はじめに

情報漏洩が止まりません。企業への不正アクセスやランサムウェア被害、個人情報の流出に関するニュースが相次いでいます。2026年10月7日には、個人情報保護委員会が大規模な漏洩事案を踏まえた注意喚起を公表しました。¹

しかし、ここで一つ気になることがあります。

漏洩した個人情報は、その後どうなっているのでしょうか。

何十万件、何百万件という個人情報の漏洩が発表されても、その情報が後にどう悪用されたのか、どれほどの二次被害につながったのかについては、あまり目にする機会がありません。

もちろん、詐欺や不正ログインの被害が発生していないわけではありません。問題は、それらの犯罪と過去の情報漏洩とのつながりが見えにくいことです。

さらに、近年はAIの性能が急速に向上しています。大量の情報を整理し、文章を生成し、複数の作業を自動化できるAIは、正当な業務を効率化する一方、犯罪にも悪用される可能性があります。

情報を盗み出すことだけでなく、盗み出した情報を加工し、別の犯罪へ転用する工程でも、AIが利用されているのではないでしょうか。

本稿では、2026年10月22日時点で公開されている警察庁、個人情報保護委員会、Europolなどの一次資料をもとに、情報漏洩の次に何が起きるのかを分析します。そのうえで、AI時代に想定される犯罪の変化を仮説として整理し、個人と企業が取るべき防御策を考えます。

なお、公開資料から確認できる事実と、そこから導く推察は明確に区別します。

1. 情報漏洩と詐欺被害は、本当に増えているのか

1-1. 情報漏洩の報告が、すべて増えているわけではない

まず、情報漏洩が急増しているという印象について、統計から確認してみます。

個人情報保護委員会の2025年度年次報告によると、民間の個人情報取扱事業者等に関する漏洩等報告の処理件数は17,139件でした。前年度の19,056件から減少しています。²

ここで注意したいのは、この数字が個人情報の漏洩等に関する報告の処理件数であり、報道された大規模事件の件数や、実際に流出した人数の合計ではないことです。

直近で大規模な事件が相次いでいるからといって、年間の漏洩件数も急増しているとは限りません。また、報告件数の減少が、そのまま被害リスクの低下を意味するわけでもありません。

1-2. 一方で、詐欺被害は拡大している

警察庁が2026年10月2日に公表した統計では、2026年1月から8月までの特殊詐欺被害は次のようになっています。³

指標	2026年1〜8月	前年同期比
認知件数	29,687件	14.4%増
被害総額	2,360.7億円	33.2%増
SNS型投資詐欺の被害額	937.4億円	53.8%増
ニセ警察詐欺の被害額	728.6億円	27.0%増
SNS型ロマンス詐欺の被害額	325.8億円	0.8%増

※警察庁公表の暫定値。2026年から特殊詐欺の手口分類が変更されており、前年同期比は同庁の公表値を使用しています。

認知件数よりも被害総額の増加率が大きくなっています。これは、一件当たりの被害額の変化を考えるうえで注目すべき傾向です。

ただし、ここで重要なのは、詐欺被害の増加と、最近の情報漏洩による二次被害の増加は、同じ意味ではないということです。

これらの統計だけでは、詐欺に使われた個人情報がどこから入手されたものなのかはわかりません。攻撃者が電話番号を無作為に生成した可能性もあれば、公開情報、過去の漏洩データ、別の犯罪で得られた情報などを利用した可能性もあります。

1-3. フィッシングには、気になる兆候がある

フィッシング対策協議会が2026年10月19日に公表した月次報告では、同年9月のフィッシング報告件数は94,661件となり、前月から約15.0%増加しました。⁴

さらに、この報告には興味深い記述があります。

2026年9月には、サイバー攻撃による情報漏洩の公表が相次いだ一方、フィッシングメールの本文に受信者の氏名が記載されている事例が確認されたというものです。ただし、協議会は漏洩事件との関連性については不明としています。

