2026年上半期には、ECサイトや会員向けサービスだけでなく、メールシステム、保険会社の顧客管理システム、クラウドサービス、開発環境など、さまざまな場所で情報セキュリティ事故が発覚・公表されました。

漏えいした情報も、氏名や住所、電話番号だけではありません。

クレジットカード情報、銀行口座情報、保険の契約内容、メールアドレスとパスワード、購入履歴など、悪用された場合に利用者へ大きな影響を及ぼす情報も含まれています。

また、企業側には、原因調査や対象者への通知だけでなく、Webサイトやシステムの停止、パスワードの強制変更、問い合わせ窓口の設置、行政機関への報告など、さまざまな対応が必要になります。

今回は、2026年上半期に発覚または詳細が公表された情報セキュリティ事例を紹介しながら、2026年の傾向、2025年との違い、企業が確認しておきたい対策について解説します。

2026年上半期に公表された主な情報セキュリティ事例

まずは、2026年上半期に公表された主な情報セキュリティ事例を見ていきましょう。

被害内容に加え、システム停止や利用者対応など、企業への影響もあわせて整理しています。

2026年上半期の事例から見えてきた5つの傾向

今回紹介した事例は、企業の業種や攻撃されたシステム、漏えいした情報がそれぞれ異なります。

一方で、複数の事例をまとめて見ると、2026年の情報セキュリティ事故に共通する傾向が見えてきます。

1．一度の侵入で数百万人規模に影響する

2026年上半期には、KDDIで約1,223万人分、アフラック生命で約438万人分、UNIVERSAL MUSIC STOREなどで約310万件の情報漏えいが公表されました。

これほど対象件数が大きくなる背景には、一つのシステムやデータベースに大量の利用者情報が集約されていることがあります。

クラウドや共通基盤を利用することで、業務を効率化できる一方、そのシステムが侵害されると、複数のサービスや企業へ一度に影響が広がる可能性があります。

情報セキュリティ対策では、攻撃を受ける可能性だけでなく、侵入された場合にどの程度の情報が影響を受けるかも考えなければなりません。

2．公開中のWebサイト以外も攻撃の入り口になっている

情報セキュリティ対策というと、Webサイトやサーバー、CMSの管理画面を思い浮かべる方が多いかもしれません。

しかし、2026年上半期には、GitHubの認証情報、業務用クラウドサービス、社内の情報共有システム、外部アプリ、廃棄したパソコンなど、公開中のWebサイト以外を起点とする事故も確認されました。

現在のWebサービスは、次のような複数の環境や外部サービスを利用して運営されています。

• クラウドサービス
• GitHubなどの開発サービス
• 外部アプリやAPI
• 社内のファイル共有システム
• 制作会社や保守会社のアカウント
• 担当者が使用するパソコン

そのため、公開中のWebサイトだけを守っても、十分な対策とはいえません。

Webサイトを作り、更新し、運営するために利用している環境全体を確認する必要があります。

3．委託先や外部サービスから被害が広がっている

2026年上半期には、自社のシステムではなく、業務委託先や外部アプリ、第三者が提供するソフトウェアを起点とした事例も目立ちました。

KDDIではメール基盤に導入していた第三者製ソフトウェアの脆弱性が悪用され、複数のISP事業者へ影響が広がりました。

スマレジの事例では、外部アプリの提供事業者が保有していたデータが不正取得されました。あいおいニッセイ同和損保では、業務委託先へのサイバー攻撃によって顧客情報が漏えいしています。

