株式会社ウェステリア 相談する
セキュリティ相談窓口
無料で初動相談
131件 ・ 2026-10-30 更新

2026年に公表された国内のデータ流出・不正アクセス事案(131件)

2026年は、サイバー攻撃で物流・小売・交通の業務が止まる事案が続きました。ニチレイ(原因は未公表)では冷凍食品の出荷と冷蔵倉庫の入出庫が止まり、報道では取引先約5,000社に影響が出ました。

委託先や基盤事業者の被害が、多くの組織に一度に広がる事案も目立ちます。KDDIのISP向けメールシステムでは、6社の利用者のメールアドレス約1,223万件が漏えいしました。

9月中旬からは、会員向けのWebサービス・アプリからの大規模な流出の公表が続いています。9月25日から10月8日までに第1報が出たものは、当特集が確認できただけで36件です。焼肉きんぐのアプリ(約1,079万件)やタイムズカー(会員情報約663万件と免許証などの画像約146万件に外部送信の痕跡)などです。10月8日から20日にも、ソースネクスト(最大約2,252万件)、skyticket(最大約1,464万件)、バーガーキングの公式アプリ(約1,118万件)、Joshin(最大約600万件)、ふるさとチョイス(445万4,097件)などの公表が続きました。10月21日から30日には、カプコンの「CAPCOM ID」(全世界1,177万4,247件)、花キューピット(423万8,242件)、リクルートの「カーセンサー」(最大370万9,551件)、楽天トラベル(最大約260万件ほか)、So-net(214万1,986件)などが公表しています。メール配信サービスのユミルリンク「Cuenote FC」(延べ最大約5,163万件)とラクスライトクラウド「ブラストメール」の被害は、配信を使う企業・団体の顧客の情報にも及びました。委託先や基盤の被害では、大阪公立大学のランサムウェアの原因がNECの再委託先の正規アカウントだったと10月21日に公表され、航空会社の予約システムを提供するAmadeusの被害もJAL・ANAに及んでいます。共通の原因は、2026年10月30日時点で公表されていません。一覧は解説「2026年9月末から相次ぐ情報漏えい」にまとめています。

2026年上半期のランサムウェア被害報告
123件
半期として統計開始以来最多です。中小企業が79件、業種では製造業が37件で最多でした。
出典: 令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について

統計の一次情報と読み方 →

手口の内訳

2026年の131件を手口ごとに数えました。1つの事案が複数の手口に当てはまるため、合計は件数と一致しません。

事案の一覧

新しい順に並べています。日付は第1報の公表日です(日まで確認できないものは月まで)。犯行グループは、企業が認めたものと、攻撃者が主張しているだけのものを書き分けています。

手口

131件を表示

  1. アイリスオーヤマ 公式通販サイト「アイリスプラザ」 生活用品・家電の製造・販売

    公式通販サイトで不正アクセスを確認し、サイトを一時停止。情報漏えいの有無は調査中

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(ECサイトへの不正アクセス。調査中)
    影響
    公式通販サイト「アイリスプラザ」で不正アクセスを確認し、サイトを一時停止した。クレジットカード情報の漏えいは確認されていない。その他の情報は漏えいの可能性を含めて調査中で、検知日時・件数・侵入経路は公表されていない(2026-10-29時点)。
  2. 松屋フーズ(松屋公式アプリ・ホームページ) 外食

    外部からの不正アクセスを検知し、公式アプリ・モバイルオーダー・ホームページを停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセスを検知。原因と影響範囲を特定中)
    影響
    外部からの不正アクセスを検知したため、松屋公式アプリ(弁当予約「松弁ネット」・モバイルオーダー・宅配「松弁デリバリー」)とホームページなどの関連サービスを停止している。報道によると10-28夕方から利用障害が出ていた。漏えいの有無・件数・侵入経路は公表されておらず、復旧の見通しは改めて知らせるとしている(2026-10-29時点)。
    ここから学べること
    公式の告知(ホームページのトップに表示)には掲載日の記載がなく、公表日は ITmedia の「10月29日までに発表」による。専門報道は1件のみ。
  3. 花キューピット「インターネット花キューピット」「ビジネス花キューピット」 花の通信販売

    花の通販サイトの管理システムに不正アクセス。会員423万8,242件のIDとメールアドレスなどが漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(管理システムへの不正アクセス。攻撃経路は遮断済み)
    影響
    2026-10-14〜10-15に管理システムへの不正アクセスがあり、10-19に会員情報の漏えいを確認した。該当する可能性のある顧客は4,238,242件(退会者を含む)で、項目はユーザーID・不可逆暗号化したパスワード・PC用と携帯用のメールアドレス。氏名・住所・電話番号・生年月日・カード番号・届け先などは含まれず、外部モール・電話・加盟店での注文も対象外。10-28から対象者にメールで連絡している。個人情報保護委員会と警察(サイバー犯罪相談窓口)に報告した。二次被害は確認されていない(2026-10-28時点)。
  4. ソニー生命保険(契約者向け「お客さまWEBサービス」など。メディケア生命の契約情報) 生命保険

