２０１６年
情報セキュリティインシデントに関する調査報告書～個人情報漏えい編～

第 1.2 版
2017 年 6 月 14 日

NPO 日本ネットワークセキュリティ協会
セキュリティ被害調査ワーキンググループ
長崎県立大学
情報システム学部情報セキュリティ学科© Copyright 2017 NPO Japan Network Security Association (JNSA)

目次
1

要約 ................................................................................................................................... 1
1.1

インシデント件数の減少 ............................................................................................... 1

1.2

インターネット経由の漏えいの増加 ............................................................................. 22

はじめに ............................................................................................................................ 43

報告書について ................................................................................................................. 4

456

3.1

報告書の目的 .................................................................................................................. 43.2

報告書の構成 .................................................................................................................. 5

3.3

調査・分析方法 .............................................................................................................. 52016 年の個人情報漏えいインシデントの分析結果 ........................................................... 6
4.1

概要 ................................................................................................................................ 6

4.2

個人情報漏えいインシデント・トップ 10 ..................................................................... 74.3

業種 ................................................................................................................................ 84.4

原因 .............................................................................................................................. 124.5

漏えい媒体・経路 ........................................................................................................ 164.6

漏えい規模 ................................................................................................................... 204.7

漏えい情報の価値 ........................................................................................................ 224.8

経年分析 ....................................................................................................................... 252016 年 想定損害賠償額の算定結果 ................................................................................ 27
5.1

想定損害賠償総額 ........................................................................................................ 27

5.2

一人あたりの想定損害賠償額 ...................................................................................... 28

5.3

一件あたりの想定損害賠償額 ...................................................................................... 30

お問い合わせ先 ............................................................................................................... 32

7 【付録】インシデント一覧表...........................................................................................付録 17.1

2016 年 個人情報漏えい事件・事故（表Ａ） ..................................................... 付録 17.2

2016 年 個人情報漏えいによる想定損害賠償額（表Ｂ） .................................. 付録 11© Copyright 2017 NPO Japan Network Security Association (JNSA)

改訂履歴
版数発行日

改訂内容

第 1.0 版

2017 年 6 月 14 日

初版発行

第 1.1 版

2017 年 6 月 14 日

図 4-9 の差し替え

第 1.2 版

2017 年 7 月 7 日

表 4-5 の修正
漏えい人数の変更(793 万人→679 万人)に伴う図、表の差し替え© Copyright 2017 NPO Japan Network Security Association (JNSA)ii

JNSA 調査研究部会 セキュリティ被害調査ワーキンググループ
ワーキンググループリーダー
尚通株式会社 NTT データ

井口洋輔

損保ジャパン日本興亜リスクマネジメント株式会社

大溝裕則

サブスクライバ

松山哲也

大日本印刷株式会社

田中洋株式会社 インフォセック

丸山司郎

株式会社ベネッセインフォシェル

山田英史

株式会社ディアイティ

大谷メンバー

協力： 長崎県立大学 情報システム学部情報セキュリティ学科
加藤雅彦

教授

小松文子

教授

阿比留 泰成情報セキュリティ学科 1 年

鈴木海斗

情報セキュリティ学科 1 年

田中雅浩

情報セキュリティ学科 1 年

西山魁人

情報セキュリティ学科 1 年

著作権・引用について
本報告書は、NPO 日本ネットワークセキュリティ協会(JNSA) セキュリティ被害調査ワーキンググループが作成したものである。著作権は当該 NPO に属するが、本報告書は公開情報として提供される。ただし、全文、一部にかかわらず引用される場合は、「（引用）JNSA 2016 年 情報セキュリティインシデントに関する調査報告書」と記述して欲しい。なお、報告書の文書を改変して使用する、あるいは報告書内の集計データを独自に再編して新たなグラフを作成するなど、報告書内の情報を加工して使用する場合は「引用」ではなく「参考」と表記してほしい。また、書籍、雑誌、セミナー資料などに引用される場合は、JNSA のホームページ上にある問い合わせフォームを利用してほしい。
© Copyright 2017 NPO Japan Network Security Association (JNSA)
iii

