「2億6000万人分が漏れた」と読みたくなる数字ですが、そうではありません。個人情報保護委員会が10月28日に示した集計は、延べで、速報で、しかも委員会に直接届いた報告だけを数えたものです。それでも委員会は同じ日、2027年4月に予定していたガイドライン改正を「可能な限り前倒す」方針を示しました。
個人情報保護委員会は2026年10月28日の第374回委員会で、不正アクセスによる個人データの漏えい等の報告を集計した資料を示した。2026年4月1日から10月16日までに速報で受け付けた報告は、月別の件数を合計すると2,094件、漏えい等した延べ本人数は約2億6000万人だった。9月の303件に対し、10月は16日までで830件に上った。金融業や電気通信業など委任先省庁を経由した報告と、行政機関等の報告は含まない。
同じ委員会では、安全管理措置のガイドラインに示す「手法の例示」の更新について、施行を可能な限り前倒しする方針も示した。
From: 
第374回 個人情報保護委員会（個人情報保護委員会）
【参考動画】
10月7日の注意喚起を解説する委員会の公式動画（10月9日に注意喚起のページへ追加）。今回の10月28日の集計と改正案の動画ではない。
個人情報保護委員会チャンネル（外部）
【編集部解説】
不正アクセスによる個人データの漏えい等として、個人情報保護委員会に届く報告が増えています。4月に166件だった月ごとの件数は、9月に303件まで積み上がり、10月は16日までの半月で830件に達しました。9月1か月分の約2.7倍にあたります。
同じ10月28日の委員会では、もう一つの方針が示されました。2027年4月に予定していた安全管理措置のガイドライン改正を、可能な限り前倒しすることです。集計と前倒しが同じ日に並んだ意味を、まず数字の数え方から読んでいきます。
2億6000万人は「延べ」の数字
見出しになりやすいのは約2億6000万人という本人数ですが、これは延べの数字です。同じ人が複数の事案に含まれていれば、そのたびに数えられます。委員会は資料の中で、データの取扱いを委託している場合には、同じ事案を委託先と委託元の両方が報告していることがあると注記しています。重複を除いた2億6000万人分の情報流出が確かめられた、という意味ではありません。速報で報告された本人数を延べで積み上げた数字で、漏えいのおそれの段階の報告も含まれます。
数えている範囲も限られています。対象は、事業者から委員会に直接届いた報告だけです。金融業や電気通信業など、委員会の権限の一部が事業所管の省庁に任されている分野では、事業者はその省庁に報告します。こうして省庁を経由して届いた報告は含まれません。ただし、これらの業種でも、自社の従業員や株主の情報の漏えい等は委員会に直接報告するため、業種ごと集計から外れるわけではありません。innovaTopiaが10月13日に伝えたコミュニティサービスの事案では、提供元のコミューンが電気通信事業者として総務省に報告し、委員会への報告は契約企業が行う形をとっていました（【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖）。一つの侵害が、別々の窓口に別々の報告として届くことがあるわけです。
もう一つ、これは速報の段階の数字です。漏えい等報告には、発覚後すぐに出す速報と、調べたうえで出す確報があり、不正な目的によるおそれがある事案の確報は発覚から60日以内とされています。委員会も、確報の時点で件数や人数が変わる可能性があると書いています。
10月に増えたのは件数だけではない
本人数ごとの内訳を見ると、全体の8割にあたる1,681件は10万人以下の事案です。そのうえで、10月には規模の大きい報告がまとまって届いています。1,000万人を超える報告は4月から7月まで0件でしたが、8月と9月に1件ずつ、10月は16日までに4件ありました。100万人超1,000万人以下も、それまでの月は0〜6件だったのに対し、10月は18件です。
目を引くのは、本人数が「不明」の報告です。4月から8月までは月5〜15件でしたが、9月に57件、10月は197件となり、10月の報告の約4分の1を占めます。速報は、その時点で分かっている事項を報告する仕組みなので、調査中で人数がまだ分からない報告が含まれていると考えられます。ただし、不明が増えた理由までは、この資料からは分かりません。
