まず、原因別の件数です。

※ このほか「紛失・置き忘れ」「誤公開・設定ミス」など少数の分類が計8件あります。

これを大きく3つにまとめると、輪郭がはっきりします。

実際の事案を見ると、どれも「よくある光景」であることがわかります。

高度な攻撃技術はどこにも出てきません。宛先を間違える、置き忘れる、公開設定を確認しない。それだけで個人情報は漏れます。

ここまでの話だけを読むと、「攻撃対策より社員教育のほうが大事だ」という結論に行き着きそうになります。ところが、同じ630件を「何人分の情報が漏れたか」で数え直すと、風景が一変します。

漏えい人数が判明している517件について、原因別に合計した結果です。

この差がどこから来るのかは、1件あたりの規模を見ると一目瞭然です。極端な事案に引っ張られないよう、中央値（真ん中の順位の値）で比べます。

メールの誤送信で漏れるのは、たいてい宛先リストに入っていた数十人から数百人です。一方、サーバーに侵入されれば、そこに保管されている顧客データベースまるごとが持ち出されます。1件あたりの規模が、およそ100倍違う。これが逆転の正体です。

実際、規模の大きい事案の顔ぶれは攻撃に偏っています。

なお、この「規模ランキング」を読むときには、もうひとつ落とし穴があります。件数が大きくても、中身が同じとは限らないという問題です。

次に「どんな組織で起きているか」です。ここにも予想外の偏りがありました。

地方自治体だけで4割を超えています。ただしこれは「自治体がいちばん危ない」という意味ではありません。自治体には住民の個人情報を扱う立場として公表の責任が強く求められ、小規模な事案でも議会や記者発表を通じて表に出やすいという事情があります。民間企業の小さな誤送信は、そもそも報道されないことが多い。この差が数字を押し上げています。

むしろ注目すべきは、自治体と民間で「原因の構成がまったく違う」ことです。

この違いは、両者の置かれた環境の違いをそのまま映していると考えられます。自治体の情報システムは、総務省が示した対策方針にもとづき、マイナンバー利用事務系・LGWAN接続系・インターネット接続系を分離する、いわゆる「三層の対策」がとられてきました。住民情報を扱う領域が、インターネットから切り離されているぶん、残るリスクが「人が紙とメールと媒体を扱う場面」に集中する——この構造が数字に表れている可能性があります。

逆に言えば、民間企業がランサムウェアの主戦場になっているということでもあります。ランサムウェアによる漏えい29件のうち21件が民間企業でした。攻撃者は身代金を払える相手を選んでいます。

ランサムウェアがどのように企業のネットワークへ侵入し、内部へ広がっていくのかについては、境界機器が狙われる理由とは？ESXiランサムウェア攻撃の全体像を解説で攻撃の流れを追っています。

630件のうち123件（19.5%）は、委託先や取引先など第三者が関わる事案でした。自社の中でどれだけ気をつけていても、業務を任せた先で起きれば、責任を問われるのは委託した側です。

実際の事案を見ると、委託の形はさまざまです。

特に見落とされやすいのが、クラウドサービスの設定です。今回の集計でも、本人確認書類の画像を保存していたクラウドの設定不備で100万人以上の情報が閲覧可能になっていた事案がありました。この事案では、問題の状態が2020年から2026年まで6年以上続いていたとされています。設定は一度確認して終わりではありません。

漏れている情報の種類

630件で漏れた情報の種類を集計しました（1件で複数該当あり）。

氏名・メールアドレス・住所・電話番号という「基本4点」が大半です。単体では被害につながりにくく見えますが、複数の漏えい事案の情報が組み合わされると、本人を特定して狙い撃ちにする材料になります。この仕組みについては個人情報はなぜ売られる？住所・電話・顔写真の流出と身元特定の仕組みで詳しく解説しています。

クレジットカード情報が29件、銀行口座情報が26件という数字も見逃せません。身に覚えのない請求に気づいたときの動き方は、身に覚えのない請求が来た！クレジットカード・QR決済・サブスク不正利用を初心者向けに完全解説にまとめてあります。

公表されるまでの時間

発生日がわかっている事案について、発生から公表までの日数を原因別に集計しました。ここでも中央値を使います（後述のとおり、平均値では実態が見えなくなるためです）。

もっとも早く公表されるのはランサムウェアです。理由は明快で、業務が止まるため隠しようがないから。逆にもっとも遅いのが不正アクセスで、中央値で4倍の時間がかかっています。静かに侵入されたものは、そもそも気づくまでに時間がかかり、気づいてからも調査に時間を要します。

さらに極端な例もあります。今回の集計には、2013年に紛失した帳票が2025年に本部保管への移行作業で判明した事案や、2005年に発生したとされる漏えいが2025年に公表された事案が含まれていました。10年以上気づかれないまま経過した事案が現実に存在します。

630件の内訳から導かれる対策を、実際の事案の多い順に並べます。

1. メールの宛先確認を「仕組み」にする（誤操作284件のうち最多パターン）

誤送信は、注意力では防げません。実際に起きているのは、複数の宛先をBCCではなくTOやCCに入れてしまう、添付ファイルを取り違える、リストの作成段階で対象を間違える、というパターンです。個人情報を含む一斉送信は、送信前に第三者が確認する運用にする、あるいは一斉配信システムを使って手作業のメールから切り離すのが確実です。

2. 公開設定を「定期的に」見直す

申込フォーム、共有フォルダ、クラウドストレージ。作ったときは正しくても、後から権限を足した瞬間に穴が空きます。第4章で触れたクラウド設定不備の事案は6年以上気づかれませんでした。年に一度でよいので、公開範囲の棚卸しをする日を決めてください。

3. 持ち出す媒体を減らす（紛失161件への唯一の対策）

USBメモリ、紙の書類、ノートPC。持ち出さなければ紛失しません。どうしても必要な場合は暗号化を必須にします。今回の集計でも、PCを電車内に置き忘れた事案で「データは暗号化されていた」と明記されているものがありました。暗号化してあれば、紛失は事故で済みます。

4. 委託先の棚卸しをする（19.5%への対策）

どの業者に、どのデータを、どんな形で渡しているか。契約書だけでなく、実際のデータの流れを一覧にしてください。第4章のとおり、委託先での事故は委託元の責任として扱われます。

5. 攻撃対策を削らない（人数の72.7%への対策）

件数が少ないからといって、攻撃対策の優先度を下げてはいけません。一度起きたときに失う量が2桁違います。インターネットに面したサーバーや機器の更新、社外からアクセスできる仕組みの見直し、バックアップの確保。ここは技術で守るしかない領域です。

「7割がヒューマンエラー」という数字は、正しく読めば「教育と手順の整備で減らせる事故が大半を占めている」という希望のある話です。しかし同時に、残り2割の攻撃が、被害人数の7割を生んでいるという事実からも目を逸らせません。どちらか一方だけを見て対策を決めると、必ずもう一方で足元をすくわれます。