ここ数日、国内企業の個人情報漏えいが連日のように報じられています。
「うちは会員サイトもECも持っていないから関係ない」と感じた経営者の方も多いかもしれません。
ところが今回の事案では、自社でシステムを持つ会社に限らず、クラウド（インターネット経由でサーバーやソフトを借りるサービス）のような「自社が使っている外部サービス」への攻撃が、その利用企業の業務停止につながっています。
本記事では、公的機関の注意喚起をもとに、中小企業の経営者が今週中に確認したい5つの点検と、漏えいが疑われたときの報告期限を整理します。（2026年10月12日時点の情報です）
この記事の要点
- 今回の相次ぐ漏えいは、インターネットに公開しているアプリやサービス、ログイン用アカウントの乗っ取りが起点とみられます
（国の機関IPAが10月9日に公表。特定製品の欠陥（脆弱性）を突いた攻撃とは断定されておらず、原因は調査中です）。 - 点検の対象は、自社のサイトだけでなく、使っている外部サービスと委託先、そして保有している個人データ全体です。
- 漏えいのおそれを把握したら、個人情報保護委員会への速報は3〜5日以内。
平時のうちに「棚卸し・ログ確認の依頼・データの削減」を始めてください。
何が起きているのか：2026年10月の動向
2026年9月末から10月にかけて、大量の個人情報を扱う事業者への不正アクセスや、クラウド事業者へのランサムウェア攻撃（データを暗号化して使えなくし、金銭を要求する攻撃）が相次いで公表されています。
個人情報保護委員会（個人情報の取り扱いを監督する国の機関）は10月7日に注意喚起を出し、IPA（情報処理推進機構。国の情報セキュリティ対策を担う機関）も10月9日に、経営者向けの点検を呼びかけました。
公式発表で確認できた代表的な2件を、次の表にまとめます。
ほかにも多数の事案が公表されているため、件数などを引用する際は各社の公式発表をご確認ください。
| 公表日 | 組織 | 公式発表で確認できる内容 |
|---|---|---|
| 10月9日 | ブックオフグループ（子会社の会員管理システム） | 10月6日に不正アクセスを確認。 会員情報が外部から取得され、最大約643万件が流出した可能性。 この件数は会員番号の件数で、人数ではない。氏名、生年月日、メールアドレス、住所、パスワードを変換したデータなどが対象。 決済情報は同システムで保有しておらず含まれない |
| 10月7日〜 | IDCフロンティア（ソフトバンクグループのクラウド事業者） | 10月7日午前3時40分ごろから、同社のクラウドサービス「IDCFクラウド」の一部にランサムウェア攻撃。 影響は、同クラウドを利用する495の企業・自治体。 対象の設備区画（ゾーン）のデータは、顧客自身のバックアップからのみ復元可能との見解 |
大規模な事案が短期間に集中していることが、今回の特徴です。
一方で、原因はまだ調査中のものが多く、「AIによる攻撃だ」といった断定的な情報には注意が必要です。
公式発表を確認し、続報で内容が更新される前提で読んでください。
なぜ「うちは関係ない」が通用しないのか
IPAは10月9日の注意喚起で、現段階では特定の製品やサービスの欠陥（脆弱性）を狙った攻撃とは断定されていないとしたうえで、公表事例の傾向から、インターネットに公開しているアプリケーションやサービスの侵害、ID・パスワードなどのログイン情報（アカウント）の乗っ取りが起点になっているとみられると説明しています。
つまり、狙われやすいのは「インターネットから見える入口」と「ログインに使うアカウント」です。
これを中小企業に置き換えると、次のようになります。
| 起点 | 中小企業で該当しやすい例 |
|---|---|
| 外部公開しているアプリ・サイト | 会員サイト、予約システム、ECカート、問い合わせフォーム、CMS（ホームページ制作ソフト。WordPressなど） |
| アカウント | 管理画面、クラウドサービス、メール配信ツールのID（使い回し、退職者の残存、パスワードだけで本人確認している） |
| 外部サービス・委託先 | ホームページ制作会社のサーバー、クラウド、メール配信サービス |
特に見落としやすいのが、3つ目の「外部サービス・委託先」です。
先ほどのクラウド事業者の事案では、同社が攻撃を受けた結果、そのサービスを使う495の企業・自治体が影響を受けました。
自社が直接攻撃されていなくても、使っているサービスの事業者が被害を受ければ、自社のサイトや業務が止まるおそれがあります。
しかも事業者側は、対象の設備区画のデータの復元は顧客自身のバックアップからのみ可能との見解を示しています。「クラウドに預けているから安全」とは言えないのです。
IPAの「情報セキュリティ10大脅威 2026」（組織向け）でも、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、3位が初選出の「AIの利用をめぐるサイバーリスク」でした。