また、AIにメール文面の作成を指示したと思われるプロンプトが本文に残っている例も報告されています。

これは、AIが犯罪に利用されている可能性を考える材料になります。ただし、不自然な文章やAIの指示らしき記述があるだけで、個々の攻撃に使用されたAIモデルや、情報の入手経路が確定するわけではありません。

現時点では、情報漏洩とフィッシング、AI悪用のそれぞれに実例や兆候が見られるものの、それらを一つの因果関係として結び付けるには追加の証拠が必要です。

2. 盗まれた情報は、どこへ行くのか

2-1. ダークウェブでの情報売買は、既に存在する

2025年6月、欧州刑事警察機構（Europol）はサイバー犯罪の脅威評価レポート「Steal, Deal, Repeat」を公開しました。⁵

このレポートでは、盗まれた個人情報や認証情報、不正に取得したシステムへのアクセス権などが犯罪者間で売買され、別の犯罪へ利用される構造を分析しています。

実際、米国司法省が2026年3月に公表した事件では、犯罪市場「Genesis Market」から約2,500件の盗難ログイン情報を購入し、不正な金融取引などに利用した人物への有罪判決が報告されています。⁶

このように、情報を盗み出す人物と、それを悪用する人物が同一とは限りません。

また、こうした取引はダークウェブだけに限定されません。犯罪者が使用する掲示板、メッセージングサービス、会員制の市場など、情報の流通経路は複数存在します。

重要なのは、盗み出された情報そのものが、別の犯罪を行うための商品になっているという点です。

2-2. AIによって、犯罪の分業がさらに効率化される可能性

ここからは仮説です。

従来、盗まれた情報を詐欺に利用するためには、情報を整理し、使えるデータを選別し、ターゲットを決め、詐欺の文面を作成するといった作業が必要でした。

しかし、AIを利用すれば、その一部を自動化できます。

例えば、氏名、メールアドレス、電話番号、住所、勤務先、購買履歴などの情報が複数の漏洩事件から集められた場合、形式の異なるデータを整理し、同じ人物と思われる情報を突き合わせる作業を支援できます。

そして、その情報をもとに、対象者に合わせた詐欺メールや偽の案内文を生成することも技術的には考えられます。

ただし、異なるデータから同一人物を正確に特定できるとは限りません。誤った名寄せが発生する可能性もあります。

情報漏洩から二次被害に至るまでの想定経路を整理すると、次のようになります。

企業・サービスからの情報流出
          │
          ▼
盗難データの保管・売買・再流通
          │
          ▼
データの整理・結合・対象者の選別
          │
          ├── 従来の手作業や専用ツール
          │
          └── AIによる処理支援・自動化
          │
          ▼
攻撃対象に応じた手口の選択
          │
          ├── フィッシング
          ├── なりすまし
          ├── 不正ログイン
          ├── 不正送金・決済
          └── 企業への再侵入・恐喝

※AIの利用は必須の工程ではありません。また、すべての漏洩情報がこの経路をたどるわけではありません。

2-3. AIの犯罪利用は、すでに確認されている

AIの犯罪利用そのものは、単なる想像ではありません。

Google Threat Intelligence Group（GTIG）は2026年9月8日、AIを悪用したサイバー攻撃の調査結果を公表しました。2026年第2四半期には、攻撃者が侵害したクラウドリソースを利用し、6時間未満でAIエージェントによる大規模な認証情報収集を計画・構築・実行した事例を観測しています。⁷

また、OpenAIは2026年7月31日、カンボジアを拠点とする犯罪組織が、投資詐欺、ロマンス詐欺、法執行機関へのなりすましなどにChatGPTを悪用していた事例を公表しています。⁸

