相次ぐデータ流出・不正アクセス。
国内の事案を、年表と手口別にまとめました。

事案の年表

新しい順に並べています。日付は第1報の公表日です(日まで確認できないものは月まで)。侵入経路・影響・犯行グループ・出典は、年ごとの一覧と事案ごとのページに載せています。

1. 2026年10月29日 アイリスオーヤマ 公式通販サイト「アイリスプラザ」

   公式通販サイトで不正アクセスを確認し、サイトを一時停止。情報漏えいの有無は調査中 詳しく →

   不正アクセス(経路未公表)
2. 2026年10月29日 松屋フーズ(松屋公式アプリ・ホームページ)

   外部からの不正アクセスを検知し、公式アプリ・モバイルオーダー・ホームページを停止 詳しく →

   不正アクセス(経路未公表)
3. 2026年10月28日 花キューピット「インターネット花キューピット」「ビジネス花キューピット」

   花の通販サイトの管理システムに不正アクセス。会員423万8,242件のIDとメールアドレスなどが漏えいした可能性 詳しく →

   不正アクセス(経路未公表)
4. 2026年10月28日 ソニー生命保険(契約者向け「お客さまWEBサービス」など。メディケア生命の契約情報)

   契約者向けサイトに不正アクセス。代理店として扱ったメディケア生命の契約情報 約38.5万件が漏えい 詳しく →

   不正アクセス(経路未公表)
5. 2026年10月28日 モイ「ツイキャス」

   ライブ配信サービスに不正アクセスの痕跡。サービスを緊急停止し、7件の個人情報へのアクセスを確認 詳しく →

   不正アクセス(経路未公表)
6. 2026年10月28日 ベネフィット・ワン「トク買」(委託先フォレステックのシステム。クレディセゾン会員向け)

   委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい 詳しく →

   委託先・取引先経由
7. 2026年10月28日 日本航空・日本トランスオーシャン航空・全日本空輸(旅客サービスシステムを提供する Amadeus への不正アクセスの波及)

   航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に 詳しく →

   委託先・取引先経由利用しているSaaS・他社製ソフト
8. 2026年10月27日 ソニーネットワークコミュニケーションズ「So-net」(会員データベース。plala Sコース会員を含む)

   ISPの会員データベースに不正アクセス。So-net会員214万1,986件、plala(Sコース)会員44万3,495件の情報が漏えい 詳しく →

   不正アクセス(経路未公表)
9. 2026年10月26日 楽天グループ「楽天トラベル」(海外ホテル予約サイトの一部ページ・多言語予約サイト)

   旅行予約サイト2カ所に不正アクセス。海外ホテル予約のログイン利用者 最大約260万件などが対象に 詳しく →

   不正アクセス(経路未公表)
10. 2026年10月26日 ヤクルト本社(公式ホームページの問い合わせフォーム・給食サイトなど)

    公式ホームページに不正アクセス。問い合わせフォームなどの個人情報 約4万件が漏えい 詳しく →

    不正アクセス(経路未公表)
11. 2026年10月26日 ギフティグループ(子会社ギフティのeギフト発行システム)

    システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み 詳しく →

    Webサービス・アプリ経由
12. 2026年10月26日 バンダイロジパル(物流システム。BANDAI SPIRITS「一番くじONLINE」の配送情報に波及)

    物流システムに不正アクセス。「一番くじONLINE」の配送先の氏名・住所・電話番号が漏えいした可能性 詳しく →

    不正アクセス(経路未公表)
13. 2026年10月23日 ヤマダデンキ(「ヤマダビデオ」「スマホゴールド会員」の手続き画面)

    動画配信・会員サービスの手続き画面に外部から不正アクセス。サービスを一時停止 詳しく →

    不正アクセス(経路未公表)
14. 2026年10月23日 グッドスマイルカンパニー「グッドスマイルカンパニー公式ショップ」

    公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性 詳しく →

    Webサービス・アプリ経由
15. 2026年10月22日 カプコン「CAPCOM ID」(通販「イーカプコン」に波及)

    ゲーム会員IDに不正アクセス。全世界1,177万4,247件のメールアドレスなどが漏えいし、196件はパスワードを不正に変更 経緯・原因を読む →

    不正アクセス(経路未公表)
16. 2026年10月22日 ネットプロテクションズ「NP後払い」(請求書再発行システム)

    後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス 詳しく →

    Webサービス・アプリ経由
17. 2026年10月22日 デジタル庁(公式サイトの問い合わせフォーム。Studio の被害の波及)

    Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性 詳しく →

    利用しているSaaS・他社製ソフト委託先・取引先経由
18. 2026年10月22日 バルテック(POS・業務クラウド「FreePOS」「MOT」シリーズなど。利用企業に波及)

    業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止 詳しく →

    Webサービス・アプリ経由利用しているSaaS・他社製ソフト
19. 2026年10月21日 GMOインターネット(FX自動売買向けVPS「お名前.com デスクトップクラウド」。利用者のFX・証券の取引口座に波及)

    FX自動売買向けVPSに不正アクセスされ、利用者の情報を持ち出し。最大2万6,739台を停止し、攻撃者は情報を公開 経緯・原因を読む →

    不正アクセス(経路未公表)
20. 2026年10月21日 リクルート「カーセンサーnet」「C-MATCH」

    中古車情報サイトに不正アクセス。利用者・販売店など最大370万9,551件が漏えいした可能性 詳しく →

    不正アクセス(経路未公表)
21. 2026年10月21日 ラクスライトクラウド「ブラストメール」(メール配信サービス。利用企業・自治体の配信先に波及)

