2026年の情報漏えいはなぜ過去最悪なのか。佐川急便・焼肉きんぐ・IDCFクラウドの事例から学ぶ、中小企業が今やるべき対策

この記事は 2026年10月30日時点の報道・公表資料をもとにまとめています。 各事案の件数や原因は調査中のものが多く、今後変わる可能性があります。正確な内容は各社の公式発表をご確認ください。

2026年の秋は、ほぼ毎日のように「個人情報漏えいのお知らせ」が出ています。東京商工リサーチの調査では、上場企業が公表した100万件以上の漏えいは10月5日時点で10件。2025年は1年間で6件でしたから、わずか9か月で前年を大きく上回る異常なペースです。2025年の通年でも、上場企業の漏えい・紛失事故は180件、漏えいした個人情報は約3,063万人分（前年の約2倍）でした。

「うちは大企業ではないから関係ない」と思われるかもしれません。しかし、直近の事例を見ていくと、被害は大企業の本体ではなく、利用しているクラウドや委託先、アプリの会員システムといった周辺から広がっています。中小企業も同じ仕組みを使っている以上、他人事ではありません。この記事では、直近の主な事例と「どこから破られたのか」を整理し、中小企業・個人事業主が今日からできる対策と、万一漏えいが起きたときの動き方をまとめます。

2026年9月〜10月に公表された主な事例

佐川急便（最大約5,323万件）

2026年10月23日、佐川急便は「お荷物問い合わせサービス」への不正アクセスで流出した可能性のある個人情報が最大約5,323万件（同一人物の重複を含む）に上ると発表しました。対象は6月21日から9月30日までの送り状データ（依頼主・配送先の氏名、住所、電話番号）、運賃契約者の情報、会員サービス「スマートクラブ」の会員情報などで、クレジットカード情報とパスワードは含まれないとされています。9月30日に不正アクセスを確認し、10月1日に第1報を出してから、調査が進むたびに件数が増えていった事案です。

焼肉きんぐ（約1,078万件）

「焼肉きんぐ」などを運営する物語コーポレーションは10月5日、公式アプリの会員管理システムへの不正アクセスにより、登録ユーザー約1,081万件のうち約1,078万9千件（99.8%）の会員情報が漏えいしたと発表しました。漏えいしたのは会員番号・氏名（アプリ登録名）・メールアドレス・電話番号で、パスワードや決済情報は含まれていません。10月2日に不正アクセスを確認し、翌3日に漏えいが判明しています。

IDCFクラウド（ランサムウェア）と、そこから広がった影響

10月7日、IDCフロンティアのクラウドサービス「IDCFクラウド」の東日本リージョンでランサムウェアによる障害が発生し、495の企業・自治体に影響が及びました。一部のゾーンに保管されていたデータは取り出しや復元が困難とされ、お客様側のバックアップからしか復元できないと案内されています。

このクラウド上でメール配信サービスを利用していた企業にも影響が波及しました。JR東日本は「えきねっと」「大人の休日倶楽部」の会員のメールアドレスなどが関係する可能性を公表し、JR九州もWeb会員のメールアドレス最大約130万件に漏えいの可能性があると発表しています。自社のサーバーに問題がなくても、使っているクラウドや委託先が攻撃されれば、自社の顧客情報が影響を受ける。これが2026年の漏えいの大きな特徴です。

そのほかの傾向

まとめサイトや民間の集計では、2026年に国内で公表されたデータ流出・不正アクセス・ランサムウェア事案は10月下旬時点で100件を超えています。大学や研究機関では、フィッシングでメールアカウントが乗っ取られる事案が続き、2025年にはアサヒグループホールディングスやアスクルがランサムウェアで事業停止を伴う大きな被害を受けました。2025年最大の漏えいは、AOKIホールディングスの子会社が運営するネットカフェ「快活CLUB」への不正アクセスによる約729万人分でした。

どこから破られているのか

事例を並べると、侵入経路はおおむね次の5つに集約されます。

古いソフトウェアの脆弱性: 更新されていないVPN機器、PHPやWordPressのプラグインなど、公開されている脆弱性を突かれる。2026年10月にはPHP本体に重大な脆弱性（php2shell）が公表され、公開直後から攻撃が観測されました（当社の解説記事）
ID・パスワードの使い回しと、フィッシング: 別のサービスから漏れたパスワードでログインされる、偽のログイン画面に入力してしまう。大学や官公庁のメールアカウント乗っ取りの多くはここからです
クラウド・委託先・SaaS経由: IDCFクラウドの例のように、自社が直接攻撃されなくても、預けているデータが影響を受ける
アプリや会員システムの設計の穴: 会員管理システムやAPIに認可の不備があり、大量のデータを抜かれる。焼肉きんぐの事案は原因を調査中ですが、会員基盤への不正アクセスが数日で1,000万件規模の流出につながりました
内部の運用ミス: 誤送信、権限の付けすぎ、退職者のアカウントが残っている、USBやノートPCの紛失。件数は少なくても、中小企業では最も多い原因です

