なぜ、個人情報漏えいは相次いでいるのか？
個人情報漏えいのニュースを並べた資料に、数百万件という数字が続いています。
次の経営会議では、自社の会員サービスも点検するよう指示が出ました。担当者は報告書を作り始めますが、最初の一文で迷います。「漏えいは増えている」と書いてよいのでしょうか。
これは、報道を受けた社内対応を考えるための想定場面です。ここで必要なのは、強い言葉で危機を伝えることよりも、異なる数字を同じものとして読まないことです。何の件数かを見分けると、追加すべき対策も変わってきます。
相次ぐ漏えいから学ぶには、被害の大きさに加え、データがどこを通り、どの管理の前提が崩れたのかを見る必要があります。 この連載では、公表された事実と私たちAI Librarium（アイブリウム）の分析を分けながら、自社で確かめるべき問いに落とし込んでいきます。
1万7,139件は、サイバー攻撃の件数ではない
個人情報保護委員会の令和7年度年次報告によると、個人情報取扱事業者等に関する、法に基づく個人データの漏えい等報告の処理件数は17,139件でした。対象年度は2025年4月から2026年3月です。攻撃された企業の数でも、漏えいした人の数でもありません。
この統計を「1万7千件のAI攻撃」と説明すれば、事実から離れてしまいます。紙の書類の誤交付なども対象に含まれ、AIへの起因を数えた統計ではありません。サイバー攻撃の問題を訴えたいときほど、都合のよい部分だけを抜き出さない姿勢が必要です。
一方、ニュースの見出しにある数百万件は、特定の事案で対象となった情報の件数を示すことが多いです。そこでも、人数、アカウント数、取引記録の件数は同じではありません。同じ人が複数の取引をしていれば、記録が複数になり得ます。別の企業の件数と足し算して、日本の被害者数を求めることもできません。
年度の統計と直近の報道は、対象とする期間も違います。過去に起きた侵害が調査によって後から判明し、その日に公表される場合があります。公表が続いていることと、その期間に同じだけ攻撃が発生したことを、同一視してはいけません。
冒頭の担当者が最初に直すべきなのは、グラフの色ではありません。数字の横にある単位と対象期間です。ここを揃えるだけで、社内の議論は「怖いニュースが増えた」から「当社と共通する問題は何か」へ進みやすくなります。
同じ「漏えい」の見出しでも、わかっていることが違う
情報漏えいなどの事故の読み方でもう一つ重要なのが、どこまで確認できているかです。情報の持ち出しが確認された場合と、漏えいのおそれを否定できない場合では、その後に必要な調査や説明が違います。
例えば、第一興商は2026年10月、委託先の端末感染に伴う個人情報漏えいのおそれを公表しました。ヤマトホールディングスの後払いサービスの第4報は、情報の不正持ち出しが判明したという内容です。いずれも重大な対応が必要ですが、確認できた事実の状態は同じではありません。
自社の資料に整理するなら、少なくとも次の区別を付けておくことが大切です。
ここで慎重になることは、問題を小さく扱うことではありません。不確かな部分を残したまま、何を止め、誰に知らせ、どこを追加調査するかを決めるための作業です。調査結果が変わった場合に、説明を更新できる状態にもなります。
経営が読むべきなのは、企業名よりデータの通り道
他社の事案を聞いたとき、同じ業界かどうかを最初に見ることは自然です。ただ、業界が違うから自社には関係がない、と判断するのは早すぎます。
会員情報を外部へ渡してメールを送ったり、予約情報を複製して分析したり、問い合わせ対応のために顧客情報を検索したりする業務があります。こうしたデータの扱いは、小売、交通、飲食、宿泊など複数の業界にまたがります。業界名よりも、自社と同じ形で情報を動かしているかの方が、点検には役立つことがあります。
AILがこの連載で重視するのは、入口、権限、保存先、管理者の四つをつなげて読むことです。これは公表資料を自社の判断に変えるための、私たちの整理です。
入口：情報にアクセスする窓口です。利用者向けのアプリだけでなく、裏側のAPI（システム同士が情報や機能をやり取りする窓口）、管理画面、開発用の接続も含みます。
権限：その窓口から、誰が何をできるかを定めたものです。
保存先：元のデータベースに加え、コピーや一時ファイルが置かれる場所も含みます。
管理者：それらの状態を把握し、変更や削除を決める人です。
四つのうち一つでも説明できなければ、対応の空白がある可能性があります。ただし、説明できないから直ちに侵害されているわけではありません。未確認の範囲として、調べる順序を付けるのが適切です。
「原因は委託先」で、分析を止めない
冒頭の経営会議に、担当者が他社事案の一覧を持ってきたとします。原因欄に委託先、クラウド、認証情報と書かれています。それだけでは、自社が何を変えるべきかがわかりません。
委託先で起きたなら、どの業務のために何を渡していたのでしょうか。クラウドなら、提供事業者の管理範囲と利用企業の設定はどう分かれるのでしょうか。認証情報なら、何の環境にどの権限で入れるものだったのでしょうか。原因を示す言葉だけで終わらせず、実際にどの業務で何をしていたのかまで具体的に考える必要があります。