10月の急増がどの事案によるものなのか、資料には原因や手口、業種の内訳が付いていません。innovaTopiaの「不正アクセス・情報漏えいの記録｜2026年10月」にも多くの公表が並んでいますが、個々の事案がこの集計のどこに入っているかは、公表資料からはたどれません。
前倒しされる「手法の例示」とは
前倒しの対象は、個人情報保護法第23条が定める安全管理措置の中身を示した、ガイドライン（通則編）の別添です。別添は、事業者が「講じなければならない措置」と、それを実践するための「手法の例示」で組み立てられています。措置に従わなければ法違反と判断される可能性がありますが、例示は文字どおり例で、すべてを講じなければ違反になるものではありません。
この別添は、2016年の策定当時から内容が大きくは変わっていません。一方で委員会は、事業者を監視・監督する際、別添の項目に沿って権限を行使するかどうかを検討しているとしています。別添は、委員会が事業者の安全管理措置を見るときの枠組みにあたります。ただし、個々の例示を実施していないことだけで違反になるわけではなく、事業やデータのリスクに応じて、別の適切な手法を選ぶこともできます。
今回の改正案の柱は4つです。クラウドや端末の高機能化への対応、境界型の防御に加えたゼロトラストの考え方、侵入されたあとの被害拡大を防ぐ横展開対策、そして記載の明確化です。具体的には、同じユーザーIDとパスワードの使い回しの原則禁止、多要素認証や生体認証、アクセスのたびに場所・時間・端末の状態を評価する仕組み、許可した端末だけからのアクセス、特権アカウントを使う人と端末と場面の最小化、異動や退職の際のアクセス権限の変更、IDS/IPSやEDRによる早期検知などが例として加わります。
並べてみると、入口を固めるだけでなく、入られることを前提に、広げない・早く気づくという守り方への切り替えが読み取れます。IPAの「情報セキュリティ10大脅威2026」で、組織向けの「ランサム攻撃による被害」は11年連続で選ばれました。委員会が指導した不正アクセスの事案でも、ランサムウェアによる攻撃が多く確認されていると資料は書いています。
当初の予定では、2026年11月ごろに見直し案を審議し、12月ごろに意見を募集、2027年2月ごろに改正内容を決め、4月に施行するはずでした。今回、審議は10月28日に早まり、意見募集は10月29日から11月27日まで行われています。結果の報告、改正内容の決定、施行は「可能な限り早く」とされ、施行日はまだ示されていません。
前倒しの理由として委員会が挙げたのは、広く普及し大量の個人情報を扱う事業者が外部から不正アクセスを受け、大量の個人データが漏えい等した事案に接していることです。委員会は10月7日の注意喚起で、見直し後の技術的な措置をすでに先取りして示していました（【解説】個人情報保護委員会が漏えいで注意喚起、安全管理措置の見直しを先取り）。同じ注意喚起では、利用する必要がなくなった個人データを遅滞なく消去するよう努めること（第22条の努力義務。法令で保存期間が定められている場合は別）も、あらためて促しています。今回の改正案は、10月7日に先取りした技術的な対策に、組織や研修などに関する例示の追加・整理も加えて、ガイドラインの更新を急ぐものです。また、「不正アクセス等の検知等」が、講じなければならない措置の一項目として加わります。ログの定期的な分析やIDS/IPS・EDRなどによる早期検知は、この措置を実践するための手法の例示に位置づけられます。委員会はこれらを既存の内容の再構成や例示の追加と位置づけ、新たな規律を設けるものではないとしています。ただ、必要かつ適切な安全管理措置を講じる第23条の義務は、施行を待たずに今もあります。
政府全体の動きと、報告の窓口
前倒しの2日前、10月26日には、首相官邸で第1回のサイバーセキュリティに関する関係閣僚会議が開かれました。高市早苗首相は、企業などへの相次ぐサイバー攻撃で大規模な情報漏えいの被害が多数生じ、漏えいした情報を悪用した二次被害への不安も高まっていると述べています。IPAや警察の相談対応の充実、国家サイバー統括室への情報集約、中小企業向けの支援の拡充などを指示し、来週中をめどに政府の「緊急対策パッケージ」を取りまとめるとしました。その前の10月23日には、自民党の国家サイバーセキュリティ戦略本部が首相に提言を申し入れています（自民党、「サイバー有事前夜」と提言）。
