最近，個人情報流出多くない？

NewsPicksの通知を見ていると、この1か月ほど「流出」という文字をよく見かける気がしていた。

決定的だったのは、2026年10月9日に目に入った「スカイチケット」と「流出」という見出しだ。通知の本文までは読んでいなかったし、スカイチケットを利用した経験もない。それでも、「AIによってハッキングが簡単になっているのではないか」「これから、こういう事件がもっと増えるのではないか」と、漠然と怖くなった。

実際、最近の個人情報流出は増えているのだろうか。公表件数、被害規模、原因を調べた。さらに、前年の同じ時期と比べられるかを確かめるため、集計方法そのものも見直した。

先に結論

2026年9月から10月上旬に、国内で不正アクセスと大規模な情報流出の公表が集中していることは確かだった。JPCERT/CCも10月8日、「直近2026年9月前後で、国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいる」として注意喚起を出している。

民間の別集計でも増加が確認されている。三井物産セキュアディレクションは、続報や関連する公表を同一事案にまとめ、最初の公表があった月で数えた。その結果、2026年9月の不正アクセス被害公表は69件だった。4月から7月の月平均約37件に対し、8月から9月は月平均約67件で、約1.8倍だった。

ただし、これは「2025年の同じ1か月に比べて何倍」という数字ではない。前年同期と厳密に比べるには、両期間について、同じ収集元、同じ採用条件、同じ重複処理で一件ずつ集計する必要がある。現時点で確認できた既存資料だけでは、そこまでの比較はできなかった。

したがって、この記事で言えるのは次の範囲だ。

2026年8月から9月に不正アクセス被害の公表が増え、9月末から10月上旬には数百万件規模の事案が相次いだ。一方、前年同時期からの増加率は、同じ条件の集計がないため確定できない。

数える前に、「1件」の意味をそろえる必要がある

情報流出の件数を比べるとき、単純にニュース記事の本数を数えるだけでは正確にならない。

同じ事件について、最初のお知らせ、調査結果、対象件数の確定、サービス再開などが別々に公表されることがある。委託先が攻撃され、影響を受けた複数の企業がそれぞれ発表すれば、ひとつの侵害が何件ものニュースになることもある。

さらに、公表日、攻撃が起きた日、発覚日も一致しない。2026年9月に公表されたからといって、9月に攻撃されたとは限らない。

そこで比較するなら、少なくとも次の条件をそろえる必要がある。

• 国内組織が公表した事案を対象にする
• 個人情報の漏えい、不正取得、またはその可能性が示されたものを数える
• 同じ事案の続報は一つにまとめる
• 委託元などによる重複公表を整理する
• 最初の公表日を基準に期間を区切る
• 人数、アカウント数、予約数、レコード数を区別する
• 原因未公表の事案を、推測で特定の原因に分類しない

国内インシデント公表アーカイブでは、公表文ごとの「リリース単位」と、続報をまとめた「事案単位」を切り替えられる。このようなデータは前年同期を再集計する土台になる。ただし、運営者が確認した公開情報のアーカイブであり、国内の全事案を網羅した公的統計ではない。

直近は、短期間に大規模事案が集中した

国内事案をまとめた株式会社ウェステリアの一覧では、2026年9月25日から10月8日までに第1報が出た事案だけで36件確認されている。わずか2週間ほどの数字だ。

同一覧で目立つのは、数百万件規模の会員情報を持つ一般向けサービスが相次いで被害を公表したことだ。代表的なものを抜き出すと、次のようになる。

これらを単純に足して「被害者は何人」とは言えない。同じ人が複数のサービスに含まれる可能性があり、件数の単位も異なる。「流出した」「流出した可能性がある」「外部から閲覧された」も同じ意味ではない。そのため、ここでは各社が公表した対象件数をそのまま記した。

スカイチケットでは、約1,464万件が対象になった

きっかけとなったスカイチケットの公式発表を読むと、ひとつの攻撃ではなく、異なる経路による3件の事案だった。

最も規模が大きいのは、2026年10月2日から4日に起きたサーバーへの不正アクセスだ。一部の管理機能を不正に操作され、別のサーバーやクラウド上のデータにもアクセスされた。対象は約1,464万件で、氏名、生年月日、メールアドレス、電話番号、住所などが含まれる。うち約413万件には、ハッシュ化されたログインパスワードも含まれていた。

