대상 독자: 일본의 개인정보 유출이 늘고 있는지 수치로 확인하려는 분, 보고서나 교육 자료에 건수를 인용하려는 분, 무엇을 먼저 개선할지 정해야 하는 조직. 이 페이지는 일본 개인정보보호위원회(이하 PPC 또는 "위원회")의 연간 보고서와 분기별 발표, 그리고 다른 규제기관의 공개 데이터를 바탕으로 작성되었습니다.
연도별 유출 신고
위원회 연간 보고서에 나온 개인정보 유출 신고 건수입니다. 사업자(개인정보 취급 사업자)와 공공기관(국가기관 및 지방자치단체)은 별도로 집계됩니다. 일본의 회계연도는 4월부터 다음 해 3월까지입니다.
주황색 = 의무화 이전(2021년도까지) / 녹색 = 이후 / 파란색 = 2026년 4월–6월만
| 회계연도 | 사업자 신고 | 공공기관 신고 | 집계 방식 |
|---|---|---|---|
| FY2020 | 4,141 | — | 의무화 이전. 접수된 신고이며, 인정 단체를 통한 1,992건 포함 |
| FY2021 | 5,846 | — | 의무화 이전. 접수된 신고이며, 인정 단체를 통한 2,418건 포함 |
| FY2022 | 7,685 | 114 | 신고 의무화 첫 해. 제출된 신고 |
| FY2023 | 12,120 | 1,159 (국가 162, 지방 997) | 처리된 신고 |
| FY2024 | 19,056 | 1,951 (국가 221, 지방 1,730) | 처리된 신고. 한 위탁업체의 단일 사고에서 나온 2,745건 포함 |
| FY2025 | 17,139 | 2,278 (국가 248, 지방 2,030) | 처리된 신고 |
| FY2026 Q1 | 5,451 | 650 (국가 66, 지방 584) | 처리된 신고(4월–6월, 잠정) |
지방자치단체는 2023년 4월부터 법의 신고 규정 적용을 받았습니다. 그래서 공공기관 건수가 2023년도에 급증했습니다.
2026년도 1분기 총계 6,101건은 사업자 신고 5,451건과 공공기관 신고를 합한 수치입니다. 사업자만 비교하면 1년 전 같은 분기(5,007건)보다 약 9% 많습니다. 위원회는 분기별 수치가 발표 시점 기준이며 연간 보고서에서 수정될 수 있다고 밝혔습니다.
신고해야 하는 경우와 2022년 이후 건수가 늘어난 이유
개정된 개인정보보호법이 2022년 4월 1일부터 시행되었습니다. 이후 아래 중 하나에 해당하는 유출(또는 유출 우려)은 위원회에 신고하고 본인에게 통지해야 합니다.
| 다음의 경우 신고가 필요합니다 | 예시 | 2026년도 1분기 사업자 신고 |
|---|---|---|
| 민감정보가 관련된 경우 | 병력, 진료 기록, 처방전 | 3,196건 (58.6%) |
| 악용될 경우 금전적 피해를 일으킬 수 있는 경우 | 신용카드 번호, 송금이나 결제가 가능한 서비스의 로그인 ID와 비밀번호 | 1,093건 (20.1%) |
| 악의적 목적으로 발생했을 수 있는 경우 | 부정 접근, 직원의 데이터 반출 | 1,450건 (26.6%) |
| 1,000명을 넘는 사람에게 영향을 미치는 경우 | 대규모 고객 명단 | 246건 (4.5%) |
한 건이 여러 조건에 해당할 수 있으므로 비율의 합은 100%를 넘습니다. 속보는 발견 후 약 3–5일 이내에, 확정 보고는 30일 이내에 제출해야 합니다(악의적 목적이 의심되는 경우 60일 이내).
민감정보는 1명이라도 신고해야 합니다. 그래서 병원과 약국이 다른 환자의 서류(예: 진료비 명세서)를 잘못된 사람에게 건넨 사례가 신고의 큰 부분을 차지합니다. 위원회는 2022년도 증가의 원인을 신고 의무화와 그에 대한 인식 확산으로 봅니다. 2022년 전후의 건수를 비교해 "유출이 두 배가 되었다"고 결론짓는 것은 잘못된 해석입니다.
