個人情報漏えい件数の推移をグラフで解説｜最新は2026年4〜6月、過去最多は約1.9万件

個人情報の漏えいがどれくらい起きているのかを、個人情報保護委員会の統計でグラフにして整理しました。年度で見た過去最多は令和6年度（2024年度）の19,056件で、令和7年度は17,139件に減りました。ところが2026年度に入ると、4〜6月の3か月で5,451件と前年同期を上回り、9〜10月には数百万件規模の漏えいの公表が続いています。件数が増えた理由と最近多いと感じる理由、原因の内訳、統計ごとに数字が違う理由まで順に説明します（2026年10月15日時点で公表済みの資料に基づく）。

まとめ：個人情報漏えい件数の要点

• 民間事業者からの漏えい等報告は、令和4年度7,685件、令和5年度12,120件、令和6年度19,056件（過去最多）、令和7年度17,139件と推移した。
• 最新の令和8年度第1四半期（2026年4〜6月）は事業者分が5,451件。前年同期の5,007件より約9%多く、令和7年度の四半期平均（4,285件）を約27%上回る。
• 2026年9〜10月は、1社で数百万〜2千万件を超える漏えいの公表が続いた。個人情報保護委員会は10月7日に、大量の個人情報を持つ事業者へ注意喚起を出している。
• 原因で最も多いのは誤交付・誤送付などのヒューマンエラー。一方、報告義務の該当要件で見ると、「不正の目的によるおそれ」に当たる報告の比率は直近四半期で26.6%と、過去5四半期で最も高い。
• 個人情報保護委員会の件数は「報告の処理件数」であり、重複を除いた事故数や漏えいした人数ではない。上場企業の公表事故は2025年が180件でも、漏えい人数は3,063万人分にのぼる。

個人情報漏えい件数の推移（令和3年度〜令和7年度の年度グラフ）

個人情報保護委員会の令和7年度年次報告と過去の年次報告によると、民間事業者からの漏えい等報告の処理件数は次のとおりです。報告が法律で義務になったのは2022年4月（令和2年改正個人情報保護法の全面施行）で、令和4年度がその初年度です。

令和3年度と令和4年度の値は令和4年度年次報告、令和5年度は令和5年度年次報告の総括表から取りました。令和4年度以降の委員会直接以外は委任先省庁経由ですが、令和3年度には認定個人情報保護団体経由の2,418件も含まれます。令和3年度は報告が任意だった時期の値なので、令和4年度以降と同じ物差しでは比べられません。

同じ値を横棒にすると、水準の変化が見えやすくなります（棒の長さは令和6年度を100%とした比率）。

義務化以降の4年間で、件数は7,685件から1万件台後半へ切り上がりました。単年度の増減は、多数の委託元を巻き込む大型事案が1件あるかどうかで大きく振れます。

令和6年度の過去最多に含まれたエムケイシステム事案の2,745件

令和6年度年次報告によると、令和6年度の19,056件には、社会保険・人事労務業務支援システムを運営するエムケイシステムのサーバーがランサムウェアで暗号化された事案について、多数の委託元から寄せられた報告2,745件が含まれています。1社の被害が、委託元ごとの報告として件数を押し上げた形です。

委員会への直接報告のうち、漏えい等元が「委託先」に分類された件数は、令和6年度の2,248件から令和7年度の1,292件に減りました。この区分の減少は956件で、全体の減少1,917件の約半分に相当します。ただし、これだけで全体の減少原因を特定することはできません。件数が減ったことを、事業者の管理水準が上がった証拠とは読めません。

行政機関等の報告とマイナンバーを含む漏えいの件数

民間とは逆に、国の行政機関や地方公共団体などからの報告は増えました。令和7年度年次報告では、行政機関等の漏えい等報告は2,278件（前年度1,951件）で、内訳は国の行政機関等248件、地方公共団体等2,030件です。民間と合わせると19,417件で、前年度の合計21,007件から7.6%減っています。

