最近、「個人情報が流出した」というニュースをよく目にします。
では、個人情報はいったい、どうやって盗まれているのでしょうか。
実は、その方法は一つではありません。
コンピューターの弱点を利用する
コンピューターやWebサイト、ネットワーク機器などの「弱点」を見つけ、そこからシステムに入り込む方法があります。
2026年9月にデジタル庁が公表した事例では、政府の「ガバメントソリューションサービス（GSS）」に対し、第三者がVPN機器の脆弱性を利用してシステムに侵入。個人情報を含むファイルが外部に漏えいした可能性があり、約24万6,000件が対象となりました。
これは、たとえば鍵の壊れているドアを見つけて入るようなものです。
IDやパスワードを盗んで入る
コンピューターそのものを破る必要もありません。
本人のIDやパスワードなどを手に入れ、本人になりすましてログインする方法もあります。
これは、鍵を壊すのではなく、鍵を盗んで正面から入るようなものです。
企業ではGoogle WorkspaceやMicrosoft 365など、インターネット上のサービスを使って仕事をすることが当たり前になっています。そのため、社員のアカウントが不正に利用されると、メールやファイルなどの情報にアクセスされる可能性があります。
使っているサービスそのものが攻撃される
会社は、自社のコンピューターだけで仕事をしているわけではありません。
メール、クラウド、画像保存、ネットショップ、データ分析など、さまざまな外部サービスを利用しています。
そのサービス自体が攻撃されれば、そこに保存されている情報が流出することがあります。
2026年9月には、画像共有サービス「Gyazo」への不正アクセスが発生し、約2,362万件のユーザーデータと画像に関するメタデータの一部が外部に流出したことが公表されました。
その後の調査では、過去に削除された画像に関するメタデータ約1億7,400万件についても流出が確認されています。
仕事を任せている会社から流出する
さらに、自分の会社ではなく、仕事を任せている別の会社が攻撃されることもあります。
2026年10月には、大和証券が問い合わせ管理などを委託していたスカラコミュニケーションズのサーバーが不正アクセスを受けました。
大和証券の自社システムへの不正アクセスは確認されていませんが、委託先のサーバーに保存されていた情報について、約11万人分の利用者情報などが漏えいした可能性があると発表されています。
つまり、自分の会社ではきちんと情報を守っていても、情報を預けている先から流出することがあります。
「入口」が増えている
昔なら、会社の情報を守るといえば、会社のコンピューターやサーバーを守ることが中心でした。
しかし現在は、
- 会社のコンピューター
- 社員のアカウント
- クラウドやオンラインサービス
- Webサイトやスマートフォンアプリ
- 外部のサービス
- 仕事を任せている会社
- 他のシステムとの接続
など、会社の情報につながっている場所が増えています。
攻撃する側から見れば、コンピューターを直接攻撃する、鍵となるパスワードを盗む、使っているサービスを攻撃する、つながっている別の会社を攻撃するなど、さまざまな方法があります。
便利になった一方で、入口も増えた
デジタル化によって、私たちの仕事や生活は便利になりました。
しかし、その一方で、情報につながる場所も増えています。
「一つのドアをしっかり守ればいい」という時代ではなくなっているのです。
最近の個人情報流出のニュースを見るとき、
「どこの会社から情報が流出したのか」
だけではなく、
「どの入口から情報にたどり着いたのか」
を見ることが重要になっています。
自社のサーバーを守るだけではなく、社員のアカウント、利用しているサービス、クラウド、委託先など、情報につながるすべての入口を考える必要がある。
それが、現在の情報セキュリティの難しさです。
