情報漏えい・サイバー被害の原因ランキング
公的データで見る「入口」と、中小企業が優先すべき6つの対策

1. なぜ今、原因を見直すのか

2026年11月4日、フランスの地方銀行クレディ・ミュチュエル・アルケアが、サイバー攻撃で約1億ユーロ（約177億円）の不正な送金を受けたと発表しました。銀行によると、攻撃者は委託先のプラットフォームを経由して侵入しています。ただ、具体的な手口はまだ公表されていません。

大きな事件のたびに「どんな高度な手口だったのか」が注目されますが、自社の対策に役立つのは、多くの被害に共通する原因です。そこでこの記事では、国内の公的なデータや調査から、被害の原因をランキングで整理します。

事件の概要：AFPBB News「仏銀行にサイバー攻撃、約177億円流出 顧客に損失なし」（2026年11月5日）。委託先経由との銀行の説明：Boursorama（AFP、2026年11月4日）。

2. ランキング1：情報漏えいの原因（上場企業、2025年）

東京商工リサーチが2026年1月に公表した調査によると、2025年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は180件でした。原因の内訳は次のとおりです。

外からの攻撃が6割を超える一方で、メールのCC・BCCの取り違えや、書類の紛失といった「人のうっかり」も合わせて3割あります。また、1件あたりの漏えい人数は「ウイルス感染・不正アクセス」が平均約56万人分と突出しており、一度破られると被害が大きくなりやすいことが分かります。調査では、業務を請け負っていた会社が不正アクセスを受け、委託した側の顧客情報まで流出したケースも紹介されています。

出典：東京商工リサーチ「上場企業の『個人情報漏えい・紛失』事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分」（2026年1月）。上場企業とその子会社が自ら公表した事故の集計で、中小企業を含むすべての事故の割合を示すものではありません。

3. ランキング2：ランサムウェアの侵入経路（2025年）

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年に警察へ報告されたランサムウェア（データを暗号化して身代金を要求するウイルス）の被害は226件でした。

• 被害に遭った組織の約6割が中小企業
• 被害組織へのアンケートでは、侵入経路はVPN機器が6割以上
• 攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備などを悪用して侵入する
• 復旧に総額1,000万円以上かかった組織が5割を超える

VPN機器は、社外から社内のネットワークに入るための「通用口」です。この通用口の鍵（ソフトウェア）が古いままだったり、パスワードが弱かったりすると、そこから入られてしまいます。警察庁も、近年はメールの添付ファイルによる感染は少なくなり、インターネットにつながった機器から入られる手口が多くを占めていると説明しています。

出典：警察庁サイバー警察局「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）。侵入経路と復旧費用は、被害組織へのアンケートの回答によるものです。

4. ランキング3：ネットバンキングの不正送金（2025年）

同じ警察庁の資料によると、2025年のインターネットバンキングの不正送金は4,747件、被害額は約103億9,700万円でした。その手口の約9割がフィッシング（本物そっくりの偽サイトに誘導して、IDやパスワードを盗む手口）です。

法人を狙った手口として、警察庁は「ボイスフィッシング」にも注意を呼びかけています。銀行を名乗って会社に電話をかけ、ネットバンキングの更新手続きなどを口実にメールアドレスを聞き出し、偽サイトへのリンクを送る手口です。2025年11月に再び急増し、1社で4億円を超える被害も出ています。

5. 参考：IPA「情報セキュリティ10大脅威 2026」（組織編）上位

IPA（情報処理推進機構）が2026年1月に発表した10大脅威の組織編では、上位は次のとおりでした。

1. ランサム攻撃による被害
2. サプライチェーンや委託先を狙った攻撃
3. AIの利用をめぐるサイバーリスク

これは被害の件数ではなく、専門家などの投票で選ばれた「社会的影響の大きい脅威」の順位です。

出典：IPA プレス発表「情報セキュリティ10大脅威 2026」を決定（2026年1月29日）。

6. 3つのデータに共通する「入口」

データの種類は違っても、原因はおおむね次の3つにまとめられます。

1. 更新されていない入口：VPN機器やネットにつながる機器の脆弱性、設定の不備
2. 盗まれた・推測されたIDとパスワード：フィッシング、使い回し、簡単なパスワード
3. 人のうっかり：誤送信、紛失、誤廃棄

