情報漏えいとは？

01情報漏えいとは

情報漏えいは、お客さまや社員の情報、会社の機密が外部に漏れることです。原因はサイバー攻撃だけではありません。メールの誤送信、パソコンやUSBメモリの紛失、クラウドの公開設定の誤り、社員による持ち出しでも起きます。

IPAは2026年10月9日、国内の金融機関や通信事業者など幅広い事業者で、不正アクセスによる情報漏えいの公表が相次いでいるとして注意喚起を出しました。公表事例の傾向から、外部に公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点になっていることがうかがえるとしています。盗まれた情報は、悪用されるだけでなく、公開すると脅されたり売買されたりして、二次被害が広がる傾向が強まっています。

02起きたら最初にやること

1. 何が、どこから、どれだけ漏れたか（またはそのおそれがあるか）を、分かる範囲で記録する
2. 原因になった経路を止める。乗っ取られたアカウントを止め、パスワードを変える。誤って公開した設定を戻す
3. 不正アクセスが疑われるなら、専門のセキュリティ会社に詳しい調査を頼む（IPAも強く勧めています）
4. 個人データが含まれ、報告の対象になる場合は、個人情報保護委員会に速報を出す。目安は発覚からおおむね3〜5日以内
5. 本人に通知する。難しければ事案の公表などで代える
6. 犯罪が疑われるなら警察に相談する

報告が必要になるのは、要配慮個人情報、財産的被害のおそれ、不正の目的によるおそれ、1,000人超のいずれかに当たる場合です。詳しくは個人情報保護法のページで説明しています。

03やってはいけないこと

• 確定するまで待つこと。報告は「おそれ」の段階から必要です。
• ログを消すこと、機器を初期化すること。どこまで漏れたかを示す材料がなくなり、人数を絞り込めなくなります。
• 攻撃者の「公開しない代わりに払え」に応じること。払っても消される保証はありません。

04備えておくこと

IPAの注意喚起は、すぐに行う点検として次のものを挙げています。

• 外部に公開しているアプリやサービスを洗い出し、直近のログに異常がないか、未適用のパッチがないかを確かめる
• 使っている外部サービス（クラウド、VPNなど）をすべて洗い出し、ログとアカウントに異常がないかを確かめる。作った覚えのないアカウントや、消したはずのアカウントが有効になっていないか
• 不要な情報は持たないという原則で、持っているデータを把握し、必要最小限にする

あわせて、多要素認証の導入、アカウントの権限と棚卸の見直し、ログの取得内容と保存期間の見直し、データの暗号化も挙げています。製品や依頼先は情報漏えいから探せます。