相次ぐ情報漏えい事案と政府からの号令を整理　AI脅威に対抗するゼロトラストセキュリティのシン常識

2026年秋、何が起こったか　公表数のべ30事案

　2026年秋、国内で大量の個人情報の漏えい、またはそのおそれの公表が相次ぎました。本記事で取り上げる対象は、2026年8月から10月14日までに当事者が公表した、件数が10万以上の攻撃に起因する事案です。当方が確認できた範囲で30事案。報じられやすい大きな事案に偏った集め方なので、国内全体の傾向としては読まないでください。社名は伏せます。件数は単位（件・名・アカウント）がそろわないので、合算しません。

　規模は、1000万件を超える事案が3つ、数百万件規模が複数で、多くは数十万件規模です。被害を受けた仕組みは、会員管理システム、アプリと連携するサーバー、予約システム、管理サイト、業務管理ツール、BI・分析ツール、従業員向けシステム、情報配信サービスと幅広い。

　JPCERT/CCも、BIツールや従業員向けの管理システムなど、不特定多数からのアクセスを想定していないシステムも被害を受けている、と注意を促しています。顧客が使う表玄関だけでなく、社内の人だけが使うつもりの通用口も、外から届けば狙われる状態です。

　手口まで公表されたのは、17事案です。脆弱性の悪用が8、機能・仕組みの悪用や不備（脆弱性とは書かれていないもの）が4、管理サイトへの不正ログインが2、マルウェアなど不正なプログラムが2、複数の経路の併記が1。残る13事案は、委託先や外部サービスへの侵害とだけ公表したものが2、調査中が4、侵入の経路や手法を公表していないものが4、経路の記載がないものが3です。区分は公表文の表現にもとづく当方の分類で、数字は10月14日時点です（図1）。

　13事案は手口が分からず、母数も偏っています。当方が10月14日時点で確認した範囲では、続報を出した事案でも、手口を新たに書き足したものは見当たりません。そのため、「脆弱性が最大の原因」とまでは言えませんが、手口が公表された17事案に限れば、脆弱性、機能・仕組みの不備、管理サイトへの不正ログイン、複数の経路を合わせた15が、外から届くシステムの弱点を突かれたか、管理画面に入り込まれた形です。脆弱性の8事案のうち、VPN機器を突かれたと明記したのは1事案だけでした。一方、30事案とは母集団の違うランサムウェアの統計では、VPN機器が目立ちます。警察庁の令和8年上半期の統計では、感染経路の有効回答36件のうち18件、令和3〜7年の累計では485件のうち293件がVPN機器でした。

　もう一つが、委託元から見て供給側が侵害された型で、30事案のうち7事案確認できています（SaaSの提供事業者が自ら公表したものも、委託元から見た分類として含めています）。自社のシステムには一度も入られていないのに、データは外に出ていってしまいます。委託元の台帳の外で起こる情報漏えいです。

　Zscaler ThreatLabzの調査では、2025年10月から2026年3月までに、同社の顧客520環境（24業種）でインターネット側に置いたおとりが、約8990万件の悪意ある接触を受けました。狙われたアプリの上位10種を3つに分けると、VPNやゲートウェイなどのリモートアクセス基盤を狙った攻撃元IPアドレスは24％です。また、同社が2026年上半期に評価した数百の組織（正確な数は示されていない）では、3分の1を超える組織の公開インフラに、悪用が確認されている既知の脆弱性が残っていました。いずれも同社の顧客や評価対象の値で、日本企業の代表値ではありません。

　また、CrowdStrikeの2026年版グローバル脅威レポートによれば、侵入後の横展開の速さを示すブレイクアウトタイムは、2025年の金銭目的の犯罪者（eクライム）で平均29分まで縮み、同社は前年から65％速くなったとし、AIが攻撃を加速させている文脈で示しています。一方、気づくまでは長いままです。Mandiantの調査をまとめたM-Trends 2026では、侵入に気づくまでの日数（滞留時間）の中央値が14日でした。

　なお、今回の17事案の手口は、脆弱性、機能・仕組みの悪用や不備、不正ログイン、不正なプログラムという従来からの区分に収まります。公表文は、攻撃者がAIを使ったかどうかまでは書いていません。AIが入口を新しく生んでいると言える規模の統計も、当方が確認した範囲では見当たりません（個別の事例報告はあります）。

　情報通信研究機構（NICT）は10月13日、公開アプリを解析してAPIの接続先を割り出し、サーバー側を突く手法を「A2B攻撃」と名付けました。アプリに脆弱性がなくても、サーバー側の認証・認可の不備で漏えいに至りうる、としています。ただし「原因の一つ」だとし、個別の事案との対応は示していません。国家サイバー統括室も、脆弱性情報の公表から短期間で悪用が始まる場合がある、としています。変わりつつあるのは、入口の型の広がりと、脆弱性の公表から悪用までの短さだと当方は見ています。

　いつ入られてもおかしくない──ここが、2026年秋の出発点です。