中小企業・自治体の個人情報漏えい対策ー攻撃AI時代に何から始めるか？ー

東京商工リサーチの集計によれば、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件で、漏えいした個人情報は3,063万6,910人分と前年比93.1%増になりました。原因は「ウイルス感染・不正アクセス」が116件（構成比64.4%）で最多となり、この原因による件数は過去最多です。

2026年はさらに悪化しています。同社によると、集計開始から2025年までの14年間で1,000万件以上の漏えいは3回でしたが、2026年は10月5日までに同規模の事故がすでに3回発生しています。100万件以上の大規模漏えいも10月5日時点で10件に達し、2025年通年の6件をすでに上回りました。最大はKDDIで、ISP向けメールシステムへの不正アクセスにより1,223万1,954件のメールアドレスが漏えいしました。

このほか物語コーポレーションが「焼肉きんぐ」公式アプリの会員情報1,078万8,963件、タイムズモビリティが約660万件の漏えいを公表しています。公表済みの大型事故だけを合算しても、2026年の漏えい規模は少なくとも約4,800万件に達し、2025年通年の約1.6倍に相当すると推計されます（編集部試算）。

攻撃側の道具も変わりました。中国Z.aiが2026年8月に公開した生成AI「GLM-5.3」について、Anthropicは端末から攻撃コードまでを自律的に開発できる能力を持つ一方、安全装置は簡単な手法で回避でき、模擬攻撃テストでの突破率は最大100%に達したと警告しています。

守る側が不利なのは以前からですが、その差はAIで広がっています。では、専任のセキュリティ担当者がいない中小企業や自治体は、何から手を付けるべきなのでしょうか。この記事では、漏えいが頻発する構造を公表データで整理し、認証情報の棚卸し、ダークウェブでの露出確認、シャドーAIと委託先の管理、そしてサイバー保険まで、着手すべき順序を示します。

個人情報漏えいはいま何件起きているのか

民間の報告は1万7139件、行政機関等は2278件に増加

個人情報保護委員会の令和7年度年次報告によれば、民間事業者からの個人データ漏えい等の報告は1万7139件でした。過去最多だった前年度の1万9056件からは約1割減っています。一方で、国の行政機関や自治体などの行政機関等からの報告は2278件と、前年度の1951件から増えました。

報道によれば、行政機関等の増加の背景には、ランサムウェアによるサイバー攻撃が相次いだことがあります。民間の件数が減ったのは、前年度に社会保険労務士向けシステムへの不正アクセスで3000件近い報告が計上された反動が大きく、状況が改善したと読むのは早計です。

上場企業の漏えい人数は3063万人分、関係企業は過去最多の158社

東京商工リサーチが2026年1月30日に公表した調査では、2025年の上場企業とその子会社の個人情報漏えい・紛失事故は180件でした。件数は前年比4.7％減ですが、漏えい人数は3063万6910人分と93.1％増え、関係企業数は158社で過去最多を更新しました。100万人分以上の大型事故は6件ありました。

原因別では、ウイルス感染・不正アクセスが116件で全体の64.4％を占め、2年連続で100件を超えて過去最多となりました。誤表示・誤送信の37件、紛失・誤廃棄の18件と比べると、外部からの攻撃が漏えいの主因になっていることがわかります。

ランサムウェア被害の6割は中小企業、最多は製造業

警察庁によれば、2025年に報告されたランサムウェア被害は226件で、このうち中小企業が143件と約6割を占めました。業種別では製造業が91件で最も多く、卸売・小売業、サービス業、情報通信業が続きます。復旧に要した費用が総額1000万円以上となった組織は半数を超えました。

ランサムウェアとは、組織のデータを暗号化して使えなくし、復旧と引き換えに身代金を要求するマルウェアのことです。近年は暗号化の前にデータを盗み出し、公開をちらつかせて支払いを迫る手口が主流で、ランサムウェア被害はそのまま個人情報漏えいにつながります。