    契約者向けサイトに不正アクセス。代理店として扱ったメディケア生命の契約情報 約38.5万件が漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(契約者専用サイトなどへの不正アクセス。詳細は調査中)
    影響
    2026-10-27に契約者専用サイト「お客さまWEBサービス」などへの不正アクセスが判明し、外部からのアクセスを遮断した。10-28 8時から、お客さまWEBサービス・ソニー生命アプリ・ダイレクト請求サービスなどを停止している(再開は未定)。漏えいしたのは、同社が保険代理店として扱ったメディケア生命保険の契約の契約者・被保険者の氏名・生年月日・性別・住所・電話番号・証券番号・契約内容など約38.5万件。マイナンバー・クレジットカード情報・保険料の振替口座情報は含まれない。金融庁に報告した。不正使用は確認されていない(2026-10-28時点)。
  5. モイ「ツイキャス」 ライブ配信サービス

    ライブ配信サービスに不正アクセスの痕跡。サービスを緊急停止し、7件の個人情報へのアクセスを確認

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス。調査中)
    影響
    2026-10-28 10:20ごろに探索行動があり、10:30ごろに不正アクセスの痕跡を検知。10:40ごろからツイキャスとコーポレートサイトを緊急停止し、10:45ごろにネットワークを遮断した。第2報(10-29)で、停止までに計7件の個人情報へのアクセスの痕跡を確認したと公表した(カードの有効期限と暗号化された名義1件、メールアドレスと活動履歴など6件。カード番号とセキュリティコードは保持していない)。一部にアカウントIDやメールアドレスを含むサーバー上のログへのアクセスも確認し、規模を調査している。大規模なデータの流出は確認されていない。連携SNSの接続と外部サービスの認証情報をすべてリセットし、アクセス記録を警察などに提出した。再開時期は未定(2026-10-29時点)。
  6. ベネフィット・ワン「トク買」(委託先フォレステックのシステム。クレディセゾン会員向け) 福利厚生代行・会員向け優待

    委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい

    委託先・取引先経由
    侵入経路・原因
    未公表(業務委託先フォレステックが運用するシステムへの第三者による不正アクセス。詳細な原因は調査中)
    影響
    2026-10-14 13:45から10-20 14:05まで断続的に不正アクセスがあり、10-21にフォレステックが一部を検知してベネフィット・ワンに報告、同日17時に対象サービスを停止した。10-23に個人情報保護委員会に速報。10-24〜25に追加の不正アクセスが見つかった。漏えいしたのは「トク買」(クレディセゾン会員向けサービス)の29,465人(退会者を一部含み、今後変わる可能性がある)の氏名・フリガナ・生年月日・性別・郵便番号・メールアドレス・お客様番号・入退会情報・会費の決済処理に使う管理番号(カード番号ではない)。別に、決済システムとの連携に使う認証関連情報の一部が漏えいしたおそれがあり、10-26に変更した。カード番号・有効期限・セキュリティコードは決済代行事業者が管理しており対象外。クレディセゾンの管理するシステムからの漏えいではない。不正利用は確認されていない。警察に相談している。サービスの再開時期は未定(2026-10-28時点)。
    ここから学べること
    2026-09-30公表の benefit-one-2026(アンケート機能の不具合による他社従業員情報の閲覧)とは別の事案。
  7. 日本航空・日本トランスオーシャン航空・全日本空輸(旅客サービスシステムを提供する Amadeus への不正アクセスの波及) 航空

    航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に

    委託先・取引先経由利用しているSaaS・他社製ソフト
    侵入経路・原因
    旅客サービスシステムを提供する Amadeus IT Group(本社スペイン)のシステムへの第三者による不正アクセス(ANAの発表)。侵入経路は公表されていない
    影響
    日本航空と日本トランスオーシャン航空は2026-10-28に、氏名や搭乗日などの予約情報への不正アクセスを公表した。報道によると対象は延べ約9万2,000件(ITmediaは「約9万2000人分」)で、うち約2,000件はパスポート番号や連絡先にもアクセスされていた。不正利用は確認されていないとされる。全日本空輸は10-29に、Amadeus から「当社便の予約情報に第三者からの不正アクセスが発生し、当社のお客様の一部個人情報が参照された形跡がある」との報告を受けたと公表した。ANAの件数・項目は影響範囲を特定中(2026-10-29時点)。
    ここから学べること
    JALの公式ページ(jal.co.jp)はアクセスが拒否され中身を確認できず、JAL・JTAの件数は日本経済新聞とITmediaの報道で確認した。ITmediaによると、大韓航空・アシアナ航空も10-23に同じシステムからの予約番号の流出の形跡を公表している。
  8. ソニーネットワークコミュニケーションズ「So-net」(会員データベース。plala Sコース会員を含む) インターネット接続サービス

