この記事の要約

• 2026年上半期の、国内セキュリティインシデントに起因する公表組織数を独自に集計・分類
• 総数727件、「不正アクセス」267件で最多、次に「マルウェア感染」153件、サプライチェーンに起因する連鎖的インシデントが件数を押し上げ
• 「業務外利用・不正持出」が増加、4分の1がSNS投稿による情報漏えい
• 「学校からPTAへの不適切な情報提供」は3件、しかし実態は60校、氷山の一角の可能性
• 「サポート詐欺」が教育機関で目立ち、高額被害も発生、さらに情報漏えいリスクも

本レポートのエグゼクティブサマリーをダウンロード



2026年上半期（1～6月）国内組織における情報漏えい等にかかるセキュリティインシデントを、対象組織による公開報告書およびマスメディアによる報道資料をもとに独自に集計しました。下図は2019年以後の半期毎での集計です。

（※1） 連鎖インシデントの計上方法： 委託先の被害1件が原因で委託元複数社からも報告があった場合、それぞれを1件として計上しています（例：委託先A社の被害→委託元B・C・D社の報告で計4件）。
（※2） 大規模インシデントの計上方法： 例えば、2023年の社労士向けシステムを提供する企業のランサムウェア被害（個人情報保護委員会への報告は3000件超）は、公開報告書や報道で確認できた組織のみを件数として計上しています。
（※3）過去レポートとの差異： 公開済みのレポートとは数値が異なる場合があります。これは新たに見つかったインシデントの追加や、既存インシデントの更新情報の反映/分類の見直し等を行ったことによります。あらかじめご承知おきください。

紛失・盗難	パソコンやUSBメモリといった記録媒体や紙文書の紛失や盗難など
不正アクセス	脆弱性を突かれるなどして侵入され、情報窃取やWebサイトの改ざん、スパムメールの踏み台にされてしまったなど
誤操作、設定不備	FAXや書類の誤送付、システムの不具合や人為的な設定不備により意図せず公開されてしまったなど（電子メールでの誤送信は含まない）
業務外利用・不正持出	機密情報の無断閲覧や、不正に持ち出した情報を外部の者に譲渡など
メール誤送信	電子メールで宛先を誤って送信してしまったなど
マルウェア感染	ウイルスやその他ランサムウェアへの感染など

2026年上半期のインシデントは最多が「不正アクセス」、次に「マルウェア感染」が多い結果となりました。いずれもサプライチェーンに起因する連鎖的インシデントが要因となっています。

「不正アクセス」は267件で、2025年下半期の285件と比較するとやや少なくなったものの、依然として多い水準です。目立ったインシデントには下記のようなものがありました。

• 67件：不動産業者向けクラウドサービスへの不正アクセスにより、サービスを利用している多くの不動産業者に影響が及びました。
• 25件：ISP事業者向けメールシステムへの不正アクセスにより、ISPやケーブルテレビ事業者に影響が及びました。

「マルウェア感染」は153件で、2025年下半期の131件と比較すると増加しています。目立ったインシデントには下記のようなものがありました。

• 25件：四国を地盤とするグループ企業のシステムがランサムウェア被害に遭い、グループ各社に影響が及びました。
• 25件：システムベンダーがランサムウェア被害に遭い、特に東北地方の自治体や大学などに影響が及びました。

「業務外利用・不正持出」の増加

2026年上半期は、「業務外利用・不正持出」が増加しました。2025年上半期と比較して3.7倍、2025年下半期と比較して1.9倍となっています。

SNS投稿による情報漏えいが目立つ

従業員がSNSへ投稿したことがきっかけで情報漏えいにつながったインシデントが目立ちました。
55件中14件（25%）が該当し、「業務外利用・不正持出」の4分の1を占めています。

これまでも同様のインシデントは発生していましたが今期は特に多く、自治体・銀行・小売・飲食など、様々な業種で発生しました。また、14件中10件が4月から5月に集中しました。

