世界では何が起きているか
件数ではなく「日付」を比べる
海外で2026年に公表された被害については、件数の国と国との比較はしない。どこまでを「被害」として数えるか、誰がどこに報告するかは国ごとに違い、同じ物差しで並べられないからである。
代わりに比べるのは、発生・検知・公表の3つの日付である。国や組織の種類によって、この間隔は数日から1年以上まで大きく違う。
米国：「重大」と判断してから4営業日
米国では、上場企業は、サイバー攻撃が重大だと判断してから4営業日以内に、米証券取引委員会（SEC）へ「8-K」という書類で届け出る決まりがある。起点は攻撃に気づいた日ではなく、重大だと判断した日である。国の安全などを理由に届け出を遅らせる例外があり、外国の企業には別の様式（6-K）の決まりがある[26]。
医療機器大手のストライカーは、3月11日に攻撃を確認し、その日のうちに8-Kを出した。社内のマイクロソフト製品の環境が世界規模で止まったと説明している[27]。
顧客向けの告知では、受注・出荷・製造に影響が出たが、病院で使われる同社の製品は安全に使えるとし、4月1日には、世界の製造網が稼働を再開し、生産能力の回復を急いでいると知らせた[63]。玩具大手のハズブロは、3月28日に不正アクセスに気づき、4月1日に8-Kを出した。一部のシステムを止めながら受注と出荷を続けた[28]。4月23日には、不正アクセスは封じ込められたとみられると届け出た[64]。
上場していない会社でも、早い公表の例はある。歯科保険の給付を管理するデンタクエストは、5月17日から20日にかけて社内のデータにアクセスされ、20日に気づき、26日に自社サイトで知らせた。対象は氏名、住所、社会保障番号、公的医療保険の番号、歯科の診療情報などである。対象者への通知は7月17日から始まったが、対象の人数は同社の発表では確定していない[29]。
早い公表には代わりの面もある。第一報の時点では、何が漏れたのか、何人に関わるのかが「調査中」のことが多い。第一報で全体がわかるわけではなく、続報を追う必要がある。
韓国・台湾：数か月から1年以上かかることもある
韓国の外交部によると、国立外交院のオンライン教育システムは、2025年4〜5月に、ソフトの未修正の弱点（ゼロデイ脆弱性）と設定の不備を突かれて乗っ取られ、2026年2月まで外部とつながっていた。気づいたのは2月初めで、関係機関からの通報がきっかけだった。公表は7月20日で、入り込まれてから1年以上、気づいてからも約5か月半たっていた。教育動画や受講者の氏名・IDなどが保存されていたが、何が持ち出されたかは特定が難しいとしている[30]。
一方で、早く届け出た例もある。学習誌「クモン」などで知られる教育大手の教元グループは、1月10日にランサムウェアの攻撃を受けた。グループ8社が13日に個人情報保護委員会へ届け出たが、その時点では個人情報が持ち出されたかは「確認中」だった[31]。
台湾では、数位発展部（デジタル発展省）が8月13日、7月に政府機関を狙う攻撃を確認したと公表した。攻撃者は「AIエージェント」と呼ばれる自動で作業を進めるAIの道具を組み合わせ、本番ではない予備用・テスト用のシステムを足がかりにしていた[32]。目立たない周辺のシステムが入口になるのは、国内でも同じである。
ネットワーク機器メーカーの友訊科技（D-Link）は9月18日、自社サイトのログイン画面で、外から大量のIDとパスワードを試す攻撃（リスト型攻撃）があったと公表し、影響を受けた利用者に知らせた[33]。ほかのサイトで漏れたパスワードを使い回していると、こうした攻撃に遭う。
シンガポール：委託先と通信網
シンガポールでは、委託先経由の被害が国境を越えて起きた。米国の学習管理システム「Canvas」の運営会社が、4月29日に不正アクセスに気づいた。利用者名、メールアドレス、受講しているコース、メッセージなどが持ち出され、5月7日には別の弱点から再び入り込まれて、Canvasを一時止めた[34]。被害を受けたのは米国の1社だが、Canvasを使うシンガポール国立大学（NUS）は、学生の氏名やIDが漏れたおそれがあるとして、利用者にパスワードの再設定を求めた[65]。
また、サイバーセキュリティ庁（CSA）は2月9日、大手通信4社が高度な攻撃グループに狙われ、未知の弱点を突いて境界のファイアウォールを破られていたと公表した。持ち出されたのは主にネットワークに関わる少量の技術データで、顧客の記録などにアクセスされた証拠はないとしている[35]。政府はこの攻撃グループの存在を2025年7月に明らかにしており、どこが狙われたかがわかるまでには半年以上かかっている。
日系工場の多い国：見えにくさに注意する
日本企業の工場や拠点が多い東南アジアでも、公表された事例はある。
マレーシアでは、後発医薬品大手の Duopharma Biotech が9月11日、ITインフラへの不正アクセスを検知し、個人データを含むとされるデータファイルが持ち出されたと証券取引所に開示した。財務への影響はないとしている[36]。ミャンマーでは、大手民間銀行の AYA Bank が6月25日、以前使っていた申込受付のサイトから、金融情報を含まない申込情報の一部が流出したと発表した。預金などを扱う中心のシステムには影響がないと説明している[37]。