    ISPの会員データベースに不正アクセス。So-net会員214万1,986件、plala(Sコース)会員44万3,495件の情報が漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者からの不正アクセス。調査中)
    影響
    2026-10-19に会員データベースが外部から不正アクセスを受け、10-23に確認して対象サーバーを停止し通信を遮断した。10-24に漏えいの項目と件数を把握した。漏えいしたのは、So-net会員 2,141,986件(現会員 1,869,771件、2026年3月以降の退会者 272,215件)と plala(Sコース)会員 443,495件の氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用ID(パスワードは含まない)。ほかに、4つのメールサービスのメールアドレスとメールパスワード計54,401件(10-27に初期化)、銀行口座情報16件、パスワード再設定用の通知書情報7件。クレジットカード情報は含まれず、NUROなど他のサービスの漏えいは確認していない。個人情報保護委員会に報告した。二次被害は確認されていない(2026-10-27時点)。
  9. 楽天グループ「楽天トラベル」(海外ホテル予約サイトの一部ページ・多言語予約サイト) 旅行予約

    旅行予約サイト2カ所に不正アクセス。海外ホテル予約のログイン利用者 最大約260万件などが対象に

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。2つの事象とも原因を特定しシステムを改修済みと公表)
    影響
    経路の違う2つの事象を1本で公表した。(1)子会社 Rakuten Travel Xchange が管理・運営する海外ホテル予約サイトの一部ページで2026-09-10に異常を検知し、09-15に原因を特定、09-16に改修。対象は、予約者 最大約4万件(氏名・メールアドレス・電話番号・居住国・予約情報・同伴者の氏名など。うち最大約3万6千件はカードの発行者識別番号・下4桁・名義・有効期限などの支払情報)と、ログインした利用者 最大約260万件(氏名・メールアドレス・電話番号・社内用の識別番号)。(2)多言語予約サイトで10-20に不正アクセスの可能性を検知し、10-21に改修。対象は、ログインした利用者 最大約86万件(メールアドレス・社内用の識別番号)と、管理画面に入力した宿泊施設の従業員 最大約4万件。カード番号の全桁・セキュリティコード・パスワード・パスポートなどの情報・住所は含まれない。公式は「不正アクセスの対象となった」と書いており、件数の合計は示していない。個人情報保護委員会と国外の関係当局に報告した。二次被害は確認されていない(2026-10-26時点)。
  10. ヤクルト本社(公式ホームページの問い合わせフォーム・給食サイトなど) 食品・飲料

    公式ホームページに不正アクセス。問い合わせフォームなどの個人情報 約4万件が漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。詳細を調査中)
    影響
    2026-10-26に不正アクセスを認め、被害拡大を防ぐためにホームページの機能を停止した(第1報 10-26 19:00)。10-30の第2報で、ホームページを通じて提供された個人情報 約4万件の外部への漏えいを確認したと公表した。対象は、メールでの問い合わせフォームの利用者(氏名・性別・年齢層・住所・電話番号・メールアドレス・問い合わせ内容)、給食サイト「たのしい給食」の会員(氏名・勤務先・部署・メールアドレス・暗号化されたパスワードなど)、報道関係者向けフォームの利用者、対応した社員の氏名など。対象件数と期間の詳細は順次公表するとしている。カード・銀行口座の情報は預かっていない。個人情報保護委員会に第一報を出し、警察に相談した。ホームページはメンテナンス中(2026-10-30時点)。
  11. ギフティグループ(子会社ギフティのeギフト発行システム) eギフトサービス

    システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み

    Webサービス・アプリ経由
    侵入経路・原因
    eギフトの発行に使うシステムの脆弱性を悪用した第三者による不正アクセス(会社の発表)
    影響
    2026-10-25に不正アクセスが発生し、eギフトが不正に発行された。同日に原因の脆弱性を特定してシステムを停止し、このシステムは今後も再開しない。利用者が持つeギフトの不正使用や資産の毀損はなく、個人情報の漏えいは確認されていない。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失として計上する予定。警察への相談・届出を進めている(2026-10-26時点)。
    ここから学べること
    個人情報の漏えいがない金銭被害の事案。同社は10-22以降、ブラストメールの件(rakus-blastmail-2026)で自社の契約が漏えいの対象外であることも公表しているが、別の件。
  12. バンダイロジパル(物流システム。BANDAI SPIRITS「一番くじONLINE」の配送情報に波及) 物流

    物流システムに不正アクセス。「一番くじONLINE」の配送先の氏名・住所・電話番号が漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(物流システム内のサーバーへの不正アクセス。アカウントの不正利用による操作を確認したと公表しているが、侵入経路は調査中)
    影響
    2026-10-21に物流システム内のサーバーで不正アクセスの疑いのある痕跡を見つけて即時にシャットダウンし、同日にアカウントの不正利用による操作を確認した。10-22には配送情報が格納されたサーバーにも痕跡が見つかり、10-23にシステムの停止を決めた。漏えいした可能性があるのは、BANDAI SPIRITSが配送を委託する「一番くじONLINE」の配送情報(氏名・住所・電話番号)で、件数は調査中。クレジットカード情報は含まれない。10-26に警察と個人情報保護委員会に報告した。不正使用は確認されていない(2026-10-26時点)。
  13. ヤマダデンキ(「ヤマダビデオ」「スマホゴールド会員」の手続き画面) 家電量販店