1

要約
2016 年の個人情報漏えいインシデントを分析した結果、インシデント件数の減少とインターネット経由の漏えいの増加という 2 つの特徴があることがわかった。インシデント件数の減少は、インシデントの公表方針が変化してきていること、インターネット経由の漏えいの増加は、漏えいリスクが紙媒体からインターネットへ変化してきていることが影響していると推測される。以下、それぞれの特徴について説明する。

1.1 インシデント件数の減少
インターネット上から収集できた 2016 年の個人情報漏えいインシデントの件数は、大きく減少している。過去の調査結果と比較して、特に漏えい人数が 1～10 人規模のインシデント件数の減少が顕著である。業種では、公務、情報通信、運輸業からの 1～10 人規模の件数が大きく減っている。これらの業種で実際に 1～10 人規模のインシデントが減っているとも推測できるが、同規模のインシデントを公表しなくなったとも考えられる。インシデントを公表しなくなった要因は、インシデント 1 件あたりの漏えい人数が少ない場合や漏えいした個人情報が暗号化されていた、もしくは機微な情報が漏れていない場合は、公表不要と判断するようになったと思われる。
インシデントを公表しなくなったことは、一概に悪いとは言えない。インシデントを公表する主な目的は、個人情報が漏洩して二次被害が発生するおそれがあるときに、連絡が取れない被害者に対して迅速にリスクを知らせて、二次被害を防止することである。漏えい人数が 1～10 人の小規模なインシデントであれば、迅速に連絡できるため、すぐに公表する必要性は低い。
2014 年から 2016 年の業種別のインシデント件数の変化をみると、公務は 8 分の 1、金融業，保険業は 5 分の 1 に減少している。公務と金融業，保険業
は対策が進んでインシデント件

図 1-1：業種別インシデント件数 (経年)

© Copyright 2017 NPO Japan Network Security Association (JNSA)
1

数が減っていると推測される。しかし、教育，学習支援業のインシデント件数は変化していない。インシデント件数が減少しない原因が対策不足であれば、教育，学習支援業は、セキュリティ対策を進めて欲しい。

1.2 インターネット経由の漏えいの増加
2016 年は、インシデント件数が減っている。特に紙媒体のインシデント件数が大きく減っている。
USB 等可搬記録媒体からのインシデント件数も減る傾向にあるが、教育，学習支援業と医療，福祉における USB 等可搬記録媒体のインシデント件数は高止まりのままである。教育と医療は、USB 等可搬記録媒体からの個人情報漏えい対策を本気で実施するべきである。
他の業種は、USB 等可搬記録媒体からの漏えいインシデント数が減少している。データの保存方法が、USB 等可搬記録媒体からクラウドへ移行が進んでいるのかもしれない。

図 1-2：漏えい経路別インシデント件数 (経年)

© Copyright 2017 NPO Japan Network Security Association (JNSA)
2

インターネット経由の個人情報漏
えいインシデントの件数は、ほとん
ど減少していない。インターネット上では新しい攻撃が次々と発生しているため、他の媒体・経路よりもインシデントが発生するリスクが高いと想定される。インターネット経由の攻撃に対しては、攻撃の変化に対応して現在の対策を見直したり、必要に応じて新しい対策を追加導入したりしなければならない。
大規模なインシデント 1 件の漏えい人数を除くと、漏えい人数は約700 万人で例年並みであった。1 件あたりの平均漏えい人数は、インターネット経由が 13 万人と最も多い。

図 1-3：教育，学習支援業の漏えい経路(経年)

インターネットや USB 等可搬記録媒体、PC 本体からの漏えいは、一度に大量の情報が漏えいしやすく、インシデント 1 件あたりの被害が大きい。近年は、インターネッ
ト経由の漏えいインシデントの件数も多い。たとえば、攻撃者がインターネットへ接続されたサーバの脆弱性やクラウドサービスの設定の不備を悪用したり、パスワードリスト型攻撃を行ったりして、システムへ不正ログインして、個人情報が含まれるデータをすべて持ち出すインシデントが多発している。今後も、攻撃者は継続してインターネット上のサーバを積極的に狙って攻撃し、インターネット経由の情報漏えいが多い状態が続くと思われる。

