日本企業の個人情報漏えいが異常事態――過去14年間で3件だった「1,000万件以上」が2026年だけで3件発生

日本企業の個人情報が、かつてない規模で流出している。

カーシェアリング、飲食店の公式アプリ、通信サービス。私たちが日常的に利用するサービスで、大規模な個人情報漏えいが相次いでいる。

これまでも情報漏えい事件は繰り返されてきた。しかし、2026年の状況は明らかに異なる。

東京商工リサーチが2026年10月7日に公表した調査によると、上場企業とその子会社において、1,000万件以上の個人情報漏えいは2012年から2025年までの14年間で3件だった。

ところが2026年は、10月5日までの約9か月間だけで3件発生している。

過去14年間と同じ回数の超大型漏えいが、1年も経たないうちに起きたのだ。

単に企業の管理が甘かったという話で終わらせてよいのだろうか。相次ぐ事件と公表された統計から、何が起きているのかを考えてみたい。

2026年の個人情報漏えいは、数字で見ても異常だった

東京商工リサーチは2012年から、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を集計している。

今回の調査で特に注目したいのは、次の3つの数字だ。

100万件以上の情報漏えいに限っても、2026年は10月5日の時点で前年の年間件数を上回った。

しかも2026年に発生した大規模漏えいのうち5件が、2012年以降の歴代漏えい件数ワースト10に入っている。

大きな事件がたまたま1件起きたのではない。巨大な情報漏えいが、短い期間に集中しているのである。

ただし、この統計は国内のすべての事業者を対象にしたものではない。東京商工リサーチが集計した上場企業とその子会社の公表事案に基づく数字である。

また、漏えい件数は必ずしも被害者の実人数ではない。複数アカウントの存在や、異なる事件間での重複も考えられるため、件数をそのまま人数として合算することはできない。

かつてはベネッセ事件が巨大漏えいの象徴だった

2014年7月、ベネッセグループで約3,504万件の個人情報が流出した事件は、社会に大きな衝撃を与えた。

業務委託先の元社員による不正な情報の持ち出しが原因だった。

子どもや保護者に関する情報が大量に流出したことで、個人情報を企業に預けることの危険性が強く意識されるようになった。

東京商工リサーチの2012年以降の集計でも、2025年までの最大規模の事件は、このベネッセ事件だった。

当時は、数千万件規模の漏えいが社会を揺るがす特別な事件として受け止められていた。

それから12年。2026年には、1,000万件以上の漏えいが同じ年に3件も確認される状況になった。

しかも現在は、会員アプリやオンラインサービスを利用するために個人情報を登録することが当たり前になっている。

情報を預ける機会が増えた社会で、その情報をどのように守るのか。問題は以前よりも身近になっている。

KDDI、タイムズカー、焼肉きんぐ――身近なサービスで起きた漏えい

KDDI：1,223万1,954件のメールアドレスが漏えい

東京商工リサーチが2026年最大の流出事案として挙げたのが、KDDIのケースだ。

インターネットサービスプロバイダー向けのメールシステムが不正アクセスを受け、1,223万1,954件のメールアドレスが漏えいした。

問題の特徴は、特定の利用者向けアプリだけではなく、複数の通信サービスに関わるシステムが攻撃対象になったことである。

多くの利用者が共通して利用する基盤システムに問題が生じれば、被害が広い範囲に及ぶ可能性がある。

データが一か所に集まる利便性と、その場所が攻撃された場合の影響の大きさを考えさせる事件だ。

焼肉きんぐ：公式アプリから約1,079万件

2026年10月5日、焼肉チェーン「焼肉きんぐ」を運営する物語コーポレーションは、公式アプリの会員管理システムが不正アクセスを受け、10,788,963件の会員情報が漏えいしたと公表した。

