このところ、企業や団体からの情報漏えいのニュースが続いています。東京商工リサーチの調査によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件、漏えいした（またはそのおそれがある）個人情報は約3,064万人分で、前の年の約2倍になりました。
原因を見ると、いちばん多いのは「ウイルス感染・不正アクセス」で、全体の6割以上（64.4％）を占めています。つまり、情報漏えいの多くは、外からの攻撃がきっかけで起きています。
このコラムでは、情報漏えいにつながる主な攻撃の種類と、それぞれを防ぐためのポイントをまとめます。
数字で見る、最近の情報漏えい
- 漏えい・紛失事故の件数
- 180件（2025年。上場企業とその子会社が公表したもの）
- 漏えいした人数
- 約3,064万人分（前の年の約2倍）
- 原因
- ウイルス感染・不正アクセス 64.4％、誤表示・誤送信 20.5％、紛失・誤廃棄 10.0％、不正持ち出し・盗難 3.8％
- ランサムウェアの被害
- 警察庁への報告は226件（2025年）。そのうち約6割が中小企業
IPA（情報処理推進機構）が毎年発表している「情報セキュリティ10大脅威」の2026年版（組織編）でも、1位は「ランサム攻撃による被害」で、11年続けて選ばれています。
情報漏えいにつながる主な攻撃
1. ランサムウェア攻撃
会社のネットワークに入り込み、データを暗号化して使えなくしたうえで、元に戻すことと引き換えにお金を要求する攻撃です。最近は、暗号化の前にデータを盗み出しておき、「お金を払わなければ公開する」と脅す手口が多くなっています。そのため、業務が止まるだけでなく、情報漏えいにもつながります。
警察庁が被害にあった組織に聞いたところ、入り込まれた場所は VPN 機器（社外から社内のネットワークに入るための機器）が6割以上でした。復旧に1,000万円以上かかった組織が半分を超えていて、会社の規模にかかわらず大きな負担になります。
防ぐためのポイント：インターネットにつながっている機器（VPN 機器やリモートデスクトップなど）を把握して、修正のプログラムをすぐに当てること。使っていない入口は閉じること。バックアップは、ネットワークから切り離した場所にも取っておくこと。
2. システムの脆弱性を突く攻撃
サーバーやネットワーク機器、ソフトウェアの弱点（脆弱性）を突いて入り込む攻撃です。修正のプログラムが出ていても、当てるまでのあいだに狙われることがあります。IPA の10大脅威 2026 でも「システムの脆弱性を悪用した攻撃」が4位に入っています。
防ぐためのポイント：外から見える機器やサーバーに、古いままのソフトウェアや開きっぱなしの入口がないかを、定期的に確かめること。ネットワーク診断では、こうした弱点を外から調べて、直す順番と一緒にお伝えします。
3. Webサイト・API の弱点を突く攻撃
会員サイトやネットショップ、アプリが使う API の作りの弱点を突いて、データベースの中の情報を抜き出したり、ほかの人のデータを見たりする攻撃です。たとえば、URL やリクエストの番号を書き換えるだけで、ほかの会員の注文履歴が見えてしまう、といった作りの不備が原因になります。
防ぐためのポイント：公開する前と、大きく作り変えたときに、作りに弱点がないかを確かめること。Webアプリケーション・API診断では、攻撃者と同じ目線でサイトや API を調べます。
4. 盗まれた ID・パスワードによる不正ログイン
本物そっくりの偽のログイン画面（フィッシング）や、ほかのサービスから漏れた ID・パスワードを使って、正しい利用者になりすましてログインする攻撃です。正しい ID とパスワードで入ってくるため、気づきにくいのが特徴です。
防ぐためのポイント：パスワードだけでなく、多要素認証（スマホの確認など）を組み合わせること。同じパスワードを使い回さないこと。ログインの仕組みに弱点がないかは、Webアプリケーション・API診断で確かめられます。
5. 標的型攻撃メール
取引先や公的機関などを名乗るメールで、添付ファイルを開かせたり、偽のサイトに誘ったりして、パソコンを乗っ取る攻撃です。特定の会社を狙って、ふだんのやり取りに見せかけてくるため、見分けるのが難しくなっています。IPA の10大脅威 2026 では「機密情報を狙った標的型攻撃」が5位です。
防ぐためのポイント：あやしいメールに気づいたときに、すぐ相談・報告できる仕組みをつくること。社員の方が手口を知っておくこと。セキュリティトレーニングでは、実際の手口をもとに学んでいただけます。会社全体として攻撃にどこまで耐えられるかは、レッドチームで実際の攻撃に近い形で確かめられます。
6. 取引先・委託先を経由した攻撃
自社よりも守りの弱い取引先や委託先、使っているサービスの提供元に入り込み、そこを足がかりに本命の会社を狙う攻撃です。預けていた情報が、委託先から漏れることもあります。IPA の10大脅威 2026 では「サプライチェーンや委託先を狙った攻撃」が2位です。
防ぐためのポイント：どの会社にどの情報を預けているかを把握して、委託先にも求める対策を決めておくこと。セキュリティコンサルティングでは、こうしたルールづくりからご支援します。
7. 設定のミス
攻撃そのものではありませんが、クラウドのストレージを誰でも見られる設定にしていた、管理画面がインターネットから誰でも開けた、といった設定のミスから情報が漏れることもあります。攻撃者は、こうした入口を自動で探しています。
防ぐためのポイント：設定を変えたときに、第三者の目で確かめること。外から見える入口は、ネットワーク診断やWebアプリケーション・API診断で調べられます。
8. 内部不正
社員や元社員、委託先の担当者などが、権限を使って情報を持ち出すケースです。IPA の10大脅威 2026 では「内部不正による情報漏えい等」が7位です。
防ぐためのポイント：必要な人に必要なだけの権限を与えること。誰がいつどの情報にアクセスしたかを記録すること。辞めた人のアカウントをすぐに止めること。
攻撃ではない「うっかり」にも注意
東京商工リサーチの調査では、メールの誤送信やWebサイトへの誤った表示（20.5％）、書類や機器の紛失・誤廃棄（10.0％）も、あわせて3割ほどを占めています。宛先の確認や、送る前のチェックの仕組みも、情報漏えいを防ぐための大切な対策です。
まずは「外から見える入口」を知ることから
ここで紹介した攻撃の多くは、インターネットから見える入口（VPN 機器、Webサイト、API、メールなど）から始まります。自社にどんな入口があって、そこに弱点がないかを知ることが、対策の第一歩です。
SecureHatters は、2004年からセキュリティ診断を続けてきました。「何から始めればいいかわからない」という段階でも大丈夫です。お問い合わせから、お気軽にご相談ください。