© Copyright 2017 NPO Japan Network Security Association (JNSA)
3

2

はじめにJNSA セキュリティ被害調査ワーキンググループによる個人情報漏えい事件・事故（以降「インシデント」という）の調査分析は、長崎県立大学 情報システム学部情報セキュリティ学科の協力をいただいて実施している。本調査もこれまでの調査方法を踏襲し、2016 年に新聞やインターネットニュースなどで報道された個人情報漏えいインシデント（以下、インシデントという）の情報を集計し、分析を行った。
この調査データにもとづいた、漏えいした組織の業種、漏えい人数、漏えい原因、漏えい経路などの情報の分類、JO モデル（JNSA Damage Operation Model forIndividual Information Leak）を用いた想定損害賠償額などを分析した結果を報告書にまとめた。インシデントの原因分析も含め、以下に 2016 年のインシデントの集計・分析結果、及び過去 12 年間の蓄積されたデータを元にした経年変化の分析結果を報告する。

3報告書について

3.1 報告書の目的
個人情報は個人情報保護法により保護を義務付けられた情報資産であり、個人情報漏えいは企業の経営者や組織の責任者が認知すべきリスクのひとつである。
このことを踏まえ、当ワーキンググループでは、インシデントにおける「損害賠償の可能性」について、今後の議論の題材になることや、企業経営者が考えるべき情報セキュリティのリスク量の把握や、適切な情報セキュリティに対する投資判断の一助となることを目的として、検討、及び提案を行う。
本報告書は、この目的のために、2016 年一年間に報道されたインシデントを調査・分析し、独自の観点から評価した結果である。

© Copyright 2017 NPO Japan Network Security Association (JNSA)
4

3.2 報告書の構成
本報告書の本編は、さまざまな個人情報漏えいのインシデントを分析した「第 4 章
2016 年の個人情報漏えいインシデントの分析結果」「第 5 章 2016 年 想定損害賠償額の算定結果」から構成される。
「第 4 章 2016 年の個人情報漏えいインシデントの分析結果」では、2016 年の単年データの分析結果、および蓄積された 15 年間分のデータから 2005 年から 2016 年までの 12 年間分のデータを用いた経年分析の結果の解説を行った。2002 年から 2004年までのインシデント情報は公表件数が少なくデータの偏りが大きいため、分析対象から除外した。
「第 5 章 2016 年 想定損害賠償額の算定結果」では、想定損害賠償額の算定結果とその考察結果を解説した。掲載した損害賠償額に関する数値は、当ワーキンググルー
プが独自に開発した算定手法に基づいて算出した推定データであることに注意されたい。
また、本編巻末に「インシデント一覧表」を収録した。

3.3 調査・分析方法
2016 年 1 月 1 日から 12 月 31 日の間に新聞やインターネットニュースなどで報道されたインシデントの記事、組織からリリースされたインシデントに関連した文書などをもとにインシデントの情報を集計した。まず、収集した情報を元に、これまでと同様に漏えいした組織の業種、漏えい人数、漏えい原因、漏えい経路などの分類・評価を行った。次に、独自の算定式（JO モデル）を用いて、想定損害賠償額を算出した。
本調査データは、インターネット上に公開されたインシデントに関する情報を手作業で収集し、記事や文書に書かれた内容から、インシデントの分析に必要な情報を取得している。よって、可能な限り多くの情報を収集するように努力しているが、公表された全てのインシデントの記事を収集できていないことを了承されたい。また、この報告書に対する読者の問い合わせに対応し、結果の一部が誤っていることが判明した場合には、随時これを訂正している。報告書を利用する場合には、JNSA のホームページ上に公開されている最新の報告書を利用していただきたい。

