関連の記事をご紹介いたします。
この記事によると、2017年に発覚した事件が、2016年より発生していたことが発覚しています。

「不正アクセスによる情報漏洩被害に関するお詫びとお知らせ」

このインシデントでは、2017年の2月にアカウント管理サーバから全アカウント情報が抜き取られています。しかし、実際に侵入されてたのは、2016年の12月初旬のようです。

VPN経由で不正ログインした攻撃者が、学内ネットワークを偵察して脆弱性のあるサーバーがないかを調べていた2か月間の間、被害をうけた側はその攻撃を全く知ることができなかったということになります

中堅中小企業の場合、セキュリティシステムの更新が難しいため、往々にしてシステムは最新の状態ではありません。脆弱性が放置されており、これをメンテナンスする人手を確保できないことがあるのではないでしょうか。セキュリティシステムは最新の状態である必要があります。最低限、パッチの順守は肝に銘じるべきです。

下記にシステムの脆弱性を突かれ、クレジットカードの情報が漏洩してしまった会社の事例を紹介します。

「オンラインショップへの不正アクセスによるクレジットカード情報不正取得被害のお詫びとご報告」

フォームジャッキングという手口で、偽の決済フォームが表示され、その決済フォームからクレジットカード情報が不正取得されるというものです。

今回のインシデントの発端は、システムの脆弱性を攻撃されたと推測されます。

個人情報保護を怠り不適切な管理によって情報漏洩した場合、企業は、社会的信用の失墜、業務停止、損害賠償など大きな影響を受けます。