急増する情報漏洩にどう向き合うか？
～情報漏洩の現状とAIの進化～

1. 大手企業の情報漏洩急増の実情
2. 情報漏洩が発生する前提の対策
3. 個人でも増加している情報漏洩
4. 情報漏洩とAI

不正アクセスによる個人情報の漏洩が急増しており、現在、大手企業の漏洩報告が立て続けに行われています。国内でも多くの企業が情報漏洩事案を経験しており、一つの漏洩で数百万件規模となるケースも珍しくありません。そのため、私たちの個人情報がどこかで漏洩対象となっている可能性は決して低くない時代となっています。
こうした状況を見ると、「どれだけ対策をしても防ぎきれないのではないか」「AIが悪用される時代に従来の対策は意味があるのか」と感じる方もいるかもしれません。
しかし、リスクマネジメントの考え方では、リスクを完全にゼロにすることだけを目指すのではなく、発生確率を下げ、発生した場合の被害を最小限に抑えることが重要と言えます。

今回は、急増する情報漏洩の実情や、企業や個人がどのような対応を行うべきかについて考えていきたいと思います。

1. 大手企業の情報漏洩急増の実情

タイムズカーで免許証情報や本人確認情報などが漏洩した事案（2026年9月25日発表）をはじめ、ローソン（10月8日発表）、ヤマト運輸（10月16日発表）、JR東日本（10月15日発表）など、大手有名企業における情報漏洩事案が相次いで報告されています。不正アクセスの要因等は現在も調査中のようです。大手企業は多額の投資を行い、セキュリティ対策にも力を入れています。それにも関わらず、情報漏洩が発生している現状は、情報管理の難しさを示していると言えます。

情報漏洩の状況

多くの事案では不正アクセスによる漏洩と報告されています。
以前はランサムウェアによる金銭要求や脅迫が大きな脅威として注目されていました。それに加え、近年は手法も多様化し、原因究明が容易でないケースも増えています。

不正アクセスの方法

多くの事案では、詳細な侵入経路が公表されておらず、原因が完全には特定されていません。
一方で、近年はAIにより脆弱性の探索や攻撃の効率化が進む可能性があります。
攻撃者が高度な技術を利用しやすくなっていることは、企業にとって新たなリスクと言えるでしょう。

なぜ防ぐことができないのか？

セキュリティ対策は年々進歩しているものの、防御側はシステム全体を全方位で防御が必要である一方で、攻撃側は一箇所の弱点を突破する点だけでよいという非対称性もあります。
そのため、情報漏洩リスクを完全にゼロにすることは容易ではありません。
しかし、ここで重要なのは、「完全には防げない」ことと「対策しても意味がない」ことは全く別であるという点です。
交通事故を完全になくすことができなくても、シートベルトや交通ルールに意味があるのと同様に、情報セキュリティ対策もリスクを低減し、被害を抑える大きな効果があります。

情報漏洩後どのような対応を行っているのか

各企業は侵入経路の調査やシステム改修、サービスの一時利用停止、利用方法の変更などを行っています。また近年は、漏洩を完全に防ぐだけではなく、漏洩が発生した場合でも被害を拡大させないための対策や対応体制の整備が重視されるようになっています。

2. 情報漏洩が発生する前提の対策

過去に掲載した「情報漏洩の原因と情報セキュリティ対策（https://www.tokyo-kei.co.jp/useful/information-leak/）」でも紹介したように、内部要因と外部要因への対策は引き続き必要です。しかし現在は、「対策をすれば安心」という時代ではありません。
むしろ、十分な対策を講じていても情報漏洩が発生する可能性があることも前提に含める必要があります。

漏洩被害を抑える対策

仮に情報が漏洩した場合でも、被害を最小限に抑えることを考える必要があります。クレジットカード利用時の本人確認強化や、多要素認証の導入、情報暗号化範囲の拡張、権限管理の徹底など、漏洩した情報を使用した被害を防ぐことを考えた対策が必要です。
つまり、漏洩そのものだけでなく、漏洩後の不正利用を防ぐという視点が必要です。

