数字で見る現状——漏えいは「例外」ではなくなった
まず全体像です。東京商工リサーチの集計によると、2025年の上場企業（子会社含む）の個人情報漏えい・紛失事故は180件で歴代2番目、事故を公表した社数は158社と過去最多を更新しました。漏えい人数は100万人を超える大型事故が6件発生した影響で3,063万人分——単純計算で日本人の4人に1人分の情報が、1年間で漏れたことになります。
- 原因の第1位は「ウイルス感染・不正アクセス」で64.4%（ランサムウェア攻撃を含む）
- 第2位は「誤表示・誤送信」で20.5%——つまり約5件に1件は攻撃ではなく操作ミス
- 2026年のセキュリティ動向では、委託先・サプライチェーンを狙った攻撃と、AI利用をめぐるリスクが上位に挙げられている
注目すべきは、被害の入口が「高度なハッキング」だけではないことです。誤送信・誤表示という日常業務のミスが2割を占める——ここは中小企業にも完全に共通する話です。
2026年も続く大企業の事例——3つの型
型1：システムの不具合（ユニクロ・GU）
ファーストリテイリングは2026年1月、「ユニクロ」「ジーユー」のオンラインストアで、特定の条件下で他人の個人情報が閲覧できる状態になっていたと発表しました。攻撃されたのではなく、自社システムの不具合が漏えいの入口になった型です。
型2：外部からの攻撃（村田製作所ほか）
電子部品大手の村田製作所では2026年4月、約8.8万件規模の情報漏えいの恐れが公表されました。近年はKADOKAWA（25万人超）や、自治体・企業の帳票処理を受託していたイセトー（307万人超）など、本体ではなく委託先・グループ会社が入口になる事例が続いています。
型3：内部の人による持ち出し（大手損保）
2026年4月には、損害保険大手3社の出向者らがトヨタ自動車の社員約2万人分の情報を無断で持ち出していた問題が報じられました。正規の権限を持つ「中の人」による持ち出しは、ファイアウォールでは防げません。
セキュリティに巨額を投じている大企業ですら、この3つの型で漏れています。重要なのは「大企業でも防げないなら諦める」ではなく、3つの型それぞれに、規模に応じた備えがあると知ることです。
中小企業が学ぶべき3つの教訓
教訓1：「うちは狙われない」は、もう通用しない
攻撃者が大企業を直接狙わず、セキュリティの弱い取引先・委託先を入口にするのが現在の主流です。つまり中小企業は「狙う価値がない」のではなく、「大企業への入口として狙う価値がある」存在になっています。取引先から預かったデータを漏らせば、賠償だけでなく取引そのものを失います。
教訓2：漏えいの2割は「攻撃」ではなく「ミス」——ここは仕組みで消せる
誤送信・誤表示は、注意喚起では減りません。宛先を手入力しない差し込み送信、送信前の自動チェック、共有設定の定期点検——ミスが起きない構造にするのが唯一の対策です。これは高価なセキュリティ製品ではなく、業務の仕組み化の話です（メール業務の自動化で具体的に解説しています）。
教訓3：持ち出しとAI利用は「ルールの明文化」が第一歩
内部の持ち出しを完全に防ぐ技術はありませんが、「誰がどのデータにアクセスできるか」の棚卸しと、退職・異動時のアカウント停止だけで大半のリスクは削れます。またAIツールに顧客情報を貼り付ける行為は、ルールがなければ善意の社員が普通にやってしまいます。禁止ではなく「匿名化してから使う」「学習に使われない設定・法人プランを使う」という現実的なルールを1枚にまとめることが先決です（AIツールのセキュリティ点検参照）。
今日からできる5つの対策——費用はほぼゼロ
- ①アクセス権限の棚卸し：共有フォルダ・クラウドの「全員に共有」を洗い出し、必要な人だけに絞る。退職者アカウントを今日確認する
- ②誤送信の構造的防止：BCC一斉送信をやめ差し込み方式へ。重要ファイルはリンク共有＋権限設定で送る
- ③AI利用ルールを1枚つくる：入力してよい情報・ダメな情報、使うサービスと設定を明文化する
- ④バックアップと更新：ランサムウェア対策の基本。基幹データのバックアップを本体と切り離して保管し、OS・ソフトの更新を自動化する
- ⑤「漏れたら誰に連絡するか」を決めておく：個人情報保護委員会への報告義務（重大事案は速報3〜5日以内）があるため、発覚時の初動を1枚にしておく
どれも1日で着手できるものばかりです。完璧な防御は大企業でも不可能ですが、「ミスが起きない仕組み」と「起きたときの初動」の2つを持っているかどうかで、被害の大きさは桁違いに変わります。
まとめ：効率化と安全は、同じ設計の話
3,063万人分という数字は、情報漏えいが「特別な事故」ではなく「日常のリスク」になったことを示しています。そして原因の内訳を見れば、中小企業が打つべき手は明確です。攻撃対策の基本（バックアップ・更新・権限）と、ミスが構造的に起きない業務の仕組み化——後者は、業務自動化の設計そのものです。
弊社は自動化の構築時に、誤送信防止・権限設計・データの扱いを最初から組み込みます。「効率化したら漏れやすくなった」では本末転倒だからです。まずは自社の共有設定とアカウントの棚卸しから始めてください。
自動化の設計に「漏れない仕組み」を最初から組み込みます
誤送信の構造的防止、アクセス権限の整理、AIツールの安全な使い方——弊社の業務自動化は安全設計とセットです。いまの業務の不安を1行入力するだけで、対策込みの構成案をその場でお見せします。
AIに30秒で試す →よくある質問
Q. 中小企業でも情報漏えい時の報告義務はありますか？
あります。個人情報保護法により、不正アクセスによる漏えいや要配慮個人情報の漏えいなど一定の事案は、企業規模を問わず個人情報保護委員会への報告（速報は概ね3〜5日以内）と本人への通知が義務です。発覚時に慌てないよう、報告先と初動手順を事前に1枚にまとめておくことをおすすめします。
Q. セキュリティにお金をかけられません。何から始めるべきですか？
費用ゼロでできる順に、①共有フォルダ・クラウドの権限棚卸しと退職者アカウントの停止、②BCC一斉送信の廃止など誤送信の構造的防止、③AI利用ルールの明文化、④バックアップの分離保管とソフト更新の自動化です。高価な製品の導入より先に、この4つで漏えい原因の大半（不正アクセスの入口と操作ミス）に手が打てます。
Q. 業務を自動化すると、情報漏えいのリスクは上がりませんか？
設計次第です。宛先の手入力や手作業のコピペを自動化で減らすと、誤送信・誤貼り付けというミス起因の漏えいはむしろ減ります。一方で、権限設定の甘い連携や認証情報の平文保存など、雑な自動化はリスクを増やします。構築時にアクセス権限・データの保存場所・ログを設計に含めることが条件です。