最近のデータ流出はAIのせい？2026年の調査と今できる対策

「またデータ流出のニュース？」と感じること、あるよね。AIが広まったことと関係しているのかな、と気になる人も多いと思います。

結論からいうと、AIが攻撃や情報の扱いに新しいリスクを加えていることは、最近の調査でも指摘されています。ただし、流出の増加をすべてAIの普及で説明することはできません。 入口と原因を分けて、対策を選んでいこう。

「最近多い」は、報道・報告・実際の発生を分けて読む

ニュースをよく見かけることと、同じ条件で数えた発生件数が増えたことは別です。記事を読むときは、発生日、発覚日、公表日を区別しよう。

個人情報保護委員会の令和7年度年次報告では、2025年4月1日から2026年3月31日までの、個人情報取扱事業者等に関する漏えい等事案が17,139件と示されています。ただし「漏えい等」は漏えいだけでなく、滅失・毀損や、そのおそれも含みます。不正アクセスだけを集計した数ではありません。

この数字から「日本でAIによるハッキングが17,139件起きた」と読み替えることはできないよ。報告制度、対象、集計期間が違う統計を混ぜて増加率を計算することも避けよう。

個人情報保護委員会の年次報告

最近の調査から見えるAIとの関係

攻撃を速くするAI

IBMの2026年調査では、調査対象の悪意あるデータ侵害の4件に1件でAIを活用した攻撃が報告されています。対象は、2025年3月から2026年2月に世界602組織が経験したデータ侵害です。国内すべての漏えい事故の25%という意味ではありません。

同社は、ディープフェイクによるなりすましや、AIを利用したマルウェアなどを挙げています。これは攻撃の一部にAIが関わるという話で、「AIだけで侵入できた」「AIが唯一の原因だった」とは限りません。

IBMの調査発表

入口は従来からの弱点にもある

Verizonの2026年DBIRの発表では、調査対象の侵害の31%で脆弱性の悪用が入口となり、盗まれた認証情報を上回ったとしています。同発表は2025年のデータに基づく点も明記しています。

AIによって悪用までの時間が短くなるという指摘があっても、守る側が更新、資産管理、認証、アクセス権を後回しにしてよいわけではないね。

VerizonのDBIR発表

混同しやすい「AIと漏えい」の3つの経路

上の表は経路を説明するための想定例です。特定企業の事件をこの原因だと断定するものではありません。

IPAの「情報セキュリティ10大脅威2026」の解説でも、生成AIの業務利用による情報漏えいや、攻撃の容易化・巧妙化が扱われています。

IPAの2026年解説書

AIに渡す前に決めたいこと

「学習に使われない」だけで判断しない

学習への利用、履歴やログの保存、管理者の閲覧、外部アプリへの送信、ファイルの共有範囲は、それぞれ別に確認しよう。有料という理由だけで、業務データを自由に入力できると考えないことも大切です。

氏名だけ消しても、顧客番号やメールアドレス、文脈から本人や案件がわかる場合があります。目的に必要な項目だけ残し、可能なら架空データへ置き換えてね。APIキーやパスワードは入力しない運用にしよう。

AIの連携権限を小さくする

資料を要約するだけなら、メール送信やファイル削除の権限まで必要かを考えよう。外部ページや文書に書かれた指示を、本人からの作業依頼と同じように扱わない設計も必要です。

連携するアカウントは担当業務に合わせて分け、不要になった接続は解除。送信・公開・削除などは、対象と内容を確認できる段階を残すのが実務上の対策になるよ。

IPAのAIセキュリティ案内

個人・制作担当・管理者が始める対策

以下は、CISAの認証・ランサムウェア対策などを踏まえた、編集部の実務向けチェックです。

認証は可能ならFIDO/WebAuthnに基づくパスキーやセキュリティキーなど、フィッシング耐性のある方式を選ぼう。ただし、端末の侵害やセッションの盗難など、別の経路まで防げるという意味ではありません。認証の回復手順や端末管理も合わせて確認します。

更新では、外部公開されたVPN機器やサーバー、CMSなどの把握が先です。担当者と更新の手順を決め、使わない管理画面やアカウントは閉じよう。

バックアップは復旧の助けになりますが、盗まれた情報を取り戻す手段ではありません。通常の運用アカウントから簡単に消せない保管方法と、実際に戻せるかの確認が必要です。

CISAの認証対策 ／ ランサムウェア対策ガイド

流出の知らせが届いたら

利用者側

1. 通知内のリンクをそのまま押さず、普段使う公式アプリや公式サイトから確認する。
2. 公表された対象情報と、自分が対象かを確認する。未確定の範囲も分けて読む。
3. 認証情報の流出が疑われる場合は、安全な端末から変更し、使い回し先にも対応する。
4. ログイン履歴、セッション、連携アプリ、メール転送設定などを確認する。
5. 便乗した電話やメールに注意し、金銭や本人確認書類の要求は別経路で確かめる。

運営者側

時刻、対象システム、観測した状況を記録して、担当者や委託先へ連絡します。侵害が疑われる端末はネットワークから切り離すなど拡大を抑え、ログを残そう。自己判断で初期化や証拠削除を進めず、専門担当と対応を決めてください。

通知・報告の要否は、対象情報と事案の内容で確認が必要です。個人情報に関する場合は、個人情報保護委員会などの最新の案内に沿って判断しよう。

原因を決めつけず、経路ごとに対策する

最近の調査は、AIの関与が無視できないことを示しています。一方で、個別事件についてAI利用が確認されていなければ「AIが原因」とは書けません。

AIへの入力と連携を管理すること。従来の認証・更新・共有設定も整えること。 どちらも進めると、実際に減らしたいリスクが見えてくるよ。