セキュリティの手引き

最近のサイバーセキュリティインシデント（2026年）｜中小企業が学ぶこと

公開：2026年10月15日／最終更新：2026年10月15日／Moshiru 岡﨑 悠太

この記事は2026年10月時点の内容で、毎月更新します。事例は、組織が自ら出したお知らせか公的機関の発表で確かめたものだけを載せています。社名は出さず、業種と公表日で書きます。以下、インシデントと略します。

公的な統計：2026年上半期の数字

警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）の主な数字です。

• ランサムウェア：被害の報告は123件で、統計を取り始めてから半期として最多です。被害の約6割が中小企業、業種では製造業が約3割でした。
• 復旧：復旧に1,000万円以上かかった組織が6割、1か月未満で復旧できた組織は5割弱です。

• ニセ社長詐欺：経営者になりすましたメールで送金させる手口が、1〜6月で127件、被害額は約38億8,000万円。既遂1件あたり約3,100万円です。
• フィッシング：報告は約73万件（フィッシング対策協議会による）。ネットバンキングの不正送金は253件、約20億7,000万円でした。

事例一覧（2026年10月時点）

入口と影響は、各組織が公表した範囲だけを書いています。「調査中」は公表時点の表記です。出典は最後の「参考にした資料」にあります。

型ごとの学びと、中小企業がやること

ランサムウェア：機器から入られ、業務が止まる

小売の例では、侵入は暗号化より前に起きていました。ITサービスの例は、VPNのアカウントを使われ、2日後に気づいています。暗号化でPOSや会計が止まり、10月9日の第5報で全店の営業再開を伝えています。

• VPN機器を最新にし、多要素認証を入れます。使っていないアカウントは止めます。手順はVPN機器の点検にあります。
• ネットワークから切り離したバックアップを1つ持ちます（バックアップの置き方）。

止まったときの動き方はランサムウェアの初動にまとめています。

不正アクセス：保守用のアカウントが使われる

国の機関の例は、VPN機器の脆弱性から入られ、保守担当者のアカウントで大量のファイルが読まれていました。検知から原因の判明まで約2週間、公表は検知の約2か月半後です。調べ終わるまで時間がかかる、と見込んでおきます。

• 保守会社や制作会社に渡しているアカウントを書き出し、使っていないものは止めます。
• 気づいたときの最初の1時間は不正アクセスに気づいたら、報告の期限は個人情報が漏れたときの報告で確かめます。

委託先・クラウド：自社の外で起きる

10月だけで、クラウド、問い合わせ管理、委託先のPC、予約管理サービスと、自社の外で起きた例が続きました。証券会社の例は自社システムへの侵入はなく、委託先のサーバーから漏れた可能性があるものです。

クラウドの例では、障害を受けた495の企業・自治体のうち、スナップショット機能を使っていた194件がバックアップを取り出せました。

• 委託先とクラウドの一覧を作ります。何を預けているか、連絡先はどこかの2点だけで始められます。聞き方は委託先に聞くことにあります。
• 大事なデータは、クラウドの機能とは別に自社でもバックアップを持ちます。

アカウント乗っ取り・メール：外からの通知で気づく

報道機関の例は、7月下旬からの不正ログインに、8月上旬のサービス提供元からの通知で気づいています。コンビニの例では、メールサーバーから約2日間で約70万件の不審なメールが送られました。

• メールとクラウドに多要素認証を入れ、提供元からの警告メールを誰が見るか決めます。乗っ取られたときはメールが乗っ取られたらを見てください。
• ニセ社長詐欺は、SNSのグループ作りを指示され、口座残高を聞かれ、送金を求められる流れです。送金の指示は電話で本人に確かめます。

送金してしまったときは送金してしまったらで、すぐやることを確かめます。

ECサイトのカード情報：長い期間、気づけない

日用品メーカーの例は、警視庁の指摘で判明し、対象期間は2017年11月から約8年半に及びます。ECサイト構築サービスの例では、購入者情報に加えて、店舗の管理画面のID・パスワードも漏れました。

• サイトの部品を最新にし、管理画面に2段階認証を入れます。構築サービスを使う店舗も同じです。
• 連絡が来た日の動き方はカード会社から連絡が来たらにあります。

設定の不備：直すまでを見届ける

福利厚生サービスの例は、2025年6月の改修で不備が入り、同年10月に社内で気づいたのに直しきれず、2026年7月に利用企業からの連絡で表に出ました。

改修のあとは「他社や他人の情報が見えないか」を確かめ、見つけた不備は直ったところまで記録します。

今月やる5つ

1. 外から入れる機器を書き出す：VPN、リモートデスクトップ、管理画面です。
2. 最新にして多要素認証を入れる：VPNとメールの管理者から先に。
3. 保守会社用と退職者のアカウントを止める。

4. 委託先とクラウドの一覧を作る：預けているものと連絡先だけで構いません。
5. 自社でもバックアップを1つ持ち、戻せるか試す。

原因の全体像は中小企業のインシデントランキングと原因、発覚後の流れは最初の72時間の対応フローにあります。

よくある質問

参考にした資料

1. 警察庁サイバー警察局「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
2. REXT Holdings「当社ネットワークへの不正アクセスによる情報漏えいに関する調査結果及び今後の対応について（第5報）」（2026年10月9日）
3. 両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月）
4. 京王電鉄「ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び」（2026年9月26日）
5. 佐賀大学「事務情報システムにおけるランサムウェア被害の発生について」（2026年9月25日）
6. デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日）
7. IDCフロンティア「当社サービスの一部システムに対する不正アクセスについて」（2026年10月7日）
8. IDCフロンティア「【第5報】不正アクセスによる障害に関する調査の進捗について」（2026年10月14日）
9. 第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日）
10. 大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日）
11. 手間いらず「不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ」（2026年9月28日）
12. 日本経済新聞社「不正ログインによる情報漏洩について」（2026年10月4日）
13. ローソン「当社メールサーバーの不正利用による不審メール送信について」（2026年10月1日）
14. ファイン「弊社ECサイトにおける不正アクセスによる、個人情報流出の可能性に関するお詫びとお知らせ」（2026年7月27日）
15. Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日）
16. ベネフィット・ワン「当社システムにおける個人情報漏えいに関するお知らせとお詫び」（2026年9月30日）