← 国内 情報漏えいダッシュボード
数え方と用語
何を数えているか
- ニュースサイト Security NEXT が「個人情報漏洩事件・事故」「機密情報漏洩事件・事故」として報じた国内の事件のうち、第1報の公表日が 2021-04-01 以降のものです。
- 報道されていない漏えいや、ほかの媒体だけが報じた漏えいは入っていません。日本で起きた漏えいの全部ではありません。
- 国へ実際に報告された件数は、個人情報保護委員会の年次報告が一次情報です。このダッシュボードの件数は「報道された件数」なので、それとは一致しません。
1件の数え方
- 記事ではなく事件を1件と数えます。同じ事件の第1報と続報は1件にまとめます。公表日は第1報の日、漏れた件数は件数が分かった最も新しい記事の値、原因は「不明」でない最も新しい記事の値です。
- 第1報が 2021-04-01 より前の事件は、続報が期間内でも数えません。
- 原因・漏れた件数・原因になった道具・漏れた情報は、機械で抜き出した値です（記事ごとの誤りが残ることがあります。出典リンクで確かめられます）。漏れた件数と漏れた情報は、確認で誤りに気づいた記事だけ直しています（例：メールが1142人に届いても、漏れたのが1人分の情報なら1人）。
- 漏えいの記事かどうか・組織の種類・業種・続報のまとめ方は、Claude（AI）が見出しと本文の冒頭を読んで確認しています。確認が済んでいない記事は数えません（画面の「確認待ち」）。
項目の意味
| 組織の種類 | 地方自治体／国・独法／医療・介護／学校／団体・組合／民間企業。警察・消防・水道局などは地方自治体、病院・介護施設は設置者にかかわらず医療・介護です。 |
|---|
| 業種 | 民間企業だけに付けています（下の「業種の分け方」）。 |
|---|
| 都道府県 | 地方自治体と学校だけに付けています。 |
|---|
| 原因 | 報道で示された原因です。続報で分かったときは続報の値です。 |
|---|
| 原因になった道具 | 電子メール、紙の書類・郵便物、USBメモリ、サーバなど、漏えいの経路になったもの。1件に複数あることがあります。 |
|---|
| 漏れた情報 | 氏名・住所・メールアドレス・クレジットカード情報など。1件に複数あることがあります。 |
|---|
| 規模 | 単位が「人」の件数だけを区分けしています。件・世帯・社などで報じられたものは「人数不明」です（単位の違う数は足しません）。 |
|---|
| 委託先の関与 | 委託先・再委託先・取引先が関わったと報じられたもの。 |
|---|
| 出典 | Security NEXT の記事へのリンク（第1報と続報）。 |
|---|
原因の分類
- うっかり：誤操作・設定ミス、誤公開・設定ミス、誤操作・システム不備、誤送付・誤交付、紛失・誤廃棄、紛失・置き忘れ、メール誤送信、誤廃棄
- 攻撃：不正アクセス、ランサムウェア、フィッシング、脆弱性の悪用、マルウェア感染
- 内部不正・盗難：内部不正、盗難
- その他：委託先で発生
このほか、原因が報じられていないものは「不明」です。
業種の分け方
日本標準産業分類の大分類を使っています：農業・林業、漁業、鉱業・採石業・砂利採取業、建設業、製造業、電気・ガス・熱供給・水道業、情報通信業、運輸業・郵便業、卸売業・小売業、金融業・保険業、不動産業・物品賃貸業、学術研究・専門・技術サービス業、宿泊業・飲食サービス業、生活関連サービス業・娯楽業、教育・学習支援業、医療・福祉、複合サービス事業、サービス業（他に分類されないもの）。会社の主な事業で決めます（漏れた情報の種類では決めません）。社名と本文から決められないものは「不明」です。
CSVについて
「全件のCSV」と「この条件をCSVで保存」は同じ列です。1件に複数ある項目（原因になった道具・漏れた情報）は「／」で、出典URLは半角スペースで区切っています。文字コードはUTF-8（BOM付き）なので、Excelでそのまま開けます。
載せていないもの
記事の見出し・本文・要約は載せていません。組織名は、下の「組織名の出し方」のとおり、確かめた名前だけを載せています。どの記事かは出典リンクから確かめられます。
狙われている機器の数え方
「狙われている機器」タブは、防御製品（ファイアウォール・VPN・EDR・SIEM など）の脆弱性が、実際に悪用されたかどうかを数えています。
