日本脆弱性総合ポータル

国内の複数の企業・団体：2026年10月末時点のサイバー攻撃による情報漏えい動向

重要度
約3億7600万件
公表日
2026.11.04
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 2026年10月末までに公表された情報漏えいは約3億7600万件に達した。
  2. APIの不備が1つあるだけでデータベース全体が狙われうることが件数増の一因とみられる。
  3. 企業は多要素認証の徹底と、APIや会員データの守りを固める必要がある。

国内の組織が公表したサイバー攻撃による情報漏えい事案の動向を、MM総研が2022年1月から2026年10月31日まで集計した。2026年の漏えい情報件数は約3億7600万件で、2025年1年間の約7.6倍に達した。パスワードなどの認証情報も延べ約1億6100万件と、2025年の約31倍に増えた。

確認された経路・公表元の推定

  1. 2026年10月上旬、JPCERTコーディネーションセンターが、スマートフォンアプリの解析で見つけたAPIを悪用して会員データを取得する手口について注意喚起した。
  2. NICTは、公開アプリを解析してサーバーを攻撃する手口が、相次ぐ漏えいの原因の一つだとした。
  3. MM総研は、APIの不備1つでデータベース全体に不正アクセスされうることが、件数の大型化につながっているとみている。

根拠の要点

MM総研が公表した集計（2026年10月末時点）。件数は、記事や開示資料で示された漏えい（可能性を含む）の件数・人数・アカウント数の最大値で、同一人物の重複を含む。個別事案の侵入口は示されていない。

資料の基準時点：2026年10月31日時点

当時、対策できたのか

判定保留

資料は個別の事案を取り上げておらず、攻撃時点の対策の欠落や発覚時の未発見について評価していない。

公表された対策

  • 脆弱性へのパッチの迅速な適用を、大企業だけでなく取引先の中堅・中小企業まで広げる。
  • 多要素認証を徹底する。
  • 会員サービスの裏側にあるAPIのアクセス制御を行い、不要になった会員データを削除する。
  • パスワードが漏えいした場合は、利用者に速やかな変更を促す。
  • 個人情報保護委員会は、APIの悪用を典型的な漏えい事例に加え、安全管理措置のガイドラインを2027年4月に向けて見直す方針を示した。

この事例を理解するための動画

まだ分からないこと

  • 個別の事案・組織の侵入口や攻撃の経路は資料にない。
  • 2026年10月の件数について、小見出しの「約9億件」「約8億件」と本文の約1億8500万件が食い違う。本文の数値を採った。
  • 公表の遅れや続報により、10月の事案数・件数は今後変わる可能性がある。
  • AIがどの攻撃に使われたかは資料で確認できない。資料は攻撃の量が増えた可能性を述べるにとどまる。

関連する事例

同じ原因分類の事例

事例の一覧に戻る