この記事は、サイバーセキュリティ基礎講座の第10回です。
前回は、【第9回】DDoS攻撃とは何か｜大量アクセスでサービスが止まる仕組みをわかりやすく解説で、大量通信によってサービスが止まる仕組みを整理しました。
今回は、個人情報や機密情報が外部に漏れ、次の被害につながる情報漏洩を扱います。
シリーズ全体は、【まとめ】サイバーセキュリティ基礎講座まとめ｜攻撃の仕組みと防御の基本を体系的に学ぶからご覧ください。
「個人情報が漏洩しました。」
ニュースでこの言葉を見ると、少し不安になるかもしれません。
「自分の名前や住所が漏れたのか？」
「メールアドレスや電話番号が使われるのか？」
「クレジットカード情報は大丈夫なのか？」
「パスワードも漏れているのか？」
「詐欺メールや不正ログインにつながるのか？」
情報漏洩とは、簡単に言えば、本来守られるべき情報が、外部に漏れたり、関係のない人に見られたり、持ち出されたりすることです。
個人情報保護委員会は、「漏えい」を個人データが外部に流出することと説明しています。
また、従業員が個人データを不正に持ち出して第三者に提供した場合や、個人データが記録されたUSBメモリを紛失した場合なども、漏えいに関わる事例として整理しています。(個人情報保護委員会「漏えい、滅失、毀損とは」)
情報漏洩で怖いのは、情報が外に出ることだけではありません。
その情報が、あとから悪用されることです。
- フィッシング詐欺
- 不正ログイン
- なりすまし
- 迷惑メール
- 詐欺電話
- クレジットカード不正利用
- 別サービスへの攻撃
- 企業や個人の信用低下
こうした被害につながることがあります。
IPA「情報セキュリティ10大脅威 2026」では、組織向け脅威として「内部不正による情報漏えい等」が7位に挙げられています。
また2025年には「不注意による情報漏えい等」が10位に挙げられていました。
つまり、情報漏洩は高度なサイバー攻撃だけでなく、人のミス、管理の甘さ、内部不正、委託先の問題ともつながるテーマなのです。(IPA「情報セキュリティ10大脅威 2026」)
今回は、「情報漏洩とは何か」を見ていきます。
「なぜ個人情報は漏れるのか？」
「漏れた情報は、どのように悪用されるのか？」
「企業や組織は、何を守るべきなのか？」
「あなたは、情報漏洩のニュースをどう読めばよいのか？」
こうした問いを、情報・信用・被害の連鎖という視点から整理していきます。
第1章 情報漏洩とは何か
情報漏洩とは、本来守られるべき情報が、外部に漏れたり、関係のない人に見られたり、持ち出されたりすることです。
漏れる情報は、個人情報だけではありません。
- 氏名
- 住所
- 電話番号
- メールアドレス
- 生年月日
- ログインID
- パスワード
- クレジットカード情報
- 銀行口座情報
- 健康情報
- 購買履歴
- 位置情報
- 会社の機密情報
- 顧客情報
- 取引先情報
- 設計図や研究情報
情報漏洩というと、「個人情報がネットに公開された」という場面を想像するかもしれません。
もちろん、それも情報漏洩です。
一方で、実際にはさまざまな形があります。
- 外部の攻撃者に盗まれる
- 内部の人が不正に持ち出す
- メールの宛先を間違える
- クラウド設定を誤る
- USBメモリや書類を紛失する
- 委託先で管理ミスが起きる
- 廃棄した機器からデータが残っていた
IBMは、データ侵害を、権限のない者が個人情報や企業情報などの機密情報へアクセスするセキュリティインシデントとして説明しています。
つまり、情報漏洩は「外に公開されたかどうか」だけではなく、「本来アクセスしてはいけない人が情報に触れたか」という視点でも見る必要があります。(IBM「What Is a Data Breach?」)
大切なのは、情報漏洩を単なる「うっかり」や「事件」として見るだけでは足りないということです。
- どんな情報が
- どこから
- 誰に
- どれくらい
- どの状態で
漏れた可能性があるのか？
ここを分けて見る必要があります。
情報漏洩とは、情報が外へ出ることだけではありません。
信用と安全の境界が崩れることなのです。
第2章 なぜ情報漏洩は起きるのか
