今日もどこかで情報漏えいは起きている。
大きいところでは誰もが社名を耳にしたことがある東証プライム上場企業や霞ヶ関の政府機関、小さなところでは従業員数名規模の企業や市町村役場に至るまで、毎日、あなたの知らないところで漏えい事件は起き続けている。
頼まれもしないのに月ごとの情報漏えいの動向を勝手にウォッチしているゴールデンウィークの谷間のような本連載、今月もSCANに休日出勤である。
●インシデント原因内訳
さて、先月 2026 年 2 月に本誌が取り上げた事故・インシデント記事は 2026 年 2 月の 70 本から 26 本増となる全 96 本だった。あと少しで 100 本の大台に乗りそうだ。事故原因最多は「不正アクセス」で 73 件（ 76.0 ％）を占め、「不正持ち出し」が 8 件（ 8.3％ ）、「システム管理上のミス」が 7 件（ 7.3％ ）で続いた。先月に引き続き「不正持ち出し」が上位に顔を出していることに、日本の将来に不安を感じてしまった。なお、記事として取りあげるインシデントは媒体方針（公知にすることで類似インシデントの発生低減に寄与する可能性の多寡 ほか）に基づいているため、これらの比率は全体傾向を示すものではない。
情報漏えい原因別記事一覧：不正アクセス
https://scan.netsecurity.ne.jp/special/3359/recent/
情報漏えい原因別記事一覧：メール誤送信
https://scan.netsecurity.ne.jp/special/3358/recent/
情報漏えい原因別記事一覧：設定ミス
https://scan.netsecurity.ne.jp/special/3457/recent/
● 被害規模ワースト
3 月に最も件数換算の被害規模が大きかったのは、株式会社穴吹ハウジングサービスによる「穴吹ハウジングサービスへのランサムウェア攻撃、約 496,000 名分の個人情報が漏えいした可能性を否定できず」の約 496,000 名だった。あともう少しで政令指定都市（人口 50 万人以上）に手が届く膨大な数字で、筆者はこんな人口の多い自治体に住んだことは一度もない。
【 2026 年 3 月 被害規模ワーストトップ 3 】
3 位：約13万人の患者情報が漏えい ～ 日本医科大学武蔵小杉病院へのランサムウェア攻撃
原因：不正アクセス
件数：約 131,700 名
https://scan.netsecurity.ne.jp/article/2026/03/09/54788.html
2 位：東海大学委託先 東海ソフト開発へのランサムウェア攻撃、漏えいの対象者数は最大で延べ 193,118 人に
原因：不正アクセス
件数：最大 193,118 人
https://scan.netsecurity.ne.jp/article/2026/03/06/54778.html
1 位：穴吹ハウジングサービスへのランサムウェア攻撃、約 496,000 名分の個人情報が漏えいした可能性を否定できず
原因：不正アクセス
件数：約 496,000 名
https://scan.netsecurity.ne.jp/article/2026/03/16/54843.html
1 位となった「穴吹ハウジングサービスへのランサムウェア攻撃、約 496,000 名分の個人情報が漏えいした可能性を否定できず」だが、2 月 3 日に第 1 報を公表して以来、約 1 ヶ月ほどでその被害規模が明らかになりつつある。なお同社では、保有する情報の一部が外部に漏えいした事実を確認しており、約 496,000 名というのは、現時点で漏えいの可能性が否定できない件数とのことだ。
2 位となったのは、学校法人東海大学の委託先である株式会社東海ソフト開発へのランサムウェア攻撃であるが、東海大学ほどのマンモス大学になると、漏えい人数もマンモス多い（のりピー語）んだなと変な意味で関心させられてしまった。
● よく読まれた記事
3 月の記事閲覧数ベスト 3 は下記の通りである。なお下記の閲覧数は Google Analytics 4 の数値に基づいて掲載している。
1 位となったのは、かつてのナショナルフラッグ・キャリアである日本航空株式会社（JAL）の「誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ～ JAL「手荷物当日配送サービス」システム障害」の 34,723 ページビューであった。1 月から 2 月にかけてSCANを席巻した「通行中の市民がごみステーションで生活保護受給者の申請書を発見」があまりにも桁違いすぎたため見落とされがちだが、SCAN にとって 34,723 ページビューというのは、年に数回あるかどうかの珍事であり、年間トップ 5 も狙える凄い数字で、さすがナショナルフラッグ・キャリアの貫禄だ。
通行中の市民がごみステーションで生活保護受給者の申請書を発見
https://scan.netsecurity.ne.jp/article/2026/01/30/54522.html