これに加えて、委託先を経由して入られるケースも、調査や今回の銀行の事件で目立っています。

7. 中小企業が優先すべき6つの対策

1. VPN機器など「外とつながる機器」を更新する

   VPN機器、ルーター、ファイアウォールなど、社外とつながる機器を一覧にし、メーカーの更新情報を確認して最新の状態に保ちます。使っていない機能や古いアカウントは止めます。保守業者に任せている場合は、「いつ、何を更新したか」を報告してもらいましょう。

2. 多要素認証を入れ、パスワードを使い回さない

   VPN、メール、クラウドサービス、ネットバンキングには、パスワードに加えてスマホでの確認などを求める多要素認証を設定します。パスワードの使い回しをやめるだけでも、漏えいしたパスワードによる侵入を防ぎやすくなります。

3. ネットバンキングは「公式アプリ・公式サイト」から、電話は「折り返し」で確認

   メールやSMSのリンクからはログインせず、ブックマークした公式サイトや公式アプリから使います。銀行を名乗る電話があったときは、一度切って、営業店や代表番号にかけ直して確認する。警察庁も、この対応を社内で徹底するよう呼びかけています。

4. メールの誤送信を「仕組み」で防ぐ

   社外あてのメールは送信前に宛先を確認する、一定時間送信を保留して取り消せるようにする、大勢に送るときはBCCではなく一斉送信の仕組みを使う、などのルールを決めます。人の注意だけに頼らないのがポイントです。

5. バックアップを「別の場所」に取り、戻す練習をする

   ランサムウェアはバックアップも一緒に暗号化しようとします。ネットワークから切り離した場所にもバックアップを取り、実際に戻せるかを年に一度は確かめておきます。

6. 委託先に渡している権限を見直す

   ITの保守業者、ホームページの制作会社、会計や給与の外部委託先などに、どのシステムへのどんな権限を渡しているかを一覧にします。作業に必要な分だけに絞り、多要素認証を付け、作業が終わったら使えないようにするのが理想です。

ニュースになる大きな事件ほど「特別な手口」に見えますが、公的なデータが示す原因は、意外なほど基本的なものです。まずは、外とつながる機器の一覧と、多要素認証の設定状況を確認するところから始めてみてください。

8. よくある質問

Q. 情報漏えいの原因で一番多いのは何ですか？

東京商工リサーチの調査では、2025年に上場企業が公表した漏えい・紛失事故180件のうち、「ウイルス感染・不正アクセス」が116件（64.4%）で最も多く、次いで「誤表示・誤送信」が37件（20.5%）でした。ただし、これは上場企業が公表した事故の集計です。

Q. ランサムウェアはどこから入ってくることが多いですか？

警察庁の資料では、被害組織へのアンケートで、侵入経路はVPN機器が6割以上を占めています。攻撃者は、未修正の脆弱性、漏えいした認証情報や簡易なパスワード、設定の不備などを悪用して侵入するとされています。

Q. 中小企業は、まず何から始めればよいですか？

社外とつながる機器（VPN機器やルーターなど）の一覧を作って更新状況を確認することと、VPN・メール・ネットバンキングに多要素認証を設定することから始めるのがおすすめです。どちらも、公的なデータが示す主要な入口をふさぐ対策です。

9. 参考資料と制作について

1. 東京商工リサーチ：上場企業の「個人情報漏えい・紛失」事故 2番目の180件発生、漏えい人数は約2倍増の3,063万人分公表：2026年1月／参照日：2026年11月5日。2025年の原因別件数・割合、1件あたりの平均人数、委託先経由の事例。
2. 警察庁サイバー警察局：令和7年におけるサイバー空間をめぐる脅威の情勢等について公表：2026年3月／参照日：2026年11月5日。ランサムウェア被害226件、中小企業約6割、侵入経路、復旧費用、不正送金、ボイスフィッシング。
3. IPA：プレス発表「情報セキュリティ10大脅威 2026」を決定公表：2026年1月29日／参照日：2026年11月5日。組織編の順位。
4. AFPBB News：仏銀行にサイバー攻撃、約177億円流出 顧客に損失なし公開：2026年11月5日／参照日：2026年11月5日。事件の概要。
5. Boursorama（AFP）：Crédit Mutuel Arkéa: cyberattaque pour près de 100 millions d'euros, enquête ouverte公開：2026年11月4日／参照日：2026年11月5日。委託先のプラットフォーム経由との銀行の説明。