2026年、サイバー攻撃による情報漏えいが増加　企業規模・業種別データから見るセキュリティ市場の変化

2026年、日本企業や教育機関などで、サイバー攻撃を原因とする情報漏えい事案が増加している。2026年1〜9月に公表された事案は454件となり、前年同期比49％増を記録した。従業員300人以下の企業では事案数が前年同期の約2倍に増加し、情報通信業や教育・学習支援業でも増加が確認されている。

一方、Webアプリケーションを対象とする攻撃も、特定のセキュリティサービスの観測データで大規模に検知されている。企業のセキュリティ対策は、自社システムの防御だけでなく、取引先や外部委託先を含むサプライチェーン全体の管理へと広がりつつある。

本記事では、2026年に公表された調査データを基に、情報漏えい事案の推移、攻撃手法の変化、被害が確認された企業・業種の特徴、国内の制度整備を整理する。

情報漏えい事案は前年同期比49％増

MM総研が2026年10月14日に公表した「国内サイバー攻撃による情報漏えい動向調査」によると、2026年1〜9月に初報があった情報漏えい事案は454件だった。前年同期の304件と比べ、49％増加している。

同調査における過去の同期間の事案数は、2022年が239件、2023年が208件、2024年が272件、2025年が304件だった。2023年に一時的な減少が見られた後、2024年以降は増加傾向が続いている。

2026年は10月13日時点で、1〜10月に初報があった事案の累計が485件に達していた。これは2025年の年間432件を上回る水準である。

ただし、これらは企業・団体の公表資料や報道などからMM総研が独自に集計した数字であり、国内で発生したすべてのサイバー攻撃を網羅する公的統計ではない。また、調査対象には情報漏えいの可能性が公表された事案も含まれる。

したがって、454件という数字は「日本国内のサイバー攻撃の総数」ではなく、「同調査の定義に該当し、2026年1〜9月に初報があった情報漏えい事案数」として理解する必要がある。

従業員300人以下の企業で事案数が約2倍に

企業規模別のデータでは、従業員300人以下の企業で増加が目立つ。

MM総研の集計によると、同規模の企業で2026年1〜9月に確認された事案は195件だった。前年同期の99件と比較すると、約2倍に増加している。

同期間における全体の事案数の増加分は150件であり、そのうち96件が従業員300人以下の企業によるものだった。これは増加分の約3分の2に相当する。

同調査では、従業員300人以下の企業で確認された事案の起点として、ランサムウェアによるサーバーの暗号化、従業員のメール・SNS・業務チャットのアカウント乗っ取り、ソフトウェアの脆弱性を突いた侵入などが挙げられている。

このデータから確認できるのは、情報漏えい事案の増加が大企業だけに限定されていないという点である。一方、事案数だけでは、企業規模ごとの被害発生率や、セキュリティ対策の水準による差までは判断できない。

中小企業が大企業の取引先としてサプライチェーンに組み込まれている場合、自社の被害が取引先や顧客に影響する可能性もある。企業規模にかかわらず、外部接続環境やアカウント管理を継続的に点検することが重要になる。

情報通信業・教育分野・製造業でも増加

業種別の集計では、情報通信業、教育・学習支援業、製造業で事案数の増加が確認されている。

MM総研の調査による2026年1〜9月の事案数は、以下のとおりである。

• 情報通信業：88件。前年同期の33件から約2.7倍に増加。
• 教育・学習支援業：45件。前年同期の24件から約1.9倍に増加。
• 製造業：80件。前年同期の52件から約54％増加。

情報通信業では、ソフトウェアやクラウドサービス、開発基盤、業務チャットなどに関連するアカウントへの不正アクセスが報告されている。

教育分野では、ランサムウェアに加え、教職員や学生のアカウント乗っ取り、フィッシングを起点とする事案が確認された。製造業では、ランサムウェアや海外拠点・グループ会社のサーバーに対する攻撃が目立ったという。

これらは、各業種で公表された事案の件数を示すデータである。業種ごとの企業数やシステム数を分母とした発生率ではないため、件数の多さだけで特定の業種が相対的に危険だと結論づけることはできない。

Webアプリケーションへの攻撃は3カ月で約10.7億件

サイバー攻撃の規模を把握するうえでは、情報漏えい事案数とは異なる指標も必要になる。

サイバーセキュリティクラウドが公表した「Webアプリケーションへのサイバー攻撃検知レポート」によると、2026年7〜9月に同社のクラウド型WAFサービス「攻撃遮断くん」および「WafCharm」で検知された攻撃は、累計約10.7億件だった。前四半期比では16.3％増となった。