漏えいの本質は「誰かの鍵で正面から入られている」こと

警察庁が感染経路を把握できた92件のうち、VPN機器経由が61件（66.3％）、リモートデスクトップ経由が19件（20.7％）で、合計で約87％に達します。警察庁は、未修正の脆弱性や漏えいした認証情報、簡易なパスワード、設定不備などを悪用した侵入が多いと分析しています。

つまり、攻撃の多くは高度な手品ではなく、社外から社内に入るための正規の入口を、正規のIDとパスワードで通過しています。個人情報漏えいが止まらない理由は、入口の数と、その入口を開ける認証情報の所在を、組織自身が把握しきれていない点にあります。

なぜ守る側の不利はAIで広がるのか

GLM-5.3は「公開された攻撃に使えるAI」の水準を一段上げた

GLM-5.3は、中国のZ.ai（旧Zhipu AI）が2026年8月14日に公開した大規模言語モデルです。同社は当初、モデル本体の重みの配布を約2週間遅らせ、サイバー能力が想定より速く伸びたと説明しました。重みは8月28日（日本時間29日）に公開され、7533億パラメータのモデルを誰でもダウンロードして手元で動かせる状態になっています。

Z.ai自身の発表では、ソフトウェアの脆弱性を見つけて再現するベンチマーク「CyberGym」で84.5％を記録し、前モデルGLM-5.2の77.2％から伸びました。米国立標準技術研究所（NIST）のAI標準・イノベーションセンター（CAISI）も評価を行いました。9月17日の公表では、GLM-5.3を、CAISIがこれまで評価した公開重みのモデルの中で最もサイバー能力が高いと位置づけています。

安全装置は約4400ドルの改変で外れる

問題は性能そのものより、安全装置の外しやすさです。Anthropicのフロンティア・レッドチームが9月29日に公表した検証では、GLM-5.3は露骨な攻撃依頼を初期状態ではすべて拒否しました。ところが「正規のレッドチーム担当者である」と偽る説明を添えると64％、推論の書き出しをあらかじめ埋めておく手法では92％の確率で依頼に応じました。

さらに、拒否する振る舞いをモデルから取り除く「アブリテレーション」という改変を施すと、すべての試行で攻撃支援に応じました。この改変に要した計算資源は約2200GPU時間、費用は約4400ドルで、主要な安全性ベンチマーク3種での拒否率は、平均で約95％から約6％（ベンチマークにより2〜12％）まで下がりました。一般的な能力はほぼ維持されています。

同じ検証では、軽量版のGLM-5.3-Flashが、公開済みのChromeの脆弱性情報から実際に動く攻撃コードを組み立てています。人間が関与した時間は約20分、モデルの稼働は約8時間、API料金換算で約20.40ドルでした。公開重みのモデルは、配布後に開発元が利用方法を管理できません。拒否を前提にした安全対策は、攻撃者の手元では機能しないと考えるべきです。

重大な脆弱性の完全修正は26％にとどまる

攻撃側が速くなる一方で、守る側の修正は遅くなっています。米Verizonの「2026年度データ侵害調査報告書（DBIR）」によれば、侵入の入口として最も多かったのは脆弱性の悪用で31％、認証情報の不正利用が13％でした。米当局が悪用を確認している重大な脆弱性のうち、調査対象期間（2024年11月〜2025年10月）に完全に修正されたのは26％で、前年版の38％から下がりました。修正完了までの日数の中央値も32日から43日に延びています。

攻撃者は入口を一つ見つければ足ります。守る側はすべての入口を塞ぎ続けなければなりません。この非対称は以前からありますが、脆弱性の発見から攻撃コードの作成までをAIが数時間でこなすようになると、修正に43日かかる組織はその間ずっと無防備な状態に置かれます。

反対の見方とデータの限界

この評価には慎重な見方もあります。Anthropicは競合のAI開発企業であり、公表直後には開発者コミュニティから利益相反や、公開重みモデルへの規制論につなげる意図を指摘する声が上がりました。Z.aiのベンチマーク結果も自社測定で、公表時点では第三者による再現はされていません。NISTのCAISIは、GLM-5.3のサイバー能力は米国の最先端モデルより約4か月遅れていると見積もっています。

