2024年における上場企業の個人情報漏えい事故の全体傾向｜TSR調査189件・151社と2025年の180件・158社

東京商工リサーチ（TSR）の調査によると、2024年に上場企業とその子会社が公表した個人情報の漏えい・紛失事故は189件で、調査を始めた2012年以降で最多でした。公表した企業は151社で、こちらも最多です。一方で漏えい・紛失した人数は1,586万5,611人分と、前年から6割減っています。本記事では、2024年の件数・社数・原因・大型事故をTSRの公表値で整理し、2025年版（180件・158社）との比較、個人情報保護法の改正時期の正しい区別、統計から導ける優先対策までをまとめます（数値は2026年10月2日時点で確認した公表値）。

まとめ：2024年・2025年の上場企業の漏えい事故の要点

• 2024年：事故189件（前年比8.0%増）・151社（同2.7%増）でともに過去最多。漏えい人数は1,586万5,611人分で前年比61.2%減。
• 原因：ウイルス感染・不正アクセスが114件で60.3%。誤表示・誤送信21.6%、紛失・誤廃棄10.5%、不正持ち出し・盗難7.4%が続く。
• 特徴：業務委託先が攻撃され、委託元の顧客情報が連鎖的に流出する事例が目立った。最大は東京ガスの416万人分。
• 2025年：事故180件（4.7%減・歴代2番目）だが、社数158社は過去最多。100万人以上の大型事故が6件あり、人数は3,063万6,910人分とほぼ倍増。
• 法制度：漏えい等報告の義務化は2022年4月の全面施行から。2024年4月は施行規則の改正、2026年7月には課徴金などを含む改正法が成立した（施行は原則として公布から2年以内）。

本記事の提案は2つです。事故の6割を占める不正アクセスに対しては、外部に公開した機器・サーバーの脆弱性を先に塞ぐ。そのうえで委託先を含めた報告・連絡の経路を決めておく。ただし、TSR調査は対策費用や被害低減効果を比較していないため、実施順は自社の公開資産、保有情報、既存対策を確認して決めます。

2024年の上場企業の漏えい事故はTSR調査で189件・151社と過去最多

TSRの調査は、上場企業と子会社がプレスリリースやお知らせで自主的に開示した事故を独自に集計したものです。「漏えいの可能性がある」事例や、個人情報の不適切な取り扱いで生じた事例も含み、人数が「調査中・不明」でも1件と数えます。

2024年のTSR公表値：189件・151社・1,586万人分

TSRの2024年調査によると、事故件数は189件（前年比8.0%増）で、2021年から4年連続で最多を更新しました。公表した社数は151社（同2.7%増）で、それまで最多だった2022年の150社を上回っています。

漏えい・紛失人数は1,586万5,611人分で、前年の4,090万8,718人分から61.2%減りました。件数が増えたのに人数が減ったのは、100万人以上の大型事故が前年の8件から2件に減ったためです。10万人以上100万人未満の事故は15件から23件に増え、1万人以上の事故は合計51件で前年（53件）と同水準でした。人数を開示していない「調査中・不明等」が61件あるため、実態はこの数字より大きいとTSRは指摘しています。

100万人以上の大型事故の件数推移：2023年8件・2024年2件・2025年6件

人数の振れ幅を生んでいるのは、ごく少数の大型事故です。TSRの各年版が示す人数規模別の件数を並べます。

2024年は、100万人以上の大型事故が減る一方、10万人以上100万人未満の事故が増えた年でした。人数を開示していない「調査中・不明等」は2024年が61件、2025年が70件で、公表人数の合計には人数不明の事故が含まれず、漏えいの可能性に基づく人数も含まれるため、実際に漏えいした人数の下限や確定値ではありません。

