情報漏洩の事例10選｜原因別の傾向と再発防止のポイントを解説

情報漏洩の発生状況

事例を読み解く前に、いま何がどれくらい起きているかを押さえておきましょう。
件数と原因の内訳がわかると、自社で優先すべき対策も見えてきます。

漏洩人数は前年の約2倍に増えている

東京商工リサーチの調査によると、2025年に上場企業とその子会社が公表した個人情報の漏洩・紛失事故は180件でした。
件数は前年から9件減ったものの、過去2番目の多さです。

一方で、漏洩した個人情報は3,063万6,910人分にのぼり、前年から93.1％増えました。
公表した企業数も158社と過去最多を更新しています。

1件あたりの被害が大型化している点が、近年の大きな変化です。
100万人以上が対象となった事故は、前年の2件から6件へ3倍に増えました。

項目	2025年	前年比
事故件数	180件	4.7％減
公表した社数	158社	4.6％増（過去最多）
漏洩人数	3,063万6,910人分	93.1％増
100万人以上の事故	6件	3倍

出典：東京商工リサーチ「上場企業の『個人情報漏えい・紛失』事故（2025年）」

なお、この数字は上場企業に限ったものです。
個人情報保護委員会の令和7年度年次報告では、民間事業者からの漏洩等報告は1万7,139件に達しています。

原因の6割超は不正アクセス

同じ調査を原因別に見ると、ウイルス感染・不正アクセスが116件で全体の64.4％を占めました。
外部からの攻撃が、漏洩の最大の引き金になっています。

原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4％
誤表示・誤送信	37件	20.5％
紛失・誤廃棄	18件	10.0％
不正持ち出し・盗難	7件	3.8％

ここで注意したいのが、件数の多さと被害規模は一致しないことです。
不正持ち出しは件数こそ7件ですが、1件で数百万人分が流出した例もあります。

媒体別では社内システム・サーバーが140件と77.7％を占めました。
攻撃の的は、社外に公開されたサーバーや業務システムに集中しています。

ランサムウェアと委託先攻撃が4年連続の最大脅威

IPAが公表した「情報セキュリティ10大脅威 2026」でも、同じ傾向が確認できます。
組織向けの1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃でした。
この2つは2023年から4年連続で同じ順位です。

2026年版では、AIの利用をめぐるサイバーリスクが3位に初選出されました。
生成AIへの入力による意図しない情報漏洩も、想定すべきリスクに位置づけられています。
内部不正による情報漏洩等も7位に入り、11年連続の選出となりました。

外部攻撃だけを見ていては、守りの範囲が足りません。
委託先と内部、そして新しく増えたAI利用まで含めて点検する必要があります。

情報漏洩の事例10選

ここからは、実際に公表された情報漏洩の事例を10件紹介します。
発生の多い原因から順に並べ、各事例で「何が起きたか」「なぜ起きたか」「自社への教訓」を整理しました。

組織	公表時期	原因	規模
①アフラック生命保険	2026年6月	不正アクセス	約440万人分
②AOKIホールディングス	2025年1月	子会社サーバーへの不正アクセス	729万87件
③アサヒグループホールディングス	2025年9月	ランサムウェア	約191万人分
④アスクル	2025年10月	委託先アカウント経由のランサムウェア	約74万件
⑤イセトー	2024年5月	委託先へのランサムウェア	約307万人分
⑥NTTビジネスソリューションズ	2023年10月	元派遣社員による持ち出し	約928万件
⑦ヤマト運輸	2025年10月	元従業員による持ち出し	2万6,790件ほか
⑧豊通マシナリー	2025年6月	退職者によるサーバーへの不正アクセス	1,331件
⑨みずほ信託銀行	2025年4月	メールの誤送信	2,718件
⑩呉市立中学校	2025年1月	USBメモリの紛失	約1,600人分

①アフラック生命保険への不正アクセス

アフラック生命保険は2026年6月30日、契約者向けWebサービス「アフラック よりそうネット」への不正アクセスを公表しました。
7月13日の第二報では、対象が約440万人分に修正されています。

漏洩したのは氏名・生年月日・住所・電話番号・証券番号・保障内容などです。
うち約22万人分には、保険料の振替口座情報も含まれていました。
マイナンバーとクレジットカード情報は含まれていません。

