日経225の96%で認証情報が漏れたのはなぜか、退職者のIDも入口になるランサム侵入と警察庁の上半期123件

「大企業の96%」は何を数えた数字か

「大企業の96%が情報漏洩」という言葉は、ジョーシスが2026年6月に公表した調査が元になっています。まず、この数字が何を数えたものかを確かめます。

ジョーシスの調査の中身

ジョーシスは2026年6月11日、「日経225企業におけるサイバーセキュリティに関する調査」を公表しました。日経平均株価の構成企業225社とそのグループ企業を対象に、調査期間は2023年3月1日から2026年6月1日までで、同社のデータ解析ツールで抽出したとしています。

出典：ジョーシス「日経225企業におけるサイバーセキュリティに関する調査」（2026年6月11日）。割合は同社の公表どおりです。

217社という数字は、225社のほとんどで、少なくとも1件は社員の認証情報が見つかったことを示しています。一方で、従業員数に対する割合は2.9%で、100人に3人ほどです。全社員の情報が漏れたという意味ではありません。

読むときの注意、漏えいの「発生」ではなく「流通」の数

ジョーシスは脚注で、件数は「ダークウェブ上などで当該企業の情報として流通している件数」だとしています。あわせて、その会社の情報ではない可能性や、すでに無効になった情報が含まれる可能性があると書いています。

つまり、217社で会社のシステムに不正に入られた、という意味ではありません。社員が業務で使うIDとパスワードが、何らかの経路で外に出て、出回っていることが確認された、という数字です（当社の見方）。会社のシステムそのものからの漏えいとは限らず、社員が使っている外部のサービスからの漏えいや、社員のパソコンの感染なども含まれうると考えられます。

この調査は、経済メディアPIVOTの動画「【大企業の96%が情報漏洩】パスワード変更は無意味？」でも紹介されました。動画では、漏れることを前提に、侵入を防ぎ、流出に早く気づく備えが必要だと論じています。動画はジョーシスの提供です。

退職者のIDも入口になる、ランサム侵入の仕組み

出回っているIDとパスワードは、なぜ危ないのでしょうか。警察庁とIPAの資料から、ランサムウェアの侵入とのつながりを見ます。

警察庁の上半期123件、侵入の約5割はVPN機器

警察庁は2026年9月、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公表しました。ランサムウェアの被害の報告は123件で、統計を取り始めた令和2年下半期以降、半期として最多です。被害の約6割は中小企業でした。

被害組織へのアンケートでは、侵入経路のうちVPN機器が約5割を占めています。警察庁は、攻撃者が「未修正のぜい弱性や漏えいした認証情報等を悪用して組織のネットワークへ侵入する」と説明しています。メールの添付ファイルによる感染は減り、インターネットに面した機器から入る手口が多いとしています。

被害の影響も大きくなっています。復旧に総額1,000万円以上かかった組織は全体の6割で、1か月未満で復旧できた組織は5割弱にとどまります。

出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（令和8年9月）、IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）、IPA「5分でできる！情報セキュリティ自社診断」、埼玉県警察本部サイバー対策課の注意喚起（令和6年3月）。

インフォスティーラーで盗まれ、売買される

IPAは2026年8月3日の資料「企業組織を狙う攻撃メールの手口とその対策」で、インフォスティーラーと呼ばれる情報窃取型マルウェアに感染すると、ブラウザーやメールソフトに保存されたIDとパスワードなどが盗まれるおそれがあると説明しています。盗まれた認証情報は、ランサムウェアの犯行グループなどとの間で売買される場合があるとしています。

同じ資料は、認証情報が盗まれると、リモートアクセスのVPNへの不正な侵入、メールの盗み見によるビジネスメール詐欺、クラウドのファイルへのアクセスなどにつながると整理しています。認証情報を盗んで売る人、それを使って侵入する人、ランサムウェアを実行する人が分かれている、という分業の説明は、前の章で触れたPIVOTの動画で紹介されています。

攻撃メールの文面も変わっています。IPAの「情報セキュリティ10大脅威 2026」は、組織の3位に「AIの利用をめぐるサイバーリスク」を初めて選びました。解説書は、生成AIを使えば、標的の母国語で違和感のないフィッシングの文面を作れるようになったとしています。日本語が不自然かどうかで見分ける方法は、頼りにしにくくなっています。

退職者・委託先・テスト用のIDは消し忘れやすい

出回っているのが今の社員のIDとは限りません。退職した人、異動した人、契約が終わった委託先のIDが残っていれば、本人が使わなくても、そのIDとパスワードで入れてしまいます。

IPAの「5分でできる！情報セキュリティ自社診断」（中小企業の情報セキュリティ対策ガイドライン第4.0版の付録）は、データの共有設定についての対策例として「従業員の異動や退職時には速やかに設定を変更（削除）する」ことを挙げています。ウェブサイトの管理についても、開発やテストで使った不要なアカウントの削除を求めています。