2012年から13年間で累計1,454件、延べ1億8,249万人分という蓄積

2012年から2024年までの13年間で、上場企業の漏えい・紛失事故は1,454件、漏えいした可能性のある個人情報は延べ1億8,249万人分に達しました。日本の人口の約1.5倍にあたる規模です。単年の増減だけを見ると「2024年は人数が減ったので改善した」と読めますが、2024年は件数と社数がともに前年を上回っており、公表された事故件数が減った年ではありません。

2022年から2025年の推移と、2025年版の180件・158社で見えた変化

単年では傾向を読み違えやすいので、TSRの各年版の値を並べます。

2023年の値はTSRの2023年調査、2022年の値も同調査に掲載された前年値と年次推移に基づきます。人数は大型事故の有無で大きく振れるため、年ごとの増減より件数と社数の推移を見るほうが実態に近いといえます。

2025年の変化：事故件数の7年ぶりの減少と公表社数・大型事故の増加

2026年1月に公表されたTSRの2025年調査では、事故件数が180件（前年比4.7%減）で、7年ぶりに前年を下回りました。それでも歴代2番目の多さです。社数は158社（同4.6%増）で過去最多を更新しました。

人数は3,063万6,910人分と前年の約2倍で、歴代3番目でした。100万人以上の大型事故が2件から6件に増えたことが押し上げています。2024年は「件数は多いが1件あたりは小さい年」、2025年は「件数はやや減ったが大型事故が集中した年」と整理できます。

原因別・媒体別・産業別に見る2024年の内訳と2025年との比較

表にはTSR本文で紹介された原因の4区分を掲載しています。2025年の掲載4区分の合計は178件で、総数180件との差2件の内訳は同本文では説明されていません。業務委託先の管理不備という独立した区分もありません。

不正アクセスは2019年から6年連続で最多を更新し初の100件台

2024年のウイルス感染・不正アクセスは114件で、初めて100件台に乗りました。2019年以降、6年連続で最多を更新しています。2025年は116件でさらに増え、1件あたりの平均人数は56万3,637人分と他の原因を大きく上回りました。社内サーバーへの不正アクセスは、一度で大量の顧客情報を持ち出されるためです。

人為的な原因に当たる誤表示・誤送信は2割前後で、メールのCC・BCCの取り違えやシステムの誤設定が中心です。件数では不正アクセスの3分の1程度です。誤表示・誤送信は2023年43件、2024年41件、2025年37件と減少していますが、引き続き全体の約2割を占めます。

媒体は社内システム・サーバーが7割、産業は製造業が3割という事故の傾向

2024年の189件を媒体別に見ると、社内システム・サーバーが136件（71.9%）、パソコン・携帯端末が34件（17.9%）、書類・紙媒体が11件（5.8%）でした。2025年は社内システム・サーバーが140件（77.7%）に増えています。

産業別では、2024年の151社のうち製造業が46社（30.4%）で最多、サービス業28社、情報通信業と小売業が各18社、金融・保険業16社と続きました。市場別では東証プライムが115社（76.1%）です。大手ほどグループ会社と顧客が多く狙われやすい一方、開示の手順が徹底していることも公表数の多さにつながっているとTSRは分析しています。

2025年も構図は同じで、158社のうち製造業が50社（31.6%）、サービス業23社、情報通信業21社、金融・保険業20社と続き、東証プライムは112社（70.8%）でした。1件あたりの平均人数を媒体別に見ると、社内システム・サーバーを媒体とした事故が2024年は16万1,137人分、2025年は40万5,099人分と突出しています。書類・紙媒体の事故は件数こそ毎年10件前後ありますが、2024年の漏えい・紛失人数は合計4,216人でした。サーバーに大量の個人データを保管する企業では技術対策を優先して点検し、紙媒体についても情報の機微性と取扱量に応じた管理を続けます。