つまり、AIが犯罪に利用されることも、攻撃作業の自動化に利用されることも、既に確認されています。

ただし、これらの実例は、最近の日本国内における個々の情報漏洩事件がAIによって引き起こされたことを示すものではありません。

ここでの仮説は、AIが新しい犯罪を生み出すというよりも、既存の犯罪を実行するための時間や費用を削減し、実行規模や個別対応力を高める可能性があるというものです。

3. 情報漏洩の次に起きる、6つの犯罪シナリオ

では、これから何が起きるのでしょうか。

既存の犯罪傾向とAIの技術的な能力から、想定されるシナリオを整理します。

シナリオ	想定される変化	防御上の優先度
漏洩通知を装う詐欺	実際の漏洩事件を口実に本人確認や補償手続きへ誘導	高
認証情報の再利用	漏洩したID・パスワードを他サービスで使用	高
個別化された詐欺	氏名、住所、取引情報などに合わせて文面を生成	高
企業へのなりすまし侵入	従業員や取引先を装って業務システムに接近	高
音声・映像の偽装	AIによる声や映像を本人確認に悪用	中
複数漏洩データの結合	過去の漏洩情報を長期保管し、別の犯罪に再利用	中

※優先度は発生確率の予測値ではなく、既存の攻撃実績、実行可能性、被害の大きさを踏まえた防御上の評価です。

3-1. 漏洩事件そのものが、詐欺の口実になる

例えば、利用しているECサイトで個人情報の漏洩が発表されたとします。

その後、利用者に対して、情報漏洩に伴うパスワード再設定や被害補償の手続きと称するメールが届いたらどうでしょうか。

実際に漏洩事件が発生しているため、通常よりも信用してしまう可能性があります。

これは、実在する事件やニュースを利用して偽の案内に信憑性を持たせるという、既存のフィッシング手法から十分に想定されるものです。

漏洩元企業には、公式の連絡方法だけでなく、メールや電話で要求しない操作についても周知することが求められます。

3-2. パスワードの使い回しが、別サービスの被害につながる

漏洩したメールアドレスとパスワードを、別のサービスへのログインに試す攻撃は、リスト型攻撃、またはCredential Stuffingと呼ばれます。

この攻撃は既に存在しており、AIがなくても実行できます。IPAも、不正ログインへの対策としてパスワードの使い回しを避け、多要素認証を利用するよう注意喚起しています。⁹

この場合、情報漏洩を起こしたサービスが復旧しても、別のサービスで同じパスワードを利用していれば、被害が継続する可能性があります。

特にメールアカウントは重要です。メールが乗っ取られると、他サービスのパスワード再設定や認証手続きにも悪用されるおそれがあります。

3-3. 大量送信から、個人に合わせた詐欺へ変化する

従来の詐欺メールは、大量に送信し、そのうち一定数が反応することを期待する手法が一般的でした。

しかし、漏洩した個人情報を利用できれば、相手の氏名や購入履歴、勤務先、役職などに合わせた内容を作成できる可能性があります。

例えば、実際に利用しているサービスからの連絡に見せかけたり、普段の業務で取引している企業を装ったりすることが考えられます。

AIがこうした個別対応の作業負荷を下げた場合、詐欺メールの総数が増えなくても、成功率や一件当たりの被害額が上昇するという仮説が成立します。

ただし、現時点では、その変化をAIの普及によるものだと結論付けるだけの国内統計は確認できていません。

3-4. 盗まれた情報が、別の企業への侵入に利用される

2026年1月、Googleの脅威調査チームは、攻撃者が企業のIT担当者を装って従業員に電話し、認証情報や多要素認証コードを取得してSaaS環境へ侵入する事例を報告しました。¹⁰

SaaSとは、クラウド上で提供されるソフトウェアサービスのことです。

この事例では、ソフトウェアの脆弱性を突くのではなく、従業員を騙して正規の認証情報を取得する手法が用いられています。

今後は、漏洩した従業員情報や取引先情報が、こうした攻撃の準備に利用される可能性があります。

つまり、ある企業から漏洩した情報が、別の企業への攻撃の足掛かりになることも考えられます。

3-5. 声や映像による本人確認の信頼性が低下する

AIによる音声合成や映像生成の進化も、警戒すべき要素です。

電話で上司の声に似た音声が聞こえたり、オンライン会議で取引先の担当者に似た映像が表示されたりしても、それだけで本人だと確定することは難しくなります。

ただし、現時点で日本国内の詐欺被害増加の主因がディープフェイクであると断定できる資料は確認できていません。

このため、音声・映像による偽装を新たなリスクとして考慮しつつ、既に大きな被害が発生している電話詐欺やフィッシングへの対策を優先することが合理的です。

3-6. 過去の漏洩情報が、何年後も悪用される

最後は、長期的な問題です。

例えば、ある事件ではメールアドレスが漏洩し、別の事件では住所と電話番号が漏洩したとします。さらに別の情報源から勤務先や役職が判明すれば、それらを組み合わせて本人に関する情報を充実させることが可能になります。

