サイバー攻撃の漏えい情報件数、10月だけで2025年の約3.7倍に急増 MM総研調べ

MM総研は、国内の企業／団体のWebサイトや報道により公開されたサイバー攻撃による情報漏えい事案（可能性を含む）の動向を調査。10月末時点で漏えいは約3.8億件で、前年1年分の約7.6倍となった。

[エースラッシュ，ITmedia]

　MM総研は、11月4日に「国内サイバー攻撃による情報漏えい動向調査（2026年10月末時点）」の調査結果を発表した。国内の企業／団体のWebサイトや報道で公開されたサイバー攻撃による情報漏えい事案（可能性を含む）の動向を分析したものとなる。

　今回の調査では、漏えい情報件数と漏えいした情報の項目を中心に調査。期間は2022年1月から2026年10月31日までとなり、組織名／サービス名で照合／重複排除し、初報日の月に1件と計上した。漏えい情報件数と漏えいした情報の項目は、全事案の記事本文と企業の開示資料から集計したという。

　漏えい（可能性を含む）件数を集計すると、2026年は10月31日までで約3億7600万件と、既に2025年1年間（4953万件）の約7.6倍に到達。2022年の890万件から2025年までの3年間で約5.6倍に増えていたが、2026年は増え方がさらに大きい。同じ期間の事案数は661件と2025年1年間（428件）の約1.5倍で、10万件以上の事案も35件から84件に増加した。

漏えい情報件数の推移（年別、万件）

　10月だけでも約1億8500万件と、1カ月で2025年（4953万件）の約3.7倍に。100万件以上の情報が漏えいした大規模事案は2026年10月末までに45件（2025年は12件）と過去5年で最多で、10月だけで30件にのぼる。漏えい情報件数の中央値も、9月の1500件から10月は約2.9万件に跳ね上がった。

2026年の月別漏えい情報件数（万件）

　漏えいした情報は、2026年10月末時点では連絡先（メールアドレスや電話番号）が約3億6300万件、氏名が約2億8400万件と多く、生年月日、性別、勤務先などの属性、住所が続く。パスワードやログインIDなどの認証情報の漏えいも急増し、10月末時点で延べ約1億6100万件と2025年（514万件）の約31倍となった。クレジットカード情報漏えいの延べ件数は、2022年の88万件から2025年は12万件まで減っていたが2026年は438万件に増えた。

漏えいした情報の項目別にみた件数

　2026年1〜9月に初報があった事案は468件で、前年同期の303件から54％増えた。同じ期間で比べると、2022年は237件、2023年は207件、2024年は271件、2025年は303件と推移している。2026年は4年前（2022年）の約2.0倍の水準で、2026年10月31日までの累計で661件と過去5年で最多となっている。

サイバー攻撃による情報漏えい事案数の推移

月別事案数の推移（2022年1月〜2026年10月）

　業種別に見ると、2026年は10月31日までで情報通信業が最も多く、176件と前年1年間（56件）の約3.1倍に増えた。被害を受けたシステムで分類すると、情報通信業の176件のうち58件（約3割）は他社向けのクラウドサービス（SaaS）や委託先のシステムが侵害されたもので、2025年（56件中5件）から大きく増えた。情報通信業が提供するサービスが起点となり、1件の侵害が多くの利用企業／自治体の顧客情報の漏えいにつながっている。

　製造業は73件から98件（34％増）、卸売業／小売業は63件から93件（48％増）、教育／学習支援業は41件から51件（24％増）に増え、いずれも前年1年間を上回った。製造業ではランサムウエア被害や海外拠点／グループ会社のサーバーへの攻撃が、大学や学校では教職員や学生のアカウント乗っ取り／フィッシング被害が目立つ。漏えい（可能性を含む）の件数が100万件以上の大規模事案は、2022年2件、2023年5件、2024年4件、2025年12件と増え、2026年は10月31日時点で45件と過去5年で最多となった。

　2022年からの5年間で、公表されたサイバー攻撃による情報漏えいは事案数で約2.0倍（1〜9月の比較）に増えた。2026年は事案の数だけでなく1件あたりの漏えい情報件数が大きくなり、会員基盤から氏名、連絡先、認証情報がまとめて流出する事案が相次いだ。AIの悪用で攻撃のコストやハードルが下がり、短期間に多数のWebシステムが侵害されている可能性があると指摘する。

業種別の事案数と100万件以上の大規模事案数