【2025年更新】情報漏洩の事例紹介！組織が実施すべき具体的な対策方法とは

近年、組織における情報漏洩・紛失事故が急激に増加しています。

東京商工リサーチ社の調査によると、2024年の情報漏洩・紛失事故の件数は過去最多（※）であり、2021年から4年連続で最多を更新したとのことです。
※調査を開始した2012年以降の統計

参考

2024年上場企業の「個人情報漏えい・紛失」事故　過去最多の189件、漏えい情報は1,586万人分

しかし、これはあくまでも上場企業による自主的な開示を基に集計されたものであるため、非公開の事故・非上場企業での被害などを含めれば、真の被害件数は計り知れません。

もしかすると気づいていないだけで、私たちの組織でも情報漏洩が起こっている可能性はあるのです。

本記事では、過去に起きた情報漏洩事故の事例を原因別でご紹介します。
情報漏洩事故を防ぐ方法の第一歩は、過去の事例から教訓を得て実際の対策に活かすことです。自らの組織でも似たような課題がないか、考えながらご覧いただけますと幸いです。

情報漏洩の原因とは？

そもそも情報漏洩の原因は以下の3つの要素に分けられます。

ここからは上記3つの要素ごとに、2025年最新の情報漏洩事例から過去にあった有名な事例まで紹介いたします。
情報漏洩の原因やその対策方法については、以下の記事もご覧ください。

外部攻撃による情報漏洩の事例

では、前項でご紹介した情報漏洩に関する3つの要因ごとに、実際に発生した事故事例をみていきましょう。

まずは、不正アクセスやマルウェア感染などの外部攻撃を由来とした情報漏洩事故を振り返ります。

株式会社すかいらーくホールディングスの不正アクセス被害

2025年5月、株式会社すかいらーくホールディングスの運営する「テイクアウトサイト」に対し、システムの脆弱性を悪用した不正アクセスが確認されました。これにより、「テイクアウトサイト」に登録されたクレジットカード情報を含む約2,270件の顧客情報が漏洩したとのことです。

本事案では当初、システム障害がプログラム不良として処理されたことから事件の発覚が遅れ、情報漏洩範囲が拡大したと考えられます。またすかいらーくホールディングスは、不正アクセス確認から発表までに時間を要したことについても謝罪しています。

障害の原因にいち早く気づき対応するため、システム運営においてはリアルタイムでの監視体制を整える必要があります。また万が一のセキュリティインシデント発生に備え、顧客への迅速な連絡体制を事前に整備しておくことも重要です。

参考

当社が運営する「テイクアウトサイト」への不正アクセスによる個人情報漏えいの可能性に関するお詫びと調査結果に関するお知らせ

株式会社KADOKAWAのランサムウェア被害

2024年6月、株式会社KADOKAWAの運営する「ニコニコ動画」をはじめとした主要サービス群に対し、ランサムウェアによるサイバー攻撃が確認されました。

犯行声明を出したハッカー集団は、約1.5TBのデータを盗んだと発表しています。

ハッカーによる犯行声明は往々にして誇張された内容であるケースが多いものの、KADOKAWAの子会社である株式会社ドワンゴの従業員情報や、運営するN高等学校などに通う生徒の個人情報などが流出したことはKADOKAWAも認めているようです。

参考

ランサムウェア攻撃による情報漏洩に関するお知らせ（株式会社KADOKAWA）

本事案においては、KADOKAWAが提供する有料会員サービスの対象者に対する補填といった金銭的被害もさることながら、事案発生後の二次被害にも注目すべきポイントがあります。

実際には漏洩していないサービス会員のクレジットカード情報が漏洩したというデマや、サービスと連携していたMicrosoftアカウントが漏洩し、不正アクセス被害が広まっているといった根拠のない憶測がSNS上で飛び交っており、人々の混乱を煽っているのです。

KADOKAWA側は悪質な情報拡散者に対して法的措置を検討しているとしていますが、そういった対応をおこなうための工数も、間違いなく本事案の損失の一部といえるでしょう。

株式会社ニチイホールディングスのランサムウェア被害

2024年8月には、医療・介護事業などを展開するニチイホールディングス社もランサムウェア被害に遭っています。

まずはじめにニチイホールディングス子会社のPC1台がランサムウェアに感染したことが確認され、その後計20台のPCにおいて被害が判明したとのことです。

ランサムウェアによって暗号化された約2.6万件のファイルの中には、同社の顧客や従業員などの個人情報が含まれていることがわかっています。

外部への情報流出や、Webサイトや基幹システムに対する被害はいまのところ確認できていないようですが、ニチイホールディングスは二次被害に対する専用問い合わせ窓口を設置するなど対応に追われています。