特定個人情報の漏えい等やその他のマイナンバー法違反・そのおそれに関する報告の処理件数は392件で、前年度の2,052件から減りました。うち法定の報告対象事態は74件です。減少のほとんどは事業者分（1,899件から230件）です。

最新の四半期データ：令和8年度第1四半期は事業者5,451件で前年同期より増加

年次報告は年に1回なので、最新の動きは四半期ごとの公表で追います。個人情報保護委員会が2026年9月2日に出した令和8年度第1四半期における漏えい等報告の処理状況では、2026年4〜6月の処理件数は個人情報6,101件、特定個人情報113件でした。このうち民間の個人情報取扱事業者の分を、前年度の四半期と並べます。

令和7年度の4四半期を足すと17,139件で、年次報告の値と一致します。最新の5,451件は前年同期より444件（約9%）多く、令和7年度の四半期平均4,285件を約27%上回りました。第1四半期は前年度も多かったものの、この5四半期だけでは季節性までは判断できず、少なくとも令和7年度の減少がそのまま続いているとは言えません。資料の注記どおり、四半期の数値は公表時点のもので、年次報告の段階で改訂されることがあります。

「不正の目的」に該当する報告の比率と直近5四半期の比較

同じ資料の報告対象事態の内訳では、事業者の報告のうち「不正の目的をもって行われたおそれ」（不正アクセスなど）に当たるものが1,450件、比率で26.6%でした。令和7年度の各四半期は22.7%、19.4%、21.3%、25.6%だったので、5四半期で最も高い値です。最も多いのは引き続き要配慮個人情報を含む漏えい等（58.6%）で、資料は病院や薬局に加えて損害保険業者の誤交付が目立ったと書いています。この表は事故の原因別ではなく報告義務の該当要件別の集計で、1件が複数の要件に当たることがあるため、割合を足すと100%を超えます。原因の構成比としては読めませんが、「不正の目的」に当たる報告の比率は第2四半期から3四半期続けて上がっています。

2026年9〜10月に大規模な漏えいの公表が相次いでいる状況

「最近、情報漏洩のニュースが多い」と感じる人が増えたのは、2026年9月から10月にかけて、1社で数十万〜数千万件規模の漏えいの公表が短期間に続いたためです。上の四半期統計は2026年6月までの値なので、これらの事案はまだ統計に入っていません。各社の一次発表で確認できた主な事案は次のとおりです。

件数は各社が公表したもので、「確認」「おそれ」で意味が違います。単位もアカウント数・レコード数・人数が混在し、重複登録も含むため、足し合わせて「何千万人が被害」とは言えません。たとえばGyazoの発表は、約2,362万件にメールアドレス等を登録していない匿名アカウントも含まれると明記しています。第一興商の発表は約872.4万件を「漏えいしたおそれ」として、ブランドごとの件数と重複分を差し引いた内訳まで示しています。

個別の事案は、焼肉きんぐ不正アクセスで1,078万件の情報漏洩、ローソンID不正アクセス：215万件漏えいの対象確認、skyticket不正アクセス：1,464万件流出の対象確認、タイムズカー情報漏洩・流出：対象の確認と補償で、対象かどうかの確認方法とあわせて解説しています。

IDCFクラウドの障害と登録情報の不正照会の区別

同じ時期、IDCフロンティアのクラウドサービス「IDCFクラウド」が2026年10月7日から第三者の不正アクセスによる障害を受け、影響は495の企業・自治体に及びました。ただし同社の第5報（10月14日）は、影響を受けたゾーンの仮想サーバー内のデータが外部へ持ち出された痕跡は確認されず、外部へのデータの流出はなかったと判断しています。システム停止と漏えいは区別が必要です。ただし同じ第5報は、クラウドポータルで48社の登録情報が不正照会され、うち2社各1件に担当者の個人名を含む可能性のあるメールアドレスが含まれていたことも公表しています。利用企業の側で漏えいが起きたかどうかは、各社の発表で個別に確かめる必要があります。経緯はIDCFクラウド（IDCフロンティア）ランサムウェア被害：影響企業一覧にまとめています。

