社員300人以下の会社の情報漏えいが倍増
（数字で読む2026年のサイバー攻撃と、中小企業が今週やること）

数字で見る2026年のサイバー攻撃（1〜9月）

結論：調査会社のMM総研が2026年10月14日に公表した調査によると、サイバー攻撃による情報漏えいは件数・規模ともに過去5年で最悪のペースです。10月13日時点の累計は485件で、すでに2025年の年間件数（432件）を上回りました。MM総研

• 1〜9月の件数：
  454件（前年同期304件、49％増）。MM総研は、4年前（2022年）の約1.9倍にあたるとしています。
• 月別の最多：
  2026年8月の71件が、調査した5年間で最も多い月でした。9月も速報で68件と高い水準が続いています。
• 100万件以上の大規模な漏えい：
  10月13日時点で19件と、過去5年で最多です（2025年は年間12件）。
• 調査の対象：
  国内の組織が自社サイトや報道で公表した、サイバー攻撃が原因の情報漏えい（漏えいの可能性を含む）です。メールの誤送信や紛失など、人的なミスが原因のものは含まれていません。つまり、実際の被害はこれより多いと考えるのが自然です。

従業員300人以下が倍増、増加分の約3分の2

結論：会社の規模別に見ると、増えているのは中小規模の組織です。1〜9月の増加150件のうち、96件が従業員300人以下の組織でした。

301人以上の組織でも増えてはいますが、伸び方は約1.25〜1.3倍にとどまります。一方で300人以下の組織は約2倍です。セキュリティの担当者を置けない会社や、ホームページ・メール・業務システムの管理を少人数で兼任している会社ほど、攻撃の影響を受けやすくなっていると読み取れます。
※「増え方」は、公表された件数をもとに当社で計算した概数です。

入口は「偽メール」と「乗っ取り」

結論：原因別では、フィッシング（偽メール・偽サイト）をきっかけにした漏えいが約3.9倍、不正ログインやアカウントの乗っ取りが約1.7倍に増えました。高度な技術を使った攻撃よりも、「人をだましてIDやパスワードを手に入れる」攻撃が伸びています。

• フィッシングが起点：
  11件 → 43件（約3.9倍）。国税庁や社長を名乗るメールなど、本物そっくりの偽メールが増えています。最近の手口は「国税庁」「e-Tax」をかたるスパムや社長なりすまし「LINE誘導型」詐欺メールで解説しています。
• 不正ログイン・アカウントの乗っ取り：
  43件 → 72件（約1.7倍）。盗まれたパスワードや使い回しのパスワードで、メールやクラウド、管理画面に入り込まれます。パスワードだけに頼らない多要素認証（MFA）・パスキーが有効です。
• ランサムウェア：
  81件 → 88件。件数の伸びは小さいものの、依然として高い水準です。データを暗号化して業務を止め、バックアップまで狙う手口が続いています。

業種別：情報通信・製造・教育で増加

結論：業種別では、情報通信業が製造業を抜いて最多になりました。多くの顧客データや他社のシステムを預かる業種が、まとめて狙われています。

• 情報通信業：33件 → 88件（約2.7倍）
• 製造業：52件 → 80件（約1.5倍）
• 教育・学習支援業：24件 → 45件（約1.9倍）

情報通信業には、クラウドサービスやシステムを他社に提供している会社が多く含まれます。こうした会社が攻撃されると、そのサービスを使っている取引先にも被害が広がります。次の章で紹介する「サプライチェーン（取引のつながり）」の問題です。

自社が狙われなくても被害は起きる

結論：自社のパソコンやサーバーが無事でも、業務を任せている委託先や、使っているクラウドサービス（SaaS）が攻撃されれば、自社の顧客情報が漏れることがあります。

• SaaS 1社への侵害が5社へ：
  2026年9月1日〜10月8日に報告された国内の情報漏えい117件を分析したレポートでは、1つのSaaS事業者への侵害が5社に波及し、約71万件の情報に影響したと報告されています。原因の59％が外部からの攻撃、25％が人や運用のミスでした。PR TIMES
• 漏えいの規模は「預かっているデータの量」で決まる：
  同じレポートでは、会員や顧客のデータベースを持っているかどうかが、被害の大きさを左右するとしています。使わなくなった会員データや古い申込みデータを持ち続けること自体がリスクです。
• 延べ1億6,500万人分超：
  セキュリティ会社のまとめでは、2026年に不正アクセスで漏えいした可能性のある個人情報は、延べ1億6,500万人分を超えたと報じられています。NHKニュース

