2026年、個人情報流出のニュースが相次いでいます。日本の総人口は約1億2,300万人。それなのに、流出規模は「2.6億人分」「3億人分超」という異様な数字になっています。いったい、これはどういうことなのでしょうか。
今回は、日本の最新流出統計と、デジタル先進国デンマークを襲ったサイバー事件から、デジタル社会のセキュリティを考えてみます。
個人情報保護委員会の速報値によると、2026年4月から10月16日までの民間事業者による不正アクセス関連の漏えい報告は2,094件、被害規模は延べ約2億6,000万人分に達しました。
前年度の年間報告件数が約1,256件だったことを考えると、異例の増加です。
さらに、マクニカの調査では2026年1月から10月27日までの流出情報が約3億2,900万件、MM総研の集計でも約3億7,600万件とされています。
なぜ人口を超えるのでしょうか。
理由は「延べ件数」だからです。同じ人の情報が複数の企業やサービスから流出すれば、その都度カウントされます。また、実際に流出した情報だけでなく、流出した可能性を否定できないケースも含まれます。
つまり、2.6億人の異なる人が被害に遭ったという意味ではありません。しかし、個人情報が社会のあちこちに複製・保管され、繰り返し危険にさらされている現実は見逃せません。
2026年10月、デジタル先進国デンマークで衝撃的な情報漏洩事件が発覚しました。
人口約600万人の同国で、氏名、住所、国民識別番号に相当するCPR番号など、約880万人分の情報が不正取得されたのです。登録データには死亡者や国外転出者も含まれています。
事件の侵入口は、政府の中央サーバーではありませんでした。
CPR情報を照会する権限を持つ民間委託企業Pays ApSのアカウントです。攻撃者は元従業員のアカウント情報を悪用。そのパスワードが、なんと「123456」だったというのです。
正規のアクセス権限を利用して約1,400万回もの自動照会を実行し、大量の情報を取得しました。
発覚のきっかけも皮肉です。異常な照会に対する自動警報ではなく、企業に届いた高額な照会手数料の請求書でした。
中央システムの防御が強固でも、委託先の管理が甘ければ意味がありません。まさにサプライチェーン攻撃の典型例です。
一方、日本のマイナンバー制度は、情報を一か所に集約しない「分散管理」を採用しています。
年金情報は年金機構、税情報は自治体、健康保険情報は各保険者という具合に、それぞれの機関が個別に管理しています。
行政機関同士が情報を照会する場合も、12桁のマイナンバーを直接やり取りするのではなく、機関ごとに異なる「機関別符号」を利用します。
この仕組みによって、一つの機関が侵害されても、他機関の情報まで芋づる式に取得されるリスクを抑えています。
また、マイナンバーカードのICチップ自体に、所得や病歴などの詳細情報が記録されているわけではありません。
もちろん、分散管理だから絶対安全ということではありません。各機関や委託先の運用管理には、別のリスクが残ります。
今回の事例から見えてくるのは、セキュリティの弱点が必ずしも高度な技術の中にあるとは限らないということです。
デンマークの事件では、突破口は「123456」という単純なパスワードでした。
どれほど優れたシステムを構築しても、人間の管理ミス、委託先の不備、認証情報の使い回しなど、運用上の弱点は残ります。
では、私たちはどうすればよいのでしょうか。
デジタル化を恐れて拒絶する必要はありません。しかし、国や企業が管理しているから大丈夫と、すべてを無批判に委ねるのも危険です。
パスワードの使い回しを避け、二要素認証やパスキーを活用する。利用するサービスを見直し、必要以上に個人情報を預けない。
そして何より、仕組みとリスクを知ることです。
便利さと安全性は、必ずしも同じ方向には進みません。
デジタル社会を生き抜くために必要なのは、テクノロジーへの盲信でも拒絶でもなく、その仕組みを理解した上で、自分なりの距離感を持つことではないでしょうか。
感想
まだ感想はありません。最初の1件を書きましょう！