委託先を含めた管理は、すでに経営課題です。
なお、社内ネットワークの出入口でウイルスや不正な通信をまとめて防ぐ機器（UTM）だけでは、公開しているアプリやアカウントの管理までは守りきれません。
この点は「UTMを入れれば安心」は本当？で整理しています。
今週やる5つの点検（チェックリスト）
特別な機器を買う前に、まず「何が外から見えているか」「誰がログインできるか」「何を持っているか」を把握することが、IPAや個人情報保護委員会の呼びかけの中心です。
次の5つを、今週中にでも着手してください。
① 公開しているサイト・フォーム・アプリ・管理画面を棚卸しする
- 自社が公開しているサイト、問い合わせフォーム、予約・会員機能、管理画面を一覧にした
- それぞれ、社内の誰が、または委託先のどの会社が運用しているか分かる
- 使っていないサイトや機能は、停止・削除を依頼した
② 使っている外部サービスを洗い出し、アカウントを見直す
- クラウド、メール配信、予約、勤怠など、使っている外部サービスを部署単位まで洗い出した
- 退職者や使っていないアカウントを無効化した
- 管理者権限を持つ人を最小限にし、多要素認証（パスワードに加え、スマホ認証などを組み合わせる方式）を設定した
③ 利用記録（ログ）の確認を、制作会社やベンダーに依頼する
- 外部公開しているサイトやサービスについて、直近1か月、次に3か月のログに異常がないかの確認を依頼した
- 見覚えのないアカウントの作成や、無効にしたはずのアカウントの復活がないかも確認を依頼した
- 異常が見つかったときの連絡先（誰が、いつまでに）を決めた
IPAは、異常なログやアカウントが見つかった場合はすぐにセキュリティ上の事故（インシデント）として扱い、専門のセキュリティ事業者に詳細調査を依頼することを強く推奨しています。
④ 持っている個人データを減らす
- 顧客、問い合わせ、応募者などの個人データの保管場所を把握した
- 利用目的を終えたデータは消去した（法令で保存期間が決まっているものを除く）
個人情報保護法22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。
個人情報保護委員会も、消去が徹底されず漏えいが深刻化した事例があるとして、改めて注意を促しています。
持っていないデータは、漏れません。
⑤ バックアップ・委託先・連絡体制を確認する
- 重要データのバックアップが、サービス事業者とは別の場所にもある
- 委託先のセキュリティ対応を、契約や確認書で把握している
- 障害時に、取引先・顧客へ連絡する担当と手順を決めた
個人情報保護委員会は、中小規模事業者向けの手法の例も示しています（アクセスできる機器と従業者の明確化、OSやセキュリティソフトの最新化、ログの一定期間の保管など）。
実務でよくある3つのつまずき
以下は、一般的によく見られるケースです。
- ホームページの制作・保守を任せきりで、サーバーやホームページ更新ソフトのバージョン、管理画面が誰に公開されているかを、社内の誰も把握していない
- 退職者や、契約が終わった委託先のアカウントが残っている
- 問い合わせフォームに入力された個人情報が、サーバーに何年分も残ったままになっている
漏えいが疑われたら：報告期限と初動の流れ
個人データの漏えい等が起きたとき、一定の場合は個人情報保護委員会への報告と本人への通知が法律上の義務になります。
期限は、発覚日から数えて、速報が3〜5日以内、確報が30日以内です。
不正の目的で行われたおそれがある場合（不正アクセスなど）の確報は、60日以内です。
報告が義務になるのは、次のいずれかに当たる場合です（個人情報保護委員会の公式の整理）。
| 類型 | 例 |
|---|---|
| 要配慮個人情報（病歴など、特に配慮が必要な情報）が含まれる | 従業員の健康診断結果が漏えいした |
| 不正利用で財産的被害のおそれがある | ECサイトからクレジットカード番号が漏えいした |
| 不正の目的によるおそれがある | 不正アクセスで個人データが漏えいした、ランサムウェアで暗号化され復元できなくなった |
| 個人の数が1,000人を超える | 設定ミスで1,000人超の個人データが閲覧可能になった |
不正アクセスは3つ目の類型に当たるため、件数が少なくても対象になる点に注意が必要です。
発覚したら、次の順で動きます。
- 被害拡大を止める：
侵害を受けた、またはそのおそれがあるシステムの停止・隔離、アカウントの無効化を行う - 事実を記録する：
いつ、何が、どこまで起きたかを時系列で残す（のちの報告の土台になる） - 専門家に調査を依頼する：
原因と範囲の調査は、セキュリティ専門事業者に依頼する - 個人情報保護委員会へ速報する：
個人情報保護委員会の漏えい等報告フォームから報告する。
事業分野によっては、権限が委任された所管省庁への報告になる - 本人・取引先へ連絡する：