不正アクセスは2026年6月10日から発覚までの間に、複数回行われていました。
顧客が日常的に使うWebサービスが、そのまま侵入口になった形です。
外部に公開しているサービスは、攻撃者から最も見つけやすい入口だと考える必要があります。

②AOKIホールディングスの子会社への不正アクセス

AOKIホールディングスは2025年1月、子会社のサーバーが不正アクセスを受けたと発表しました。
漏洩のおそれがあるのは729万87件で、2025年に公表された事故では最大規模です。

対象は複合カフェ「快活CLUB」の会員などの氏名や住所、電話番号でした。
身分証明書の情報とクレジットカード情報は含まれていません。

注目すべきは、親会社ではなく子会社のサーバーが狙われた点です。
グループ企業はセキュリティ水準にばらつきが出やすく、弱い部分から侵入されます。
自社だけでなく、子会社や関連会社まで含めた点検が欠かせません。

③アサヒグループホールディングスのランサムウェア被害

アサヒグループホールディングスでは2025年9月29日、システム障害が発生しました。
調査の結果、ランサムウェアによってファイルが暗号化されていたことが判明します。

受注や出荷のシステムが停止し、国内の主力工場が長期にわたり操業できなくなりました。
手作業での受注対応を余儀なくされ、事業への影響は数か月に及んでいます。
東京商工リサーチの集計では、漏洩のおそれがある個人情報は191万4,000人分でした。

同社は2026年2月に調査結果と再発防止策を公表し、約11万5,000件の漏洩を確認しています。
ランサムウェアの被害は情報の流出にとどまらず、事業そのものを止めます。
復旧までの業務をどう回すかまで、あらかじめ決めておくことが重要です。

関連記事：ランサムウェア事例と感染経路の全貌｜2026年最新の対策と対応フロー

④アスクルのランサムウェア被害

アスクルは2025年10月19日にランサムウェア感染を確認し、受注や出荷を停止しました。
同社が運営する通販サービスに加え、他社の物流業務にも影響が広がっています。

2025年12月に公表された調査結果では、約74万件の個人情報の流出が確認されました。
内訳は事業所向けサービスの顧客情報が約59万件、個人向けが約13万2,000件などです。

侵入経路は、業務委託先用のアカウントでした。
自社の従業員以外に発行したアカウントが、攻撃の足がかりになっています。
委託先や外部パートナー向けのアカウントも、自社と同じ基準で管理する必要があります。

関連記事：サプライチェーン攻撃の対策とは？最新事例と自社・取引先で取り組むべきガイドライン

⑤イセトーへのランサムウェア攻撃

印刷・情報処理を手がけるイセトーは、2024年5月にランサムウェア攻撃を受けました。
同社は全国の自治体や企業から業務を受託しており、預かっていたデータが流出します。

最終的な漏洩人数は307万6,477人分で、うち56万6,561人分は行政機関からの委託分でした。
豊田市や徳島県など、委託元の自治体が個別に公表する事態となっています。

調査で判明した原因は、基幹ネットワークの管理者パスワードが7年間変更されていなかったことでした。
多要素認証も導入されていませんでした。
委託先のずさんな管理は、委託元の説明責任として跳ね返ってきます。

⑥NTTビジネスソリューションズの内部不正

NTTビジネスソリューションズでは2023年、業務にあたっていた元派遣社員が顧客情報を持ち出しました。
件数は約928万件にのぼり、国内でも最大級の内部不正事案です。

この元派遣社員は、顧客データを保管するサーバーの管理業務を担当していました。
個人情報のファイルをダウンロードし、私物のUSBメモリで持ち出していたことがわかっています。
持ち出しは長期間にわたって続き、発覚は警察の捜査がきっかけでした。

権限を持つ担当者の操作は、誰も疑わないまま見過ごされがちです。
管理者の作業ログを記録し、定期的に確認する仕組みが求められます。

⑦ヤマト運輸の元従業員による持ち出し

ヤマト運輸は2025年10月14日、元従業員が取引先の情報を不正に持ち出していたと公表しました。
発覚は取引先からの通報で、同社が自ら検知したものではありません。

持ち出されたのは顧客コードや会社名、住所、請求金額などが2万6,790件でした。
ほかに請求書の宛名に含まれる氏名750件と、従業員の氏名324件も対象となっています。
流出先の2社のうち1社が、営業活動に情報を使用していたことも確認されました。

