数字で見る、最近の情報漏えい：多いのは「うっかり」、大きいのは「攻撃」

2025年度に個人情報保護委員会が処理した、民間事業者等からの漏えい等の報告は17,139件でした。委員会が直接受け付けた報告では、誤交付・誤送付などの「うっかり」が約4分の3を占め、多くは紙の書類です。一方で、上場企業とその子会社が公表した事故では原因の6割強がウイルス感染・不正アクセスで、漏えい・紛失した人数（可能性を含む）は前年の約2倍になりました。「うっかり」と「攻撃」の両方に備える必要があります。

情報漏えいのニュースは毎月のように報じられますが、実際にはどのくらい起きていて、何が原因なのでしょうか。公的機関と調査会社が公表している数字から、最近の傾向を整理します。

この記事では、誤交付・誤送付などの「うっかり」と、不正アクセスなどの「攻撃」に注目します。

報告の件数：民間事業者で17,139件

個人情報保護委員会の「令和7年度年次報告」によると、2025年度（2025年4月〜2026年3月）に委員会が処理した、民間事業者からの個人データの漏えい等の報告は 17,139件（前年度は19,056件）でした。行政機関等からの報告2,278件とあわせると、19,417件です。

この件数には、漏えいだけでなく、滅失・毀損と、それらの おそれ がある場合も含まれます。報告が必要になる場合の内訳（1件で複数に当たることがあります）は次のとおりです。

報告が必要になった理由	件数	割合
要配慮個人情報を含む	10,603件	61.9%
不正の目的によるおそれ	3,822件	22.3%
財産的な被害が出るおそれ	3,525件	20.6%
本人の数が1,000人を超える	883件	5.2%

1件あたりの人数は 1,000人以下が93.6% でした。大規模な事故だけでなく、少人数の漏えいも報告の対象です。どんなときに報告が必要かは、個人情報が漏えいしたときの報告と本人への通知で解説しています。

原因：多いのは「誤交付」と「誤送付」

委員会が直接受け付けた13,345件について、原因を見てみます。

出典：個人情報保護委員会「令和7年度年次報告」付表2（委員会が直接受け付けた13,345件。報告者・委託先・不明の合計）

誤交付（6,443件）と誤送付（3,467件）で、全体の約4分の3 を占めました。委員会は、病院や薬局での要配慮個人情報を含む書類の誤交付や、クレジットカード等の誤送付が多かったとしています。漏えい等した情報の形態も、紙の書類のみが76.9% でした。

また、漏えい等が起きた場所を見ると、委託先で起きたものが1,292件（9.7%） ありました。自社だけでなく、業務を任せている先も含めて備える必要があります。

上場企業の公表事故：人数は約2倍に

東京商工リサーチが、上場企業とその子会社が2025年に公表した個人情報の漏えい・紛失事故を集計したところ、事故は 180件（前年比4.7%減）でしたが、漏えい・紛失した個人情報は 3,063万6,910人分 で、前年（1,586万5,611人分）の 約2倍（93.1%増） になりました。100万人分以上の事故が6件（前年は2件）あったためです。

主な原因	件数	構成比
ウイルス感染・不正アクセス	116件	64.4%
誤表示・誤送信	37件	20.5%
紛失・誤廃棄	18件	10.0%
不正持ち出し・盗難	7件	3.8%

出典：東京商工リサーチ（2026年1月30日公表）。漏えいの可能性がある事故も含めて数えています。

1件あたりの漏えい・紛失人数の平均も、「ウイルス感染・不正アクセス」が 56万3,637人分 で最も多くなりました。個人情報保護委員会に直接寄せられた報告では「うっかり」が多数を占める一方、上場企業とその子会社が公表した事故では、攻撃によるものが6割を超え、1件あたりの人数も大きくなっています。

