情報流出・不正アクセス事件の原因2026。公表資料で確認できる国内事例から読む5つの型と、型ごとの対策

大きな情報流出の報道が続くと、「うちも狙われるのか」「何から手を付ければいいのか」という不安が先に立ちます。ただ、報道の見出しだけを追っても、自社で何をすべきかは見えてきません。必要なのは、どこから入られ、なぜ広がり、何が足りなかったのかという原因の部分です。

本記事では、企業・行政が自ら公表した資料（お知らせ、調査報告、再発防止策）で原因まで確認できる国内事例だけを集め、原因を5つの型に分けました。件数や人数は公表文で確認できたものだけを載せ、公表文に書かれていない侵入経路は推測で埋めていません。そのうえで、警察庁の統計とあわせて、型ごとに会社が打てる対策を整理します。生成AIをめぐる漏洩事例は『生成AIの情報漏洩事例2026』で別にまとめています。

この記事の要点

• 公表資料で原因まで確認できる事例を並べると、原因は①認証情報（IDとパスワード）の窃取、②VPN・ネットワーク機器の弱点、③委託先経由、④クラウドの設定ミス、⑤内部不正、の5つの型にほぼ収まります
• 警察庁によると、2025年（令和7年）のランサムウェア被害の報告件数は226件で、被害組織へのアンケートでは侵入経路の6割以上がVPN機器でした。被害企業の約6割は中小企業です
• アスクルの調査では、例外的に多要素認証を適用していなかった業務委託先向けの管理者アカウントが不正利用されていました。「全部に多要素認証」の「例外」が入口になった例です
• 岡山県精神科医療センターでは、保守用VPN装置の脆弱性の放置と推測可能なID・パスワード、全端末で同じ管理者パスワードが原因と推定されています。「閉域網だから安全」という過信が背景にありました
• 5つの型のうち、①と②は「外から見える入口」の問題で、定期的な脆弱性診断と認証の見直しで見つけられます。侵入された後に原因を特定できるかどうかは、ログを残していたかどうかで決まります

情報流出・不正アクセスの原因、5つの型

最初に分類を示します。事例を原因の型で分けると、自社のどこに同じ弱点があるかを点検しやすくなります。

原因の型	何が起きるか	本記事の事例	会社が主に打てる手
① 認証情報の窃取	フィッシングやマルウェアでIDとパスワードが盗まれ、正規の利用者として入られる	KADOKAWA（2024年）、日本経済新聞社（2025年・2026年）、アスクル（2025年）	多要素認証の例外をなくす、私物端末からの業務アクセスの制限、ログイン監視
② VPN・ネットワーク機器の弱点	インターネットに面した機器の脆弱性や弱いパスワードを突かれる	岡山県精神科医療センター（2024年）、アサヒグループ（2025年）	外部公開機器の棚卸しと更新、脆弱性診断、管理者パスワードの個別化
③ 委託先経由	委託先のシステムや、委託先に渡したアカウントが入口になる	イセトー（2024年）、アスクル（2025年）	委託先の点検、委託先アカウントの管理、データの削除期限の確認
④ クラウドの設定ミス	公開範囲の設定を誤り、外部から見える状態が続く	トヨタ自動車（2023年）	設定の監査、継続的なチェック、ルールの周知
⑤ 内部不正	権限を持つ内部の人が情報を持ち出す	NTT西日本グループ（2013〜2023年、2023年公表）	権限の最小化、共用アカウントの廃止、外部記録媒体の制限、ログ点検

実際の事件では、1つの型だけで終わることはほとんどありません。たとえば「委託先のアカウント（③）の認証情報が盗まれ（①）、内部で管理者権限を取られて広がる」というように、型が連鎖します。以下では、主な原因として公表されている型に事例を置いています。

まず統計で見る：侵入経路の6割以上はVPN機器

個別の事例に入る前に、全体の傾向を押さえておきます。

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年のランサムウェア被害の報告件数は226件でした。組織の規模別では前年と同じく中小企業が約6割を占め、業種別では製造業が約4割です。被害組織へのアンケートでは、侵入経路はVPN機器が6割以上を占めています。

