なぜ最近、情報漏洩のニュースが多いのか？2026年9〜10月に相次いだ5つの理由とAI・ダークウェブの関係

2026年9月の後半から、情報漏洩のニュースが途切れません。業種を問わず、ほぼ毎日のように「不正アクセス」「個人情報流出のおそれ」といった見出しを目にした方も多いのではないでしょうか。

被害を受けたのは、直接狙われた企業だけではありません。業務を任せていた委託先や、利用していた外部サービスが攻撃され、その影響が利用企業にまで及んだケースも多く含まれています。

なぜ、ここまで集中したのでしょうか。現時点で、特定の攻撃者による一斉攻撃や、ひとつの脆弱性が原因だとは確認されていません。各社の公表内容を見ていくと、次のような共通点や背景が見えてきます。

• 多くの企業が使う委託先・クラウドサービスへの攻撃
• ランサムウェアによる「盗んで脅す」攻撃
• Webアプリ・APIへの攻撃とAIの悪用
• ID・パスワードなどの認証情報の悪用
• 「おそれ」の段階での速報公表

本記事では、2026年9〜10月の事例をもとに、漏洩が相次ぐ理由と、漏洩した情報がその後どこへ流れるのかを整理します。あわせて、企業が今取るべき対策も紹介します。

2026年9〜10月に何が起きたのか？主な情報漏洩事案一覧

2026年9月末以降の漏洩は、件数の多さに加えて、1件あたりの規模の大きさが目立ちます。東京商工リサーチによると、上場企業とその子会社が公表した100万件以上の漏洩は、2026年10月5日時点ですでに10件。2025年の1年間の6件を大きく上回る「過去最悪ペース」です（東京商工リサーチ）。

主な事案を公表日の新しい順に並べると、次のとおりです。

出典：各社の公式発表（2026年10月30日時点）。件数には「最大」「可能性」「延べ」など、単位や確度の異なる値が含まれるため、単純に合計することはできません。後日の調査で縮小・撤回された事案もあります。

公表内容では、次のような攻撃や被害の特徴が見られます。

• 委託先・クラウドサービス
• ランサムウェア
• WebアプリやAPIの脆弱性
• 盗まれた認証情報

こうした攻撃や被害の特徴に、公表のされ方も含め、5つの背景として整理します。次の章で、一つずつ見ていきましょう。

なぜ情報漏洩が相次いでいるのか？5つの理由

2026年9〜10月の事案について、公表内容から読み取れる背景を5つに整理します。

1. 多くの企業が使う委託先・クラウドが狙われ、被害が一斉に広がった
2. ランサムウェアが「暗号化」から「盗んで脅す」手口に変わった
3. WebアプリやAPIの弱点が狙われ、AIの悪用も確認された
4. ID・パスワードなどの認証情報が不正ログインに使われた
5. 漏洩のおそれがある段階での公表も、ニュースに含まれる

なお、JPCERT/CCは注意喚起の中で、掲載した攻撃手法について「すべての事案で同一の攻撃手法が使用されていることを示すものではありません」と説明しています。特定の攻撃者による一斉攻撃と断定されたわけでもありません（JPCERT/CC 注意喚起）。ここで挙げる5つは、各社の公表内容から読み取れる主な背景で、互いに重なる部分もあります。

① 多くの企業が使う委託先・クラウドが狙われ、被害が一斉に広がった

今回とくに目立ったのが、委託先やクラウドサービスへの攻撃が、それを利用する企業にまで波及したケースです。メール配信サービス「Cuenote FC」（ユミルリンク）や問い合わせ管理サービス「i-ask」（スカラコミュニケーションズ）への不正アクセスでは、JR西日本や大和証券などの利用企業が相次いで被害を公表しました。

こうした被害が「一斉に」広がるのは、ひとつのサービスに多くの企業のデータがまとめて預けられているからです。メール配信や問い合わせ対応、サーバーの運用などは外部に任せる企業が多く、委託先には複数の企業の顧客情報が集まっています。攻撃者から見れば、1社ずつ狙うより、多くの企業が使うサービスを1か所突破するほうがはるかに効率的です。1つの委託先が突破されると、その利用企業の数だけ「情報漏洩ニュース」が生まれることになります。