制作、保守、決済、クラウド、データ処理などを外部へ委託していても、事故が発生した場合には、自社にも利用者への連絡や問い合わせ対応が求められます。

「外部へ任せているから安全」ではなく、「外部へ任せているからこそ、管理方法を確認する」という考え方が必要です。

4．認証情報が被害拡大のきっかけになっている

メディカ出版では、第三者が正規のアカウント情報を使用して社内ネットワークへ侵入しました。

CAMPFIREでも、GitHubの認証情報が漏えいしたことを起点として、社内で利用するクラウド環境まで不正アクセスが広がっています。

これらの事例から分かるのは、高度なシステムを導入していても、正しいIDとパスワードを使われると、不正アクセスを防ぐのが難しくなるということです。

パスワードの使い回しを避けるだけでなく、多要素認証、アクセス元の制限、利用端末の確認、不要なアカウントの削除などを組み合わせる必要があります。

また、ソースコードや設定ファイルの中に、パスワードやAPIキーなどの認証情報を直接保存しないことも重要です。

5．情報漏えいだけでなく事業停止へ影響が広がっている

情報セキュリティ事故の影響は、個人情報の漏えいだけではありません。

アフラック生命では、被害拡大を防止するために関連する一部システムが停止されました。

KDDIの事例では、複数のISP事業者でパスワードの変更や強制リセットが必要になりました。メディカ出版では、ランサムウェアによってファイルが暗号化されています。

事故が発生すると、原因調査、システム復旧、対象者への通知、問い合わせ対応、取引先への説明、行政機関への報告などに多くの時間と人員が必要になります。

売上や業務が停止するだけでなく、通常業務を行う社員が事故対応に追われることも、企業にとって大きな損失です。

具体的な事例を攻撃パターン別に整理

ここまでの事例を抽象化すると、企業が注意すべき情報セキュリティのパターンは次のように整理できます。

情報セキュリティ対策は、ウイルス対策ソフトを導入したり、サーバーを新しくしたりするだけでは十分ではありません。

システム、アカウント、個人情報、外部サービス、委託先、機器の廃棄まで、情報を扱う一連の流れを確認する必要があります。

2025年と2026年では何が変わったのか？

2025年と2026年の情報セキュリティの状況は、まったく別のものになったわけではありません。

IPAの「情報セキュリティ10大脅威 2025」では、組織向け脅威の1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」、3位が「システムの脆弱性を突いた攻撃」でした。

2026年も、1位のランサム攻撃と2位のサプライチェーン・委託先への攻撃は変わっていません。

つまり、2025年以前から続く基本的な脅威がなくなったわけではなく、引き続き最優先で対策する必要があります。

大きな変化は、2026年に「AIの利用をめぐるサイバーリスク」が初めて3位に選ばれ、システムの脆弱性を悪用した攻撃が4位になったことです。

• IPA「情報セキュリティ10大脅威 2025」
• IPA「情報セキュリティ10大脅威 2026」

AIがサイバー攻撃のハードルを下げている

今回紹介した各社の公式発表では、AIが直接の侵入原因だったとは説明されていません。

しかし、AIは従来からある攻撃を効率化し、巧妙にするために利用される可能性があります。

IPAは、AIの翻訳能力を使って不自然さの少ないフィッシングメールを作成できることや、生成AIをサイバー攻撃のアシスタントとして利用することで、攻撃の頻度や数量、平均的な技術水準が高まる可能性を指摘しています。

つまり、2025年まで存在していたフィッシング、不正ログイン、脆弱性攻撃、ランサムウェアなどに、AIによる効率化が加わったと考えると分かりやすいでしょう。

2026年は「システム単体」ではなく「つながり」がより重要になっている

今回取り上げた公表事例を見ると、公開中のWebサイトだけでなく、共通基盤、クラウド、GitHub、外部アプリ、委託先など、複数のサービスや企業のつながりを通じて被害が広がっています。

これは、2026年に突然始まった攻撃ではありません。

しかし、クラウドや外部サービスの利用が広がったことで、一つの認証情報や一つの委託先が侵害された際の影響範囲が大きくなっています。

そのため、これまでのように「自社のWebサーバーに問題がないか」だけを確認するのではなく、次の点まで把握する必要があります。

AIの普及により中小企業も巻き込まれやすくなっている

AIが普及したからといって、すべてのサイバー攻撃がAIによって行われているわけではありません。

しかし、企業の情報収集、フィッシングメールの作成、文章の翻訳、攻撃用プログラムの作成補助などにAIを利用できるようになり、攻撃者側の時間や労力は小さくなっています。

その結果、特定の大企業だけを狙うのではなく、多数の企業へ広く攻撃を仕掛け、その中から侵入できる企業を探す方法が、さらに行いやすくなると考えられます。

企業の規模が小さいことは、安全である理由にはなりません。

中小企業が攻撃されることで、取引先を含むサプライチェーン全体へ影響が広がる可能性もあります。

中小企業では、情報セキュリティの専任担当者がいない、Webサイトを制作会社へ任せたままになっている、古いシステムを更新できていないといったケースもあります。

攻撃者から見ると、企業の知名度や売上規模よりも、次のような「侵入できる可能性」が重要です。

• 古いシステムが残っている
• パスワードが漏えいしている
• 多要素認証が設定されていない
• 外部から管理画面へアクセスできる
• 異常を監視する仕組みがない