원인: 잘못된 수신자 실수가 대부분이며, 부정 접근은 해마다 변동이 큽니다
연간 보고서 부록 표는 위원회에 직접 접수된 신고(다른 부처를 거쳐 접수된 신고 제외)의 원인을 제공합니다. 이 사이트는 유출이 발생한 장소(신고 기업, 위탁업체, 불명)에 따른 행을 합산하여 아래 비율을 계산했습니다.
| 원인 | FY2023 (7,075) | FY2024 (14,198) | FY2025 (13,345) |
|---|---|---|---|
| 잘못된 사람에게 건넴 | 62.7% | 40.0% | 48.3% |
| 잘못된 수신자에게 보냄 | 18.0% | 20.8% | 26.0% |
| 분실 | 5.1% | 4.0% | 5.7% |
| 부정 접근 | 6.3% | 27.3% | 9.4% |
| 부적절한 폐기, 절도, 내부자 부정 행위 | 1.6% | 1.3% | 1.8% |
| 기타 | 6.4% | 6.6% | 8.8% |
2024년도에 부정 접근이 27.3%로 급증한 것은, 사회보험 및 인사 행정 시스템을 운영하던 한 회사가 랜섬웨어 공격을 받았고 그 고객사 다수가 신고했기 때문으로 보입니다. 위원회에 따르면 이 단일 사고와 관련된 신고 2,745건이 2024년도 건수에 포함되어 있습니다.
이를 제외하면 2024년도는 약 16,300건이 되며, 2025년도의 17,139건은 그보다 많습니다. 2025년도의 감소는 주로 그와 같은 대형 단일 사고가 없었기 때문이며, 일상적인 유출이 줄었다는 뜻은 아닙니다.
이 사이트의 견해: 신고 건수 기준과 피해자 수 기준은 우선순위가 다릅니다
신고 건수 기준으로는 1,000명 이하에 해당하는 사례가 93.6%(2025년도)를 차지하며, 주요 원인은 종이 서류를 잘못된 사람에게 건네거나 잘못 보낸 것입니다. 기업이 공개한 사고의 영향받은 사람 수 기준으로는 부정 접근이 대부분을 차지합니다(아래 도쿄상공리서치 집계에서 악성코드나 부정 접근으로 인한 사고는 한 건당 평균 약 56만 명에 영향을 미쳤습니다).
따라서 창구나 우편으로 개인정보를 다루는 조직은 수신자 확인 절차로 신고의 대부분을 줄일 수 있습니다. 대규모 고객 데이터베이스를 시스템에 보관하는 조직은 이런 사고가 적더라도 부정 접근 방어를 우선해야 합니다. 자신이 어느 쪽에 해당하는지에 따라 첫 조치를 정하십시오.
2025년도 부정 접근 신고 1,256건 중 328건(약 26%)은 위탁업체에서 발생했고, 395건은 출처가 불명확했습니다. 자사 시스템만 보호해서는 충분하지 않으며, 개인정보를 보관하는 위탁업체도 관리 범위에 포함해야 합니다.
상장기업이 공개한 사고(도쿄상공리서치)
신용조사 기관 도쿄상공리서치는 상장기업과 그 자회사가 공개한 개인정보 유출 및 분실 사고를 연도별로 집계합니다. 2025년에는 158개 회사에서 180건이 있었으며, 이는 2024년의 역대 최다인 189건에 이어 두 번째입니다. 약 3,060만 명의 개인정보가 유출되거나 분실되었으며, 이는 전년의 거의 두 배입니다.
악성코드 감염과 부정 접근이 116건으로 60%가 넘었습니다. 이 집계는 위원회 신고와 범위(상장기업이 공개한 사고만 포함)와 방식(연도 기준, 사고 단위)이 다르므로, 두 수치를 더하거나 직접 비교해서는 안 됩니다.
東京商工リサーチ TSRデータインサイト(도쿄상공리서치 TSR 데이터 인사이트, 2026년 10월 7일)에 따르면, 2026년 10월 5일 기준으로 이미 100만 건 이상의 유출 사고가 10건 발생했으며, 2025년 전체는 6건이었습니다. 1,000만 건 이상의 유출은 2025년까지 14년간 3회 있었고, 2026년 10월 5일까지만 3회 발생했습니다. 가장 큰 사고는 KDDI의 이메일 주소 12,231,954건이었습니다. 발표에 포함된 일부 사고는 계정 수로 집계되었거나 유출 우려로 발표되었으므로, 이 수치가 항상 사람 수를 뜻하지는 않습니다.
다른 나라 (참고용)
신고 조건과 집계 방식은 나라마다 다릅니다. 아래 수치는 일본과 직접 비교할 수 없습니다.
영국: ICO에 대한 유출 신고
- 영국 개인정보 감독기구(ICO)는 분기마다 접수한 개인정보 유출 신고 데이터를 공개합니다.
