ではない。不正通信の検知数には、攻撃の試行や同一攻撃から発生する複数の通信などが含まれ、すべてが侵入成功や情報漏えいにつながったわけではない。

この違いは重要である。攻撃の試行が増えていること、実際に被害が発生していること、被害が公表されていることは、それぞれ異なる段階の現象だからだ。

3つの統計を組み合わせると、攻撃活動の活発化、情報漏えい事案の増加、1件当たりの被害規模の大型化という、異なる側面から問題を捉えられる。

Ａ２Ｂ攻撃が示した新たな侵入経路

2026年10月の情報漏えいを分析するうえで、特に重要な技術的発見がある。情報通信研究機構は10月13日、公開されているスマートフォン向けアプリケーションを解析し、その接続先のサーバーを攻撃する手法を特定した。

同機構は、この手法を「Ａ２Ｂ攻撃」と名付けた。攻撃者は一般公開されているアプリケーションを入手して解析し、通信先や接続の仕組みを調べたうえで、背後にあるサーバーの脆弱性を狙う。

従来、企業はアプリケーションの安全性を確保すれば、利用者の情報を一定程度守れると考えがちだった。しかし、アプリケーションとサーバーを接続する仕組みに不備があれば、アプリケーション自体が正常に動作していても、サーバー側から情報が抜き取られる可能性がある。

この問題は、スマートフォン向けアプリケーションに限らない。ウェブサービスや他の端末向けアプリケーションでも同様の危険があり、企業は公開されている接続口だけでなく、サーバー側の認証、権限管理、データベースへのアクセス制御まで点検する必要がある。

特に、会員情報を管理するサーバーで、利用者ごとのアクセス制限が適切に設定されていなければ、1つの不備から大量の情報が流出する危険がある。今回の大規模漏えいは、アプリケーションの見た目や利用者側の安全性だけでは、情報資産を守れないことを示している。

個人が実施すべき二次被害対策

今回の情報漏えいは企業だけの問題ではない。個人も、流出した情報が詐欺や不正ログインに利用される可能性を考慮し、日常的な対策を強化する必要がある。

最も重要なのは、サービスごとに異なるパスワードを使用することだ。同じパスワードを複数のサービスで使い回すと、1つのサービスで情報が流出しただけで、他のサービスまで不正利用される危険が高まる。

また、多要素認証を利用できるサービスでは積極的に設定する必要がある。パスワードに加えて、認証アプリや端末による確認などを組み合わせることで、認証情報が流出した場合の被害を抑えられる。

さらに、実在する企業名や金融機関名を記載したメールであっても、安易にリンクを開いたり、添付ファイルを実行したりしてはならない。個人情報が流出している状況では、氏名や利用サービスを知っている攻撃者が、信頼させるための情報を巧妙に使う可能性がある。

企業から情報漏えいの通知を受けた場合は、対象となった情報の種類を確認し、該当サービスのパスワード変更、不審なログイン履歴の確認、決済情報の利用状況の確認などを行う必要がある。

最終的な評価――2026年は日本のサイバーセキュリティの転換点になる

2026年10月の急増は、単純な攻撃件数の増加では説明できない。攻撃の試行が増加し、侵入経路が多様化し、情報漏えいの規模が拡大し、認証情報まで大量に流出するという複数の問題が同時に発生している。

特に、ＡＰＩの管理不備や公開アプリケーションを手掛かりにした攻撃は、従来の企業ネットワーク中心の防御では十分に対応できないことを示している。さらに、人工知能による攻撃の効率化が進めば、従来は高度な技術を持つ攻撃者に限られていた手法が、より広範な犯罪者に利用される可能性がある。

日本企業に必要なのは、個別のセキュリティ製品を追加するだけの対策ではない。情報資産の可視化、認証の強化、接続先の管理、外部委託先の評価、脆弱性の迅速な修正、事故発生後の復旧体制を一体化した経営管理である。

また、政府が進めるＳＣＳ評価制度についても、単なる認証取得を目的とするのではなく、企業間で実効性のある安全基準を共有するための仕組みとして活用する必要がある。

今回の事態は、日本のデジタル社会が利便性を優先して拡大してきた一方、その基盤となる安全性の整備が十分ではなかったことを示す警告である。2026年をサイバーセキュリティ対策の転換点とし、企業、政府、専門機関、個人がそれぞれの責任を果たすことが、今後の被害拡大を防ぐための不可欠な条件となる。