企業向け情報漏洩事故原因：最新統計とリスク対策の要点

情報漏洩事故が自社・グループ内で増えている（または増えそうだ）と感じる局面では、外部攻撃と内部過失・内部不正が連鎖しやすく、原因の切り分けを誤ると対策投資や取締役会報告がぶれます。放置すると、個人情報保護委員会への報告・本人通知（個人情報保護法26条（個人情報保護法第26条））の判断や、委託先事故の説明責任が後追いで重くなり、証跡不足で対応が難化します。読者が原因カテゴリの全体像と優先順位を整理し、自社のリスク評価・対策方針・社内説明に耐える材料を揃えられるよう、実務で最初に押さえるべきは原因分類の軸です。外部起点と内部起点の整理から見ていきます。

情報漏洩事故の基礎知識と原因の全体像

情報漏洩の定義と原因特定範囲

情報漏洩とは、組織が保有する個人データや機密情報（営業秘密を含む）など、本来は内部に留めるべき情報資産が、事故（過失）または不正行為（犯罪）により外部へ流出・取得される状態を指します。対象はデジタルデータに限られず、紙資料・記録媒体、業務会話、SNS投稿などの経路も含めて把握する必要があります。

原因特定の範囲を狭めすぎると、システムログ上は「不正アクセス」に見えても、実態は内部運用不備（例：不要IDの残置、簡易パスワード、クラウド共有設定の誤り）であった、という整理ミスが起きます。実務では「情報がどこに存在し、どの経路で外部に出たか」を、技術・物理・人の3面から同時に洗い出します。

情報漏洩事故件数の年次推移と増加要因

国内の情報漏洩は「公表件数の増減」だけでなく、報告・通知が義務化された類型に該当するか、および漏えい等した（おそれのある）本人の数といった規模指標をセットで読む必要があります。一定の条件を満たす個人データの漏えい等は、個人情報保護委員会への報告と本人通知が必要です（個人情報保護法26条（個人情報保護法第26条））。

公表・報告が増える局面では「事故が増えた」のみならず、「従来は表に出にくかった類型が制度運用上カウントされるようになった」影響も混ざります。一方で実務上の増加要因としては、委託・再委託構造の複雑化やクラウド利用拡大により、漏えい経路が1社の境界内で閉じなくなり、委託先での事故が委託元の報告・通知・説明責任に波及しやすくなっています。

最新統計からみる原因ランキングと特徴

原因ランキングを読む際は、「外部攻撃が多い／内部過失が多い」という二分法だけでなく、同一インシデントが複数原因（例：退職者IDの残置＝内部不備、そこへの侵入＝外部攻撃）で連鎖する点を前提に整理します。インシデント事例は脆弱性を突いた不正侵入やssh/ftp/telnetに対するブルートフォース攻撃、キーロガー機能を持つマルウェアなど、技術起点のものが確認されています。

また、内部起点の類型としては、誤送信（BCC/CC誤り等）、紛失、外出先業務による漏洩、シャドーIT、退職社員の持ち出し、SNS経由の事故が典型として挙げられます。したがって、ランキングの解釈は「外部対策の強化」だけでなく、日常運用の仕組み化（人の手を減らす、制御する、証跡を残す）まで含めて俯瞰することが実務的です。

原因分類で迷いやすい「外部攻撃起点」と「内部運用不備起点」の切り分け基準

原因分類は「最初の突破口がどこにあったか」と「管理可能だった機会が放置されていなかったか」を軸に切り分けます。外部攻撃が成立していても、内部側に機会（Opportunity）を与える運用不備があれば、再発防止の優先順位は内部統制の是正に寄ります。

不正が起きやすくなる条件は1動機、2機会、3正当化が揃うことと整理されています。このうち企業が実務的に潰しやすいのは「2機会」であり、たとえば退職者が個人クラウドに自由にアクセスでき、ログ管理もない状態は「持ち出し可能」という機会を作ります。

外部要因が引き起こす情報漏洩の事例

サイバー攻撃・不正アクセス・マルウェアの手口

外部起点の侵入は、認証突破と侵入後の情報窃取がセットで進むことが多いです。侵入事例として脆弱性を突いた不正侵入のほか、ssh/ftp/telnetに対するブルートフォース攻撃の成功が明示されています。運用面では、インターネットに露出した管理系ポートや古いサービスが残っていると、総当たり攻撃の母集団になりやすい点を前提に点検します。

また、情報窃取の局面では、キーロガー（キーボード入力監視）機能を持つマルウェアによって認証情報や入力内容が抜き取られ得ます。パスワードの複雑性や生体認証などの対策は、単に「強いパスワード」ではなく「盗まれても突破されにくい認証設計」として位置づける必要があります。