報告の窓口も整えられてきました。政府はサイバー攻撃の被害報告を一元化する方針をとっており、個人データの漏えい等やそのおそれが生じたときの報告では、ランサムウェアの事案は2025年10月1日から、その他のサイバー攻撃等の事案も2026年10月1日から、関係省庁で共通の様式を使えるようになりました。共通様式は委任先の省庁に報告する業種の事業者も使えますが、具体的な手続きは委任先の省庁に確かめる扱いです。様式がそろっても、法令上の報告先が一つになったわけではありません。
数字の限界と、比べ方
今回の集計には、前年など同じ条件で比べられる数字は示されていません。委員会が四半期ごとに公表する「漏えい等報告の処理状況」は、委員会に直接届いた分は確報を受けて処理を終えた段階で、委任先省庁を経由した分は省庁から委員会に報告が届いた時点で数えており、不正アクセス以外の原因も含みます。対象も数える時点も違うため、今回の2,094件とは単純に比べられません。
「入られたあと」を問う段階へ
意見募集は、事業者に限らず誰でも11月27日まで参加できます。改正案は、更新後の別添の全文として公開されています。自社の対策がどの例示に当たり、どこがまだ手薄かを、施行を待たずに照らし合わせることができます。なお、従業員100人以下の事業者向けには簡易な「中小規模事業者における手法の例示」がありますが、委託を受けて個人データを扱う事業者などは、その対象から外れます。
10月16日までに830件という数字は、委員会に直接届く速報が増えていることを示しています。発生した攻撃の数や、重複を除いた被害の規模をそのまま表すものではありません。同じ日に委員会が示した改正案と、10月7日の注意喚起からは、入口を守るだけでなく、早く見つけ、広げず、不要なデータを持ち続けないという守り方が読み取れます。政府が来週中をめどに取りまとめるとした緊急対策パッケージと、調査や確報を通じて見えてくる被害の実態が、この切り替えをどこまで後押しするのかが次の焦点です。
【関連記事】
【解説】個人情報保護委員会が漏えいで注意喚起、安全管理措置の見直しを先取り
10月7日の注意喚起で示された、見直し後の技術的安全管理措置の中身を読み解いた。今回の改正の前倒しにつながる前段にあたる。
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
委員会の注意喚起に続いて、JPCERT/CC、IPA、NCOなどが相次いで出した注意喚起と、事業者に求めた点検をまとめた。
【解説】i-ask・Commune・IDCFクラウドに不正アクセス、大和証券やヤマハなど委託元の公表が連鎖
委託先への1件の侵害が、大和証券やヤマハなど多くの委託元の公表と報告につながった事例。報告先が委員会と総務省に分かれる例も示した。
不正アクセス・情報漏えいの記録｜2026年10月
2026年10月に公表された国内の不正アクセスと情報漏えいの事案を、日付順に記録した一覧。今回の集計と同じ時期にあたる。
自民党、「サイバー有事前夜」と提言 官邸に対処本部、暗号資産の追跡や耐量子暗号の移行加速も
10月23日に首相へ申し入れられた自民党の提言。官邸主導の対処本部の設置や、暗号資産の追跡、耐量子暗号への移行加速を求めた。
【編集部後記】
従業員が数人の会社でも、ガイドラインの「中小規模事業者」に当たらないことがあります。従業員100人以下の事業者には簡易な手法の例示が用意されていますが、委託を受けて個人データを扱う事業者は、その対象から外れるためです。
今回の集計にも、委託元と委託先が同じ事案を両方報告することがあると注記がありました。預かる側の小さな会社にどこまでの備えを求め、それを誰が支えるのか。来週の緊急対策パッケージが、その問いにどこまで踏み込むのかを見ています。
【用語解説】
漏えい等報告
個人データの漏えい・滅失・毀損や、そのおそれが生じ、一定の要件に当たる場合に、事業者が個人情報保護委員会へ行う報告。個人情報保護法で義務づけられている。
速報／確報
漏えい等報告の2段階。速報は発覚後速やかに、その時点で分かっている事項を報告する。確報は調べたうえで出す報告で、原則30日以内、不正な目的によるおそれがある場合は60日以内に行う。
延べ本人数
複数の報告に同じ人が含まれていても、報告ごとに数えて合計した人数。重複を除いた実際の人数とは異なる。
委任先省庁
個人情報保護委員会の権限の一部を任された、事業を所管する省庁。金融業や電気通信業などの事業者は、漏えい等報告をこの省庁に行う。
安全管理措置
