2024年の事故

委託先を通さない企業などの事故のうち、ランサムウェアは6件に1件ほどで、2025年の7件に1件ほどより高い割合でした。被害は株式会社だけでなく、病院や学校法人などにも及んでいます。

委託先を通さないランサムウェアの事故は60件を超え、どの月にも2件以上ありました。公表した組織の5件に1件ほどは株式会社以外で、病院、学校法人、公益財団法人、税理士法人、健康保険組合などです。病院では電子カルテを含む情報システムが、学校法人では在校生や卒業生の情報を持つ情報システムが被害を受けました。

2024年のランサムウェアの事故は、9割近くが被害を受けた組織自身の公表です。委託先のランサムウェア被害を受けて利用組織が公表したものは10件に届きませんでした。2025年は、ランサムウェアの事故の半分ほどが委託先経由でした。

対象になった情報では、利用者の情報が対象と分かっている事故が半分に届かず、従業員や取引先の情報を対象に挙げた事故が半分近くありました。

委託先を通さない事故の45%ほどが紛失と誤送信で、紛失の割合は2025年より高くなりました。企業などの事故でも、紛失と誤送信が3割ほどを占め、2025年の2割あまりを上回っています。

紛失は、委託先を通さない事故の2割あまりで、2025年の19%ほどより高い割合です。紛失の6割ほどは自治体の公表で、市立や県立の学校での出席簿や答案などの紛失が、紛失全体の3割ほどにあたります。

誤送信は、企業などの公表が自治体より多かった年です。企業などの誤送信は70件ほどで、自治体の60件台を上回りました。2025年は、自治体の誤送信が企業などの1.7倍ほどでした。

企業などの誤送信は、ほとんどがメールです。その半分ほどは、BCCで送るはずのメールをTOやCCで送り、ほかの受信者のアドレスが見える状態になったものでした。送る必要のないファイルを添付した事故もあり、株式会社biimaが11月13日に公表した事故では、スポーツスクール「biima sports」の会員53名へのお知らせメールに、約2.3万人分の個人情報を記したファイルが添付されていました。

5月から10月にかけて、保険会社と代理店のあいだで、契約者の情報が本来渡らない先へ渡っていたという公表が5件ありました。渡った先は外部の第三者ではなく、ほかの保険会社や出向元の保険会社です。

どれも外部からの攻撃ではなく、普段の仕事のやり取りの中で起きた事故です。5月の公表は、乗合代理店からほかの損害保険会社へ情報が渡っていたものでした。7月と10月の公表は、保険会社から代理店への出向者が、代理店の顧客の情報を出向元へ送っていたものです。

公表したのは保険会社だけではありません。株式会社トータル保険サービスと株式会社ETERNALは、代理店の側から、自社の顧客の情報が保険会社に渡っていたと公表しました。

• 東京海上日動火災保険株式会社（5月23日公表）乗合代理店の管理部門が拠点へ送るメールの宛先にほかの損害保険会社の担当者が入っており、契約者名や証券番号などが他社に漏えいしました。8月30日の発表では、384代理店、約86万件です。
• あいおいニッセイ同和損害保険株式会社（5月23日公表）複数の乗合代理店が、了解を得ずに同社の顧客の情報をほかの損害保険会社へ送っていました。8月30日時点で151社・204,783件としています。
• 株式会社トータル保険サービス（7月12日公表）損害保険ジャパン株式会社からの出向者によって、同社の顧客の損害保険契約に関する情報が損害保険ジャパン株式会社に漏えいしていました。
• 東京海上日動火災保険株式会社（7月23日公表）代理店に出向した社員が、代理店が扱うほかの保険会社の顧客の情報などを出向元へ送っていました。8月の金融庁への報告では、35代理店、約10万件です。
• 株式会社ETERNAL（10月28日公表）同社に出向していた朝日生命保険相互会社の職員から、朝日生命保険相互会社となないろ生命保険株式会社へ顧客の契約情報が漏えいしていました。件数は約36千件で、不正利用や第三者への外部流出は確認されていないとしています。

クレジットカード情報が対象になった事故は30件を超え、1件を除いて通販サイトへの不正アクセスでした。委託先を通さない不正アクセスの4分の1ほどにあたり、2025年の1割足らずより高い割合です。

カード情報の事故は9月を除く毎月公表され、いちばん多い5月は7件で、この月の不正アクセスの半分近くにあたります。通販サイトの事故の半分ほどは、決済のアプリケーションが改ざんされたことを原因に挙げています。

事業者が自分で気づいたと分かる事故は数件です。気づいたきっかけが分かる事故の4分の3ほどは、カード会社や決済代行会社、警察からの連絡でした。そのきっかけから公表までは中央値で3か月ほどで、対象の期間が数年にわたる事故もあります。

公表のほとんどは、カード情報が漏えいした可能性があるという段階のものです。可能性があるとされたカード情報の件数が大きいのは、株式会社三恵の71,943件と、株式会社東京玉子本舗の65,387件でした。