- 悪用：米国CISAの「Known Exploited Vulnerabilities（悪用が確認された脆弱性）」の一覧に載ったCVEです。世界で確認されたもので、日本だけの数字ではありません。日本で多く使われる機器の悪用が、一覧に載りにくいことがあります。
- 製品：市販の防御製品から手で選んだものです。市場の全部ではありません。製品とCVEは、NVDの製品コード（CPE）で結び付けています。
- 製品そのもの／同梱部品：CISAの一覧が名指ししている製品がその製品自身なら「製品そのもの」、製品に入っている他社の部品（OpenSSL など）なら「同梱部品」です。Claude（AI）がCISAの一覧の欄を読んで振り分けています。確認が済んでいないものは数えません（画面の「確認待ち」）。
- 種類どうしの比較・年ごとの数・要約の一文は「製品そのもの」だけを数えています。同じCVEが同じ種類の2つの製品に当たっても1件です。2つの種類の製品に当たるCVE（例：ファイアウォールとログ分析製品の両方が対象のもの）は、それぞれの種類で1件ずつ数えるので、種類の合計の和は、要約の一文の全体の数より多くなることがあります（グラフの画像には「種類ごとの延べ」と書きます）。
種類の分け方
- 社内に置く境界の機器（FW・VPN・UTM・ルータ）：FW／NGFW、FW／NGFW/UTM、FW／UTM、FW／VPN/エッジ、FW／ADC/エッジ、FW／ADC/WAF/エッジ、FW／WAF、FW／国産ルータ、FW／OSS
- クラウド型の境界（SASE・SSE・CDN型WAF）：FW／SASE、FW／SSE/ゼロトラスト、FW／WAF/CDN
- EDR（端末）：EDR／区分なし、EDR／予防特化、EDR／国産
- SIEM（ログ）：SIEM／区分なし、SIEM／OSS、SIEM／OSS版あり、SIEM／OSS由来、SIEM／ログ分析、SIEM／国産
- XDR：XDR／区分なし、XDR／SIEM兼務
- MDR（監視の外注）：MDR／区分なし、MDR／国産
製品の3つの状態
| 測れる | 製品コードが確定している製品。数字を出します。 |
|---|
| 測れない | 製品コードが無い製品（多くはクラウド型）。「0件」ではなく「測れない」です。 |
|---|
| 比べられない | 製品コードが製品より広い範囲を指す製品（例：同じベンダーの全機種のOS）。表の数字は出さず、種類の合計からも外します。悪用された脆弱性の一覧は見られます。 |
|---|
数字の意味
| 公開から悪用の確認まで | CVEが公開されてから、CISAの一覧に載るまでの日数の中央値です。一覧ができた 2021-11-03 より前に公開されたCVEは、まとめて登録されたため測りません。一覧に載ったのが公開より前なら0日です。対象が5件未満のときは出しません。 |
|---|
| 直近12か月 | データの日付から365日以内に、CISAの一覧に載った数です。 |
|---|
| 悪用がまだ確認されていない脆弱性の最大EPSS | FIRSTのEPSS（今後30日に悪用される確率の予測）のうち、まだCISAの一覧に載っていない脆弱性で一番高い値です。悪用が確認済みの脆弱性はほぼすべて99%台になり、製品の差が出ないため外しています。 |
|---|
| JVNの注意喚起 | JPCERT/CC・IPAのJVN iPediaのうち、Claudeがその製品の話だと確認したものです。2026年8月以降の新着分だけで、見出しは載せず番号とリンクだけにしています。 |
|---|
機器のCSVについて
「この条件をCSVで保存」は、表に出ている製品を、製品・ベンダー・種類・状態・製品そのものの悪用・同梱部品の悪用・直近12か月・最後に悪用が確認された日・公開から悪用の確認まで（中央値・日）・中央値の対象（件）・悪用がまだ確認されていない脆弱性の最大EPSS の列で保存します。測れない・比べられない製品の数字の欄は空です。文字コードはUTF-8（BOM付き）です。
読み方の注意と出典
CVE件数・悪用件数の多さは製品の優劣ではありません。利用者が多い製品や、研究者に熱心に調べられている製品ほど数字は大きく出ます。報告が多い＝弱い、でも、0＝安全、でもありません。
出典：CISA Known Exploited Vulnerabilities Catalog／NVD／FIRST EPSS／JVN iPedia（JPCERT/CC・IPA）。This product uses data from the NVD API but is not endorsed or certified by the NVD.
