サイバー攻撃の情報漏えいは4年で1.9倍。増えたのは「壊して入る」より「鍵を盗んで入る」攻撃だった

2026年10月14日、ＭＭ総研が「国内サイバー攻撃による情報漏えい動向調査」を公表しました。国内の企業・団体がWebサイトや報道で公表した、サイバー攻撃による情報漏えい（漏えいの可能性を含む）を、2022年1月から2026年10月13日まで数えたものです。誤送信や紛失、内部不正といった人の過失による事案は含まれていません。

結論から言うと、件数は増え続けています。2026年1〜9月に初報があった事案は454件で、前年同期の304件から49％の増加。同じ期間の2022年は239件だったので、4年前の約1.9倍です。10月13日時点で、すでに2025年の通年（432件）を上回っています。

ただ、この記事で注目したいのは件数そのものではありません。増えた中身です。調査の数字を並べると、攻撃の主役が「システムの穴をこじ開けて入る」から、「人から鍵を盗んで、正面からログインする」へ広がっていることが見えてきます。

この記事では、調査の数字を3つに絞って、会員サービスや社内システムを持つ会社が、いま入口で何を見直すべきかを整理します。

---

1. 増えたのはフィッシングと乗っ取り。ランサムウエアは「高止まり」

ＭＭ総研は、事案を「被害の起点」ごとに分けて数えています。各年1〜9月の件数を並べると、次のとおりです。

（2025年の脆弱性の件数は、公表資料の本文に記載がないため「—」としています）

ランサムウエアは2024年に79件へ倍増したあと、80件台で高い水準が続いています。これはこれで大きな問題です。

一方で、2026年に一気に増えたのは、フィッシングを起点にした事案（前年同期11件→43件）と、不正ログイン・アカウント乗っ取り（同43件→72件）です。フィッシング起点は、2022年の5件から約8.6倍になりました。

ここで言うフィッシングや乗っ取りは、システムの欠陥を突く攻撃ではありません。偽のログイン画面などでIDやパスワードを盗み、その「本物の鍵」で入ってくる攻撃です。システムから見れば、入ってきたのは正しいIDとパスワードを持った利用者です。

消費者向けが減っても、組織を狙う動きは別

面白いのは、フィッシングの報告件数との食い違いです。ＭＭ総研が引いているフィッシング対策協議会の数字では、消費者からのフィッシング報告は、2025年春に月約25万件と過去最多の水準になったあと、2026年7月には約6.6万件まで減っています。

それでも、情報漏えいにつながったフィッシングは増えています。ＭＭ総研は、企業や大学の従業員・教職員のアカウントを狙ったフィッシングが増えており、組織を狙う攻撃は別の動きをしているとみています。

「フィッシングの話題は落ち着いてきた」と感じている方ほど、注意が必要な数字です。

---

2. 狙われているのは「業務のアカウント」と「中小の会社」

従業員300人以下の会社で、ほぼ倍増

規模別の数字も、はっきり傾向が出ています。従業員300人以下の会社の事案は、2025年1〜9月の99件から、2026年は195件へとほぼ倍増しました。全体の増加分150件のうち、約3分の2にあたる96件が、この規模の会社です。

その起点を見ると、ランサムウエアによるサーバーの暗号化（45件）に次いで多いのが、「従業員のメール・SNS・業務チャットのアカウント乗っ取り」（31件）でした。

また、公表内容に業務委託先やクラウドサービスなど「外部の関与」があった事案は164件で、全体の36％を占めています。ＭＭ総研は、大企業のサプライチェーンに組み込まれた中堅・中小企業が狙われる構図が広がっているとみています。

情報通信業は2.7倍、教育機関は1.9倍

業種別では、情報通信業が前年同期の33件から88件へ約2.7倍に増え、製造業（80件）を上回って最多になりました。ソフトウエア・クラウドサービスの会社や、出版・放送などのメディア企業で、クラウドサービスや開発基盤、業務チャットのアカウントへの不正アクセスが相次ぎ、利用企業や読者の情報が漏れる事案が目立つとしています。

教育・学習支援業も24件から45件へ約1.9倍です。大学や学校では、ランサムウエアに加えて、教職員や学生のアカウント乗っ取り・フィッシングの被害が目立つとされています。

どちらにも共通しているのは、「1つのアカウントが破られると、その奥にある大勢の情報まで届いてしまう」という構造です。クラウドの管理画面、業務チャット、大学のメール。どれも入口は1つのログインです。

公表は速くなった。でも大きな漏えいは増えた

明るい数字もあります。検知から最初の公表までの平均日数は、2023年1〜9月の41日から、2026年は17日に縮みました（中央値は6日）。早く知らせる姿勢が定着しつつあるとＭＭ総研はみています。

ただ、100万件以上の情報が漏れた（可能性を含む）大規模な事案は、2022年の2件から、2026年は10月13日時点で19件と、過去5年で最多です。速く気づいて速く知らせても、入られた後では、漏れる量は止められません。

---

3. 「多要素認証を入れた」で終わらせない

ＭＭ総研は調査のまとめで、多要素認証の徹底や、脆弱性への速やかなパッチ適用といった基本の対策を、大企業だけでなく取引先の中堅・中小企業まで広げることを求めています。

