日本では、大手企業などによる個人情報漏えいのニュースが相次いでいる。では、ロシアではどうなのだろうか。ロシア企業の情報セキュリティーは十分なのか。それとも、日本ではあまり知られていないだけで、同じような問題が起きているのだろうか。

ロシアの情報セキュリティー企業InfoWatchによると、2025年に国内の企業や組織で確認された機密情報等の流出事案は739件に上り、流出した個人データの記録は13億件を超えた。これは被害人数ではなく、同じ人物の情報が重複して含まれる可能性もあるデータベース上の記録件数だ。

一方、2026年の別の調査では、観測された流出関連の事象は減っているものの、流出したと報告されたデータの量は増加しているという結果も出ている。

ロシアの情報セキュリティー企業による調査結果や、実際の事件からその実態を探った。

2025年に739件の情報流出、個人データの記録は13億件超

ロシアの情報セキュリティー企業InfoWatchが2026年3月に公表した調査によると、2025年にロシア国内の企業や組織で確認された機密情報等の流出事案は739件だった。

前年の2024年と比べて17.8％減少したものの、流出した個人データの記録は約13億4,300万件に上った。

また、739件には個人情報だけでなく、企業の機密情報などの流出も含まれている。

業種別では、実店舗やインターネット通販などの小売分野が全体の25.4％を占め、最も多かった。次いで公的機関が14.6％、工業分野が7.6％となっている。

注目されるのは、被害が大企業に限られていないことだ。

同社の調査では、情報流出が確認された組織の約46％が、従業員49人以下の小規模事業者だった。

ロシアでも、買い物やオンラインサービスなど日常生活に身近な分野から、公的機関、中小企業まで、幅広い組織が情報流出の問題に直面している。

2026年上半期は流出の観測件数が減少、しかしデータ量は増加

2026年に入ってからも、興味深い調査結果が公表されている。

ロシアの情報セキュリティー企業Solarが9月28日に発表した調査によると、同社の監視サービス「Solar AURA」が2026年1～6月に確認した情報流出関連の事象は214件だった。前年同期の406件から約47％減少している。

ところが、この調査で報告された流出データの総量は、前年同期の2億8,800万行から3億7,800万行へと約31％増加した。

つまり、情報流出として観測された事象は減っている一方で、流出したと報告されたデータの量は増えている。

流出データ量の業種別割合にも変化があった。2026年上半期は金融分野が38％、サービス業が28％を占め、両分野で全体の約3分の2に達している。

同社は、特に小規模な金融事業者などに関係する流出事案が影響したと説明している。

ただし、この調査で確認されたのは、外部で観測された情報流出関連の事象や、流出したと報告されたデータの量であり、すべてが調査期間中に新たに盗まれた情報とは限らない。

また、InfoWatchとは調査対象や集計方法が異なるため、両社の件数を直接比較することはできない。

2026年10月にはロシアのサーバー事業者でも不正アクセス

統計上の数字だけでなく、実際のセキュリティー事故も発生している。

2026年10月18日、ロシアのサーバー事業者FirstVDSは、前日の17日に管理システム「VMmanager 6」の脆弱性を悪用され、一部のインフラに侵入されたと公表した。

同社によると、攻撃者は顧客の仮想サーバーに保存されていたパスワードや接続情報、利用者のファイルなどをコピーし、外部へ送信するプログラムを使用していた。

同社は影響を受けた顧客に通知し、パスワードや接続用の認証情報を変更するよう求めた。

10月20日には、この管理システムを開発したロシア企業ISPsystemも、脆弱性に関連する事故について公式サイトで説明している。

ISPsystemは、顧客への対応や調査を進めているとする一方、影響を受けた事業者の名前や数、具体的な侵入方法は公表しなかった。安全対策が完了する前に詳細を公開すると、さらなる危険が生じる可能性があるためだと説明している。

FirstVDSによると、持ち出されたデータの全体量は確定していない。また、この事故によって個人情報がどの程度流出したのかも確認されていない。

それでも、ロシア企業が自ら事故を公表し、顧客に対応を求める事例があることを示している。

個人情報を売る違法サービスも摘発

ロシアで問題となっているのは、企業や組織からの情報流出だけではない。不正に入手された情報が違法に売買される市場も存在する。

ロシア内務省報道センターは2026年9月8日、MVD MEDIAを通じて、個人情報や機密情報を違法に販売していたとされるTelegramチャンネルの運営者を拘束したと発表した。