AIの悪用の数え方
「AIの悪用」タブは、組織の種類ごとに「来そうなAIの手口」と「今やる対策3つ」をまとめています。組織の種類は、漏えいタブと同じ6つです。
- 事例：報道・公的機関・セキュリティ企業の発表から集め、Claude（AI）が原典を読んで、実際の被害者・攻撃者・日付があるものだけを載せています。研究や予兆だけのものは載せません。原典に無いことは書きません。
- 国内の漏えい：漏えいタブの記事のうち、AIが原因と Claude が確認したものです。漏えいタブと同じく事件単位で数え、組織名・見出しは載せません。
- 出典：記事の見出しは載せず、媒体名・日付・リンクだけにしています。
手口の一覧の作り方
手口は、確認済みの事例をもとに Claude が立てています。1件の事例も根拠にならない手口は立てません。手口は次の2種類です。
組織の種類ごとの手口は、事例の件数ではなく「その組織の種類に当てはまる手口か」で選んでいます（件数が少なすぎて、件数で危険度を比べられないためです）。個人だけを狙う手口は組織の種類のカードには出しませんが、事例の一覧からは読めます。カードの並びは、国内の根拠の数が多い順、根拠の合計が多い順、最新の事例が新しい順です。
国内と海外
被害が日本で起きた、または日本の組織・人が被害を受けた事例を「国内」、それ以外を「海外」としています。地域が分からない事例は「不明」とし、どちらにも数えません。海外の事例は、日本にも来うる手口の根拠として載せています。
対策の出典
対策は、公的機関の資料（IPA・警察庁・NISC・個人情報保護委員会・総務省・経済産業省・JPCERT/CC、海外ではCISAなど）に書かれていることだけを、Claude が1文にまとめたものです。出典のリンクと、原典を確かめた日を付けています。「今やる対策3つ」は、その組織の種類に当てはまる手口の対策から、国内の根拠がある手口・すぐにできるものを先に選んでいます。
読み方の注意
事例は件数が少なく、報道されたものに偏ります。「載っていない手口は来ない」という意味ではありません。新しく確認した事例は毎週増えます。
AIの悪用のグラフ
- グラフは、組織の種類の選択によらず、確認済みの事例すべてを数えています。
- 報道の月ごとの数：事例を報道（国内の漏えいは公表）の月で数え、国内・海外・不明に分けています。事例を集め始めた月より前の月が少ないのは集めた量の違いで、手口の増減を表すものではありません。報道の日付が無い事例は数えません。
- 手口ごとの数：2つの手口に当たる事例は、それぞれの手口で数えます。国内の数には、AIが原因と確認した国内の漏えいの事件を含みます。
- 分類・AIの役割・狙われた組織の種類：国内の漏えいの事件は含みません。1件に複数の役割や組織の種類があれば、それぞれで数えます。個人だけが狙われた事例と、組織の種類が分からない事例は「個人・不明」です。
悪用された脆弱性の数え方
「脆弱性」タブは、米国CISAが「実際に悪用された」と認めた脆弱性の一覧（Known Exploited Vulnerabilities Catalog）の全件を、そのまま載せています。世界で確認されたもので、日本だけの数字ではありません。毎週、CISAから全件を取り直しています。
- 悪用の確認日：CISAが一覧に載せた日です。脆弱性が公開された日ではありません。
- 直近7日・直近30日：データの日付を含む7日・30日のあいだに、一覧に載った数です。
- ランサムウェア：CISAが「ランサムウェアの攻撃に使われたと分かっている（Known）」としたものです。Unknown は「使われていない」という意味ではなく、「分かっていない」という意味です。
- 月ごとの数：一覧ができた2021年11月と、拡充された2022年3月に、それまでの分がまとめて登録されたため、この2か月は多く見えます。
- CVE番号の年との差：2023年以降に一覧に載った脆弱性について、載った年とCVE番号の年の差を数えています。CVE番号の年は番号を取った年で、公開された日とずれることがあります。何年も前の番号の脆弱性が、新たに悪用が確認されることもあります（悪用が続いているかどうかは、この数からは分かりません）。
