最終更新：2026年10月21日
2026年はサイバー攻撃の公表が相次いでいます。警察庁の集計では、2026年上半期のランサムウェア被害報告は123件で、統計を取り始めた2020年下半期以降の半期として過去最多でした。10月に入ってからも、通販の代金後払いサービス、クラウド基盤、生命保険会社の人事システム、カラオケ事業者の委託先端末と、業種を問わず被害の公表が続いています。
こうしたニュースを受けて「自社のネットワーク対策は大丈夫か」と確認する企業は多い一方で、見落とされやすいのが「社外に出ていく端末と記憶媒体」からの漏洩です。2026年6月に公表された北海道の2病院の事案は、サイバー攻撃ではなく、廃棄を委託した端末のHDDが破砕されないまま転売され、ネットオークションの購入者からの連絡で発覚したものでした。
本記事では、2026年の事案を「ネットワーク侵入」「委託先」「社外に出た端末・媒体」の3つの経路に分け、攻撃対策だけでは塞げない後者2つについて、ランサムウェア被害後の端末の扱い、委託先に確認すべき点、消去の基準とチェックリストまでを整理します。
1. 2026年の事案に共通する3つの漏洩経路
2026年に公表された主な事案を、漏洩が起きた経路で分けると次の3つになります。件数は各社の発表時点のもので、その後に訂正されることがあります。
| 経路 | 2026年の例（公表内容） | 防ぐ手段 |
|---|---|---|
| ① ネットワーク侵入 | 通販の代金後払いサービスへの不正アクセスで購入者情報約526万件が持ち出された（10月16日公表）。クラウド基盤へのランサムウェア攻撃で495の企業・自治体に影響（10月7日）。生命保険会社の人事システムへの不正アクセスで従業員・退職者約12万名の情報が流出した可能性（10月2日） | 脆弱性管理、多要素認証、EDR、バックアップの分離など、いわゆるサイバーセキュリティ対策 |
| ② 委託先・サプライチェーン | カラオケ事業者の個人情報の取り扱いを委託していた会社の従業員端末がマルウェアに感染し、約872万件の情報が漏洩したおそれ（10月8日公表） | 委託先の選定基準と監査、委託先に渡すデータの最小化、委託先端末の管理状況の確認 |
| ③ 社外に出た端末・記憶媒体 | 北海道の2病院が廃棄を委託した端末のHDDが、委託先で破砕されないまま転売され、ネットオークションで購入した人からの連絡で発覚。確認された流出は患者約18万2,800人分、最大約51万人分の可能性（6月公表） | 社外に出る前のデータ消去、消去の記録（証明書）、委託先の作業確認 |
①は攻撃者が外から入ってくる経路で、対策の投資もここに集中しています。しかし②と③は、攻撃されなくても起きる経路です。③の北海道の事案では、病院はデータ消去を委託先に任せており、委託先が「破砕したか確認せずに売却した」ことが流出の直接の原因でした。病院は再発防止策として、今後は院内で破壊する方針を示しています。
2. ネットワーク対策が進んでも端末からの漏洩がなくならない理由
ネットワーク対策と端末の廃棄管理は、担当部署も予算も分かれていることが多く、片方が進んでもう片方が放置されがちです。端末からの漏洩がなくならない理由は3つあります。
- 社内に使わなくなった端末が残っている。弊社の調査では、企業の42%が使用しなくなったPC・記憶装置を社内に残したままで、専門業者に依頼して消去証明書を取得している企業は20.8%でした（企業のPC・記憶装置の廃棄と情報セキュリティに関する実態調査2026）。残っている端末には、ネットワークから切り離された後も当時のデータが入ったままです。
- 初期化で消えたと思っている。通常の初期化やフォーマットはデータの「見出し」を消す処理に近く、復元ソフトで読み出せる場合があります。北海道の事案でも、HDDは「破砕されなかった」ことが問題でした。
- 退職・入れ替え・故障で端末が社外に出るタイミングが多い。退職者が返却した端末、リース満了で返却する端末、修理に出す端末、廃棄する端末は、それぞれ別の担当者が扱い、消去の記録が残らないまま社外に出ることがあります。
侵入型の攻撃で盗まれるデータと、廃棄した端末から漏れるデータは、同じ顧客情報・従業員情報です。漏洩した場合の個人情報保護法上の報告義務や本人への通知も変わりません。個人情報保護委員会の令和7年度年次報告では、民間事業者からの漏えい等報告は17,139件でした。
3. ランサムウェア被害後の端末はどう扱うか
ランサムウェアに感染した端末やサーバーは、復旧後も「どう処分するか」が残ります。警察庁の集計でも、暗号化に加えてデータを盗んだうえで公開を予告する手口が確認されており、感染端末には攻撃の痕跡と盗まれた可能性のあるデータの両方が入っています。手順は次のとおりです。