IDCFクラウドでは、ランサムウェアによって495の企業・自治体の仮想サーバーが停止・暗号化されました（仮想サーバー内のデータの外部流出はなかったと報告されています）。このように、委託先や取引先を経由して標的にたどり着く攻撃を「サプライチェーン攻撃」と呼びます。第一興商のように、委託先のパソコン1台がマルウェアに感染しただけで、約872万件に漏洩のおそれが生じた事例もあります（外部への漏洩や不正利用は確認されていません）。

• ⇒JR西日本など3社で会員情報漏洩、原因はメール配信委託先への不正アクセス
• ⇒大和証券の委託先に不正アクセス、約11万人の顧客情報が漏洩した可能性。企業が見直すべき委託先管理
• ⇒Studioに不正アクセス、フォーム送信情報などが流出の可能性。利用企業にも広がる「委託先リスク」と確認すべきポイント

② ランサムウェアが「暗号化」から「盗んで脅す」手口に変わった

ランサムウェアの被害も続いています。警察庁によると、2026年上半期に報告されたランサムウェア被害は123件で、そのうち79件が中小企業でした（警察庁の公表資料）。9〜10月にも、IDCFクラウドやライドオンエクスプレスのサーバー運用会社などが被害を受けています。

もともとランサムウェアは、データを暗号化して使えなくし、「元に戻したければ身代金を払え」と迫るものでした。しかし現在は、暗号化する前にデータを盗み出し、「支払わなければ公開する」と脅す二重恐喝が主流です。

つまり、ランサムウェアに感染した時点で、データがすでに盗まれている可能性があります。そのため被害を受けた企業は、システム停止の発表とあわせて「個人情報漏洩のおそれ」も公表するケースが多くなっています。あくまで「おそれ」の段階での公表なので、調査の結果、IDCFクラウドのように「外部流出はなかった」と報告されるケースもあります。

さらに最近は、データを暗号化せず、盗んだ情報だけを材料に脅す手口も出てきました。GMOインターネットの「お名前.com デスクトップクラウド」では、10月21日に不正アクセスを公表したあと、約80億円を要求する脅迫メールが届きました。GMOインターネットが要求を拒否すると、攻撃者は10月27日、同社とその顧客に関する情報と称するものを公開しています（GMOインターネットは内容を未検証としています）。この時点でランサムウェアは確認されておらず、暗号化をしなくても「盗んで脅す」だけで攻撃が成り立っていることがうかがえます（GMOインターネットグループ 第10報）。

• ⇒ランサムウェアとは？手口や対策まで詳しく解説
• ⇒ランサムウェアから企業を守る！未然防止策から感染時の対処手順も解説

③ WebアプリやAPIの弱点が狙われ、AIの悪用も確認された

タイムズカー（Webシステムの脆弱性）やソースネクスト（会員情報取得APIの不正利用）のように、インターネットに公開しているシステムの弱点を突かれた事案も目立ちます。JPCERT/CCは10月15日、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃を行っていたことを確認したと公表しました。放置されたサーバーや設定ミスは、以前よりずっと短い時間で見つかってしまうと考えたほうがよいでしょう。

一方で、攻撃を受けるまでもなく、情報が外から見える状態になっていたケースもあります。GMOトラスト・ログインでは、本来は非公開のファイルが公開用の保存領域に置かれたまま、2017年11月から約9年間、誰でも取得できる状態になっていました。発覚のきっかけは、外部の研究者からの指摘です。設定ミスは、自社が気づくより先に外部の人に見つかってしまうことがあります。今回は研究者からの指摘でしたが、同じものは攻撃者にも見つけられます。

• ⇒タイムズカーに不正アクセス、約660万アカウントの情報が漏洩 運転免許証画像の悪用リスクと対策
• ⇒アタックサーフェス（攻撃可能領域）とは？種類や低減させる方法を解説
• ⇒脆弱性とは？発生原因から被害事例、対処法までわかりやすく解説

④ ID・パスワードなどの認証情報が不正ログインに使われた

2026年9〜10月には、次のような認証情報の悪用が公表されています。

• 大阪公立大学：再委託先の正規アカウントによる不正アクセス
• i-ask（大和証券などが利用）：管理サイトへの不正ログイン
• 三井不動産（9月）：資格情報の不正利用