内部不正は、取引先や第三者からの指摘で初めて表面化することが少なくありません。
社内で異常に気づける仕組みがないと、被害の把握そのものが遅れます。

⑧豊通マシナリーの退職者による不正アクセス

豊通マシナリーは2025年6月30日、退職した元社員による情報の持ち出しを公表しました。
元社員は2025年3月31日に退職した後も、4月以降に社内のファイルサーバーへ複数回アクセスしています。

データは個人所有のパソコンにダウンロードされ、退職当日には資料の印刷持ち出しもありました。
流出したのは取引先担当者の氏名や電話番号、住所、資格情報など1,331件です。

退職者のアカウントが、退職後も有効なまま残っていた点が問題の核心です。
退職や異動のたびにアカウントを止める運用が機能していないと、同じことが起こります。
同社は再発防止策として、管理者権限の見直しと退職予定者の権限制限を挙げています。

⑨みずほ信託銀行のメール誤送信

みずほ信託銀行では2025年4月16日、社員が顧客情報を含むファイルをメールで送信しました。
社内の別の社員に送るつもりが、外部委託先の社員2名を宛先に含めてしまいます。

対象となったのは個人顧客2,472名と法人顧客246社の情報です。
氏名や法人名、行内管理番号、取引部店が含まれていました。
住所と口座番号は含まれていません。

同社は当日中に誤送信に気づき、委託先にメールと添付ファイルの削除を確認しています。
被害は最小限に抑えられましたが、宛先の確認だけに頼る運用の危うさが表れた事例です。

⑩呉市立中学校のUSBメモリ紛失

2025年1月、広島県呉市の中学校教諭が個人情報を保存したUSBメモリを紛失しました。
対象は生徒とその保護者、約1,600人分です。

USBメモリには氏名や連絡先、成績情報が保存されていました。
業務のデータを自宅へ持ち帰る際の管理不足が原因とされています。

この構図は、企業でもそのまま当てはまります。
持ち出しの承認手続きや暗号化のルールがなければ、紛失は情報漏洩に直結します。
記録媒体を使わせない設定や、端末側での制御が有効な対策になります。

ここまでの10件を踏まえ、次は共通する原因を整理します。

事例に共通する情報漏洩の原因

10件の事例を並べると、業種や規模が違っても同じ弱点が繰り返し現れます。
ここでは、共通して見られた3つの原因を整理します。

外部に公開した資産の管理が追いついていない

アフラックやAOKIホールディングスのように、外部から接続できるサーバーやWebサービスが狙われています。
攻撃者は公開されている機器を機械的に探し、弱い箇所から侵入します。

問題は、自社にどれだけ公開資産があるかを把握できていないケースが多いことです。
過去に構築したまま使われていないサーバーや、担当者が退職して管理者不在になった機器が残っていないでしょうか。
把握していない資産は、更新も監視もされないまま放置されます。

退職者や委託先のアクセス権限が残っている

豊通マシナリーは退職者のアカウントから、アスクルは委託先用のアカウントから被害が広がりました。
いずれも正規のアカウントが使われており、攻撃としては検知しにくいものです。

権限の付与は依頼があれば行われますが、削除は依頼が来ないまま忘れられがちです。
人事の異動情報とアカウント管理が連動していないと、この抜けは必ず生じます。
棚卸しを定期的に行い、使われていないアカウントを止める運用が必要です。

持ち出しと送信を人の注意だけに任せている

みずほ信託銀行の誤送信も、呉市立中学校のUSBメモリ紛失も、担当者の不注意が引き金でした。
ただし、注意喚起だけで人的ミスをなくすことはできません。

誤送信を減らすなら、送信前の確認や添付ファイルの自動暗号化といった仕組みが要ります。
持ち出しを防ぐなら、記録媒体の使用制限やクラウド経由の受け渡しへの切り替えが有効です。
ミスが起きても情報が漏れない構造にすることが、教育よりも確実です。

情報漏洩が企業に与える4つの損害

情報漏洩の影響は、流出した情報そのものにとどまりません。
事例を見ると、事業と経営の広い範囲に損害が及んでいます。

損害	内容
事業の停止	受注や出荷、生産が止まり売上を失う。アサヒグループHDやアスクルでは数か月規模で影響が続いた
金銭的な負担	調査費用やシステム復旧費、問い合わせ窓口の設置、対象者への通知や賠償が発生する
信用の失墜	取引の見直しや失注につながる。上場企業では株価や採用活動にも影響が及ぶ
法的・行政上の対応	個人情報保護委員会への報告と本人通知が義務となり、内容によっては行政指導を受ける