- 隔離して電源を落とさない判断を先にする。ネットワークから切り離すのが最優先ですが、揮発性の証拠（メモリ上の情報）が必要になる場合があるため、電源を落とす前にフォレンジック調査会社や警察への相談を済ませます。
- 証拠保全が終わるまで初期化・消去をしない。調査中にディスクを初期化すると、侵入経路や流出範囲の特定ができなくなります。保全用にディスクの複製（イメージ）を取るのが一般的です。
- 復旧するか廃棄するかを決める。クリーンインストールして使い続ける端末は、ディスク全体の消去（後述の Purge 水準）を行ってから再構築します。古い端末や、再感染の懸念が残る端末は廃棄に回します。
- 廃棄する端末は物理破壊で消去し、記録を残す。感染端末には攻撃者が残したツールや盗まれたデータの複製が含まれる可能性があり、再流通させない判断になります。シリアルナンバー単位の破壊証明書を取得し、インシデント報告書に添付できる形にしておきます。
- バックアップ媒体も対象にする。外付けHDD、NAS、テープに感染前後のデータが残っていれば、同じ基準で扱います。
証拠保全と消去は順番の問題であり、どちらかを省略するものではありません。調査会社から「保全完了」の連絡を受けてから消去に進むと、後から説明に困ることがありません。
4. 委託先から漏れる｜処分・保守の委託先に確認する5項目
2026年の事案では、委託先の従業員端末の感染と、廃棄委託先でのHDD転売という2つの「委託先経由」の漏洩が公表されました。個人情報保護法は委託先の監督を委託元の義務としており、処分や保守を外部に出す場合も同じです。処分業者に対しては、次の5項目を確認します。
| 確認項目 | 見るべきもの | 弊社の場合 |
|---|---|---|
| 許認可と第三者認証 | 古物商許可、産業廃棄物収集運搬許可、プライバシーマーク、ADEC（データ適正消去実行証明協議会）の消去プロセス認証など、第三者が確認した体制か | いずれも取得。許可番号は会社概要に掲載 |
| 運搬中の管理 | 自社車両で直行するか、外部の運送会社に再委託して積み替えがあるか。GPSで走行を管理しているか | GPS管理の自社車両で弊社セキュリティルームへ直行 |
| 消去の方法と基準 | 物理破壊・磁気消去・ソフトウェア消去のどれを、どの基準（NIST SP 800-88 Rev.2 など）で行うか。SSD・NVMe の破壊に対応しているか | 3方式すべて同ガイドラインに準拠。SSDは記憶チップを穿孔 |
| 記録の単位 | 証明書が台数のみか、シリアルナンバー単位か。写真付きか。立会い破壊ができるか | 無料回収は台数単位（リスト提供でシリアル記載）、物理破壊は写真付き・シリアル単位、立会い可 |
| 再流通の管理 | 消去後の機器をどこへ流すか。再販前に再度消去するか。海外への流出を管理しているか | 消去完了後に自社でリユース・リサイクル。再販前に再消去 |
北海道の事案で病院が示した「院内で破壊する」という選択は、委託先への不安に対する一つの答えです。弊社のオンサイト破壊は、お客様先で専用装置を使い、立会いのもとで破壊を完了させる方式で、データが入った機器が社外に出ません。業者選びの考え方は「PC処分業者の選び方」で解説しています。
5. 社外に出す端末の消去基準｜NIST SP 800-88 Rev.2
端末を社外に出す場面は、廃棄だけではありません。退職者の返却端末を再配布する、リース満了で返却する、修理に出す、売却する。それぞれで必要な消去の水準が違います。米国国立標準技術研究所（NIST）のガイドライン SP 800-88 Rev.2（2025年9月公開）は、消去を Clear、Purge、Destroy の3水準に分けています。
| 場面 | 推奨する水準 | 方法の例 |
|---|---|---|
| 社内で再配布する（同じ組織内で使い続ける） | Clear 以上 | データのクリーニングを有効にした初期化、消去ソフトによる上書き |
| リース返却・売却・修理に出す（社外の第三者の手に渡る） | Purge | 消去ソフトによる Purge 水準の消去、暗号化消去、磁気消去（HDD）。消去ログを保管 |
| 廃棄する、インシデントに関係した端末 | Destroy | HDDの圧砕、SSD・NVMe の記憶チップの穿孔。写真付き証明書で記録 |
注意点は SSD です。HDD は円盤（プラッタ）を変形させれば読めなくなりますが、SSD は基板を曲げただけでは記憶チップが無傷で残ります。消去ソフトでも SSD の予備領域には書き込めないことがあるため、廃棄するなら記憶チップを物理的に破断する方法が確実です（詳しくは「HDDとSSDの違い」「データ消去方法の選び方」）。