こうした情報の結合は以前から行われてきましたが、AIによって異なる形式のデータを整理し、関連性を調べる作業の負荷が下がる可能性があります。

仮に漏洩元のシステムが完全に復旧しても、一度流出した氏名や住所、生年月日などは、パスワードのように簡単には変更できません。

情報漏洩が長期的なリスクになる理由は、まさにここにあります。

4. 防御策を変える――漏洩防止だけでは足りない

情報漏洩を防ぐことは、これからも重要です。

しかし、漏洩後の悪用を考えるなら、従来の防御策に加えて、情報が盗まれても、それだけでは不正な操作を完了できない仕組みを整える必要があります。

4-1. 個人は、漏洩した情報の種類によって対応を変える

まず、何が漏洩したのかを確認することが重要です。

漏洩した情報	主なリスク	対応策
メールアドレス	フィッシング、迷惑メール	公式アプリやブックマークから確認
氏名・電話番号	なりすまし電話	公式窓口への折り返し確認
住所・購入履歴	配送や請求を装う詐欺	注文履歴と請求内容の照合
ID・パスワード	不正ログイン	パスワード変更、使い回し解消、多要素認証
クレジットカード情報	不正決済	カード会社へ相談、利用通知の確認
本人確認書類の画像	不正な本人確認手続き	関連事業者への相談、不審な通知や契約の確認

特に、複数サービスでパスワードを使い回している場合は、優先的に解消すべきです。

また、対応するサービスでは、パスキーなどのフィッシング耐性を持つ認証方式を利用することも有効です。パスキーは公開鍵暗号を利用した認証方式であり、偽サイトにパスワードを入力させる攻撃への耐性があります。

ただし、パスキーを設定すればすべての攻撃を防げるわけではありません。アカウントの復旧方法、端末の保護、認証方式の追加・変更手続きなども適切に管理する必要があります。

4-2. 企業は、認証された利用者も無条件に信用しない

企業では、ゼロトラストの考え方が重要になります。

ゼロトラストとは、社内ネットワークや一度認証された利用者だからといって無条件には信用せず、状況に応じてアクセスの正当性を継続的に検証する考え方です。

防御領域	具体的な対応	主な目的
認証	フィッシング耐性MFA、パスキー	盗難認証情報による侵入を抑制
端末	EDR、管理端末の利用制限	端末侵害や不正端末からのアクセスを抑制
アクセス制御	条件付きアクセス、権限の最小化	不審なアクセスや権限悪用を制限
データ保護	DLP、大量ダウンロードの監視	機密情報の不正な持ち出しを抑制
ログ監視	認証方式変更、異常ログイン、データ移動の検知	侵入後の不審な活動を発見
業務プロセス	送金先変更時の別経路確認	なりすましによる業務上の詐欺を防止

MFAは多要素認証、EDRは端末の不審な活動を検知・調査する仕組み、DLPは機密情報の不適切な持ち出しを検知・制御する仕組みです。

Googleの脅威調査では、2026年にパスキーの導入や多要素認証の更新を口実として、従業員を偽の認証サイトに誘導する手口も報告されています。¹¹

つまり、防御策そのものを装った詐欺も存在します。

そのため、IT担当者を名乗る人物から認証設定の変更を依頼されても、正規の社内手続きによる確認を省略してはいけません。

AIによって文章や音声が自然になればなるほど、人間の直感だけに頼らず、事前に定めた確認手順に従うことが重要になります。

4-3. 漏洩元企業は、事件後の追跡を強化する

ここが本稿で最も提案したい部分です。

従来、情報漏洩事件への対応は、不正アクセスの封じ込め、原因究明、システム復旧、対象者への通知、再発防止策の実施などが中心でした。

もちろん、それらは欠かせません。しかし、盗まれた情報が別の犯罪者に渡り、数か月後に悪用される可能性まで考えると、復旧した時点で二次被害への対応を終了するのは早いかもしれません。

