国内の情報漏洩事故 2025〜2026 ─ 何が起き、どこまで防げたのか

2026年10月20日

ここ1〜2年、「不正アクセスにより個人情報が流出した可能性」というニュースを目にしない週はほとんどありません。

ただ、ニュースは1件ずつ流れていくため、全体として何が起きているのかは見えにくいものです。

そこで、2025年1月から2026年10月15日までに公表された国内の情報漏洩事故を、被害規模順に整理しました。
あわせて、それぞれの原因に対してCloudflareでどのような対策が取れるのかも解説します。

件数が大きいのはWeb・API・会員システム型

公開アプリの脆弱性、仕様・認可の不備、管理機能の悪用が中心です。
1件で1,000万件超の事故が複数発生しています。
業務停止は短期で済む一方、顧客対応コストが膨らみます。

損失が大きいのはランサムウェア

入口はVPN機器とリモートデスクトップ、そしてMFAのない管理者・委託先アカウントに集中しています。
数か月の業務停止と、数十億〜数百億円規模の損失に至っています。

Cloudflareが効くのは主に「入口」

VPNのZTNA置き換え、管理画面の非公開化、例外なきMFAは高い効果が見込めます。
公開アプリも、WAFとレート制限で被害の拡大を抑えられます。

漏洩件数上位10件

2025年1月〜2026年10月15日公表分

No	組織（公表時期）	漏洩件数	攻撃手法・原因（公表ベース）
1	Helpfeel「Gyazo」	約2,362万件	画像アップロードサーバの脆弱性を突かれ任意コマンド実行。その後DBから持ち出し
2	EPARKリラク&エステ（2026年7〜9月）	約2,218万レコード	手法は非公表。「不正利用されたDB接続用アカウント」を停止と告知
3	損害保険ジャパン（2025年4〜6月）	最大約1,748万件	社内Webシステムへの不正アクセス。経路は非公表
4	アドベンチャー「skyticket」（2026年10月）	約1,464万件	管理機能を不正に操作／業務管理システムの脆弱性／予約完了ページの認証不備
5	KDDI（ISP向けメール）（2026年6〜7月）	1,223万3,087件（メールアドレス／KDDI公表値）	第三者製ソフトのゼロデイ脆弱性。5月16日から悪用
6	物語コーポレーション（2026年10月）	1,078万8,963件	会員管理システムへの不正アクセス。経緯は調査中
7	第一興商（2026年10月）	約872万4,000件	委託先の従業員PC 1台がマルウェアに感染
8	ムラウチドットコム（2026年7〜9月）	771万6,811件	Webシステムの脆弱性を起点に複数システムへ横展開
9	AOKI HD・快活フロンティア（2025年1月）	729万87件	サーバへの不正アクセス。会員管理システムまで到達。経路は非公表
10	タイムズモビリティ（タイムズカー）（2026年9月）	約660万アカウント	Webシステムへの不正アクセス。免許証等の画像約160万件を含む

※件数は「確認」「おそれ」「レコード数」「アカウント数」が混在しており、単純比較はできません。

統計で見る動向

10件：上場企業とその子会社で、2026年に公表された100万件以上の事故（10月5日時点）。2025年は年間6件（東京商工リサーチ）
66.3%：令和7年のランサムウェア被害で、侵入経路が判明した92件のうちVPN機器が占める割合（警察庁）。最新の令和8年上半期（2026年9月10日公表）でも、被害は半期で過去最多の123件、侵入経路の約5割がVPN機器
約200億円：アサヒグループHDのサイバー攻撃による事業利益ベースへの影響。このほかシステム障害関連費用が約170億円。物流正常化は2026年2月
約52億円：アスクルが第2四半期に計上した特別損失（52億16百万円）。主要サービス復旧まで約4か月（2026年2月13日に「障害発生前の水準まで復旧」と公表）

