【Josys 獨家調查】日經225企業中96%在過去3年內曾發生資訊外洩

提供身份安全基礎架構的 Josys 株式會社（總公司：東京都港區，代表取締役CEO：松本恭攝，以下簡稱「Josys」），針對日經225成分股公司進行了一項關於網路安全的獨立調查。結果顯示，在過去3年內，超過96%（217家）的公司曾發生資訊外洩，75%（168家）的公司曾發生包含端點感染在內的嚴重資訊外洩。

■ 調查摘要

96.4%的公司發生資訊外洩，員工外洩率為2.9%
在225家受訪公司中，有217家在過去3年內被確認發生資訊外洩。
外洩件數累計超過27萬件，相對於員工總數的外洩率為2.9%。(*1)

74.6%的公司確認發生嚴重外洩
在225家受訪公司中，有168家發生包含認證基礎架構、安全相關系統、客戶管理應用程式等認證資訊在內的嚴重外洩。

依行業別來看，製藥業的資訊外洩率最高，銀行業則最低
相對於員工人數的資訊外洩率，以製藥業（11.6%）最高。
其次是建築業（7.0%）和食品業（6.5%）。
另一方面，整體銀行業的外洩率為0.7%，而大型銀行的平均外洩率僅為0.5%，顯示其高度安全措施已見成效。

*1 在計算外洩數量時，為進行異常值檢測，已從225家公司中排除1家。對象為224家公司。

■ 主要調查結果

1. 在過去3年內，96.4%的公司曾發生資訊外洩，外洩件數超過27萬件
本次調查確認，在225家日經225成分股公司中，有217家（96.4%）在過去3年內發生過資訊外洩。外洩件數總計達279,206件(*2)，相對於對象公司員工總數（9,564,043名）的外洩率為2.9%。這意味著每100名員工中，約有3人的認證資訊遭到外洩。

＜分析＞
從這些結果可以看出，資訊外洩並非僅限於特定行業或公司規模的問題，而是幾乎所有日本代表性大型企業都面臨的經營課題。
此外，由於外洩率已達2.9%，網路安全事件不應再被視為少數例外事件，而應被認知為企業活動中的常態風險。企業需要採取假設會遭受入侵的對策，並加強持續監控體制。

*2 本調查的數值是指「在暗網等被用作交易因資訊外洩而流出的認證資訊和個人資訊的場所中，作為該公司資訊流通的件數」。雖然我們取得的是作為特定公司認證資訊進行買賣的資訊，但可能實際上並非該公司的資訊，或可能包含已失效的資訊。

2. 74.6%的公司發生嚴重認證外洩，每10家公司中有7家員工的認證資訊外洩
在225家受訪公司中，有168家（74.6%）被確認在認證基礎架構、安全、客戶管理等重要性高的應用程式中發生認證資訊外洩。

＜分析＞
近年來的惡意軟體，其目的不僅是破壞端點或停止系統，旨在竊取認證資訊和會話令牌的惡意軟體也在增加。攻擊者利用竊取而來的ID和密碼入侵雲端環境並竊取資訊，因此感染後的損害擴大已成為嚴重風險。

3. 製藥業的資訊外洩率最高，相對於員工人數為11.6%，銀行業最低為0.7%
按行業分析相對於員工人數的資訊外洩率，結果顯示製藥業最高，為11.6%。其次是建築業的7.0%和食品業的6.5%，顯示特定行業的外洩風險相對較高。
另一方面，最低的是銀行業，為0.7%。其中，大型銀行的平均外洩率僅為0.5%。比較製藥業和大型銀行，其差距超過23倍，顯示不同行業在網路安全風險和對策水準上存在巨大差異。

＜分析＞
製藥業被認為容易成為網路攻擊的目標，因為其擁有對攻擊者極具價值的資訊，如研發數據和智慧財產權。建築業也常處理具有地緣政治和經濟價值的數據，例如與海外基礎設施項目和工廠建設相關的資訊，因此也被視為容易受到攻擊的行業之一。
關於食品業，與其他行業相比，可能有些企業在網路安全領域的投資和體制建設不足，這可能導致了較高的外洩率。
另一方面，金融業除了應對嚴格的法規外，還推進了多層次的安全措施，包括加強網路存取控制和認證基礎架構、建立持續監控體制等。因此，本次調查中其外洩率最低，顯示整個行業具有高度的安全成熟度。

調查名稱：日經225企業網路安全相關調查
對象：日經平均股價（日經225）成分股公司225家及其集團公司
對象員工人數：9,564,043名（因異常值，已從統計對象中排除1家公司）
期間：2023年3月1日～2026年6月1日
方法：使用本公司擁有的數據分析工具進行提取調查（截至2026年6月）
實施：Josys 株式會社

＊構成比和比例是透過四捨五入到小數點後第二位來計算。

▪️ 總結
本次調查揭示的事實是，網路安全事件並非「部分公司的問題」，而是日本大多數代表性大型企業正面臨的結構性課題。
96.4%的外洩率意味著，無論是否採取對策，認證資訊的外洩已跨越行業界線成為常態。而且，外洩的認證資訊被攻擊者惡意利用的時間正在逐年縮短，檢測越晚，損害就越擴大。
建立能夠統一可視化、管理和防禦「誰、對什麼、如何存取」的身份安全體系，已不再是部分安全負責人的課題，而是經營層面應優先處理的事項。

■ 調查背景
近年來，勒索軟體攻擊的手法發生了巨大變化。除了傳統的利用系統漏洞進行攻擊之外，利用被稱為「資訊竊取器」的資訊竊取型惡意軟體所盜取的合法ID和密碼進行非法登入的攻擊正在增加。
因應此狀況，Josys 針對代表日本企業的日經225成分股公司進行了獨立調查，以掌握認證資訊外洩和惡意軟體感染的實際情況。調查結果顯示，加強身份安全不僅是部分公司的問題，而是整個日本大型企業迫在眉睫的經營課題。
此外，Josys 從今天起開始提供日本首創的三項功能，以加強勒索軟體攻擊對策：「外洩認證資訊偵測」、「AI代理偵測與管理」以及「透過AI自動執行政策」。