個人情報流出はなぜこんなに多い？2026年に相次ぐ不正アクセスの原因を整理してみる

こんばんは、貴重品（きちょうひん）です。

最近ニュースを見ていると、「また個人情報流出？」と思うことがかなり増えました。

タイムズカーでは約660万アカウント、セイコーマートアプリでは57万人以上。

少し前にはKDDI関連のメールシステムや、ECサイト構築サービス「ショップサーブ」でも大規模な情報漏えい（洩ってそんなに難しくないのに馴染みなさすぎる）が発生しています。

流石に多くないか？WEBの業界にいて他人事にしてはいけない項目ではないか？

と思い、今回は、2026年に相次いでいる個人情報流出は、なぜ起きているのか。公開されている情報をもとに、自分なりに整理してみます。

結論：会社そのものではなく「一番弱い場所」を狙われる

最初に結論から言うと、

というのが一番分かりやすいと思います。

現在の企業システムは、

のように、かなり多くのサービスが繋がっています。

攻撃する側からすれば、全部を突破する必要はなく、この中で一番弱い場所を一つ見つければいい。ここが、現在の情報漏えいを考える上でかなり重要だと思います。

タイムズカーでは約660万アカウントが漏えい

最近特に大きく話題のキッカケとなったのが、タイムズカーです。

タイムズモビリティによると、2026年9月25日にWebシステムへの不正アクセスを検知。その後の調査で、約660万アカウント分の情報が第三者に取得されたことが確認されました。

さらに、そのうち約160万件については、

など、本人確認書類の漏えいも確認されています。

660万件も十分大きいですが、個人的には免許証画像160万件の方がかなり気になります。メールアドレスなら変更できますが、氏名、生年月日、住所、本人確認書類となると簡単には変えられません。

尚、現時点では具体的な侵入手法までは公表されておらず、「この脆弱性が原因だった」と断定することはまだできません。

セイコーマートでも約57万人

その数日後には、セイコーマートアプリでも不正アクセスが発覚しました。

セイコーマートの発表では、アプリに登録したことがある会員のうち572,022人分、会員全体の49％にあたる情報が不正に閲覧されたことが確認されています。

脅威の49%。

こちらは、

という経路で第三者からアクセスされたと説明されています。

アプリ単体の問題というより、その先にある会員データまで到達されてしまった形です。

「外部サービス」が突破されると影響範囲が大きい

更に分かりやすいのが、ECサービス「ショップサーブ」です。

運営するEストアーは、2026年5月21日から8月1日にかけて、第三者がサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信していたと発表しています。公表された対象データは脅威で約885万件。

ここで怖いのが、

という点です。一社社のECサイトだけが攻撃された話ではありません。

共通して利用されているサービス側が突破されれば、そのサービスを使っている企業へ一気に影響が広がります。

これが、いわゆるサプライチェーンや委託先を狙った攻撃の怖いところです。

KDDIでは「第三者製ソフトウェアの脆弱性」

KDDI関連の事案は、さらに原因が分かりやすいです。

KDDIがISP事業者向け（インターネット接続サービスを提供している会社）に提供していたメールシステムでは、システム内で利用していた第三者製ソフトウェアの脆弱性が悪用され、不正アクセスが発生しました。

つまり、

ということです。これはシステムを作る側からすると普通に怖い話で、現在のWebサービスで、外部ライブラリ、SaaS、APIなどを一切使わずにシステムを作ることは現実的ではありません。

便利になればなるほど、依存するサービスも増えていきます。

実は「漏えい件数そのもの」が急増しているとは限らない

実際、個人情報保護委員会によると、2025年度に処理した個人データの漏えい等の報告は17,139件。前年度は19,056件だったため、年間の報告件数そのものはむしろ減っています。

つまり「最近突然、情報漏えいの発生件数が何倍にも増えた」というわけではありません。

ただし、大規模な不正アクセスが続き、1回の攻撃で数十万、数百万件というデータが流出するため、以前より目立ちやすくなっていると考えられます。

データを一箇所に集約できるのは企業にとって非常に便利ですが、裏を返せば、その一箇所を突破されたときの被害も大きくなります。

今後もこの問題はなくならなそう

IPAが発表した「情報セキュリティ10大脅威 2026」では、企業・組織向けの脅威として、

が挙げられています。かなり今の状況そのままです。

個人的には、これからセキュリティで重要になるのは「自社サイトを守る」だけではないと思っています。

この辺りまで考える必要がありそうです。

便利なサービスを繋げれば繋げるほど、システム自体は便利になります。ただ、その分だけ入口も増える。

何とも難しい問題ですね。

まとめ

2026年に個人情報流出が相次いでいるように見える理由は、「突然ハッカーが増えた」だけではなさそうです。

企業が大量のデータをクラウドやWebシステムへ集約し、さらに外部サービス、SaaS、API、委託先などと繋がるようになったことで、

が増えています。

特に最近の事案を見ると、「会社そのものを正面から突破する」というより、使っているソフトウェアや外部サービスを含め、一番弱い場所を探して侵入する攻撃がかなり厄介です。

もちろん、今回紹介した事案でも具体的な侵入経路がまだ調査中のものがありますので、何でも「企業のセキュリティが甘かった」で片付けるのも違うと思います。

ただ、数百万人分の情報を一つのシステムで管理できる時代になった以上、便利になった分だけ、一度突破されたときの被害も巨大になった。

今の個人情報流出を考えるなら、ここが一番分かりやすいのかなと思います。

私自身もシステムを作る機会があるので、普通に他人事ではありません。便利にするだけではなく、「突破された場合にどこまで被害を小さくできるか」まで考える必要がある時代になったな、と改めて感じます。

〈オススメ記事〉

画像：Nano Banana 2
X：@kichohinX
FB：貴重品フェイスブックページ
ココナラ：貴重品ココナラページ
ウェブサイト：KICHOHIN.COM