一般に、ID・パスワードはインフォスティーラー（パソコンから認証情報を盗み出すマルウェア）やフィッシングなどで盗まれ、不正ログインに悪用されることがあります。こうした不正ログインは、正規の利用者と見分けがつきにくく、不正に気づくのが遅れるおそれがあります。

こうして盗まれたID・パスワードは、ダークウェブで売買されることも少なくありません。自社の従業員や委託先のアカウント情報が出回っていないか、日頃から確認しておくことが、不正ログインを防ぐ近道です。

• ⇒ダークウェブに流出した自社の認証情報を検知する「ダークウェブアイ／情報漏洩」
• ⇒三井不動産で資格情報が不正利用？！役職員等と社外関係者の情報漏洩のおそれ
• ⇒パスワードが漏洩した12件の事件事例！主なサイバー攻撃手口や対策も解説
• ⇒マルウェアとは？種類や感染リスクと経路、感染・被害拡大を防止する方法を解説

⑤漏洩のおそれがある段階での公表も、ニュースに含まれる

ニュースが多く見える背景には、企業の公表のしかたも関係しています。とはいえ、これは今回急に始まった話ではありません。2022年4月に施行された改正個人情報保護法で、一定の漏えい等（そのおそれがある場合を含む）が起きたときは、個人情報保護委員会への報告と本人への通知が義務になりました。一般向けの公表までは一律に義務づけられていませんが、個人情報保護委員会は、事案の内容に応じて公表するのが望ましいとしています（個人情報保護委員会 FAQ）。

実際に、①の委託先での事故でも、漏洩のおそれがある段階で公表した企業があります。1つの委託先で事故が起きると、利用企業がそれぞれ公表するため、同じ事故に関するニュースが複数生まれます。後日の調査で「漏洩は確認されなかった」と報告される事案もあるため、ニュースの件数と漏洩が確定した事案の件数は区別して読む必要があります。

AIは情報漏洩の増加に関係しているのか？

最近は「AIで攻撃が増えている」という話を耳にする機会も増えました。では、今回の漏洩の多さは、そもそもAIのせいだといえるのでしょうか。

攻撃者がAIを使っていることは、JPCERT/CCの調査で確認されています。ただし、本記事で取り上げた個別事案へのAIの関与までは、公表情報から特定できません。

以下、確認されていることと、まだ分かっていないことを分けて整理します。

確認されていること

• 攻撃者がAIで脆弱性を探し、APIを攻撃していた：JPCERT/CCは10月15日、「攻撃者がAIを利用して、既知の脆弱性のスキャンやAPI経由での攻撃などを実施していたことを確認した」と公表しました。攻撃者側のサーバーからは、スマートフォンアプリを解析して内部APIを探るためのツールの痕跡が見つかっています（JPCERT/CC Eyes）。
• AIの攻撃自動化ツールが悪用されている：JPCERT/CCは10月23日、注意喚起に「AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を追加しました。本来は自社の弱点を調べるための診断ツールが、攻撃に使われているということです（JPCERT/CC 注意喚起）。

まだ分かっていないこと

• マクニカは10月7日の記事（10月6日時点の情報）で、「一連の事案でAIが使われたと断定できるログや痕跡は確認されていない」としつつ、「AIの利用は否定しにくい」と述べています（マクニカ）。
• JPCERT/CCも、すべての事案で同じ攻撃手法が使われたわけではないとしています。

AIで何が変わったのか

これまでは、アプリの解析や脆弱性の探索には専門知識と時間が必要でした。現在は、AIやアプリ解析ツールも脆弱性やAPIの調査に悪用されています。「うちは狙われるほど大きくない」「このAPIは誰にも知られていない」といった考えは、もはや安心材料になりません。攻撃者に見つかる前に、自社の弱点を見つけて塞ぐことが重要です。

AIのリスクは、攻撃する側だけの話ではありません。IPA「情報セキュリティ10大脅威 2026」では「AIの利用をめぐるサイバーリスク」が組織向けの3位に入りました。とくに注意したいのが、会社が認めていない生成AIサービスに、従業員が業務データを入力してしまう「シャドーAI」です。入力した内容がサービス側に保存されたり、AIの学習に使われたりすると、社外秘の情報や顧客情報が意図せず外部に漏れるおそれがあります。