個人情報保護委員会は、漏洩等報告における二次被害の例として、クレジットカードの不正利用、ポイントの不正利用、漏洩したメールアドレスへの詐欺メール送信などを挙げています。¹²

したがって、二次被害への対応という考え方自体は、既に制度上の枠組みに含まれています。

ここに、次のような運用を追加することを提案します。

漏洩したデータの種類ごとに、想定される二次被害を整理する
自社を騙るフィッシングサイトや詐欺メールの発生を監視する
漏洩対象アカウントの不正ログインや認証設定変更を監視する
必要に応じて外部の脅威インテリジェンスサービスから関連情報を収集する
新たな悪用が確認された場合、対象者に追加通知する
監視期間と終了条件を定め、結果を継続的に評価する

なお、これは現行法によって一律に義務付けられた対応を列挙したものではなく、追加的な防御策としての提案です。

また、外部の犯罪市場を監視する場合には、情報の適法な取得や利用、プライバシーへの配慮が必要です。盗難データを再取得する行為そのものが、新たな情報管理上のリスクにならないようにしなければなりません。

5. 二次被害の実態を、どう検証すればよいのか

ここまで、統計、実例、想定シナリオ、防御策を整理しました。

しかし、肝心の疑問が残っています。

実際に漏洩した個人情報は、その後、どれだけの二次被害に結び付いているのでしょうか。

この問いに答えるには、単に詐欺件数やフィッシング報告件数を集計するだけでは不十分です。

漏洩した情報と、その後に発生した被害との関連性を検証する必要があります。

5-1. 漏洩後の変化を、期間ごとに観測する

例えば、ある企業が情報漏洩を確認した場合、対象者のプライバシーを保護しながら、次のような指標を継続的に観測する方法が考えられます。

観測対象	確認する内容
漏洩対象者への連絡	詐欺メールや不審電話に関する申告
不正ログイン	異常な認証試行やアカウント乗っ取り
なりすましサイト	漏洩元の企業名を悪用した偽サイト
認証情報の変更	不審なパスワード再設定やMFA登録
盗難データの流通	関連データの流通を示す脅威情報
金銭被害	情報漏洩との関連が確認された詐欺や不正決済

観測期間は、例えば初動の30日、短期的な90日、長期的な180日などに分けられます。これらは分析設計上の例であり、犯罪がその期間内に発生するという予測ではありません。

5-2. 比較対象がなければ、因果関係はわからない

例えば、情報漏洩後に迷惑メールが増加したとしても、それだけで漏洩が原因とは断定できません。

社会全体でフィッシングが増えていた可能性もあれば、別のサービスから情報が漏洩していた可能性もあるためです。

そこで、漏洩対象者と、それ以外の条件が近い比較対象者について、漏洩前後の変化を比較する方法が考えられます。

ただし、両者の利用サービスや生活環境、過去の漏洩履歴などが異なれば、結果に偏りが生じます。また、個人情報を突き合わせる調査そのものにも、目的の正当性、法令遵守、安全管理などが求められます。

そのため、統計的に関連が認められた場合でも、実際にどの経路で犯罪者が情報を取得したのかが確認できなければ、因果関係を確定できないことがあります。

5-3. 漏洩件数ではなく、二次被害への転換を評価する

最終的に検討したいのは、次のような指標です。

観測可能な二次被害率 = 情報漏洩との関連が確認された二次被害者数 ÷ 対象となる漏洩被害者数

ただし、これは提案する分析指標であり、公的に確立された統計指標ではありません。また、すべての二次被害を把握できるとは限らないため、実際の被害率を正確に示すものではありません。

