情報漏洩が相次ぐ2026年、4つの手口と中小企業の対策

情報漏洩や不正アクセスのニュースが相次ぎ、「自社も狙われるのでは」と不安になっている方も多いのではないでしょうか。

公表された事例を見ると、被害の入口は一つではありません。アプリや会員サイトの仕組み、メールアカウント、委託先、VPN機器など、普段の業務で使っているところから問題が起きています。

事件を一つずつ追いかけるより、手口ごとに自社との共通点を確かめたほうが、次にすることが見えやすくなります。

なぜ情報漏洩や不正アクセスが相次いでいるの？

官房長官は2026年10月26日の会見で、事業者を狙ったサイバー攻撃による大規模な情報漏洩が相次ぎ、対策が急務だと述べました。

同日の関係閣僚会議では、中小企業・小規模事業者向けの「サイバーセキュリティお助け隊」や相談窓口を拡充するよう、総理から指示が出ています。政府も、中小企業を含む幅広い事業者の問題として対応を進めています。

IPAの「情報セキュリティ10大脅威 2026」では、組織にとっての脅威の1位がランサム攻撃、2位がサプライチェーンや委託先を狙った攻撃でした。システムの弱点を悪用する攻撃も4位に挙げられています。

もう一つの特徴は、被害を受けた会社が直接狙われたとは限らないことです。ホームページの制作サービス、問い合わせ管理のサービス、時計修理の委託先など、仕事を任せている相手から影響が広がった事例もあります。

手口1：アプリや会員サイトの仕組みは狙われていない？

2026年10月には、物語コーポレーションが焼肉きんぐのアプリで10,788,963件、ビーケー・ジャパンがバーガーキングのアプリで約1,118万件、ローソンがローソンIDで2,155,345件などの情報漏洩を公表しました。

JPCERT/CCは、攻撃者がアプリを調べ、アプリとサーバーが情報をやり取りする窓口を特定して悪用したとみられる、と分析しています。この窓口が「API」と呼ばれる仕組みです。

自社でアプリを提供していなくても、会員ページ、予約サイト、顧客専用ページなどがあれば、同じような情報の受け渡しが行われていることがあります。

自社だけで技術的な安全性を判断するのは難しいと思います。制作会社や開発会社に、利用者の確認をサーバー側でも行っているか、短時間に繰り返されるアクセスを制限・監視しているかを確かめてもらう必要があります。

同時に、使い終わった顧客情報を残し続けていないかも確認したいところです。個人情報保護委員会は、不要になった個人データを遅滞なく消すよう、改めて注意を呼びかけています。

手口2：メールアカウントに見覚えのない動きはない？

日本経済新聞社は、社員のMicrosoft 365のアカウントに不正にログインされ、なりすましメール約9,000件が送られたと公表しました。

日経BPでは、社員を装った偽のメールによって従業員のログイン情報が盗まれ、メールアカウントに不正アクセスされました。八十二長野銀行も、不審なメールをきっかけとするメールアカウントへの不正アクセスを公表しています。

この手口では、ホームページそのものに異常がなくても、取引先や顧客に自社を名乗るメールが送られることがあります。

メールサービスの管理画面で、見覚えのないログインや作った覚えのないアカウントがないか確かめてみてください。退職者や以前の委託先が使っていたアカウントが残っている場合は、現在も必要か見直します。

パスワードだけでなく、スマートフォンなどでも本人確認を行う仕組みが「多要素認証」です。IPAと内閣官房 国家サイバー統括室は、多要素認証の導入や、利用者に与えている権限の見直しを対策として示しています。

手口3：委託先や利用中のサービスから漏れることもある？

自社の管理に問題がなくても、利用している外部サービスから情報が漏れる場合があります。

Webサイト制作サービスのStudioでは不正アクセスがあり、フォームを使っていた企業や自治体が相次いで影響を公表しました。大和証券も、問い合わせ管理に使っていた外部のWebサービスが不正アクセスを受け、約11万名分の情報が漏れた可能性があると公表しています。

ホームページの問い合わせフォームは、入力された情報が自社のメールに届くだけとは限りません。制作サービスや管理サービスの中にも保存されていることがあります。

どの会社にホームページを任せ、どのサービスでフォームや顧客情報を管理しているか、契約時のメールや請求書から確かめてみてください。保存される情報の種類や、不要になった情報が残っていないかも確認の対象です。

委託先で問題が起きた場合の確認項目は、Web制作サービスや委託先から問い合わせフォームの情報が漏れたらでも整理しています。

手口4：ランサムウェアは中小企業にも関係ある？

警察庁によると、2026年上半期に報告されたランサムウェア被害は123件で、半期として過去最多でした。このうち79件が中小企業です。

侵入経路が分かった36件では、VPN機器が18件、リモートデスクトップが9件でした。社外から社内のシステムへ接続するための仕組みが、侵入の入口になっています。

京王電鉄グループでは、サーバーがランサムウェアの攻撃を受け、一部の営業システムに支障が出ました。ドン・キホーテなどでは、時計修理の委託先がランサムウェアの被害を受けています。

ここでも、自社のパソコンだけを見ていればよいわけではありません。利用中のクラウドサービスやVPN、社外から接続する仕組みを洗い出し、管理画面のログイン履歴やアカウントを確かめる必要があります。

IPAは、外部につながっているシステムの直近の記録に異常がないか、未適用の更新がないかを速やかに確認するよう呼びかけています。内閣官房 国家サイバー統括室も、OSやホームページ管理システムを更新し、サポートが終わった製品や使っていない機能を残さないよう示しています。

ホームページについて何を見ればよいか迷ったら、サイトが安全か確かめる方法も参考にしてください。

どこに相談すればいいか分からないときは

すでに見覚えのないログインやアカウントがある、不審なメールが送られている、情報が漏れた可能性があるという場合は、IPAの「不正アクセス特別相談窓口」に相談できます。

電話番号は03-6759-5760、受付は平日の9時30分から17時30分までで、12時から13時は除かれます。

被害が起きているかは分からないものの、どのホームページや外部サービスを使っているのか整理できていない、以前の制作会社との契約が終わっていて更新状況を確認できない、ということもあると思います。

ホームページや外部サービスの洗い出し、更新状況の確認であれば当社でも対応しています。確認だけでもかまいませんので、お気軽にご相談ください。

まとめ

2026年に相次いだ情報漏洩や不正アクセスでは、アプリや会員サイトの仕組み、メールアカウント、委託先、VPN機器など、異なる入口が使われていました。

まずは、自社が利用しているホームページ、メール、クラウドサービス、VPNを一度書き出してみてください。そのうえで、未適用の更新や見覚えのないログイン、不要なアカウントがないかを確かめるところから始められます。