    動画配信・会員サービスの手続き画面に外部から不正アクセス。サービスを一時停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス。調査中)
    影響
    「ヤマダビデオ」と「スマホゴールド会員」の各種手続き画面で外部からの不正アクセスを確認し、2026-10-22 16:13ごろから両サービスを一時停止した。個人情報への影響は調査中で、件数・項目・侵入経路は公表されていない(2026-10-23時点)。
    ここから学べること
    同社が10-08以降に公表している「外部委託先におけるシステム障害」(ヤマダゲームなど)は不正アクセスとは書かれておらず、この行とは別の件として扱った。
  14. グッドスマイルカンパニー「グッドスマイルカンパニー公式ショップ」 フィギュア・ホビー用品の製造・販売

    公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性

    Webサービス・アプリ経由
    侵入経路・原因
    サイトで使っていたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得された(会社の発表)。原因と思われる脆弱性は、近時報告されたPHPの脆弱性ではないとしている
    影響
    2026-10-23 6時過ぎ、開発・保守委託先からの連絡で、10-19 15時過ぎから10-22 23時前にかけての不正アクセスが判明し、10-23 7時にサイトを閉鎖した。第3報(10-29)で、10-21 13:55から10-23 7時までカード決済ページに不正なプログラムが設置されていたことが分かり、この間にカード情報を入力した可能性のある2,800名の名義・番号(全16桁)・有効期限・セキュリティコードが漏えいした可能性があるとした。当初(第1・2報)は、カード情報は下4桁と有効期限のみで全桁とセキュリティコードは含まれないとしていた。ほかに、登録カード402,466枚(重複を除く)の下4桁・有効期限と、10-22 22:20前〜23時前の注文7,673名の氏名・住所・電話番号・メールアドレス・注文内容など(実際に閲覧された注文は202件)が漏えいした可能性がある。外部決済(Amazon Pay・PayPalなど)と楽天市場店は対象外。個人情報保護委員会に報告した。再開時期は未定(2026-10-29時点)。
  15. カプコン「CAPCOM ID」(通販「イーカプコン」に波及) ゲーム

    ゲーム会員IDに不正アクセス。全世界1,177万4,247件のメールアドレスなどが漏えいし、196件はパスワードを不正に変更

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。攻撃手段の特定と対応は完了したと公表)
    影響
    2026-10-19に不正アクセスの疑いのある痕跡を見つけてアクセスを遮断し、10-20に対策本部を設置。10-21に警察と個人情報保護委員会に報告した。漏えいしたのは、メールアドレスとアカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のIPアドレス 11,774,247件(全世界の合計。国別の内訳は公表されていない)。うち43件は生年月日・性別・国または地域・ニックネームも含む。196件はログインパスワードを不正に変更されていた(リセット済み)。利用者が自分で設定したパスワードの漏えいは確認されていない。第2報(10-23)で、196件のうち19件(日本国内)は第三者が通販「イーカプコン」のマイページに入り、氏名・住所・電話番号・生年月日・購入履歴・アドレス帳などが漏えいしたと公表した。クレジットカード情報は対象外。サービスとゲームのプレイは継続している(2026-10-23時点)。
    この事案の経緯・原因・対応を読む →
  16. ネットプロテクションズ「NP後払い」(請求書再発行システム) 後払い決済

    後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス

    Webサービス・アプリ経由
    侵入経路・原因
    請求書再発行システムに、第三者から通常想定されない方法で機械的かつ連続的なリクエストが行われた(会社の発表)
    影響
    2026-10-14に判明。「NP後払い」の一部の取引28,884件の個人情報の一部にアクセスがあった。項目は氏名・住所(法人利用の場合は会社名・部署名)と、請求書が返送された場合は未着だった事実。該当システムを停止し、安全を確認したうえで再開した。決済サービスは通常どおり。個人情報保護委員会とJIPDECに報告した。不正利用は確認されていない(2026-10-22時点)。
    ここから学べること
    専門報道は2026-10-30時点で確認できず、出典は公式のみ。
  17. デジタル庁(公式サイトの問い合わせフォーム。Studio の被害の波及) 行政

    Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性

    利用しているSaaS・他社製ソフト委託先・取引先経由
    侵入経路・原因
    サイトの制作に使っていたStudio株式会社のクラウド環境への第三者による不正アクセス(Studioからの報告としてデジタル庁が公表)。対象はStudioのクラウド環境内のデータ
    影響
    2026-10-16にStudioから、第三者が同社のクラウド環境に不正にアクセスし、環境内のデータを外部から取得できる状態にしていたとの報告を受けた。漏えいした可能性があるのは、2021年5月〜2023年3月にデジタル庁ホームページの問い合わせフォームに入力された内容で、一般的な意見・要望 最大8,833件、採用 最大250件、接種証明書アプリ 最大3,661件、マイナちゃんの着ぐるみ借用 最大117件、ワークショップなど 最大462件(合計 最大13,323件は当特集の計算)。これとは別に、職員と委託事業者の従事者のStudioアカウント情報(氏名・メールアドレス)35件。範囲は精査中。二次被害は確認されていない(2026-10-22時点)。
  18. バルテック(POS・業務クラウド「FreePOS」「MOT」シリーズなど。利用企業に波及) 業務用クラウドサービス・POS