SNSでは特に「BeReal.」に起因する情報漏えいは、メディアでも多く取り上げられ、話題となりました。「BeReal.」とは、1日1回ランダムなタイミングで通知が届き、2分以内に写真を撮影して投稿するよう求められる、若者を中心に流行している写真共有SNSです。しかしながら、業務中に通知が届き、オフィスの会議室や店舗のバックヤード内での写真を投稿してしまい、写りこんだ機密情報が漏えいしてしまうという事例が起きています。知人だけの限定公開であっても、誰かにスクリーンショットや転送によって公開範囲の外に拡散されてしまい、後から問題となることもあります。

こうしたリスクを防ぐためには、まずSNS利用に関するルールを組織内で明確にすることが重要です。投稿してはいけない情報を具体的に定め、個人情報や未公開情報、社内資料などの取り扱いについて従業員へ周知しておきましょう。

また、情報セキュリティ教育を行い、SNS利用に潜むリスクを従業員自身が理解できるように支援することも重要です。投稿前に「この情報を公開して問題ないか」「写真や文章から会社の情報が推測されないか」を確認する習慣づけも効果的でしょう。情報漏えいの多くは、悪意ではなく知識不足や確認不足から生じることを踏まえ、教育を継続していく姿勢が求められます。

ただし、従業員の意識向上だけでは十分ではありません。企業側としても、業務エリアの撮影ルールを整備し、ホワイトボードやPC画面に機密情報を表示したままにしない、必要に応じて端末を制御するなど、情報が写り込まない環境を整えておく必要があります。

従業員一人ひとりの意識向上と、企業としての仕組みづくりを両輪で進めることが、情報を守り、会社を守る確実な一歩となります。

学校からPTAへの不適切な個人情報の提供

「業務外利用・不正持出」に分類したうち、件数は少ないものの、注目すべき事案にフォーカスします。

学校からPTAに対して保護者の同意なく児童・生徒の個人情報を提供していたというインシデントが3件ありました。それぞれ異なる3つの市から公表があり、いずれも主に小中学校を対象に調査を行った内容が記載されています。

この結果、
3市で合計60校が、PTAへの不適切な個人情報の提供をしていました。少ない市では16.7%、多い市では69.7%という割合であったというのは驚くべき結果です。

なぜこのような事態が起きたのでしょうか。

歴史的慣習と個人情報保護法の改正

C市では「慣例的に実施しており、手続きが必要という認識がなかった」、B市では「2024年に教育委員会が配布した資料で明示していたが、該当校では徹底されていなかった」という旨が述べられています。

学校現場の運営慣行が、個人情報保護のルールの厳格化・複雑化に追いついていないことが要因として考えられます。

長年、学校とPTAは実質的に一体の組織のように運営され、たとえば学校が児童・生徒名簿をそのままPTAに渡し、緊急連絡網や会費徴収などに流用する慣行が「当たり前」のように定着していました。PTAは学校とは別組織ですが、現場ではその区別が意識されないまま情報のやり取りが続いてきました。

一方、2023年4月施行の個人情報保護法により、公立学校は自治体条例ではなく、個人情報保護法（公的規律）での対象になりました。「利用目的の特定」、「特定した利用目的内での利用・提供」といった全国共通ルールが、初めて学校現場に適用されることになったのです。施行から3年程度の経過であり、まだ浸透していない可能性があります。

2026年3月、個人情報保護委員会では「公立学校とＰＴＡの間で個人情報のやり取りをするためのポイント」という資料を公開しました。資料には副題として「教育委員会・公立学校関係者・PTA関係者のための資料」と記載されています。現場で聞かれる声、気を付けるポイントについて「はい・いいえ」で答えるチャート、学校側とPTA側とで気を付けるポイントなどについて解説されています。

公立学校とＰＴＡの間で個人情報のやり取りをするためのポイント（個人情報保護委員会）

このような資料が出されていることも、個人情報の取扱い方法について浸透していないという表れなのかもしれません。

氷山の一角か

全国の小中学校の数は、2025年12月に文科省が発表した「令和７年度学校基本統計」によると、小学校が18,607校、中学校が9,827校あります。

令和7年度学校基本調査の公表について（文部科学省）

今回の3市の事例は、問い合わせがあったために表面化しました。逆に言えば、問い合わせがなければ気づかれないまま運用が続いていた可能性が高いでしょう。3市で判明した事例は氷山の一角である可能性が高く、今後さらにリスクが顕在化するかもしれません。