- 공개된 데이터(2025년 4분기까지)를 집계한 결과, 이 사이트는 2025년에 약 13,500건의 신고를 확인했습니다.
- 약 4분의 3은 사이버 사고가 아니었으며, 가장 흔한 유형은 "잘못된 수신자에게 이메일로 발송된 데이터"(약 2,500건)였습니다.
미국: 의료 정보 유출(HHS)
- HHS 민권국(OCR)은 500명 이상에게 영향을 미친 건강 데이터 유출을 모두 게시합니다.
- 민간 집계(HIPAA Journal)에 따르면 2025년에 이러한 유출 710건이 신고되었습니다.
- 2026년 10월 11일 기준 조사 중인 사례 목록에서 2026년에 신고된 386건 중 365건이 "해킹/IT 사고"입니다.
영국에서도 잘못된 수신자에게 이메일을 보내는 것이 가장 흔한 유형이므로, 일본과 마찬가지로 신고의 많은 부분이 사람의 실수입니다. 미국 의료 목록은 500명 이상의 유출만 보여 주므로, 소규모 오발송은 나타나지 않고 부정 접근이 두드러집니다.
이 수치가 당신에게 의미하는 것
조직: 서류를 건네거나 보낼 때 수신자 확인을 추가하십시오
잘못된 사람에게 건넨 경우와 잘못된 수신자에게 보낸 경우를 합하면 위원회에 직접 접수된 신고의 약 4분의 3을 차지합니다. 창구에서는 서류를 건네기 전에 이름과 생년월일 같은 두 가지 항목으로 본인을 확인하고, 우편물을 포장할 때는 다른 직원이 주소와 내용을 대조하십시오. 이메일의 경우 외부 메시지를 몇 분간 보류하여 검토할 수 있는 설정을 사용하고, 외부 여러 사람에게 동시에 보낼 때는 받는 사람(To)이나 참조(CC) 필드 대신 메일링 시스템을 사용하십시오.
조직: 사무실 밖으로 나가는 노트북과 저장장치를 암호화하십시오
분실은 매년 약 5% 수준입니다. 암호화된 노트북과 USB 드라이브는 분실되더라도 내용을 읽기가 훨씬 어렵습니다(출장 중 노트북 보안).
조직: 인터넷에 노출된 장비에 패치를 적용하고 다요소 인증을 추가하십시오
위원회는 부정 접근 사례에서 확인한 원인을 제시합니다. 수정 프로그램이 나온 뒤에도 패치하지 않은 VPN 장비 및 기타 소프트웨어, 쉽게 추측할 수 있는 ID와 비밀번호, 설정 오류입니다(2024년도 연간 보고서). 인터넷에 노출된 장비 목록을 작성하고 각 장비의 업데이트 담당자를 지정하십시오(VPN 장비가 침입 경로가 되는 이유와 방어 방법). 원격 접속과 관리자 화면에는 다요소 인증을 요구하십시오(다요소 인증 선택 방법).
조직: 개인정보를 보관하는 위탁업체 목록을 작성하십시오
어떤 위탁업체가 어떤 개인정보를 몇 명분 보관하는지 정리하고, 사고 발생 시 얼마나 빨리 알려야 하는지 계약에 명시하십시오. 유출이 위탁업체에서 발생하더라도 개인정보를 맡긴 회사에도 신고 의무가 있습니다. 전반적인 우선순위는 조직을 위한 보안 기준선에 정리되어 있습니다.
조직: 3–5일 기한을 맞추는 신고 절차를 마련하십시오
유출을 발견한 사람이 누구에게 어떤 순서로 알려야 하는지 미리 정하십시오. 위원회는 신고가 크게 지연된 기업에 대해 지침을 제시한 적도 있습니다.
개인: 사과 안내문을 믿기 전에 공식 사이트를 확인하십시오
유출 통지나 "사과" 이메일의 링크로 로그인하지 마십시오. 공식 사이트를 직접 열어 확인하십시오. 비밀번호가 유출되었을 수 있다면, 같은 비밀번호를 사용한 모든 서비스에서 변경하십시오(비밀번호 유출 여부 확인 방법).
이 수치를 읽는 방법
신고 건수는 사고 건수가 아닙니다
한 건의 사고에서 여러 건의 신고가 나올 수 있습니다. 개인정보 취급이 외부에 위탁된 경우 개인정보를 맡긴 회사와 위탁업체 모두 일반적으로 신고해야 하므로, 위탁업체 한 곳의 사고에서 여러 고객사의 신고가 나올 수 있습니다(2024년도의 2,745건이 그 예입니다). 신고가 두 개 이상의 부처로 갈 수도 있습니다.