保持する情報の精査

リスクマネジメントの観点では、「何を守るか」を明確にすることも重要です。
本人確認で用いる画像は確認処理が完了次第削除する、利用しない会員情報は保管期間を定め、休眠会員の情報を削除するなど整理し、本当に必要な情報だけを保持する運用を検討します。
保有していない情報は漏洩しません。
これは非常にシンプルですが、効果の高いリスク低減策の一つです。
また、利用する外部サービスについても、セキュリティ対策や問題発生時の対応方針を確認したうえで、外部サービスに預託する情報の範囲を慎重に精査します。

その他

被害状況の早期把握や社内報告体制、システム復旧、広報対策、個人情報保護委員会等への報告（速報・確報）など、漏洩発生後の対応体制の整備強化も検討が必要です。
リスクマネジメントの基本は、「発生しないことを期待する」のではなく、「発生した場合に備える」ことにあります。

3. 個人でも増加している情報漏洩

詐欺メールのリンクから偽サイトに誘導され、情報を入力してしまうなど、かなり以前から様々な悪質な手口がありましたが、現在はこれらが進化しています。不正利用の注意喚起やクレジット利用確認を装ったメール、SMS、さらには自動音声による連絡など、本物と区別がつかないケースも増えています。特に近年はAIの活用により、日本語も自然になっており、不自然な表現から見分けることは難しくなっています。

個人の情報漏洩に対しても企業としての対策が必要

個人の情報漏洩は、一見するとその個人だけの問題のようにも思えますが、今のデジタル社会ではそう言い切れません。
スマートフォンをはじめ、タブレットやPCなど、個人所有の機器でも、友人だけでなく、勤務先の情報を含め、様々な情報を含んでいます。つまり、個人の端末から情報が漏洩することで、企業を含む関係者の情報も漏洩している可能性があるということになります。

これらのことを踏まえると、詐欺メールなどへの注意喚起はもとより、プライベートアカウントでも多要素認証の推奨、プライベートで情報漏洩が発生した場合でも企業への報告ルールの制定や教育を行う対策が必要です。加えて、企業側の運用は、報告者に対して早期報告を評価し、責めない運用が欠かせません。

4. 情報漏洩とAI

AIの進化は私たちの業務を効率化し、多くの利便性をもたらしています。その一方で、攻撃者がAIを利用することで、攻撃の効率化や高度化が進む可能性も指摘されています。
AIの急速な普及、その進化は著しく、AIと知らずにチャットで会話した場合、相手を人間と区別できないかも知れません。AIはすでに、質問を投げかけ、会話を通じて情報を引き出せる段階に入りつつあります。

従業員が業務情報や秘匿情報を生成AIに入力して情報を漏洩するリスクや、音声や映像を偽造するディープフェイクによるなりすまし、また、AIが自ら働きかけてくる攻撃では、人間かAIかの判別がいっそう難しくなることなど、これまで以上に意識する対策が必要となります。

こうした状況から、「AIにはAIで対抗するしかない」「どうせ防げない」といった声を耳にすることもあります。

しかし、本稿でお伝えしたいのは、むしろ逆です。

対抗手段としてのAIの活用は否定しませんが、それだけでは足りません。
AIによってリスクが変化しても、リスクマネジメントの原則は変わらないのです。
重要なのは、何を守るべきかを把握し、リスクを評価したうえで、発生確率を下げ被害を最小限に抑えるために対策を講じ、事案発生時に迅速に対応できるよう備える、という基本的な考え方です。

AI時代だからこそ、「完璧な防御」を目指すのではなく、「継続的にリスクを管理する」という姿勢がこれまで以上に重要になっていると言えるでしょう。

 

株式会社TMRでは、43年にわたり培ってきた実績とノウハウをもとに、企業のリスクマネジメント体制の構築を支援しております。情報漏洩をはじめとするリスクを完全に排除することは容易ではありません。しかし、リスクを正しく把握し、発生確率を低減するとともに、万が一発生した場合の影響を最小限に抑えることは可能です。
当社では、保有情報の棚卸しやリスク分析、社内ルールの整備、従業員教育、危機管理体制の構築まで、企業の実情に応じたリスクマネジメントを支援しています。
変化するリスク環境の中で企業の信頼を守るために、何から始めるべきかお悩みの際は、お気軽にご相談ください。