さて肝心の内容であるが、本件は当初、「手荷物当日配送サービス」の予約システムへの不正アクセスであると 2 月 10 日に公表していたが、その 1 週間後となる 2 月 17 日に、実は外部からの不正アクセスではなく、システム保守運営の委託先社員が維持管理作業中に誤ってデータを消去し、その誤操作の発覚を恐れて、手荷物システムへのアクセス記録（ログ）からデータの誤消去に係る記録を削除・変更したことが原因であったとの大どんでん返しをくらってしまったというものだ。
本件を引き起こしたのは、"システム保守運営の委託先社員"とのことだが、まさか不正アクセス騒ぎとなって、ナショナルフラッグ・キャリアのサービスが 1 週間止まるとは思ってもおらず、生きた心地がしなかったのではなかろうか。一つウソをつけば、そのウソを誤魔化すためにまたウソをつかなければならなくなり、取り返しがつかなくなる。筆者も以前の職場で、ウソをついてその場を取り繕おうとしたばかりに出入り禁止になった工事業者や、社員の住民税を納付していないのに納めていると言ってしまったがためにウソがばれてその社員と揉めに揉めた社長を見ているので、ミスをした際はすぐに正直に謝り事態の収拾を図るのが 1 番である。
最後に一つ、JALは本件を 2 月 17 日に公表しているが、筆者が 2 月 20 日午後 7 時に確認した時にはもうリリースが見られなくなってしまっていることにも言及しておきたい。流石、最速の交通機関、早い対応である。
2 位の「元従業員、クラウド → メール → 退職後DL の三段階で情報持ち出し」は、株式会社ユナイテッドアローズの元従業員（ 2025 年 12 月 31 日付退社）が、同社が使用するクラウドサーバシステム上の外部連携機能を利用して、個人情報を含む取引先リストや広報・PR活動の取引に関する資料の一部をアップロードし、退職前に個人のメールアドレスにリンクを送付し、退職後の 2026 年 1 月 4 日にそれらを外部PCにダウンロードして持ち出したことが、1 月 6 日に判明したというものだ。よくある情報持ち出しであるが、本件ではユナイテッドアローズが、元従業員に貸与していたPCだけにとどまらず元従業員の"個人PC"にまで外部機関による調査を行ったり、元従業員の転職先と面談を実施し、転職先が元従業員に貸与したPC（転職先PC）の挙動調査とデータ調査に協力する旨の承諾を得ていることも見逃せない。漏えいを絶対に許さないという強い意志を感じるし、つきあわされた元従業員の転職先もとんだ災難だったであろう。
【 2026 年 3 月閲覧数ベスト 3】
3 位：村田製作所に不正アクセス、社外関係者に関する情報が不正に読み出された可能性
8,272 ページビュー
https://scan.netsecurity.ne.jp/article/2026/03/19/54871.html
2 位：元従業員、クラウド → メール → 退職後DL の三段階で情報持ち出し
13,778 ページビュー
https://scan.netsecurity.ne.jp/article/2026/03/26/54914.html
1 位：誤操作の発覚を恐れて委託先社員がログから記録を削除・変更したことが原因 ～ JAL「手荷物当日配送サービス」システム障害
34,723 ページビュー
https://scan.netsecurity.ne.jp/article/2026/03/09/54787.html
● 3 月のカード情報漏えい
3 月は 2 件のクレジットカード情報漏えい事故が本誌メルマガに掲載された。なお、2 件とも同じ株式会社ビューティガレージからの発表であった。
ビューティガレージECサイトに不正アクセス、クレジットカード決済の利用を一時停止し調査
件数：不明
https://scan.netsecurity.ne.jp/article/2026/02/26/54707.html
フォレンジック調査完了は 2026 年 3 月末頃を予定 ～ ビューティガレージECサイトに不正アクセス
件数：不明
https://scan.netsecurity.ne.jp/article/2026/03/11/54816.html
ビューティガレージでは 2 月 6 日に第一報を公表し、カードによる支払いをした顧客に利用履歴を確認するよう呼びかけていたが、2 月 20 日に続報を発表し、まだ調査は完了していないが、現在の状況について明らかにしている。本連載で何度も言及しているが、漏えい懸念発覚から第三者調査機関による調査が完了してから数ヶ月間、長い場合は半年一年とダンマリを決め込むのがあたりまえだったカード情報漏えい時のECサイトのお作法が、確かに変わりつつあるのを感じた。ユーザーが見ているのはインシデントが起こった「後」の対応である。
● 3 月の逮捕・懲戒案件
3 月は情報漏えいに伴う各種処分、逮捕、懲戒、行政指導等にまつわるニュース記事は 5 件だった。
