国内のサイト・アプリからの個人情報の流出 2024〜2026年

対象: 2024年1月1日〜2026年10月13日に初報が出た事案

件数: 2026年7月から急に増えた

当社は、国内の企業や自治体が公表した不正アクセスの事案のうち、サイトやアプリを入口にして個人情報が漏れたもの(そのおそれを含む)を、公式発表の原文で数えています。

年別の件数2026年は10月13日まで

2024年 60件 2025年 73件 2026年(10月13日まで) 83件

2026年は、10月13日の時点で、すでに前年の件数を超えています。増え方は一様ではなく、7月を境に変わりました。1〜6月の平均は月3.7件、7月から10月13日までは61件で、月に約18件です。

2026年の月別の件数10月は13日まで(斜線)

国内の別の集計でも、7月以降に多いという傾向は同じです。10月7日から13日にかけて、個人情報保護委員会、JPCERT/CC、国家サイバー統括室、総務省、NICT が、相次いで注意を呼びかけました。

原因: 製品の弱点から、サイトごとの作りの不備へ

216件のうち、公式発表が原因を書いていたのは136件です。

原因の内訳原因が書かれていた136件。分類は当社

製品やCMSの弱点 71件サイトごとの作りの不備 45件盗まれたID・パスワードの悪用 13件委託先・その他 7件

全体では、製品やCMSの弱点が半分を占めます。公開された修正を当てていない部品が、そのまま入口になる形です。

ただ、年ごとに見ると、中身が変わってきています。

原因が分かった事案の内訳: 2024年と2026年2025年は原因を書いていない発表が多く(73件中41件)、比べていません

2024年(原因が分かった50件)

製品やCMSの弱点 32件作りの不備 14件

2026年(原因が分かった54件)

製品やCMSの弱点 21件作りの不備 25件

2026年は、作りの不備が製品の弱点を上回りました。他人の番号に書き換えるだけで他人の情報が見えてしまう、ログインしなくてもページが開ける、といった、そのサイトだけの問題です。部品を最新に保つだけでは防げず、実際にそのサイトを試してみないと見つかりません。

NICT は10月13日、公開されているスマホアプリを解析し、その裏で動くサーバーを狙う手口(A2B攻撃)を、相次ぐ流出の原因の一つに挙げました。個人情報保護委員会が10月7日に改訂した事例集にも、管理の対象から漏れていたアプリの裏側の窓口が原因で、他の利用者の情報を取得できる状態になっていた事例が載っています。

入られた場所: 管理画面と分析ツールが目立ち始めた

入口の内訳216件。分類は当社

サイト 150件予約・会員の仕組み 25件管理画面 17件アプリ 7件データ分析ツール 6件その他・不明 11件

入口の7割はサイトです。ECサイト、公式サイト、問い合わせフォームが多くを占めます。

変化が大きいのは、管理画面です。2024年と2025年は3件ずつでしたが、2026年は11件になりました。全期間の17件を原因で分けると、アクセスの制限の不備が6件、盗まれたIDや推測されやすいパスワードの悪用が4件、製品の弱点が2件、原因の記載なしが4件などです。ログインなしで開けた画面や、管理用の通り道が絞られていなかった事案もあります。

データ分析のツール(BI)を入口にした事案も、2026年に5件出ています。JPCERT/CC は10月8日、こうしたツールの脆弱性が狙われていると注意を呼びかけました。

当社の考え

管理画面や分析ツールは、社内の人が使うための仕組みです。お客さま向けのページに比べて、診断の対象から外れやすい場所だと当社は考えています。

何が漏れたか: 3件に1件はカード情報

漏れた(おそれのある)情報の種類216件のうち、その情報を含む件数。1件に複数が含まれる

メールアドレス 144件氏名 143件電話番号 121件住所 107件クレジットカード情報 72件パスワード 53件

216件のうち72件で、クレジットカードの情報が含まれていました。そのうち52件がECサイトです。原因が書かれたものでは、製品やCMSの弱点が44件と大半を占めます。購入の画面が書き換えられ、入力されたカード番号が抜き取られたことに触れた発表も、26件ありました。