© Copyright 2017 NPO Japan Network Security Association (JNSA)
5

4

2016 年の個人情報漏えいインシデントの分析結果

4.1 概要漏えい件数は、468 件（前年比 320 件減）であった。2014 年から減少傾向である。近年は軽微な個人情報漏えいインシデントの公表が減っているため、件数が少ない。漏えい人数は、約 1,397 万人（前年比 901 万人増）と大幅に増加した。想定損害賠償総額は、約 2994 億円（前年比 262 億円増）となった。大規模なインシデントが 1 件発生したためである。漏えい原因は、「管理ミス」（159 件）が一番多く、「誤操作」（73 件）、「不正アクセス」（69 件）の 3 種類で約 64%を占めた。例
年と異なり、今年は原因の上位 3 番目が「不正アクセス」であった。2016 年の集計結果の概要データは、以下の通りである。
表 4-1：2016 年 個人情報漏えいインシデント 概要データ

漏えい人数

1,396 万 5,227 人

インシデント件数

468 件

想定損害賠償総額

2,788 億 7,979 万円

一件あたりの漏えい人数※1

3 万 1,453 人※1

6 億 2,811 万円

一人あたり平均想定損害賠償額※2

3 万 1,646 円

一件あたり平均想定損害賠償額：平均値は、被害者数が不明のインシデント 24 件を除いて算出している。
：この平均値は一件あたりのばらつきを吸収するため、まず、各インシデントの一人あたりの想定損害賠償額を算出し、そこから全てのインシデントの一人あたりの想定損害賠償額の平均額を算出している。よって、想定損害賠償総額を漏えい人数で割った値
ではないことに注意されたい。
※1※2© Copyright 2017 NPO Japan Network Security Association (JNSA)
6

4.2 個人情報漏えいインシデント・トップ 10
表 4-2 に規模の大きいインシデント・トップ 10 を示す。
2016 年は、一件あたりの漏えい人数が 700 万人を超える大規模なインシデントが 1 件発生した。インシデント・トップ 10 の原因は不正アクセスが最も多い。業種は情報通信業の件数が多い。管理ミスや紛失・置忘れ、誤操作といった人為的ミスは、例年より少ない。
表 4-2：インシデント・トップ 10
No.

漏えい人数業種

原因1679 万人

生活関連サービス業，娯楽業

ワーム・ウイルス298 万人

情報通信業

不正アクセス

381 万人電気・ガス・熱供給・水道業

紛失・置忘れ

４64 万人

情報通信業

不正アクセス５58 万 9463 人

情報通信業

不正アクセス

642 万 8138 人

情報通信業

不正アクセス742 万 1313 人

卸売業，小売業

不正アクセス

835 万人生活関連サービス業，娯楽業

不正アクセス921 万 9025 人

卸売業，小売業

不正アクセス1021 万人

電気・ガス・熱供給・水道業

管理ミス© Copyright 2017 NPO Japan Network Security Association (JNSA)
7

4.3 業種(1)

単年分析（件数）

図 4-1：業種別比率（件数）(2)

経年分析（件数）

図 4-2：業種別件数の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
8(3)単年分析（人数）

図 4-3：業種別比率（人数）

図 4-4：業種別の一件あたりの平均漏えい人数© Copyright 2017 NPO Japan Network Security Association (JNSA)
9(4)箱髭図（人数）

図 4-5：業種別の漏えい人数（箱髭図）(5)

経年分析（人数）

図 4-6：業種別漏えい人数の経年変化（合計）© Copyright 2017 NPO Japan Network Security Association (JNSA)
10

(6)

相関分析

図 4-7：業種別のインシデント件数と漏えい人数© Copyright 2017 NPO Japan Network Security Association (JNSA)
11

4.4 原因(1)

単年分析（件数）

図 4-8：漏えい原因比率（件数）(2)

経年分析（件数）

図 4-9：漏えい原因比率の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
12

(3)