私たちも、まずここから、という考えに賛成です。そのうえで、多要素認証を入れる時に、1つだけ確かめていただきたいことがあります。

それは、「その2つ目の確認は、利用者に何かを入力させる方式か」という点です。

入力させる確認は、偽サイトに中継される

SMSで届く数字や、アプリに表示されるワンタイムパスワードを、利用者が画面に打ち込む方式は、広く使われています。何もしないよりずっと強い対策です。

ただ、フィッシングが巧妙になった今は、弱点もはっきりしています。偽のログイン画面が、IDとパスワードに続けて「届いた確認コードを入れてください」と表示する。利用者は本物だと思って入れる。偽サイトの裏では、犯人がそのコードを同じ瞬間に本物の画面へ打ち込む。いわゆるリアルタイムフィッシングです。

利用者は正しい手順を踏んでいるつもりなので、気づけません。鍵を2本にしても、2本とも利用者が偽の窓口に手渡してしまえば、意味がなくなってしまいます。

また、米国NISTのガイドラインは、SMSなど電話網を使う確認方法を「制限付き（restricted）」の手段と位置づけています。禁止ではありませんが、端末の入れ替えやSIMの変更、電話番号の乗り換え（ポーティング）といったリスクを踏まえ、それだけに頼りきらない設計が求められています。

今回の調査で増えていたのは、まさに「フィッシング起点」と「乗っ取り」でした。多要素認証を「入れたかどうか」だけでなく、「どの方式を入れたか」まで見直す時期に来ていると、私たちは考えています。

---

4. 偽サイトは、あなたの電話回線を持っていない

当社（インフロントセキュリティ）の電話番号認証は、「利用者に入力させない」ことを前提に作っています。

仕組み：利用者がワンタップで発信、2回目からは端末で照合

• 初回は、利用者がログイン画面などのボタンをワンタップすると、スマートフォンから指定の番号へ1コールだけ自動で発信して終わります（通話料はかかりません）。この時に、発信元の電話番号と端末の情報をサーバー側で照合します
• 2回目からは、同じ端末であれば端末の照合だけで完了します。電話もコード入力も要りません

確認の決め手は、利用者が打ち込む文字ではなく、「その電話回線から発信があったか」と「いつもの端末か」です。偽サイトは利用者の電話回線を持っていないので、中継して横取りできるコードが、そもそもありません。

「鍵を盗んで入る」攻撃に、なぜ効くのか

フィッシングで盗まれるのは、IDとパスワードです。犯人がそれを持って、自分の端末からログインしようとしても、その端末は登録されていません。初回の確認には、利用者本人の電話回線からの発信が要ります。

音声通話の回線契約には、法律で公的な身分証による本人確認が求められています。インターネットとは別の、通信事業者が管理する電話網を通るので、IDとパスワードの経路とは別の、2本目の経路で確かめる形になります。

たとえるなら、合い鍵を作られても、玄関で「いつもの顔か」を見られている家のようなものです。鍵だけでは入れません。

限界も先にお伝えします

ゼロにできるとは言いません。知らない端末からのログインには「電話での確認」を求めるだけなので、利用者が偽サイトの指示どおりに電話をかけてしまえば、通る余地は残ります。そこで、いつもの利用者なのに知らない端末だった場合に「止める」「サポート窓口に回す」「別の確認を挟む」といった扱いを、事業者様のシステム側で決めていただきます。

また、当社の認証はAPIで組み込む方式です。効くのは、自社で運営している会員サイトのログインや会員登録、管理画面、取引先向けのポータルといった入口です。外部のクラウドサービスや業務チャットのように自社で組み込めない所は、そのサービスが用意しているパスキーなど、フィッシングに強い方式に揃えていくのが基本になります。

漏れた情報が、次のフィッシングの材料になる

最後に、会員サービスを持つ会社にとって見落としやすい点をお伝えします。

今回の調査で、情報通信業では「利用企業や読者の情報」が漏れる事案が目立つとされていました。漏れたメールアドレスや電話番号は、次はその会員を狙うフィッシングの宛先に使われる可能性があります。

自社が直接攻撃されていなくても、お客様は別の所で漏れた情報をもとに狙われるかもしれません。その時、お客様が偽サイトでIDとパスワードを入れてしまっても、自社の会員ページには入れない――入口をそういう作りにしておくことが、会員の情報を守ることにつながります。

---

まとめ：入口は「何を入力させるか」で選ぶ

• 2026年1〜9月のサイバー攻撃による情報漏えいは454件。4年前の約1.9倍、前年同期比49％増
• 増えたのはフィッシング起点（5件→43件）と、不正ログイン・アカウント乗っ取り（46件→72件）。正しい鍵で正面から入る攻撃が広がっている
• 従業員300人以下の会社が前年のほぼ倍。業務のメール・チャットの乗っ取りが目立つ。情報通信業は2.7倍、教育機関は1.9倍
• 多要素認証は「入れたか」だけでなく、「利用者に入力させる方式か」まで見直す

自社の会員サイトや管理画面のどこに、どの確認を入れるべきか。今のログインの仕組みと合わせて整理したい事業者様は、お気軽にご相談ください。

お問い合わせはこちら

---