脆弱性攻撃・サプライチェーン攻撃のリスク

脆弱性攻撃は「自社の機器だけ守ればよい」という発想では防ぎきれません。委託先やグループ会社を含むサプライチェーン上で、どこか1か所でも管理が緩いと、そこが侵入口になります。委託先管理の文脈として「預託情報が機密情報か判断できない場合でも、必ず委託元にその旨を含めて報告する」「事前に契約書を確認しておくことが望ましい（責任追及の可能性）」という注意が示されています。

したがって、サプライチェーンの論点は技術だけではなく、平時の契約・運用（報告ルート、データ取扱い境界、再委託統制）に落とし込んでおくことが重要です。

情報漏洩事例から学ぶ外部攻撃のパターン

外部攻撃のパターン分析では、攻撃者が「侵入しやすい入口」と「横展開しやすい環境」を探す点を前提にします。ブルートフォース、キーロガー）は、いずれも①入口の露出（脆弱なサービスや認証）と、②侵入後の窃取（入力監視や権限奪取）を組み合わせやすい特徴があります。

実務上は、本番環境だけでなく、開発・テスト環境、委託先の運用環境、グループ会社の共通基盤など「統制が薄くなりやすい領域」が攻撃面（アタックサーフェス）になり得ます。外部侵入が疑われる場合でも、原因整理は「どの入口が突破され、どの情報がどの経路で持ち出されたか」を、証跡（ログ等）で言える形にしていきます。

委託先・子会社経由の漏洩で確認すべき契約条項と責任分界の見落としパターン

委託先・子会社経由の漏洩では、「どこで漏れたか」だけでなく「委託元として監督・報告・再発防止ができる契約になっていたか」が後から問われます。取引先（委託元）から契約書を示され責任追及される可能性があるため、平時に契約条項を実務運用へ落とし込むことが重要です。

特に「預託情報が機密情報か判断できない」局面でも、委託先側で勝手に軽微扱いせず、委託元へ判断材料を返す報告フローが必要です。原因が外部侵入であっても、委託先のログが不十分で原因特定できない、再委託先が把握できない、といった状態は、委託元の説明責任を不必要に重くします。

内部要因が引き起こす情報漏洩の類型

誤送信・設定ミスなどヒューマンエラーの実態

誤送信は「注意すれば防げる」と片付けると再発します。デジタル庁で2022年4月1日にBCCに入れるべきメールアドレスをTO（宛先）に入れてしまった事案が再度発生し、さらに2022年4月6日に委託先事業者がメールの誤送信を行った事案が発生したことが示されています。これは、同一組織でも再発し得ること、かつ委託先の誤送信も委託元の事故対応に波及し得ることを意味します。

また、港区の事例として、東京都港区が2021年6月にCCとBCCを誤ってメールアドレスが流出した事案が挙げられており、再発防止として「送信先および送信方法を他の職員と確認し合うルール徹底」や「個人情報取扱い研修の実施」が示されています。

ヒューマンエラー対策は、手動操作を前提に「確認を増やす」だけでは形骸化リスクがあります。常時確認ボタンを押させる設計は機械的操作になり得るため、一定条件を満たすメール送信のみ送信前確認を求める設定が望ましい旨が示されています。

紛失・盗難・誤廃棄と物理的管理不備

紛失は「定番の情報事故」であり、電子機器だけでなく紙資料や名刺束まで同時に失われ得ます。紛失対象としてパソコン、タブレット、スマホ、USBメモリ、SDカードに加え、カバンを丸ごと紛失して紙資料も一緒に失う、名刺入れを紛失して個人情報を束で失うといった具体例が示されています。暗号化等が施されていない場合、紛失がそのまま漏洩事故に直結します。

また、紛失は外出・移動・飲酒等の生活行動と結びつきやすく、公共交通機関で網棚に置き忘れ、タクシーでカバンごと置き忘れ、帰宅途中の飲み会で酩酊しカバンごと紛失、海外出張での紛失は発見が困難といった状況が列挙されています。盗難としては、車内放置PCの車上荒らし、自宅侵入による盗難、カフェで席を立つ間の盗難などが典型です。

従業員・退職者による内部不正の背景

内部不正は、正当な権限を持つ者が実行し得るため、技術検知だけで抑止するのが難しい領域です。退職社員による持ち出しが増加傾向とされ、警察庁の発表として営業秘密侵害事犯の相談受理件数が令和5年中は78件（昨対32.2%増）という具体データが示されています。

また、実務書の「不正のトライアングル理論」によれば、内部不正は動機・機会・正当化が揃うと起きやすくなります。実務上は、個々人の動機を完全に管理することはできないため、会社側が設計・統制できる「機会」を潰す（アクセス制限、クラウド持ち出し制御、ログ管理）ことが重要です。