単年分析（人数）

図 4-10：漏えい原因比率（人数）

図 4-11：漏えい原因別の一件あたりの漏えい人数© Copyright 2017 NPO Japan Network Security Association (JNSA)
13図 4-12：漏えい原因の人数区分（件数）(4)

箱髭図（人数）

図 4-13：漏えい原因の漏えい人数（箱髭図）© Copyright 2017 NPO Japan Network Security Association (JNSA)
14

(5)

業種別（件数）

図 4-14：業種別の漏えい原因比率（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
15

4.5 漏えい媒体・経路(1)

単年分析（件数）

図 4-15：漏えい媒体・経路（件数）(2)

経年分析（件数）

図 4-16：漏えい経路比率の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
16

(3)

単年分析（人数）

図 4-17：漏えい媒体・経路（人数）

図 4-18：漏えい媒体・経路別の一件あたりの漏えい人数© Copyright 2017 NPO Japan Network Security Association (JNSA)
17図 4-19：漏えい規模比率(件数)(4)

箱髭図（人数）

図 4-20：漏えい経路の漏えい人数（箱髭図）© Copyright 2017 NPO Japan Network Security Association (JNSA)
18

(5)

業種別（件数）

図 4-21：業種別の漏えい経路比率（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
19

4.6 漏えい規模(1)

単年

図 4-22：漏えい規模比率（件数）(2)

経年分析（件数）

図 4-23：一件あたりの漏えい人数区分の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
20

(3)

業種別（件数）

図 4-24：業種別の漏えい規模比率（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
21

4.7 漏えい情報の価値
(1)

漏えい情報

図 4-25：漏えい情報の出現確率

表 4-3：漏えい情報の出現確率
人数区分

件数

出現確率

氏名

403 件

86.1%

住所246 件

52.6%

電話番号

199 件

42.5%

メールアドレス

132 件

28.2%

生年月日

102 件

21.8%

性別

34 件

7.3%

ID/パスワード

14 件

3.0%

職業7件

1.5%

© Copyright 2017 NPO Japan Network Security Association (JNSA)
22

(1)

漏えい情報の価値分布（ＥＰ図）

図 4-26：シンプル EP 図分布（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
23

(2)

業種別ＥＰ分布

図 4-27：漏えい情報の経済的損失レベル分布（件数）

図 4-28：漏えい情報の精神的苦痛レベル分布（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
24

4.8 経年分析
2005 年から 2016 年の間に収集した 12 年間分のインシデント情報をもとに様々な経年分析を行った。2002 年から 2004 年までのインシデント情報は公表件数が少なく、統計データとしては偏りが大きいため、これらを除外した。
表 4-4：漏えい人数とインシデント件数の経年変化
インシデント件数

漏えい人数

一件あたりの平均漏えい人数※

2005 年

1,032 件

881 万 4,735 人

8,922 人2006 年

993 件

2,223 万 6,576 人

2 万 3,432 人

2007 年

864 件

3,053 万 1,004 人

3 万 7,554 人

2008 年

1,373 件723 万 2,763 人

5,668 人2009 年

1,539 件572 万 1,498 人

3,924 人2010 年

1,679 件557 万 9,316 人

3,698 人2011 年

1,551 件628 万 4,363 人

4,238 人2012 年

2,357 件

972 万 65 人

4,245 人2013 年

1,389 件925 万 4,513 人

7,027 人2014 年

1,591 件4,999 万 9,892 人

3 万 2,797 人

2015 年

788 件

495 万 6,953 人

6,681 人2016 年

468 件

1,396 万 5,227 人

3 万 1,453 人※漏えい人数をインシデント件数（被害者数不明のインシデント件数を除く）で除算する。例えば 2016 年は 468 件から被害者数不明の 24 件を除いた 444 件で漏えい人数を除算した。

図 4-29：インシデント件数と漏えい人数の経年変化（合計）© Copyright 2017 NPO Japan Network Security Association (JNSA)
25