회계연도와 달력 연도를 섞어 쓰지 마십시오. 위원회는 4월부터 3월까지를, 도쿄상공리서치는 1월부터 12월까지를 집계합니다. 위원회는 처리가 끝난 신고를 집계하므로, 사고 발생 시점과 다를 수 있습니다.
2022년도 이전에는 신고가 의무화되지 않았으므로 2022년도부터 집계 기준이 바뀌었습니다. 연간 보고서의 표현도 다릅니다. 2022년도에는 "제출된 신고", 2023년도부터는 "처리된 신고"라고 표기합니다.
마이넘버(일본의 개인번호) 관련 정보의 유출은 위의 수치와 별도로 집계됩니다(2025년도에 위원회는 마이넘버법 위반 가능성이 있는 사례를 포함해 392건을 처리했으며, 그중 74건이 법정 유출 신고였습니다).
출처와 데이터 이용
이 페이지의 수치는 2026년 10월 11일 아래 공식 자료와 대조하여 확인했습니다(도쿄상공리서치 2026년 10월 7일 발표 수치는 10월 23일에 확인했습니다). 이 페이지는 위원회가 분기별로 발표할 때마다 갱신됩니다(다음: 2026년도 2분기).
- 개인정보보호위원회, "2026년도 1분기 유출 신고 처리 현황"(2026년 9월 2일, 일본어) — ppc.go.jp
- 개인정보보호위원회, "2025년도 연간 보고서"(본문 및 부록 표, 일본어) — HTML / PDF
- 같은 자료, 2024년도 — HTML / PDF
- 같은 자료, 2023년도 — HTML / PDF
- 같은 자료, 2022년도, 2021년도, 2020년도 — 2022년도 / 2021년도 / 2020년도
- 개인정보보호위원회, "유출 대응"(신고 의무 요건 및 기한, 일본어) — ppc.go.jp
- 도쿄상공리서치, 2025년 상장기업의 개인정보 유출 및 분실 사고(2026년 1월 30일, 일본어) — tsr-net.co.jp
- 東京商工リサーチ TSRデータインサイト(도쿄상공리서치 TSR 데이터 인사이트): 상장기업의 개인정보 유출이 기록적인 속도로 증가, 2026년에 이미 100만 건 이상 10건(2026년 10월 7일, 일본어) — tsr-net.co.jp
- ICO, "데이터 보안 사고 동향"(데이터: 2019년 1분기–2025년 4분기) — ico.org.uk
- 미국 HHS 민권국, "Breach Portal" — ocrportal.hhs.gov
- HIPAA Journal, "2025 Healthcare Data Breach Report" — hipaajournal.com
데이터 이용 및 출처 표기
출처: 개인정보보호위원회 웹사이트(https://www.ppc.go.jp/aboutus/report/ 및 https://www.ppc.go.jp/files/pdf/260902quarter-report_roueihoukoku.pdf), 2026년 10월 11일 접속. 이 페이지의 연도별 표, 차트, 원인별 비율은 이 사이트가 위원회의 연간 보고서와 2026년도 1분기 유출 신고 발표를 처리하여 만든 것이며, 위원회가 작성한 자료가 아닙니다. 위원회의 콘텐츠는 공공데이터 이용 라이선스(Public Data License, 버전 1.0, PDL1.0)에 따라 이용되었습니다.
영국 수치는 이 사이트가 ICO 공개 데이터를 바탕으로 집계했습니다. Open Government Licence v3.0에 따라 이용이 허가된 공공 부문 정보가 포함되어 있습니다.
업데이트 기록
2026-10-23: 東京商工リサーチ TSRデータインサイト(2026년 10월 7일)의 100만 건 및 1,000만 건 이상 유출 건수(10월 5일 기준)를 2026년 수치로 추가했습니다.
2026-10-11: 최초 게시. 개인정보보호위원회 및 도쿄상공리서치 자료와 대조하여 연도별 건수 및 기타 수치를 확인했습니다.
다음으로 읽을 글
- 2026년의 주요 사고: 2026년 개인정보 유출 및 사이버 공격 연표
- 공격자가 침입한 방법: 일본 2026년 유출 사고의 침입 경로(사례 교차 분석)
- 조직을 위해: 조직을 위한 보안 기준선 / VPN 장비 방어 / 다요소 인증 선택
- 개인을 위해: 비밀번호 유출 여부 확인 / 운전면허 정보가 유출되었다면
- 용어: 랜섬웨어란 무엇인가 / 피싱이란 무엇인가