2026年8月 個人情報漏洩の事例 まとめ

8月は、講談社や中部電力といった著名企業でフィッシングや不正アクセスを起点にした情報漏洩が相次いだ一方、デジタル庁の運用ミスや大阪公立大学医学部附属病院の取引業者従業員によるスマホ撮影のように、攻撃を伴わない内部要因での漏洩も目立った月でした。静岡県長泉町では職員が公文書約2万枚を無断で自宅に持ち帰る事案が発覚し、懲戒免職に至っています。ランサムウェア関連では、コタやジェックス、日本スウェージロックFSTのように数か月前に発生した事案の個人情報漏洩範囲がようやく確定するケースが相次ぎ、暗号化・窃取の発生と、対象者への通知に至るまでのタイムラグの長さが改めて浮き彫りになりました。

2026年に発生した主要な個人情報漏洩事例を年間で確認したい方は「2026年 サイバー攻撃・情報漏洩の最新事例」をご覧ください。

2026年8月 個人情報漏洩事例インシデント一覧

公表日	組織・対象名	被害の概要	件数・特記事項
8/31	さくらインターネット	管理環境経由の不正アクセス	136万563アカウント
8/28	コロナ	施工情報クラウドへの不正アクセス	最大3.5万人
8/27	01銀行	システムへの不正アクセス	顧客識別情報漏洩、最大100社分
8/27	静岡県長泉町	職員が公文書約2万枚を無断持ち帰り	個人情報含む、流出は未確認
8/26	日本スウェージロックFST	3月事案続報	従業員・取引先担当者が対象
8/25	ハンズホールディングス	6月事案第2報	マイナンバー「閲覧のおそれ」
8/24	アフラック生命保険	漏洩口座情報を金融機関へ提供	約22万人
8/24	朝日放送テレビ・アイネックス	調査結果確定	373件中46件が対象と確定
8/22	「虫退治ドットコム」	決済ページ不正プログラム	15人、うち6人はカード情報も対象
8/20	コタ	3月事案続報	延べ10万9,147件＋株主情報5万5,408件
8/19	ジェックス	2月事案続報	7万7,619件が一時閲覧可能
8/17	ロジックベイン	2025年12月事案続報	約9.7万人
8/12	大阪公立大学医学部附属病院	取引業者従業員が患者X線画像を撮影・持ち出し	13件
8/7	デジタル庁	ログイン履歴ファイルの誤作成	職員150名分
8/4	中部電力	不正アクセス	最大7万4,100件
8/3	講談社	フィッシング被害	二次被害553件
8/1	Eストアー「ショップサーブ」	不正アクセス	最大885万3,839件

内部要因による情報漏洩

静岡県長泉町、職員が公文書約2万枚を無断で自宅へ持ち帰り懲戒免職

静岡県長泉町は8月25日、廃棄対象の公文書を無断で自宅へ持ち帰り、町のコピー機を私的に利用するなどした教育委員会の女性主査を、8月20日付で懲戒免職にしたと公表しました。持ち帰った文書には個人情報を含むものや、町の意思決定・財務事務に関する文書が含まれていましたが、公文書の流出そのものは確認されていません。朝日新聞の報道によれば、持ち帰られた公文書は約2万枚に及び、うち約1万2千枚は公立図書館から借りた推理小説の複写に、町のコピー機の裏面が使われていたとされています。廃棄予定の文書であっても、正式な廃棄処理が完了するまでは組織の管理対象であり、職員が個人の判断で持ち出せるものではないという当たり前の原則が、実際には長期間にわたって崩れていたことになります。物理媒体の廃棄統制がシステム上のアクセス管理と同じくらい重要であることを示す事例です。

▶ 詳細記事：静岡県長泉町職員、公文書約2万枚を無断で自宅へ持ち帰り懲戒免職

大阪公立大学医学部附属病院、取引業者従業員が患者のX線画像をスマホ撮影

大阪公立大学医学部附属病院は8月12日、手術室内で取引業者の従業員が患者情報を含むX線画像をスマートフォンで撮影し、院外へ持ち出していた事案を公表しました。2025年10月、手術室内のモニタに表示された画像が撮影され、対象は13件です。自院の職員ではなく取引業者のスタッフによる持ち出しという点が本件の特徴で、委託先スタッフの院内立ち入り時の私物持ち込みルールや、撮影・記録行為に対する監視体制が課題として浮かび上がります。患者の医療情報は特に機微性の高い個人情報であり、自組織の職員教育だけでなく、出入りする委託業者に対しても同水準の情報管理教育を及ぼす必要があることを示す事例です。