現時点（2024年9月）では感染経路や原因についても詳細はわかっておらず、鋭意調査中とのことです。

参考

ランサムウェア被害に関する調査結果のご報告（第2報）（株式会社ニチイホールディングス）

LINEヤフー株式会社の不正アクセス被害

2023年9月には、ポータルサイト「Yahoo!」の運営やコミュニケーションアプリ「LINE」を提供するLINEヤフー株式会社において、不正アクセス事案が発生しています。

本事案は、総務省からの行政指導がおこなわれたことでも大きな話題となりました。

経緯は以下の通りです。
まずはじめに、LINE事業において深いつながりのある韓国NAVER社の子会社（NAVER Cloud社）と、セキュリティに関する業務委託契約を交わしていた保守会社のPCがマルウェアに感染しました。

その後当該PCが定期作業の一環としてNAVER Cloud社の管理者PCにリモート接続をおこなったことで、NAVER Cloud社内にマルウェアが持ち込まれ、同社と認証基盤を共通化していたLINEヤフー社にまで被害が及んだとのことです。

本事案は、LINEヤフー社とNAVER社・NAVER Cloud社間の依存関係が発生の一因といわれています。両社の資本関係上、NAVER社はLINEヤフー社の実質的な親会社であるため、適切な業務委託先管理を実施できなかったのではと指摘されているのです。

これらの企業の関係性はいささか特殊なものではあります。しかし「セキュリティ管理を他社へ委託し、適切な管理体制を敷いていなかったこと」「業務上便利だからと、一つの認証基盤であらゆるデータにアクセスできる体制にしていたこと」などは、多くの組織で心当たりがあるのではないでしょうか。

委託先管理の重要性や組織におけるガバナンスの大切さなど、本事案には教訓とすべき点が多く含まれています。

参考

不正アクセスによる、情報漏えいに関するお知らせとお詫び（LINEヤフー株式会社）

人的ミスによる情報漏洩の事例

次に、人的ミスによる情報漏洩の事例をみていきます。

ぴあ株式会社によるWebサイト誤設定

2025年6月、ぴあ株式会社は運営するチケットリセールサイト「RELIFE Ticket」において、一部の顧客情報を別の顧客が閲覧・変更できる状態にあったことを発表しました。

アクセス集中によるサイトのサーバー負荷軽減のためキャッシュ設定を強化した際、誤ってCookieを含めて保存するよう設定をおこない、ログイン履歴のある顧客情報が閲覧・変更可能な状態となっていたとのことです。氏名や住所などのほか、クレジットカード番号の一部や銀行口座情報も閲覧・変更が可能であったとしています。

本事案の原因として、システム設定変更時のリスク管理が不十分であった点が挙げられます。アクセス集中に対する緊急対応であったとしても、セキュリティ面での影響を十分に評価してから作業を実施する必要があります。

参考

個人情報に関するご報告とお詫び

株式会社ファーストリテイリングによる設定ミス

2024年1月、ユニクロなどを運営する株式会社ファーストリテイリングにおいて、個人情報の取り扱い不備が発覚しました。

本来個人情報の保護を意図していなかった情報システムにおいて、一部のユーザー情報を保存する設定となっており、一定期間一部の委託先事業者がそれらを閲覧できてしまっていたという事案です。

ファーストリテイリングは、事象発覚後ただちに情報システムへのアクセスを遮断し対応をおこなったとしています。また、いまのところ第三者による個人情報へのアクセスや持ち出しは確認できていないと説明しており、具体的な被害数を含めて調査をおこなっている途中のようです。（2024年9月時点）

本件は、情報システムの開発段階における仕様や、運用段階でのモニタリングに問題があったといわれています。被害が確認できていないとはいえ、一歩間違えれば大きな漏洩事故につながった可能性のある危険な事案といえるでしょう。

参考

当社グループ情報システムにおける個人情報の取り扱い不備に関するお詫びとご報告 （株式会社ファーストリテイリング）

上智大学によるメール誤送信

2024年5月には、上智大学によるメール誤送信事故が話題となりました。

上智大学からの発表によると、留学プログラムの参加者リストを海外の協定校へ送付する際、リスト作成時に使用した個人情報を含むマスターデータごと添付してしまったということです。上智大学では、すでに当該リストの削除等は対応しているとしています。

