個人情報漏洩が多すぎるのはなぜ？2026年の実態と自分でできる対策

ニュースを開くたびに、どこかの企業で個人情報が漏れたと報じられていて、「いくらなんでも多すぎるのでは」と感じていませんか。
自分が使っているアプリやサービスの名前が出てくると、不安はいっそう大きくなります。
結論から言うと、漏洩は実際に増えており、とくに2026年は1件あたりの規模が過去に例のない水準になっています。
この記事では、最新の統計をもとに「なぜこれほど多いのか」を整理し、漏れたあとに起きること、今日からできる対策、連絡が来たときの手順までを解説します。

結論：多く感じる理由は「攻撃の増加」「1件の巨大化」「見える化」の3つが重なっているから

個人情報漏洩が多すぎるように感じる背景は、大きく3つに分けられます。

背景	内容
攻撃の増加	ランサムウェアなどの不正アクセスが、事故原因の6割以上を占める
1件の巨大化	会員基盤やアプリに大量の情報が集まり、1回の侵入で数百万〜1,000万件超が流出する
見える化	2022年4月から報告が義務になり、以前は表に出なかった事案も集計されるようになった

つまり、「昔から漏れていたものが急に目立ってきた」のではなく、実際に起きる件数も、1件あたりの大きさも増えているうえに、報告制度で見えやすくなったというのが実態に近いといえます。
以下、順に数字で確認します。

数字で見る：個人情報漏洩は本当に増えているのか

上場企業の事故件数と人数

東京商工リサーチは、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を2012年から集計しています。

年	事故件数	漏えい・紛失した人数	特徴
2024年	189件	約1,587万人分	4年連続で件数が最多
2025年	180件	約3,064万人分	件数は減ったが人数は約2倍。公表社数は158社で過去最多
2026年（10月5日時点）	－	－	100万件以上の大型事故がすでに10件（2025年通年は6件）

2025年は件数が前年より9件減ったものの、100万人以上の大型事故が2件から6件に増え、人数は約2倍に膨らみました。
2012年から2025年までの累計では1,634件、延べ約2億1,313万人分にのぼります。
件数が横ばいでも、被害人数が跳ね上がるところが、近年の特徴です。

📎 出典：東京商工リサーチ TSRデータインサイト「上場企業の『個人情報漏えい・紛失』事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分」

2026年は「過去最悪ペース」

2026年は、1,000万件以上の漏えいがすでに3回発生しています。
2012年から2025年までの14年間で、1,000万件以上の事故は3回だけでした。
つまり、2026年は10月上旬の時点で、過去14年分に並ぶ規模の事故が起きたことになります。

📎 出典：東京商工リサーチ TSRデータインサイト「上場企業『個人情報漏えい』、過去最悪ペース ～ 100万件以上、2026年はすでに10件の異常事態 ～」

法律に基づく報告件数（個人情報保護委員会）

上場企業に限らず、すべての事業者を対象にした数字もあります。
個人情報保護委員会の年次報告によると、民間事業者からの漏えい等の報告件数は次のように推移しています。

年度	民間事業者の報告件数	補足
令和5年度	12,120件	－
令和6年度	19,056件	過去最多。社会保険・人事労務の支援システムが不正アクセスを受けた事案が押し上げた
令和7年度	17,139件	約1割減。前年度のような突出した事案がなかった
令和8年度 第1四半期（4〜6月）	5,451件	令和7年度の四半期平均（約4,285件）を上回る

令和7年度は、国や自治体などの行政機関でも2,278件の報告があり、前年度の1,951件から増えています。
このように、年度によって増減はありますが、1年間に1万件を超える報告があること自体が、すでに常態化しているといえます。

なぜこれほど多いのか：6つの理由

理由1：不正アクセス・ランサムウェアが急増している

2025年の上場企業の事故180件を原因別に見ると、次のとおりです。

原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4%
誤表示・誤送信	37件	20.5%
紛失・誤廃棄	18件	10.0%
不正持ち出し・盗難	7件	3.8%

不正アクセスによる事故は116件で、2年連続の100件台、過去最多です。
ランサムウェアは、システム内のデータを暗号化して使えなくしたうえで、「元に戻してほしければ金銭を払え」と要求する攻撃です。
近年は、データを暗号化するだけでなく、先に盗み出したうえで「公開されたくなければ払え」と迫る手口も広がっており、攻撃を受けた時点で、情報が外部に持ち出されている可能性が高いのが厄介な点です。
攻撃手法は年々高度化し、企業が防御策を整えても、新しい手口が出てくるいたちごっこが続いています。