    業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止

    Webサービス・アプリ経由利用しているSaaS・他社製ソフト
    侵入経路・原因
    第三者が同社サービスのプログラムの脆弱性を悪用してサーバー内に侵入し、マルウェアを設置した(会社の発表)
    影響
    2026-10-20に不正アクセスがあり、10-22に顧客情報の流出とみなされる事実を公表して、MOT/HG・MOT/Cloud・POSシステム・勤怠管理・経費精算など20を超えるサービスを停止しネットワークを遮断した。第三報(10-26)で、一部のデータを外部へ送信した事実を確認し、契約企業の情報1,213件と売上などのデータ875社分の流出を公表した(個人情報の件数は調査中)。流出が確認されたのは FreePOS・BeSHOKU・BeSALO・券売機(ログインID・パスワード・氏名・電話番号・メールアドレスなどと売上情報)と、MOT/HG・MOT/Cloud管理システム・MOT経費精算・MOT勤怠管理(氏名・電話番号・メールアドレスなど)の一部の利用者。MOT/Cloudなど11サービスは調査中。新しいサーバー環境に移して10-26から順次再開し、全サービスのパスワードを一括で強制リセットした。二次被害は確認されていない(2026-10-26時点)。
    ここから学べること
    第一報で原因を「PHPの脆弱性を標的としたサイバー攻撃」としたが、同日に誤りとして訂正し、自社サービスの脆弱性によるものとした。
  19. GMOインターネット(FX自動売買向けVPS「お名前.com デスクトップクラウド」。利用者のFX・証券の取引口座に波及) ホスティング・クラウドサーバー

    FX自動売買向けVPSに不正アクセスされ、利用者の情報を持ち出し。最大2万6,739台を停止し、攻撃者は情報を公開

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(サービスのシステムにセキュリティ上の問題があり、環境への不正なアクセスと利用者の情報の外部への持ち出しを確認したと公表(第4報、10-24)。侵入経路の詳細はセキュリティ専門会社と調査中)
    影響
    2026-10-19に利用者の問い合わせで調査を始め、10-20に不正なプログラムを確認して新規申込とコントロールパネルを停止。10-21 4:00から全プランのサーバーを順次停止した。影響の可能性があるサーバーは26,739件。10-21の第1報では個人情報の漏えいや悪用は確認されていないとしていたが、10-22の第2報で取引口座のログイン情報などが不正利用された可能性があるとし、10-24の第4報で環境への不正なアクセスと利用者の情報の外部への持ち出しを確認したと公表した。利用者からは取引口座での身に覚えのない取引の報告を受けている。警察には10-22に相談した。第4報では、攻撃者とみられる者から金銭の要求と、応じなければ情報を公開するとの連絡を受けていることも公表した(経緯の説明では10-21に約80億円の要求)。会社は要求に応じないとしている。10-27 12:30に攻撃者による情報の公開を確認し(第10報)、10-28に犯人側のサイトのドメインが停止された(第13報)。ランサムウェアの被害は確認されていない。補償として、現在の全利用者に一律5,000円の見舞金(第4報)、不正取引による実現損失の補償(申請方法は11-06までに案内)、公開された情報に本人の情報が含まれる利用者への特別見舞金(情報の区分ごとに10,000〜25,000円を合算し、1公開につき上限300万円。第12報、10-27)を払う。現行のシステム基盤はそのまま再開せず、継続を望む利用者には別のクラウド基盤の代替サービスを6か月無償で案内する。被害の件数と金額は公表されていない(2026-10-29時点)。
    ここから学べること
    利用者には、取引ツールと取引口座のパスワードをこのサービス以外の端末から変更してログオフすること、取引履歴と残高の確認、二段階認証の設定、同じパスワードを使う他サービスの変更を求めている。GMOは10-28から、犯人の特定につながる情報に総額上限100万米ドルの懸賞金を設けた(第12報)。情報提供は累計321件(10-29 18:00時点、第16報)。
    この事案の経緯・原因・対応を読む →
  20. リクルート「カーセンサーnet」「C-MATCH」 中古車情報サイト・販売店向け業務支援

    中古車情報サイトに不正アクセス。利用者・販売店など最大370万9,551件が漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス。原因と影響範囲の詳細を調査中)
    影響
    2026-10-17に「カーセンサーnet」関連システムへの外部からの不審なアクセスを検知し、同日17時ごろから関連する全サービス(カーセンサーnet・アプリ・C-MATCHなど)を停止した。10-20に項目と最大件数を把握し、10-21に公表。漏えいした可能性があるのは最大3,709,551件で、内訳は(1)販売店へ問い合わせた利用者 3,210,421件(主に氏名と市区町村までの住所。番地などまで含む可能性があるのは最大447,670件)、(2)口コミ投稿者 5,289件、(3)C-MATCH登録販売店 483,168件、(4)従業員・委託先・販売代理店の人 10,673件。クレジットカードなどの決済情報とログインパスワードは含まれない。個人情報保護委員会に速報済み。二次被害は確認されていない(2026-10-21時点)。10-22 13時ごろから、安全を確認できたサービスを順次再開した。
  21. ラクスライトクラウド「ブラストメール」(メール配信サービス。利用企業・自治体の配信先に波及) メール配信SaaS