フィリピンでは、情報通信技術省（DICT）が9月25日、同省の認定を受けた事業者48組織に関わる書類 約410ファイルが流出したおそれがあるとして、真偽や流出元を調べていると公表した[38]。ベトナムでは、国のサイバーセキュリティ機関（VNCERT）が5月22日、中央の省庁級の2機関から数百万件規模の利用者データが流出した事案に対応していると明らかにした。2機関の名前は公表されていない。どちらも監視の体制（SOC）を持っていたが、攻撃に気づけなかったという[39]。
一方、日系の工場が特に多い中国とタイについては、本稿の調査では、組織の名前を挙げた2026年の公表事例を一次資料で確認できなかった。これは被害がないことを意味しない。公表を求めるルールや、報道のされ方が日本とは違うためと考えられる。
現地に拠点を持つ会社で働く人にとって、ここから言えることは2つある。1つは、現地の拠点が狙われても、日本の本社に情報が届くのが遅れたり、現地の言葉でしか公表されなかったりすることがある点である。もう1つは、現地の委託先や取引先の被害は、さらに見えにくい点である。日本で見えている事例だけで、自社のリスクを測らないほうがよい。
| 国・地域 | 組織（公表日） | 何が起きたか | 発生 → 検知 → 公表 | 確度 |
|---|---|---|---|---|
| 米国 | ストライカー（3/11） | 社内のマイクロソフト環境が世界規模で停止、受注・出荷・製造に影響 | 不明 → 3/11 → 3/11 | システム停止（漏えいは未公表） |
| 米国 | ハズブロ（4/1） | 不正アクセス、一部システムを停止して受注・出荷を継続 | 不明 → 3/28 → 4/1 | 調査中 |
| 米国 | デンタクエスト（5/26） | 社会保障番号・診療情報などへのアクセス | 5/17 → 5/20 → 5/26 | 漏えい確認（人数は未確定） |
| 韓国 | 外交部・国立外交院（7/20） | オンライン教育システムを乗っ取られ、約1年接続 | 2025年4〜5月 → 2026年2月初め → 7/20 | 流出内容は特定困難 |
| 韓国 | 教元グループ（1/13） | ランサムウェア、Webサービスに障害 | 1/10 → 1/10 → 1/13（委員会への届出） | 流出は確認中 |
| 台湾 | 政府機関（8/13） | AIエージェントを使った攻撃、予備・テスト用システムが足がかり | 7月 → 7月 → 8/13 | 漏えいの有無は未公表 |
| 台湾 | 友訊科技（D-Link）（9/18） | 自社サイトへのリスト型攻撃 | 不明 → 不明 → 9/18 | 漏えいのおそれ（ログインの試行を確認） |
| シンガポール | Canvas運営会社 → NUSほか（5月上旬） | 学習管理システムから利用者名・メッセージなどが流出 | 不明 → 4/29 → 5月上旬 | 運営会社は持ち出しを確認（NUSは漏えいのおそれ） |
| シンガポール | 大手通信4社（2/9） | 未知の弱点でファイアウォールを突破、技術データを持ち出し | 2025年 → 不明 → 2026/2/9 | 技術データのみ（顧客データの証拠なし） |
| マレーシア | Duopharma Biotech（9/11） | データファイルの持ち出し（個人データを含むとされる） | 不明 → 不明 → 9/11 | 漏えいのおそれ（ファイルの持ち出しは確認） |
| ミャンマー | AYA Bank（6/25） | 旧申込サイトから申込情報の一部が流出 | 不明 → 不明 → 6/25 | 漏えい確認（金融情報は含まず） |
| フィリピン | 情報通信技術省（9/25） | 認定事業者48組織の書類 約410ファイルが流出したおそれ | 不明 → 不明 → 9/25 | 調査中 |
| ベトナム | 中央の省庁級2機関（5/22） | 数百万件規模の利用者データが流出、監視体制でも気づけず | 不明 → 不明 → 5/22 | 漏えい確認（機関名は非公表） |
海外の主な公表事例（2026年1月〜10月上旬）。日付は各組織・機関の発表による。「不明」は公表されていないもの。13件は各国の状況を知るための例で、件数を比べるためのものではない。出典は本文の注を参照。
世界の事例から言えること
海外の事例を並べると、公表の早さは、国の決まりと組織の種類で大きく変わることがわかる。米国の上場企業は、重大と判断してから数日で第一報を出すが、中身はまだ「調査中」が多い。政府機関などでは、気づいてから公表までに数か月かかることがあり、入り込まれてから1年以上たつ例もある。
そして、国境は被害の届き方を止めない。米国の1社の被害がシンガポールの大学に及んだように、私たちが使うサービスの多くは海外の会社や仕組みに支えられている。