特に見落とされやすいのが、対応にかかる人的コストです。
問い合わせ対応や関係先への説明に追われ、通常業務が数か月止まることもあります。
専任の担当者が少ない企業ほど、この負担は重くのしかかります。

事例から導く情報漏洩の再発防止策5つ

ここまでの事例を踏まえ、優先して着手したい対策を5つにまとめました。
いずれも高額な製品を入れる前に取り組める内容です。

①外部公開資産と管理者アカウントを棚卸しする

まず、インターネットから接続できるサーバーや機器、サービスを洗い出します。
どこに何があり、誰が管理しているかを台帳にまとめましょう。

あわせて、管理者権限を持つアカウントも一覧化します。
使われていないアカウントや共有アカウントが見つかれば、そこが最初の穴です。

関連記事：情報資産管理台帳とは？記載項目一覧と作成3ステップ【Excel例・ISMS対応】

②退職と異動に連動してアカウントを停止する

豊通マシナリーの事例が示すとおり、退職後に残ったアカウントは重大なリスクです。
人事部門から情報システム部門へ、退職と異動の情報が確実に流れる導線を作ります。

退職日にアカウントを停止し、貸与端末と記録媒体を回収するまでを手順化しましょう。
委託先の担当者交代時も、同じ扱いにすることが必要です。

③重要データへのアクセスログを記録して確認する

NTTビジネスソリューションズやヤマト運輸の事例は、いずれも発覚が遅れました。
誰がいつ何にアクセスしたかが残っていなければ、異常には気づけません。

顧客情報を保管するサーバーは、ダウンロードや大量閲覧の記録を残しましょう。
取得するだけでなく、定期的に見る担当と頻度まで決めることが肝心です。

④誤送信と持ち出しを技術的に止める

人的ミスは注意では防ぎきれないため、仕組みで抑えます。
メールは送信前の宛先確認や送信保留の機能を使い、添付ファイルは暗号化します。

端末側ではUSBメモリなど記録媒体の使用を制限しましょう。
データの受け渡しは、権限を管理できるクラウドストレージに寄せるのが確実です。

⑤委託先のセキュリティ水準を契約時に確認する

イセトーやアスクルの事例では、委託先が起点となって被害が広がりました。
委託元にも、委託先を監督する責任があります。

契約時にはアクセス権限の管理方法やインシデント発生時の報告体制を確認します。
データを預けたままにせず、不要になった時点で削除させるところまで決めておきましょう。

関連記事：情報漏洩を防ぐには？企業が取り組むべき対策と発生時の初動フローを解説

情報漏洩が発生したときの対応手順4ステップ

対策を尽くしても、漏洩の可能性をゼロにはできません。
発生時にどう動くかを事前に決めておけば、被害の拡大を抑えられます。

STEP	やること	目安
STEP1	被害拡大の防止。該当端末やサーバーをネットワークから切り離し、証拠となるログを保全する	発覚直後
STEP2	個人情報保護委員会への速報。判明している範囲で報告する	おおむね3〜5日以内
STEP3	本人への通知と公表。二次被害を防ぐため注意点もあわせて伝える	速やかに
STEP4	確報の提出と再発防止策の実施。原因の特定結果までまとめる	30日以内（不正アクセス等は60日以内）