件数の大きさを決めたのは「入口」ではなく「保持データの量と範囲」でした。 タイムズモビリティ（タイムズカー）は退会者まで含む約660万アカウント（うち約160万件は免許証等の画像）が漏れた一方、東京メトロは対象サーバにメールアドレス以外を保存しておらず約5.9万件で済んでいます。

原因（侵入経路）別の傾向

記号A〜Fは、後述の「Cloudflare製品別：有効範囲」「優先して着手すべきこと」と共通です（Cloudflareで防げる可能性が高い順）。

記号	原因カテゴリ	主な事例	件数（参考）	業務影響の傾向
A	VPN・ネットワーク機器経由のランサムウェア	アサヒグループHD（拠点のネットワーク機器経由と公表）、IDCフロンティア	約230万件	数か月の停止、数十億〜数百億円の損失
B	認証情報の悪用（MFA未適用の管理者等）	EPARK、アスクル、i-ask、楽天グループ（楽天ドライブ）ほか	約2,370万件	ランサムウェアにつながると長期停止
C	公開Webアプリ・APIの脆弱性・認可不備	Helpfeel（Gyazo）、アドベンチャー（skyticket）、ムラウチドットコムほか	約5,540万件	停止は短期で済むが、件数が巨大
D	第三者製ソフトのゼロデイ	KDDI、IIJ、IDARE、NewsPicks ほか	約1,300万件	検知の遅れ（IIJは約8か月）
E	委託先・クラウド基盤・SaaS経由	第一興商、ライドオン、JR東日本ほか	約2,390万件	自社では統制できず、波及範囲が広い
F	経路非公表のWeb・会員システム不正アクセス	損害保険ジャパン、AOKI HD、タイムズモビリティ（タイムズカー）ほか	約5,660万件	停止は短期で済むが、顧客対応コストが大きい

※主要事案の分類は執筆者によるもので、件数は延べ・単位混在の参考値です。アサヒグループHDは、パスワードの脆弱性を突いた管理者権限の奪取も公表しており、Bにも該当します。

Cloudflare製品別：有効範囲

記号	原因	有効なCloudflare製品	評価
A	VPN機器・RDPの脆弱性	Access（ZTNA）、Cloudflare One Client（旧WARP）、Tunnel	防げた可能性が高い
B	認証情報の漏洩（委託先・管理者）	Access（独立MFA、ポスチャ※自社管理端末）、漏洩認証情報検知	防げた可能性が高い
B・C	露出した管理画面・社内ツール	Tunnel ＋ Access	防げた可能性が高い
C	Webアプリ脆弱性（RCE／SQLi）	WAF Managed Rules、Malicious uploads detection（旧Content Scanning）※	部分的に緩和
C	認可不備（IDOR）と大量抽出	レート制限、Bot Management※、API Shield※	部分的に緩和
D	第三者製ソフトのゼロデイ	WAF（HTTP系のみ）、Access前置	一部で緩和
E	委託先・クラウド基盤の侵害	Gateway、RBI、DLP、CASB	限定的

※Cloudflare Managed RulesetはPro以上、API ShieldのBOLA検知はEnterprise限定です。
※Malicious uploads detection（旧Content Scanning）は、アップロードされたファイルのマルウェア検査機能で、Enterprise限定の有料アドオンです。SQLi・RCEそのものはWAF Managed Rulesで対処します。
※Bot ManagementはEnterprise向けの製品です（Pro／BusinessではSuper Bot Fight Modeを利用）。API Shieldの各機能もEnterprise向けの有料アドオンです（スキーマ検証とエンドポイント管理は全プランで利用可）。

A2B攻撃 ─ 公開アプリを解析してAPIを狙う手口

2026年10月13日、NICT（情報通信研究機構）の脅威情報分析チームLETTICEは、国内で相次ぐ情報漏えいの原因の一つとして「A2B攻撃（App-to-Backend Attack）」を特定し、注意喚起を公表しました。