対象となった情報には、氏名（アプリ登録名）、メールアドレス、電話番号、会員番号が含まれる。

一方、同社によると、アプリのログインパスワードや生年月日、店舗利用履歴などの漏えいは確認されておらず、クレジットカード等の決済情報は同社で保有していない。

10月5日の発表時点で、漏えい情報の不特定多数への公開や不正利用も確認されていないという。

注目したいのは、飲食店の会員アプリだけで1,000万件を超える情報を扱っていた点である。

クーポンやポイントなどの便利なサービスを利用するために登録した情報が、攻撃の対象になってしまった。

タイムズカー：約660万アカウント、免許証画像なども対象

9月28日、タイムズモビリティはWebシステムへの不正アクセスに関する調査結果を公表した。

漏えいしたアカウント数は約660万件。

氏名、住所、電話番号、メールアドレスのほか、運転免許情報や本人確認書類情報なども含まれていた。

対象者によって漏えいした情報の内容は異なるものの、運転免許証の画像のような本人確認に使われる情報まで含まれていた点は重い。

同社はクレジットカード情報の漏えいを否定し、パスワードは復元できない形式で保管していたと説明している。

それでも、いったん取得された個人情報を利用者自身の手で回収することはできない。

氏名とメールアドレスの漏えいと、本人確認書類の漏えいでは、その後に警戒すべきリスクも異なる。

情報漏えいは、件数だけでなく「何が漏れたのか」まで確認する必要がある。

なぜ大規模な個人情報漏えいが相次ぐのか

ここで気になるのは、なぜこれほど大規模な漏えいが続くのかということだ。

今回の統計だけで、2026年に大規模漏えいが集中した原因を一つに断定することはできない。

しかし、社会全体の情報管理の仕組みを考えると、いくつかの重要な問題が見えてくる。

1．企業が保有する個人情報の規模が大きい

店舗の会員証はスマートフォンのアプリに変わり、予約、決済、ポイント管理など、多くのサービスがオンライン化された。

利用者にとっては便利になった一方、企業が一元的に保有するデータの規模も大きくなり得る。

大量の情報を扱うシステムが攻撃されれば、被害も一度に大規模化する。

企業は情報をどれだけ集められるかだけではなく、どれだけ安全に管理できるかを問われる時代になっている。

2．委託先や外部システムも攻撃対象になる

現在の企業サービスは、自社のシステムだけで完結しているとは限らない。

アプリ開発、会員管理、メール配信、決済など、多くの外部事業者やソフトウェアを組み合わせて運営されている。

情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向けの第2位に「サプライチェーンや委託先を狙った攻撃」が入っている。