学校現場では日々の業務対応に追われ、法改正への対応まで手が回っていないケースも少なくないと考えられます。国や教育委員会が主体となり、学校任せにしない仕組みづくりが求められます。

サポート詐欺被害とソーシャルエンジニアリング

もうひとつ、注目したいのが「サポート詐欺」です。サプライチェーンに起因する連鎖的なものではなく、単独のインシデントで11件を観測しました。「不正アクセス」として分類しています。

サポート詐欺による高額被害と情報漏えいリスク

特に教育機関で多く、6件/11件と半分以上を占めていました。2026年5月のインシデントでは、中学校において約1,000万円の高額の金銭被害も発生しています。昨年2025年には、ある企業でサポート詐欺によって約2.5億円の被害も発生しました。個人だけでなく教育機関や企業においても被害が発生しています。

サポート詐欺は、まともな正規サイトのWeb広告経由で遭遇することが多く、最近ではSMSやメールで送られたリンクにアクセスした際にも遭遇します。流れとしては下記のようになっています。

・偽の警告画面表示
　　Webブラウザーに偽のウイルス感染警告画面が表示
　　警告音が大音量で流れ、警告画面は簡単に閉じられない仕組み
・偽のサポートへ電話
　　焦った被害者が画面に表示されている番号に電話をすると、サポート担当者を装った人物につながる
・遠隔操作ツールのインストール
　　被害者に指示し、AnyDeskやUltraviewerなどの正規の遠隔操作ツールをインストールさせる
・不安を煽る
　　攻撃者が被害者のPCを遠隔操作し、無害なログやコマンド結果を「感染の証拠」と偽って見せる
・金銭の窃取
　　遠隔操作中にインターネットバンキングへのログイン情報を聞かれる、
　　またはログインを促されて実行すると、認証情報が窃取され不正送金される

サポート詐欺に遭って金銭被害に至らなかったとしても、情報漏えいにつながるおそれがあります。

サポート詐欺被害インシデントの多くが「不正アクセス」として報告されていますが、これは、攻撃者の指示に従って遠隔操作ツールをインストールしてしまうと、攻撃者に対して端末の操作権限を与えてしまうため、端末内の情報が流出した可能性がある（流出した可能性が否定できない）ためです。

「人」の隙を狙うソーシャルエンジニアリング

人の心理や行動の隙を利用して、情報や権限をだまし取る手口を「ソーシャルエンジニアリング」といいます。サポート詐欺もソーシャルエンジニアリングの一種です。他にも、フィッシング、CEO詐欺（ニセ社長詐欺）、ClickFixなど、「人」の隙を狙った様々な攻撃手口があります。

ソーシャルエンジニアリング、「人」の隙を狙った攻撃は今後も注意する必要があります。企業・組織においては、従業員に教育を行いひとりひとりのセキュリティ意識を向上させ、さらにシステム側でも防御を強化し、人とシステムと両面でのセキュリティ対策が重要となります。

まとめ

2026年上半期は「不正アクセス」267件、次いで「マルウェア感染」153件が多く、いずれもサプライチェーン起因の連鎖的インシデントが目立ちました。「業務外利用・不正持出」は2025年下半期と比較して1.9倍と増加し、その4分の1は従業員のSNS投稿がきっかけとなる情報漏えいでした。また、学校からPTAへの不適切な個人情報提供が3件公表されましたが、実態としては60校に及ぶものであり、同様のリスクが全国に潜在していると考えられます。さらに、サポート詐欺では高額被害が発生していることや、金銭被害の有無に関わらず情報漏えいリスクも伴う点に注意が必要です。今後も、従業員教育とシステム対策の両輪でのセキュリティ強化が求められます。

特別な悪意や高度な技術によるインシデントだけでなく、日常業務の延長線上で誰にでも起こり得るものが多くあります。自組織とは無関係だと捉えず、日頃の運用を見直すきっかけとしていただければ幸いです。