件数と、被害の大きさは別の指標

事故の数が少なくても、大量の情報を扱うシステムで事故が起きれば、影響する人数は多くなり得ます。人数が少なくても、情報の内容や業務の停止によって対応の負担が大きくなる場合があります。

指標 読み取ること・注意点
事故・報告・申告の件数 その資料が集めた事案や申告の数。全国で起きた事故の総数とは限らない
漏えい等した人数・人分 情報が関係する人の規模。可能性を含むか、人数不明をどう扱うかを確認する
損失・調査や復旧の費用 資料が対象とする金銭的な影響。売上減や人件費などを含むかを確認する
復旧期間・業務の停止期間 回復までの時間と、止まった仕事の範囲。システム復旧と全業務の再開は区別する

これらを一つの「被害の大きさ」に換算する共通の物差しは、今回の資料にはありません。件数の増減だけから、対策の効果や増減の原因を断定することも避けます。

実例：事故件数が減り、漏えい人数が増えた調査

東京商工リサーチの2025年の年次調査では、事故件数と漏えい・紛失人数が異なる方向に動きました。対象は2025年に明らかになった上場企業とその子会社の事故、公表日は2026年1月30日です。

同じ調査内の指標 2025年の集計と前年比
自主的な開示から集計した漏えい・紛失事故 180件、前年比4.7％減
公表情報に基づく漏えい・紛失人数 3,063万6,910人分、前年比93.1％増

同調査は、漏えいの可能性や不適切な取り扱いの事例も対象にしています。人数不明・調査中・非公開でも事故件数に数え、人数の開示がない「調査中・不明等」は70件ありました。人数の集計を、全事故の確定した被害者の実人数とは読めません。

ここから言えるのは、この調査の事故件数が減ったことと、同じ調査で集計された人数が減ったことは同義ではないという点です。日本の全企業で同じ変化が起きたとは言えません。

2026年の途中経過：10月5日時点の大規模漏えい

東京商工リサーチ TSRデータインサイトの2026年10月7日公表の記事では、上場企業とその子会社が公表した事故のうち、流出100万件以上の事故を2026年10月5日時点で10件確認したとしています。全国の事故総数でも、2026年通年の結果でもありません。上の2025年の年次調査とは、期間と取り上げる事故の範囲を分けて読みます。

アカウント数・延べ件数は、実人数とは異なる

企業の公式発表でも、数字の単位と対象条件を確かめる必要があります。次の2例は数え方を示すためのもので、東京商工リサーチの10件を再集計する一覧ではありません。

  • タイムズカー： 第2報（9月28日公表・10月1日更新）の約660万件は、漏えいしたアカウント数です。退会者や入会未完了者等も含み、実人数に置き換えません。対象情報には運転免許証画像等の本人確認書類情報も含まれます。
  • スカラコミュニケーションズ： 10月6日の公式発表では、FAQシステム「i-ask」の問い合わせ情報が漏えいした可能性があり、最大713,126件と公表しています。これは問い合わせ単位の延べ件数で、同じ人の複数回の問い合わせを重複して含みます。実際の対象人数は名寄せ作業中とされており、713,126人の漏えいが確定したとは読めません。

同じ「件」でも、事故・アカウント・問い合わせは別の単位です。異なる事案の数字を足して被害者の実人数を求めたり、可能性を含む数字を確定人数に変えたりしないようにします。個別の公表事案とAPIを含む点検手順は、相次ぐ個人情報漏えい、中小企業が今週確かめることにまとめています。本記事では統計と数え方の読み解きに絞ります。

出典ごとに、何を数えたかを読む

個人情報保護委員会：法に基づく報告の処理

令和7年度年次報告は、2025年4月1日〜2026年3月31日の年度を対象とし、2026年7月7日に公表されています。個人情報取扱事業者等、行政機関等の報告を分けて読む資料です。

本文の個人情報取扱事業者等の欄は、法に基づく個人データの漏えい等の報告の処理を扱います。付表では、漏えいだけでなく滅失・毀損やそのおそれも含み、人数未確定の場合は可能性のある本人を含む最大人数として報告を受けると説明しています。