    メール配信サービスのサーバーに侵入され、全契約者の情報と345契約の配信先リストなどが持ち出し

    利用しているSaaS・他社製ソフト委託先・取引先経由
    侵入経路・原因
    外部の第三者が同社のAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した(会社の発表)。侵入経路の詳細は調査中
    影響
    2026-10-20 21:52に監視アラートを検知し、10-21 0:30ごろから管理画面・API・メール配信を停止、4:44に外部への通信の遮断を完了した。10-21に親会社ラクスが不正アクセスと持ち出しを公表。全契約者の契約者情報(会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約と支払いの履歴など)が漏えいし、配信先リストなど契約者情報以外の漏えいを確認した契約は345件(10-29 12:00時点。288件→344件→345件と増えた。全件に個別連絡済み)。カード番号は保持していない。個人情報保護委員会・JIPDEC・関東総合通信局に報告し、警視庁に通報した。サービスは停止が続き、11月11日ごろの再開を目指している(2026-10-29時点)。ラクスの他サービスへの影響はないとしている。
    ここから学べること
    利用企業・団体の個別の公表が続いている。カカオピッコマはメールマガジンの宛先メールアドレス1,002,404件(10-24・10-28)、アルクは「ALC News +」の配信先メールアドレス約31万件(10-23)、東京都は東京広域援農ボランティア事業の最大約16,000件(10-23)。石油資源開発(10-21)は件数を調査中。ピッコマは件数が大きいが、2026-10-30時点で専門報道が見つからないため別の行にせず、ここにまとめた。
    この事案の経緯・原因・対応を読む →
  22. JFEケミカル 化学

    社内IT環境に不正アクセス。取引先・社外関係者・社員の個人情報 最大約23万件が取得された

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。外部のサイバーセキュリティ専門機関と原因を調査中)
    影響
    2026-10-14に不正アクセスの可能性を認識して調査を始め、10-19に社内IT環境への不正なアクセスとデータの不正取得が判明した。緊急対策本部を設けた。第2報(10-28)で、取得された、またはそのおそれのある個人情報は最大約23万件(10-27時点。重複や、それだけでは個人を特定できないデータを含み精査中)とした。項目は氏名・所属先・電話番号・メールアドレスなど。取引先・社外関係者の個人のクレジットカード番号や銀行口座の情報の漏えいは確認されていない。取得されたデータの公開と二次被害は確認されていない(2026-10-28時点)。
  23. デジタルアーツ(「i-FILTER@Cloud」などクラウドサービスの運用環境) セキュリティソフト・クラウドサービス

    クラウドサービスの運用に使う認証情報が盗まれ、運用環境に侵入。2025年7月ごろにさかのぼる痕跡も

    盗まれた・弱いID/パスワード利用しているSaaS・他社製ソフト
    侵入経路・原因
    クラウドサービスの運用に用いる認証情報が第三者に不正に取得され、これを使ってサービスの運用環境に侵入された(会社の発表)。認証情報が取得された経路は公表されていない
    影響
    2026-10-09にAIを活用してシステム・製品・社内環境を総点検したところ、クラウドサービスの運用環境と社内環境への不正アクセスの痕跡が見つかった。痕跡には2025年7月ごろにさかのぼるものが含まれる。i-FILTER@Cloud、m-FILTER@Cloud(Modern Edition)、m-FILTER MailAdviser Microsoft 365対応版、FINAL CODE@Cloud、z-FILTER、Desk を使う一部の顧客の情報が閲覧された可能性がある。件数は公表されていない。外部への持ち出しは確認されておらず、悪用・二次被害の報告もない。ソフトウェア版は対象外。認証情報の無効化・交換、不審なプログラムの停止、サーバーの認証鍵の交換を行い、全顧客にパスワードの変更を依頼している(2026-10-21正午時点)。
  24. NEC(システム開発・保守の委託先。NECの顧客企業のシステムに波及) ITサービス・SI