ただし、どの見方に立っても、高度な攻撃支援が可能なAIが誰でも入手できる状態になったという事実は変わりません。中小企業や自治体にとって重要なのは、どのモデルが最強かではなく、攻撃の手間と費用が下がり続けるという前提で備えを組み直すことです。

中小企業と自治体ではどこが弱点になるのか

中小企業の62.6％はセキュリティに投資していない

情報処理推進機構（IPA）が全国の中小企業4191社を対象に行った2024年度の調査では、情報セキュリティ対策への投資を行っていない企業が62.6％に上りました。2021年度調査の33.1％から大きく増えています。組織的な体制がない企業は約7割で、専門部署がある企業は9.3％でした。

同調査によれば、過去3期のサイバーインシデントによる被害額は平均73万円でしたが、最大は1億円に達しました。被害を受けた企業の約7割が「取引先にも影響があった」と答えています。自社の被害額が小さくても、取引先の業務停止や信用低下を通じて、取引関係そのものを失うリスクがあることを示しています。

委託先の一つのアカウントが全体の入口になる

IPAの「情報セキュリティ10大脅威 2026」組織編では、1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」でした。VerizonのDBIRでも、侵害に取引先などの第三者が関与した割合は48％と、前年の30％から大きく増えています。

アスクルが2025年10月に受けたランサムウェア攻撃は、その典型例です。同社の調査報告によれば、初期の侵入経路は業務委託先に付与したアカウントとみられ、その管理者アカウントには例外的に多要素認証が適用されていませんでした。攻撃者は6月5日に侵入してから10月に暗号化するまで、4か月以上にわたってネットワーク内を移動していました。

自治体も同じ構造の中にあります。2024年5月に印刷・情報処理会社のイセトーがランサムウェア被害を受けた際には、納税通知書の印刷などを委託していた平塚市や広島県などの自治体で、住民情報の漏えいの可能性が公表されました。自治体の個人情報は、庁舎の外にある委託先のシステムでも扱われています。

部門や個人が勝手に使うAIとSaaSは、台帳に載っていない

シャドーAIとは、組織が公式に許可していない生成AIサービスを、従業員が業務に使うことです。角川アスキー総合研究所の「AI白書2026」掲載調査では、シャドーAIの利用経験は管理職で46.5％、一般社員で38.1％でした。ルールを作る側の管理職のほうが利用率は高くなっています。

全社共通のガイドラインを整備済みの企業でも、シャドーAIの利用経験は46.9％で、一部整備の企業の50.0％と大差がありませんでした。VerizonのDBIRでは、会社の端末から生成AIサービスを利用する人のうち、会社のものではないアカウントを使っていた人は67％に上ります。ガイドラインを作っただけでは、実際の利用は把握できないということです。

部門単位で契約した無料・有料のSaaSも同じ問題を抱えています。退職者のアカウントが残る、共有パスワードが使い回される、多要素認証が未設定のまま放置される、といった状態は、情報システム部門の台帳に載っていないサービスほど起きやすくなります。

盗まれた認証情報は、すでに売られている

ダークウェブとは、通常の検索エンジンでは到達できず、特別なソフトウェアで接続するネットワーク上のサイト群のことです。ここでは、情報窃取型マルウェアが感染端末から抜き取ったIDやパスワード、ブラウザに保存されたログイン情報が、まとめて売買されています。

Verizonの2025年度版DBIRの分析では、ランサムウェア被害を受けた組織の54％で、窃取された認証情報のログなどに自社ドメインの情報が見つかっていました。企業ログインを含む感染端末の46％は会社が管理していない私物端末で、個人用と業務用の認証情報が混在していました。自宅のパソコンで業務のクラウドサービスにログインした記録が、本人の知らないうちに売られている可能性があります。