理由2：委託先・取引先が狙われ、被害が連鎖する

自社の守りが堅くても、業務を預けている委託先が攻撃されれば、情報は漏れます。
東京商工リサーチも、大手企業や他社から多くの業務を請け負う企業が被害を受けたことで、影響が広範囲に広がったと分析しています。
たとえば、ダイレクトメールの印刷や帳票の作成、アンケートの運営、FAQシステムの提供など、一見すると地味な業務の委託先が、数十〜数百の取引先の情報をまとめて預かっていることがあります。
攻撃者にとっては、1社に侵入するだけで、多数の企業の顧客情報にたどり着けるため、効率のよい標的になります。
利用者から見ると、自分は一度も契約していない会社から情報が漏れることがあるのも、このためです。

理由3：会員基盤・アプリに大量の情報が集まっている

ポイントカード、公式アプリ、予約システム、カーシェアの会員登録など、日常のあらゆる場面で氏名・住所・電話番号・メールアドレスを登録するようになりました。
その結果、1つの企業のシステムに数百万〜1,000万人規模の会員情報が蓄積されています。
これは統計に直接書かれた理由ではなく、事故の規模から見た一般的な構造ですが、情報が1か所に集まるほど、侵入されたときの被害も1か所で大きくなるという関係があります。
2026年に100万件を超える事故が相次いでいるのは、こうした会員基盤が狙われた結果でもあります。

理由4：誤送信・紛失などの人的ミスが一定数ある

2025年の事故のうち、誤表示・誤送信が37件、紛失・誤廃棄が18件で、合わせて3割ほどを占めます。
件数としては、攻撃よりもこちらのほうが身近に起きています。
メールの宛先間違い、Web上のフォーム設定ミスで入力内容が誰でも閲覧できる状態になっていた、書類やUSBメモリを置き忘れた、といった事例は、規模の大小を問わず、毎月のように公表されています。
個人情報保護委員会の資料でも、病院や薬局、損害保険業者などでの誤交付が目立つとされています。

理由5：内部不正・持ち出しもゼロにならない

悪意を持った従業員や、委託先の元従業員による持ち出しも、2025年は7件ありました。
過去最大の事故とされる2014年のベネッセの約3,504万件は、グループ会社の業務委託先の元社員による不正な持ち出しでした。
外部からの攻撃への対策が進んでも、内部の権限管理が甘ければ、情報は流出します。

理由6：報告が義務になり、事案が見えるようになった

2022年4月の個人情報保護法の改正で、一定の漏えい等が起きた場合に、個人情報保護委員会への報告と本人への通知が義務になりました。
それ以前は、外部に知らせずに済ませていた事案もありました。
いまは、一定の条件に当てはまると報告が必要です。
報告が義務になったぶん、年間の件数が1万件を超える規模で可視化されるようになったと考えられます。
そのため、報告件数の増加には「実際に増えた分」と「見えるようになった分」の両方が含まれており、後者は悪いことではなく、むしろ対策が進む土台になります。

2026年に公表された主な大型事例

東京商工リサーチの集計で、2026年に公表された大規模な事案のうち、主なものは次のとおりです。

企業	件数	補足
KDDI	1,223万1,954件	ISP向けメールシステムへの不正アクセス。メールアドレスが漏えい。2026年で最大
物語コーポレーション（焼肉きんぐ）	1,078万8,963件	公式アプリの会員情報。10月5日に公表
タイムズモビリティ	約660万件（アカウント数）	9月28日に公表。運転免許証画像を含む本人確認書類情報が漏れた可能性
イエローハット	317万9,454件	4月に連結子会社の会員専用サーバーへの不正アクセスを公表
イエローハット（本体）	最大180万1,499件	8月に予約システムへの不正アクセスを公表。短期間で2回の大量漏えい

2026年の大規模漏えいのうち5件は、歴代の漏えい件数ワースト10位に入るとされています。
政府も2026年10月8日に、不正アクセスによる漏えいが相次いでいることを受けて、関係省庁会議を開くと発表しました。
個人情報保護委員会も、大量の個人情報を扱う事業者に向けた注意喚起を出しています。