公表までの日数は平均17日、中央値6日

結論：被害に気づいてから最初の公表までの日数は、2023年の平均41日から、2026年は平均17日（中央値6日）へと大きく短くなりました。「調べてから考える」時間はほとんどない、ということです。

公表が早くなったこと自体は、利用者や取引先にとって良い変化です。その一方で、会社としては被害が起きる前に、誰が・何を・どの順番で行うかを決めておかないと、数日のうちに必要な判断が追いつきません。報告の義務や公表の流れは個人情報漏えい発生時の初動対応・公表フローで解説しています。

なぜ中小企業で増えているのか（当社の見立て）

結論：攻撃者の狙いを断定することはできませんが、当社では次の3つが重なっていると見ています。

• 守る人が足りない：
  MM総研の2026年7月の調査では、83％の企業がセキュリティ人材の不足を感じており、AIを使ったサイバー攻撃への対応体制を整えている企業は13％にとどまっています。中小企業では、ホームページもメールもパソコンも、1人の担当者が兼任していることが珍しくありません。
• 攻撃が自動化され、規模を選ばなくなった：
  AIを使えば、偽メールの文面づくりや、公開されているサーバーの弱点探しを大量に自動で行えます。攻撃者にとって「大企業を1社狙う」より「守りの手薄な会社を大量に狙う」ほうが効率的になっています。詳しくはAIで弱点を探すサイバー攻撃が急増をご覧ください。
• 古いホームページや設定が放置されている：
  何年も見直していない管理画面、残ったままの古いファイル、そのまま載せているメールアドレスは、攻撃の入口やスパムの原因になります。大企業ほど定期的な点検の仕組みがなく、気づかれないまま残りやすいのが中小企業の弱点です。

経営者が今週やること5つ

結論：数字が示す入口（偽メール・乗っ取り・委託先）に合わせて、費用をかけずに始められることから順に並べました。全体の考え方はAIを悪用したサイバー攻撃に備え今できる対策で、人・ソフト・ハードの3層に分けて解説しています。

• ① メール・クラウド・管理画面に多要素認証を入れる：
  増えている「乗っ取り」への最も効果的な対策です。まずは経営者と経理・管理担当のアカウントから始めます。
• ② 偽メールの手口と「報告のルール」を全社に伝える：
  「国税庁や社長を名乗るメールでも、まず疑う」「開いてしまったら、責めないのですぐ報告」を、今週中に全員へ伝えます。
• ③ ホームページを点検する：
  メールアドレスをそのまま載せていないか、古いページやファイルが残っていないか、管理画面が外から開けないかを確認します。
• ④ 委託先と使っているクラウドサービスを書き出す：
  どの会社に、どの顧客データを預けているかを一覧にします。使っていないサービスのアカウントや、不要になった会員データは削除を検討します。
• ⑤ バックアップの保管場所と、緊急時の連絡先を確認する：
  バックアップが同じサーバーやネットワークの中だけにないかを確認し、被害に気づいたときの連絡先（社内・制作会社・サーバー会社）を1枚にまとめます。

ホームページのスパム対策チェック（無料）｜偽メールの入口、ホームページにありませんか

結論：フィッシングを起点とした漏えいが約3.9倍に増えるなか、偽メールの送り先となる会社のメールアドレスは、ホームページから自動で集められている場合があります。届いたメールに注意するだけでなく、スパムを「届きにくくする」対策もあわせて進めましょう。まずは次の3点を確認してください。

• ホームページにメールアドレスをそのまま載せていませんか？
  文字のままや「mailto」のリンクで載せたアドレスは、プログラムで自動的に集められ、スパムの送り先リストに加えられます。役員名と並べて載せていると、なりすましメールの材料にもなります。
• お問い合わせフォームは、ロボット対策をしていますか？
  対策のない古いフォームは自動送信の標的になり、営業メールや英語のスパムが毎日届く原因になります。外部サイトから勝手に送信させる不正操作への対策も欠かせません。
• 自社ドメインに「送信者認証」を設定していますか？
  SPF・DKIM・DMARCが未設定だと、御社の名前でなりすましメールを送られたり、自社のメールが相手先で迷惑メール扱いされたりします。

