【2026年10月まとめ】相次ぐ大型情報漏えい—共通するのは“送り方”の油断だった

2026年秋、国内企業における大規模な情報漏えいの公表がかつてないペースで相次ぎました。ソースネクストの最大2,251万件、Eストアー「ショップサーブ」の約2,335万人分、ヤマト運輸の約531万件など、単独でも数カ月語られる規模のインシデントがわずか1カ月ほどの間に集中しています。

高度なサイバー攻撃が注目されがちですが、公表事例を分解すると、その根本には共通して「どこに、誰に、どう渡していたか」という“送り方（送受信）”の油断が存在していました。

本記事では、10月前後に公表された主要インシデントを整理し、原因を4つの類型に分類。自社の送受信を把握できていない組織の盲点と、今すぐ着手すべき3つの対策をスマートに解説します。

この記事の要点

• 異例の流出規模：2026年9〜10月の約1カ月間で、国内では延べ1億7,000万件超の漏えい事案が公表。日経新聞の集計では、世界の大規模事案35件のうち20件を日本が占めました。
• 政府（NCO）の緊急要請：国家サイバー統括室は10月9日、パッチ適用や多要素認証に加え、「委託先・再委託先の管理状況の継続確認」を求める注意喚起を発出しました。
• 原因は“送り方”の4類型：漏えい経路は「認証情報の侵害」「設定ミスによる送りっぱなし」「委託先経由」「長期保管データの持ち出し」に集約されます。
• 最大のリスクは「把握不能」：帝国データバンクの調査では、16.2%が漏えいを経験した一方、14.8%が「起きたか分からない」と回答。証跡（ログ）がない組織は、漏えいの事実すら検知できません。
• 今すぐやるべき対策：「送受信ログの自動記録」「脱PPAPの徹底」「人任せにしない仕組み化」の3点です。

1. 2026年10月に起きたこと：数字で見る被害の全体像

まずは、公開データから被害の全体像をコンパクトに確認します。

事態を受け、内閣官房の国家サイバー統括室（NCO）は10月9日、事業者に向けて「委託先・再委託先の管理状況の継続確認」を含む注意喚起を公表しました。

また、攻撃手法も「ランサムウェアによるシステム暗号化」から、「窃取した個人情報をもとに取引先や顧客になりすましメールを送り、さらなる攻撃を仕掛ける」連鎖型へとシフトしています。DMARCを通過する正規ドメイン悪用のフィッシングも急増しており、「送信ドメイン認証が通っているから本物」という見分け方は崩壊しつつあります。

2. 10月に公表された主なインシデント一覧

2026年秋に公表された国内の主要インシデントです（件数は公表時点の最大値）。

このほか、スカラコミュニケーションズのFAQシステム「i-ask」への不正アクセスでは、大和証券・シチズン時計・損保ジャパン・東武鉄道など導入企業へ一斉に被害が拡大しました。ある企業から漏れた連絡先や認証情報が、次のサプライチェーン攻撃の踏み台として連鎖する現実が浮き彫りとなっています。

3. なぜ漏洩が止まらないのか？原因は“送り方”の4類型

公式発表の多くは「不正アクセス」と一括りにされますが、実態は「どこに、誰に、どう情報を渡していたか」という“送り方の設計不備”に集約されます。

【情報漏えいを招く“送り方”の4類型】
1. 認証情報の侵害・なりすまし送信（盗まれた権限によるデータ出力） 
2. 設定ミス・認証なしの“送りっぱなし”（公開URLによる無防備な共有） 
3. 委託先・サプライチェーン経由の流出（相手先での管理状況の形骸化） 
4. 長期保管データの大量持ち出し（送受信後の廃棄ルール・証跡の欠如） 

類型①：認証情報の侵害・なりすまし送信

日本経済新聞社やユミルリンクの事案のように、管理者のアカウントがフィッシング等で窃取され、正規権限で不正にデータを出力されるケースです。攻撃者は盗んだ連絡先リストを使い、実在の社員になりすまして次の標的へ攻撃メールを送信します。

類型②：設定ミス・認証なしの“送りっぱなし”

楽天モバイルやアドベンチャー（skyticket）の事案のように、共有リンクやWeb画面が「認証なし」で誰でも閲覧できる状態になっていたケースです。「URLを知っていれば閲覧可能」な設定は、意図しない第三者へ情報を送り続けているのと同じです。