情報漏洩の原因は、ひとつではありません。
高度なサイバー攻撃だけで起きるわけでもありません。
大きく分けると、次のような原因があります。
- サイバー攻撃
- フィッシング
- マルウェア
- ランサムウェア
- 不正ログイン
- 内部不正
- 設定ミス
- メール誤送信
- 端末やUSBの紛失
- 委託先や取引先の管理不備
- 古いシステムの脆弱性
- 権限管理の不備
たとえば、
フィッシングで社員のIDとパスワードが盗まれる
→そのアカウントを使って、社内のクラウドに入られる
→そこから顧客情報がダウンロードされる
こうした流れがあります。
また、マルウェアに感染し、端末内の情報や認証情報が盗まれることもあります。
ランサムウェアでは、データを暗号化されるだけでなく、先に情報を盗み出され、「公開する」と脅されることもあります。
一方で、サイバー攻撃ではない情報漏洩もあります。
- メールの宛先を間違える
- 添付ファイルを間違える
- クラウド共有リンクを広く公開してしまう
- 退職者のアカウントが残っている
- 必要以上に広い権限が付いたままになっている
IPA「情報セキュリティ10大脅威 2025」では、組織向けの脅威として「内部不正による情報漏えい等」と「不注意による情報漏えい等」が挙げられています。
これは、情報漏洩が外部攻撃だけでなく、人と組織の管理にも関わる問題であることを示しています。(IPA「情報セキュリティ10大脅威 2025」)
つまり、情報漏洩は「攻撃者がすごいから起きる」だけではありません。
- 情報の置き場所
- 権限の広さ
- 確認の弱さ
- 共有の仕方
- 委託先との関係
- 日常の運用
こうしたものが重なって起きるのです。
第3章 漏れた情報は、どのように悪用されるのか
情報漏洩で重要なのは、漏れた瞬間だけではありません。
漏れた後です。
- 情報は、一度外に出るとコピーできる
- 転売されることがある
- 別の攻撃に使われることがある
- 時間が経ってから悪用されることもある
- 詐欺メールが届く
- フィッシングSMSが届く
- 不正ログインに使われる
- パスワードリスト攻撃に使われる
- なりすましに使われる
- クレジットカード不正利用につながる
- 電話詐欺に使われる
- 別の個人情報と組み合わされる
- 企業への標的型攻撃に使われる
たとえば、メールアドレスだけが漏れた場合。
それだけでは大きな被害に見えないかもしれません。
ですが、そのメールアドレスに、実在するサービスを装ったフィッシングメールが届く可能性があります。
- 氏名と住所が漏れた場合
- 詐欺の連絡が、本物らしく見えることがある
- 電話番号が漏れた場合
- SMSや電話を使った詐欺につながる可能性がある
- パスワードが漏れた場合
- 同じパスワードを使い回している別のサービスで、不正ログインを試される可能性がある
FTCは、データ侵害後の対応について、どの情報が漏れたのかによって取るべき対応が変わると案内しています。
たとえば、ログイン情報、クレジットカード情報、銀行口座情報など、漏れた情報の種類ごとに確認すべき行動があります。(FTC「What To Do After a Data Breach」)
つまり、情報漏洩の被害は「情報が外に出た」で終わりません。
次の攻撃の材料になる。
ここが怖いところです。
情報漏洩は、単発の事故ではなく、被害の連鎖の始まりになることがあるのです。
第4章 個人情報だけが問題なのか
情報漏洩というと、個人情報が注目されます。
もちろん、個人情報はとても重要です。
ですが、企業や組織にとっては、個人情報以外も守る必要があります。
- 顧客情報
- 従業員情報
- 取引先情報
- 契約情報
- 営業情報
- 財務情報
- 研究開発情報
- 設計図
- ソースコード
- 認証情報
- 会議資料
- 内部メール
- 未公開の発表資料
たとえば、顧客情報が漏れれば、顧客への説明が必要になります。
取引先情報が漏れれば、取引先にも被害が広がる可能性があります。
設計図や研究情報が漏れれば、競争力に影響します。
認証情報が漏れれば、さらに別のシステムへ侵入される可能性があります。
