2026年に発生した主要データ漏えい8件：数百万人に影響、機密情報が流出

2026年に報告された大規模なデータ漏えいにより、数百万人が影響を受けています。教育プラットフォーム、医療機関、保険会社、旅行関連企業などが被害に遭いました。

これらのインシデントは、侵害されたアカウントやサードパーティーによるアクセス、機密情報を保管するシステムの弱点を、攻撃者がどのように悪用できるかを示しています。Privacy Rights Clearinghouse（PRC）は 2026年中間報告書で、年初からの6カ月間に州および連邦に提出された5,429件の通知から、1,969件の個別の漏えいイベントを特定しました。

これらの届出が示す漏えい件数は約3億4,310万件に上ります。ただし、この合計には、Canvasの2億7,500万人のユーザーが影響を受けたとする未検証の主張が含まれています。この主張を除くと、合計は約6,800万件に減ります。PRCは、これらの数字が個人情報の露出件数を示すものであり、必ずしも重複のない個人の数を表すわけではないとも注意を促しています。

以下の8件のインシデントについて、どのような情報が侵害されたのか、報告されている影響人数、そして企業や消費者がこれらの開示から何を学べるのかを見ていきます。

2026年に報告された主要データ漏えい8件

ここで取り上げたインシデントは、報告されている規模、関与した情報の機微性、そして想定される影響の大きさを基準に選んでいます。確認されている最大規模の漏えい8件を順位付けしたものではありません。

数字は公表された規制当局への届出と漏えい報告に基づいています。同一のインシデントについて届出ごとに異なる合計が報告されている場合があり、これらの数を合算して重複のない被害者数を求めることはできません。一部のインシデントは2026年以前に始まりましたが、同年中に開示されたものです。

1. Instructure（Canvas）：2億7,500万人と主張されるも、真の総数は未検証

Canvas学習管理システムを運営する教育テクノロジー企業のInstructureでは、2026年4月から5月にかけて、Canvasに関連する不正な活動が確認されました。

Privacy Rights Clearinghouseは、ウィスコンシン州の漏えい一覧に、影響を受けたユーザーが2億7,500万人と記録されていることを確認しました。しかし同団体は、この数字が攻撃者の主張に由来し、独立した検証を受けていないと判断しています。

同団体の分析では、調査対象とした公開済みの届出から、影響を受けた個人は約1万8,400人と特定されました。ただし、この数字がインシデントの全容を示すものではありません。

流出した情報：PRCによるインシデントの説明では、侵害された情報にはユーザー名、メールアドレス、コース名、履修情報、メッセージが含まれていました。Instructureは、パスワード、生年月日、政府発行の識別情報、金融情報は関与していないと説明しています。

Instructureは5月、 不正行為者と合意に達したことを明らかにし、情報は返却・破棄されたとの保証を得たと述べました。

9月29日の更新で同社は、影響を受けたデータのフォレンジック調査が完了し、残る影響機関への情報提供を準備していると説明しました。この更新では、2億7,500万人が影響を受けたとする総数は裏付けられていません。eSecurity Planetが検証したとおり、恐喝グループのShinyHuntersは、Canvasのインシデントに関連して大学を標的にしました。

重要な理由：教育プラットフォームには、学生、教員、教育機関に関する情報が保存されている可能性があります。学校は、広く利用されているサードパーティーのシステムについて、ベンダーのアクセス権限、アカウント保護、インシデント対応手順を見直す必要があります。

2. DentaQuest：届出により影響人数が1,500万人と2,740万人で食い違う

Sun Lifeが所有する歯科・視力給付の管理会社DentaQuestは、個人情報と健康情報に関わるサイバーセキュリティインシデントを開示しました。

2026年の規制当局への届出によると、権限のない者が5月17日から5月20日にかけて同社のネットワークにアクセスしました。DentaQuestは5月20日にこの活動を発見しました。

報告されている影響人数は、届出によって大きく異なります。米保健福祉省（HHS）は7月16日に1,500万人を記録しましたが、7月17日付のインディアナ州への届出では2,740万人とされています。テキサス州への届出でも1,500万人と報告されました。

入手可能な記録からは、この食い違いの理由が分かりません。そのため、どちらの数字も全米の調整済みの総数として扱うべきではありません。このインシデントは、2026年に報告された医療関連の漏えいとしては最大級の一つです。

流出した情報：漏えい通知の記録では、氏名、住所、社会保障番号、会員識別番号、メディケイドおよびメディケアの番号、歯科・視力に関する健康情報が特定されています。後者には、医療提供者名、診断、治療情報、請求の詳細が含まれていました。

関与した具体的な情報は、個人によって異なります。

重要な理由：医療や保険に関する情報は、長期にわたるプライバシー侵害や個人情報の盗用のリスクをもたらしかねません。影響を受けた個人は、通知の内容を確認し、関与した情報に応じて適切な予防策を講じる必要があります。

3. Aesto Health：950万人超が影響

医療データの移行・アーカイブを手がけるAesto Healthは、約954万人に影響する漏えいを報告しました。

Aestoのインシデント通知によると、不正アクセスは2025年12月2日から12月18日頃にかけて発生しました。同社はその後、関与した情報を調査し、2026年5月に患者記録が露出した可能性を確認しました。