報告の期限は法律で定められており、判断に迷う時間はありません。
誰が指揮を執り、誰が公表文を作るかまで決めておきましょう。

関連記事：個人情報漏洩の対応マニュアル！発覚時の初動から報告義務まで解説

アサヒグループホールディングスやアスクルは、調査結果と再発防止策を詳しく公表しました。
説明を尽くす姿勢が、信頼の回復につながります。

情報漏洩対策を強化するなら「IT顧問 情シス君」

事例から見えた対策は、どれも継続的な運用があって初めて機能します。
人手や専門知識が足りない場合は、外部の支援を活用するのも有効な選択肢です。

「IT顧問 情シス君」が選ばれている理由は、次の3つです。

1. 技術と運用の両面から対策を進められる
2. アカウント管理や端末管理まで任せられる
3. 情シス業務全般をカバーできる

技術と運用の両面から対策を進められる

「IT顧問 情シス君」は、株式会社デジタルハックが提供するIT支援サービスです。
自社の環境と体制に合わせて、必要な対策を組み合わせて実施します。

具体的には、次のような対策に対応します。

対策	内容
不正アクセス防止	公開サーバーやネットワーク機器を点検し、外部からの侵入を防ぐ
アクセス権限の管理	アカウントを棚卸しし、退職や異動に合わせて権限を見直す
セキュリティルールの策定	情報の持ち出しや委託先管理のルールを整備し、人的リスクを抑える
IT資産の把握と管理	社内のハードとソフトを台帳化し、更新漏れのない状態を保つ

専門の担当者が社内にいなくても、必要な対策を実務レベルで進められます。

アカウント管理や端末管理まで任せられる

情報漏洩の多くは、日々の運用の抜けから生まれます。
入退社に伴うアカウントの発行と停止、貸与端末の管理は、その代表です。

情シス君はこうした定常業務を引き受け、抜けが起きない運用に整えます。
手順を文書として残すため、担当者が変わっても対応力を保てます。

情シス業務全般をカバーできる

情シス君はセキュリティだけでなく、情報システム業務全般に対応します。
ヘルプデスクやIT資産管理、SaaS管理、ネットワーク運用まで幅広く任せられます。

業務を横断して支援するため、環境全体を見渡した対策が可能です。
これまでの支援実績は250社以上にのぼります。

情報漏洩の事例に関するよくある質問

最後に、情報漏洩の事例を調べる際によく挙がる疑問に回答します。
社内での説明や検討にお役立てください。

Q1. 中小企業でも情報漏洩は起きますか？

起きます。
報道されるのは大企業の事例が中心ですが、公表義務のない規模でも漏洩は日常的に発生しています。

むしろ対策が手薄な企業ほど、侵入の足がかりとして狙われやすい傾向があります。
取引先を経由した攻撃では、規模の小さい企業が入口にされます。

Q2. 情報漏洩で最も多い原因は何ですか？

ウイルス感染と不正アクセスです。
東京商工リサーチの2025年の調査では、全体の64.4％を占めました。

次に多いのが誤表示・誤送信で20.5％、紛失・誤廃棄が10.0％と続きます。
不正持ち出し・盗難は3.8％ですが、1件あたりの被害規模は大きくなります。

Q3. 情報漏洩が起きたら必ず報告が必要ですか？

要配慮個人情報が含まれる場合など、一定の条件に当てはまれば報告義務が生じます。
財産的被害のおそれがある場合や、不正な目的による漏洩も対象です。

報告先は個人情報保護委員会で、速報はおおむね3〜5日以内が目安です。
確報は30日以内、不正アクセスなど故意によるものは60日以内とされています。

Q4. 生成AIの利用で情報漏洩は起きますか？

起こり得ます。
IPAの「情報セキュリティ10大脅威 2026」でも、AIの利用をめぐるサイバーリスクが3位に初選出されました。

過去には、社員が機密コードを生成AIに入力し、利用を制限した企業もあります。
入力してよい情報の範囲と利用してよいサービスを、社内ルールとして定めておきましょう。

Q5. 委託先で漏洩が起きた場合の責任はどうなりますか？

委託元にも、委託先を監督する責任があります。
イセトーの事例では、委託元となった自治体や企業が個別に公表と対応を行いました。

契約書で報告体制やデータの取り扱いを明確にしておくことが前提です。
預けたデータが不要になった時点で削除される運用まで、確認しておきましょう。

まとめ｜事例を自社のチェックリストに変えよう

2025年の情報漏洩は件数こそ横ばいですが、1件あたりの被害は大型化しています。
原因の6割超は不正アクセスで、委託先や退職者を起点とする事例も目立ちました。
業種や規模を問わず、同じ弱点が繰り返し突かれています。

事例を読んだあとは、次の3点から自社を点検してみてください。

1. 外部に公開しているサーバーとアカウントをすべて把握できているか
2. 退職者と委託先の権限が残っていないか
3. 漏洩が起きたときの報告と公表の手順が決まっているか

他社の失敗を自社のチェックリストに置き換えることが、事例を読む最大の価値です。

点検の結果、自社だけで手が回らない部分が見つかることもあります。
その場合は、外部の支援を組み合わせて進めるのが現実的です。