内部メールが漏れれば、企業の信用や交渉に影響することもあります。
つまり、情報漏洩は「個人情報保護」だけの問題ではありません。
- 事業継続
- 信用
- 競争力
- 安全保障
- 取引先との信頼
- 社会的責任
こうしたものにもつながります。
サイバーセキュリティで守るべき情報は、名前や住所だけではありません。
人と組織が活動するための信頼そのものなのです。
第5章 なぜ権限管理が重要なのか
情報漏洩を防ぐうえで重要なのが、権限管理です。
権限とは、誰がどの情報を見られるか、変更できるか、持ち出せるかという範囲です。
もし、全員がすべての情報を見られる状態だったらどうなるでしょうか？
- 一人のアカウントが乗っ取られただけで、広い範囲の情報が危険になる
- 一人が誤って共有してしまっただけで、大量の情報が漏れる可能性がある
内部不正が起きた場合も、被害が大きくなります。
- 必要な人だけが見る
- 必要な期間だけ使う
- 必要な範囲だけ操作できる
- 退職者や異動者の権限を外す
- 共有リンクを定期的に見直す
- 管理者権限を必要以上に配らない
- ログを残して確認できるようにする
これは、前回までに扱ったゼロトラストや最小権限の考え方ともつながります。
情報を守るには、外からの攻撃を防ぐだけでは足りません。
内側での見え方も整える必要があります。
- 誰が見られるのか？
- 誰がダウンロードできるのか？
- 誰が外部共有できるのか？
- 誰が管理者権限を持っているのか？
- 誰のアカウントが残っているのか？
この確認が、情報漏洩の被害範囲を小さくします。
情報漏洩対策は、壁を高くすることだけではありません。
情報に触れる範囲を、必要なところまで絞ることが大事なのです。
第6章 委託先や取引先から漏れることもある
情報漏洩は、自社だけで完結するとは限りません。
委託先、取引先、クラウドサービス、外部ツール、業務代行会社などを通じて起きることがあります。
現代の企業活動は、多くの外部サービスや取引先に支えられています。
- システム開発会社
- クラウドサービス
- コールセンター
- 配送会社
- 決済代行会社
- 人事・給与サービス
- マーケティングツール
- データ分析会社
- 外部委託先
- サプライチェーン
たとえば、委託先が顧客情報を扱っている場合。
- その委託先で管理ミスや不正アクセスが起きれば、情報が漏れる可能性がある
- クラウド設定を誤れば、意図せず外部から見える状態になることがある
- 外部ツールに広い権限を与えたままにしていれば、そこがリスクになることもある
IPAの「情報セキュリティ10大脅威 2026」では、組織向け脅威の2位に「サプライチェーンや委託先を狙った攻撃」が挙げられています。
情報漏洩を考えるうえでも、自社だけでなく、外部とのつながりを見る必要があります。(IPA「情報セキュリティ10大脅威 2026」)
つまり、情報漏洩対策では、次の問いが重要になります。
- どの外部事業者に情報を渡しているのか？
- どんな情報を渡しているのか？
- どこまでアクセス権限を与えているのか？
- 契約や管理体制はどうなっているのか？
- 事故が起きたとき、誰が連絡するのか？
情報は、自社の中だけにあるわけではありません。
つながりの中で守る必要があるのです。
第7章 情報漏洩が起きたとき、組織は何をするべきか
情報漏洩が起きたとき、組織に必要なのは、隠すことではありません。
早く把握し、被害を広げず、必要な人に伝え、再発防止につなげることです。
まず行うべきことは、事実の確認です。
- 何が漏れた可能性があるのか？
- いつ起きたのか？
- どこから漏れたのか？
- 誰の情報が関係するのか？
- どれくらいの件数なのか？
- すでに悪用されているのか？
- 攻撃は止まっているのか？
- 追加流出の可能性はあるのか？
次に、被害の拡大を止めます。
- 不正アクセスを遮断する
- 該当アカウントを停止する
- パスワードや認証情報を変更する
- 共有リンクを停止する
- 誤送信先へ削除を依頼する
- 委託先や関係者と連携する
- ログを保全する
そして、必要に応じて、本人通知、監督機関への報告、警察や専門機関への相談、顧客や取引先への説明を行います。