    メール配信サービスのサーバーに侵入され、全契約者の情報と345契約の配信先リストなどが持ち出し 経緯・原因を読む →

    利用しているSaaS・他社製ソフト委託先・取引先経由
22. 2026年10月21日 JFEケミカル

    社内IT環境に不正アクセス。取引先・社外関係者・社員の個人情報 最大約23万件が取得された 詳しく →

    不正アクセス(経路未公表)
23. 2026年10月21日 デジタルアーツ(「i-FILTER@Cloud」などクラウドサービスの運用環境)

    クラウドサービスの運用に使う認証情報が盗まれ、運用環境に侵入。2025年7月ごろにさかのぼる痕跡も 詳しく →

    盗まれた・弱いID/パスワード利用しているSaaS・他社製ソフト
24. 2026年10月20日 NEC(システム開発・保守の委託先。NECの顧客企業のシステムに波及)

    委託先へのサイバー攻撃で盗まれた正規アカウントが悪用され、顧客のサーバのファイルが暗号化 詳しく →

    委託先・取引先経由盗まれた・弱いID/パスワード
25. 2026年10月20日 国土交通省・経済産業省・環境省「住宅省エネ2024キャンペーン」(事務局: 博報堂が運営するシステム)

    補助金事業の事務局システムへの外部からの不正操作で、登録事業者の2万3,918名分が漏えいした可能性 詳しく →

    委託先・取引先経由
26. 2026年10月20日 トラストバンク「ふるさとチョイス」

    ふるさと納税サイトに不正アクセス。会員情報445万4,097件が流出し、寄附者向けサイトを停止 経緯・原因を読む →

    不正アクセス(経路未公表)
27. 2026年10月19日 ニフティ(社内用の回線申込・受付管理システム)

    回線申込・受付管理システムに不正アクセス。@nifty光の申込者 最大1万8,000件が影響を受けた可能性 詳しく →

    不正アクセス(経路未公表)
28. 2026年10月19日 エイチ・ツー・オー リテイリング/阪急阪神百貨店(「H2O ID」、予約サイト・HANKYU HANSHIN E-STORES・Remo Order)

    百貨店の予約サイトを経由して顧客管理システムに不正アクセス。共通ID「H2O ID」約126万件が漏えい 経緯・原因を読む →

    Webサービス・アプリ経由
29. 2026年10月19日 ユミルリンク「Cuenote FC」(メール配信サービスの専用ASPプラン。利用企業の配信先に波及)

    メール配信サービスなど50システムに不正アクセス。49システムでデータが出力され、漏えいのおそれは延べ最大5,162万8,280件 経緯・原因を読む →

    利用しているSaaS・他社製ソフト委託先・取引先経由
30. 2026年10月19日 クリプトン・フューチャー・メディア「SONICWIRE」「D2R」

    音楽制作ソフト販売サイトに不正アクセス。会員の登録情報36万2,137件が閲覧・取得された 詳しく →

    不正アクセス(経路未公表)
31. 2026年10月19日 パピレス「Renta!」

    電子書籍販売サイトに不正アクセス。一部会員のメールアドレスなどが流出したおそれ 詳しく →

    不正アクセス(経路未公表)
32. 2026年10月19日 リンクステーション(チケット購入サービス「GETTIIS」。主催者向け「Gettii-Lite」経由)

    主催者向けサービスの脆弱性を悪用され、チケット購入サービスの会員情報 約31.8万件が取得された 詳しく →

    Webサービス・アプリ経由
33. 2026年10月19日 エンタッチ(東邦ホールディングスの子会社。製薬企業向けリモートディテーリング)

    ランサムウェア攻撃を行う第三者の不正アクセスで、医療従事者との面談予約のデータが漏えい 詳しく →

    ランサムウェア
34. 2026年10月17日 石川コンピュータ・センター(顧客向けサポートサイト)

    顧客向けサポートサイトに不正アクセス。サービスを停止し、影響範囲を調査 詳しく →

    不正アクセス(経路未公表)
35. 2026年10月17日 Joshin(上新電機)

    ネットワークに不正アクセス。会員情報データベースなど最大約600万件が漏えいした可能性 経緯・原因を読む →

    不正アクセス(経路未公表)
36. 2026年10月17日 セカンドリテイリング(「ゲオ」「セカンドストリート」などを運営)

    社内システムに不正アクセス。ゲオ・セカンドストリートのアプリと通販を停止(漏えいは確認されず) 詳しく →

    不正アクセス(経路未公表)
37. 2026年10月16日 日本経済新聞社(システム開発に利用するクラウドサービス)

    開発用クラウドの認証情報を盗まれ、約183万件の個人情報が漏えい 経緯・原因を読む →

    盗まれた・弱いID/パスワード
38. 2026年10月16日 ファンケル・アテニア(ECサイト)

    ECサイトに不正アクセス。ファンケル約39万件・アテニア約44万件の会員情報が漏えい 経緯・原因を読む →

    Webサービス・アプリ経由
39. 2026年10月16日 Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及)

    Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に 経緯・原因を読む →

    利用しているSaaS・他社製ソフト委託先・取引先経由
40. 2026年10月16日 岩井コスモ証券(委託先: トレードワークスのシステム)

    委託先システムの設定の不備を突かれ、顧客4,975名の情報が漏えい。7口座で意図しない売買注文も 詳しく →

    委託先・取引先経由設定・管理の不備
41. 2026年10月15日 ソースネクスト

    会員情報を取得するAPIが不正に利用され、パスワードを含む会員情報最大2,251万9,960件が流出した可能性 経緯・原因を読む →

    Webサービス・アプリ経由
42. 2026年10月15日 ビーケー・ジャパン「バーガーキング公式アプリ」

    公式アプリの会員情報を管理するシステムに不正アクセス。会員情報約1,118万件が漏えい 経緯・原因を読む →

    不正アクセス(経路未公表)
43. 2026年10月15日 メドレー「@link(アットリンク)」「アットリンクアプリ」(産婦人科などの医療機関が利用)