類型③：委託先・サプライチェーン経由の流出

自社の防御が固くても、業務委託先（第一興商の事例）や外部ツール（スカラコミュニケーションズの事例）が突破されればデータは流出します。契約時だけでなく、「情報がどう受け渡され、どこに保管されているか」を平時から継続監査できる体制が求められます。

類型④：長期保管データの大量持ち出し

ヤマト運輸（約8年分）やショップサーブ、ブックオフの事案では、過去の退会者データまでサーバー上に残っていたことで被害規模が跳ね上がりました。「業務が終わったら消す」「保管期限を過ぎたらアクセスを遮断する」というデータライフサイクル設計の欠如が致命傷となります。

4. 「14.8%が分からない」が示す、送受信ログのない組織のリスク

情報漏えいは大企業だけの問題ではありません。帝国データバンクが2026年10月19日に発表した企業アンケートは、組織のリアルな現状を示しています。

• 漏えい（可能性含む）が「発生したことがある」企業は16.2%（大企業では約3割）
• 「発生したか分からない」と回答した企業が14.8%（中小企業で特に顕著）

最も警戒すべきは、この「分からない（14.8%）」です。

メール添付でパスワード付きZIP（PPAP）を送っていたり、無料の個人向けファイル転送サイトを社員が勝手に使っていたりすると、送受信のログが組織に残りません。ログがなければ、「誰が・いつ・誰に送り、相手がダウンロードしたか」を誰も把握できず、漏えいが起きても検知すらできない状態に陥ります。

個人情報保護法では、一定規模以上の漏えいや不正アクセス起因の漏えいについて、委員会への報告と本人通知が義務付けられています。取引先や監査法人から「このデータは安全に受け渡されたか？」と問われた際、送受信の証跡（ログ）を提示できなければ、企業の社会的信用は一瞬で損なわれます。

5. 今すぐ見直すべき3つのセキュリティ対策

「社員の注意深さ」頼みの対策は必ず限界を迎えます。必要なのは、「ミスを起こせない仕組み」「万一間違えても即座に無効化できる仕組み」への刷新です。

対策①：送受信の証跡（ログ）を自動で残す

「誰が・いつ・誰に・どのファイルを送り、相手がいつダウンロードしたか」を確実に記録するプラットフォームへ移行します。送受信履歴とダウンロードログが自動で保全されていれば、万一の調査や説明責任を即座に果たせます。

対策②：PPAPを組織から完全にゼロにする

HENNGEの調査によると、2026年6月時点で企業のPPAP利用率は6.2%まで低下しました。世の中の大半はすでに脱PPAPを完了しています。

PPAPは暗号化によってセキュリティフィルターのウイルススキャンを阻害し、盗聴・誤送信の対策にもならず、送信ログも残りません。金融庁もパスワード付きファイル送付を避け、通信経路暗号化（TLS/HTTPS）方式への移行を強く求めています。

対策③：誤送信防止とアクセス制御を“仕組み”にする

「宛先の自動チェック」「ワンタイムURLによる本人認証」「送信後の取り消し機能」を備えた仕組みを標準化します。万一送り先を間違えても、相手がダウンロードする前にワンクリックで共有を無効化できる環境を整えることが、最大の防御策です。

6. 安全な送受信基盤を整える「Kozutumi（こづつみ）」

株式会社ハートビーツが提供する「Kozutumi」は、PPAPの完全廃止とセキュアな送受信管理を同時に実現するビジネス向けファイル転送プラットフォームです。

• パスワード付きファイル禁止（マルウェア対策）：ZIP等の暗号化ファイルを送受信不可にすることで、ウイルススキャンをすり抜ける脅威を根本から遮断します。
• 送信取消＆誤送信防止：相手がダウンロードする前であれば、送信後でもワンクリックでダウンロードを不可にできます。
• 送受信ログの一元管理と監査機能：管理者は組織全体の送受信ログ（送受信者、ファイル名、ダウンロード状況）をいつでも検索・監査可能です。
• 特許技術のタイムスタンプによる証拠保全：ファイル送受信時にタイムスタンプを付与し、ファイルの存在と非改ざん性を10年間法的に証明します。
• ゲストも安心・手軽な送受信：受信側はアカウント不要、ワンタイムURL認証で安全にファイルの受け渡し・回収が可能です（メールサーバーの設定変更も不要）。
• サイバーリスク保険の自動付帯：ISMS/ISO27017認証取得に加え、東京海上日動火災のサイバーリスク保険（最大200万円）が標準付帯します。

10月の情報漏えいラッシュが教えるのは、「情報の送り方を現代化すること」こそが、自社と取引先を守る最も確実な投資であるという事実です。