例えば、会員向けキャンペーンを外部に委託するという想定例では、応募者の全項目を渡す必要があるのか、作業後にファイルを残す必要があるのか、担当者の端末へ保存してよいのかを問えます。同じ委託でも、渡す情報や作業方法によってリスクは異なります。
逆に、他社で被害が起きたことを理由に、自社でもすべての委託を止めるのは現実的ではありません。必要な業務を維持しながら、過剰なデータや権限、確認できない保存先を減らす方が、具体的な改善につながります。
AIを加えたときは、どの経路が増えるのか
ここまでの話には、AIがなくても成立する問題が多くあります。それでも、この連載でAIを扱う理由があります。AIエージェント（情報の取得やツールの操作を行うAI）を会員基盤や業務システムにつなぐと、情報を探し、選び、別の処理へ渡す経路が増えるからです。
顧客が入力した問い合わせを読み、履歴を取得し、外部ツールで処理します。人が画面を一つずつ操作していたときと比べ、どの情報へ、どのIDで、どんな条件で到達できるかを整理し直す必要があります。これは接続設計から導かれる論点であり、今回挙げた企業の事案がAIによって起きたという意味ではありません。
導入したAIの製品名だけでは、増えたリスクを判断できません。外部の文章を読むだけのものか、顧客情報を取得するのか、予約や住所を書き換えるのかで、必要な検証は変わります。経営に報告すべきなのは、導入数と並べて、データへ届く経路の変化です。
Gartnerも2026年のサイバーセキュリティの動向として、エージェント型AIへの監督を挙げています。私たちはこれを、自社で増えた接続と権限を説明できるかという実務の問いに置き換えて考えます。
比較表を一枚作ると、見立てはどこで変わるか
冒頭の担当者が、件数の大きな順に並べた資料を作り直す場面を考えてみます。企業名と件数の間に、確認の段階を一列加えます。さらに、情報が置かれていた場所と、自社にも同じ経路があるかを加えます。
すると、最大の数字が付いた事案だけが、最優先の教材とは限らなくなります。件数が比較的小さくても、自社が始めようとしている外部連携と同じ構造なら、先に確認する価値があります。これは他社の被害の深刻さを順位付けすることとは違います。自社が何を学ぶかの順序を付ける作業です。
比較表に「原因不明」と残った場合も、推測で埋めない方がよいでしょう。入口がわからなくても、自社にも同じ種類のデータを置く場所があるなら、保存理由とアクセス権限は確認できます。公表されていないことを、何も学べない理由にしません。
一方、確定した原因を他社から自社へそのまま移すのも危険です。同じクラウドという名称でも、設定、役割分担、接続方法は異なります。自社で当てはまる条件を確認して初めて、対策の候補になります。
ここでの経営の役割は、担当者にすべての原因を言い切らせることではありません。確認できた事実から何を判断し、何がわからないため保留し、いつ追加の確認を受けるかを決めることです。保留した事項にも責任者と期限を決めておけば、わからないという報告も次の行動につながります。
この読み方を続ければ、別のニュースが出るたびに同じ不安から議論をやり直す必要がなくなります。既存の比較表へ一件追加し、これまでの前提を変える情報があるかを見ます。新しい脅威が確認されたのか、既存の未対応箇所が再び問題になったのかで、追加する作業を選べます。
他社のニュース一件を、自社の確認事項一件に変える
次の経営会議では、すべての事件を解説する必要はありません。自社と共通する経路がある一件を選び、確認できた事実、未解明の点、自社にもある構造、次に確かめることを一枚にまとめてはどうでしょうか。
たとえば、委託先に顧客情報を渡す業務を一つ選びます。自社の確認事項が一時ファイルの保存先なら、契約書だけで回答を済ませず、実際の保存方法と消去の確認へ進みます。担当者と確認日を決め、資料がない箇所は未確認と記します。資料の見栄えより、その問いに答えられる人がいるかが重要です。
報告に使った事案の公表日と参照日も残しておきます。後日、流出範囲や原因の説明が更新されたら、自社の見立ても見直すためです。他社の最初の発表だけを貼り付けた資料が、長く社内の判断根拠として残ることは避ける必要があります。
個人情報漏えいが相次ぐ理由を、一つの技術で説明することはできません。しかし、公表事案から自社の管理の前提を点検することはできます。守っているつもりの場所を特定し、確かめた結果で説明します。そこから、投資すべき対策も見えてきます。
参考情報
本稿の公表情報の確認基準日：2026年10月22日。想定場面とAILの提言は、実在企業の内部状況を示すものではありません。
AILのサービス・プロダクトについて
AILでは、人材育成、実践知の蓄積・活用、導入に向けたコンサルティング、プロダクトの提供を通じて、企業のAI活用を支援しています。自社の課題に合った支援を、サービス紹介ページでご覧いただけます。
AI Librariumについて
本記事は、AI Librarium（アイブリウム）株式会社が発信しています。
AILは、専門家の知見や判断基準を、実務で使えるAI Skillとして届け、研修やコンサルティングを通じて企業の業務変革を支援します。その実践で得られた成果や課題を、AI Skillの改善と人材育成に活かし、次の変革につなげていくことを目指しています。