    医療機関向けの業務支援システムに不正アクセス。最大787の医療機関で患者などの個人情報が漏えいした可能性 経緯・原因を読む →

    不正アクセス(経路未公表)
44. 2026年10月15日 エムスリー「MR君」(製薬企業向けサービス)

    製薬企業向けサービスに不正アクセス。医師会員の一部と製薬企業の担当者の氏名・勤務先などが漏えい 詳しく →

    不正アクセス(経路未公表)
45. 2026年10月15日 大和総研(内藤証券から運用を受託するインターネット取引システム「Financial Plate/WB4」)

    受託運用するネット取引システムのWebサーバーに不正アクセス。内藤証券の利用者最大631名の情報が漏えいした可能性 詳しく →

    Webサービス・アプリ経由委託先・取引先経由
46. 2026年10月15日 工房「発車オーライネット」(バス会社・旅行サイトとの連携用APIサーバー)

    バス予約サイトの連携用APIサーバーに不正アクセス。予約情報最大8,341件(5,614人)が流出した可能性 詳しく →

    Webサービス・アプリ経由委託先・取引先経由
47. 2026年10月15日 NTTソルマーレ「コミックシーモア」

    電子書籍ストアに不正アクセス。会員319件の登録情報と、ログファイル上の最大約420万件の情報が流出 経緯・原因を読む →

    不正アクセス(経路未公表)
48. 2026年10月15日 丸木医科器械(医療機器の商社。基幹システム)

    サーバーへの不正アクセスで、発注・仕入・入出庫を管理する基幹システムが全面停止 詳しく →

    不正アクセス(経路未公表)
49. 2026年10月14日 アエナ「ECアプリ」(化粧品の通販)

    通販アプリへの機械的な連続アクセスで、会員最大81万7,215人の情報が閲覧された可能性 詳しく →

    Webサービス・アプリ経由
50. 2026年10月14日 イズミ「ゆめオンライン」「ゆめデリバリー」(IDCFクラウドの被害の波及)

    メルマガ配信の委託先が使うIDCFクラウドへの攻撃で、氏名・メールアドレス最大約40万件が漏えいした可能性 詳しく →

    委託先・取引先経由
51. 2026年10月14日 マウスコンピューター(メールマガジン配信の委託先。IDCFクラウドの被害の波及)

    メルマガ配信の委託先が使うIDCFクラウドへの不正アクセスで、メールアドレス約42万件が漏えいした可能性 詳しく →

    委託先・取引先経由
52. 2026年10月13日 ライドオンエクスプレスホールディングス「銀のさら」「釜寅」「すし上等」

    利用サーバーの運営会社がランサムウェア攻撃を受け、最大約650万件の顧客情報が漏えいした可能性 詳しく →

    委託先・取引先経由
53. 2026年10月13日 Fivot「IDARE」

    業務用の外部ソフトの脆弱性を突かれ、利用者12万9,659人の登録情報・残高・取引履歴が漏えい 詳しく →

    利用しているSaaS・他社製ソフト
54. 2026年10月13日 アルカディア「SpeeCAN RAIDEN」ほか(自治体・学校などが使う一斉同報サービス)

    自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性 詳しく →

    Webサービス・アプリ経由委託先・取引先経由
55. 2026年10月13日 NEXT STAGE「Qualiz」「ACRO5」(社内で使うBIツール)

    社内で使うBIツール(Metabase)が不正利用され、取引先などの情報最大約4万件が漏えいした可能性 詳しく →

    利用しているSaaS・他社製ソフト
56. 2026年10月13日 JR九州フードサービス(トイポ社の顧客管理アプリ「トイポアプリ」の被害の波及)

    導入していた顧客管理アプリへの不正アクセスで、会員約2万6,900名の情報が漏えいした可能性 詳しく →

    利用しているSaaS・他社製ソフト
57. 2026年10月13日 ゴルフダイジェスト・オンライン

    不正アクセスでファイルをダウンロードされ、従業員・委託先の情報が流出。会員情報55件も照会された可能性 詳しく →

    不正アクセス(経路未公表)
58. 2026年10月9日 ブックオフグループホールディングス株式会社(子会社ブックオフコーポレーションの会員管理システム)

    子会社の会員管理システムに不正アクセス。会員データ642万7,735件(638万3,279人)が漏えい 経緯・原因を読む →

    不正アクセス(経路未公表)
59. 2026年10月9日 リゾートトラスト(グループ会員・ザ・カハラホテル&リゾート 横浜の予約者)

    自社管理のウェブサイトに不正アクセス。会員約2万6千件・ホテル予約者約3万6千件が漏えい 詳しく →

    Webサービス・アプリ経由
60. 2026年10月9日 アドベンチャー「skyticket」

    経路の違う3件の不正アクセス。最大約1,464万件の顧客情報が流出し、第2報でカード情報最大6,140名分の流出も判明 詳しく →

    Webサービス・アプリ経由設定・管理の不備
61. 2026年10月9日 ディップ「バイトル」「バイトルNEXT」

    求人サイトの会員メールアドレス最大388万5,771件が漏えいした可能性 詳しく →

    Webサービス・アプリ経由
62. 2026年10月9日 ココナラ「ココナラスキルマーケット」

    スキルマーケットに不正アクセス。会員の履歴書・職務経歴書2,294件が流出 詳しく →

    不正アクセス(経路未公表)
63. 2026年10月9日 コミューン「Commune」「Commune for Work」(ヤマハ・スズキ・Sansan・パナソニック・LINEヤフーなどの利用コミュニティ)

    企業向けコミュニティ基盤に不正アクセス。推計約30.7万人の会員情報が漏えい 詳しく →

    利用しているSaaS・他社製ソフトWebサービス・アプリ経由
64. 2026年10月9日 JR東日本「えきねっと」「大人の休日倶楽部」(IDCFクラウドの被害の波及)