「小さな会社だから狙われない」のではなく、「インターネットにつながっている企業は、規模に関係なく攻撃対象になり得る」と考える必要があります。

Web担当者が確認しておきたい7つの対策

AIによって攻撃が効率化・巧妙化しても、必要となる対策の基本が大きく変わるわけではありません。

まずは、次の7つを確認しましょう。

1．利用しているシステムと外部サービスを一覧化する

CMS、ECシステム、サーバー、ドメイン、決済サービス、クラウド、外部アプリ、GitHubなど、業務で利用しているシステムを一覧にします。

あわせて、管理担当者、保守会社、保存されている情報、緊急連絡先も整理しましょう。

2．システムやプラグインを最新の状態にする

利用しているシステムのバージョンとサポート期限を確認し、脆弱性が公表された場合に速やかに更新できる体制を整えます。

すぐに更新できない場合は、アクセス制限や該当機能の停止など、一時的な対策も必要です。

3．重要なアカウントに多要素認証を設定する

Webサイトの管理画面だけでなく、サーバー、クラウド、メール、ドメイン、GitHub、決済、広告、アクセス解析などにも多要素認証を設定します。

退職者や異動者のアカウントが残っていないかも定期的に確認しましょう。

4．委託先と外部サービスの管理状況を確認する

制作会社や保守会社、クラウド事業者へ、次の内容を確認します。

• どの情報へアクセスできるのか
• アカウントをどのように管理しているのか
• 再委託を行っているか
• 事故発生後、何時間以内に連絡されるのか
• ログやバックアップはどこに保管されているか

契約書や発注書にも、事故発生時の報告や対応範囲を明記しておくことが重要です。

5．ログ、監視、バックアップを整える

Webサイトが正常に表示されていても、裏側で不正アクセスが続いている可能性があります。

管理画面へのログイン、ファイル変更、権限変更、大量のデータ閲覧、不審な通信などを記録・監視します。

バックアップは、攻撃を受けたシステムと同時に暗号化されないよう、別の環境やオフラインにも保管しましょう。

6．不要な個人情報を削除し、機器を適切に廃棄する

個人情報は、保存しているだけで漏えい時のリスクになります。

古い顧客情報、過去の購入履歴、休眠アカウントなどを、必要以上に保存していないか確認しましょう。

パソコンや記録媒体を廃棄する際は、初期化だけでなく、データの消去や物理破壊が適切に行われたことを確認できる仕組みも必要です。

7．生成AIの利用ルールを決める

生成AIへ顧客情報、社内資料、パスワード、ソースコードなどを入力すると、意図しない情報漏えいにつながる可能性があります。

会社が許可していないAIサービスを業務で利用する「シャドーAI」もリスクの一つです。

利用できるAIサービス、入力してよい情報、生成結果の確認方法を社内ルールとして決めておきましょう。

まとめ

今回は、2026年上半期に発覚・公表された情報セキュリティ事例と、その傾向について紹介しました。

2026年上半期の事例から分かるのは、攻撃対象が公開中のWebサイトだけではないということです。

クラウドサービス、メール基盤、GitHubなどの開発環境、管理者アカウント、外部アプリ、業務委託先、廃棄するパソコンなど、情報を扱うすべての場所が事故の入り口になる可能性があります。

また、2025年から続くランサムウェアやサプライチェーン攻撃に加えて、2026年はAIによる攻撃の効率化・巧妙化にも注意が必要です。

まずは、自社が利用しているシステムや外部サービスを把握し、まずは次の点などを確認するのが良いかと思います。

• システムやプラグインが最新の状態になっているか
• 重要なアカウントに多要素認証が設定されているか
• 不要な個人情報やアカウントが残っていないか
• ログやバックアップが適切に保管されているか
• 委託先や制作会社との緊急連絡体制が決まっているか

ただ、確認してみたけどどのように対策すれば良いかが分からない場合などもあるかと思います。

そんな時は弊社でもサポートを行ってたりしますので、下記フォームからお気軽にお問い合わせください。

お問い合わせはこちらから