本事案の恐ろしい点は、「別のプログラムの参加者リストを作成しているときに当該ファイルを発見した」という偶然がなければ発覚が遅れていた可能性もあるというところにあります。

一度送ってしまったメールを再度見直す機会はなかなかありません。メール誤送信による情報漏洩事故を防止および早期発見するためには、システム面や体制面で工夫する必要があることがわかります。

参考

メールの誤送信による個人情報の流出について（上智大学）

気仙沼市立病院でのデータ廃棄処理ミス

2024年8月、気仙沼市立病院の公式サイトにて、「市立病院における個人データの漏えいのおそれについて ─お詫び─」というお知らせが掲載されました。

投稿によると、病院移転をおこなう際、個人データが保存されたままのPOSレジ端末3台の廃棄を処分業者に委託してしまったとのことです。
端末のうち1台がフリマアプリで再流通した末、購入者が個人データに気づき市に相談したことから発覚しました。

通常、個人データを保管していた端末を処理する場合には、ハードディスクの物理的な粉砕といった特別な廃棄処理をおこなわなければなりません。

しかし、今回は廃棄を担当した病院関係者・廃棄を委託された事業者双方が個人データの存在を認識していなかったともいわれており、端末廃棄に対する病院内での意思疎通不足がミスにつながったものと考えられます。

参考

市立病院における個人データの漏えいのおそれについて ― お詫び ―（気仙沼市立病院）

内部不正による情報漏洩の事例

最後に、内部不正を原因とした直近の情報漏洩事故についてご紹介します。

株式会社豊通マシナリーの元社員による不正アクセス

2025年6月株式会社豊通マシナリーは、元社員が取引先担当者の個人情報を含むデータを不正に持ち出していたことを発表しました。

元社員は2025年3月に豊通マシナリーを退職したのち、4月以降も社内のファイルサーバーへ不正アクセスし、個人所有のPCへデータをダウンロードしていたとのことです。また退職当日にも、ファイルサーバーに保管されていたデータを印刷し、無断で社外に持ち出していたことも判明しました。

今回の不正アクセスは、元社員が在籍時に保有していた管理者権限を利用し、自身の退職後もファイルサーバーへアクセスできるよう不正に設定していたことが原因とされています。豊通マシナリーは今後、アクセス権限設定プロセスを見直し、退職予定者による社外ユーザーの招待権限に制限を加えるなどの措置を講じると発表しています。

参考

お客さま情報の不正持ち出しに関するお詫びとお知らせ

東急リバブル株式会社の元社員による社内データ不正持ち出し

2024年8月に、東急リバブル株式会社の元社員による内部不正事案が公表されました。

元従業員が同業他社へ転職するにあたって、不動産登記簿に記載されている情報をまとめた社内資料を持ち出し、転職先でのダイレクトメール送信に利用していたという事案です。

同社は、退職する従業員に対して機密保持に関する誓約書を提出させていたと説明しています。しかし、結果的に誓約書が反故にされたという事実を鑑みれば、人の善意にだけ頼った対策では不十分だったといえるでしょう。

東急リバブルは今後、従業員教育の再実施とともにシステムによる監視強化やアクセス制限の見直しをおこなうと発表しています。

参考

弊社元従業員による個人情報の不正な持ち出しに関するご報告とお詫び（東急リバブル株式会社）

池袋パスポートセンターにおける個人情報の窃取

2023年の11月には、旅券課池袋分室（池袋パスポートセンター）における情報漏洩事件が発覚しています。

池袋パスポートセンターでは、日々旅券発行手続きなどがおこなわれています。本事案では、手続き者またはその家族の氏名・住所・生年月日・電話番号などが、その窓口業務に従事していた元職員によって不正に持ち出されたということです。

持ち出した方法については、付箋紙への書き写しや会話の録音といったいわゆるアナログな手法であったといわれています。

都は今後、防犯カメラの増設や、職員が持ち込む私物は透明バッグに入れさせるといった対応をおこなうとしています。

情報漏洩というと、どうしてもデータでの持ち出しを想定してしまいがちです。しかし本事案のように、持ち出す手段は必ずしもデジタルであるとは限りません。

適切な情報漏洩対策をおこなううえでは、こういったアナログでの不正行為も視野に入れて検討する必要があります。

参考

旅券課池袋分室　旅券発給窓口における個人情報の不正持出しについて（東京都）

情報漏洩防止に有効な対策

ここまで、3つの要因にわけて実際に起きた情報漏洩事案をご紹介しました。
このような事故を未然に防ぐためにも、それぞれの事案から得られる教訓を生かし、いま一度自社の対応状況を確認してみてはいかがでしょうか。