今後2〜3年でこう動く

以下は、公表データから合理的に導ける範囲の見立てです。予言ではなく、現在の数値の延長線上で考えられる変化として整理します。

予測1　攻撃は「大企業狙い」から「委託先経由」へさらに移る

第三者が関与する侵害は1年で30％から48％に増え、ランサムウェア被害の6割は中小企業です。この2つを合わせると、攻撃者は守りの固い大企業や自治体本体ではなく、その委託先や取引先を入口に選ぶ傾向を強めると考えられます。先行指標は、取引先からのセキュリティ調査票やチェックリストの提出依頼の増加です。

予測2　「AIで修正を速める組織」と「43日かかる組織」の差が開く

攻撃側がAIで脆弱性の発見と攻撃コード作成を数時間に縮める以上、守る側も資産の把握や修正の優先順位付けにAIを使わなければ差は縮まりません。予測できるのは、AIを防御に組み込む組織と、従来どおり人手で対応する組織の間で、被害率に明確な差が出ることです。先行指標は、重大な脆弱性の修正日数の中央値です。

予測3　サイバー保険は「入れるかどうか」から「入れる状態か」が問われる

保険会社は被害の増加に合わせて、加入時の審査で多要素認証の導入状況やバックアップ体制などを確認する傾向を強めています。今後は、認証情報の管理や資産の棚卸しができていない組織ほど、保険料が上がるか、加入自体が難しくなると考えられます。備えの有無が、保険の条件として可視化される段階に入ります。

予測4　自治体は委託先管理の説明責任を問われる

行政機関等の漏えい報告は増加に転じ、委託先経由の事故も繰り返されています。自治体には今後、委託契約の段階でのセキュリティ要件の明示と、事故時の住民への説明責任がより強く求められると考えられます。

2026年10月1日には、能動的サイバー防御を定めた「重要電子計算機に対する不正な行為による被害の防止に関する法律」の一部が施行されました。これにより、基幹インフラ事業者のうち特別社会基盤事業者にインシデント報告などが義務づけられています。国全体の制度が動き始めたことで、自治体と地域の委託先にも同水準の管理が期待されるようになります。

守る側が本当に優先すべきこと

企業が着手すべき優先順位

第一に、経営者は「管理している認証情報の一覧がすぐに出るか」を情報システム担当者に確認してください。VPN、リモートデスクトップ、クラウドサービス、委託先に発行したアカウントを含め、誰のどのIDがどこに入れるのかを一覧にします。侵入の約87％がVPNとリモートデスクトップ経由である以上、ここが最初の防衛線です。一覧が出せない場合は、その状態こそが最大のリスクです。

第二に、自社ドメインの認証情報がダークウェブに出回っていないかを調べてください。Have I Been Pwnedのドメイン検索のような無料サービスや、セキュリティ会社のダークウェブ監視サービスで確認できます。見つかった場合は、該当アカウントのパスワード変更と多要素認証の設定を即日行います。私物端末で業務サービスにログインしていないかも、あわせて確認します。

第三に、部門や個人が独自に契約したSaaSと生成AIを棚卸ししてください。経費精算やクレジットカードの明細から、サービス名を洗い出すのが確実な方法です。禁止するより先に、業務で使える公式のAIサービスを用意し、利用を台帳に載せる方向で整理します。ガイドラインを整備しても利用率が下がらないという調査結果は、禁止だけでは実態が見えなくなることを示しています。

第四に、取引先と委託先にアカウントを発行している場合は、その管理状況を確認してください。アスクルの事例のように、委託先用の管理者アカウントだけ多要素認証が例外になっている状態は珍しくありません。委託契約の更新時に、多要素認証の必須化と、事故発生時の連絡期限を契約書に明記します。

第五に、ガバナンスそのものにAIを使ってください。アカウント一覧の突き合わせ、ログイン記録の異常検知、契約中のSaaSの利用状況の把握は、人手では追いつかない作業です。攻撃側がAIで速くなる以上、管理側もAIで点検の頻度を上げる必要があります。そのうえで、防ぎきれない事態に備えてサイバー保険を検討します。

