2026年10月23日、佐川急便は自社サイトの「お荷物問い合わせサービス」が第三者による不正アクセスを受け、最大で約5,323万件の個人情報が流出した可能性があると発表しました。この件数は、東京商工リサーチ(TSR)が2012年から集計してきた上場企業とその子会社の個人情報漏えい・紛失事故の中で、歴代最多を記録するものです。これまでの最多は2014年7月に発覚したベネッセホールディングス(現ベネッセコーポレーション)の約3,504万件でしたが、佐川急便の件数はこれを約1,819万件も上回りました。
しかも、今回の事故は単発の異常事例ではありません。2026年は年初から大規模な個人情報漏えいが相次いでおり、専門家からは「過去最悪ペース」「異常事態」という言葉が使われています。本稿では、TSRの最新データと具体的な事例をもとに、2026年に何が起きているのかを整理したうえで、生成AIの普及が漏えい事故の構造そのものをどう変えつつあるのか、そして企業やマーケティング部門が今後どう備えるべきかを独自の視点で考察します。
2026年に相次ぐ大規模漏えい事故――データで見る「異常事態」の実像
TSRの調査によると、2026年は10月23日時点で、100万件以上の大規模な個人情報漏えいがすでに10件発生しています。これは2025年の1年間に発生した6件を、年の途中であるにもかかわらず大きく上回る数字です。さらに深刻なのは件数の「桁」です。1,000万件を超える漏えい事故は、2012年から2025年までの14年間でわずか3回しか発生していませんでした。それが2026年の1年間だけで、佐川急便を含めて3回発生しているのです。つまり、過去14年分に匹敵する規模の事故が、わずか1年に集中している計算になります。
具体的な事例を見ると、その異常さがより鮮明になります。KDDIはISP向けメールシステムへの不正アクセスにより1,223万1,954件のメールアドレスが流出し、2026年単体では最大規模となりました。物語コーポレーション(焼肉きんぐ運営)は公式アプリの会員情報1,078万8,963件が流出したと10月5日に公表。タイムズモビリティは運転免許証の画像を含む本人確認書類情報など約660万件が流出した可能性を9月28日に公表しています。カー用品大手のイエローハットは4月に317万9,454件、8月にも最大180万1,499件と、わずか数か月のうちに2回も不正アクセスを受けました。さらにニチレイでは7月にサイバー攻撃によるシステム障害が発生し、物流網が麻痺して出荷停止に至るなど、漏えい事故が事業継続そのものを揺るがす事態にまで発展しています。
なぜ”過去最悪ペース”なのか――原因別データが示す構造変化
TSRが公表した2025年の年間データ(上場企業とその子会社の事故180件)を見ると、原因の内訳は「ウイルス感染・不正アクセス」が116件で全体の64.4%を占め、他の原因を大きく上回っています。しかもこの原因による1件あたりの平均漏えい人数は約56万3,600人に達し、「誤表示・誤送信」(37件、20.5%)や「紛失・誤破棄」(18件、10.0%)、「従業員による不正持ち出し・盗難」(7件、3.8%)とは規模の桁が異なります。つまり、件数そのものはヒューマンエラー系の事故も多いものの、被害者数という「規模」を実質的に押し上げているのは、外部からのサイバー攻撃・不正アクセスだという構造がはっきり見えてきます。実際、2026年に発生した100万件超の大規模事故10件のうち9件が、外部からの不正アクセス・サイバー攻撃を原因としています。
もうひとつ見過ごせないのが、開示の不透明さです。2025年の180件のうち、漏えい人数を明らかにしていない事故は70件にのぼります。つまり全体の4割近くが「件数不明」のまま集計されているということです。これは、実際の被害規模が公表データよりもさらに大きい可能性を示唆しています。件数が公表されている事故だけでも過去最悪ペースなのですから、非公開分を含めた実態はさらに深刻である可能性が高いと言えるでしょう。
独自考察――AIが変えるサイバー攻撃と企業防御の非対称性
1. 攻撃側の「生成AI武装化」が崩す従来の防御前提
従来のセキュリティ対策は、攻撃者の技術力や人員が限られているという前提のもとに設計されてきました。しかし生成AIの普及によって、この前提は崩れつつあります。フィッシングメールや偽のログイン画面は、生成AIを使えば自然な日本語で大量かつ高速に作成できますし、脆弱性スキャンや攻撃コードの生成も、専門知識が薄い攻撃者でもAIの助けを借りて実行できるようになっています。重要なのは、これが「攻撃の質」を上げるだけでなく「攻撃の試行回数」を爆発的に増やす点です。防御側が100件の異常を検知できても、攻撃側が1万件の試行を仕掛けてくるようになれば、検知率が同じでも成功件数は増えてしまいます。2026年の漏えい件数の急増は、こうした攻撃の「量的な拡大」が土台にあると考えるのが自然です。