同資料は、攻撃者が「未修正のぜい弱性、漏えいした認証情報や簡易なパスワード、設定不備等を悪用して組織のネットワークへ侵入する」と説明しています。侵入後は管理者権限の奪取やセキュリティ製品の無効化を試み、データを盗み出してから暗号化し、バックアップも一緒に暗号化される場合が多いとしています。

復旧の負担も重くなっています。同じアンケートでは、調査・復旧に総額1,000万円以上を要した組織が全体の5割を超え、1か月未満で復旧できた組織は5割強にとどまりました。

IPAの「情報セキュリティ10大脅威 2026」（組織編）でも、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、4位が「システムの脆弱性を悪用した攻撃」、7位が「内部不正による情報漏えい等」です。本記事の5つの型は、この上位の脅威とほぼ重なります。

① 認証情報の窃取：正規の利用者として入られる

KADOKAWA（2024年6月発生、8月5日に調査結果を公表）

KADOKAWAグループは2024年6月にランサムウェア攻撃を受けました。同社が2024年8月5日に公表した調査結果では、外部への漏洩が確認された個人情報は254,241人分です。

原因について同社は、侵入の経路や方法は不明としつつ、「フィッシングなどの攻撃により従業員のアカウント情報が窃取されてしまったことが本件の根本原因であると推測」しています。盗まれたのは技術的な脆弱性ではなく、社員のアカウントでした。

日本経済新聞社（2025年9月把握、11月4日公表）

日本経済新聞社は、業務用チャットのSlackに不正ログインがあり、社員や取引先など17,368人分の氏名、メールアドレス、チャット履歴が流出した可能性があると公表しました。原因は、社員の個人保有のパソコンがウイルスに感染し、Slackの認証情報が流出したことと説明されています。

会社が管理していない私物の端末から、会社のクラウドサービスの認証情報が漏れるという経路です。会社の端末をどれだけ守っていても、私物端末からの業務ログインを許していれば、そこが入口になります。

同社は2026年10月にも、システム開発に使うクラウドサービスにアクセスするための認証情報が「何らかの手段で窃取」され、10月16日時点で約183万件（うち氏名・メールアドレスなどを含む個人情報は約15万件、残りは単体では個人を特定できない識別子）が漏洩した事案を公表しています。認証情報の窃取は、一度対策しても繰り返し狙われる型だと言えます。

型①で会社が打てる手

• 多要素認証に「例外」を作らない。後述のアスクルの事例のように、例外として残したアカウントが入口になります
• 私物端末から業務のクラウドサービスに入れるかどうかを決め、許す場合は端末の条件を付ける
• 普段と違う場所・時間・端末からのログインを検知できるよう、ログを取って見る仕組みを作る
• 退職者・異動者・委託先のアカウントを定期的に棚卸しする

② VPN・ネットワーク機器の弱点：外に面した入口を突かれる

岡山県精神科医療センター（2024年5月発生、2025年2月に調査報告書を公表）

2024年5月、岡山県精神科医療センターがランサムウェア攻撃を受け、電子カルテを含むシステムが止まりました。センターが設置した第三者調査委員会の報告書について、岡山県が医療関係団体に通知した概要では、原因は次のように推定されています。

• ネットワークへの侵入原因：保守用SSL-VPN装置の脆弱性の放置、推測可能なID・パスワードの使用など
• 内部での広がり（水平展開）の原因：全コンピューターの管理者ID・パスワードが同一だったこと、一般ユーザーに管理者権限を付与していたことによるウイルス対策ソフトの停止など

その背景として、厚生労働省ガイドラインの理解不足、過去のサイバー攻撃事例の軽視、そして閉域網への過信が招いたセキュリティ意識の欠如が挙げられています。「外とつながっていないから安全」と考えていたネットワークにも、保守用のVPNという入口がありました。再発防止策には、VPN装置の脆弱性修正の即時適用、パスワードの複雑化と使い回し禁止、管理者権限の限定的な付与、システムベンダーとの契約内容の見直しが並んでいます。