2024年・2025年の大型事故と委託先経由の連鎖被害

TSRの2024年調査が特徴として挙げたのは、業務を受託する企業が攻撃され、委託元の顧客情報が流出するケースです。

東京ガス416万人分と京葉ガス81万人分に見る委託先経由の被害の連鎖

2024年の最大は、子会社のネットワークへの不正アクセスで416万人分の顧客情報が流出した可能性を公表した東京ガスでした。この子会社に業務を委託していた京葉ガスも、連鎖的に約81万人分の流出可能性を開示しています。2番目は三菱電機ホーム機器の231万人分です。

非上場ですが、情報処理サービスを請け負うイセトーがランサムウェア被害を受け、委託元の自治体や企業に被害が広がりました。上場企業の被害判明分だけで8事例あり、伊予銀行は25万4,659人分の漏えいを公表しています。このほか、損害保険の大手4社が代理店や出向者を通じて他社の契約者情報を共有していた事案では、不適切な取り扱いによる流出が4社合計で250万人分に及び、金融庁から報告命令を受けました。

KADOKAWAへのランサムウェア攻撃も2024年の事故です。経緯と漏洩範囲はニコニコ動画（KADOKAWA）へのサイバー攻撃で整理しています。

2025年のAOKI・SOMPO・アサヒ・アスクルと事業停止への波及

2025年の最大は、子会社が運営する「快活CLUB」への不正アクセスでAOKIホールディングスが公表した729万87人分でした。次いでSOMPOホールディングス（損害保険ジャパン）の727万1,004人分です。

2025年は漏えいだけでなく、ランサムウェアで生産や出荷が止まる事例が続きました。アサヒグループホールディングスは基幹システムが機能不全に陥り、受発注・出荷が長期間止まりました（経緯はアサヒ サイバー攻撃の時系列まとめ）。アスクルもランサムウェアで事業が止まり、TSRの2025年調査には約73万9,700件が掲載されています。その後、同社は2026年7月30日に漏えいのおそれを否定できない約60万件を追加で特定したと公表しました（アスクルへのランサムウェア攻撃）。

漏えい事故に関わる個人情報保護法の改正──2022年・2024年・2026年の区別

「2024年に施行された改正個人情報保護法」という説明を見かけますが、正確ではありません。漏えい事故に関係する制度変更は、時期の異なる3つに分かれます。

2022年4月の全面施行による漏えい等報告・本人通知の義務化

令和2年改正法は2022年4月1日に全面施行され、要配慮個人情報を含む個人データ、財産的被害につながるおそれがある個人データ、不正目的の行為による個人データ、本人の数が1,000人を超える個人データについて、漏えい・滅失・毀損が発生し、又は発生したおそれがある報告対象事態に該当する場合に、個人情報保護委員会への報告と本人への通知が義務になりました。報告は速報と確報の2段階です。法定刑の引き上げは、これより早い2020年12月12日に施行されています。

2024年4月1日に施行されたのは施行規則の改正です。Webスキミングのような手口に対応するため、事業者が「取得しようとしている個人情報」のうち、個人データとして取り扱う予定のものについても、不正目的の行為による漏えい等の報告対象に含めました。この報告対象の拡大は施行規則の改正によるものです。

「最大1億円の行政罰」ではなく法人への両罰規定による刑事罰の罰金

「漏えいの報告を怠ると最大1億円の行政罰」という説明も誤りです。個人情報保護委員会のFAQによると、法人に1億円以下の罰金が科されうるのは、委員会の命令に違反した場合（第178条）と、個人情報データベース等を不正な利益を図る目的で提供・盗用した場合（第179条）に、両罰規定（第184条）が適用されるときです。罰金は刑事罰であって行政罰ではなく、報告を怠ったこと自体に1億円が科される仕組みでもありません。

2026年7月成立の改正法で課徴金・法定刑引き上げ・本人通知の緩和

2026年7月には「個人情報の保護に関する法律等の一部を改正する法律」が成立しました。個人情報保護委員会の資料によると、重大な違反行為で得た財産的利益に相当する額の課徴金制度の導入、不正提供罪への「損害を加える目的」の追加と法定刑の引き上げ、本人の権利利益の保護に欠けるおそれが少ない場合の本人通知義務の緩和などが盛り込まれています。施行は原則として公布から2年を超えない範囲です。2026年10月2日時点ではまだ施行前なので、現行の報告・通知義務はそのまま適用されます。改正の全体像は令和8年改正で企業対応はこう変わるで詳しく扱っています。