    委託先へのサイバー攻撃で盗まれた正規アカウントが悪用され、顧客のサーバのファイルが暗号化

    委託先・取引先経由盗まれた・弱いID/パスワード
    侵入経路・原因
    システム開発・保守の委託先が2026年9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用された。顧客のシステム環境に、委託先の端末から正規アカウントで不正アクセスが行われた(会社の発表)。委託先が攻撃を受けた経路は公表されていない
    影響
    顧客のシステム環境でサーバ内のファイルが暗号化され、各種システムが使えない状態になった。また、NECが作成し、顧客・NEC・委託先などの間で情報共有に使っていたクラウドストレージ内のファイルが漏えいし、顧客が保有する個人情報やシステム関連情報が含まれていた。漏えいした個人情報の詳細は判明次第顧客に報告するとしている。影響のあった複数の顧客には個別に連絡済み。委託先名・顧客名・件数は公表されていない(2026-10-20時点)。NECは委託先に自社管理の端末を貸与するなどの対策を進めている。
    ここから学べること
    大阪公立大学は2026-10-21の第5報で、10-02に起きた同大の情報基盤システムの障害は、NECの再委託先の正規アカウントによる不正アクセスが原因だったとNECから報告を受けたと公表した(osaka-metropolitan-university-2026)。NECのクラウドストレージにあった同大に関連する個人情報などの漏えいも報告を受け、内容・件数を確認中としている。
  25. 国土交通省・経済産業省・環境省「住宅省エネ2024キャンペーン」(事務局: 博報堂が運営するシステム) 補助金事業の事務局

    補助金事業の事務局システムへの外部からの不正操作で、登録事業者の2万3,918名分が漏えいした可能性

    委託先・取引先経由
    侵入経路・原因
    未公表(事務局の博報堂が運営するシステムへの「外部からの不正操作」。原因と詳細は同社が調査中)
    影響
    「住宅省エネ2024キャンペーン」の事務局システムで、交付申請などのために登録された事業者の情報が漏えいした可能性がある。対象は23,918名(16,950事業者。速報値)で、法人の代表者の氏名・肩書、個人事業主の氏名・住所、補助金担当者の氏名・部署・役職と業務用の住所・電話番号・メールアドレス。補助事業を利用した消費者の個人情報の漏えいは確認されておらず、「住宅省エネ2026キャンペーン」など他年度の事業は対象外。システムの全機能を止め、再開は完了実績報告に必要な機能に限る予定。対象事業者には10-20にメールで連絡した。国土交通省は博報堂に原因と被害状況の調査を求めている(2026-10-20時点)。
  26. トラストバンク「ふるさとチョイス」 ふるさと納税ポータル

    ふるさと納税サイトに不正アクセス。会員情報445万4,097件が流出し、寄附者向けサイトを停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。不正アクセスで検知した脆弱性への対応と詳細を外部の専門家・専門機関と調査中)
    影響
    2026-10-19に通常と異なるアクセス傾向を把握して確認したところ、10-17に不正アクセスがあったことが分かり、同日15:50ごろに関連サービスを停止した(第1報 10-19)。10-20に、会員情報4,454,097件の流出を公表。項目は氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額。全会員の現在のパスワードを無効化した。第2報(10-23)で、うち5名についてポイント履歴(5名)・寄附履歴(2名)・クレジットカード情報の下4桁・名義・有効期限(2名)なども流出していたと公表した(カード情報は同社システムに保存しておらず、表示ページに第三者がアクセスした)。10-20に個人情報保護委員会に報告し、10-21に所轄警察署へ被害を申告する予定とした。自治体・事業者向けの寄附管理システムは10-26、提携先サイトとの連携システムは10-28に再開したが、寄附者向けサイトは停止が続いている(2026-10-28時点)。
    この事案の経緯・原因・対応を読む →
  27. ニフティ(社内用の回線申込・受付管理システム) インターネット接続サービス

    回線申込・受付管理システムに不正アクセス。@nifty光の申込者 最大1万8,000件が影響を受けた可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス。外部の専門機関と詳細を調査中)
    影響
    2026-10-19 10:20ごろ、社内で情報を登録するための管理用ツールである回線申込・受付管理システムへの外部からの不正アクセスを確認し、通信元からのアクセスを遮断した。顧客が直接申し込むWebサイトとは別のシステム。10-21の第二報で、対象サービスは「@nifty光」のみに絞り込まれ、アクセスログなどの精査の結果、影響を受けた可能性のあるデータは最大18,000件と公表した(当初は3サービス累計で最大542,513件)。対象は2019年以降に同社Webサイト以外から@nifty光を申し込んだ人の会員ID・氏名・性別・生年月日・住所・電話番号。第1報で挙げたメールアドレスは対象外と確認した。@nifty MAX光・@nifty auひかりプラスも対象外。口座・クレジットカード情報は保有していない。個人情報保護委員会への報告手続きを進めている(2026-10-21時点)。
  28. エイチ・ツー・オー リテイリング/阪急阪神百貨店(「H2O ID」、予約サイト・HANKYU HANSHIN E-STORES・Remo Order) 百貨店