    IDCFクラウドへの攻撃の影響で、会員のメールアドレスなど最大約206万件に漏えいの可能性と発表。10-15に漏えいはなかったとの報告を受けたと公表 詳しく →

    委託先・取引先経由
65. 2026年10月9日 JR九州「JR九州Web会員」(IDCFクラウドの被害の波及)

    IDCフロンティアへの不正アクセスに伴い、会員のメールアドレス最大約130万件に漏えいの可能性と発表。10-15に漏えいの事実は確認されずと続報 詳しく →

    委託先・取引先経由
66. 2026年10月8日 ローソン「ローソンID」「ローソンアプリ予約」

    ローソンIDの情報を表示する仕組みに不正アクセス。215万5,345件の個人情報が漏えい 詳しく →

    Webサービス・アプリ経由
67. 2026年10月8日 株式会社ユーザベース(NewsPicks)

    業務用の管理ツールに不正アクセス。メールアドレス最大32.3万件、カード情報の一部最大36.2万件などが漏えいした可能性 経緯・原因を読む →

    不正アクセス(経路未公表)
68. 2026年10月8日 第一興商(委託先: 日本コロムビアグループ)

    委託先の従業員PC1台がマルウェアに感染。ビッグエコーなどの顧客・従業員約872万4,000件に漏えいのおそれ 詳しく →

    委託先・取引先経由
69. 2026年10月7日 IDCフロンティア「IDCFクラウド」

    クラウド基盤がランサムウェア攻撃を受け、495の企業・自治体に影響 経緯・原因を読む →

    ランサムウェアWebサービス・アプリ経由委託先・取引先経由
70. 2026年10月7日 戸田建設

    支払い管理システムなどに不正アクセス。取引先と従業員4,778名の情報 詳しく →

    不正アクセス(経路未公表)
71. 2026年10月7日 エイチ・アイ・エス(タイ現地法人 H.I.S. TOURS CO., LTD.)

    タイ現地法人のファイルサーバに不正アクセス。最大627名分のパスポート情報が流出した可能性 詳しく →

    不正アクセス(経路未公表)
72. 2026年10月6日 楽天グループのクラウドストレージ「楽天ドライブ」

    管理用アカウントの認証情報を悪用され、1万5,382アカウント分の保存データが閲覧・取得 詳しく →

    盗まれた・弱いID/パスワード
73. 2026年10月6日 ミスターマックス・ホールディングス(MrMaxアプリ・オンラインストア)

    サービスを構成するソフトウェアの機能を悪用され、会員情報最大173万5,154人分 詳しく →

    Webサービス・アプリ経由
74. 2026年10月6日 旭化成セラピューティクス「Pharma DIGITAL」(委託先: 医薬情報ネット)

    医療従事者向けサイトの委託先に不正アクセス。最大約51.4万名分 詳しく →

    委託先・取引先経由
75. 2026年10月5日 大和証券(委託先: スカラコミュニケーションズ「i-ask」)

    問い合わせ管理の委託先に不正アクセス。顧客約11万名分 経緯・原因を読む →

    委託先・取引先経由利用しているSaaS・他社製ソフト
76. 2026年10月5日 GMOリサーチ&AI「infoQ」

    サイトのソフトウェアの脆弱性を悪用され、会員情報89万4,082件が持ち出された。ポイントの不正交換も 経緯・原因を読む →

    Webサービス・アプリ経由
77. 2026年10月5日 物語コーポレーション「焼肉きんぐ」公式アプリ

    会員管理システムから、登録者のほぼ全員の約1,079万件 経緯・原因を読む →

    Webサービス・アプリ経由
78. 2026年10月5日 大起水産「大起水産公式アプリ」

    公式アプリに不正アクセス。会員17万4,933人分が漏えいのおそれ 詳しく →

    不正アクセス(経路未公表)
79. 2026年10月4日 日本経済新聞社(社員のGoogle Workspace・Microsoft 365アカウント)

    社員アカウントへの不正ログインで1,646人分が漏えい。なりすましメール約9,000件も 詳しく →

    盗まれた・弱いID/パスワード
80. 2026年10月4日 日経BP(従業員のメールアカウント)

    日経社員のアドレスから届いたフィッシングメールで認証情報を盗まれ、26件が漏えいのおそれ 詳しく →

    盗まれた・弱いID/パスワード
81. 2026年10月3日 リクルート「スタディサプリ」

    機能の仕様の不備を突かれ、メールアドレス3,687件の登録の有無を特定された可能性 詳しく →

    Webサービス・アプリ経由
82. 2026年10月2日 大阪公立大学

    ランサムウェアで学内システムが停止し、全授業を約1週間休講 経緯・原因を読む →

    ランサムウェア委託先・取引先経由盗まれた・弱いID/パスワード
83. 2026年10月2日 第一ライフグループ・第一生命保険(従業員向け人事システム)

    従業員向け人事システムに不正アクセス。従業員・退職者約12万名分 詳しく →

    不正アクセス(経路未公表)
84. 2026年10月1日 日本原子力研究開発機構(JRR-3 研究支援サイト)

    研究炉の利用手続きサイトから、顔写真付き身分証の画像など367件 詳しく →

    不正アクセス(経路未公表)
85. 2026年10月1日 ローソン(自社メールサーバ)

    メールサーバを不正利用され、不審な英文メール推計約70万件が送信 詳しく →

    不正アクセス(経路未公表)
86. 2026年10月1日 チケットプラス「チケプラ」

    キャッシュ設定の変更で、別の会員の情報が画面に表示 詳しく →

    設定・管理の不備
87. 2026年10月1日 らしんばん(運営するサービス)

    運営サービスに不正アクセス。買取の口座情報や本人確認書類の番号などが漏えいした可能性 詳しく →

    不正アクセス(経路未公表)
88. 2026年9月30日 佐川急便(荷物問い合わせサービスなど)

