【2026年10月】情報漏えいニュースまとめ｜不正アクセス急増の背景と、企業が今取るべきメールセキュリティ対策

日本経済新聞の集計によると、2026年9月1日から10月6日までの約1カ月間に、10万人以上の個人情報漏えいが明らかになった事案は世界で延べ3億2,000万人分にのぼりました。

このうち日本は延べ5,700万人分で、世界で判明した10万人以上の漏えい35件のうち20件を日本の事例が占めています。

また、ITmedia エンタープライズの集計では、9月16日から10月5日までの約3週間に情報漏えい（そのおそれを含む）を公表した国内の企業・組織は21に上り、対象件数は単純合計で延べ約4,370万件に達しました。

特に目立つのが、アプリやECサイトなどのWebシステムを狙った攻撃です。マクニカの集計では、国内企業を対象とした2026年7〜9月のWebシステムへの攻撃は68件で、同年1〜3月の5.7倍、4〜6月の2.6倍に増加しています。

出典：日本経済新聞「不正アクセスが世界で急増、9月以降に情報漏洩3億人　攻撃にAIの影」（2026年10月8日）
ITmedia エンタープライズ「タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか」（2026年10月7日）
マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」（2026年10月7日）

最近の主な情報漏えいニュース

2026年9月中旬以降に公表された国内の主な事案は次のとおりです。

件数や内容は各社の公表時点の情報であり、調査の進展によって変わる可能性があります。

海外の主な事案

海外でも、米ID管理会社IDスキャンからの1億5,300万人分の運転免許証画像などの流出や、ピザチェーンを展開するドードーブランドへの6,800万件の窃取声明などが報じられています。

韓国でも9月末以降、主要銀行を含む金融機関へのサイバー攻撃が相次いでいます。

不正アクセスによる情報漏えいは、一般に「侵入口を探す → 侵入する → 権限を得て情報を探す → 情報を持ち出す → 販売・悪用する」という流れで進みます。各社の公表内容を見ると、侵入経路は一様ではありません。

なお、クラウドアカウントへの不正ログインでは、フィッシングメールで偽のログインページに誘導し、ID・パスワードを盗み取る手口が一般的に知られています。
メールは、情報を盗む入口にも、盗んだ情報を悪用する手段にもなり得るのです。

最近の攻撃には、従来とは異なる特徴が見られます。

AIはWeb上の調査を得意とするためWebシステムへの攻撃に悪用されやすい一方、防御側がAIでリアルタイムに攻撃を遮断するのは難しいと指摘されています。

また、情報漏えいを公表した多くの企業が、漏えいした氏名やメールアドレスを使ったなりすましメールやSMS、電話への警戒を利用者に呼びかけています。情報漏えいは「漏れたら終わり」ではなく、その情報を使った次の攻撃の始まりでもあるのです。

あわせて読みたい：最新の偽メールは「人事評価」「給与改定」を装う時代へ｜巧妙化するフィッシング攻撃から組織を守るために必要な対策とは

こうした状況を踏まえ、企業には次のような多層的な対策が求められます。

• 脆弱性の管理
  Webシステムやアプリ、利用ソフトウェアの脆弱性を継続的に確認し、速やかに修正します。

• 設定の点検
  CMSやAPI、クラウドサービスの設定を定期的に見直し、不要な管理者権限や公開設定がないかを確認します。

• 不要なデータを持たない
  退会者の情報や本人確認書類など、保管期間を過ぎた情報は削除します。退会後も長期間データが残っていたことは、タイムズカーの事案でも課題として指摘されています。

• 委託先の管理
  委託先のセキュリティ対策状況を契約時だけでなく定期的に確認します。

• アカウントの保護
  クラウドサービスには多要素認証を設定し、不審なログインを監視します。

• 検知と初動の体制づくり
  早期検知と、遮断・報告・利用者への注意喚起を迅速に行える体制を整えます。

情報漏えいの増加は、メールを使った攻撃の増加にも直結します。
漏えいした氏名やメールアドレス、取引内容などを使えば、受信者にとって本物らしいなりすましメールを作りやすくなるためです。