アサヒグループホールディングス（2025年9月発生、11月27日に調査結果を公表）

アサヒグループは2025年9月29日にシステム障害を起こし、製品の受注・出荷が止まりました。同社の2025年11月27日の公表によると、攻撃者はグループ拠点のネットワーク機器を経由してデータセンターのネットワークに侵入し、複数のサーバーと一部のPCでランサムウェアを実行しました。

漏洩した、または漏洩した可能性がある個人情報は、お客様相談室への問い合わせ情報152.5万件、祝電・弔電の送付先11.4万件、従業員（退職者を含む）10.7万件、従業員の家族16.8万件で、合計約191万件です（クレジットカード情報は含まれず、インターネット上での公開は確認されていないとしています）。

2026年2月18日の再発防止策の公表では、侵入はシステム障害の約10日前で、主要なデータセンターではパスワードの弱点を突かれて管理者権限を取られたと説明されています。対策として、リモートアクセスVPN機器の全面廃止、全システムのパスワード変更、侵入テスト（ペネトレーションテスト）の実施などを挙げています。

型②で会社が打てる手

• インターネットに面した機器（VPN装置、ルーター、ファイアウォール、リモートデスクトップ）を棚卸しし、更新が止まっているものを洗い出す
• 保守業者用の接続口を含めて、外から入れる経路をすべて把握する。保守用VPNは見落とされやすい入口です
• 管理者パスワードを機器・端末ごとに分け、初期値や推測しやすい値を残さない
• 外から見た弱点を定期的に洗い出す（脆弱性診断）。種類と選び方は『脆弱性診断とは』で解説しています

③ 委託先経由：自社の外にある入口

イセトー（2024年5月発生、10月4日に調査結果を公表）

株式会社イセトーは、自治体や金融機関などから印刷や情報処理の業務を受託している会社です。2024年5月26日、同社の情報処理センターと全国の営業拠点の端末・サーバーがランサムウェアで暗号化され、攻撃者のリークサイトに窃取したとされる情報のダウンロード先が掲載されました。

同社の2024年10月4日の報告では、攻撃者はVPNからの不正アクセスにより同社ネットワークに侵入したとされています。漏洩した情報には、一部の取引先の顧客の個人情報が含まれていました。

この事案で注目したいのは、技術的な入口だけでなく、データの扱いについての反省が報告に書かれている点です。同社は、作業効率のために本来は扱うべきでないサーバーにデータを一時保存していたこと、業務終了後に速やかに削除すべきデータを削除していなかったことを挙げ、保存期間を含むデータ取扱いルールの明確化と確実な削除、VPNを使わない環境への移行を再発防止策にしています。委託元から見れば、「渡したデータが委託先で残り続けていた」ことが被害を広げた形です。

アスクル（2025年10月発生、12月12日に調査結果を公表）

アスクルは2025年10月19日にランサムウェア攻撃を検知し、物流システムが止まって受注・出荷が全面停止しました。同社の第13報（2025年12月12日）では、流出が確認された情報は、事業所向けサービスのお客様情報約59万件、個人向けサービスのお客様情報約13万2,000件、取引先の情報約1万5,000件、役員・社員等の情報約2,700件です。

原因分析では、例外的に多要素認証を適用していなかった業務委託先に付与していた管理者アカウントのIDとパスワードが何らかの方法で漏洩し、不正利用されたことが確認されています。侵入時点のログは委託先が管理するノートPCのOS更新の過程で消えており、原因の完全な究明は困難としています。侵入後、攻撃者はEDRなどのセキュリティソフトを無効化してサーバー間を移動し、ランサムウェアの展開と同時にバックアップファイルも削除しました。

同社は、侵害が起きたデータセンターではサーバーにEDRが未導入で24時間監視も行われていなかったこと、ランサムウェアを想定したバックアップ環境がなかったことも原因として挙げています。再発防止策は、自社と委託先のすべてのリモートアクセスへの多要素認証の徹底、管理者権限の厳格な運用、24時間365日の監視体制などです。