別の事案では業務管理システムの脆弱性が悪用され、1万7,780件の氏名、電話番号、返金先の口座情報などが対象になった。さらに、バスの予約完了ページがログインなしで表示できる状態だったため、約1万2,000件の予約情報が機械的に閲覧されたという。

「ハッカーが一度にすべてを破った」という単純な事件ではない。管理機能への侵入、脆弱性の悪用、アクセス制御の不備という、性質の異なる問題が重なっていた。

前年同時期との比較で、どこまで言えるのか

2025年9月の公開情報をまとめたTMIプライバシー＆セキュリティコンサルティングのページには、重複掲載を除くと少なくとも22組織のインシデントが並んでいる。不正アクセス、ランサムウェア、委託先サービスからの漏えい、元従業員による持ち出しなど、原因は当時も一つではなかった。

ScanNetSecurityの2025年9月の記事一覧にも、不正アクセス、設定ミス、メール誤送信、内部不正など多数の公表が掲載されている。たとえばCNプレイガイドでは23万6,323件のメールアドレスが流出した可能性が公表され、帝塚山学院大学では約450人分の利用者情報が漏えいした可能性が報じられている。

ここから、2025年の同時期にも情報流出が継続して起きていたことは確認できる。しかし、2026年の「36件」と2025年の「少なくとも22組織」を、そのまま比較して増加率を出すことはできない。

前者は9月25日から10月8日までに第1報が出た事案、後者は9月のまとめに掲載された組織だからだ。期間だけでなく、対象と重複処理も異なる。また、ScanNetSecurityの記事掲載日は、企業による最初の公表日や事件発生日とは限らない。

つまり、前年にも事件は多数あったが、2026年秋には「数百万から1,000万件を超える一般向けサービスの公表が短期間に重なった」という特徴がある。通知の見出しを眺めていて「最近多い」と感じた理由としては、件数の増加に加え、一件ごとの規模と知名度も影響したと考えられる。ただし、この部分は公表資料を踏まえた推測である。

公的な数字は、そのままニュース件数と比べられない

個人情報保護委員会の2025年度年次報告では、漏えい等の報告を合計1万9,417件処理したとされている。

ただし、この数字には漏えいだけでなく、滅失、毀損、それらのおそれも含まれる。企業がニュースリリースを出した件数とも一致しない。そのため、「ニュースで何件見かけたか」や「不正アクセスによる流出が前年同月から何倍になったか」を直接示す数字としては使えない。

公的報告の総数と、ニュースとして公表された不正アクセス事案の数は、別のものさしである。

原因はAIだったのか

この節の元の調査は10月9日時点です。10月23日の更新でAI基盤の悪用による攻撃試行が追加されています。詳細は末尾の追記に示します。

2026年10月9日時点で確認した資料だけでは、各事件が生成AIによって実行されたと示す証拠は見つからなかった。

JPCERT/CCが挙げた攻撃手法は、既知の脆弱性の探索と悪用、管理不備の悪用、APIへの不正なリクエスト、他システムから盗んだAPIキーの使用、SQLインジェクション、Webシェルの設置などだ。スカイチケットも、管理機能の不正操作、システムの脆弱性、ログインなしで閲覧できるページを原因として公表している。

AIが攻撃コードの作成や標的探索を補助した可能性は一般論として考えられる。しかし、10月9日時点の資料では、表に挙げた各事案へのAIの関与を特定できなかった。ここを「AIが原因」と書くのは推測になる。

10月9日時点で確認できたのは、以前から知られている弱点が大規模な被害につながったことだ。公開された管理機能、修正されていない脆弱性、認証情報の窃取、APIのアクセス制御不足、必要以上に残されたデータ。攻撃者がAIを使ったかどうかにかかわらず、入口になった問題はかなり具体的だった。

「漠然と怖い」を分解してみる

通知の見出しだけを見たときは、何が起きているのか分からず、「AIでハッキングが簡単になり、これから一気に増えるのではないか」と感じた。

調べたあとも、怖さがなくなったわけではない。約1,464万件という数字は大きく、氏名や連絡先だけでなく、住所、口座情報、予約内容、ハッシュ化されたパスワードまで対象になっている。

ただ、怖さの中身は少し見えるようになった。

まず、最近の公表が増えていることは、JPCERT/CCの注意喚起だけでなく、続報を統合した民間集計からも確認できた。2026年9月の69件、8月から9月の月平均約67件という数字は、4月から7月の月平均約37件より明らかに多い。