つまり、サイバー攻撃による情報流出だけの統計ではありません。報告の処理件数を、その年度に発生した攻撃の総数として使わないようにします。

警察庁：被害報告と、復旧についてのアンケート

令和8年上半期の情勢資料は、2026年1〜6月を対象とし、2026年9月10日に公表されています。確認した公式掲載版は訂正後で、正誤表は特殊詐欺のグラフの訂正を示しています。

ランサムウェアの節には被害報告件数と、被害に遭った企業・団体等へのアンケートによる調査・復旧費用、復旧期間が掲載されています。被害報告の集計とアンケートの回答は対象が異なるため、同じ母数と考えて割合を作り直しません。

件数だけでなく回復までの負担を見る材料になります。ただし、アンケートの復旧期間を、国内の全企業の業務停止期間に当てはめることはできません。サイバー犯罪全般の統計と、ランサムウェアの被害報告も別に読みます。

東京商工リサーチ：上場企業等の自主的な開示

上の年次調査は、企業のプレスリリース、お知らせ、お詫びなどを独自に集計したものです。委員会への報告をそのまま数えた資料ではなく、対象も上場企業とその子会社に限られます。未上場の中小企業を含む全国の事故率を求める分母には使えません。

FBI IC3：インターネット犯罪の申告と損失

2025 Internet Crime Reportは、2025年にIC3が受けた申告を扱う年次報告で、FBIの公表案内は2026年4月6日付です。個人情報漏えいだけでなく、投資詐欺なども対象にしています。

Appendix Cによれば、同じ申告者による重複申告の可能性があり、損失は可能な限り重複を除いています。特にランサムウェアの調整後損失には、失われた事業・時間・賃金・ファイル・機器や第三者の復旧サービスの費用の推計は含まれません。IC3以外のFBI窓口への直接報告も、その集計には含まれません。

申告件数を被害者数と読み替えたり、掲載されたランサムウェア損失を企業の総負担と読んだりすると、意味が変わります。日本の資料と件数や金額を比べて、国ごとの備えの強弱を判断する材料にはしません。

自社で見るべき点：受注業務が止まる想定シナリオ

以下は、顧客台帳と受注システムを使う中小企業の未実施の想定シナリオです。実際の事故やhirostaの実績ではありません。

顧客台帳にアクセスできなくなり、漏えいの可能性も分かったとします。事故の記録が一つでも、顧客への影響の確認、受注の継続、情報の復旧はそれぞれ必要です。「世の中の事故件数が減った」という情報だけでは、この会社の負担は判断できません。

自社で備えを考えるなら、次の順に担当者と確認します。

  • 情報の範囲： どの場所に、誰のどんな情報があるか。現在の利用者だけでなく、退会者の情報や本人確認書類の画像が残っていないか、保管の必要性・期間・削除する条件も確認する。確認済みの範囲と未確認の範囲を分ける。
  • アクセス： 担当者・委託先が何を閲覧・変更できるか。不要な権限や退職者の利用権限が残っていないか。
  • 止まる業務： 受注、出荷、請求など、どこまで止まるか。代替手順と判断する責任者が決まっているか。
  • 復旧： バックアップの有無に加え、戻す対象、復旧する順序、確認する担当者が分かるか。
  • 負担の記録： 調査・復旧の支出、人の対応時間、業務の停止期間を分けて把握できるか。未確定のものをゼロと記録しない。

これは確認点を整理するための提案であり、実際の停止時間や費用を試算したものではありません。外部の調査結果を自社の予測値にせず、自社が扱う情報と、止まると困る仕事から判断します。

AIへの情報入力を検討する場合は、顧客情報を生成AIに入力する前の確認手順へ進んでください。業務ツールを使い続ける際の権限や担当交代は、保守・引き継ぎの記事で説明しています。

AIの普及に関する数字を読む場合は、中小企業のAI利用率を自社の導入判断に使う方法で、利用の定義と回答対象の違いを整理しています。