個人データの漏えいなどを防ぐために、事業者が講じなければならない措置。個人情報保護法第23条に定められ、ガイドライン（通則編）の別添で中身が示されている。
手法の例示
安全管理措置を実践するための方法の例。すべてを講じなければ違反になるわけではなく、事業やデータのリスクに応じて別の適切な手法を選ぶこともできる。
中小規模事業者
ガイドラインで、従業員100人以下の事業者を指す。ただし、扱う個人情報が一定の数を超える事業者や、委託を受けて個人データを扱う事業者は含まない。
ゼロトラスト
組織の内外を問わず何も信頼せず、アクセスのたびに利用者や端末の状態を確かめる考え方。ネットワークの境界で守る従来の考え方を補う。
横展開
侵入した攻撃者が、組織内の別の機器やシステムへ広がっていくこと。ラテラルムーブメントとも呼ばれる。
特権アカウント
システムの設定変更やデータの一括操作など、強い権限を持つアカウント。乗っ取られると被害が大きくなる。
多要素認証
パスワードなどの「知っているもの」、スマートフォンなどの「持っているもの」、指紋などの「本人の特徴」のうち、異なる要素を組み合わせて本人を確かめる方式。
IDS/IPS
Intrusion Detection System／Intrusion Prevention Systemの略。不正な通信を見つける仕組みと、見つけて遮断する仕組み。
EDR
Endpoint Detection and Responseの略。パソコンやサーバーの不審な動きを監視し、攻撃の検知と対処を支える仕組み。
ランサムウェア
データを暗号化して使えなくし、元に戻す対価（金銭や暗号資産）を要求する不正プログラム。
共通様式
サイバー攻撃の被害を報告する際に、関係省庁で共通して使える報告の様式。政府の被害報告一元化の方針に基づく。
意見募集（パブリックコメント）
国の機関が規則やガイドラインを定める前に、案を公表して広く意見を募る手続き。誰でも意見を出せる。
【参考リンク】
個人情報保護委員会（外部）
個人情報保護法を所管し、事業者を監督する国の機関。漏えい等報告の受付や注意喚起、ガイドラインの策定と見直しを担っている。
e-Govパブリック・コメント「個人情報の保護に関する法律についてのガイドライン（通則編）の一部を改正する告示（案）等に関する意見募集について」（外部）
今回の安全管理措置の改正案に対する意見募集のページ。募集期間は2026年10月29日から11月27日までで、誰でも意見を出せる。
漏えい等の対応とお役立ち資料（個人情報保護委員会）（外部）
漏えい等報告の要件と期限、報告フォーム、ランサムウェアなどの事案で使える共通様式をまとめた、個人情報保護委員会のページ。
国家サイバー統括室（外部）
政府のサイバーセキュリティ政策の司令塔となる内閣官房の組織。関係閣僚会議の指示で、被害企業からの情報の集約と発信を担う。
IPA 独立行政法人 情報処理推進機構（外部）
経済産業省所管の情報セキュリティの専門機関。「情報セキュリティ10大脅威」の公表や、被害を受けた企業の相談を受け付けている。
【参考記事】
大規模な漏えい等事案を踏まえた対応について（注意喚起）(令和８年１０月７日）（個人情報保護委員会）（外部）
大量の個人情報を持つ事業者向けの注意喚起。見直し後の技術的安全管理措置を先取りして示し、不要な個人データの消去もあらためて促した。
個人情報の保護に関する法律についてのガイドライン（通則編）等における安全管理措置の手法の例示の追加等の検討について（個人情報保護委員会 第369回 資料2）（外部）
2026年9月16日の資料。2016年の策定以来大きく変わっていない別添を見直す背景と、2027年4月施行を予定した当初の日程を示した。
令和8年度第1四半期における漏えい等報告の処理状況（個人情報保護委員会 第367回 資料3-2）（外部）
2026年4〜6月の漏えい等報告の処理件数は個人情報で6,101件。確報を受けた処理件数ベースで、今回の速報の集計とは数え方が異なる。
サイバーセキュリティに関する関係閣僚会議（首相官邸）（外部）
2026年10月26日の第1回会合での首相発言。相談体制の充実や情報集約を指示し、来週中をめどに緊急対策パッケージをまとめるとした。
情報セキュリティ10大脅威 2026（IPA）（外部）
組織向けの脅威で「ランサム攻撃による被害」が11年連続で選ばれた。個人情報保護委員会は改正案の背景として、この結果を挙げている。
