国内の情報漏えい454件に増加し被害が深刻化
国内の企業や自治体で、不正アクセスに伴う個人情報の漏えいが相次いでいる。10月14日には複数の企業や行政機関が新たな被害を公表し、外部委託先のシステムを通じた情報流出が広範囲に及んでいることが明らかになった。
調査会社「MM総研」によると、2026年1～9月に国内の企業や団体で確認されたサイバー攻撃による情報漏えいは、流出の可能性がある事案を含め454件に達した。前年同期から49％増え、同じ期間の比較では過去5年間で最多となった。
従業員300人以下の企業では195件が確認され、前年同期の約2倍となった。業種別では情報通信業が88件で最も多く、製造業が80件、卸売業・小売業が63件と続いている。
採用業務の委託先で発生した情報流出が複数社に波及
コールセンター事業などを展開するトランスコスモスは、採用業務の外部委託先が不正アクセスを受け、応募者4,600人余りの個人情報が漏えいしたと発表した。
対象となったのは、2019年11月から2021年12月までに契約社員の採用に応募した人の情報で、氏名、電話番号、メールアドレス、生年月日、性別などが含まれる。現時点で二次被害は確認されていない。
委託先は動画面接システムなどを提供する「ApplyNow」で、10月9日に約39万人分の情報流出を確認したと公表している。同社のサービスを利用していた吉野家でも、アルバイト応募者に関する4,900件余りの情報漏えいが判明した。
新潟県魚沼市や埼玉県入間市でも、職員採用試験の応募者などの情報が流出しており、同じ委託先を利用する複数の組織に影響が及んでいる。
自動車メーカーや家電大手の会員情報にも被害拡大
マツダは、会員制交流サイト「CLUB MAZDA COMMUNITY」の運営委託先が不正アクセスを受け、最大4,103人分の情報が流出したおそれがあると発表した。
対象には会員と従業員のアカウント名、メールアドレス、性別、居住する都道府県、購買履歴などが含まれる。クレジットカード情報は対象外で、生産や販売に関係するシステムへの影響も確認されていない。
パナソニックでも、外部企業が管理する「LUMIXコミュニティ」などの会員向けサイトから約5,000人分のメールアドレスなどが漏えいした。決済関連の情報は含まれておらず、情報の悪用も確認されていない。両社は対象サービスを停止し、原因調査を進めている。
アプリ解析でサーバーの弱点を狙う新手法が判明
情報通信研究機構（NICT）は、相次ぐ不正アクセスの原因の1つとして、Androidアプリを解析し、接続先のサーバーを攻撃する手法を確認した。
攻撃者は公開されているアプリのプログラムを調べ、通信先のサーバーを特定する。その後、サーバー側に存在する脆弱性を狙って侵入を試みる仕組みで、アプリ自体に不具合がなくても攻撃につながる点が特徴となっている。
NICTはこの手法を「A2B攻撃（App-to-Backend Attack）」と命名した。分析担当者は、AIの利用によって攻撃が効率化されているとの見方を示している。
同機構は企業に対し、8月以降のアクセス記録を確認するとともに、アプリが接続するサーバーの安全性を早急に点検するよう呼びかけた。
政府が注意喚起を強化し企業全体の対策徹底を要請
木原官房長官は10月14日の記者会見で、NICTの分析を受け、総務省や国家サイバー統括室が関係事業者への注意喚起を実施したと説明した。
政府は今後も関係機関と協力し、攻撃手法やシステムの脆弱性に関する情報を収集・分析する方針を示している。
個人情報保護委員会も、多要素認証の導入や不要な個人データの削除、従業員教育の徹底を求めた。
MM総研は、大企業だけでなく取引先の中小企業を含む供給網全体で、安全管理を強化する必要があると指摘している。情報漏えいが多業種に広がる中、外部委託先を含めたセキュリティー対策の徹底が求められている。