自社が厳重な対策を行っていても、連携先の弱点が攻撃の入口になる可能性はある。

企業は自社のシステムだけでなく、委託先を含めた情報管理の状況を把握する必要がある。

3．攻撃を完全に防ぐことだけでは足りない

IPAの同ランキングでは、ランサム攻撃による被害が第1位、システムの脆弱性を悪用した攻撃が第4位となった。

さらに「AIの利用をめぐるサイバーリスク」が初めて選出され、第3位に入っている。

AIの悪用による攻撃の巧妙化なども問題視されているが、今回紹介した個別事件がAIを使った攻撃によって起きたと確認されたわけではない。

原因を何でもAIに結びつけることは適切ではないだろう。

重要なのは、不正アクセスを防ぐ対策と同時に、侵入を早期に検知し、被害の拡大を防ぐ仕組みを整えることである。

個人情報保護委員会も10月7日に注意喚起

2026年10月7日には、個人情報保護委員会も「大規模な漏えい等事案を踏まえた対応について」と題する注意喚起を公表した。

対象は、大量の個人情報を取り扱う企業などだ。

同委員会は、外部からの不正アクセスへの対応や安全管理措置の重要性を示すとともに、個人データの管理について改めて注意を促している。

特に注目したいのが、不要になった個人データの消去である。

個人情報保護委員会は、利用する必要がなくなった個人データについて、合理的な保有理由がなくなった場合には遅滞なく消去するよう努めることを求めている。

実際に、不要なデータの保有が漏えい事故の深刻化につながる事例にも接しているという。

これは極めて重要な視点だ。

企業が持っていない情報は、その企業のシステムから漏れることもない。

もちろん法令などに基づいて保存しなければならない情報もある。しかし、利用目的を終えたデータまで長期間保管し続ける必要があるのかは、改めて考えるべきだろう。

企業が個人情報を収集する際には、取得時の利便性だけでなく、保管する期間と削除する仕組みまで設計する必要がある。

個人情報を漏えいさせた企業は、情報だけでなく信用も失う

情報漏えいの問題は、利用者への影響だけではない。

企業にとっても、調査費用、システムの復旧、顧客への連絡、問い合わせ対応、再発防止策など、多くの負担が発生する。

さらに深刻なのは、顧客からの信用を失う可能性があることだ。

便利なサービスであっても、個人情報の管理に不安を感じれば利用をためらう人が出てくるかもしれない。

場合によっては、直接的な情報漏えいだけでなく、システム障害による営業停止や物流の停滞など、事業そのものが影響を受けることもある。

東京商工リサーチも、セキュリティ対策に加え、被害を受けた場合の事業継続計画（BCP）の整備を求めている。

サイバー攻撃は、情報システム担当者だけの問題ではなくなった。

企業の売上、利益、顧客との関係、そして事業の継続を左右する経営課題なのである。

私たち利用者は何をすればよいのか

残念ながら、利用者が企業のシステムを直接守ることはできない。

しかし、情報漏えい後の被害を減らすためにできることはある。

• 利用中のサービスについて、企業の公式発表を確認する。
• 漏えい対象となった情報の種類を確認する。
• 影響を受けたパスワードは、事業者の案内に従って変更する。
• 同じパスワードを使い回している場合は、関連するサービスの変更も検討する。
• 利用可能なサービスでは多要素認証を設定する。
• 企業を装った不審なメールやSMS、電話に注意する。
• 使っていないサービスやアカウントを見直す。

特に注意したいのが、漏えい事件に便乗した詐欺だ。

「個人情報が流出しました」「本人確認が必要です」といったメールから偽サイトへ誘導される可能性もある。

企業からの連絡に見えても、記載されたリンクを安易に開かず、公式アプリや自分で確認した公式サイトから情報を確かめたい。

まとめ：2026年は、個人情報の集め方そのものを考え直す年になるのか

かつて1,000万件を超える個人情報漏えいは、社会を揺るがす例外的な事件だった。

しかし2026年は、10月5日までにその規模の事故が3件も発生した。

100万件以上の漏えいも10件に達している。

この数字を見れば、個別企業の問題だけでは片付けられない状況にあることが分かる。

企業が便利なサービスを提供するために大量の情報を集める。その情報を一つのシステムに蓄積し、さまざまな外部サービスと連携させる。

その仕組みには利便性がある一方、攻撃された場合の被害も大きくなり得る。

必要なのは、セキュリティ対策を強化することだけではない。

そもそも、その個人情報を本当に集める必要があるのか。いつまで保管するのか。不要になったら確実に削除できるのか。

企業は、情報を守る責任と同時に、情報を持ちすぎない責任も考える必要があるのではないだろうか。

2026年の異常な漏えい件数が、一時的な現象で終わるのか。それとも、これからの社会の新しいリスクになるのか。

今後の企業の対応と、漏えい件数の推移を引き続き注視したい。

参考資料・出典

• 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）
• 物語コーポレーション「焼肉きんぐ公式アプリの個人情報漏えいに関するお詫び」（2026年10月5日）
• タイムズモビリティ「タイムズカーWebシステムへの不正アクセスに関する調査結果」（2026年9月28日）
• 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
• IPA「情報セキュリティ10大脅威 2026」

※本記事は2026年10月8日時点の公表資料に基づいています。漏えい規模、対象情報、調査結果などは今後更新される可能性があります。