2. 「件数」より「規模」が肥大化する理由――データの集中が生むハイリスク構造
佐川急便、KDDI、物語コーポレーションなど、2026年の大規模事故に共通するのは、1つのシステムやサービスに数百万人分、数千万人分の顧客データが集約されている点です。企業がマーケティングやCRM(顧客関係管理)の高度化を進めるほど、顧客データは一つのプラットフォームに統合され、分析や活用がしやすくなります。これは事業上は合理的な判断ですが、裏を返せば、たった一つの侵入口が突破されるだけで、膨大な数の個人情報が一度に流出するリスクを抱え込むことでもあります。件数そのものを増やしているのはヒューマンエラー系の事故かもしれませんが、「漏えい規模」を歴代最大級まで押し上げているのは、こうしたデータ集中型のシステム構造だと考えられます。
3. 開示の「量」と「質」のギャップ――未公表70件が示す情報開示文化の課題
2025年の180件中70件で漏えい人数が非公表だったという事実は、日本企業の情報開示文化における構造的な課題を浮き彫りにしています。被害規模を公表しない背景には、調査が長期化している場合もあれば、レピュテーションへの配慮が働いている場合もあるでしょう。しかし、規模が不明なままでは、消費者は自分の情報がどの程度のリスクに晒されているのかを正しく判断できません。今後、AIによる攻撃の高度化で漏えい事故がさらに増えるのであれば、件数の多さそのものよりも、開示のスピードと透明性こそが企業への信頼を左右する決定的な要素になっていくはずです。
4. マーケティング・CRM部門が抱える「データ資産」リスクの再定義
マーケティング部門にとって顧客データは収益を生む「資産」ですが、2026年の状況が示すのは、その資産性の裏側に潜むリスクの大きさです。会員ID、購買履歴、本人確認書類の画像といった高精度なデータほどパーソナライズ施策の精度を高めますが、同時に流出時の被害も深刻化します。タイムズモビリティの事例のように運転免許証画像まで保持していたケースでは、単なるメールアドレス漏えいとは比較にならない二次被害(なりすまし等)のリスクが生じます。今後のマーケティング戦略は、「どれだけ豊富なデータを持てるか」ではなく、「必要最小限のデータでどこまで成果を出せるか」という発想への転換が、リスク管理の観点からも求められていくと考えられます。
5. 中小サプライヤー・業務委託先が最大の脆弱点になる構造
ベネッセの事故が委託先の元社員による不正持ち出しだったように、漏えい事故の起点は必ずしも当該企業本体のシステムではありません。物語コーポレーションの事故も連結子会社のサーバーが起点でした。大企業が自社のセキュリティ投資を強化しても、業務委託先やグループ会社、サプライチェーン上の中小企業のセキュリティ水準が低ければ、そこが「裏口」として狙われます。AIによる攻撃の自動化は、こうした相対的に守りの弱いサプライチェーンの末端を効率的に見つけ出す能力も高めている可能性があり、大企業単独の対策では防ぎきれない構造的な脆弱性として、今後より重視されるべき論点だと考えられます。
6. 個人・消費者側に求められる新常識――「漏えい前提」の情報管理
企業側の対策強化はもちろん重要ですが、2026年のペースを踏まえると、消費者自身も「自分の情報はいつか漏えいする可能性がある」という前提で行動を見直す必要が出てきています。具体的には、サービスごとに異なるパスワードを設定する、可能な場面では二段階認証を有効にする、運転免許証などの画像データをオンラインでやり取りする際は代替手段(マスキングや専用の本人確認サービス)を検討する、といった対応が挙げられます。企業の防御体制がどれだけ強化されても、攻撃の試行回数自体がAIによって増え続ける以上、被害をゼロにすることは現実的には難しく、漏えいが起きた後の被害を最小化する個人側のリスク管理も、これまで以上に重要性を増していくはずです。
まとめ
2026年は、佐川急便の約5,323万件という歴代最多の漏えいをはじめ、KDDIや物語コーポレーションなど100万件超の大規模事故が10件にも達する「異常事態」の年になっています。東京商工リサーチのデータが示すとおり、事故件数そのものはヒューマンエラーも多い一方で、被害規模を歴代最大級まで押し上げているのは外部からのサイバー攻撃・不正アクセスです。生成AIの普及によって攻撃の試行回数や巧妙さが増している可能性を踏まえると、今後も大規模漏えいが続く可能性は十分にあります。企業にはデータ集中構造の見直しとサプライチェーン全体での防御強化、そして開示の透明性が求められ、消費者にも「漏えいは起こり得るもの」という前提に立った情報管理が求められる時代に入ったと言えるでしょう。
コメント