自社が漏えいを公表する側になったときの報告期限と件数の示し方

TSRが数えているのは、各社が自主的に公表した事故です。以下では、委員会への法定報告の期限と、対外公表文の書き方を分けて整理します。速報・確報の期限は委員会への報告に関するもので、プレスリリースの一律の公表期限ではありません。

速報はおおむね3〜5日以内、不正目的の確報は発覚から60日以内

個人情報保護委員会は、報告対象の事態を知ったときは速やか（おおむね3〜5日以内）に報告するよう求めています。ランサムウェアのように不正な目的で行われたおそれがある場合、確報の期限は発覚日から60日以内です。調査が終わっていなくても速報は出す、という順番になります。

実務で詰まりやすいのは、誰が「知った」時点を判断するかです。法人では、いずれかの部署が報告対象事態を知った時点が起算点です。法務部門の判断日まで起算を遅らせることはできないため、異常の検知日時と報告対象事態を認識した日時を記録します。インシデント対応手順の中で、報告対象かどうかを判断する担当者と、その判断を記録する方法を決めておきます。

「漏えいのおそれ」と「漏えいを確認」の件数を分けた公表文の書き方

大型事故の公表で混乱を招きやすいのが、件数の意味です。アサヒグループホールディングスは2026年7月、漏えいの「おそれ」がある個人情報を約228.9万件と公表しましたが、実際に漏えいが「確認」されたのは115,513件でした。同社は追加調査による「おそれ」の範囲の見直しを説明し、確認済みの漏えい情報については訂正がないと明記しています。

公表文では、おそれの件数、確認済みの件数、両者の重複の有無、含まれる情報・含まれない情報を区別し、調査の基準日も明記します。TSRの集計も「漏えいの可能性がある」事例を件数に含めているため、おそれの段階で公表した事故も統計に入る点は押さえておきます。

TSR統計と個人情報保護委員会の報告件数を混同しないための見方

漏えい件数の統計は、出典によって母集団がまったく違います。TSRは上場企業と子会社が自ら公表した事故だけを数え、2024年は189件でした。個人情報保護委員会の年次報告は、法律に基づいて報告された全事業者の件数で、令和7年度年次報告では民間事業者分が17,139件（前年度19,056件）です。

両者は100倍近く違いますが、矛盾ではありません。委員会への報告の多くは、病院や薬局での書類の誤交付やクレジットカードの誤送付といった小規模な事案です。上場企業の大型事故の傾向を知りたいならTSR、事業者全体の報告件数の推移を知りたいなら委員会の年次報告、と使い分けます。年度ごとの推移は個人情報漏えい件数の推移をグラフで解説にまとめています。

漏えい事故の統計を踏まえた上場企業の優先対策と研修の位置づけ

ウイルス感染・不正アクセスと社内システム・サーバーの事故が多いことから、本記事では公開資産の脆弱性と認証設定の点検を提案します。統計だけで自社の対策順序が決まるわけではありません。

侵入防止で優先して点検する外部公開の機器・サーバーの脆弱性

個人情報保護委員会の令和7年度年次報告は、不正アクセス事案の原因として、VPN機器やECサイトの既知の脆弱性の放置、推測されやすいID・パスワード、不適切なアクセス制御を挙げています。ここに既知の脆弱性や弱いパスワードが残っていれば、EDRなどの検知製品を入れても侵入そのものは防げません。まず外部公開資産を棚卸しし、パッチ適用と認証の強化を済ませます。自社だけで公開資産の弱点を洗い出せない場合は、脆弱性診断・セキュリティ診断で把握した弱点と、保有情報の重要度・業務への影響を照合して、対策の優先順位を決めます。