同省によると、このサービスでは通信事業者、金融機関、行政機関などのデータベースに関係する情報を入手できたとされる。

捜査当局は、サービスが約5年間運営され、1日に数十件の注文を扱っていたとみている。

この事件は捜査中であり、情報の入手経路や関係者の責任がすべて確定したわけではない。

ただし、個人情報や企業の機密情報が違法な取引の対象となり、捜査当局による摘発が行われていることは、ロシアの情報セキュリティー事情を知るうえで注目される。

なぜ情報流出の実態が見えにくくなっているのか

ロシアの情報セキュリティー企業が指摘しているのは、情報流出の件数そのものだけでなく、流出したデータの取引方法が変化していることだ。

InfoWatchによると、以前は盗まれたデータを販売する際、購入希望者に内容を示すため、データの一部を公開することが多かった。

ところが近年は、非公開のチャットや閉鎖的な取引場所で、購入希望者にだけ情報の種類や量を知らせるケースが増えているという。

その結果、外部の調査会社でも、どのような情報がどれだけ流出したのかを把握することが難しくなっている。

実際、InfoWatchが2025年に登録した情報流出事案のうち、流出した個人データの記録件数が判明していたのは37％にとどまった。

また、流出した情報の種類自体が分からない事案も約30％を占めている。

こうした状況では、外部から確認できる情報流出件数が減っていても、実際の被害まで減少しているとは限らない。

ロシア企業は事故を公表しないのか

ロシアにも個人情報流出に関する報告義務がある。

ロシアの個人情報法では、一定の権利侵害を伴う情報流出が確認された場合、企業などは24時間以内に監督当局へ初期報告を行い、その後、内部調査の結果も報告する必要がある。

ただし、監督当局への報告と、企業がホームページなどで事故を一般に公表することは同じではない。

実際、FirstVDSやISPsystemのように自らセキュリティー事故を公表する企業もあるが、企業が当局に報告した事案がすべて一般向けに公開される仕組みではない。

一方、企業からの発表がなくても、情報セキュリティー企業が流出データを発見したり、捜査当局が違法販売を摘発したりすることで、問題が明らかになる場合もある。

したがって、企業の公式発表を見かける機会が少ないことだけで、情報流出の発生件数が少ないとは判断できない。

ロシアの情報漏えいは本当に減っているのか

今回確認したロシアの調査では、2025年の情報流出事案と2026年上半期の流出関連の観測事象は、それぞれ前年より減少していた。

しかし、2026年上半期には報告された流出データの量が増加している。さらに、盗まれた情報が非公開の場所で取引されるケースが増え、外部から把握できない流出もあると指摘されている。

つまり、統計上の観測件数は減っているものの、ロシアの情報セキュリティーが改善し、実際の被害も減少していると結論付けることはできない。

InfoWatchやSolarの調査からは、小売業や金融関連企業、公的機関、小規模事業者など、さまざまな組織が情報流出の問題に直面していることが分かる。違法な個人情報取引の摘発や、2026年10月のサーバー事業者への不正アクセスも、こうした問題が現在進行形であることを示している。

ロシアでも大量の個人データが流出し、盗まれた情報の取引が行われていることは、複数の調査会社の報告と当局発表から確認できる。

ロシアの情報漏えい事情で注目すべきなのは、事故が起きているかどうかだけではない。外部から確認できる件数と、実際の被害の全容との間に、見えにくい部分が広がっていることだ。

公式発表
InfoWatch（2026年3月12日）
［公式発表はこちら］

Solar（2026年9月28日）
［公式発表はこちら］

FirstVDS（2026年10月18日発表、10月23日まで更新）
［公式発表はこちら］

ISPsystem（2026年10月20日）
［公式発表はこちら］

ロシア内務省報道センター（2026年9月8日、MVD MEDIA掲載）
［公式発表はこちら］

ロシア連邦労働・社会保障省（2006年7月27日制定、2026年6月8日サイト掲載）
［公式発表はこちら］

AIの利用について
本記事の作成には生成AIを利用しています。内容の正確性・完全性を保証するものではありません。詳細については、上記の公式発表をご確認ください。