    約100日分の送り主・届け先の情報など最大約5,323万件(重複を含む)が流出した可能性。Webサービスを停止 経緯・原因を読む →

    Webサービス・アプリ経由
89. 2026年9月30日 ベネフィット・ワン「ベネワン・プラットフォーム」

    アンケート機能の不具合で、他の利用企業の従業員情報1万3,460名分がダウンロード可能に 詳しく →

    設定・管理の不備
90. 2026年9月30日 ジー・プラン「Gポイント」

    ポイント交換サービスに不正アクセス。会員識別子最大約7万件。サービスを停止 詳しく →

    不正アクセス(経路未公表)
91. 2026年9月30日 学校法人修道学園(広島修道大学など)

    管理サーバへの不正アクセスで、教職員や取引先の口座情報などが漏えいのおそれ 詳しく →

    不正アクセス(経路未公表)
92. 2026年9月30日 関西国際大学

    学内システムに不正アクセス。eポートフォリオのファイルが外部から取得され、学内ネットワークを停止 詳しく →

    不正アクセス(経路未公表)
93. 2026年9月29日 セイコーマート「セイコーマートアプリ」

    アプリのサーバに不正アクセス。57万4,647人分 経緯・原因を読む →

    Webサービス・アプリ経由
94. 2026年9月29日 日本郵便「郵便局アプリ」「ゆうID」

    郵便局アプリへの不正アクセスで、69件(19名分)の顧客情報が取得 詳しく →

    Webサービス・アプリ経由
95. 2026年9月29日 ユニリタ

    社内の文書管理システムから契約書・認証情報・個人情報などが窃取され、10-12に公開された 詳しく →

    不正アクセス(経路未公表)
96. 2026年9月29日 ヤマト運輸「クロネコ代金後払いサービス」

    後払い決済の利用者情報 約526万件ほかが持ち出された(第4報) 経緯・原因を読む →

    不正アクセス(経路未公表)
97. 2026年9月29日 イープラス(電子チケット「スマチケ」の払戻し情報の管理システム)

    払戻しを申請した顧客1,463件の個人情報 詳しく →

    不正アクセス(経路未公表)
98. 2026年9月28日 集英社「HAPPY PLUS COMMUNITY」

    CMSの設定の不備を突かれ、ブロガー2,835人分などが漏えい 詳しく →

    設定・管理の不備
99. 2026年9月28日 手間いらず「TEMAIRAZU」(利用する宿泊施設の予約者に波及)

    宿泊施設向け予約管理システムに不正アクセス。予約者最大約445万人の宿泊予約情報が閲覧・取得された可能性 詳しく →

    利用しているSaaS・他社製ソフト委託先・取引先経由
100. 2026年9月27日 東京メトロ「メトロポイントクラブ」

     ポイントサービスのサーバに不正アクセス。メールアドレス約5.9万件 詳しく →

     Webサービス・アプリ経由
101. 2026年9月27日 スターツ出版「オズモール(OZmall)」

     サイトの脆弱性を突かれ、会員のメールアドレスなど最大約44万人分 詳しく →

     Webサービス・アプリ経由
102. 2026年9月26日 京王電鉄グループ

     グループの営業システムに支障。鉄道の運行は影響なし 経緯・原因を読む →

     ランサムウェア
103. 2026年9月26日 ニッポンレンタカーサービス「ニッポンレンタカーアプリ」

     アプリへの不正アクセスで会員41名分。調査中に別の手法による不正アクセスも判明 詳しく →

     不正アクセス(経路未公表)
104. 2026年9月25日 タイムズモビリティ(パーク24グループ)「タイムズカー」

     Webシステムの脆弱性を悪用され、会員情報662万8,007件と運転免許証などの画像146万4,800件に外部送信の痕跡 経緯・原因を読む →

     Webサービス・アプリ経由
105. 2026年9月25日 スマレジ「スマレジEC・リピート」「スマレジEC・B2B」

     EC構築サービスの管理画面のログイン機能の脆弱性を悪用され、利用企業4社に影響の可能性 詳しく →

     Webサービス・アプリ経由
106. 2026年9月25日 佐賀大学

     事務部門のNASのファイルがランサムウェアで暗号化 詳しく →

     ランサムウェア
107. 2026年9月25日 ファインズ(店舗向け予約システム)

     予約システムへの不正アクセスで、予約者情報約153.6万件に影響 詳しく →

     不正アクセス(経路未公表)
108. 2026年9月25日 日本郵便「調査請求Web受付」(国際郵便)

     国際郵便の調査請求のWeb受付に、外部から不正アクセスの可能性 詳しく →

     不正アクセス(経路未公表)
109. 2026年9月24日 池上通信機

     外部からの情報提供で発覚。サーバ内ファイルの暗号化を確認 詳しく →

     ランサムウェア
110. 2026年9月16日 Helpfeel「Gyazo」

     アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件 経緯・原因を読む →

     Webサービス・アプリ経由利用しているSaaS・他社製ソフト
111. 2026年9月11日 デジタル庁「ガバメントソリューションサービス(GSS)」

     VPN機器の脆弱性から侵入。約24.6万件 経緯・原因を読む →

     VPN・リモートアクセス機器
112. 2026年9月11日 ロート製薬

     通販の顧客対応システムなどから、通話音声データが取得された可能性 詳しく →

     不正アクセス(経路未公表)
113. 2026年8月28日 T&K TOKA

     ランサムウェアで一部業務を停止 詳しく →

     ランサムウェア
114. 2026年8月18日 VOISING(利用するBIツール)

     利用するBIツールの既知の脆弱性を突かれ、約17万件の個人情報が漏えい 詳しく →

     利用しているSaaS・他社製ソフト
115. 2026年8月17日 さくらインターネット

     レンタルサーバ951アカウントに影響。販売管理システムへの不正アクセスは3年続いていた 経緯・原因を読む →

     設定・管理の不備利用しているSaaS・他社製ソフト
116. 2026年8月15日 両毛システムズ(委託元: 伊勢崎市・ガス事業者など)