バンブーハウスでは、メールアドレスの載せ方の見直し、スパムに強いお問い合わせフォームへの作り直し、SPF・DKIM・DMARCを含むドメイン・メール・サーバーの管理まで、まとめて対応します。古い仕組みのままで部分的な修正が難しい場合は、狙われにくいホームページの作り方に沿って、ホームページごと安全な形に整えるご提案もいたします。

チェックは2段階で行います

• ① 簡易チェック（無料・ご準備不要）
  ホームページのURLをお知らせいただくだけで、外部から確認できる範囲を調べます。メールアドレスの掲載状況、お問い合わせフォームの対策状況、送信ドメイン認証（SPF・DMARC）の公開設定が対象です。
• ② 詳細チェック（ご協力が必要です）
  スパムの原因を特定して対策を行うには、次のような情報のご提供や、設定作業へのご協力をお願いしています。
  • ドメイン・メール・サーバーの契約先（管理会社）
  • 実際に届いたスパムメールのヘッダー情報
  • お問い合わせフォームのプログラムや、サーバーの設定内容
  • 必要に応じて、DNSやメールサーバーの管理画面での設定変更

パスワードなどの大切な情報は、メールではなく、ご相談のうえ安全な方法でお預かりします。詳細チェックの内容と費用は、簡易チェックの結果をお伝えする際にご案内します。

お問い合わせ内容に「スパム対策チェック希望」とホームページのURLをご記入ください。

今回のポイントまとめ

よくあるご質問（FAQ）

Q1. 小さな会社でも、本当に狙われるのですか？

はい。2026年1〜9月にサイバー攻撃が原因で公表された情報漏えいのうち、従業員300人以下の組織は195件で、前年同期の99件からほぼ倍増しています。攻撃は自動化されており、会社の規模を選ばずに大量に行われています。「うちは小さいから大丈夫」という前提を見直すことが第一歩です。

Q2. 何から始めればよいですか？

増えている入口に合わせて、メール・クラウド・ホームページの管理画面に多要素認証を入れることと、偽メールの手口と「開いてしまったらすぐ報告」というルールを全社に伝えることから始めてください。どちらも大きな費用をかけずに、今週から取り組めます。

Q3. メールの誤送信や紛失も、この件数に含まれていますか？

含まれていません。MM総研の調査は、サイバー攻撃が原因として公表された情報漏えいを対象にしており、誤送信・紛失・内部不正など人的な要因によるものは除いています。公表されていない被害もあるため、実際の件数はこれより多いと考えられます。

Q4. 委託先やクラウドサービスから漏れた場合も、自社の責任になりますか？

顧客から見れば、情報を預けた相手は御社です。個人情報保護法でも、委託先を適切に監督することが求められています。どの委託先・サービスに、どのデータを預けているかを把握し、契約時や更新時にセキュリティ対策の状況を確認しておくことが大切です。

Q5. ホームページは情報漏えいと関係がありますか？

あります。そのまま載せたメールアドレスは偽メールの送り先として集められ、古い管理画面や残ったままのファイルは侵入の入口になります。お問い合わせフォームや会員ページで個人情報を扱っている場合は、それ自体が守るべき対象です。当社では、外部から確認できる範囲を調べる簡易チェック（無料）も行っています。

Q6. バックアップを取っていれば、ランサムウェアは怖くないですか？

バックアップは大切ですが、それだけでは安心できません。最近のランサムウェアはバックアップも狙うため、同じサーバーやネットワークの中だけに置いていると、一緒に暗号化されるおそれがあります。切り離した場所にも保管し、実際に元に戻せるかを定期的に確認してください。また、データを盗んだうえで公開すると脅す手口もあるため、侵入そのものを防ぐ対策とあわせて考えます。

参考情報

• サイバー攻撃による情報漏えい、2026年は4年前の約1.9倍に（MM総研、2026年10月14日）
  2022年1月〜2026年10月13日に国内で公表されたサイバー攻撃起因の情報漏えい1,873件を集計。規模別・原因別・業種別の件数や、公表までの日数を分析しています。
• 狙われたのは自社ではなくても被害は起きる〜2026年9・10月 国内情報漏洩117件の分析〜（PR TIMES、2026年10月16日）
  SaaS事業者1社への侵害が5社に波及した事例や、原因の内訳を報告しています。
• 不正アクセスによる個人情報漏えい のべ1億6500万人分余に（NHKニュース、2026年10月16日）
  2026年に不正アクセスで漏えいした可能性のある個人情報の規模を報じています。