日本企業の個人情報漏えいが異常事態――過去14年間で3件だった「1,000万件超」が2026年だけで3件発生

日本企業の個人情報漏えいが、これまでとは明らかに違う規模で発生しています。

通信会社、カーシェアリング、飲食チェーン。私たちが日常的に利用するサービスで、数百万件から1,000万件を超える個人情報の漏えいが相次いでいるのです。

2026年10月7日、東京商工リサーチが公表した調査結果は、その異常な状況を数字で裏付けました。

2012年から2025年までの14年間で3件しかなかった「1,000万件以上」の大規模漏えいが、2026年は10月5日までに3件発生したのです。

単に大企業へのサイバー攻撃が増えたという話ではありません。企業が大量の個人情報を保有する仕組みそのものが、改めて問われています。

過去14年間で3件、それが2026年だけで3件
2026年に何が起きたのか？大規模漏えいの代表例
なぜ個人情報の大量漏えいが続くのか？
AIがサイバー攻撃を増やしているのか？
個人情報を集める企業は、守る責任も負っている
私たち利用者が確認しておきたいこと
まとめ：2026年は個人情報管理の転換点になるのか
参考資料・一次情報

過去14年間で3件、それが2026年だけで3件

東京商工リサーチは2012年から、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を集計しています。

10月7日に公表された調査で、次の事実が明らかになりました。

1,000万件以上の漏えい：2012〜2025年の14年間で3件。2026年は10月5日までに3件。
100万件以上の漏えい：2025年の年間6件に対し、2026年はすでに10件。
歴代ワースト10：2026年の大規模漏えい5件がランクイン。

特に衝撃的なのは、1,000万件以上の事故の発生頻度です。

14年間で3件だったものが、わずか9か月余りで3件。もちろん単年の数字だけで将来の発生率を断定することはできませんが、2026年が極めて異例の年であることは確かです。

なお、これらは企業の公表情報を基にした集計です。国内すべての企業や、未公表の事故まで網羅した数字ではありません。

2026年に何が起きたのか？大規模漏えいの代表例

2026年は、私たちの生活に身近なサービスが次々と標的になりました。

KDDI：1,223万1,954件のメールアドレスが漏えい

2026年の大規模漏えいの中でも、東京商工リサーチが最大規模として挙げたのがKDDIです。

インターネットサービスプロバイダー（ISP）向けに提供しているメールシステムが不正アクセスを受け、1,223万1,954件のメールアドレスが漏えいしました。

KDDIは6月23日の当初発表で、第三者製ソフトウェアの脆弱性が悪用されたと説明しています。

問題は、KDDIのメールシステムを複数の事業者が利用していたことです。

一つの企業が管理するシステムの被害が、そのサービスを利用する複数の事業者と利用者に波及しました。

これは、情報管理を外部サービスに依存する現代の企業に共通するリスクを示しています。

焼肉きんぐ：公式アプリから1,078万8,963件が漏えい

10月5日、焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションが、公式アプリの会員管理システムに対する不正アクセスを発表しました。

漏えいした会員情報は1,078万8,963件。アプリ登録数1,080万8,784件のほぼ全件に相当します。

対象となったのは、会員番号、登録名、メールアドレス、電話番号です。

同社によれば、ログインパスワードや店舗利用履歴の漏えいはなく、クレジットカードなどの決済情報も保有していません。

しかし、名前とメールアドレス、電話番号が組み合わされば、本人を狙った不審なメールやSMSなどに悪用される危険があります。

クーポンや予約のために登録したアプリが、利用者の個人情報を大量に集める仕組みになっていることも見逃せません。

タイムズカー：約660万アカウントが漏えい

9月28日、タイムズモビリティは、タイムズカーのWebシステムへの不正アクセスによって約660万アカウントの情報が漏えいしたと発表しました。

さらに9月29日の続報では、運転免許証画像などの本人確認書類が漏えいしたアカウントは約160万件と公表しています。

今回の事故で重要なのは、情報の種類です。

メールアドレスや氏名だけでなく、運転免許証の画像や住所確認書類など、本人確認に使われる情報も含まれていました。

個人情報漏えいの深刻さは、件数だけでは判断できません。

仮に漏えい件数が少なくても、身分証明書や認証情報が含まれていれば、影響は大きくなり得ます。

イエローハット：同じ年に2度の大規模事案

東京商工リサーチの調査では、イエローハットの事例も取り上げられています。

4月には連結子会社の会員専用サーバーへの不正アクセスで317万9,454件の個人情報漏えいを公表。

さらに8月には、イエローハット本体の予約システムに不正アクセスがあり、最大180万1,499件の情報が漏えいした可能性を発表しました。

同じ企業グループで短期間に大規模な事案が続いた点は、個別システムだけでなく、企業グループ全体での安全管理の重要性を考えさせます。

なぜ個人情報の大量漏えいが続くのか？

これほど事故が続くと、一つの疑問が浮かびます。

なぜ日本企業は、これほど大量の個人情報を外部から取得されてしまうのでしょうか。

原因は企業やシステムによって異なり、すべてを同じ攻撃手口で説明することはできません。

ただし、2026年10月8日、JPCERT/CC（JPCERTコーディネーションセンター）は、相次ぐ不正アクセスについて注意喚起を公表しています。

そこでは、複数の攻撃パターンが指摘されています。

ソフトウェアに存在する既知の脆弱性を探して悪用する攻撃
システムの設定や管理上の不備を狙う攻撃
アプリのAPIを通じて、本来許されない操作を行う攻撃
管理用システムなど、一般利用者向けではない機能を標的にする攻撃