型③で会社が打てる手

• 委託先に渡しているアカウント、特に管理者権限のアカウントを一覧にし、多要素認証の例外がないか確認する
• 委託先に渡したデータの保存場所と削除期限を契約と運用の両方で確認する
• 委託先の選定・更新時に、セキュリティ対策の状況を確認する（取引先からのセキュリティチェックシートは、この確認の一つです）

④ クラウドの設定ミス：攻撃されなくても見えている

トヨタ自動車（2023年5月12日公表）

トヨタ自動車は2023年5月、データの管理を委託している子会社のクラウド環境の設定に誤りがあり、コネクティッドサービスを契約した約215万人分の車載端末ID、車台番号、車両の位置情報と時刻が、外部から閲覧できる状態になっていたと公表しました。外部から閲覧できた期間は2013年11月6日から2023年4月17日まで、約10年に及びます。

同社は、これらの情報だけではお客様を特定できないこと、二次利用などの被害は確認されていないことを説明したうえで、主な原因を「データ取扱いのルール説明・徹底が不十分だったこと」としています。対策は、クラウド設定を監査する仕組みの導入、設定状況の継続的な監視、従業員教育の強化です。

この型の怖さは、攻撃者が何もしなくても、設定を誤った瞬間から情報が見える状態になり、それに誰も気付かないまま時間が経つことです。

型④で会社が打てる手

• クラウドのストレージやデータベースの公開設定を、作成時だけでなく定期的に点検する
• 設定を自動でチェックする仕組みを入れ、人の確認だけに頼らない
• 誰がどのクラウド環境を作っているかを把握する（部門ごとに作られた環境が点検から漏れやすい）

⑤ 内部不正：権限を持つ人が持ち出す

NTT西日本グループ（2013年〜2023年、2023年10月公表）

NTT西日本グループの2024年2月29日の資料によると、NTTビジネスソリューションズに派遣されていたコールセンターシステムの運用保守従事者が、システム管理者アカウントを悪用し、業務端末などからサーバーにアクセスして、NTTマーケティングアクトProCXのクライアント69社の顧客情報928万件を約10年にわたって不正に持ち出し、第三者に流出させていました。

2022年4月にはクライアントから流出の可能性について調査依頼を受けていましたが、当時の社内調査は不適切で、流出はないと報告していました。発覚の契機は2023年7月の警察の捜査です。

同グループが総点検で抽出した課題には、外部記録媒体（USBメモリなど）の接続制限の不備、保守アカウントの共用による「誰が操作したか特定できない」システムの点在、不正を検知するためのログ点検の不備が並びます。運用責任者の約2割が「内部不正は起こり得ない」と考えていたというアンケート結果も示されています。

型⑤で会社が打てる手

• 管理者権限を必要な人に絞り、共用アカウントをやめて個人を特定できるようにする
• USBメモリなどの外部記録媒体の接続を制限し、例外は記録を残す
• 大量のデータ取り出しなど、普段と違う操作をログで検知し、定期的に点検する

5つの事例に共通する3つの教訓

型は違っても、公表資料を読み比べると、共通する点が3つあります。

1. 「例外」と「死角」から入られる

アスクルの多要素認証の例外、岡山県精神科医療センターの保守用VPN、日本経済新聞社の私物パソコン。いずれも、全体としては対策をしていた組織で、対策の網から外れていた一点が入口になっています。点検は「対策しているか」ではなく、「対策から外れているものはないか」を探す作業です。

2. 侵入後に広がるのは、権限とパスワードの管理が甘いとき

岡山県精神科医療センターの同一の管理者パスワード、アサヒグループのパスワードの弱点、アスクルのEDRの無効化。入口を1か所破られても、内部で管理者権限を簡単に取られなければ被害は限定できます。

3. ログがなければ原因は特定できない

アスクルは侵入時点のログが失われていたため、原因の完全な究明は困難としています。NTT西日本グループも、ログ点検の不備を課題に挙げました。警察庁も、ネットワーク機器や端末のログは調査の重要な手がかりになるとして、日頃からログを取得しておくことを勧めています。侵入された後に何が起きたかを説明できるかどうかは、侵入される前に決まっています。