個人情報保護委員会は、個人データの漏えい等が起きた場合の考え方や具体例をFAQで整理しています。
個人情報に関わる漏えいでは、法令やガイドラインに沿った対応が必要になります。(個人情報保護委員会「漏えい、滅失、毀損とは」)
NISTのデータ侵害対応に関するガイドは、組織がデータ機密性の侵害を検知し、対応し、回復するための考え方を示しています。
情報漏洩対応では、検知、対応、復旧を分けて考えることが大切です。(NIST「Detect, Respond to, and Recover from Data Breaches」)
情報漏洩対応は、技術だけでは終わりません。
- 法務
- 広報
- 経営
- 顧客対応
- 取引先対応
- 現場業務
- 再発防止
ここまで含めた組織対応なのです。
第8章 あなたが情報漏洩のお知らせを受け取ったら
あなたが使っているサービスから、「情報漏洩のお知らせ」が届いたら、まず落ち着いて確認します。
焦って、メール内のリンクをすぐ押さないことが大切です。
なぜなら、情報漏洩のお知らせに便乗したフィッシング詐欺が届くこともあるからです。
まず、公式アプリや公式サイトから確認します。
- 公式サイトや公式アプリから確認する
- 漏れた情報の種類を確認する
- パスワードが含まれるか確認する
- クレジットカードや銀行情報が含まれるか確認する
- 同じパスワードを使っているサービスを変更する
- 多要素認証を設定する
- 不審なログインや利用履歴を確認する
- カード会社や金融機関の案内を確認する
- 不審なメールやSMSに注意する
特に重要なのは、漏れた情報の種類です。
- メールアドレスだけなのか？
- 氏名や住所も含まれるのか？
- 電話番号も含まれるのか？
- パスワードが含まれるのか？
- クレジットカード情報が含まれるのか？
- 本人確認書類の画像が含まれるのか？
対応は、漏れた情報によって変わります。
FTCは、データ侵害後の対応について、漏れた情報の種類ごとに確認すべき行動を案内しています。
ログイン情報が漏れた場合はパスワード変更、金融情報が漏れた場合は利用履歴の確認など、情報の種類に応じた対応が必要です。(FTC「What To Do After a Data Breach」)
ここで大切なのは、自分を責めることではありません。
漏れた情報が、次の被害につながらないようにすることです。
情報漏洩のお知らせを受け取ったら、怖がるだけではなく、何が漏れたのかを確認し、必要な入口を閉じることが大切なのです。
第9章 あなたが今日からできる情報漏洩対策
情報漏洩は、企業やサービス側だけの問題に見えるかもしれません。
もちろん、組織側の管理責任は大きいです。
ですが、あなたができる対策もあります。
特に大切なのは、「漏れても被害が広がりにくい状態」を作ることです。
- パスワードを使い回さない
- 重要なアカウントに多要素認証を設定する
- メールやSMSのリンクからログインしない
- 公式アプリやブックマークから確認する
- 不要なアカウントを削除する
- 使っていないアプリ連携を解除する
- 登録情報を必要以上に増やさない
- クレジットカードや銀行の利用履歴を確認する
- 不審なログイン通知を見逃さない
- 情報漏洩のお知らせを確認する
最優先は、メールアカウントです。
メールは、多くのサービスのパスワード再設定先になります。
ここが乗っ取られると、他のアカウントにも影響する可能性があります。
次に、お金に関わるアカウントです。
- 銀行
- クレジットカード
- 決済サービス
- 通販サイト
次に、信用に関わるアカウントです。
- SNS
- クラウド
- 仕事用アカウント
- 写真や書類を保存しているサービス
また、不要なアカウントを減らすことも大切です。
使っていないサービスに、昔のメールアドレスやパスワードや個人情報が残っていることがあります。
登録した情報が多いほど、漏れたときの影響も広がります。
情報漏洩対策は、情報を一切出さないことではありません。
必要な情報だけを出し、漏れても被害が広がりにくい仕組みを作ることなのです。
第10章 情報漏洩を見る5つの問い