退職・異動・委託終了のタイミングで漏れやすい権限剥奪とデータ返却確認の実務

退職・異動・委託終了は、権限剥奪の遅れがそのまま漏洩「機会」になります。サーバおよびクラウド双方について「ID管理／退職社員や不要なIDを直ちに削除」が明記されています。ここが徹底できないと、退職後にクラウドへ継続アクセスできる、委託先に残置したデータが後日インシデントで流出する、といった二次的な事故に繋がります。

また、内部不正・委託先事故のいずれでも「証拠がない」ことが対応を難化させます。情報漏洩の記録（証拠）がない場合の対策としてログ管理ツールの利用が挙げられています。

環境変化と情報漏洩原因の最新トレンド

クラウドサービス・テレワーク環境に固有の原因

クラウド・テレワーク環境では、情報が社内境界の外に分散し、統制が「端末・アカウント・アプリ」の単位に移ります。シャドーITとして、私用のDropbox等のクラウドストレージ、Gmail（個人利用の無償版）やYahoo!メール、LINE（個人利用の無償版）、WhatsApp等が具体例として挙げられています。これらを業務に使うと、会社が前提としているウイルス対策・OS更新・ログ取得の枠外でデータが流通し、事故時の原因特定と封じ込めが困難になります。

実務書には「クラウドサービス経由の情報持ち出し」として、私的Dropbox等へ会社データをアップロードして窃取することや、退職後にIDを早急に無効化しないと継続アクセス可能になることが明記されています。したがって、クラウド利用の対策は、設定監査だけでなく、シャドーITの検知・遮断と、退職時の即時ID無効化までを一気通貫で設計します。

情報漏洩原因の傾向変化と警戒すべきポイント

原因の見え方は、技術起点と運用起点の複合に移っています。ブルートフォース、キーロガー）は「攻撃の入口」を示しますが、同時に内部側の「機会」管理（ID削除、クラウド制御、ログ管理）が弱いと被害が拡大します。

また、ヒューマンエラーも依然として重要で、実務書ではデジタル庁で2022年4月1日および2022年4月6日に誤送信が発生したことが示され、注意喚起や確認徹底だけでは限界がある点が読み取れます。実務上は、確認作業を増やすより、条件付き強制確認、送信遅延（取り消し可能化）、BCC運用の自動化など、手動操作を減らす設計が警戒ポイントになります。

企業規模・業態別の情報漏洩リスクの違い

企業規模・業態により、「狙われやすさ」と「事故の起こりやすい現場」が変わります。中小企業ではシャドーITに対する認識がなく、自由に使わせる無法地帯になっているケースも見受けられます。この場合、個人端末や私用クラウド（Dropbox等）、私用メール（Gmail、Yahoo!メール）にデータが分散し、事故時に全体像を掴めないこと自体がリスクになります。

一方で、退職者による内部不正は規模を問わず発生し得ますが、実務書では中小企業について「情報窃取に気づきながらも証拠がなく泣き寝入り」という問題が示されています。したがって、業態別の話に加えて、規模別には「証跡（ログ）を残せるか」「持ち出し経路を技術的に制御できるか」が差になりやすいです。

上場企業と非上場・中堅中小で異なる優先課題をどう見極めるか

優先課題は「理想の統制モデル」ではなく、「自社で実装でき、事故を減らす打ち手」から逆算します。内部不正対策としてUSB等の物理デバイス制限、クラウド制御（CASB/SASE）、セキュリティカメラ、施錠、アクセス制限、ログ管理、教育といった具体的な手段を示しており、これらは企業規模に応じて段階的に採用可能です。

上場企業では説明責任・ガバナンスの観点から「統制が効いている証拠」を求められやすく、非上場・中堅中小では「踏み台化の回避」や「泣き寝入りを避ける証跡整備」が優先になります。なお、取締役の善管注意義務との関係では、簡単な管理用パスワードを設定していた等の状況を放置して損害を生じさせた場合、任務解怠に基づく責任が問題となり得ます（会社法423条1項（会社法第423条）、会社法429条1項（会社法第429条））。

情報漏洩リスクを低減する実務対策

情報漏洩発生時の企業被害と法的義務

個人データの漏えい等が一定の条件を満たす場合、個人情報保護委員会への報告および本人への通知が必要です（個人情報保護法26条（個人情報保護法第26条））。事故対応では「何を、いつ、どこまで」報告・通知するかを、事案の事実関係と証跡に基づき整理します。

実務書の整理（図表1-3）にあるとおり、実務で押さえるべき報告事項には、発生日・発覚日、規則7条各号該当性、委託元・委託先の有無、事実経過、漏えいした個人データの項目、本人の数、原因、二次被害のおそれ、本人対応、公表状況、再発防止策等が含まれます。ここが曖昧だと、社内外への説明がぶれ、後日の責任追及（契約上・ガバナンス上）に弱くなります。