漏れた情報で、実際に何が起きるのか

「漏れた」と聞いても、具体的に何が困るのか分かりにくいものです。
漏れた情報の種類ごとに、起こりうることを整理します。

漏れた情報	起こりうること	優先してやること
メールアドレス	迷惑メール、フィッシングメールの増加	不審なメールのリンクを開かない
氏名・住所・電話番号	詐欺電話、不審な郵送物、なりすまし	知らない連絡は一度切って、公式窓口にかけ直す
ID・パスワード	他サービスへの不正ログイン（使い回している場合）	該当サービスと、同じパスワードのサービスを変更する
クレジットカード情報	不正利用	明細の確認、カード会社への連絡
運転免許証などの本人確認書類の画像	なりすましでの契約の試み	身に覚えのない契約通知・督促に注意し、不安なら相談窓口へ

多くの場合、漏れた直後に被害が出るのではなく、数週間〜数か月たってから、フィッシングや詐欺の連絡が増える形で影響が出ます。
漏洩の連絡を受けたときに、「何も起きていないから大丈夫」と思わず、しばらくは注意を続けることが大切です。

自分でできる対策：今日から取り組める7つのこと

企業側の対策は、利用者には変えられません。
それでも、漏れたあとの被害を小さくする行動は、個人でも取れます。

対策1：パスワードの使い回しをやめる

もっとも効果が大きいのが、サービスごとに異なるパスワードを使うことです。
同じパスワードを使い回していると、1つのサービスから漏れたIDとパスワードの組み合わせで、別のサービスにも不正にログインされるおそれがあります。
覚えきれない場合は、ブラウザやスマートフォンに標準で付いているパスワード管理機能、またはパスワード管理アプリを使うと、長くて複雑なパスワードも無理なく運用できます。

対策2：二段階認証・パスキーを設定する

パスワードだけに頼らず、ログイン時にスマートフォンでの確認を加えると、パスワードが漏れていても、すぐには突破されにくくなります。
メール、ネットバンキング、通販サイト、SNSなど、まず「お金」と「メール」に関わるサービスから優先して設定するのが現実的です。
メールアドレスを乗っ取られると、他のサービスのパスワード再設定にも使われてしまうためです。

対策3：使っていないアカウントを整理する

情報が漏れるのは、いま使っているサービスだけではありません。
昔に登録して放置しているアプリや会員サイトにも、氏名やメールアドレスが残っています。
退会できるものは退会し、不要な情報は預けないことが、漏洩のリスクそのものを減らします。

対策4：メールやSMSのリンクからはログインしない

漏洩のニュースが出ると、それに便乗した偽のお知らせメールやSMSが増えます。
「情報が漏れたので、こちらからパスワードを変更してください」という連絡のリンクは、本物かどうかを必ず疑ってください。
不安なときは、メールのリンクではなく、公式アプリや、自分でブックマークしておいた公式サイトから確認します。

対策5：カードの明細・口座を定期的に見る

クレジットカード情報が含まれる可能性がある場合は、利用明細を普段より頻繁に見て、身に覚えのない請求がないかを確認します。
不審な請求があれば、カード会社に連絡してください。
カード番号の再発行が必要かどうかは、カード会社が案内してくれます。

対策6：企業からの通知は、公式の発表と照らし合わせる

漏洩の通知は、メールや書面で届きます。
届いた内容は、企業の公式サイトに掲載されているお知らせと見比べて、本物かどうかを確認します。
公式サイトに記載がなければ、通知自体を疑い、記載の電話番号やリンクではなく、公式サイトの問い合わせ窓口を使います。

対策7：登録する情報を最小限にする

新しいサービスに登録するときは、必須でない項目は空欄にする、本人確認書類の提出が本当に必要かを考える、という習慣も有効です。
預けた情報の量は、そのまま漏れたときの被害の大きさになります。

「自分の情報が漏れた」と連絡が来たときの手順

漏洩の通知を受け取ったら、慌てずに、次の順序で動きます。

順番	内容
1	通知が本物かを、公式サイトのお知らせと照らし合わせて確認する
2	何の情報が対象かを確認する（メールアドレスのみか、カード情報や本人確認書類も含むか）
3	対象のサービスのパスワードを変更する。同じパスワードを使っている他のサービスも変更する
4	二段階認証を設定する
5	カード情報が対象なら、明細を確認し、必要に応じてカード会社に相談する
6	本人確認書類が対象なら、身に覚えのない契約や督促に注意する
7	しばらくの間、不審なメール・SMS・電話に警戒する