消去は「やった」だけでは監査に通りません。いつ、どの端末を、どの方法で消去したかを、シリアルナンバーと紐づけて残します。無料回収の「製品受領証明書 兼 データ削除完了証明書」、有償の物理破壊の写真付き証明書は、この記録として使えます（「データ削除証明書とは」）。
6. チェックリスト｜インシデント後・退職時・入れ替え時
| 場面 | 確認項目 | 済 |
|---|---|---|
| インシデント後 | 感染端末をネットワークから隔離し、電源断の前に調査会社・警察へ相談した | □ |
| 証拠保全（ディスクイメージの取得）が終わるまで初期化・消去をしていない | □ | |
| 復旧する端末は Purge 水準で消去してから再構築、廃棄する端末は物理破壊にした | □ | |
| バックアップ媒体（外付けHDD・NAS・テープ）も同じ基準で処理し、証明書を報告書に添付した | □ | |
| 退職時 | 返却当日にアカウント停止と端末の隔離を行い、受領を台帳に記録した | □ |
| 保管期限を決め、期限後に再利用か処分かを判断した | □ | |
| 処分する端末は証明書付きで消去し、台帳に処分日を記録した（退職者から返却されたパソコンの処理手順） | □ | |
| 入れ替え・リース返却時 | 台帳で処分対象を確定し、所有形態（自社・リース）ごとにルートを分けた | □ |
| リース返却機は Purge 水準で消去し、消去ログを添えて返却した | □ | |
| 委託先の許認可・運搬・消去基準・記録単位・再流通管理を確認した（入れ替えで出る大量のパソコンを処分する方法） | □ |
まとめ
2026年に相次ぐサイバー攻撃の報道は、ネットワーク対策の見直しを促していますが、同じ年に公表された委託先端末の感染や廃棄HDDの転売は、攻撃されなくても情報は漏れることを示しています。
- 漏洩の経路は「ネットワーク侵入」「委託先」「社外に出た端末・媒体」の3つ。後者2つは攻撃対策では塞げない
- ランサムウェア被害後の端末は、証拠保全が終わってから消去する。廃棄する端末は物理破壊で記録を残す
- 処分や保守の委託先には、許認可・運搬・消去基準・記録単位・再流通管理の5項目を確認する
- 社外に出す端末は、場面に応じて Clear／Purge／Destroy の水準を決め、シリアルナンバー単位で記録する
本記事で触れた事案の出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」、INTERNET Watch（代金後払いサービスの不正アクセス・第4報）、@IT（クラウド基盤へのランサムウェア攻撃）、ScanNetSecurity（人事システムへの不正アクセス）、ScanNetSecurity（委託先端末のマルウェア感染）、北海道新聞（HDD破砕確認せず売却）、北海道新聞（最大51万人分の可能性）、ScanNetSecurity（個人情報保護委員会 令和7年度年次報告）。件数は各発表時点のもので、その後に訂正される場合があります。
株式会社HAKUにご相談ください
株式会社HAKUは、ランサムウェア被害後の端末、退職者から返却された端末、入れ替えで不要になった端末について、回収からデータ消去・証明書の発行まで一貫して対応しています。委託先として確認いただきたい許認可・認証・運搬体制はすべて公開しています。
- 1台から大量処分まで対応。処分料・データ消去・データ削除証明書の発行は0円（出張回収は地域ごとの台数条件あり、郵送は送料のみ負担）
- NIST SP 800-88 Rev.2 に準拠したデータ消去（物理破壊・磁気消去・ソフトウェア消去）
- 消去方法を指定したい場合は有償のHDD・SSD物理破壊サービス（お客様先での立会い破壊にも対応）
- プライバシーマーク取得・ADEC消去プロセス認証★★★取得、2026年9月時点で累計取引社数15,000社
まずはお気軽にお問い合わせください。お見積り・ご相談は無料です。
お問い合わせはこちら | 法人向けサービス詳細 | 料金・台数条件の一覧
法人パソコンの処分・データ消去はHAKUへ
無料回収（東京・埼玉・千葉・神奈川の法人）／持込（千代田区）／全国郵送
Pマーク取得 ／ ADEC消去プロセス認証★★★取得 ／ 累計取引社数15,000社突破
手塚久雄
株式会社HAKU 代表取締役
パソコン処分・データ消去専門業者「株式会社HAKU」代表。法人のパソコン処分・データ消去を手がけ、Pマーク取得・ADEC消去プロセス認証★★★取得のもと安全な処分を提供しています。