影響を受けた本人への通知と、取引先への連絡を行う - 確報を出し、再発防止策を整理する：
30日以内（不正目的のおそれは60日以内）
相談先としては、IPAの企業組織向けサイバーセキュリティ相談窓口、警察、個人情報保護法相談ダイヤル（03-6457-9849）があります。
専門調査や法的判断が必要な場面では、当事務所は提携の専門家と連携して進めます。
なお、令和8年の個人情報保護法改正（7月17日公布）の政省令やガイドラインは、現在検討中です。
個人情報保護委員会は、安全管理措置の手法例の見直し内容の確定を、来年4月ごろと示しています。
備えの費用と準備期間：使える公的支援
点検の結果、外部サービスの見直しやセキュリティサービスの導入が必要になることがあります。
代表的な補助金制度と、自己宣言制度を紹介します。
いずれも日程や要件は変わるため、申請前に必ず公式の公募要領でご確認ください。
| 制度 | 内容 | 日程・準備 |
|---|---|---|
| デジタル化・AI導入補助金2026 セキュリティ対策推進枠 | サイバーセキュリティ対策のITツール導入を支援。 補助上限は150万円 | 6次締切分が公表されており、締切は2026年10月30日17:00とされています。 申請には、GビズIDプライム（行政手続き用の共通ID）、SECURITY ACTION（IPAが運営する、中小企業の自主的な対策宣言制度）の自己宣言、IT導入支援事業者との連携が必要 |
| 東京都 サイバーセキュリティ対策促進助成金 | 都内の中小企業が対象。SECURITY ACTION二つ星の宣言が要件 | 令和8年度の第3回は2027年1月の予定。 時期は東京都中小企業振興公社の発表で確認してください |
| SECURITY ACTION（IPA） | 費用をかけずに取り組める自己宣言制度 | 2026年4月から新システムに移行し、GビズIDプライムまたはメンバーのアカウントが必須。 二つ星は、自社診断の実施と情報セキュリティ基本方針の外部公開が条件 |
- GビズIDプライム：
取得まで、おおむね2週間程度かかるとされています。混雑時はさらに時間がかかることもあります - SECURITY ACTION：
自己診断と基本方針の作成・公開が先に必要です
注意点が2つあります。
- 補助の対象は、セキュリティ強化設備やサービスの導入です。
自社のWebアプリの脆弱性対応や改修の費用が対象になるかは、別の補助金を検討してください。 - 補助金は、申請すれば必ず採択されるものではありません。また、補助金を使うこと自体が目的にならないようにしてください。
まず点検、必要な対策を決めてから、費用面の手段として検討するのが順序です
よくある質問（FAQ）
Q. 個人情報が少ない会社でも、報告義務はありますか。
A. 不正アクセスによる漏えいのおそれがある場合は、件数にかかわらず報告の対象です。
個人情報保護委員会は、不正の目的によるおそれがある漏えい等を、報告が必要な類型の一つとしています。
Q. 漏えいの報告は、いつまでにすればよいですか。
A. 速報は発覚日から3〜5日以内、確報は30日以内です。
不正の目的によるおそれがある場合の確報は、60日以内となります。
Q. UTM（ネットワークの出入口を守る機器）やウイルス対策ソフトを入れていれば防げますか。
A. それだけでは防げません。
今回の事案は、インターネットに公開しているアプリやサービス、ログイン用アカウントの乗っ取りが起点とみられており、ネットワークの出入口の対策だけでは守りきれない部分があります。
Q. 補助金は使えますか。
A. セキュリティ対策推進枠などの対象になる場合がありますが、対象となるツールや公募時期は公募要領での確認が必要です。
申請にはGビズIDプライムとSECURITY ACTIONの準備が前提になるため、早めに着手してください。
まとめ：今やるべきこと
今回の報道が経営者に突きつけているのは、「うちは持っていないから大丈夫」ではなく、「何を公開していて、何を使っていて、何を持っているか」を自社で説明できるかどうかです。
まずは、次の3つから始めてください。
- 公開しているサイト・フォーム・管理画面と、使っている外部サービスを一覧にする
- 制作会社やベンダーに、直近のログとアカウントの確認を依頼する
- 利用目的を終えた個人データを消去し、バックアップの置き場所を見直す
当事務所（認定経営革新等支援機関）は、技術的な調査や機器の販売は行いませんが、次の場面でお役に立てます。
- 点検結果をもとにした、対策の優先順位づけと予算の整理
- デジタル化・AI導入補助金や東京都の補助金などの、要件確認と申請準備
- GビズIDプライムの取得やSECURITY ACTIONの宣言に向けた準備
- 事業計画のたたき台づくり、IT・DXの計画策定と伴走支援
専門的な調査や法的判断が必要な場合は、提携の専門家と連携します。
ご相談はお気軽にどうぞ。