通知の中に「パスワードを教えてください」「カード番号を入力してください」と求める内容があれば、詐欺の可能性が高いため、応じないでください。
困ったときは、警察相談専用電話の「#9110」や、消費者ホットラインの「188」で相談できます。

個人情報漏洩を「ゼロにはできない」前提で考える

ここまで見てきたとおり、不正アクセスは高度化し、委託先経由の被害も避けられず、人的ミスもなくなりません。
企業がどれだけ対策しても、利用者が「いつかは自分の情報も漏れるかもしれない」と考えて備えておくことが、現実的な向き合い方です。
具体的には、「漏れても被害が広がらないようにしておく」ことです。
パスワードの使い回しをやめ、二段階認証を設定し、不要なアカウントを整理し、預ける情報を絞る。
この4つを整えておくだけで、漏洩のニュースが流れても、「自分は何をすればよいか」がはっきりするようになります。

よくある質問

Q1. 個人情報漏洩は、本当に増えているのですか？

件数と規模の両方で増えています。
上場企業の事故は、2025年は180件で前年より減りましたが、漏れた人数は約3,064万人分と前年の約2倍になりました。
2026年は、100万件以上の大型事故が10月上旬の時点で10件に達し、2025年通年の6件をすでに上回っています。
なお、報告が義務化された影響で、以前は表に出なかった事案が見えるようになった面もあります。

Q2. 漏洩の原因でいちばん多いのは何ですか？

2025年の上場企業の事故では、ウイルス感染・不正アクセスが116件で、全体の64.4%を占めました。
次いで、誤表示・誤送信が37件（20.5%）、紛失・誤廃棄が18件（10.0%）です。
件数の大半は外部からの攻撃ですが、人的ミスも3割ほどあり、攻撃対策だけでは防げないことが分かります。

Q3. 自分のメールアドレスだけが漏れた場合も、対策は必要ですか？

必要です。
メールアドレスが漏れると、フィッシングメールや迷惑メールが増える可能性があります。
パスワードが漏れていなくても、そのメールアドレスで登録しているサービスのパスワードを使い回していないかを見直し、二段階認証を設定しておくと安心です。
不審なメールのリンクは開かず、公式アプリや公式サイトから確認する習慣をつけてください。

Q4. 運転免許証の画像が漏れた可能性があるときは、どうすればよいですか？

まず、企業の公式発表で、自分が対象かどうかと、漏れた情報の範囲を確認します。
そのうえで、身に覚えのない契約の通知や督促、本人確認を名目にした連絡に注意してください。
不安がある場合は、警察相談専用電話の「#9110」や消費者ホットラインの「188」に相談できます。
対応は状況によって変わるため、企業が案内する手順に従ってください。

Q5. 漏洩した企業のサービスは、使うのをやめるべきですか？

一律にやめる必要はありません。
ただし、そのサービスのパスワード変更と二段階認証の設定は、すぐに行ってください。
今後も使い続けるかどうかは、企業が公表する原因と再発防止策の内容、不要な情報を預けていないかを踏まえて判断します。
使っていないサービスであれば、この機会に退会するのも1つの方法です。

まとめ

個人情報漏洩が多すぎるのは、不正アクセスの増加、1件あたりの巨大化、委託先を通じた連鎖、人的ミス、そして報告義務化による見える化が重なっているためです。
企業側の対策に頼るだけでは防ぎきれないため、利用者も「漏れても被害を広げない」備えをしておく必要があります。

ポイント	内容
実態	2025年は上場企業で180件・約3,064万人分。2026年は100万件超がすでに10件
主な原因	不正アクセスが約6割。誤送信・紛失などの人的ミスが約3割
今日やること	パスワードの使い回しをやめる。二段階認証を設定する
通知が来たら	公式サイトで本物かを確認し、パスワードを変更する
注意	漏洩に便乗した偽のメール・SMSのリンクから、ログインしない

まずは、メールと、お金に関わるサービスのパスワードが、他と同じになっていないかを確認するところから始めてみてください。