Aestoは2026年6月26日、影響を受けた医療提供者の顧客への通知を開始しました。これらの組織が、該当する患者への通知の判断と実施を担うことになっていました。

eSecurity Planetが報じたとおり、このインシデントでは、Aestoのサービスを利用していた医療機関の患者に関する情報が影響を受けました。

流出した情報：影響を受けた可能性のある情報には、氏名、生年月日、医療記録、健康保険情報、運転免許証番号、金融口座情報、その他の政府発行の識別情報が含まれます。社会保障番号は、限られた数の個人について影響を受けた可能性があります。

具体的な情報は個人によって異なります。

重要な理由：医療機関は、機微な記録の管理をベンダーに頼ることが少なくありません。この漏えいは、ベンダーのアクセス管理、データ保持ポリシー、通知責任の明確化がいかに重要かを示しています。

4. AssuranceAmerica：約700万人のドライバーが影響

Privacy Rights Clearinghouseの中間分析によると、保険会社のAssuranceAmericaは、6,998,886人に影響する漏えいを報告しました。

同社は2026年3月、システムに関わる不審な活動を発見し、その後、顧客情報を含むファイルへの不正アクセスを調査しました。

eSecurity PlanetによるAssuranceAmericaの漏えいの詳報のとおり、約700万人のドライバーが影響を受けました。

流出した情報：漏えい通知に関する報告では、氏名、連絡先情報、運転免許証番号、保険契約およびアカウント情報、車両の詳細、保険金請求関連の記録が特定されています。関与した情報は個人によって異なります。

重要な理由：運転免許証や保険の情報は、なりすましによる詐欺に悪用される恐れがあります。影響を受けた個人は、公式の通知を確認し、追加の個人情報モニタリングやその他の保護措置が必要かどうかを判断する必要があります。

保険会社にとって、このインシデントは、顧客記録へのアクセス制限と、機微なデータベースに対する不審な活動の検知がいかに重要かを改めて示しています。

5. Carnival Corporation：約600万人の顧客が影響

Carnival Corporationは、約600万人の個人情報に関わるサイバーセキュリティインシデントを開示しました。

Carnivalの漏えい通知によると、同社は2026年4月14日に、従業員アカウントに関わる不正な活動を確認しました。

攻撃者はソーシャルエンジニアリングで従業員をだまし、社内システムにアクセスしました。Carnivalは4月22日に、個人情報がコピーされたと判断しました。

その後、 テキサス州司法長官事務所が調査を発表し、この漏えいによる影響は推定600万人、うちテキサス州民は80万人超に上ると報告しました。 eSecurity Planetが先に伝えたとおり、このインシデントは同社の旅行事業全体の顧客に影響しました。

流出した情報：Carnivalは、氏名、住所、メールアドレス、電話番号、生年月日、政府発行の身分証明書番号（運転免許証番号やパスポート番号を含む）を特定しました。

同社は、関与した情報は個人によって異なると強調しています。5月の通知では、影響を受けた記録の分析が続いているとも述べていました。

重要な理由：旅行に関連する個人情報は、犯罪者が巧妙なフィッシングメッセージやなりすましを仕立てる助けになる恐れがあります。顧客は、予約、本人確認、漏えいの補償に関する予期せぬ連絡に注意が必要です。

6. AdaptHealth：410万人超が影響

米保健福祉省の漏えいデータベースによると、医療サービス提供会社のAdaptHealthは、4,115,802人に影響する漏えいを報告しました。

同社は 8月14日の通知で、不正アクセスが2026年6月5日に発生したと説明しました。AdaptHealthがインシデントを発見したのは6月15日です。

先に出された SECへの届出には、サードパーティーの委託業者のユーザーセッションを侵害したソーシャルエンジニアリング攻撃が記載されていました。

流出した情報：影響を受けた可能性のある情報には、氏名、連絡先情報、人口統計情報、健康保険情報、医療記録が含まれます。

AdaptHealthは、社会保障番号、銀行口座情報、決済カード情報は、影響を受けたシステムに含まれていなかったとしています。

重要な理由：サードパーティーのアクセスが侵害されると、自社従業員のアカウントが安全であっても、医療機関にリスクが及ぶ可能性があります。

セキュリティチームは、委託業者の権限、認証の制御、機微な患者情報を保管するシステムの監視を見直す必要があります。

7. Medtronic：380万人超が影響

医療技術企業のMedtronicでは、2026年4月に、一部の社内ITシステムへの不正アクセスが発生しました。

Privacy Rights Clearinghouseの2026年中間報告書は、このインシデントについて影響を受けた個人を3,834,294人としています。PRCの集計は、調査した届出のうち最大の報告値を反映したものです。Medtronicが独自に発表した全米の総数ではありません。

