情報漏洩の原因ランキング｜広告運用で起きる経路

｜広告運用ノウハウ公開中！

より詳しく知りたい方は資料をダウンロード！

情報漏洩の原因を調べると、「1位はウイルス感染・不正アクセス」「2位は誤送信」といったランキングがいくつも出てきます。ところが調査主体ごとに順位も割合も違っていて、どれを信じればいいのか判断がつきません。

そして広告運用の担当者として知りたいのは、全業種を合算した順位そのものではないはずです。自分が毎日触っている業務のどこが、どの原因に当たるのかがわからないと、手を打つ場所が決まりません。

IPAが2026年1月に公表した「情報セキュリティ10大脅威 2026」を見ると、組織向けの2位に「サプライチェーンや委託先を狙った攻撃」が入り、3位には「AIの利用をめぐるサイバーリスク」が初めて選出されています。この2つは、広告運用の構造にそのまま当てはまります。

この記事では、情報漏洩の原因ランキングをIPAの脅威ランキングで整理したうえで、広告運用で起きる経路を3つに絞り、情シスと運用者のどちらが手を打つ領域なのかまでを分けて解説します。

1. 情報漏洩の原因ランキングは、調査主体で順位が変わる

最初に前提を1つ置きます。「情報漏洩の原因ランキング」という形で出回っている数字は、集計している組織も対象期間も違います。

同じ年の集計でも、公表された事故を件数で数えるのか、漏えいした人数で数えるのか、脅威の深刻度で順位をつけるのかで並びが変わります。件数で数えれば誤送信のような日常的なミスが上位に来やすく、人数で数えれば1件で数百万件が流出する不正アクセスが上位に来ます。

だから「1位は何か」を覚えても使えません。使えるのは、自分の業務がどの原因に当たるかの対応づけです。

本記事では軸をIPAの「情報セキュリティ10大脅威」に置きます。公的機関が公表していて、毎年の順位の動きが追えるためです。

2. IPA「10大脅威 2026」で順位が動いたところ

IPAの10大脅威は、前年に社会的な影響が大きかった事故や攻撃からIPAが候補を選定し、250名規模のメンバーで構成される選考会が審議と投票を経て決定しています。2026年版は2026年1月29日に公表されました（出典：情報セキュリティ10大脅威 2026 - IPA）。

組織編の上位は次の並びです。

順位	脅威	初選出
1	ランサム攻撃による被害	2016年
2	サプライチェーンや委託先を狙った攻撃	2019年
3	AIの利用をめぐるサイバーリスク	2026年（初選出）
4	システムの脆弱性を悪用した攻撃	—

そして7位に「内部不正による情報漏えい等」が入っています。前年は4位だったので、相対的に下がりました。

2-1. 1位のランサム攻撃は、公表事故の半数以上を占めている

公表された情報を確認すると、半数以上がランサムウェア攻撃の被害であると報告されています。ランサム攻撃が「身代金を要求するもの」というイメージで止まっていると見落とすのは、データを暗号化するだけでなく、持ち出して公開すると脅す形が一般化している点です。つまりランサム攻撃は、事業停止と情報漏洩の両方を同時に起こします。

2-2. 2位は「委託先を狙った攻撃」

2位の「サプライチェーンや委託先を狙った攻撃」は、2019年に初選出されてから上位に居続けている脅威です。

狙われるのは本体ではなく、取引のある会社です。守りの固い発注元を直接攻めるより、データを預かっている委託先から入るほうが容易だという構造があります。

広告運用はこの構造の内側にあります。広告主から代理店へ、代理店から制作会社や計測ベンダーへとデータが流れていく形は、まさにサプライチェーンです。

2-3. 3位の「AIの利用をめぐるサイバーリスク」は2026年の初選出

3位は2026年版で初めて入った脅威です。ここで挙げられているのは、AIを攻撃に使われる話だけではありません。AIに対する不十分な理解に起因する、意図しない情報漏えいや他者の権利侵害が含まれています。

生成AIを使ってバナーの文言を作る、レポートの要約を作る、といった作業は、広告運用でもう日常です。そこに何を入力しているかが、脅威として扱われる段階に入ったということです。

3. 広告運用で起きる経路は3つに絞られる

ここまでの順位を、広告運用の業務に当てはめます。経路は3つです。

3-1. 委託の連鎖｜預かったデータが何社を通るか

広告主の顧客データは、1社で完結しません。広告主が代理店に渡し、代理店が制作会社やツールベンダーに渡し、さらに媒体へ投入されます。

このとき問題になるのは、連鎖のどこか1か所が弱ければ全体が抜けるという点です。IPAの2位がここに当たります。預かった側の管理が緩ければ、発注元がどれだけ固めていても漏れます。

誰がどこまで責任を負うかは法律上の立場で変わります。改正の方向性と広告運用への影響は「個人情報保護法改正2026｜広告運用者が押さえるポイントを解説」で整理しています。

