マリシャスインサイダー事案が急増、メガ規模データ侵害も相次ぐ:レポート

過去10年間、データ侵害は増加傾向を続けており、今年もその流れを踏襲して過去最多を更新する勢いを見せています。Identity Theft Resource Center(ITRC)による「H1 2026 Data Breach Report」によると、2026年上半期には少なくとも1,803件のデータ漏えい事案が確認されており、この水準で推移すれば年間の総件数は3,600件を超える見通しです。

これらのデータ漏えい事案のうち、確認済みのデータ侵害(漏出・露出・原因不明の事案を除く)は1,394件に上り、全体の77%を占めています。被害通知の件数はすでに4億7,100万件を超えており、この数字は2025年の年間総数をすでに上回っています。まだ今年は半年を残しているにもかかわらずです。現在のペースでは、半年分のデータとはいえ2024年の年間総数を超える可能性は低いものの、2026年はすでに過去最悪クラスの年の一つとなっています。

ITRCがレポートで説明しているように、この背景の一因となっているのが「メガ規模データ侵害」の再来です。最大の事案はInstructure Holdingsが提供するCanvasプラットフォームに関するもので、推定2億7,500万件の通知がこれに起因しています。Under Armourで発生したメガ規模のデータ侵害では7,270万件超の通知が発生し、SoundCloudのデータ侵害でも2,980万件の被害通知が出されました。

今回、データ漏えい事案の上位10件に医療機関関連の事案は一件も入りませんでした。これは、上位5件のうち3件を医療関連のデータ侵害が占めた2025年上半期とは対照的です。実際、米保健福祉省(HHS)の公民権局(OCR)への侵害報告に基づくと、医療分野におけるメガ規模のデータ侵害は今回、比較的少数にとどまりました。2026年上半期に100万件を超える通知が必要となった医療データ侵害は、わずか7件でした。

上半期は超大規模なデータ侵害の報告件数こそ抑えられていたものの、医療分野のデータ侵害は依然として高い頻度で報告され続けています。ITRCの追跡データによると、上半期に発生した医療分野のデータ漏えい事案は281件に上り、387件を記録した金融サービス分野に次いで2番目に多い業種となりました。2025年のデータと比較すると、金融サービス分野のデータ侵害は2025年上半期の396件からわずかに減少した一方、医療分野は2025年上半期の270件からわずかに増加しています。281件の医療データ侵害全体で、1,170万人を超える患者が影響を受けました。現時点(2026年7月23日時点)のOCRデータによると、この数字はすでに2倍以上に増加して2,880万人を超えていますが、それでも昨年の2026年上半期(原文ママ)の医療分野の被害者数4,280万人は依然として下回っています。

ITRCが数年前から報告してきた通り、侵害通知において重要な情報が伏せられる傾向は今回も続いています。ITRCによれば、全通知の76%(1,378件)が攻撃ベクトルに関する情報を含んでいませんでした。攻撃ベクトルの情報を含む通知はわずか24%にとどまり、これはITRCがデータ侵害レポートを作成し始めて以来、過去最低の割合です。ITRCは「この不透明さのために、消費者、企業、政策立案者は自らが実際にさらされているリスクを把握することも、意味のある予防策を講じることもできなくなっている」と説明しています。この数字を比較の観点で見ると、2021年には被害通知の93%に攻撃ベクトルの情報が含まれていました。

ITRCのデータでは、インサイダーによる不正行為の事案が大幅に増加していることも明らかになっています。2026年上半期には21件の事案が確認されており、2025年通年のわずか3件と比べると7倍の増加です。また、ITRCは2026年上半期に14件のゼロデイ攻撃を追跡しており、これは2025年通年の17件に迫る水準です。一方、2026年上半期にサプライチェーン関連の事案として追跡されたのは38件にとどまったものの、これらの事案では2億8,060万件を超える被害通知が必要となりました。ITRCはレポートの中で「サプライチェーンへのサイバー攻撃だけで、影響を受けた事業者206件のうち199件、被害通知の合計2億8,060万件のうち2億8,060万件を占めた」と説明しています。

2026年上半期には、サイバー攻撃がデータ侵害全体の69.7%、被害通知全体の92.3%を占めました。システムおよびヒューマンエラーは侵害の6.9%、被害通知の0.9%を占めています。サイバー攻撃の原因として突出して多かったのはフィッシング/スミッシング/BEC(ビジネスメール詐欺)で157件、次いでシステム・ヒューマンエラーが125件、ランサムウェア攻撃が76件と続きましたが、侵害原因に関する透明性の欠如により402件の事案は依然として分類不能のままです。サイバー攻撃全体の件数は2025年上半期と比較して7.8%減少した一方、ランサムウェア攻撃は4.1%増加しました。