APIとは、アプリとサーバーなどがデータをやり取りするための仕組みです。

アプリの画面自体は問題なく動いていても、その裏側にあるデータ取得や管理の仕組みに弱点があれば、攻撃対象になる可能性があります。

重要なのは、JPCERT/CCがすべての被害が同一の原因で発生したと認定しているわけではないことです。

事件ごとの原因調査と、共通する防御上の課題は分けて考える必要があります。

AIがサイバー攻撃を増やしているのか？

生成AIの普及によって、サイバー攻撃の効率化を懸念する声もあります。

AIによってプログラムの作成や情報収集の一部を自動化できることから、攻撃者側にも技術が利用される可能性はあります。

しかし、今回の大規模漏えいのすべてがAIを利用した攻撃によるものだと確認されたわけではありません。

現時点で明確にできるのは、企業のWebシステムや管理機能に対して多様な手口の不正アクセスが確認され、専門機関も警戒を強めているという事実です。

企業に求められるのは、AIへの漠然とした恐怖ではなく、脆弱性の修正、認証の強化、不審なアクセスの監視など、具体的な安全対策でしょう。

個人情報を集める企業は、守る責任も負っている

今では飲食店を利用するだけでも、アプリの登録を求められることがあります。

ポイント、クーポン、予約、会員特典。企業にとって会員情報は、顧客との関係を維持する重要な経営資産です。

一方、利用者から見れば、ちょっとした割引や便利なサービスのために、氏名や連絡先を企業へ預けていることになります。

その情報が何百万件、何千万件と一つのシステムに蓄積されれば、侵害された際の影響も大きくなります。

企業が考えるべきことは、セキュリティ製品を導入することだけではありません。

本当に必要な個人情報だけを収集しているか
利用を終えた情報を適切に削除しているか
委託先や外部サービスも管理できているか
異常なアクセスを素早く検知できるか
被害発生時に利用者へ迅速に連絡できるか
サービス停止時にも事業を継続できるか

東京商工リサーチも、情報セキュリティと事業継続計画（BCP）の重要性を指摘しています。

情報漏えいは個人情報の問題であると同時に、企業の信用、サービス継続、取引関係にも影響する経営問題なのです。

私たち利用者が確認しておきたいこと

企業のシステムを利用者自身が守ることはできません。

しかし、漏えいした情報が悪用される二次被害を防ぐために、できることはあります。

公式発表を確認する：利用しているサービスが対象か、企業の公式サイトやアプリから確認する。
パスワードの使い回しを避ける：漏えいや不正取得が疑われるパスワードは変更し、他サービスでも同じものを使用していれば見直す。
多要素認証を利用する：対応しているサービスでは、追加の認証を設定する。
不審な連絡に注意する：メールやSMSに書かれたリンクを安易に開かず、公式アプリなどから確認する。
本人確認書類の漏えいは特に注意する：対象となった場合は、企業からの個別案内や行政機関の注意喚起を確認する。

個人情報が漏えいしたからといって、必ず金銭的な被害が発生するわけではありません。

一方で、「現時点で不正利用を確認していない」という企業発表も、将来の安全を保証するものではありません。

過度に恐れる必要はありませんが、影響を受けた可能性がある場合は、必要な対策を取ることが大切です。

まとめ：2026年は個人情報管理の転換点になるのか

2026年の個人情報漏えいは、特定の業界だけの問題ではなくなっています。

KDDIのメールシステム、焼肉きんぐの公式アプリ、タイムズカーの会員管理システム。私たちの生活のさまざまな場所で、大量の個人情報が管理されています。

東京商工リサーチの調査では、1,000万件以上の漏えい事故が2026年だけで3件に達しました。

ただし、漏えい件数は被害者の実人数と必ずしも一致しません。同じ人が複数のサービスに登録している可能性があり、漏えいの可能性を含む公表事例もあります。

それでも、大規模な事故が繰り返されているという事実は変わりません。

今後、企業には情報を集める能力だけでなく、保有する情報を適切に管理し、必要がなくなれば削除し、万一の被害に迅速に対応する能力が求められるでしょう。

個人情報を大量に保有することは、企業にとって資産であると同時に、大きな責任でもあります。

2026年の相次ぐ事故が、その認識を改めるきっかけになるのか。企業の再発防止策と、その後の実行状況まで見ていく必要があります。

参考資料・一次情報

※本記事は2026年10月8日時点で確認できる公表資料に基づいています。東京商工リサーチの2026年の集計数字は10月5日時点のものです。各社の調査進展によって対象件数や影響範囲が変わる可能性があります。