同社の集計では、1日当たりの平均検知数は約1,165万件、1秒当たりでは約135件に相当する。月別では7月が約2.9億件、8月が約3.3億件、9月が約4.5億件となり、9月の検知数は7月の約1.6倍だった。

攻撃の種類では、Webサイトや設定ファイルなどを探索する「Webスキャン」が全体の53.1％を占めた。また、データベースへの不正操作を狙うSQLインジェクションは、9月の検知数が7月の約1.8倍に増加した。

ただし、約10.7億件という数字は、同社のサービスで観測した攻撃ログに基づくものである。国内全体の攻撃件数や、実際に侵入に成功した件数、被害が発生した件数を表すものではない。

攻撃検知数の増加は、観測対象となった環境で攻撃の試みが増えたことを示す。一方、検知数だけでは、攻撃の成功率や実際の経済的損失を判断できない。

ランサムウェアに加え、認証情報を狙う攻撃も増加

MM総研の調査では、ランサムウェアを起点とする情報漏えい事案が高い水準で推移している。2026年1〜9月のランサムウェア起点の事案は88件だった。

同調査は、警察庁が公表した2026年上半期のランサムウェア被害についても、123件で過去最多だったと紹介している。これは警察庁による別の統計であり、MM総研が集計した情報漏えい事案数とは集計対象や定義が異なるため、単純に比較できない。

一方、2026年に増加した事案として、フィッシングや不正ログイン・アカウント乗っ取りも挙げられている。

MM総研によると、フィッシングを起点とする事案は2026年1〜9月に43件で、前年同期の11件から増加した。不正ログイン・アカウント乗っ取りを起点とする事案も72件となり、前年同期の43件を上回った。

これらのデータは、ランサムウェアだけでなく、従業員や利用者の認証情報を狙う攻撃への対策も必要であることを示している。

ただし、フィッシング報告件数、企業・団体の情報漏えい事案数、不正ログインの試行回数は、それぞれ異なる指標である。異なる統計を混在させず、対象と定義を確認することが重要だ。

サプライチェーン全体のセキュリティ評価制度が具体化

企業のセキュリティ対策を考えるうえでは、個々の企業の対策だけでなく、取引先や委託先を含めた管理体制も重要になる。

経済産業省と内閣官房国家サイバー統括室は2026年3月27日、「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の制度構築方針を公表した。

この制度は、取引先のセキュリティ対策状況を把握しにくい発注側と、複数の取引先から異なる対策要求を受ける受注側の双方の課題に対応し、サプライチェーン全体のセキュリティ対策状況を可視化することを目的としている。

制度は、独立行政法人情報処理推進機構（IPA）が運営する。2026年11月4日時点でIPAが公開している情報では、★3・★4の登録申請受付は2027年3月開始予定とされている。

SCS評価制度は、すべての企業に一律の取得を法令で義務づける制度ではない。取得の必要性や求められる水準は、取引契約などにおける当事者間の取り決めとも関係する。

そのため、企業にとっては制度の開始時期だけでなく、取引先から求められる対策水準、評価基準、自社の現状との差を把握することが重要になる。

また、2026年10月1日にはサイバー対処能力強化法及び同整備法が施行された。これはSCS評価制度とは別の法制度であり、企業間のセキュリティ評価制度と混同せず、それぞれの対象・目的・適用範囲を確認する必要がある。

企業が確認すべき基本対策

今回の調査データからは、情報漏えい事案が大企業だけでなく中小企業や教育機関などにも広がっていること、またランサムウェアに加えてフィッシングやアカウント乗っ取りを起点とする事案も増加していることが確認できる。

企業が対策を点検する際には、少なくとも次の項目を確認したい。

• 多要素認証（MFA）：メール、リモートアクセス、管理者アカウントなど、重要なアカウントで利用できるか。
• 脆弱性管理：OS、ネットワーク機器、VPN機器、業務ソフトウェアなどの更新を継続して実施しているか。
• アカウント管理：退職者・異動者のアカウントや不要な権限を放置していないか。
• バックアップと復旧：バックアップが本番環境と分離され、実際に復旧できることを定期的に確認しているか。
• 委託先管理：クラウドサービスや業務委託先のセキュリティ対策、事故発生時の連絡体制を確認しているか。
• インシデント対応：不正アクセスや情報漏えいが疑われる場合の初動、証拠保全、社内外への報告手順が定まっているか。