     VPNアカウントを悪用され、委託元のガス会社・自治体に波及 経緯・原因を読む →

     ランサムウェア委託先・取引先経由VPN・リモートアクセス機器
117. 2026年8月10日 REXT(WonderGOO、新星堂、JEANS MATEなど)

     店舗の臨時休業、キャッシュレス決済と買取の停止 詳しく →

     ランサムウェア
118. 2026年8月1日 Eストアー「ショップサーブ」

     EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表) 経緯・原因を読む →

     利用しているSaaS・他社製ソフト委託先・取引先経由
119. 2026年7月24日 ムラウチドットコム

     Webシステムの脆弱性を突かれ、約772万件が持ち出し 経緯・原因を読む →

     Webサービス・アプリ経由
120. 2026年7月14日 ファイブフォックス

     上位会員の顧客情報と従業員情報が漏えいした恐れ 詳しく →

     ランサムウェア
121. 2026年7月13日 ニチレイ

     冷凍食品の出荷と冷蔵倉庫の入出庫が停止。取引先約5,000社に影響 経緯・原因を読む →

     不正アクセス(経路未公表)
122. 2026年7月13日 日本交通

     電話でのタクシー配車とハイヤーの予約管理が停止 詳しく →

     ランサムウェア
123. 2026年6月30日 アフラック生命保険

     契約者向けサイトへの不正アクセスで、約440万人分 経緯・原因を読む →

     Webサービス・アプリ経由
124. 2026年6月30日 武蔵野大学

     バックアップから復旧し、運営に支障なし。一方でリークサイトに掲載 詳しく →

     ランサムウェア
125. 2026年6月23日 KDDI(ISP 6社に波及)

     ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件 経緯・原因を読む →

     利用しているSaaS・他社製ソフト委託先・取引先経由設定・管理の不備
126. 2026年4月3日 YCC情報システム(委託元: 山形市など)

     自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象 経緯・原因を読む →

     ランサムウェア委託先・取引先経由VPN・リモートアクセス機器盗まれた・弱いID/パスワード
127. 2026年3月30日 コタ

     システム障害で決算短信の開示が期末後50日を超える 詳しく →

     ランサムウェア
128. 2026年2月 マイナビ

     業務で使う外部クラウドサービスが侵害され、最大11万件 詳しく →

     利用しているSaaS・他社製ソフト
129. 2026年2月 ワシントンホテル

     ランサムウェアで一部ホテルのカード決済端末が停止 詳しく →

     ランサムウェア
130. 2026年2月 ホソカワミクロン

     二重恐喝型のランサムウェアで、マイナンバーを含む情報が公開 詳しく →

     ランサムウェア
131. 2026年1月20日 トンボ飲料

     リモートデスクトップソフトから侵入され、サーバが暗号化 詳しく →

     ランサムウェアVPN・リモートアクセス機器
132. 2025年11月14日 東海大学(委託先: 東海ソフト開発)

     委託先が持ち帰ったデータがランサムウェア被害に。延べ19万人分 経緯・原因を読む →

     委託先・取引先経由ランサムウェアVPN・リモートアクセス機器盗まれた・弱いID/パスワード
133. 2025年11月4日 日本経済新聞社

     社員の私物PCの感染からSlackに不正ログイン。1万7,368人分 経緯・原因を読む →

     盗まれた・弱いID/パスワード
134. 2025年10月19日 アスクル(無印良品・ロフトのECに波及)

     多要素認証の「例外」だった委託先アカウントから侵入。221億円の最終赤字 経緯・原因を読む →

     ランサムウェア委託先・取引先経由盗まれた・弱いID/パスワード設定・管理の不備
135. 2025年9月29日 アサヒグループホールディングス

     国内の受注・出荷が停止。約191万件、営業減益要因400億円弱 経緯・原因を読む →

     ランサムウェアVPN・リモートアクセス機器
136. 2025年8月29日 ハウステンボス

     リモートアクセス機器から侵入。顧客約150万人分と役職員のマイナンバー 経緯・原因を読む →

     ランサムウェアVPN・リモートアクセス機器
137. 2025年7月11日 審調社(委託元: 損保・生保など)

     保険会社の損害調査の委託先が被害。30社超に波及 経緯・原因を読む →

     ランサムウェア委託先・取引先経由VPN・リモートアクセス機器
138. 2025年5月7日 PR TIMES

     経緯の分からない許可IPと使っていない共有アカウントから侵入。発表前のリリースも 経緯・原因を読む →

     設定・管理の不備盗まれた・弱いID/パスワード
139. 2025年4月15日 IIJ「IIJセキュアMXサービス」

     他社製Webメールソフトの未知の脆弱性で、31万アカウントの漏えいを確認 経緯・原因を読む →

     利用しているSaaS・他社製ソフト委託先・取引先経由
140. 2025年3月5日 NTTコミュニケーションズ

     法人顧客1万7,891社の契約情報が流出した可能性 詳しく →

     不正アクセス(経路未公表)
141. 2025年3月 証券各社(SBI証券、楽天証券ほか)

