2026年の情報漏洩とAI――便利さの先で、個人情報を誰が守るのか

サービスに預けた情報は、漏れてから取り戻せるものではない。2026年秋に相次いだ発表を読むと、AIの便利さを語る前に、誰が何を預かり、どう守るのかを問い直したくなる。私はAIが社会を支える技術になると考えている。だからこそ、その進化に情報管理が置き去りにされる状況は避けたい。

増えた件数だけでは分からないこと

10月14日には国家サイバー統括室も、幅広い分野で相次ぐ漏洩を受け、関係機関の注意喚起をまとめた。[1]

MM総研が10月14日に公表した調査では、国内組織（海外子会社を含む）のサイバー攻撃による情報漏洩などは、2026年1〜9月の初報で454件。前年同期の304件から49％増えた。公表・報道を集計し、同一事案の続報などを統合した数字で、漏洩の可能性も含む。9月分は暫定値だ。国内の被害すべてを数えたものでも、AIによる攻撃を集計したものでもない。[2]

個別の発表を見ると、数字の受け取り方にも注意が要る。Helpfeelは9月16日に画像共有サービスGyazoの情報漏洩を公表し、10月21日に調査結果を報告した。133人が所有する432件の画像の閲覧・取得を確認した一方、外部送信データ全体の項目・件数は通信内容のログがなく、直接確認できないとしている。侵入経路を遮断してシステムの弱点を修正し、停止後の9月27日にサービスを再開した。[3]

10月20日にはNECが、委託先を通じた被害を明らかにした。9月下旬に攻撃を受けた委託先から認証情報が盗まれ、顧客環境への不正アクセスや、個人情報を含む共有ファイルの漏洩が起きた。人数や件数は公表されていない。影響した顧客に個別連絡し、委託先にNEC管理の端末を貸与するなどの対策を進めている。[4]

GMOインターネットも10月24日、お名前.com デスクトップクラウドの顧客情報が外部に持ち出されたと公表した。個別のログイン情報の取得や不正利用の有無・範囲は調査中だ。全サーバーを停止して調査している。影響し得る26,739サーバーを、漏洩人数と読み替えることはできない。サービス停止は被害拡大を防ぐ措置でもあり、それだけで情報漏洩を意味するわけではない。[5][6]

攻撃にも防御にも使われるAI

この3件について、確認した企業発表は攻撃へのAI関与を認定していない。AIが進歩した時期に事件が増えたからといって、原因までAIだと結び付けるのは早い。

ただし、AIの悪用が想像だけの話でもなくなっている。JPCERT/CCは10月23日更新の注意喚起で、AIを使う侵入テスト基盤を悪用した攻撃試行を確認したと報告した。すべての事件が同じ手法だとはしていない。この区別を保ったうえで、弱点を探す作業が自動化され、攻撃の手間が減る可能性には備えるべきだと思う。[7]

防御側もAIを使える。Gyazoの再発防止策には、AIによるソースコードの静的解析が盛り込まれた。プログラムを実行せず、問題のある記述を探す点検だ。私は、人手だけでは目が届きにくい箇所を調べる補助として価値があると考える。ただ、AIが問題なしと答えれば安全、とは言えない。見逃しや誤検知を踏まえて人が確認し、修正まで進める体制と組み合わせたい。[3]

便利さを選ぶ側にも、提供する側にも

企業に求めたいのは、対策製品の導入だけではない。集める情報を必要な範囲に絞る。不要になったデータは残さない。委託先のアカウントも含め、誰がどこまで触れるかを管理する。IPAや個人情報保護委員会の注意喚起を、現場の点検につなげてほしい。事故が起きたときは、判明した事実と調査中の部分を分け、利用者が次の行動を選べる説明を望む。[8][9]

利用者ができることにも限界はある。サービスの内部まで点検することは難しい。それでも、AIに顧客名簿を丸ごと入力する前に、氏名や連絡先を外せないか考える余地はある。入力内容が学習に使われるか、保存や削除の条件はどうか。無料だからと急いで登録するより、預ける情報を先に決めたい。パスワードの使い回しを避け、多要素認証を利用することも、被害を広げないための備えになる。

AI開発企業には、こうした判断を利用者任せにしない設計を求めたい。データの行き先や保存条件を読み取りやすく示し、必要以上の権限を初期状態で与えない。使いやすさと安全性を別々の課題にしないでほしい。

Project FINDを運営する私にとっても、機能の多さや安さだけを比較するのでは足りない。商用利用やデータの扱いを確認し、分からない条件は分からないまま伝える。その姿勢を比較情報の土台にしたい。掲載されていることは、安全性を保証する印ではない。

AIの発展を止めることが答えだとは思わない。便利になる速度に、守る仕組みと説明を追いつかせる。日本でAIが日常の道具として根付くために、新機能と同じくらい情報管理の仕事が評価されてほしい。預かった情報を減らし、守り、必要がなくなれば手放す。その地道な仕事を後回しにしない社会を望む。