表 4-5：内部不正による漏えい人数の経年変化の割合
内部犯罪・内部不正行為

内部犯罪・内部不正行為以外

2005 年

10.2%

89.8%

2006 年

18.0%

82.0%

2007 年

28.3%

71.7%

2008 年

4.4%

95.6%

2009 年

29.1%

70.9%

2010 年

8.4%

91.6%

2011 年

7.1%

92.9%

2012 年

1.2%

98.8%

2013 年

0.004%

99.996%2014 年

97.3%

2.7%

2015 年

3.7%

96.3%

2016 年

0.6%

99.4%

図 4-30：インシデント件数と内部不正による漏えい人数の経年変化（合計）© Copyright 2017 NPO Japan Network Security Association (JNSA)
26

5

2016 年 想定損害賠償額の算定結果

5.1 想定損害賠償総額
表 5-1：想定損害賠償総額の経年変化
想定損害賠償総額
2005 年

約 5,329 億円

2006 年

約 4,570 億円

2007 年

約 2 兆 2,711 億円

2008 年

約 2,367 億円

2009 年

約 3,890 億円

2010 年

約 1,215 億円

2011 年

約 1,900 億円

2012 年

約 2,133 億円

2013 年

約 1,439 億円

2014 年

約 1 兆 6,642 億円

2015 年

約 2,527 億円

2016 年

約 2,789 億円

図 5-1：想定損害賠償総額と漏えい人数© Copyright 2017 NPO Japan Network Security Association (JNSA)
27

5.2 一人あたりの想定損害賠償額
(1)

単年分析

図 5-2：一人あたりの想定損害賠償額比率（件数）

(2)

経年分析
表 5-2：一人あたりの平均想定損害賠償額
想定損害賠償総額
2005 年

4 万 547 円

2006 年

3 万 6,743 円

2007 年

3 万 8,228 円

2008 年

4 万 3,632 円

2009 年

4 万 9,961 円

2010 年

4 万 2,662 円

2011 年

4 万 8,560 円2012 年

4 万 4,628 円

2013 年

2 万 7,675 円

2014 年

5 万 2,625 円

2015 年

3 万 4,058 円

2016 年

3 万 1,646 円© Copyright 2017 NPO Japan Network Security Association (JNSA)28図 5-3：一人あたりの想定損害賠償額比率の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
29

5.3 一件あたりの想定損害賠償額
(1)

単年分析

図 5-4：一件あたりの想定損害賠償額比率（件数）

(2)

経年分析
表 5-3：一件あたりの平均損害賠償額の経年変化
一件あたりの平均想定損害賠償額(参考)
想定損害賠償総額

2005 年

5 億 3,935 万円

約 5,329 億円

2006 年

4 億 8,156 万円

約 4,570 億円

2007 年

27 億 9,347 万円

約 2 兆 2,711 億円

2008 年

1 億 8,552 万円

約 2,367 億円

2009 年

2 億 6,683 万円

約 3,890 億円

2010 年

7,551 万円

約 1,215 億円

2011 年

1 億 2,810 万円

約 1,900 億円

2012 年

9,313 万円

約 2,133 億円

2013 年

1 億 6,575 万円

約 1,439 億円

2014 年

10 億 8,561 万円

約 1 兆 6,642 億円

2015 年

3 億 2,192 万円

約 2,527 億円

2016 年

6 億 2,811 万円

約 2,789 億円© Copyright 2017 NPO Japan Network Security Association (JNSA)30

図 5-5：一件あたりの想定損害賠償額比率の経年変化（件数）© Copyright 2017 NPO Japan Network Security Association (JNSA)
31

6お問い合わせ先
本報告書に関する引用・内容についてのご質問等は JNSA ウェブサイト上の引用連
絡およびお問合せフォームからご連絡下さい。
※引用のご連絡に対する承諾通知はご返信しておりませんのでご了承下さい。
また報告書についての FAQ もございますので、引用・お問合せの際はご参照下さい。
http://www.jnsa.org/faq/incident.html■お問い合わせフォーム
引用連絡および問合せフォーム
URL： https://www.jnsa.org/aboutus/quote.html© Copyright 2017 NPO Japan Network Security Association (JNSA)
32