情報漏洩のニュースやお知らせを見るときは、次の5つの問いを持つと整理しやすくなります。
「何の情報が漏れたのか？」
「誰の情報が関係しているのか？」
「どこから漏れたのか？」
「漏れた情報はどう悪用される可能性があるのか？」
「今、何を変更・確認・停止すべきなのか？」
たとえば、通販サイトで情報漏洩が起きたというニュースなら、こう考えます。
- 何の情報が漏れたのか？
- 氏名なのか
- 住所なのか
- メールアドレスなのか
- 電話番号なのか
- パスワードなのか
- クレジットカード情報なのか
- 誰の情報が関係しているのか？
- 全利用者なのか
- 一部の利用者なのか
- 特定期間に利用した人なのか
- 退会済みの人も含むのか
- どこから漏れたのか？
- 外部攻撃なのか
- 設定ミスなのか
- 委託先なのか
- 内部不正なのか
- 誤送信なのか
- 漏れた情報はどう悪用される可能性があるのか？
- フィッシング
- 不正ログイン
- 詐欺電話
- なりすまし
- カード不正利用
- 別サービスへの攻撃
- 今、何を変更・確認・停止すべきなのか？
- パスワード変更
- 多要素認証
- 利用履歴確認
- カード会社への連絡
- 不審メールへの注意
- 同じパスワードを使っているサービスの見直し
このように分けて考えると、情報漏洩のニュースは「怖い」で終わりません。
- 何が漏れたのか？
- どこまで影響するのか？
- 何をすればよいのか？
ここが見えてきます。
情報漏洩も、感情ではなく構造で見ることが大切なのです。
まとめ 情報漏洩とは、情報と信用が外へ流れることである
情報漏洩とは、本来守られるべき情報が、外部に漏れたり、関係のない人に見られたり、持ち出されたりすることです。
漏れる情報は、名前や住所だけではありません。
- メールアドレス
- 電話番号
- パスワード
- クレジットカード情報
- 銀行情報
- 健康情報
- 購買履歴
- 会社の機密情報
- 顧客情報
- 取引先情報
- 認証情報
こうしたものが含まれます。
情報漏洩の原因も、ひとつではありません。
- サイバー攻撃
- フィッシング
- マルウェア
- ランサムウェア
- 内部不正
- 設定ミス
- メール誤送信
- 端末紛失
- 委託先の管理不備
- 権限管理の不備
こうした複数の要因が重なって起きます。
情報漏洩が怖いのは、情報が外へ出ることだけではありません。
その情報が、次の攻撃に使われることです。
- 不正ログイン
- フィッシング詐欺
- なりすまし
- 詐欺電話
- 迷惑メール
- カード不正利用
- 企業への標的型攻撃
被害は、あとから広がることがあります。
そのため、組織には次の視点が必要です。
- 何を持っているのか把握する
- 誰が見られるのか管理する
- 必要な権限だけに絞る
- 委託先や取引先も確認する
- 漏れたときの対応手順を作る
- 本人や関係者へ適切に伝える
- 再発防止につなげる
あなた個人にもできることがあります。
- パスワードを使い回さない
- 多要素認証を設定する
- メールやSMSのリンクからログインしない
- 公式アプリや公式サイトから確認する
- 不要なアカウントを減らす
- 不審なログインや利用履歴を確認する
- 情報漏洩のお知らせを見たら、何が漏れたのかを確認する
情報漏洩は、単なるデータの問題ではありません。
- 人の生活
- 企業の信用
- 取引先との信頼
- 社会サービスの安全
ここまで関わる問題です。
そのため、情報漏洩を知ることは、現代社会の信頼がどこで守られ、どこで壊れやすいのかを知ることでもあります。
次回は、「サプライチェーン攻撃とは何か」を扱います。
「なぜ直接狙わず、取引先や委託先を狙うのか？」
「一つの会社の弱点が、なぜ多くの組織に広がるのか？」
「ソフトウェアやクラウドサービスは、どう攻撃の入口になるのか？」
「企業やあなたは、何を確認すればよいのか？」
こうした問いを、つながりの中で被害が広がる構造として見ていきます。
次回の【第11回】サプライチェーン攻撃とは何か｜取引先や委託先から被害が広がる仕組みをわかりやすく解説、シリーズ全体の【まとめ】サイバーセキュリティ基礎講座まとめ｜攻撃の仕組みと防御の基本を体系的に学ぶもあわせてご覧ください。
