【セキュリティレポート】2026年上半期の国内セキュリティインシデントを分析

～サプライチェーン起因の連鎖被害やSNS投稿による情報漏えいを確認～

情報セキュリティメーカーのデジタルアーツ株式会社（本社：東京都千代田区、代表取締役社長：道具 登志夫、以下 デジタルアーツ）は、2026年上半期（1～6月）に国内で公表されたセキュリティインシデントを独自に集計・分類したセキュリティレポートを公開しました。
調査の結果、「不正アクセス」が最多、次いで「マルウェア感染」となりました。いずれもサプライチェーンに起因する連鎖的なインシデントが要因となっています。
また、「業務外利用・不正持出」は2025年下半期比で約1.9倍に増加し、その4分の1を従業員のSNS投稿をきっかけとした情報漏えいが占めました。

詳細なセキュリティレポートはこちら
https://www.daj.jp/security_reports/57/


サプライチェーンを起点とした連鎖的インシデントが継続
2026年上半期（1～6月）国内組織における情報漏えい等にかかるセキュリティインシデントについて、対象組織による公開報告書およびマスメディアによる報道資料をもとに被害や影響を公表した国内組織727件を独自に集計しました。下図は2019年以後の半期毎での集計です。

[画像1]https://digitalpr.jp/simg/1854/139936/500_403_202607241331516a62eab771b4a.png

【図1】国内セキュリティインシデントに起因する公表組織数
（※1） 連鎖インシデントの計上方法： 委託先の被害1件が原因で委託元複数社からも報告があった場合、それぞれを1件として計上しています（例：委託先A社の被害→委託元B・C・D社の報告で計4件）。
（※2） 大規模インシデントの計上方法： 例えば、2023年の社労士向けシステムを提供する企業のランサムウェア被害（個人情報保護委員会への報告は3000件超）は、公開報告書や報道で確認できた組織のみを件数として計上しています。
（※3）過去レポートとの差異： 公開済みのレポートとは数値が異なる場合があります。これは新たに見つかったインシデントの追加や、既存インシデントの更新情報の反映/分類の見直し等を行ったことによります。あらかじめご承知おきください。

2026年上半期は、「不正アクセス」が267件、「マルウェア感染」が153件と依然として多い水準でした。
特に、不動産業向けクラウドサービスへの不正アクセスでは67組織、システムベンダーのランサムウェア被害では自治体や大学など25組織に影響が及びました。


従業員のSNS投稿による情報漏えいが増加、「業務外利用・不正持出」の4分の1に
「業務外利用・不正持出」は前年同期比3.7倍、前期比1.9倍に増加しました。

[画像2]https://digitalpr.jp/simg/1854/139936/500_474_202607241334246a62eb505b1b4.png

【図2】国内セキュリティインシデントに起因する公表組織数、業務外利用・不正持出

このうち55件中14件が、従業員によるSNS投稿をきっかけとした情報漏えいで、「業務外利用・不正持出」の約4分の1を占めました。SNS投稿による情報漏えいの中では、特に写真共有SNS「BeReal.」に起因する事例が話題となりました。業務中に撮影した写真へ機密情報が写り込み、情報漏えいにつながるケースが確認されており、企業・組織には従業員・職員に対する教育だけでなく、撮影ルールや情報が写り込まない環境整備などの対策も求められます。

学校からPTAへの不適切な個人情報提供
また、注目すべき事案として、学校からPTAへの個人情報提供があげられます。学校からPTAへ保護者の同意なく児童・生徒の個人情報を提供していた事案は、公表件数としては3件でしたが、各自治体の調査では合計60校で同様の運用が確認されました。

[画像3]https://digitalpr.jp/simg/1854/139936/500_186_202607241335556a62ebab91ac3.png

【図3】3市の調査内容のまとめ

学校とPTAの長年の運用慣行や、個人情報保護法改正への対応不足などが背景にあると考えられ、今回公表された事例以外にも同様の運用が残っている可能性があり、全国の学校において個人情報の取り扱いを改めて確認することが求められます。

サポート詐欺11件のうち6件が教育機関、中学校では1,000万円の被害も
サポート詐欺は11件確認され、そのうち6件が教育機関で発生しました。中学校では約1,000万円の金銭被害が発生した事例も確認されています。

[画像4]https://digitalpr.jp/simg/1854/139936/500_312_202607241337416a62ec15b7c04.png

【図4】サポート詐欺サイトの例

サポート詐欺は金銭被害だけでなく、遠隔操作ツールを悪用されることで情報漏えいにつながるおそれもあります。企業・組織では、フィッシングやCEO詐欺なども含め、人の心理を狙うソーシャルエンジニアリングへの対策を継続することが重要です。


まとめ
2026年上半期は、サプライチェーンを起点に被害が複数組織へ波及するインシデントが引き続き多く確認されました。一方、SNS投稿による情報漏えい、学校からPTAへの不適切な個人情報提供、サポート詐欺など、日常業務や人の判断に起因する事案も目立ちました。企業・組織には、システムによる防御だけでなく、運用ルールの整備や継続的な従業員・職員に対する教育を組み合わせた対策が求められます。


デジタルアーツの取り組み
デジタルアーツでは、Web・メール・ファイルを対象としたセキュリティソリューションを提供し、サイバー攻撃や情報漏えい対策を支援しています。

■Webセキュリティ「i-FILTER」
安全なWebアクセスを実現するホワイト運用により、不正サイトやサポート詐欺サイトへのアクセスを防止します。
https://www.daj.jp/bs/i-filter/

■メールセキュリティ「m-FILTER」
フィッシングメールや標的型攻撃メールなどの悪性メール対策により、安全なメール利用環境を実現します。
https://www.daj.jp/bs/mf/


デジタルアーツは今後も、国内外の脅威動向を継続的に分析・発信するとともに、安全なインターネット利用環境の実現に貢献してまいります。


本件に関するお問合わせ先
＜本リリースに関するお問い合わせ＞デジタルアーツ株式会社　広報担当　谷崎、十亀、多田　　TEL : 03-5220-1670　press@daj.co.jp

関連リンク
Webセキュリティ「i-FILTER」
https://www.daj.jp/bs/i-filter/
メールセキュリティ「m-FILTER」
https://www.daj.jp/bs/mf/