それでも、漏洩後の被害を継続的に把握しようとすることには意味があります。

100万人の情報が漏洩したという事実だけでなく、その後に何人が不正ログインに遭い、何人が詐欺の標的となり、どのような防御策が有効だったのかを評価できれば、次の事件への対策を改善できます。

さらに、漏洩情報の種類によって二次被害の傾向が異なるか、時間の経過によってリスクがどう変化するかまで分析できれば、企業が優先すべきセキュリティ投資の判断材料にもなるでしょう。

おわりに

情報漏洩のニュースを見ていると、どうしても漏洩件数や被害者数の大きさに注目してしまいます。

しかし、盗まれた情報がその後も利用される可能性を考えれば、漏洩そのものは犯罪の終点ではなく、別の犯罪の出発点になり得ます。

ダークウェブなどで盗難情報が売買されていることは、既に確認されています。AIを利用した詐欺や攻撃作業の自動化についても、実際の事例が報告されています。

一方、最近の大規模情報漏洩と、国内で増加している詐欺被害との直接的な関係については、まだ十分な証拠がありません。

そこで、今後は次の視点が重要になると考えます。

情報漏洩の発生件数だけでなく、漏洩後の二次被害を追跡する
AIによって攻撃の速度、規模、個別対応力がどう変化するかを検証する
情報が漏洩した後でも、不正ログインや不正取引を防げる仕組みを整える
漏洩元企業は、通知や復旧後も必要に応じて悪用の兆候を監視する
実際の二次被害の情報を蓄積し、防御策の有効性を再評価する

特にAI時代の防御では、攻撃者が何を知っているかだけでなく、その情報を使って何ができるのかを考えることが重要になります。

これからのサイバーセキュリティは、情報を盗まれないようにするだけでなく、盗まれた情報を使われても、次の犯罪を成立させない仕組みへと、防御の範囲を広げていく必要があるのではないでしょうか。

そして、その有効性を確認するためにも、情報漏洩事件の発生から収束までを追うだけでなく、漏洩後の被害を継続的に分析することが、次の課題だと考えます。

参考

個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について（2026年10月7日） — 直近の大規模漏洩事案を踏まえた公式注意喚起 ↩
個人情報保護委員会：令和7年度年次報告 — 2025年度の漏洩等報告処理件数と前年度比較 ↩
警察庁：令和8年8月末における特殊詐欺の認知・検挙状況等（暫定値） — 2026年1〜8月の詐欺認知件数と被害額 ↩
フィッシング対策協議会：2026/09 フィッシング報告状況 — フィッシング件数、氏名入りメール、AI利用を疑わせる文面の報告 ↩
Europol：Steal, Deal, Repeat（IOCTA 2025） — 盗難データの売買と犯罪への再利用に関する脅威評価 ↩
米国司法省：Michigan Man Sentenced for Wire Fraud and Aggravated Identity Theft Charges（2026年3月11日） — Genesis Marketで購入された認証情報の悪用事例 ↩
Google Threat Intelligence Group：From Prompting to Autonomy（2026年9月8日） — AIエージェントを利用した攻撃の自動化・高速化に関する調査 ↩
OpenAI：Disrupting a Cambodia-based criminal scam operation（2026年7月31日） — ChatGPTの犯罪利用を確認し、対処した事例 ↩
IPA：情報セキュリティ安心相談窓口の相談状況（2026年第2四半期） — 不正ログイン対策、パスワード管理、多要素認証に関する推奨事項 ↩
Google Threat Intelligence Group：Vishing for Access（2026年1月30日） — IT担当者へのなりすましによるSaaS侵入とデータ窃取の事例 ↩
Google Threat Intelligence Group：UNC6671 Rebrands（2026年8月6日） — パスキー導入を口実にした詐欺と企業向け防御策 ↩
個人情報保護委員会：漏えい等報告における二次被害の考え方 — クレジットカード、ポイント、不審メールなどの二次被害の例示 ↩