• ⇒ChatGPTは危ない?最新の情報漏洩事例や対策を紹介
• ⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説

漏洩した情報はどこへ行くのか？ダークウェブで売買される仕組み

ここまで、漏洩が相次ぐ理由を見てきました。では、盗まれた情報はその後どうなるのでしょうか。攻撃者がこれほど熱心に情報を盗む背景には、盗んだ情報がお金になる仕組みがあります。

漏洩した情報は、ダークウェブ上のリークサイトやフォーラムで公開・売買され、不正ログインやフィッシングなど、次の攻撃に使われるおそれがあります。ダークウェブとは、Torなどの特殊なソフトウェアを使わないとアクセスできず、通常の検索エンジンでは見つけられない、匿名性の高いWeb上の領域のことです。

漏洩した情報が悪用される場合、一般に次のような流れをたどります。

1. 窃取：ランサムウェアやインフォスティーラー、委託先経由の不正アクセスで情報が盗まれる
2. 公開・売買：ダークウェブ上のリークサイトやフォーラムで、個人情報・認証情報・社内ネットワークへの「侵入経路」が取引される
3. 二次利用：購入した認証情報で別の企業に不正ログインしたり、個人情報を使って精巧なフィッシングを仕掛けたりする
4. 新たな漏洩：その結果、また別の企業で情報漏洩が起きる

ある企業から漏れた情報が、別の企業を狙う「材料」になるわけです。さらに、攻撃ツールや侵入経路そのものがサービスとして売り買いされているため、高度な技術を持たない攻撃者でも大規模な攻撃を仕掛けられるようになりました。漏洩の件数や規模が膨らみ続けている背景には、こうした仕組みがあります。

この流れが表に出た例が、GMOインターネットの「お名前.com デスクトップクラウド」の事案です。攻撃者は要求を拒否されたあと、GMOインターネットとその顧客に関する情報と称するものを公開しました（内容の真偽は未検証）。GMOインターネットは顧客に対し、公開されたサイトにアクセスしないことや、「被害金を取り戻す」などと言って費用を求める連絡に応じないことを呼びかけています。漏洩は公表して終わりではなく、そこから新たな被害が始まることもあるのです。

やっかいなのは、自社の情報がダークウェブに出回っていても、企業側ではなかなか気づけないことです。逆に言えば、社員のアカウント情報が売りに出された段階で気づければ、侵入される前にパスワードを変えるなどの対応ができます。

【ダークウェブシリーズ】もっと詳しく知りたい方へ

ダークウェブの仕組みから監視の方法まで、以下の順に読むと理解が深まります。

1. ⇒ダークウェブとは？仕組みや被害事件、対策まで徹底解説！
2. ⇒ダークウェブモニタリングとは？必要性と活用メリットを解説
3. ⇒ダークウェブモニタリングおすすめ10選！選ぶ際のポイントや情報が流出した際の対処法も解説

企業は何をすべきか？情報漏洩を防ぐ6つの対策

では、企業は何から手をつければよいのでしょうか。ここまで見てきたように、最近の漏洩は、委託先やインターネットに公開しているシステムが入り口になるケースが目立ちます。社内の対策を固めるだけでは足りず、外から自社がどう見えているかを把握することが欠かせません。5つの理由と対応づけて、取り組みたい対策を下表の6つに整理しました。

各対策の詳細は、以下の記事で解説しています。

• ⇒ASM（アタックサーフェスマネジメント）とは？実施ステップやおすすめツール6選を解説
• ⇒二要素認証（2FA）とは？
• ⇒取引先・委託先のセキュリティ管理とは？管理台帳と継続監視の進め方
• ⇒取引先のセキュリティ評価とは？評価基準・項目・チェック項目を解説
• ⇒セキュリティインシデントとは？発生する3つの原因や事例、対策方法を解説

用語解説

よくある質問（FAQ）

Q. なぜ最近、情報漏洩のニュースが多いのですか？

2026年9〜10月は、多くの企業が使う委託先やクラウドサービスが攻撃を受け、その影響が利用企業に一斉に広がったことが大きな特徴です。そこにランサムウェアによる恐喝や、脆弱性・盗まれた認証情報の悪用が重なりました。さらに、漏洩のおそれがある段階での公表も、ニュースの件数に含まれています。