3-2. 媒体へアップロードする顧客リスト

広告運用に固有の経路がこれです。カスタマーマッチや類似オーディエンスのために、顧客のメールアドレスや電話番号を媒体にアップロードします。

ここで扱う件数は、他の業務と桁が違います。個人データに係る本人の数が1,000人を超える漏えい等が起きた場合、またはそのおそれがある場合は、それだけで個人情報保護委員会への報告が義務になります（個人情報保護法第26条第1項、同法施行規則第7条第4号）。あわせて本人への通知も必要です（同法第26条第2項）。広告配信用のリストは、1,000人をはるかに超える規模が普通です。つまり、このリストが抜けた時点で報告義務の側に入ります。報告の対象になる事態と手続きは、個人情報保護委員会の漏えい等の対応（個人情報）にまとまっています。

3-3. 生成AIへの入力

IPAの3位に当たる経路です。クリエイティブの案出し、レポートの要約、問い合わせ対応文の下書きといった作業で、生成AIに何を貼り付けているかが問題になります。

顧客名が入った実データ、未公表の実績数値、取引先から預かった資料。これらを入力した時点で、自社の管理外にデータが出ます。AIツールを外部と接続して使う場合の論点は「MCP導入のセキュリティリスクと注意点｜安全に使うためのチェックリスト」で扱っています。

4. 件数の規模を1度見ておく

経路を押さえたうえで、規模感を1度確認しておくと判断が変わります。

2026年秋に公表された2件を並べます。株式会社物語コーポレーションが運営する『焼肉きんぐ』公式アプリでは、会員管理システムへの第三者からの不正アクセスにより、ユーザー登録数10,808,784件のうち10,788,963件が漏えいしました（2026年10月5日公表）。漏えいした情報に含まれるのは、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号です。アプリに登録されているログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしておらず、クレジットカード等の決済情報は同社で保持していないとしています（出典：株式会社物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」2026年10月5日）。

カーシェアリングサービス「タイムズカー」を運営するタイムズモビリティ株式会社では、同サービスのWebシステムへの不正アクセスにより、漏えいしたアカウント数が約660万件であることが公表されました（2026年9月28日公表）。対象はタイムズカー会員と退会済みのお客様（入会を申し込んだものの入会が完了していない方を含む）、およびタイムズビジネスサービス会員と退会済みのお客様です。漏えいした情報として挙げられているのは、氏名、法人会員の所属部署名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報（運転免許証画像 等）、パスワード、連携サービスIDで、パスワードについては復元できない形式で保管しており、当該情報を用いてお客様アカウントが不正に利用される恐れはないとしています。クレジットカード情報については、漏えいしていないことを確認したと公表しています（出典：タイムズモビリティ「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」2026年9月28日）。翌29日には、運転免許証画像等の本人確認書類が漏えいしたアカウント数が約160万件であることが公表されました（出典：同「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」2026年9月29日）。

両社とも、現時点で当該情報が不特定多数に公開された事実および不正利用された事実は確認されていないと公表しています。

ここで見ておきたいのは、報告義務の起点が本人の数1,000人超だという点との対比です（個人情報保護法第26条第1項、同法施行規則第7条第4号）。アプリの会員管理システムや予約サイトが抜ければ、1,000人は一瞬で超えます。広告配信のために作ったリストも同じ規模です。報告は2段階で、事態を知った後に速やかに行う速報と、知った日から30日以内（不正の目的をもって行われたおそれがある場合は60日以内）の確報が必要です（同法施行規則第8条）。確報では漏えいした項目と本人の数、原因、二次被害の有無まで書くことになるため、件数が大きいほどこの期間内に影響範囲を確定させる作業が重くなります。報告の対象になる事態と手続きは、個人情報保護委員会の漏えい等の対応（個人情報）にまとまっています。

5. 情シスと運用者で、手を打つ場所が分かれる

原因がわかっても、全部を運用者が対処できるわけではありません。分界を決めておかないと、どちらも手をつけないまま残ります。

原因	主に手を打つ側	運用者側でやること
ランサム攻撃・脆弱性の悪用	情シス・セキュリティ部門	止まったときの業務手順を決めておく
委託先を狙った攻撃	法務・情シス＋発注の当事者	誰にどこまで渡しているかの棚卸し
AI利用のリスク	運用者（入力しているのは本人）	入れていい範囲の線引き
誤送信・誤表示	運用者	送付前の確認手順

EDRの導入やVPN機器の脆弱性対応は、運用者が決められる領域ではありません。一方で生成AIに何を貼るか、リストを誰に渡すかは、運用者が毎日決めています。ここから手をつけるほうが速いということです。

