2026年11月2日、サントリーホールディングスが、グループの従業員などおよそ10万人分の個人情報が漏洩したと発表しました。10月だけでも、通販サイト、航空会社、タクシー会社、新聞社などで漏洩の発表が続いています。
「なぜ、こんなにも続くのか」。この記事では、セキュリティ機関の注意喚起や公表データをもとに、漏洩が相次ぐ4つの理由を整理します。そのうえで、利用者にとって何が変わったのか、どう身を守ればいいのかをまとめます。
注目したいのは、漏れたのが「お客さん」ではなく、従業員や就職活動の応募者の情報だったことです。10月30日に発表された日本交通の件でも、約29万人分のうち最も多いのは採用の応募者（約10万8,000人）でした。商品を買っていなくても、応募や登録をしただけの会社から情報が漏れる。それが今の漏洩の特徴の一つです。
セキュリティ会社のマクニカの集計では、国内の企業がWebシステムからの個人情報の漏洩などを発表した件数は、次のように増えています。
2026年は10月6日の時点で、すでに前年1年分を大きく超えました。119件のうち81件は7月以降の発表です。また、個人情報保護委員会のまとめでは、不正アクセスによる漏洩の報告は、10月は16日までの半月で830件と、9月1か月分（303件）の2.7倍に達しています。
出典：マクニカの集計（サイバーセキュリティラボ「2026年秋、情報漏えいはなぜ止まらないのか」で紹介）、個人情報保護委員会「参考資料2」（2026年10月28日）の速報値。
JPCERT/CC（国内のセキュリティ対応の調整機関）は10月9日、国内で相次ぐ不正アクセスについて注意喚起を出しました。そこで最初に挙げられているのが、すでに知られている脆弱性（ソフトの弱点）を探して突く攻撃です。修正版が出ていても、更新されていないシステムや、設定の不備が残ったままの機器が狙われています。
10月には、Webサイトで広く使われているプログラミング言語PHPで深刻な脆弱性が見つかり、修正版の公開前に情報が漏れ出す騒ぎもありました。国内でも多くのサービスが緊急メンテナンスに追われました。
同じ注意喚起では、アプリやシステムどうしをつなぐ「API」を悪用した不正操作も挙げられています。公開されているスマホアプリを解析して、画面からは操作できない内部の仕組みに直接アクセスし、権限を書き換えたり、不正なアカウントを作ったりする手口です。
社内向けのデータ分析ツールや管理システム、外部のクラウドサービスなど、利用者からは見えない場所が入口になるケースが増えています。サントリーの件も、グループが使う外部のクラウドサービスへの不正アクセスでした。
攻撃者は、ある場所で盗んだIDやパスワード、システムの認証キーを、別の場所で使います。JPCERT/CCは、他のシステムへの侵害で盗まれたAPIキーが使われた例も報告しています。10月に発表された日本経済新聞社の約183万件の漏洩も、クラウドにアクセスするための認証情報が盗まれたことが原因とされています。
これは、個人がパスワードを使い回して乗っ取られる仕組みとまったく同じです。1か所で漏れた鍵が、次の侵入の入口になる。漏洩が連鎖しやすいのはこのためです。
警察庁によると、脆弱性を探すような不審なアクセスは、1日・1IPあたり13,687件と、前年同期（9,085.4件）の約1.5倍に増えました。送信元の大部分は海外です。国の資料では、AIを悪用して攻撃の大部分を自動で実行した例も報告されています。
ただし、個々の漏洩でAIが使われたと確認された情報は、今のところ多くありません。「AIのせいで急増した」と言い切れる段階ではないことにも注意が必要です。
一方で、セキュリティ会社ラックのCTOは、攻撃そのものが短期間に急増したというより、各社の調査と公表の時期が重なった面も大きいと指摘しています。不正アクセスの発覚から公表までには、調査のために数週間〜数か月かかることがあります。日本交通の件も、不正アクセスは7月で、詳しい公表は10月でした。
つまり、「どこから漏れたか」を追いかけるより、どこから漏れても被害につながらない状態を先に作っておくほうが現実的です。
あわせて読みたい：【漏洩対策ガイド】企業の発表を待たずに、今日できる7つの防衛策
ランキングは、運営者が各社の公式情報をもとに「漏洩対策としての効果」「日本語での使いやすさ」「始めやすさ」の観点で選んだものです。料金や機能は変わることがあるため、申し込み前に公式サイトでご確認ください。