同社は 6月29日の声明で、情報が影響を受けた可能性のある個人への連絡を開始したことを確認しました。

流出した情報：州レベルの通知では、氏名、住所、生年月日、社会保障番号、医療情報などの個人情報が特定されています。具体的な項目は個人によって異なります。

Medtronicは、影響を受けた情報が公にオンライン上へ投稿されたことを示す証拠はないと述べています。

同社はまた、医療機器のセキュリティ、患者の安全、製造、流通、そして製品が意図した治療を提供する能力への影響は確認されていないとしています。

重要な理由：医療技術企業での漏えいは、機器の安全性への懸念を招きかねません。しかし、社内の情報システムへの不正アクセスが、直ちに医療機器の侵害を意味するわけではありません。

セキュリティチームや医療機関は、個人情報の露出が確認された事実と、未検証の運用上・製品上のセキュリティリスクとを区別する必要があります。

8. TriZetto Provider Solutions：340万人超が影響と報告

Cognizantが所有する医療テクノロジー企業のTriZetto Provider Solutionsは、保険資格確認の記録に関わる漏えいを開示しました。

Privacy Rights Clearinghouseの2026年中間報告書は、2026年上半期の規制当局への報告に基づき、このインシデントの影響を受けた個人を3,433,965人としています。

この数字は、2026年2月の米保健福祉省への報告にも登場します。ただし、これらの記録で報告された人数であり、影響を受けた可能性のあるすべての個人を確定的に数えたものとは限りません。

TechTargetによる主要な医療関連漏えいの検証によると、TriZettoは2025年10月に不審な活動を発見しました。調査により、2024年11月にさかのぼる保険資格確認トランザクションの記録への不正アクセスが特定されました。

この漏えいは、その後訴訟に発展しました。 eSecurity Planetは、このインシデントに端を発したCognizantに対する集団訴訟を検証しています。

流出した情報：影響を受けた可能性のある情報には、氏名、住所、社会保障番号、生年月日、健康保険会社名、保険加入者情報、その他の人口統計情報や健康保険の詳細が含まれます。

関与した具体的な情報は、個人によって異なります。

重要な理由：保険資格確認の記録は、機微な個人識別情報と医療関連情報を組み合わせて含むことがあり、個人情報の盗用や不正行為のリスクを生みます。

このインシデントは、機微な記録が長期間アクセス可能な状態に置かれている可能性がある場合に、不正アクセスを迅速に検知することの重要性も示しています。

これらの大規模漏えいが企業と消費者に意味すること

これらのインシデントは業種こそ異なりますが、侵害されたアカウント、ソーシャルエンジニアリング、サードパーティーのアクセス、大量の機微情報の集積といった、繰り返し現れるサイバーセキュリティ上のリスクを示しています。

企業にとって、漏えいの影響は、当面の対応コストにとどまりません。規制当局による調査、訴訟、顧客の不信、業務の混乱にまで及ぶ可能性があります。

消費者が負うリスクは、侵害された情報の種類によって異なります。連絡先情報が露出すればフィッシングのリスクが高まり、社会保障番号や医療情報が侵害された場合は、より広範な保護措置が必要になることがあります。

セキュリティチームが取るべき対策

組織は、これらのインシデントを機に、機微な情報の保護方法を再評価する必要があります。特に、外部ベンダーが取り扱う情報については重要です。

• ID管理の強化：適切な多要素認証を徹底し、特権アクセスを制限し、従業員や委託業者による不審なセッションを監視する。
• ベンダーのセキュリティ見直し：機微な記録にアクセスできる外部組織を洗い出し、その安全対策、インシデント対応能力、通知義務を確認する。
• 不要なデータ露出の抑制：保持期間を最小限に抑え、機微なシステムへのアクセスを制限し、保存された情報に適切な保護を施す。
• インシデント対応手順のテスト：侵害された記録の特定、不正アクセスの封じ込め、影響を受けた個人への速やかな通知を、チームが確実に実行できるようにする。

影響を受けた個人が取るべき対応

漏えい通知を受け取った人は、企業の公式チャネルを通じてその真偽を確認し、侵害されたと特定された情報の内容を確認する必要があります。

認証情報が露出した場合は、パスワードの変更と多要素認証の有効化が適切な第一歩です。社会保障番号やその他の機微な識別情報が侵害された人は、クレジットフリーズや追加の個人情報モニタリングを検討するとよいでしょう。

漏えいに言及した予期せぬメール、電話、テキストメッセージには、慎重に対応する必要があります。犯罪者は、セキュリティインシデントに関する公的な報道を利用して、巧妙なフィッシングを仕掛けることがあります。

結局のところ、漏えいの規模は全体像の一部を語るにすぎません。流出した情報の機微性、不正アクセスの継続期間、組織の対応の速さが、いずれも影響の大きさを左右します。

企業とセキュリティチームにとって、これらのインシデントから得られる最大の教訓は、不正アクセスの防止が引き続き不可欠である一方、侵入された後に攻撃者がアクセスできる情報を限定することも同じくらい重要だという点です。

サイバーセキュリティのヒント：組織がリスクを減らすために実践できる具体的な手順については、データ保護、インシデント対応計画、セキュリティ研修を取り上げたeSecurity Planetの データ漏えい防止ガイドをご覧ください。