Q. 情報漏洩はAIのせいで増えているのですか？

JPCERT/CCは、攻撃者がAIを使って脆弱性のスキャンやAPIへの攻撃を行っていたことを確認しています。ただし、今回の情報漏洩がどの程度AIによって増えたかは、公表情報からは判断できません。

Q. サプライチェーン攻撃とは何ですか？

標的の企業を直接狙わず、取引先や委託先、利用しているクラウドサービスを経由して侵入し、情報を盗む攻撃です。2026年秋には、メール配信サービスや問い合わせ管理サービスへの不正アクセスが、複数の利用企業に波及しました。

Q. 漏洩した個人情報はどうなりますか？

ダークウェブ上のリークサイトやフォーラムで公開・売買され、不正ログインやフィッシング詐欺などに悪用されるおそれがあります。漏洩した認証情報が別の企業への侵入に使われ、新たな漏洩につながることもあります。

Q. 自社の情報がダークウェブに漏れているか確認する方法は？

ダークウェブモニタリング（監視）サービスを使えば、自社ドメインに関連するメールアドレスや認証情報などが出回っていないかを継続的に確認できます。ダークウェブアイ／情報漏洩は、ダークウェブ上の自社関連情報を監視し、漏洩の早期発見を支援するサービスです。漏洩が見つかった場合は、パスワードの変更や認証設定の見直しなど、状況に合わせた対応につなげられます。

漏洩しているかどうかを詳しく確かめたい場合や、インシデントの後にダークウェブ上でどんな情報が出回っているのかを把握したい場合は、ダークウェブアイ／ディスカバリーを利用するのも一つの方法です。企業名やドメイン名、指定したキーワードをもとに、専門家が漏洩情報を調査・分析します。

Q. 企業がまず取り組むべき情報漏洩対策は何ですか？

まずは、委託先・取引先の管理、外部公開資産の把握、多要素認証の徹底から進めるのがおすすめです。外部公開資産と脆弱性の可視化にはダークウェブアイ／ASM、取引先・委託先の外部リスクの把握にはダークウェブアイ／SCMを活用することで、自社や委託先の「外から見えるリスク」を継続的に洗い出せます。すでに対策できている範囲と、まだ把握できていないリスクを切り分けることで、何から手をつけるべきかの優先順位もつけやすくなります。

まとめ：自社を守るだけでは、漏洩は防げない

2026年9〜10月の事案と公表内容からは、次のような背景が見えてきます。

• 多くの企業が使う委託先・クラウドへの攻撃
• ランサムウェアによる「盗んで脅す」攻撃
• Webアプリ・APIへの攻撃とAIの悪用
• ID・パスワードなどの認証情報の悪用
• 「おそれ」の段階での速報公表

さらに、盗まれた情報はダークウェブで売買され、次の攻撃に使われるおそれがあります。

自社の守りを固めるだけでは、委託先や外部で起きる漏洩までは防げません。外から自社がどう見えているのか、自社の情報がどこかに出回っていないか。まずはそこを把握することが、これからの対策の第一歩です。

自社の情報、ダークウェブに出回っていませんか？

SMSデータテックのダークウェブアイは、情報漏洩の監視・調査や、外部リスクの可視化を支援するサービスです。

• ダークウェブアイ／情報漏洩：ダークウェブ上の自社関連情報・認証情報の漏洩を検知
• ダークウェブアイ／ASM：外部から見える自社資産と脆弱性を可視化
• ダークウェブアイ／ディスカバリー：専門家がダークウェブ上の自社関連の漏洩情報を調査・分析
• ダークウェブアイ／SCM：取引先・委託先のセキュリティリスクを継続監視

導入企業の取り組みは「目に見えない外部リスクへの対策。カオナビがダークウェブアイで始めた、継続的なセキュリティ監視」で紹介しています。

まずは自社の現状を知るところから、お気軽にご相談ください。

参考資料

• 情報セキュリティ10大脅威2026（IPA）
• 不正アクセスに関する調査結果 第7報（IDCフロンティア）
• i-askへの不正アクセス（スカラコミュニケーションズ）