加えて、サイバー攻撃で営業秘密が盗まれた局面では、技術対応だけでなく、取締役のリスク管理義務が争点化し得ます。簡単な管理用パスワードを放置したこと等が善管注意義務違反として、会社に対する損害賠償責任（会社法423条1項（会社法第423条））や第三者に対する責任（会社法429条1項（会社法第429条））に繋がり得る旨が示されています。

原因別の技術的セキュリティ対策

技術対策は、原因別に「入口を塞ぐ」「持ち出しを困難にする」「証跡を残す」を組み合わせます。端末・サーバ・クラウド・ネットワーク・物理・教育までの具体策がチェックリストとして整理されており、実装計画に落とし込みやすい内容です。

組織的・人的対策と社内ルール設計

組織的・人的対策は、①ルールで禁止・義務を明確化し、②技術で守らせ、③教育で理解させ、④監視で形骸化を防ぐ、の順に設計します。シャドーIT対策として「物理デバイス保存の利用不可」「業務メールの個人メール転送禁止」「クラウド経由持ち出しの制御」を挙げ、さらに補助策として「セキュリティカメラ」「アクセス制限」「施錠」「ログ管理」「社員教育」を提示しています。

また、誤送信対策は教育だけでなく、運用設計の変更が重要です。常時確認を義務化すると形骸化し得るため、一定条件を満たす送信のみ送信前確認とすること、送信遅延機能の活用（デジタル庁のOutlookで1分保留）などが示されています。

自社の情報漏洩リスク洗い出しと優先順位

リスク洗い出しは、「事故が起きたとき困る情報」から着手し、次に「どの経路で外に出るか」を棚卸しします。外出先業務、シャドーIT、退職社員、SNS、脆弱性侵入、ブルートフォース、キーロガー）を、そのまま自社のリスク棚卸しの軸に転用すると、網羅性を担保しやすいです。

取締役会報告で使える「原因別・影響別」評価軸と社内説明資料のそろえ方

取締役会報告は、原因別に「どの類型が自社で起き得るか」を、議論がぶれにくくなります。影響別は、法的義務・説明責任・証跡の有無まで含めて整理すると、投資判断に繋がります。

原因別の整理では、外部侵入（脆弱性悪用、ssh/ftp/telnetへのブルートフォース、キーロガー等）と、内部過失（誤送信、紛失、外出先業務、SNS）と、内部不正（退職社員、クラウド経由持ち出し、シャドーIT）を並べ、各類型ごとに「機会」を潰す打ち手（ID直ちに削除、CASB/SASE、USB利用不可、ログ管理等）を対応づけます。

また、ガバナンス観点では、簡易パスワード放置等のリスク管理不備が善管注意義務違反として争点化し得るため（会社法423条（会社法第423条）、会社法429条（会社法第429条））、取締役会には「現状統制で合理性が説明できるか」を示す資料が必要です。

情報漏洩への対応で次にすべきこと

情報漏洩事故は、外部攻撃・内部過失・内部不正が単独で起きるとは限らないため、まずは「どの経路で外に出たか」をメール・端末/媒体・クラウド・シャドーIT・外部侵入に分解して原因分類の軸を揃えることが出発点になります。判断の軸は、外部の突破口の有無だけでなく、退職者IDの残置やログ不在など、企業側が潰せる「機会」が放置されていないか（不正のトライアングル理論のうち2機会）まで含めて優先順位を付けることです。次アクションとしては、個人情報保護法26条（個人情報保護法第26条）に照らした報告・本人通知の要否を見据え、発生日・発覚日・本人の数・原因等を証跡（ログ等）で復元できる状態かを点検し、必要に応じて情報システム部門・法務/コンプライアンス・委託先管理の関係者で事実関係の取りまとめを行います。委託先・子会社経由の事案では、預託情報の機密性判断がつかない場合でも委託元へ報告する運用や、契約上の報告範囲を平時から確認しておくことが、後日の説明責任の負荷を左右します。個別案件の評価や責任関係は事案ごとに変わるため、必要に応じて専門家に相談しながら進めるのが安全です。

Baseconnect株式会社
サイト運営会社

本メディアは、「企業が経営リスクを正しく知り、素早く動けるように」という想いから、Baseconnect株式会社が運営しています。

当社は、日本最大級の法人データベース「Musubu」において国内1200万件超の企業情報を掲げ、企業の変化の兆しを捉える情報基盤を整備しています。

加えて、与信管理・コンプライアンスチェック・法人確認を支援する「Riskdog」では、年間20億件のリスク情報をAI処理、日々4000以上のニュース媒体を自動取得、1.8億件のデータベース等を活用し、取引先の倒産・不正等の兆候の早期把握を支援しています。

運営会社情報ページへ