ここまでお読みいただきありがとうございました。
Veritas Labでは、国際情勢・歴史・科学・心理学・サイバーセキュリティを横断しながら、複雑な世界の構造を読み解いています。
このブログの考え方や、初めての方におすすめの記事は「Veritas Labの歩き方」にまとめています。
もしご興味あればお読みいただけると嬉しいです。
あわせて読みたい本
この記事では、情報漏洩を「情報と信用が外へ流れること」として整理しました。
さらに深く理解したい場合は、サイバーセキュリティ全体や組織リスク、個人情報保護、インシデント対応を扱った入門書を読むと、情報漏洩が単なる技術問題ではなく、法務、広報、経営、顧客対応まで関わる問題として見えやすくなります。
ただし、実務的な確認では、個人情報保護委員会、IPA、NIST、FTCなどの公式情報を優先するのがおすすめです。
※一部リンクにはアフィリエイトを利用しています。
あなたの負担が増えることはありません。
いただいた収益は、ブログ運営や書籍購入などの学習費に充てています。
- 左門 至峰, 厚焼 サネ太『マンガ＋図解で基礎がよくわかる 情報セキュリティの教科書』
- ユージーン・H・スパフォード, レイ・メトカーフ, ジョサイヤ・ダイクストラ, 徳丸 浩, 金井 哲夫『はじめて学ぶ最新サイバーセキュリティ講義 「都市伝説」と「誤解」を乗り越え、正しい知識と対策を身につける』
参考情報
- 個人情報保護委員会「『個人データ』の『漏えい、滅失、毀損』とは、どのようなものを指すのか」
- 個人データの漏えい、滅失、毀損の考え方や具体例を確認できます。
https://www.ppc.go.jp/all_faq_index/faq2-q4-5
- 個人データの漏えい、滅失、毀損の考え方や具体例を確認できます。
- IPA「情報セキュリティ10大脅威 2025, 2026」
- 組織向け脅威として「内部不正による情報漏えい等」や「不注意による情報漏えい等」が挙げられており、国内で注目すべき脅威を確認できます。
https://www.ipa.go.jp/security/10threats/10threats2025.html
https://www.ipa.go.jp/security/10threats/10threats2026.html
- 組織向け脅威として「内部不正による情報漏えい等」や「不注意による情報漏えい等」が挙げられており、国内で注目すべき脅威を確認できます。
- NIST「Detect, Respond to, and Recover from Data Breaches」
- 組織がデータ侵害を検知し、対応し、復旧するための考え方を確認できます。
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.1800-29.pdf
- 組織がデータ侵害を検知し、対応し、復旧するための考え方を確認できます。
- FTC「What To Do After a Data Breach」
- データ侵害後に、漏れた情報の種類ごとに何を確認すべきかを確認できます。
https://www.ftc.gov/media/71315
- データ侵害後に、漏れた情報の種類ごとに何を確認すべきかを確認できます。
- FTC「Data Breach Response: A Guide for Business」
- 企業がデータ侵害を経験したときの対応の考え方を確認できます。
https://www.ftc.gov/business-guidance/resources/data-breach-response-guide-business
- 企業がデータ侵害を経験したときの対応の考え方を確認できます。
- IBM「What Is a Data Breach?」
- データ侵害の基本的な定義や、個人情報・企業情報が不正にアクセスされるリスクを確認できます。
https://www.ibm.com/think/topics/data-breach
- データ侵害の基本的な定義や、個人情報・企業情報が不正にアクセスされるリスクを確認できます。