サイバー保険は「最後の備え」として位置づける

日本損害保険協会の「サイバーリスク意識・対策実態調査2020」では、サイバー保険に加入している企業は7.8％にとどまり、加入していない理由の40.7％は「補償内容や保険料をよく知らない」でした。ジュネーブ協会が2026年3月にまとめた報告でも、引用された推計によれば世界の中小企業のサイバー保険加入率は約10％にとどまります。国内の調査はやや古いものの、加入が広がっていない状況は海外でも共通しています。

サイバー保険は、事故後の原因調査、個人情報保護委員会への報告や本人への通知、コールセンターの設置、損害賠償などの費用を補償します。個人情報保護法では、不正アクセスによる漏えいなど一定の事態が起きた場合、個人情報保護委員会への報告が義務づけられています。速報は速やかに（目安は概ね3〜5日以内）、確報は原則30日以内（不正の目的によるおそれがある場合は60日以内）です。

専任担当者のいない組織ほど、保険に付帯する事故対応支援の価値は大きくなります。ただし、保険は備えの代わりにはなりません。第一から第五の対策を進めたうえで、残るリスクを移転する手段として使います。

自治体が優先すべき論点

第一に、情報政策部門は、庁内システムだけでなく委託先が扱う住民情報の所在を一覧にしてください。納税通知書の印刷、システム保守、窓口業務など、住民情報を外部に渡している業務をすべて洗い出します。イセトーの事例は、庁内の対策だけでは住民情報を守れないことを示しています。

第二に、委託契約の仕様書に、多要素認証の必須化、事故発生時の報告期限、再委託の制限を明記してください。契約更新のたびに要件を見直し、委託先の対応状況を年1回は書面で確認します。

第三に、職員が個人判断で使っている生成AIとクラウドサービスを把握してください。外部サービスの利用申請の仕組みを整え、業務で使ってよいサービスを示すことで、許可されていない利用を減らします。

第四に、首長と幹部は、地域の中小企業向けの支援を自治体のセキュリティ対策の一部と捉えてください。地元企業は自治体の委託先であり、地域経済の担い手でもあります。商工会議所や地域の支援機関と連携し、認証情報の棚卸しやダークウェブ確認の方法を周知することは、自治体自身のリスクを下げることにもつながります。

やってはいけないこと

一つ目は、生成AIの利用を全面禁止して終わらせることです。禁止しても利用は続き、組織から見えなくなるだけです。AI白書2026の調査が示すとおり、ルールの有無と実際の利用率はほとんど連動していません。

二つ目は、委託先や取引先のアカウントを「例外」として扱うことです。多要素認証の適用除外、パスワードの共有、退職者アカウントの放置は、いずれも攻撃者が最初に探す入口です。

三つ目は、サイバー保険に入ったことで対策を終えたと考えることです。保険は事故後の費用を補うもので、漏えいした個人情報や失った信用は戻りません。

よくある質問

まとめ

個人情報漏えいが頻発している最大の理由は、正規の入口が正規の認証情報で突破されていることです。上場企業の漏えい人数は2025年に3063万人分とほぼ倍増し、ランサムウェアの感染経路の約87％はVPNとリモートデスクトップでした。委託先のアカウント一つから4か月以上潜伏された事例も出ています。

攻撃側の道具は、GLM-5.3によってさらに安く、手軽になりました。安全装置は約4400ドルの改変で外せ、公開済みの脆弱性から攻撃コードを組み立てる費用は約20ドルです。一方で守る側は、重大な脆弱性の完全修正率が26％にとどまり、修正には中央値で43日かかっています。

この不利を前提にすると、優先順位は明確です。認証情報の一覧を作り、ダークウェブでの露出を確認し、部門や個人が使うSaaSとAI、委託先のアカウントを台帳に載せます。その点検をAIで継続し、防ぎきれない部分をサイバー保険で備えます。この順序は、中小企業にも自治体にも共通しています。

攻撃が防げるかどうかより先に、自分たちの入口と鍵の数を答えられるかどうかが問われています。セキュリティ対策の出発点は、新しい製品の導入ではなく、管理しているものの全体像を把握するガバナンスにあります。