中小企業・個人事業主が今日からできる対策

専門の情報システム部門がない会社でも、次の対策は費用をかけずに始められます。優先順位の高い順に並べました。

1. 更新を止めない（最優先）

WordPressやプラグイン、PHP、VPN機器、パソコンのOSは、更新が出たらすぐ適用する。自動更新にできるものは自動にします。「触ると壊れそうだから」と放置されたホームページが、最初に狙われます。更新を誰がいつ確認するかを決めるだけで、リスクは大きく下がります。

2. パスワードを使い回さず、二段階認証をオンにする

メール、Google、SNS、ECの管理画面、ホームページの管理画面。すべて別のパスワードにし、パスワード管理ツールで管理します。二段階認証（ワンタイムコードやパスキー）が使えるサービスは必ずオンにしてください。会員向けのサービスを提供しているなら、お客様にも二段階認証を提供するのが今の標準です。

3. 「持たない」「預けない」を設計する

漏えいして困る情報は、そもそも集めない・長く持たないのが一番の対策です。問い合わせフォームで不要な項目を集めていないか、退会者のデータを消しているか、カード情報を自社で保持していないか（決済代行に任せる）を見直します。クラウドや外部サービスに預ける場合は、どこの国のどのサービスに、どんなデータを預けているかを一覧にしておきます。IDCFクラウドの事案では、この一覧がない会社ほど影響範囲の確認に時間がかかりました。

4. バックアップは「別の場所に、復元できる形で」

ランサムウェアの被害で事業が止まるかどうかは、バックアップで決まります。同じサーバーや同じクラウドの中だけに置いたバックアップは、一緒に暗号化されます。別のサービスや手元に、定期的に、実際に復元できることを確かめたバックアップを持ってください。

5. 権限とアカウントを整理する

管理者権限を持つ人を最小限にし、退職・契約終了のときにアカウントを止める手順を決めます。「誰がいつ何をしたか」が残る監査ログがあるシステムを選ぶと、万一のときの調査が格段に早くなります。

6. 委託先・制作会社に確認する

ホームページやシステムを外部に任せている場合は、「更新は誰が行うか」「管理画面のログインは二段階認証か」「バックアップはどこにあるか」「漏えいが疑われたときの連絡先」の4つを確認してください。当社がお客様のサイトを保守する際も、この4点を最初に決めています。

もし漏えいが起きてしまったら

初動で差がつきます。慌てて機器の電源を切ったり、ログを消したりしないでください。

止める: 不正アクセスが疑われる経路（VPN、該当アカウント、該当サービス）を遮断する。サーバーは電源を切らずネットワークから切り離す（ログと証拠を残すため）
把握する: いつから、どの情報が、何件、誰のものか。分かっている範囲と分かっていない範囲を分けて記録する
報告する: 個人情報保護法では、要配慮個人情報の漏えいや1,000人を超える漏えいなどの場合、個人情報保護委員会への報告（速報は概ね3〜5日以内、確報は30日以内）と本人への通知が義務です。警察への相談、必要に応じて取引先や決済代行会社への連絡も行います
伝える: お客様への案内は「何が漏れたか」「漏れていないものは何か」「何に注意すべきか（偽メール・SMS）」「問い合わせ先」を明確に。佐川急便や焼肉きんぐの発表文が、このまとめ方の参考になります
直して、記録する: 原因を特定して塞ぎ、再発防止策を文書に残す。調査会社や専門家に依頼する場合は、ここで判断します

まとめ

2026年の漏えいは、特定の業種や規模の問題ではなく、「古いまま放置されたもの」「使い回されたパスワード」「預け先の把握不足」という、どの会社にもある弱点を突いたものです。逆に言えば、更新・二段階認証・持たない設計・バックアップ・権限整理という基本を続けている会社は、ほとんどの攻撃をすり抜けることができます。

当社では、ホームページや業務システムの脆弱性の確認・更新代行、二段階認証やパスキーの導入、お問い合わせフォームのスパム対策、クラウドや委託先の棚卸しのご相談を承っています。「何から手をつければいいか分からない」という段階でも構いません。お問い合わせフォームからご相談ください。

参考にした公表資料・報道

東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月）、「2025年上場企業の『個人情報漏えい・紛失』事故」（2026年2月）
佐川急便不正アクセスに関する公表（第5報、2026年10月23日）に関する報道
物語コーポレーション「焼肉きんぐ」公式アプリへの不正アクセスに関する公表（2026年10月5日）に関する報道
IDCフロンティア「IDCFクラウド」障害に関する公表（2026年10月7日〜）、JR東日本・JR九州の公表に関する報道
IPA・JPCERT/CC の注意喚起、個人情報保護委員会「漏えい等の対応」