DIME MAGAZINE
情報システムやネットワークでマルウェアの感染や不正アクセス、機密情報のデータ漏洩などセキュリティ上の脅威となる事象のセキュリティインシデントは、その対策を含めて企業や個人にとって重要な問題といえる。情報セキュリティメーカーのデジタルアーツは、2026年上半期に国内で公表されたセキュリティインシデントを独自に集計・分類したセキュリティレポートを公開したが、それによれば「不正アクセス」が最多、次いで「マルウェア感染」という結果になった。いずれもサプライチェーンに起因する連鎖的なインシデントが要因で、「業務外利用・不正持出」に関しては、2025年下半期との比較で約1.9倍に増加しており、その4分の1は従業員のSNS投稿をきっかけとした情報漏えいだったという。
サプライチェーンを起点とした連鎖的インシデントが継続
2026年1月から6月の上半期に国内組織の情報漏えいなどのセキュリティインシデントでは、対象組織による公開報告書とマスメディアの報道資料をもとに被害や影響を公表した国内組織727件をデジタルアーツが独自に集計。2026年上半期は、「不正アクセス」が267件、「マルウェア感染」が153件と多く、特に不動産業向けクラウドサービスへの不正アクセスでは67組織、システムベンダーのランサムウェア被害では自治体や大学など25組織に影響が及んでいた。
■国内セキュリティインシデントに起因する公表組織数
連鎖インシデントの計上方法：委託先の被害1件が原因で委託元複数社からも報告があった場合、それぞれを1件として計上（例：委託先A社の被害→委託元B・C・D社の報告で計4件）。大規模インシデントの計上方法は、例えば2023年の社労士向けシステムを提供する企業のランサムウェア被害（個人情報保護委員会への報告は3000件超）は、公開報告書や報道で確認できた組織のみを件数として計上。
過去レポートとの差異：公開済みのレポートとは数値が異なる場合があります。これは新たに見つかったインシデントの追加や既存インシデントの更新情報の反映／分類の見直しなどを行ったことによる。
従業員のSNS投稿による情報漏えいが増加
■国内セキュリティインシデントに起因する公表組織数、業務外利用・不正持出
「業務外利用・不正持出」は前年同期比3.7倍、前期比1.9倍に増加しており、このうち55件中14件が従業員のSNS投稿をきっかけとした情報漏えいで、「業務外利用・不正持出」の約4分の1という高い割合だった。SNS投稿による情報漏えいでは、特に写真共有SNS「BeReal.」に起因する事例が話題になったが、業務中に撮影した写真へ機密情報が写り込み、情報漏えいにつながるケースが確認されており、企業・組織には従業員・職員に対する教育だけでなく、撮影ルールや情報が写り込まない環境整備などの対策も必要になっている。
学校からPTAへの個人情報提供も注意点
学校からPTAへの不適切な個人情報提供も件数は少ないが、注目すべき事案になっている。学校からPTAに対して保護者の同意なく児童・生徒の個人情報を提供していたというインシデントは、異なる3つの市から公表された3件だったが、各自治体の調査では合計60校で同様の運用が確認されており、学校とPTAの長年の運用慣行や個人情報保護法改正への対応不足などが背景にあると思われる。公表された事例以外にも同様の運用が残っている可能性もあり、学校での個人情報の取り扱いについては、改めて確認することが必要といえる。
サポート詐欺11件のうち6件が教育機関
そのほかの注目ポイントとしては「サポート詐欺」もある。サプライチェーンに起因する連鎖的なものではなく、単独のインシデントで11件が観測されており、「不正アクセス」として分類している。教育機関で多く、6件中11件と半分以上だった。2026年5月のインシデントでは、中学校で約1000万円の高額の金銭被害も発生している。2025年には、ある企業でサポート詐欺で約2.5億円の被害も発生しており、個人だけでなく教育機関や企業でも被害が出ている。サポート詐欺は、正規サイトのWeb広告経由で遭遇することが多く、最近ではSMSやメールで送られたリンクにアクセスした時に遭遇するケースも多い。
2026年上半期は、サプライチェーンを起点に被害が複数組織へ波及するインシデントが多く確認されたが、SNS投稿による情報漏えい、学校からPTAへの不適切な個人情報提供、サポート詐欺など日常業務や人の判断に起因する事案も目立った。システム上の防御だけで防ぐことが難しいので、運用ルールの整備や継続的な従業員・職員への教育を組み合わせた対策が重要だろう。
デジタルアーク『2026年上半期国内セキュリティインシデント集計』
構成／KUMU
最新号