自社でできる最初の点検

事例から逆算した、最初に確認したい項目です。

確認すること	対応する型	確認の方法
インターネットに面したサーバー・VPN装置・管理画面の一覧があるか	②	外部からの脆弱性診断、資産の棚卸し
VPN装置・OS・ミドルウェアの更新が止まっていないか	②	脆弱性診断、ベンダーの公表情報の確認
多要素認証が使えないアカウント（例外）はないか	①③	アカウントの棚卸し
委託先・保守業者に渡しているアカウントと権限を把握しているか	③⑤	アカウントの棚卸し、契約の確認
管理者パスワードが機器ごとに分かれているか	②	設定の点検
クラウドの公開設定を定期的に確認しているか	④	設定の自動チェック
ログを取得し、一定期間保管しているか	共通	ログの取得設定と保管期間の確認
暗号化されないバックアップ（オフラインなど）があるか	共通	バックアップの構成確認、復元テスト

外部に面した入口の弱点は、定期的な脆弱性診断で見つけられます。診断の結果は報告書で受け取り、何から直すかを決めます。報告書の読み方は『脆弱性診断の報告書には何が書かれるか』、AIを使った診断がどこまでできるかは『AIで脆弱性診断はどこまでできるか』で解説しています。

すでに「様子がおかしい」と感じている場合は、点検より先に初動対応です。『ハッキング・不正アクセスが疑われるときの最初の24時間』を参照してください。

よくある質問

情報流出の原因で最も多いのは何ですか？

ランサムウェア被害については、警察庁の2025年（令和7年）の統計で、被害組織へのアンケートによる侵入経路の6割以上がVPN機器でした。攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定不備などを悪用して侵入すると警察庁は説明しています。

中小企業も狙われますか？

狙われます。警察庁によると、2025年のランサムウェア被害の報告226件のうち、中小企業が約6割を占めています。攻撃者は侵入できる「隙」のある組織を探して攻撃するため、会社の規模や知名度は関係ありません。

閉域網（インターネットにつながっていないネットワーク）なら安全ですか？

安全とは限りません。岡山県精神科医療センターの事案では、保守用SSL-VPN装置の脆弱性の放置と推測可能なID・パスワードが侵入原因と推定され、閉域網への過信が背景にあったと指摘されています。保守用の接続口など、外とつながる経路が1つでもあれば入口になります。

委託先から情報が漏れた場合、委託元にも責任がありますか？

個人データの取扱いを委託している場合、委託元には委託先を監督する義務があり、漏えい等の報告も原則として委託元と委託先の双方が行います。イセトーの事案では、委託先が業務終了後に削除すべきデータを削除していなかったことが報告されています。委託先に渡すデータと、その削除期限の確認が重要です。

情報流出を防ぐために、まず何から始めればよいですか？

外から入れる経路（VPN装置、リモートデスクトップ、公開サーバー、管理画面、委託先用のアカウント）をすべて洗い出し、更新と多要素認証の例外がないかを確認することから始めます。あわせて、ログが取れているかを確認しておくと、万一のときに原因を特定できます。

---

この記事に関連するサービス

TodoONada株式会社では、AIを活用したセキュリティ対策サービスを提供しています。外から見える入口の弱点を洗い出す診断と、侵入が疑われるときの調査・対策の両方に対応します。

• AIサーバー脆弱性診断 — 公開サーバー・Webアプリ・クラウド設定を診断し、AIで結果を整理したうえで技術者が確認。調査報告書・経営層向けレポート・診断実施証明書を発行します
• 不正アクセス・ハッキング調査と対策支援 — 侵害の有無・侵入経路・影響範囲の調査から、封じ込め・復旧・再発防止まで。ログはローカルLLMで社外に出さずに解析できます

ご相談はお問い合わせからお気軽にどうぞ。「何から点検すればよいか分からない」という段階のご相談も歓迎です。