6. 運用者側で起きやすい2つのつまずき

6-1. 預かったリストの保管場所が決まっていない

• 症状：広告主から受け取った顧客リストが、担当者のダウンロードフォルダ、チャットの添付、共有ドライブの個人フォルダに散らばる。配信が終わっても消されず、担当が変わると誰が持っているかわからなくなります。棚卸しを依頼されても、どこに何件あるか即答できません。
• 原因：リストは「アップロードするための一時ファイル」として扱われるため、保管の対象として設計されていないことが多いためです。広告運用の作業手順には「媒体に投入する」までしか書かれておらず、投入後のファイルをどうするかが決められていません。結果として、消す責任者がいない状態になります。
• 対策：受け取りから削除までを1つの手順にまとめます。具体的には、受領したリストは共有ドライブの指定フォルダにのみ置き、ファイル名に受領日と件数を入れ、投入後の削除予定日を同じ場所に記録します。チャットの添付で受け取った場合も、指定フォルダに移してから元を消します。ここまでを配信開始のチェック項目に入れると、作業の流れの中で片付きます。
• 回避策：リストを手元に置く回数そのものを減らすのが根本的です。媒体の管理画面で直接扱える形や、連携でデータを渡せる形があるなら、ローカルに落とす工程を省けます。落とさなければ散らばりません。棚卸しの手間も、保管しているファイルの数に比例して増えるので、ここを減らすほど後の負荷が下がります。

6-2. 生成AIに入れていい範囲が決まっていない

• 症状：担当者ごとに判断が違い、ある人は顧客名を伏せて貼り、別の人はそのまま貼っている。何を入れたかの記録も残らないため、問題が起きたときに影響範囲を特定できません。「AIは便利だから使っていい」と「情報は入れるな」の両方が同時に言われている状態になります。
• 原因：禁止と許可の二択で考えているためです。「業務でのAI利用を禁止」にすると現場が隠れて使い、「活用を推奨」にすると線引きがないまま入力されます。IPAが3位に挙げている「AIに対する不十分な理解に起因する、意図しない情報漏えい」は、まさにこの状態から起きます。悪意ではなく、判断材料がないことが原因です。
• 対策：データの種類で線を引きます。入れてよいものは、公開済みの情報、自社で作った文章、数値を伏せた構造だけ。入れないものは、顧客名・個人を特定できる情報、未公表の実績数値、取引先から預かった資料。この4つずつを1枚に書いて共有するだけで、判断のばらつきが大きく減ります。迷ったものは入れない側に置くと決めておきます。
• 回避策：伏せる作業を手順に組み込むことです。レポートを要約させるなら、固有名詞を記号に置き換えたテンプレートを用意し、そこに貼り替えてから投げます。毎回の判断をなくすのが目的です。あわせて、使ってよいツールを限定すると接続先が把握できるので、あとから影響範囲を調べられる状態になります。生成した画像を広告に使う場合の権利の確認点は「画像生成AIの商用利用とは？おすすめツールと活用のコツを紹介」にまとめています。

7. Squad beyondで、手元に置くデータを減らす

ここまで見てきたとおり、運用者側の経路は「預かったデータをどこに置くか」と「何を外部に入力するか」の2つに集約されます。どちらも、手元のファイルを増やさないほど安全になるという共通点があります。

LPの作成と改善をSquad beyondの上で進めると、ページの複製・文言の差し替え・結果の確認が同じ環境で完結します。ローカルにHTMLや画像を落として作業し、できたものをどこかにアップロードし直す、という往復が減るぶん、手元に残るファイルも減ります。

計測の設計も同じです。何をどこまで取得するかをページ側で決めておけば、後から「このデータは誰が持っているのか」を追いやすくなります。改正で論点になっている個人関連情報の扱いも、取得の時点で整理しておくほうが後が楽です。

8. 情報漏洩の原因についてよくある質問（FAQ）

9. まとめ

情報漏洩の原因ランキングは、集計している組織と数え方で順位が変わります。件数で数えるか人数で数えるかでも並びが違うため、「1位は何か」を覚えても実務では使えません。

軸として使いやすいのは、IPAが毎年公表している「情報セキュリティ10大脅威」です。2026年版の組織編では、1位がランサム攻撃による被害、2位がサプライチェーンや委託先を狙った攻撃、そして3位に「AIの利用をめぐるサイバーリスク」が初めて選出されました。

この2位と3位は、広告運用の構造にそのまま当てはまります。広告主から代理店、制作会社、計測ベンダーへとデータが流れる形はサプライチェーンそのものですし、生成AIにクリエイティブやレポートを作らせる作業はもう日常です。

経路は3つに絞られます。委託の連鎖、媒体へアップロードする顧客リスト、生成AIへの入力です。このうち後の2つは運用者が毎日自分で決めている領域なので、情シスの対策を待たずに手をつけられます。

やることは2つです。預かったリストを受け取りから削除まで1つの手順にまとめること。生成AIに入れてよいデータと入れないデータを、種類で線引きして共有すること。どちらも、手元に置くファイルを減らすほど負荷が下がります。

　

Squad beyondサービス紹介資料はこちらからダウンロード