また、2026年秋は、大規模な一般向けサービスの公表が短期間に重なった。これがニュース通知で「流出」という言葉を繰り返し目にする感覚につながった可能性がある。

一方、前年の同じ期間から何倍になったかは、まだ言えない。2025年と2026年を同じ条件で比較した公的な月次統計は確認できず、既存の民間資料も対象期間や集計単位が異なるからだ。

そして、AIが今回の連続した流出を引き起こしたとも確認できない。今分かる範囲では、脆弱性やアクセス制御、管理用アカウント、委託先システムといった、従来からある問題が中心だ。

「最近、個人情報流出が多くない？」への現時点の答えは、こうなる。

2026年8月から9月に国内の不正アクセス被害公表は増え、9月末から10月上旬には被害規模の大きな事案も相次いだ。ただし、前年同時期からの増加率は、同じ基準の集計がないため確定できない。また、10月9日時点では表に挙げた各事件でのAI利用を特定できなかった。

通知を見て覚えた漠然とした怖さは、根拠のないものではなかった。ただし、その正体は今のところ「AIがすべてを破り始めた」という話よりも、既存の弱点を狙う攻撃と、大量の個人情報を持つサービス側の管理の問題が、一度に表面化したことに近いように思う。

確認した資料

根拠: JPCERT/CCは、2026年9月前後に国内組織への不正アクセスによる個人情報等の漏えい被害が相次いでいるとして注意喚起し、確認された攻撃手法と対策を示した。
出典: 直近で相次いでいる国内組織における不正アクセスに関する注意喚起｜JPCERT/CC｜一次資料｜確認日 2026-10-09

根拠: スカイチケットでは異なる経路による3件の事案があり、最大の事案では約1,464万件が対象となり、うち約413万件にハッシュ化されたログインパスワードが含まれた。
出典: 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ｜株式会社アドベンチャー｜一次資料｜確認日 2026-10-09

根拠: 国内事案のまとめでは、2026年9月25日から10月8日までに第1報が出た事案を36件確認したとし、各事案の規模や公表された侵入経路を整理している。
出典: 2026年の情報漏洩・不正アクセス・ランサムウェア事案一覧｜株式会社ウェステリア｜二次資料｜確認日 2026-10-09

根拠: 2025年9月に公表されたサイバーインシデントとして、不正アクセス、ランサムウェア、委託先サービスからの漏えい、内部持ち出しなど少なくとも22組織の事例を確認できる。
出典: 2025年9月 インシデントニュースまとめ｜TMIプライバシー＆セキュリティコンサルティング株式会社｜二次資料｜確認日 2026-10-09

根拠: 2025年9月の公開記事一覧には、不正アクセスだけでなく設定ミス、メール誤送信、内部不正などによる情報漏えい事例も掲載されている。
出典: 2025年9月のインシデント・情報漏えいのニュース記事一覧｜ScanNetSecurity｜二次資料｜確認日 2026-10-09

根拠: 国内組織の不正アクセス被害を事案単位・初報月で集計すると、2026年9月は69件で、4〜7月の月平均約37件に対し8〜9月は約67件だった。
出典: 増加する国内の不正アクセス被害公表　8〜9月に増えたのはどんな事案か｜三井物産セキュアディレクション株式会社｜二次資料｜確認日 2026-10-10

根拠: アーカイブは公表リリース単位と事案単位の両方を収録し、同じ事案IDの続報を一つの事案としてまとめられる。収録対象は運営者が確認した公開情報である。
出典: 国内インシデント公表アーカイブ｜piyokango｜二次資料｜確認日 2026-10-10

根拠: 2025年度に個人情報保護委員会が処理した漏えい等報告は合計1万9,417件で、漏えいだけでなく滅失、毀損、これらのおそれも含む。
出典: 令和7年度個人情報保護委員会 年次報告｜個人情報保護委員会｜公的資料｜確認日 2026-10-10

追記：10月23日の注意喚起更新

JPCERT/CCは2026年10月23日の更新で、AIペネトレーションテスト基盤を悪用した攻撃の試行が確認された例を追加した。したがって、AI利用を確認できなかったという上の説明は10月9日時点の確認範囲に限る。この追加例から、表に挙げた各社の被害原因がすべてAIだったとは判断できない。JPCERT/CCの更新版

あわせて読む

• 食品ロスはこの数年でどれだけ減った？総量と家庭・事業者を分けて見る
• クマの被害は増えているのか――環境省の速報値を年度で並べた