フィッシング対策協議会によると、2026年7月に寄せられたフィッシングの報告件数は66,119件で、実在するサービスのドメイン名を差出人に使った「なりすまし」メールの割合も前月から増加しました。

さらに、同協議会の「フィッシングレポート2026」では、DMARCを通過する独自ドメインを使ったフィッシングの急増が指摘されています。
送信ドメイン認証で差出人を確認するだけでは、防ぎきれないケースが増えているといえます。

メールセキュリティでは、次の対策を組み合わせることが重要です。

なかでもURLへの対策は急務です。
AIで自然な日本語の文面が簡単に作れる今、文面からなりすましを見抜くのは困難になっており、システムで危険なURLを自動的に検知・ブロックする仕組みが重要です。

出典：フィッシング対策協議会「2026/07 フィッシング報告状況」
フィッシング対策協議会「フィッシングレポート2026」

クオリティアの「Active! zone SS」は、Microsoft 365やGoogle Workspaceと連携できるクラウド型の標的型メール攻撃対策サービスです。

添付ファイルのマクロ除去や画像化、添付ファイルの分離、HTMLメールのテキスト化といった無害化機能に加え、サンドボックスとの組み合わせによって、メールを入口とする攻撃への対策を強化します。

新機能「ブラックURL検知機能」

Active! zone SSには、2026年11月上旬をめどに、メール本文に含まれるURLの安全性を判定する「ブラックURL検知機能」が実装される予定です。

フィッシングサイトなどの危険なURLを自動で検知し、ポリシーに応じてマスクすることで、受信者が誤ってアクセスするリスクを低減します。

この機能は、欧州を中心にグローバルで脅威対策サービスを提供するHornetsecurity社のフィッシングサイト検知技術「IsItPhishing Threat Detection」と、日本国内で初めて連携して実現したものです。

AIを活用した多角的な分析により、従来のブラックリストでは検知が難しかった新規作成のサイトや未知のフィッシングサイトの検出精度向上を図っています。

※「国内初」とは、2026年9月時点の当社調査に基づくもので、日本国内で提供される法人向けメールセキュリティサービスのうち、Hornetsecurity株式会社の「IsItPhishing Threat Detection」と連携したフィッシングサイト検知機能を実装したサービスとして初めて提供されることを指します。

ブラックURL検知機能の主な特長は次のとおりです。

• 危険なURLを自動検知
  本文に複数のURLがある場合もチェックし、1つでも危険なURLがあれば検知します。

• リダイレクト先まで確認
  リンク先だけでなく、リダイレクト先のURLも判定対象とし、危険なサイトへの誘導を検知します。

• 柔軟な対処
  URLのマスキング（リンク無効化）や件名・本文への注意喚起メッセージの追加など、運用方針に合わせて対処できます。

• ファイル＋URLの二重対策
  サンドボックスによる危険なファイルの検知と組み合わせ、両面から脅威に対応します（サンドボックスプランで利用可能）。

受信者は特別な操作をする必要がなく、普段どおりメールを確認するだけで、リンク先の安全性を一つひとつ判断する負担も軽減されます。

「従業員によるURLの安全性判断に頼りたくない」「メールのリンクの誤クリックを防ぎたい」「添付ファイルだけでなくURL経由の脅威にも対策したい」とお考えの企業・組織の方は、ぜひ導入をご検討ください。

2026年9月以降、不正アクセスによる情報漏えいのニュースが国内外で相次いでいます。最近の攻撃は、さまざまな経路から個人情報を窃取し、その情報を使ってなりすましメールを送るという特徴があり、AIの悪用によって今後さらに巧妙化していくと考えられます。

企業には、脆弱性管理や不要なデータの削除といった「漏らさない」対策に加え、漏えいした情報を悪用した攻撃から従業員や取引先を守るメールセキュリティ対策が欠かせません。

人の注意力だけに頼らず、危険なURLやファイルをシステムで自動的に検知・無害化する仕組みを整え、情報漏えい時代のメール攻撃に備えましょう。

Active! zone SSについてはこちら 資料請求はこちら お問い合わせはこちら