これらは基本的な確認項目であり、すべての攻撃を防げることを保証するものではない。必要な対策は、企業のシステム構成、保有情報、事業上の重要度、適用される法令・契約などによって異なる。

FAQ

2026年に日本で発生したサイバー攻撃は何件ですか？

国内のすべてのサイバー攻撃を網羅した総件数は、ここで参照した資料からは確認できない。MM総研の調査では、2026年1〜9月に初報があったサイバー攻撃起因の情報漏えい事案が454件と集計されている。この数字は、同社の調査定義に該当する公表事案数であり、攻撃全体の総数ではない。

1秒当たり約135件の攻撃とは何を意味しますか？

サイバーセキュリティクラウドのWAFサービスで、2026年7〜9月に検知された攻撃ログを平均した数値である。国内全体の攻撃数や、侵入に成功した件数、実際の被害件数を意味するものではない。

中小企業は大企業よりも危険なのでしょうか？

今回のデータでは、従業員300人以下の企業で公表事案数が前年同期の約2倍に増加している。ただし、企業数やシステム数を分母とした発生率ではないため、この数字だけで中小企業のリスクが大企業より高いとは断定できない。

SCS評価制度の取得は法律上の義務ですか？

制度そのものが、すべての企業に取得を一律に義務づけているわけではない。ただし、取引先との契約や調達条件で、一定のセキュリティ水準が求められる可能性はある。最新の評価基準や受付時期は、IPAの公式情報を確認する必要がある。

まとめ：データを読む際に必要な3つの視点

2026年の公表データでは、サイバー攻撃起因の情報漏えい事案の増加、従業員300人以下の企業での事案数の拡大、フィッシングやアカウント乗っ取りの増加が確認された。また、特定のWAFサービスで観測されたWeb攻撃ログも、2026年7〜9月の3カ月間で約10.7億件に達している。

これらの数字を正確に理解するには、次の3点を分けて考える必要がある。

1. 事案数と攻撃検知数を分ける。 公表された情報漏えい事案と、システムが検知した攻撃ログは異なる指標である。
2. 件数と発生率を分ける。 事案数の増加だけでは、企業規模や業種ごとの相対的な危険度までは判断できない。
3. 制度の公表と義務化を分ける。 セキュリティ評価制度の開始や法改正は、対象範囲や法的効果を確認したうえで理解する必要がある。

サイバーセキュリティ対策は、単一の製品を導入するだけで完結するものではない。認証管理、脆弱性対応、バックアップ、委託先管理、事故発生時の対応を組み合わせ、事業の実態に応じて継続的に見直すことが求められる。

DIG NOWの視点

サイバーセキュリティをめぐるデータは、攻撃の規模だけでなく、企業の情報管理、取引関係、事業継続性に関わる課題を示している。

ただし、個別の調査データから国内全体の攻撃件数や被害確率を推定することはできない。数値の対象・定義・集計期間を確認し、確認できた事実と分析上の解釈を分けて読むことが重要である。

データ参照元・出典

• MM総研「サイバー攻撃による情報漏えい、2026年は4年前の約1.9倍に」（2026年10月14日） https://www.m2ri.jp/release/detail.html?id=741
• サイバーセキュリティクラウド「Webアプリケーションへのサイバー攻撃検知レポート2026（2026年7月〜9月）」 https://www.shadan-kun.com/blog/report/9451/
• 経済産業省「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」 https://www.meti.go.jp/policy/netsecurity/scs.html
• IPA「SCS評価制度 よくある質問」 https://www.ipa.go.jp/security/scs/faq.html
• 国家サイバー統括室「新着情報」（サイバー対処能力強化法及び同整備法の施行に関する公表情報） https://www.cyber.go.jp/news/list/index.html

重要な注記

本記事の数値は、各調査・公表資料に記載された対象、期間、集計方法に基づく。調査機関によって対象範囲や事案の定義が異なるため、数値を単純に合算・比較することはできない。

また、サイバー攻撃の検知数は、実際の侵入成功数や被害件数を示すものではない。記事内の分析は公表データを整理したものであり、将来の被害発生や個別企業のリスクを保証・予測するものではない。

免責事項

本記事は公開資料に基づく情報提供を目的としており、特定のセキュリティ製品・サービスの導入を推奨するものではない。法令や制度の適用、具体的なセキュリティ対策の選定については、最新の公式資料を確認し、必要に応じて専門家へ相談すること。