ランサムウェア：盗んで脅す手口が中心に

警察庁によると、2025年のランサムウェアの被害の報告は 226件 で、依然として高い水準です。被害に遭った企業・団体の 約6割が中小企業 でした。

最近は、データを暗号化するだけでなく、盗んだデータを「公開する」と脅して対価を求める二重恐喝 が被害の多くを占めています。暗号化をせずに、データを盗んで公開を予告する手口も起きています。警察庁は、2025年の主な事案として次の2件を紹介しています。

2025年9月、飲料メーカー大手：グループ内のネットワーク機器を経由して侵入され、複数のサーバーのデータが暗号化された。製品の受注・出荷が止まり、顧客や従業員等の個人情報 約191万件 が漏えい、またはそのおそれがあるとしている
2025年10月、通販大手：盗まれた認証情報を使って複数のサーバーにアクセスされた。受注・出荷に影響が出たほか、個人情報 約74万件 に漏えいのおそれがあることが分かった

被害に遭った組織へのアンケート（回答した組織が対象）では、侵入の経路は VPN 機器が6割以上 を占め、調査・復旧に総額1,000万円以上かかった組織が5割を超えました。初動と備えは、ランサムウェアに感染したらで解説しています。

IPA の10大脅威でも、上位は漏えいにつながるもの

IPA の「情報セキュリティ10大脅威 2026」（組織編）では、次のような脅威が選ばれています。

順位	脅威
1位	ランサム攻撃による被害
2位	サプライチェーンや委託先を狙った攻撃
3位	AI の利用をめぐるサイバーリスク（初選出）
7位	内部不正による情報漏えい等

個人情報保護委員会の集計でも、委託先で起きた漏えい等が1,292件あり、その中にはミスによるものと不正アクセスによるものの両方が含まれます。IPA も、委託先を狙った攻撃を2番目に重要な脅威に挙げています。AI の利用をめぐるリスクは、今回初めて選ばれました。

中小企業が今日からできること

数字から見えるのは、件数の多い「うっかり」 と、1件あたりの人数が大きくなりやすい「攻撃」 の両方に備える必要があるということです。

対策の3つの柱（この記事での整理）

1. 「うっかり」を防ぐ

書類を手渡す・郵送する前に、宛先と中身が合っているかを確かめる手順を決める（とくに、要配慮個人情報を含む書類）
メールの添付や宛先の誤りに気づける仕組み（送信前の確認、送信の取り消しの猶予など）を使う
気づいたら、すぐに社内の責任者に報告する決まりにする。報告が遅れると、法律上の期限に間に合わなくなるおそれがある

2. 攻撃に備える

VPN 機器やルーターなど、外からつながる機器を洗い出し、更新を続ける
パスワードだけに頼らず、多要素認証を使う（Google Workspace で2段階認証を必須にする手順）
バックアップを、ネットワークから切り離して保管し、戻せるかを確かめる

3. 委託先と決めておく

委託先で事故が起きたときに、誰に、いつまでに知らせるかを契約で決める
委託先の対策の状況を確かめる。国も、取引先の対策を★で示すセキュリティ対策評価制度の整備を進めている

何から手を付けるか迷ったら、IPA の SECURITY ACTION の「情報セキュリティ6か条」から始めるのも一つの方法です。

出典

よくある質問

漏えいの報告は、大企業の話ではありませんか？

そうではありません。警察庁の統計では、2025年のランサムウェア被害の約6割が中小企業でした。また、個人情報保護委員会が2025年度に処理した民間事業者等からの報告17,139件のうち、1件あたりの漏えい等の人数は1,000人以下が93.6%で、病院や薬局の書類の誤交付、クレジットカード等の誤送付といった身近な事案も多く報告されています。

漏えいの「おそれ」でも件数に入っていますか？

入っています。個人情報保護委員会の集計の漏えい等には、漏えい・滅失・毀損と、それらのおそれがある場合が含まれます。東京商工リサーチの調査も、漏えいの可能性がある事故を含めて数えています。