外から見えていた: 2026年秋の4件

2026年9月1日から10月13日に公表された70件を、公式発表の文言と照らし合わせました。そのうち4件は、公式発表が「外から見える状態だった」と書いています。

予約サイトの管理画面の情報が、外から見られる状態だった。一般には公開していないURLだったが、ブラウザの開発者ツールを使えば取得できた。お客さまからの問い合わせで発覚した。
ログインしなくても、ファイルを見られる状態だった。外部の研究者が見つけて報告した。
ログインしなくても、予約完了のページを表示できた。
通信会社が、自社の脆弱性診断で見つけた。支払い証明書を第三者に見られるおそれがあったが、6月20日に修正済みで、見られたことは確認されていない。

最後の1件だけが、攻撃を受ける前に、自社の診断で見つかっています。

一方、70件のうち33件(47%)は、原因を公表していません。手口をあえて伏せる発表もあります。

この分析から、当社が考えること

当社の考え

原因が分かった事案の多くは、製品の弱点か、サイトごとの作りの不備でした。どちらも、外からサイトを実際に試せば見つけられる種類の弱点だと、当社は考えています。

ただ、2026年に増えた作りの不備は、部品の更新では防げません。そして、管理画面や分析ツールのように、外に出しているつもりのない場所ほど、診断の対象から外れます。サイトは手を入れるたびに変わるので、年に1〜2回の診断では、その間に生まれた弱点を確かめられません。

当社が、外から毎日試す診断を作っているのは、この分析からです。

もう一つ、当社が重視していることがあります。攻撃者が誰でも手に入れられる最新のAIは、知られた脆弱性を突くプログラムを、自分で作れる段階に来ています。Anthropic の試験では、中国の Z.ai が公開した GLM-5.3 が、410回中50回成功しました(2026年9月29日)。国内の事案で、AIが使われたという公式発表はまだありません。それでも、攻撃者が手に入れられるのと同じ種類のAIで先に試しておけば、そのAIで見つかる弱点を、攻撃者より先に知ることができると当社は考えています。

調べ方と限界

数え方

国内の法人・自治体が運営するサイト、アプリ、外部に公開した管理画面などを入口にして、個人情報が不正に取得された(そのおそれを含む)と、公式に発表された事案を数えています。
初報の日付で数えます。同じ事案の続報は1件にまとめます。委託先の事案は、影響した組織が複数あっても1件にします。
ランサムウェア(社内ネットワークへの侵入と暗号化)、メールなどで人をだます攻撃、他から漏れたID・パスワードによるなりすましだけの事案、内部不正、メールの誤送信は、含めていません。
公式発表を読めず、報道だけで知った事案は含めていません。

原因と入口の分類

原因と入口は、公式発表の文言をもとに、当社が分類しました。
原因を書いていない発表は「不明」としました。原因が分かった事案だけの割合は、発表の書き方に左右されます。2025年は原因を書いていない発表が多く(73件中41件)、年ごとの比較に使うときは注意が要ります。

見落とし

専門のニュースサイトを手がかりに探したため、自治体・大学・中小企業が自社のサイトだけで告知した事案は、漏れている可能性があります。実際の数は、これより多いと考えています。
見出しだけで対象外と判断した事案があります。読み直した範囲では、判断が変わったのは約1〜2%でした。
最近の月ほど見つけやすく、古い月ほど漏れやすいため、7月以降の増加の一部は、探しやすさの差かもしれません。
公式発表で、攻撃者がAIを使ったと書いたものはありませんでした。

出所

当社の調査(各社・各機関の公式発表の原文)、NICT/LETTICE「【注意喚起】相次ぐ情報漏洩、その原因の一つは『アプリ解析からのサーバ攻撃』」(2026-10-13)、個人情報保護委員会の注意喚起と事例集(2026-10-07)、JPCERT/CC AT-2026-0030(2026-10-08)、Anthropic「GLM-5.3 and the spread of advanced cyber capabilities」(2026-09-29)、国家サイバー統括室(2026-10-09)、総務省(2026-10-09、10-13)

TOPPA AI は、攻撃者も手に入れられる最新のAIで、この記事で取り上げた種類の弱点を、サイトやアプリの外から毎日試す診断です。TOPPA AI のサービス