委託先を含めた漏えい事故の報告経路と、誤表示・誤送信を減らす送信制御

2024年の東京ガスやイセトーの事例が示すように、自社が攻撃されなくても委託先経由で漏えいは起きます。委託契約で、漏えい等を知ったときに委託先が委託元へすぐ報告する義務と、その連絡先を決めておくことが前提です。委託先の評価方法は内部統制を外注する際の注意点で整理しています。サイバー対処能力強化法による報告義務と漏えい等報告の関係はサイバー対処能力強化法とはを参照してください。

「誤表示・誤送信」が2割前後を占める点には、メールの送信制御に加え、システムの公開設定やアクセス権限の確認、担当者への教育を組み合わせて対処します。委託先や内部不正、生成AIまで含めた原因別の対策は情報漏洩対策の原因別ガイドで整理しています。外部宛てメールの宛先確認や一時保留、一斉送信時のBCCへの自動変換を検討します。BCCは宛先同士の露出を防ぐもので、送信先や添付ファイルの取り違えは別途確認が必要です。

全社員向けの研修や認証取得だけを先に進め、不正アクセスの入口を開いたままにする進め方は避けます。認証取得や研修の完了を待って脆弱性対応を遅らせず、緊急の技術対策と並行して、不審メールの報告や個人情報の取扱手順を周知します。

よくある質問

上場企業の個人情報漏えい事故の統計について、よく検索される疑問に公表値で答えます。

2024年に上場企業の個人情報漏えい事故は何件ありましたか？

東京商工リサーチの調査では、2024年に上場企業と子会社が公表した漏えい・紛失事故は189件（前年比8.0%増）で、2012年の調査開始以降で最多でした。公表した社数は151社で、こちらも最多です。漏えい・紛失した人数は1,586万5,611人分で、前年から61.2%減りました。

2025年の上場企業の漏えい事故は増えましたか、減りましたか？

件数は180件で前年から4.7%減り、7年ぶりに前年を下回りました。ただし歴代2番目の多さで、社数は158社と過去最多を更新しています。100万人以上の大型事故が6件あったため、人数は3,063万6,910人分と前年の約2倍に増えました。

上場企業の漏えい事故で最も多い原因は何ですか？

ウイルス感染・不正アクセスです。2024年は114件で全体の60.3%、2025年は116件で64.4%を占めました。次いで誤表示・誤送信が2割前後、紛失・誤廃棄が1割前後です。TSRの集計には業務委託先の管理不備という独立した区分はなく、委託先が攻撃された事例は不正アクセスに含まれます。

2024年に個人情報保護法は改正されましたか？

法律の改正ではなく、2024年4月1日に施行規則が改正されました。Webスキミング等への対応として、取得しようとしている個人情報のうち個人データとして取り扱う予定のものも、不正目的の行為による漏えい等の報告対象に加えた内容です。漏えい等報告の義務化そのものは、2022年4月1日の令和2年改正法の全面施行によるものです。なお2026年7月には課徴金制度などを含む新たな改正法が成立しています。

個人情報保護委員会の漏えい件数とTSRの件数はなぜ大きく違うのですか？

数えている対象が違うためです。TSRは上場企業と子会社が自主的に公表した事故だけを集計し、2024年は189件でした。個人情報保護委員会は法律に基づき報告された全事業者の件数で、令和7年度は民間事業者分だけで17,139件です。病院や薬局での誤交付など小規模な事案の多くは、TSRの集計には入りません。

関連記事

• 個人情報漏えい件数の推移をグラフで解説｜最新データと過去最多（約1.9万件）
• 個人情報保護法改正とは？2026年7月公布の令和8年改正で企業対応はこう変わる
• アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧
• アスクルのランサムウェア攻撃｜流出74万件と追加60万件・行政指導・全面復旧まで
• サイバー対処能力強化法とは？2026年10月施行の届出・報告義務と委託先への影響