このデータはどう作られているか

収録対象

日本の組織に関して公に開示されたサイバーセキュリティインシデントです。具体的には、不正アクセス、ランサムウェア、情報漏えい・情報露出、アカウント侵害、マルウェア感染、DDoS によるサービス障害、委託先・サービス提供事業者を経由した影響などが対象です。2026年1月1日以降の公表を収録しています。

収録しないもの

• 公表されていない事案、うわさ、SNS上の未確認情報
• ランサムウェア集団のリークサイトの主張（取得もしません）
• 脆弱性情報や一般的な注意喚起のうち、影響を受けた組織が特定されていないもの
• 組織のセキュリティ水準の評価、ランキング、リスクスコア

情報源と優先順位

最も重視するのは、影響を受けた組織自身やベンダー自身の公表（一次情報）です。次に、個人情報保護委員会、IPA、JPCERT/CC、自治体などの公的機関の公表です。

報道や専門ニュースは「レーダー」として使います。報道で事案を見つけた場合、まずその組織の元の公表を探し、見つかればそれを根拠にします。攻撃者の主張、リークサイト、SNS、匿名の情報源だけで組織を「被害を受けた」と表示することはありません。

同じ事実を複数の情報源が伝えている場合、事案ページの「公表された事実」には事実ごとに一つの結論を示し、根拠となった情報源はその下にまとめます。結論は決まった規則で選びます：組織自身または公的機関の公表があればそれを根拠とし、その事実についての報道は表示しません。同じ水準の情報源の中では最新の公表を採用し、それ以前の数値は「以前の報道」として残します。同じ時点の情報源どうしで内容が異なる場合は、最も多くの情報源が伝える値を示したうえで「情報源により異なります」と明示します。「確認」は後の「可能性」という報道で取り消されることはなく、その場合の「可能性」は表示しません。

「対象となる方」は、どの顧客・会員が、どの期間に、何人、どの情報について対象となるかを、一つの情報源の記載どおりに示します。期間・人数・情報は、その情報源の原文に書かれている場合に限り記録します。

公開の基準

記録が公開される経路は二つあり、どちらで公開されたかを各ページに表示しています。

1. 一次情報・公的機関の情報に基づく公開（自動）：影響を受けた組織自身の公表、または事実を直接示す公的機関の公表があり、組織を一意に同定でき、少なくとも一つの事実を原文の記載で確認できた場合。
2. 報道に基づく公開（AIによる公開審査）：組織自身の公表が見つからない場合でも、報道が組織自身の発表または公的機関の発表を事実として伝えている場合に限り、AIの公開審査が資料を読み直して公開を判断します。抽出した事実が報道より強い表現になっている場合や、根拠が攻撃者の主張・匿名情報だけの場合は公開しません。このように公開した記録には「報道に基づく記録」と表示し、組織自身の公表が見つかった時点で、それを根拠に更新します。

組織の同定があいまいな場合、根拠となる記載を確認できない場合は公開しません。

「確認」と「可能性」

公表文の「流出した可能性があります」は可能性ありとして記録し、「確認」には変換しません。「調査中」は不明として扱います。「確認されていません」は「確認されていない」として残します。この区別は自動処理の後に、根拠となる原文の表現と機械的に照合して検証しています。

組織の同定

組織は文字列ではなく実体として扱います。法人番号、公式ドメイン、正式名称・別名の完全一致で同定し、名称が似ているだけで自動的に統合することはしません。似た名称の組織が新しく登録された場合は重複候補として記録し、同一の組織と確認できたものは統合します（元の名称は別名として残します）。

組織ページ等の組織の説明とロゴは、Wikidata を通じて Wikipedia の冒頭の記述（またはWikidataの説明）とWikimedia Commonsのロゴを表示しているもので、出典にリンクしています。AIは使いません。名称が一致し、かつ公式サイトが一致する（公式サイトが不明な場合は日本の組織でWikipedia記事がある）項目が一つだけある場合に限り表示します。インシデントの記録の一部ではありません。

関係性の作り方

組織間の関係（委託、サービス利用、親子会社など）は、公表文に「当社が業務を委託している〜」「当社子会社の〜」のような明示的な記載がある場合のみ作成します。同じ記事に二つの会社名が出てくるだけでは関係とみなしません。すべての関係に、根拠となる資料と記載箇所が付いています。

影響の可視化

円の大きさは公表された影響人数・件数（対数スケール）です。円の外側の輪（ハロー）は、同じインシデントの影響を公表した下流の組織の数です。二つを分けているのは、「人数は不明だが多数の取引先に波及した」事案を正しく表すためです。単一の「深刻度スコア」は使いません。

更新と再確認

毎日 06:15 と 18:15（日本時間）に自動で収集します。調査中・対応中の事案は公表から30日間、続報（第2報、調査結果、復旧など）を再確認します。過去の記載は上書きせず、新しい記載として追加し、経過として表示します。

完全ではない理由

多くの事案は公表されず、公表されても見つけられないことがあります。自動収集は検索サービスや公的機関のフィードに依存しており、取りこぼしがあります。このデータセットに記録がないことは、その組織が安全であることを意味しません。

訂正

各インシデント・組織ページの「誤りを報告」から連絡できます。根拠となる公開資料のURLを添えていただけると確認が早くなります。訂正は記録を上書きせず、新しい根拠として追加します。

AIの使い方

AIは裏側の処理（公表文からの事実の抽出、分類、要約、翻訳、上記の報道に基づく記録の公開審査）にのみ使い、閲覧時には使いません。AIの出力はスキーマで検証し、各値の根拠となる原文の引用が実際に資料に存在するかを機械的に照合します。資料に書かれていない情報をAIの知識で補うことはしません。

説明責任の記録と「未解決の点」

各組織ページでは、インシデントごとに、公表の経緯（発生、組織が検知した日、初回公表、続報）、流出したとされる情報と（記載がある場合のみ）その保存方法、公表された原因、公表された再発防止策をまとめています。各項目は根拠となる公表資料にリンクし、原文の引用を確認できます。

「未解決の点」はAIではなく、次の固定ルールで機械的に列挙します。

• 流出が「可能性」として公表され、確認されていない
• 不正アクセス等の事案で、情報が持ち出されたかの記載がない
• 流出（可能性を含む）が公表されたが、人数・件数が公表されていない
• パスワード、カード情報、口座情報、公的番号、健康情報の流出が公表されたが、保存方法（暗号化・ハッシュ化など）の記載がない ＊
• 原因・侵入経路が公表されていない（公表からの経過日数を併記）
• 組織がいつ検知したかが公表されていない ＊
• 調査中などの状況のまま、60日以上更新が記録されていない
• 公表された影響組織数より、公に特定された組織が少ない
• 対応完了・最終報告後、または公表から60日以上たっても再発防止策が公表されていない ＊
• 「予定」とされた再発防止策の実施が、公表から60日以上たっても報告されていない ＊

＊は、そのインシデントの一次資料を現在の抽出方式で読み取った後にのみ適用します（それ以前は「記載がない」のか「まだ抽出していない」のかを区別できないため）。

スコアを付けない理由：一つの数値は、不完全な公表記録を組織のセキュリティ水準についての結論に変えてしまいます。公表の詳しさは組織によって異なり、多くの事案は公表されず、詳しく公表した組織ほど不利に見えることにもなります。本サイトは事実と記録の空白を示し、判断は読者に委ねます。

グラフの見方（凡例）

本プロジェクトは公開情報を集約したものであり、日本におけるサイバーセキュリティインシデントの完全な記録ではありません。調査の進展により情報が変更される場合があります。 データについて