個人情報保護委員会が10月7日に出した注意喚起の中身

こうした状況を受けて、個人情報保護委員会は2026年10月7日に「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を出しました。対象は、国民の多くが使うサービスで大量の個人情報を持つ事業者や、機微な情報・財産的被害や詐欺につながる情報を持つ事業者です。中身は3点あります。

• ガイドライン（通則編）の技術的安全管理措置の「手法の例示」を見直す予定で、確定は来年（2027年）4月の見込み。見直し後の内容を先取りして示した。
• 先取りした例示には、アクセス元を事前に許可したIPアドレスに限る、特権アカウントの利用場面を最小限にする、アクセス権限を定期的に棚卸しする、といった具体策が並ぶ。
• 個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去する努力義務を定めている。注意喚起では、法令上の保存期間も確認したうえで、不要なデータの消去を求めている。消去が徹底されず被害が深刻になった事例に接している、とも書いている。

退会者や古い会員のデータを持ち続けていると、漏えいした時の件数がそのぶん膨らみます。件数の大きさは、攻撃の巧妙さだけでなく、保管していたデータの量でも決まります。

統計によって件数が違う理由（個人情報保護委員会・東京商工リサーチ・警察庁・Pマーク）

「情報漏洩の件数」は、どの統計を見るかで桁が変わります。数え方の違いを知らずに数字を並べると、増えた・減ったの判断を誤ります。

個人情報保護委員会の報告処理件数と同一事象の重複計上

委員会の件数は、報告義務のある漏えい等について受けた報告を処理した件数です。業務を委託している場合は、原則として委託元と委託先の双方に報告義務があるため、同じ事象が委託先と委託元の両方から報告されることがあります（四半期資料の注記）。1社の委託先が被害に遭うと、委託元の数だけ件数が増えるのはこのためです。一方で、1件あたりの人数は令和7年度で1,000人以下が93.6%を占め、委員会への直接報告では紙媒体のみの事案が76.9%でした。

東京商工リサーチの集計対象と漏えい・紛失人数

東京商工リサーチの調査は、上場企業とその子会社が公表した個人情報の漏えい・紛失事故を数えています。2025年は180件（前年比4.7%減）でしたが、漏えい・紛失した個人情報は3,063万6,910人分と前年の約2倍で、100万人以上の事故が前年の2件から6件に増えました。原因の64.4%（116件）はウイルス感染・不正アクセスです。委員会の統計では誤交付・誤送付が多数派なのに、こちらでは不正アクセスが多数派になります。上場企業が適時開示などで公表する事故は、規模の大きい不正アクセス事案が中心になりやすいためと考えられます。2024年との比較は2024年における上場企業の個人情報漏えい事故の全体傾向で詳しく扱っています。

警察庁のランサムウェア被害とPマーク付与事業者の事故報告

警察庁の「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年のランサムウェア被害の報告件数は226件（前年222件）でした。警察に届けられたランサムウェア被害だけを数えるので、誤送付や紛失は入らず、個人情報が漏れたかどうかも問いません。

プライバシーマーク（Pマーク）を取得している事業者は、事故を審査機関へ報告します。JIPDECの2025年度事故報告集計では、2,021社から10,633件の報告があり、前年度（1,866社・9,322件）から増えました。事象分類別の集計では誤配達・誤交付（37.8%）が最多で、誤送信（25.5%）が続きます。未入力・複数選択があるため、これらの割合の母数は事故報告総数10,633件とは異なります。また、不正アクセスの報告は346件（4.5%）から848件（10.3%）へ増えています。ただし、JIPDECは、被害システム・サービスの利用事業者からの報告を除くと、発生件数自体は前年度とほぼ同水準と説明しています。対象はPマーク付与事業者に限られ、配送委託先による誤配送も含む点に注意が必要です。

使い分けは単純です。法定報告の処理状況は個人情報保護委員会、上場企業とその子会社が公表した漏えい・紛失人数は東京商工リサーチ、警察が把握したランサムウェア被害は警察庁の数字で確認します。異なる統計の件数を1つのグラフに並べて増減を語るのは誤りです。