- 脆弱性名：CISAが付けた英語の名前を、当サイトが日本語にしたものです。名前の末尾の種類（Remote Code Execution など）を手作りの対訳辞書で訳し、「製品名 の種類の脆弱性」の形に組み立てています（製品名・ベンダー名は英語のまま）。辞書で組めない名前は1件ずつ訳し、まだ訳していないものは英語のまま「（訳は準備中）」と出します。原文はCSVと各行の「CISA」で見られます。日本語の説明は、各行の「JVN」からJVN iPedia（JPCERT/CC・IPA）で探せます。
- 深刻度（CVSS）：米国NISTのNVDが公開しているCVSSの基本値です。版は3.1・3.0・4.0・2.0の順に選び、同じ版ではNVDが付けた値を、無ければ製品の提供元（CNA）やCISAが付けた値を使います。言葉はIPAのCVSS v3の区切りに合わせています：緊急 9.0～10.0・重要 7.0～8.9・警告 4.0～6.9・注意 0.1～3.9（v4.0も同じ区切り）。v2しか無いものは区切りを確かめていないため、言葉を付けず「7.5（v2）」のように点数と版だけを出します。
- 攻撃の条件：CVSSの中身から読んだものです。「ネット越し」はネットワーク越しに攻撃できる、「ログイン不要」は攻撃者にログインや権限が要らない、「操作不要」は利用者がファイルを開く・リンクを押すなどをしなくても攻撃できる、という意味です（v2には「操作不要」の項目が無いので出しません）。3つがそろうものは、外から誰でも狙えるものです。
- EPSS：FIRSTが毎日計算している「今後30日のうちに、その脆弱性への悪用の動きが観測される確率」の推定です。「上位◯%」は、点数の付いたすべてのCVEの中での位置です。被害の大きさを表す数字ではありません。
- 数値の読み方：この一覧はすべて、すでに悪用が確認された脆弱性です。数値が低い＝後回しでよい、ではありません。米国CISAは政府機関に、載ったものすべてを期限までに直すよう求めています。まず自社で使っている製品かを確かめ、ネット越しでログイン不要なもの、ランサムウェアに使われたもの、CVSS・EPSSの高いものから手を付けるのが目安です。
- 数値の更新：CVSSはNVDから、EPSSはFIRSTの毎日の一覧から、毎週取り込みます。今週一覧に載ったばかりのものは、まだ数値が無く「—」になることがあります。
- 件数の多さは製品の優劣ではありません。利用者が多い製品や、研究者に熱心に調べられている製品ほど多く出ます。一覧に無い＝安全、でもありません。
出典：CISA Known Exploited Vulnerabilities Catalog。CVSS：NVD（米国NIST）。EPSS：FIRST（https://www.first.org/epss/）。This product uses data from the NVD API but is not endorsed or certified by the NVD.
組織名の出し方
漏えいタブの一覧の「組織名」は、事件を発表した、または報じられた組織の名前です。名前が出ていることは、その組織が悪いことをしたという意味ではありません（多くは被害を受けた側です）。
- 名前は記事から抜き出したもののうち、確認のときに Claude（AI）が記事を読んで確かめた名前と、自治体の名簿と一致した名前だけを出しています。委託先が関わる事件は、Claude が記事の本文で委託元と委託先を確かめたものだけです。まだ確かめていない事件は「確認中」として名前を伏せています。組織からのご依頼などで出さないことにした事件は「非公開」です。
- 出す名前は、その事件の記事（続報を含む）の見出しか本文にそのままの文字で出てくることを、データを作るたびに機械でも確かめています。
- 委託先で漏れた事件は「委託元」（仕事を頼んだ側）と「委託先」（受けた側）の両方を書きます。再委託は「再委託先」も書きます。取引先やサービスの提供元など、委託ではない関係は「関係先」と書きます。記事に名前が無いときは「記載なし」です。
- 記事から自動で抜き出しているため、会社名が間違っている場合があります。必ず出典の記事でご自身で確認してください。
- 名前の誤りに気づいたときは、お問い合わせからお知らせください。直した記録は「訂正」に残します（組織名の値は出しません）。
引用するとき
例：「国内 情報漏えいダッシュボード（やさしいサイバーセキュリティ、2026年10月時点）によると…」のように、見た年月を添えてください。グラフの「画像で保存」には、出典と絞り込みの条件が自動で入ります。
訂正
誤りを見つけたら直し、ダッシュボードの最下部に訂正の記録を残しています。