▶ 詳細記事：大阪公立大学医学部附属病院、取引業者が患者のX線画像13件をスマホ撮影し情報漏洩

デジタル庁、ログイン履歴ファイルの誤作成で職員150名分が漏洩

デジタル庁は8月7日、国家資格等情報連携・活用システムの運用において、各資格管理団体の職員150名分の個人情報が漏えいしたと公表しました。外部からのサイバー攻撃ではなく、他省庁へ送付するログイン履歴ファイルを作成する際、本来含めるべきではない利用者情報が混入したという、単純な運用上のミスが原因です。行政のデジタル化を推進する立場のデジタル庁自身がファイル作成プロセスの不備で漏洩を起こした点は、システムのセキュリティ機能だけでなく、日常的なファイル出力・共有作業のチェック体制がいかに見落とされやすいかを物語っています。

▶ 詳細記事：デジタル庁、国家資格等情報連携・活用システムのログイン履歴ファイル誤作成で職員150名の個人情報が漏えい

不正アクセス・フィッシングによる情報漏洩

講談社、フィッシング被害を起点に二次被害553件

株式会社講談社は8月3日、社用の電子メールアカウントへの不正アクセスによる個人情報流出を公表しました。発端は取引先を装ったフィッシングメールで、社員が偽のログイン画面に認証情報を入力したことで7月30日にアカウントが乗っ取られています。窃取された連絡先情報は最大3,812件、このうち553件に対して、乗っ取られたアカウントから二次的なフィッシングメールが送信されました。社員自身は同日中にパスワード変更とセッション削除を行っており初動対応は迅速だったものの、フィッシングリンクのクリックから不正ログインまで3日、そこから二次被害の実際の送信までのタイムラインを見ると、初回の認証情報入力を防ぐ入口対策の重要性が改めて浮かびます。

▶ 詳細記事：講談社、フィッシング被害で社用メールに不正アクセス

中部電力、不正アクセスで最大7万4,100件の情報漏洩の恐れ

中部電力株式会社は8月4日、同社が利用する一部システムへの不正アクセスにより、役職員の電子メールの一部と同社グループの連絡先情報が外部に漏えいした可能性があると公表しました。発覚のきっかけは7月29日、第三者機関からの情報提供で、調査の結果、同社が利用する一部システムの資格情報が不正に利用されていたことが判明しています。対象は最大約7万4,100件の連絡先情報ですが、電力供給システムや電気・ガスの顧客情報を扱うシステムへの不正アクセスの痕跡はなく、電力供給への影響も発生していません。重要インフラ事業者であっても、電力供給の根幹システムと、社内の連絡先情報を扱う一般的なシステムとでは防御の優先度が異なるため、後者からの漏洩がインフラ機能そのものの安全性を意味しないという切り分けを、公表内容から読み取れる事例です。

▶ 詳細記事：中部電力、不正アクセスにより最大7万4,100件の情報漏洩の恐れ

朝日放送テレビ、グループ会社アイネックスの調査結果が確定

朝日放送テレビ株式会社は8月24日、グループ会社の株式会社アイネックスで発生した不正アクセスに伴う調査結果を公表しました。アイネックスでは6月17日、従業員1名のメールアカウントと連携するクラウドサービスへ第三者が不正アクセスし、6月24日に外部への不審なメール送信で発覚しています。この不審メール送信により373件のメールアドレスが漏えいし、うち46件のうち6件が朝日放送テレビの従業員に関する情報だったことが確定しました。当初懸念されていた朝日放送テレビからアイネックスへの委託業務関連情報については、これ以外の漏えいは確認されていません。発覚から調査結果確定まで2か月を要しており、「懸念されていた最悪のケース」と「実際に確定した被害」の間にどれだけ差があったかを丁寧に開示している点が参考になります。

▶ 詳細記事：朝日放送テレビ、委託先アイネックスへの不正アクセスで社員6件の個人情報漏洩の恐れ

「虫退治ドットコム」、決済ページの不正プログラムで15人漏洩

環境機器株式会社は8月22日、通販サイト「虫退治ドットコム」への不正アクセスにより、15人の個人情報漏えいの可能性があると公表しました。不正プログラムは8月11日14時49分から8月18日14時までの約1週間稼働しており、この期間に決済ページへ到達した15人が対象です。うち6人はカード番号・有効期限・セキュリティコード・カード名義人といったカード情報も対象に含まれています。侵入原因はシステムの一部に存在した脆弱性の悪用とみられ、管理者権限が不正に取得されたと判断されています。件数自体は小規模ですが、決済ページへの不正プログラム設置という手口はEC事業者に共通するリスクであり、決済フォームの改ざん検知や定期的な脆弱性診断の必要性を示す事例です。