埼玉県警察本部サイバー対策課は、VPN機器の対策として、初期設定の「admin」などのアカウントを変えること、試験的に使った「test」や「demo」などのアカウントを削除すること、ぜい弱性の修正（アップデート）のあとにパスワードを変えることを呼びかけています。

IPAの10大脅威2026の組織編では、「サプライチェーンや委託先を狙った攻撃」が2位です。取引先や委託先のIDで入られることもあるため、契約が終わった委託先のIDや、部署ごとに使い始めたクラウドのサービスのIDも、一覧にして見直す対象になります（当社の見方）。

パスワード変更は無意味か、効く場合と足りない場合

動画のタイトルにある「パスワード変更は無意味？」は、条件によって答えが変わります。総務省とIPAの資料をもとに、場合を分けて整理します。

流出したら変える、定期的な変更は不要

総務省の「国民のためのサイバーセキュリティサイト」は、パスワードを破られたり、サービス側から流出したりした事実がない場合は、パスワードを変更する必要はないとしています。定期的に変えるよりも、機器やサービスの間で使い回さない、固有のパスワードを設定することを求めています。一方で、内閣サイバーセキュリティセンター（NISC）の考え方として、流出したときは速やかに変えることを紹介しています。

出典：総務省「国民のためのサイバーセキュリティサイト」、IPA「企業組織を狙う攻撃メールの手口とその対策」（2026年8月3日）。「当社の見方」の部分は当社の整理です。

PIVOTの動画では、盗まれた情報が売買されて悪用されるまでには時間差があるため、悪用される前の変更には効果があると説明されています。一方で、端末に情報を盗むマルウェアが残っていれば、変えたパスワードもまた盗まれるため、変更だけでは足りないとしています。

多要素認証は必須、ただしログイン後の状態にも注意

IPAは同じ資料で、インターネットから直接アクセスできるサービスには多要素認証を必須にするよう求めています。IPAの自社診断も、VPNや重要なシステムでは、可能な場合に多段階認証、多要素認証、パスキーなどを使うよう案内しています。

ただし、IPAは、偽のサイトを中継する手口では、多要素認証の操作を済ませたあとの「セッションクッキー」が盗まれ、不正なログインにつながるおそれがあるとも説明しています。セッションクッキーは、ログインした状態を保つための情報です。盗まれた疑いがあるときは、パスワードを変えるだけでなく、各サービスの「すべての端末からログアウト」などでログイン中の状態を切ることも確かめます（当社の見方）。

会社が今日から確かめる3つのこと

ここまでの内容を、会社で最初に確かめる順に並べました。大きな費用をかけなくても、いま使っているサービスの管理画面で確かめられることです。

よくある質問

大企業の96%が情報漏洩というのは本当ですか

ジョーシスの調査では、日経225の構成企業225社のうち217社（96.4%）で、2023年3月から2026年6月までに社員の認証情報の流出が確認されました。ダークウェブなどで「その会社の情報として流通している」件数を数えたもので、無効になった情報なども含みうると注記されています。システムに入られた会社の割合ではありません。

認証情報とは何ですか

サービスや社内のシステムにログインするためのIDやパスワードなどの情報です。漏れると、本人になりすまして入られるおそれがあります。警察庁は、ランサムウェアの攻撃者が漏えいした認証情報を悪用して侵入すると説明しています。

パスワードの定期的な変更は必要ですか

総務省は、流出の事実がない場合はパスワードを変える必要はないとし、使い回さない固有のパスワードを設定するよう求めています。流出したときは速やかに変えます。端末がマルウェアに感染した疑いがあるときは、端末の確認を先に行い、安全な端末から変えるのが当社の見方です。

インフォスティーラーとは何ですか

情報を盗むことを目的にしたマルウェアです。IPAは、感染するとブラウザーやメールソフトに保存したIDとパスワードなどが盗まれるおそれがあり、盗まれた認証情報はランサムウェアの犯行グループなどとの間で売買される場合があると説明しています。

退職者のIDはなぜ危ないのですか

使われていないIDでも、IDとパスワードが漏れていれば、本人の知らないところで入れてしまうためです。IPAの自社診断は、異動や退職のときに速やかに設定を変更（削除）するよう求めています。テスト用に作ったIDの削除も、埼玉県警やIPAが呼びかけています。

中小企業も狙われますか

警察庁によると、2026年上半期のランサムウェア被害の報告123件のうち、約6割が中小企業でした。取引先や委託先を足がかりにする攻撃もあり、IPAの10大脅威2026では「サプライチェーンや委託先を狙った攻撃」が組織の2位です。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社は物流資材を扱う会社ですが、2026年10月から、情報漏えいやサイバー攻撃について公表資料で確かめられることを整理する記事を公開しています。当社と同じような中小企業が最初に確かめることを、公的機関の資料をもとにまとめました。