     証券口座の乗っ取りが急増。2025年の不正取引は売買計約7,415億円 経緯・原因を読む →

     盗まれた・弱いID/パスワード
142. 2025年2月27日 楽天モバイル

     盗まれた楽天IDで1,000回線超が不正契約。中高生3人を逮捕 詳しく →

     盗まれた・弱いID/パスワード
143. 2024年12月26日 JAL・三菱UFJ銀行・NTTドコモほか

     年末年始にDDoS攻撃が続き、JALは71便が遅延 詳しく →

     DDoS
144. 2024年10月8日 カシオ計算機

     受発注・修理のシステムが止まり、決算発表を延期。身代金は拒否 経緯・原因を読む →

     ランサムウェア盗まれた・弱いID/パスワード
145. 2024年9月13日 関通

     物流代行の倉庫管理システムが停止し、利用するEC事業者の出荷が止まる 経緯・原因を読む →

     ランサムウェアVPN・リモートアクセス機器委託先・取引先経由
146. 2024年7月17日 東京ガスエンジニアリングソリューションズ

     VPN経由の侵入で約416万人分。業務委託元51事業者に波及 経緯・原因を読む →

     VPN・リモートアクセス機器盗まれた・弱いID/パスワード委託先・取引先経由
147. 2024年7月5日 JAXA

     VPN装置を起点に侵入し、盗んだアカウントでMicrosoft 365へ 詳しく →

     VPN・リモートアクセス機器盗まれた・弱いID/パスワード
148. 2024年6月 イセトー(委託元: 自治体・金融機関・公文など)

     通知書の印刷委託先が被害。307万人分が流出し、委託元に波及 経緯・原因を読む →

     ランサムウェア委託先・取引先経由VPN・リモートアクセス機器設定・管理の不備
149. 2024年6月 KADOKAWA/ドワンゴ

     ニコニコが約2カ月停止。25万人分が流出し、特別損失約20億円 経緯・原因を読む →

     ランサムウェア盗まれた・弱いID/パスワード
150. 2024年5月31日 DMM Bitcoin(委託先: Ginco)

     委託先の社員を偽の採用試験でだまし、約482億円のビットコインを不正送金 経緯・原因を読む →

     委託先・取引先経由盗まれた・弱いID/パスワード
151. 2024年5月20日 岡山県精神科医療センター

     電子カルテが全停止。保守用VPNの脆弱性が6年放置されていた 経緯・原因を読む →

     ランサムウェアVPN・リモートアクセス機器設定・管理の不備
152. 2024年4月1日 HOYA

     国内外で受注・生産システムが停止。概ね回復まで約3週間 経緯・原因を読む →

     ランサムウェア
153. 2024年3月15日 富士通

     業務PC49台がマルウェアに感染し、顧客情報を含むファイルが持ち出された可能性 詳しく →

     不正アクセス(経路未公表)

網羅的な一覧ではありません。影響が大きかったもの、手口や原因から学べることが多いものを選んでいます。件数は最新の公式発表の値で、調査が進むと変わることがあります。誤りや更新があれば、ページ下のフォームからお知らせください。