攻撃者は一般公開されているAndroidアプリを解析して、接続先API（アプリが裏側で通信するサーバの窓口）の仕様を把握し、認証・認可の不備を突いて会員情報などを大量に取得します。同じAPIをiOSアプリやWebサービスで使っている場合も対象です。上の表の類型Cに当たります。

NICTが推奨しているのは、次の3点です。
①ログ調査による侵害の確認（2026年8月以降のアクセス・API・認証ログを優先）
②認証・認可の不備や、不正なDB操作を可能にする脆弱性の点検
③不要なアクセスの制限などの暫定的な緩和策

対策の段階	Cloudflareでできること	注意点
侵害の確認	セキュリティ分析画面やログで、未認証の大量取得、連番IDの指定、別会員情報へのアクセスなどの痕跡を確認	確認できるのはCloudflare経由の通信のみ
暫定的な緩和	データ取得APIへのレート制限で大量抽出を抑止。mTLS（クライアント証明書による相互認証）で、正規アプリ以外からの接続を拒否	証明書をアプリに埋め込むだけでは、解析で抜き取られる可能性あり
検知	API ShieldのBOLA検知（他人のデータを列挙する挙動の検出）	Enterprise限定
根本対策	アプリ・API側での認可チェックの修正（Cloudflareは被害の拡大を抑える層として併用）	Cloudflareだけでは解消できない

※アプリの解析そのものは防げません（公開アプリは誰でも入手可能なため）。なお、Bot Fight Mode／Super Bot Fight ModeはアプリやAPIの正規通信もチャレンジしてしまう場合があるため、API向けにはそのまま適用しないよう注意が必要です。

優先して着手すべきこと

Cloudflareで実施できること

管理画面・社内ツールを Tunnel ＋ Access の背後へ移し、受信ポートを閉じる。VPN装置と公開RDPは廃止（A・B・C）
既定を拒否とし、MFAはFIDO2を必須化。委託先にもMFAは例外を作らず、独立MFAで強制する（B）
Accessにデバイスポスチャ（EDR稼働、OS更新）を条件として組み込む。対象は自社管理端末とし、委託先・私物端末（専用クライアントを導入できない端末）はMFA必須で統制する（A・B）
公開アプリにWAF Managed Rules、漏洩認証情報検知、データ取得APIへのレート制限を設定。APIはスキーマ検証で入力の形式をチェックする。ただしスキーマ検証は形式チェックであり、認可不備（IDOR：IDを書き換えると他人のデータが取れる状態）の解消はアプリ側の修正が前提（C）
スマホアプリ向けAPIは、mTLSで正規アプリ以外からの接続を拒否し、データ取得系にレート制限を設定する（C）

自社は大丈夫か ─ かんたんセルフチェック

1つでも当てはまる場合は、今回取り上げた事故と同じ入口から狙われる可能性があります。

チェック項目	関連する原因（記号）
□ 在宅勤務や外出先から社内のシステムに入るために、VPN装置やリモートデスクトップを使っている	A
□ 管理者用や委託先用のアカウントに、IDとパスワードだけでログインできるものがある	B
□ 管理画面や社内ツールのログイン画面を、社外のインターネットから誰でも開ける	B・C
□ 会員サイトやスマホアプリで「他人の情報が見えてしまわないか」を、専門家に点検してもらったことがない	C
□ 退会したお客様の情報や免許証などの画像を、保管期限を決めずに持ち続けている	漏洩件数に影響

※最後の項目はCloudflareでは解決できない、データの持ち方の問題です。該当する項目がある場合は、現状の確認からお気軽にご相談ください。

前提： Cloudflareの効果は、例外のない運用を前提とします。設定ミスや例外アカウントを残さないことが重要です。侵入経路が非公表の事案（F：損害保険ジャパン、AOKI HD、タイムズモビリティ（タイムズカー）等）への評価は、類型からの推定です。

出典：各社公表資料、東京商工リサーチ、警察庁統計（令和7年版・令和8年上半期版）、NICT「A2B攻撃」公表（2026年10月13日）、Cloudflare公式ドキュメント、報道各社。