個人情報漏えいの原因と令和7年度の内訳

件数を押し上げているのは、サイバー攻撃よりも日常業務の取り違えです。原因の内訳を見ると、対策の優先順位も変わります。

報告者本体で8割を占めるヒューマンエラー（誤交付・誤送付・誤廃棄）

令和7年度年次報告の付表で、委員会への直接報告13,345件のうち報告者本体からの11,040件を見ると、誤交付が6,072件、誤送付が2,889件、誤廃棄が78件で、合わせて約8割です。年次報告の本文も、主な発生原因として病院や薬局での要配慮個人情報を含む書類の誤交付と、クレジットカード等の誤送付を挙げています。誤交付・誤送付を減らすには、書類の交付先と内容の照合や、送信前の宛先・添付確認を業務手順に組み込むことが対策になります。

要配慮個人情報が61.9%、1件1,000人以下が93.6%

報告義務の類型で分けると、令和7年度は要配慮個人情報を含む漏えい等が61.9%で最多、不正の目的によるおそれがあるものが22.3%で続きました。令和6年度は要配慮45.4%、不正目的39.9%でした。一方、委員会への直接報告13,345件に限ると、情報の種類は顧客情報が83.9%、形態は紙媒体のみが76.9%です。

委託先経由は令和6年度の不正アクセス最多から令和7年度は誤送付最多へ

委託先を経由した漏えいの原因は、年度で入れ替わっています。令和6年度は委託先2,248件のうち不正アクセスが1,429件で突出していました。この原因別集計だけでは、エムケイシステム事案による押上げ分までは分かりません。令和7年度は委託先1,292件のうち、誤送付が506件で最多、不正アクセスは328件で2番目です。委託先で自社が委託した個人データの漏えい等が生じ、法定の報告対象事態に該当する場合は、委託元にも原則として報告義務があります。委託元には委託先を必要かつ適切に監督する義務もあります。

2022年4月の報告義務化と統計の比較条件の変化

2022年4月の改正法の全面施行で、一定の漏えい等が起きた際の委員会への報告と本人への通知が義務になりました。それ以前も任意報告された事案は統計に含まれていましたが、義務化とその周知によって報告される事案の範囲が変わったと考えられます。このため、令和3年度以前と令和4年度以降の件数は同じ条件の比較にならず、義務化の前後で件数が増えた分をすべて事故の増加と読むことはできません。

件数の内訳から決める企業と個人の漏えい対策

原因の内訳から逆算すると、企業と個人で優先順位が違います。

企業の漏えい対策：誤送付防止・公開資産の点検・不要データの消去

誤交付・誤送付が多い業務では、まず確認手順を仕組みにします。メールの宛先・添付の確認、書類の持ち出しルール、退職者のアクセス権の即時停止を、個人の注意力ではなく仕組みで担保します。外部ドメイン宛ての警告や送信保留は、送信前に宛先・添付を見直す機会を設ける対策です。

そのうえで、1件の被害が大きい不正アクセスに備えます。2026年秋に公表された大規模事案は、アプリやWebサービスへの外部からの不正アクセスを起点とするものが目立ちます。公開しているWebサーバー・API・VPN機器の脆弱性を放置しない、管理画面へのアクセス元を絞る、使わなくなった会員データを消す、の3つは委員会の注意喚起とも重なります。悪用が確認された脆弱性や不審なアクセスがすでにある場合は、統計上の件数の多寡にかかわらず、遮断や修正を誤送付対策より先に行います。自社の公開資産の弱点を第三者の目で確かめるなら、脆弱性診断・セキュリティ診断で公開資産の脆弱性を確認し、保有データや事業への影響とあわせて改修の優先順位を決められます。原因別の対策は情報漏洩対策とは：原因別4類型の防ぎ方と発生時の報告義務で詳しく解説しています。