手口別に見る

年表の事案を手口ごとにまとめ、該当する事案と、まずやる対策を並べました。1つの事案が複数の手口に当てはまることがあります。

• ランサムウェア 28件

  暗号化と窃取で業務を止め、身代金を要求する

• 委託先・取引先経由 35件

  データを預けた委託先や取引先の被害が自社に波及する

• VPN・リモートアクセス機器 13件

  VPN装置・リモートデスクトップ・ネットワーク機器の脆弱性や認証情報から入られる

• 盗まれた・弱いID/パスワード 19件

  フィッシング、リスト型攻撃、私物端末の感染、多要素認証の例外

• 利用しているSaaS・他社製ソフト 20件

  使っているSaaSや組み込んだ他社製ソフトの脆弱性で、利用企業の情報が漏れる

• Webサービス・アプリ経由 32件

  自社が公開しているWebサービス・アプリのサーバから会員情報が取得される

• 設定・管理の不備 11件

  放置された許可IP、共有アカウント、平文のパスワード、見ていないログ

起きたときに・起きる前に

事案を並べて見えてきたことを、経営者・情シスが使える形の解説にしました。

• 2026年9月末から相次ぐ情報漏えい｜公表された事案の一覧と、分かっている原因・共通点 2026年9月25日から10月30日までに第1報が出た国内の不正アクセス・情報漏えいを一覧にしました。9月25日〜10月8日の36件は公表された原因を型ごとに数え、共通する対応、同じ時期に集中したことについて分かっていること・いないことを整理しています(2026-10-30時点)。
• 「個人情報漏えいのお知らせ」が届いたら｜利用者・取引先としてやること、偽メールの見分け方 個人情報漏えいの通知が届いたときにやることを、公的機関の案内と各社の注意喚起から整理しました。パスワードの変更、不正利用の確認、本人確認書類の画像が漏れた場合、偽メールの見分け方、相談先4つを載せています(2026-10-08時点)。
• 生成AIでサイバー攻撃は増えたのか｜分かっていること・いないことと、会社の守り方 2026年9月末からの情報漏えいについて「AIの悪用」を指摘する報道や調査が出ています。報道とセキュリティ企業の指摘、警察庁・IPA・国家サイバー統括室・JPCERT/CCの公表、今回の事案で会社が公表した原因を分けて整理しました。AIの関与を公表した被害企業は2026-10-21時点で確認できていません。
• なぜデータ流出・不正アクセスが相次ぐのか｜国内の事案と統計から見える6つの理由 日本企業でデータ流出・不正アクセス・ランサムウェア被害が相次ぐ理由を、2024年から2026年10月6日までの国内51件の事案と警察庁・IPAの統計から6つに整理しました。入口、攻撃の分業化、委託先、認証の例外、発覚の遅れ、データの持ちすぎの順に解説します。
• サイバー被害の統計(2024〜2026年)｜ランサムウェア件数・漏えい報告件数・不正取引額の一次情報まとめ 警察庁・個人情報保護委員会・東京商工リサーチ・金融庁の統計を一次情報で整理しました。2026年上半期のランサムウェア被害は123件で半期最多、2025年度の漏えい等報告は1万7,139件。侵入経路・復旧費用・バックアップの数字と読み方も解説します。東京商工リサーチの2026年10月の集計も載せています(2026-10-21時点)。
• 経営者・情シスが今週確認する10項目｜国内の事案で実際に入口になったところ 2024年から2026年10月までの国内の事案で、実際に入口や被害拡大の原因になったところを10項目の確認リストにしました。VPN機器、多要素認証の例外、委託先、バックアップ、手作業での業務継続、連絡先まで、項目ごとに該当した事案と確かめ方を書いています。
• 不正アクセス・ランサムウェアが起きたときの初動｜最初の72時間にやること・やらないこと 不正アクセスやランサムウェアの被害に気づいたとき、最初の72時間にやること・やらないことを、個人情報保護委員会のガイドラインと国内の事案から整理しました。切り離し、記録、専門会社と警察への相談、報告、取引先への連絡、業務の継続の順に解説します。IPAの事業者向けの相談窓口も載せています(2026-10-21時点)。
• 個人情報の漏えい報告の義務と期限｜速報3〜5日・確報30日/60日・本人通知(個人情報保護委員会) 個人データが漏えいしたとき(おそれを含む)の個人情報保護委員会への報告義務を、ガイドライン(通則編)の原文で整理しました。報告が必要な4つの事態、速報は概ね3〜5日以内、確報は30日以内(不正目的は60日以内)、本人通知、委託先の扱いまで(2026-10-06時点)。
• サイバー対処能力強化法・能動的サイバー防御・SCS評価制度｜中小企業に関係する制度の動き(2025〜2026年) 2026年10月1日に大部分が施行されたサイバー対処能力強化法(能動的サイバー防御)、経産省のSCS評価制度、IPA10大脅威2026、個人情報保護法の改正を、中小企業に何が関係するかに絞って整理しました。報告期限は法令の原文で確認しています。相次ぐ漏えいを受けた2026年10月の自民党の緊急提言と、政府の関係閣僚会議の動きも載せています(2026-10-30時点)。
• eKYCとは｜2027年4月から本人確認はICチップの読み取りへ。犯収法・携帯電話不正利用防止法の改正と、事業者が今やること(2026年10月) eKYC(オンラインの本人確認)が注目されている理由を、2027年4月1日施行の犯収法施行規則の改正(書類画像を送る方法の廃止、対面でのICチップ読み取り)、携帯電話の契約の本人確認の見直し、本人確認書類の画像の漏えいから整理しました。最近のニュースを日付つきの表にし、立場ごとに今やることをまとめています(2026-10-13時点)。
• A2B攻撃とは｜公開アプリを解析してサーバーを狙う手口。NICTと総務省の注意喚起(2026年10月13日)と、アプリを出している会社が今やること A2B攻撃(App-to-Backend Attack)は、公開されているスマートフォンアプリを解析して、接続先のサーバーの仕組みを調べ、その弱点を狙う手口です。NICTが2026年10月13日に、国内で相次ぐ情報漏えいの原因の一つとして特定し、総務省が同日に注意喚起を出しました。仕組み、狙われている4種類の弱点、アプリを出している会社が今やること(侵害の確認・点検・暫定の緩和策)、開発会社に聞く質問を、原文をもとに整理しました(2026-10-13時点)。
• PHPの緊急脆弱性(2026年10月21日)｜修正版8.5.12・8.4.27・8.3.36・8.2.35が公開。対象の環境、自社サイトの確かめ方、いまやること PHPの開発チームは2026年10月21日23時(日本時間)、認証なしで遠隔からコードを実行されうる脆弱性2件(CVE-2026-109618・CVE-2026-109619)の修正版8.5.12・8.4.27・8.3.36・8.2.35を公開しました。対象の環境、8.1以前の扱い、高市首相の呼びかけなど国内の動き、自社サイトが対象かの見分け方、いまやること、すぐ更新できないときの緩和策、サーバー会社の対応状況を整理しました(2026年10月22日9時15分時点)。
• Node.jsの脆弱性10件(2026年10月21日)とNext.jsの緊急修正(10月14日)｜Next.js・Nuxt・Expressで作ったサイトの発注者が確認すること Node.jsは2026年10月21日、深刻度Highの4件を含む脆弱性10件を修正した26.12.1・24.22.1・22.23.4を公開しました。1週間前にはNext.jsが認証なしで遠隔コード実行されうる重大な脆弱性2件を修正しています。PHPと同じ日に出た修正を、Node.jsで作ったサイト・システムの発注者向けに、対象の見分け方、誰が更新するか、委託先に聞く質問の順で整理しました(2026年10月22日9時40分時点)。
• 【2026年】ITセキュリティ補助金最新情報｜国の「セキュリティ対策推進枠」(6次は10月30日で締切・7次は日程未公表)と東京都の助成金(第3回は2027年1月)、要件と申請の流れ 中小企業がセキュリティ対策に使える補助金を、公式情報だけでまとめました。国のデジタル化・AI導入補助金2026「セキュリティ対策推進枠」(5万〜150万円、1/2または2/3。6次は2026年10月30日17時で締め切り、7次の締切は未公表)、対象になる「お助け隊サービス」の中身と料金の上限、東京都のサイバーセキュリティ対策促進助成金(1/2、上限500万円、第3回は2027年1月)。要件(gBizID・SECURITY ACTION)、申請の流れ、落とし穴まで(2026年10月30日時点)。
• CloudflareはPHPの緊急脆弱性にどう対応したか｜修正版の公開前に無料プランまでWAFを配布。自社サイトが守られているかの確かめ方と、WAFでは足りないこと 2026年10月21日のPHP緊急修正(php2shell)に対し、Cloudflareは修正版の公開前(同社は「公開の約9時間前」と説明)にWAFの保護を全プラン(無料を含む)へ自動で配布しました。何をいつ配ったか、新機能「full transaction detection」の仕組み、自社のサイトがCloudflareの後ろにあるかと保護が効いているかの確かめ方、WAFだけでは足りない理由を、Cloudflare公式の発表をもとに整理します(2026年10月22日時点)。