ホーム › 記事 › ランサムウェア1件で、漏えい報告が2,745件になった

ランサムウェア1件で、漏えい報告が2,745件になった

著者：SecBilly　公開 2026-09-21

個人情報保護委員会が四半期ごとに出している「漏えい等報告の処理状況」を、公表が始まった9回ぶん並べました。

件数は四半期あたり4,069件から7,141件の間で動いています。最も多かった四半期は、そのうち2,745件が1つの事案によるものでした。

件数は、事故の数ではありません。

この記事の要点

• 四半期の件数は 4,069〜7,141件で推移している
• 最多の四半期は、1事案の報告が 2,745件を占める
• 委託元にも委託先にも報告義務があるため、こうなる
• 2回以上公表された8四半期のうち、6つが後から書き換わっている
• 最も多い要件は要配慮個人情報で、大半は誤交付

使った数字

出典は1つだけです。

• 個人情報保護委員会「漏えい等報告の処理状況」
• 一覧：https://www.ppc.go.jp/personalinfo/activity/
• 対象：令和6年度第1四半期（2024-08-28 公表）から令和8年度第1四半期（2026-09-02 公表）までの 9回
• 参照日：2026年9月21日

この四半期公表は令和6年度第1四半期から始まりました。それ以前は四半期ごとの実数がなく、令和5年度は年間値を4で割った参考値（3,320件）が載っているだけです。

この件数は「報告された件数」ではありません。各資料の注にこうあります。

漏えい等報告の確報受付後、委員会において処理を完了した段階で件数として計上している。

事故が起きた時期ではなく、委員会が処理を終えた時期で四半期に振り分けられます。後で効いてきます。

なお、四半期ごとの値はその四半期が最後に掲載された公表回の値（最新公表値）を採用しました。理由は後述します。

報告件数の推移

個人情報と特定個人情報は別々に集計されています。まず個人情報です。

• 令和6年度 Q14,565
• 令和6年度 Q24,069
• 令和6年度 Q37,141
• 令和6年度 Q45,232
• 令和7年度 Q15,652
• 令和7年度 Q24,528
• 令和7年度 Q34,635
• 令和7年度 Q44,602
• 令和8年度 Q16,101

各四半期の処理件数（個人情報）。最新公表値。出典：個人情報保護委員会「漏えい等報告の処理状況」

特定個人情報のほうは、1つの四半期だけ形が違います。

他の四半期が64〜113件なのに対し、令和6年度第3四半期だけ1,827件。16〜29倍です。同じ四半期は、個人情報のほうも7,141件で最多でした。

最多の四半期は、1つの事案だった

理由は公表資料に書かれています。原文から引きます。

…社会保険/人事労務業務支援システムを運営するシステム会社のサーバが不正アクセスを受け、ランサムウェアにより、同社のシステム上で管理されていた個人データが暗号化され、漏えい等のおそれが発生した事案（以下「特定労務システム事案」という。）に関し、多数の委託元から報告が寄せられていたところ、当該委託元に対する調査が終了した…ことによるものである

事案が起きたから山ができたのではありません。調査が終わって、まとめて処理されたから山になりました。処理完了の時期で計上する、という先ほどの定義がここで効きます。

この事案に関する報告は、個人情報で2,745件、特定個人情報で1,726件ありました。除くとこうなります。

この3つの数値は令和6年度第3四半期の公表資料（2025-03-05）のものです。その後、総計は個人情報7,141件・特定個人情報1,827件に改訂されています（後述）。事案分の2,745件・1,726件は変わっていません。

除いた4,395件は、前の四半期（4,069件）との差が326件です。7,141件という突出は消えます。

なぜ1件が数千件になるのか

システムを運営していた会社に委託していた企業が、それぞれ報告義務を負うからです。

さらに資料の注には、委託している場合は「原則として委託元と委託先の双方が報告をする義務を負う」とあります。同一の事象について、複数の経路から報告が積み上がります。委託元が実際に何社だったかは公表されていません。

「報告が何件あったか」と「事故が何件あったか」は、別の数字です。

なお特定個人情報の1,726件は、マイナンバーが暗号化されていた等の理由で、報告対象事態には該当しないと判断されています。件数に計上されていても、被害があったとは限りません。

公表された件数は、後から書き換わっている

各回の資料には、その四半期の件数だけでなく、過去の四半期の件数も参考として載っています。9回ぶんを突き合わせると、数字が変わっていました。個人情報の総計です。

2回以上公表された8四半期のうち、6つが書き換わっています。令和7年度第1四半期は、下がって、初出を超えて上がって、また下がりました。

これは隠されていません。9回のうち8回の資料に、注としてこう書かれています。

本資料の計数は公表時点のものであり、「個人情報保護委員会年次報告」等の段階で数値等が改訂される可能性がある。

差は最大で16件なので、傾向は変わりません。ただし、ある時点の記事が引用した数字は、いまの公表値とは違うということです。引くときは、いつ時点の値かを書く必要があります。

この記事の数字も、2026年9月21日時点で公表されている値です。

何が報告されているのか

最新の令和8年度第1四半期の内訳です。個人情報取扱事業者から報告された報告対象事態（5,451件）を、該当する要件ごとに分けたものです。

複数の要件に当てはまる事案があるため、合計は100%を超えます。割合の分母は四半期の総計（6,101件）ではなく、個人情報取扱事業者から報告された件数です。

最も多いのは要配慮個人情報です。その中身について、資料はこう書いています。

今期においては病院や薬局に限らず、損害保険業者における誤交付によるものも目立っている

前の四半期までは「大半は病院や薬局における誤交付」でした。不正アクセスやランサムウェアの話ではありません。渡す相手を間違えた、という事故です。

この数字で言えないこと

• 事故が増えたか減ったかは分かりません。1事案が数千件になる構造がある以上、件数の増減は事故の増減と一致しません
• 処理完了の時期で計上されるので、件数の山は調査が終わった時期を映しているかもしれません
• 報告が増えた理由も分かりません。事案が増えたのか、報告されるようになったのかを、この数字は区別しません
• 9回ぶんしかありません。季節性を判断できる長さではありません

言えるのは、公表された件数がこう動いたということと、その動きの一部は1つの事案と、処理のタイミングで説明がつくということだけです。

まとめ

• 四半期の件数は 4,069〜7,141件。最多の四半期は1事案の報告が 2,745件を占める
• 委託元にも委託先にも報告義務があるため、1つの事故が数千件の報告になる
• 除くと 4,395件で、前の四半期との差は326件
• 公表値は 8四半期のうち6つが後から改訂されている。資料の注にそう書かれている
• 最多の要件は要配慮個人情報（58.6%）で、中身は病院・薬局や損害保険業者の誤交付

四半期ごとに公表されるので、次は令和8年度第2四半期の数字が出ます。そのときに同じ並べ方で更新します。

関連する記事

• 登録セキスペは3年で8,282人が新しく登録したが、総数は4,820人しか増えていない
  IPA の公表値7時点。総数は26,453人だが、新規を足すと引き算が合わない
• 自分の転職活動は、有効求人倍率という指標に1件も入っていなかった
  応募時の有効求人倍率は1.29。ただしこの指標は自分が通った経路を測っていなかった
• 「実務5年以上」を公的統計で調べたら、同じ5年ではなかった
  調べたら根拠は見つからなかった。3職種で形が揃わず、求人の5年と統計の5年は別物だった

面談したエージェントの一覧は転職エージェントの比較にまとめています。よかった3社には紹介料が発生するリンクを置いていません。