▶ 詳細記事：環境機器「虫退治ドットコム」に不正アクセス、15人の個人情報漏えいの可能性

Eストアー「ショップサーブ」、最大885万3,839件の購入者情報漏洩

株式会社Eストアーは8月1日、ECサイト構築・運営支援サービス「ショップサーブ」のサーバーへの不正アクセスにより、購入者情報が外部に漏えいしたと公表しました。同一顧客の複数登録データが含まれる可能性があるため、公表件数がそのまま対象人数を示すわけではないものの、規模は最大885万3,839件に及びます。会員ID・パスワードは暗号化された状態で管理されており現時点で悪用の可能性は低いとされていますが、店舗側にはショップサーブ管理画面・メールシステム・FTPのパスワード変更と二段階認証の設定が求められており、利用者側だけでなく店舗運営者側にも対応の負担が生じている点が特徴です。共通基盤を使う多数の店舗が同時に対応を迫られる規模の大きさが、本件を象徴しています。

▶ 詳細記事：Eストアー「ショップサーブ」に不正アクセス、最大885万3,839件の購入者の個人情報漏洩の恐れ

さくらインターネット、136万563アカウントに影響

さくらインターネットは、「さくらのレンタルサーバ」の管理環境を経由して顧客環境へ不正アクセスが行われたことを公表しました。8月9日に異常を検知し、当初583アカウントへの不正ログインとしていた影響範囲は、続報で136万563アカウントにまで拡大し、うち30アカウントではハッシュ化パスワードも対象になったことが判明しています。顧客側のアプリケーションではなく「当社管理環境を経由して」顧客環境へアクセスされたという説明は、ホスティング事業者の管理コンソールが突破されると、そこに紐づく全顧客が一斉に巻き込まれるという構造的リスクを改めて示しています。

▶ 詳細記事：さくらインターネット、「さくらのレンタルサーバ」で不正アクセス

01銀行、システムへの不正アクセスで顧客情報漏洩

０１銀行株式会社は8月27日、システムへの不正アクセスについて、顧客が使用するシステム識別情報とメールアドレスの漏えいを確認したと公表しました。不正アクセス自体は8月17日に検知され、最大100社分が対象です。8月27日時点で影響を受けた顧客の特定はできておらず、二次被害も確認されていません。漏えい情報が「システムが使用する顧客識別情報」という一般利用者にはなじみの薄い項目である点は、システム間連携で使う識別子が漏洩した場合の影響評価が、氏名や住所の漏洩とは異なる難しさを伴うことを示しています。

▶ 詳細記事：01銀行、不正アクセスで顧客の情報漏洩

アフラック生命保険、漏洩口座情報を金融機関へ提供

アフラック生命保険は8月24日、6月に公表した不正アクセス事案に関連し、漏えいした保険料振替口座情報を金融機関側へ提供したことを明らかにしました。対象は約22万人で、金融機関側がすでに保有している口座情報と突合してもらう形での連携です。8月24日時点で情報の不正利用は確認されていませんが、6月30日の第一報から2か月が経過してもなお、二次被害防止のための対応が続いている状況です。漏洩した情報の「種類」によって、事後対応で連携すべき先（今回であれば金融機関）が変わってくることを示す事例でもあります。

▶ 詳細記事：アフラック生命、サイバー攻撃で漏洩した口座情報を金融機関へ提供

ランサムウェア関連事案の続報・確定

コタ、延べ10万9,147件の個人情報と株主情報5万5,408件が閲覧の恐れ

コタ株式会社は8月20日、3月27日に発生したランサムウェア被害について続報を公表し、保存されていた個人情報が第三者に閲覧された可能性を完全には否定できないとしました。対象はクレジットカード情報を除く個人情報延べ10万9,147件、株主情報5万5,408件です。8月20日時点で実際の漏えいや不正利用は確認されていないにもかかわらず、法令に従い対象者への通知に踏み切っている点が特徴で、確証がない段階でも保守的に対応する姿勢の表れといえます。