ちなみに、情報漏洩を防ぐための基本的な対策としては、以下のような内容が挙げられます。

セキュリティ体制を強化する

ハッカーからの不正アクセスを防ぐためには、隙となる脆弱性を組織から極力なくすことが重要です。

実行力のあるセキュリティ強化をおこないたい場合は、専用ツールを活用したシステム面での制御が非常に有効です。

セキュリティ強化を目的とした専用ツールの例としては、IT資産管理ツールなどの統合管理ツールが挙げられます。
組織内の端末の所在や構成情報を逐一確認できるだけでなく、外部デバイスの接続制限やパッチ管理の自動化、操作ログの取得など、セキュリティ対策に必要な機能が概ね網羅されているため、まずは体制の基礎固めをおこないたい場合におすすめです。

とはいえ、IT資産管理ツールは多機能ゆえに、必要のない機能まで導入し無駄なコストをかけてしまうケースも多く聞かれます。
導入の際には、自社のセキュリティ強化に必要な機能はなにかをしっかり検討したうえで、なるべく過不足なく要件に合致するツールを選定するようにしましょう。

人的ミスをしないような運用を整備する

人的ミスによる情報漏洩を防ぐ場合は、　体制面での工夫とシステム面での支援が必要です。

体制面としては、当事者以外の人間によるダブルチェックをおこなうことなどが推奨されます。

例えばメール誤送信を防止したい場合は、メール送信前にTO・CC・BCC情報に間違いがないかを確認したり、他者からの承認が得られたファイルのみを外部へ送付できるようにしたりといったルール付けをおこなうとよいでしょう。

またクラウドサービスなどの設定ミスを防止したいのであれば、総務省が公開している「クラウドの設定ミス対策ガイドブック」を活用するのもおすすめです。
設定の際に気を付けるべきことやよくある設定ミス、設定ルールの作り方などが掲載されています。こういったものも参考にしながら、組織内の体制を整備しましょう。

参考

「クラウドの設定ミス対策ガイドブック」の公表（総務省）

しかし、人間の注意力だけでミスを回避するのは至難です。よって、人的ミスを防止するという観点でも専用ツールは大いに役に立ちます。

上長の承認などを経てメールを送信できるようにするものや、送信前にミスがないか確認するポップアップを表示するもの、メールの送信を一定期間保留できるものなど、メールの誤送信防止ひとつとってもさまざまなツールが存在しています。

そのほか、クラウドサービスの設定ミスをチェックできるCSPM（Cloud Security Posture Management）などのツールも有用です。必要に応じて、これらのツールの導入も検討してみてください。

内部不正をさせない仕組みをつくる

情報漏洩を防止するためには、従業員による内部不正行為にも目を光らせる必要があります。

内部不正を防止する仕組みを検討するうえでは、「不正のトライアングル」理論が役立ちます。
不正のトライアングルとは、1950年代にアメリカの犯罪学者によって提唱された「特定の3要素がそろった際に不正が発生する」という考え方です。

これら3つの要素がそろった際に不正がおこなわれるとすれば、それぞれの要素を満たさないようにすることが体制づくりの指針となります。

もし自社内でまだおこなわれていない施策があれば、ぜひ上記を参考にしてみてください。

情報漏洩対策なら、IT資産管理ツールSS1/SS1クラウド

前述の通り、情報漏洩対策をおこなう場合はIT資産管理ツールなどの統合管理ツールの導入がおすすめです。

例えばIT資産管理ツールSS1やSS1クラウドであれば、セキュリティ対策の基礎固めをおこなうと同時に、情報漏洩対策に必要なパッチ管理・デバイス制限・ログ取得なども実施可能です。

詳しい内容は、当サイト内のSS1導入事例記事にも記載しています。実際の活用方法や導入効果などが気になる方は、ぜひこちらの記事もご参照ください。

著者プロフィール
SS1LAB編集部
IT資産管理ツールSS1/SS1クラウドを開発・販売している、株式会社ディー・オー・エスの営業企画部メンバーで構成されています。IT資産管理・ログ管理・情報セキュリティ対策など、情シス業務の効率化に役立つ最新トレンド情報を随時発信中！