個人の二次被害対策：パスワード管理・多要素認証・正規経路での確認

利用者側でできることは限られますが、被害の連鎖を起こりにくくすることはできます。サービスごとに違うパスワードを使い、多要素認証を設定しておけば、どこかでパスワードが漏れても、ほかのサービスへの不正ログインのリスクを下げられます。ただし、偽サイトで認証コードまで入力させる手口もあるため、完全に防げるわけではありません。漏えいを公表した各社も、流出した情報を使ったなりすましメールやフィッシングへの注意を呼びかけています。お詫びや本人確認をうたうメールのリンクは開かず、ブックマークした正規のURLか公式アプリからアクセスしてください。

漏えいが起きたときの報告義務と2026年改正法の扱い

事業者において、次の4類型に当たる個人データの漏えい等が発生し、又は発生したおそれがある場合には、原則として個人情報保護委員会への報告と本人への通知が必要です。報告が必要になる事態は、要配慮個人情報を含む、財産的被害が生じるおそれがある、不正の目的によるおそれがある、1,000人を超える、の4類型で、速報（おおむね3〜5日以内）と確報の二段階で報告します。実務の流れは個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務にまとめています。

2026年7月10日には「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されました（令和8年法律第56号）。個人情報保護委員会の資料によると、本人の権利利益の保護に欠けるおそれが少ない漏えい等について本人通知の義務を緩和すること、大量の個人情報を扱う重大・悪質な違反に課徴金制度を設けることなどが盛り込まれています。施行は原則として公布から2年を超えない範囲で政令が定める日ですが、一部の附則は公布日に施行されています。ここで挙げた本人通知義務の緩和や課徴金制度は、2026年10月15日時点では施行前です。いまは現行の報告・通知義務がそのまま適用されます。改正の全体像は個人情報保護法改正とはで解説しています。

よくある質問

個人情報漏えいの件数について、検索されることの多い疑問に答えます。

個人情報漏えい件数は最新で何件ですか？

年度の確定値では、令和7年度（2025年度）の民間事業者からの漏えい等報告が17,139件です。行政機関等の2,278件を含めると19,417件でした。さらに新しい四半期の値では、令和8年度第1四半期（2026年4〜6月）に事業者分5,451件、行政機関等を含めた個人情報全体で6,101件が処理されています。

最近、情報漏洩が多いのはなぜですか？

2026年9〜10月に、会員数の多いアプリやWebサービスで数百万〜2千万件超の漏えいの公表が短期間に続いたためです。統計でも、2026年4〜6月の件数は前年同期を約9%上回り、「不正の目的によるおそれ」に当たる報告の比率が26.6%と直近5四半期で最も高くなりました。9〜10月の事案がどの四半期に計上されるかは、公表日ではなく、確報受付後に委員会が処理を完了した時期によります。

過去最多はいつで何件ですか？

年度単位の過去最多は令和6年度（2024年度）の民間19,056件です。エムケイシステムへのランサムウェア攻撃に関する委託元からの報告2,745件が含まれていました。令和7年度は17,139件で、この記録を下回っています。

個人情報漏えいが多い原因は何ですか？

件数で最も多いのは誤交付・誤送付などのヒューマンエラーで、令和7年度は報告者本体の事案の約8割を占めました。一方、上場企業とその子会社が公表した漏えい・紛失事故の集計では、ウイルス感染・不正アクセスが64.4%で最多です。件数は取り違え、被害人数は不正アクセスが押し上げる、という構図です。

件数と漏えいした人数は同じですか？

違います。個人情報保護委員会の件数は報告の処理件数で、人数でも、重複を除いた事故数でもありません。令和7年度は1件あたり1,000人以下の事案が93.6%を占めますが、1件で1,000万件を超える事案もあるため、影響の大きさは人数で別に見る必要があります。

関連記事

• 2024年における上場企業の個人情報漏えい事故の全体傾向｜TSR調査189件・151社と2025年の180件・158社
• 情報漏洩対策とは：原因別4類型の防ぎ方と発生時の報告義務【2026年10月版】
• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる
• IDCFクラウド（IDCフロンティア）ランサムウェア被害：影響企業一覧・復旧・情報漏えい・損害賠償【第5報】