▶ 詳細記事：コタ、ランサムウェアの被害で延べ10万9,147件の個人情報と株主情報5万5,408件など外部から閲覧の恐れ

ハンズホールディングス、マイナンバーは「閲覧のおそれ」

ハンズホールディングス株式会社は8月25日、6月に発生した社内システムへの不正アクセスについて第2報を公表し、従業員等の個人情報漏えいの恐れを明らかにしました。マイナンバーについては「漏えい」ではなく「閲覧のおそれ」という表現が使われており、暗号化されたデータへのアクセス痕跡はあるものの、実際に内容を読み取られたかまでは特定できていない状況がうかがえます。

▶ 詳細記事：ハンズホールディングス、6月のランサムウェアによるサイバー攻撃により従業員等の個人情報漏えいの恐れ

ロジックベイン、Qilinのリークサイトに掲載を確認

株式会社ロジックベインは8月17日、2025年12月に発覚したランサムウェア攻撃の続報を公表し、保有していた個人情報の一部がダークウェブ上のリークサイトに掲載されていることを確認しました。対象は約9万7,338名で、うち1万7,559名分についてはリークサイトでの公開そのものを確認済みです。発覚から8か月以上を経てようやく漏えいの事実確認に至っており、リークサイトの継続的な監視がいかに長期戦になるかを示しています。

▶ 詳細記事：ロジックベイン、ランサムウェアによるサイバー攻撃で約9.7万人の個人情報漏洩の恐れ

日本スウェージロックFST、従業員や取引先担当者が対象に

日本スウェージロックFST株式会社は8月26日、3月10日に発生した不正アクセス・ランサムウェア攻撃について、データフォレンジックと対象情報の特定作業が完了したと公表しました。従業員や取引先担当者の個人情報が漏えいした、または漏えいしたおそれがあることが判明しています。発生から半年近くを経ての確定であり、フォレンジック調査と対象情報の特定作業に要する期間の長さを改めて示す事例です。

▶ 詳細記事：日本スウェージロックFST、3月に発生したランサムウェアの被害で個人情報漏洩の恐れ

ジェックス、7万7,619件が一時閲覧可能な状態だったと確認

ジェックス株式会社は8月19日、2月に発生したランサムウェア攻撃について調査結果を公表しました。不正アクセスを受けたサーバーに保存されていた顧客の個人情報7万7,619件が、一時的に侵入者から閲覧可能な状態にあったことが判明しています。外部への流出や不正利用は確認されておらず、「閲覧可能な状態にあった」という表現が示す通り、実際にデータが持ち出されたかどうかを技術的に完全には立証しきれない場合があることを表しています。

▶ 詳細記事：ジェックス、ランサムウェアによるサイバー攻撃で顧客情報7万7,619件などが一時閲覧可能に

コロナ、施工情報クラウドへの不正アクセスで最大3.5万人漏洩の恐れ

住宅設備機器メーカーの株式会社コロナは8月28日、施工情報を管理する外部クラウドサービスへの不正アクセスを公表しました。最大3万5,000名分の氏名・住所・施工関連資料が漏えいした可能性があり、ランサムウェアグループMetaEncryptorが約320GBのデータ保有を主張していますが、コロナ側はこの攻撃者への帰属を確認していません。自社が直接管理するオンプレミス環境ではなく、外部クラウドサービスが漏洩の起点になっている点は、委託先・SaaS選定時のセキュリティ評価の重要性を示しています。

▶ 詳細記事：コロナのクラウド環境に不正アクセス 最大3万5,000名の個人情報漏洩の恐れ

---

まとめと対策のポイント

攻撃を伴わない内部要因の漏洩にも、システム上の対策と同水準の統制が必要です。 デジタル庁のファイル誤作成や静岡県長泉町の公文書無断持ち帰りのように、サイバー攻撃を伴わない人的ミス・内部不正による漏洩は後を絶ちません。ファイル出力時のダブルチェック体制や、廃棄対象文書であっても正式な廃棄完了まで組織の管理下に置く運用ルールの徹底が有効です。

委託先・取引業者のスタッフに対しても、自社職員と同水準の情報管理教育が必要です。 大阪公立大学医学部附属病院の事案のように、自社職員ではなく出入りする取引業者のスタッフによる情報持ち出しも発生しています。委託先の従業員が院内・社内に立ち入る際の私物持ち込みルールや、機微情報の撮影・記録行為に対する監視体制の整備が求められます。

「漏えいの確定」に至るまでの長期化を前提とした通知プロセスの設計が必要です。 コタやロジックベインの事案のように、発生から半年〜8か月以上を経てようやく個人情報漏洩の事実が確定するケースが継続しています。確定を待たず、閲覧可能性が否定できない段階で保守的に通知する判断や、確定前の定期的な状況報告を行う体制づくりが、対象者との信頼関係を保つうえで重要です。