    百貨店の予約サイトを経由して顧客管理システムに不正アクセス。共通ID「H2O ID」約126万件が漏えい

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者による不正アクセス。詳細な原因とセキュリティ上の脆弱性は調査中)
    影響
    2026-10-16に予約サイト経由の不正アクセスを確認し、不正な通信を遮断して同サイトのシステム全体を停止。10-17には通販の「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認し、両サイトを停止した。10-19に、顧客管理システムで管理する「H2O ID」のうち約126万件(ほぼ全会員)の個人情報の一部の漏えいが判明した。項目はH2O ID・氏名(漢字・カナ)・性別・メールアドレス・郵便番号・住所・携帯電話番号・電話番号・年齢・生年月日・利用サービス項目。通販2サイトが保持する注文履歴、クレジットカード情報の一部(種別・下4桁・名義・有効期限)、ポイントカード情報の一部、アドレス帳の情報は、漏えいの可能性を調査中。カード番号の全桁とセキュリティコードは保持していない。ログインパスワードの漏えいは確認されていない。個人情報保護委員会に報告し、所轄警察署に被害を申告した。不正利用や二次被害は確認されていない(2026-10-19時点)。2026-10-30時点で公式の続報はない。
    この事案の経緯・原因・対応を読む →
  29. クリプトン・フューチャー・メディア「SONICWIRE」「D2R」 音楽制作ソフト・サウンド素材の販売

    音楽制作ソフト販売サイトに不正アクセス。会員の登録情報36万2,137件が閲覧・取得された

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。原因は究明中で、外部の専門機関への調査依頼を含めて調査を続ける)
    影響
    2026-10-17 20時ごろに「SONICWIRE」と「D2R」への不正アクセスの可能性を確認し、侵害アカウントの無効化などの緊急措置をとったうえで、23:39ごろに該当サービスのサーバーを停止した。10-22の更新で、第三者に閲覧・取得されたことが判明した情報を確定した。SONICWIRE会員の登録情報 362,137件(氏名・メールアドレス・ソルト付きハッシュ化パスワード・登録日などの識別情報)、2021-11-19までに領収書・請求書・見積書の発行時に入力された会社名・氏名・住所・電話番号 671件、会員以外のニュースレター購読者 11件(当初は「最大約42万件」の可能性)。D2R登録店舗の情報も対象で、店舗には個別に連絡した。クレジットカード情報は保存しておらず、決済プログラムの改ざんもないことを確認した。全ユーザーのパスワードを無効化した。10-18に警察へ連絡し、10-19に個人情報保護委員会へ報告。対象者には11-06までに連絡する。新しいサーバー上に環境を作り直し、11-01までの再開を目指している。関連のECストアの復旧時期は未定(2026-10-22時点)。
  30. パピレス「Renta!」 電子書籍販売

    電子書籍販売サイトに不正アクセス。一部会員のメールアドレスなどが流出したおそれ

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセスの詳細は調査中)
    影響
    2026-10-18、「Renta!」のサーバーへの外部からの不正アクセスの可能性を把握し、サービスを一時停止した。10-23の報告で、一部の会員の会員情報(メールアドレスなど)が流出したおそれがあると公表した。件数は公表されていない。決済情報は保有しておらず、パスワードはハッシュ化して保存している。購入履歴と本棚の流出・消失は確認されていない。10-30時点で、ブラウザから使う「ライブラリ(簡易版)」を先行公開した(ログイン時にパスワードの再設定が必要)。業績への影響額は算定できていない(2026-10-19時点の適時開示)。
  31. リンクステーション(チケット購入サービス「GETTIIS」。主催者向け「Gettii-Lite」経由) チケット販売

    主催者向けサービスの脆弱性を悪用され、チケット購入サービスの会員情報 約31.8万件が取得された

    Webサービス・アプリ経由
    侵入経路・原因
    第三者が主催者向けの公演登録サービス「Gettii-Lite」のプログラムの脆弱性を悪用した(会社の発表)
    影響
    2026-10-18に不審なアクセスを確認。同日0時ごろから7時ごろにかけて、Gettii-Lite の脆弱性を悪用して、チケット購入サービス「GETTIIS」の会員情報が不正に取得されていた。第2報(10-20)の項目ごとの件数は、会員ID 317,971件、ハッシュ化されたパスワード 311,451件、氏名 309,759件、電話番号 309,668件、メールアドレス 311,426件、クレジットカード関連情報(番号の先頭4桁・末尾4桁・名義・有効期限を暗号化したもの)29,515件など(人数の合計ではない)。カード番号の全桁とセキュリティコードは保存していない。「Gettii」「Gettii-EC」は別環境で影響は確認されていない。サーバーの切り替えと脆弱性の対策は完了し、関係機関に報告、警察への相談を進めている。10-20 20時にパスワードの設定条件を変え、変更を呼びかけている(2026-10-20時点)。
  32. エンタッチ(東邦ホールディングスの子会社。製薬企業向けリモートディテーリング) 医療従事者向けオンライン面談サービス

    ランサムウェア攻撃を行う第三者の不正アクセスで、医療従事者との面談予約のデータが漏えい

    ランサムウェア
    侵入経路・原因
    東邦ホールディングスは「ランサムウェア攻撃を行う第三者による不正アクセス」が原因としている。侵入経路は未公表。データの改ざん・消去は確認されておらず、暗号化の被害は公表されていない。対策として、データベースにアクセスするソフトウェアへのセキュリティパッチの適用を挙げている
    影響
    2026-10-09に発生し、10-13 16時ごろ、同社が管理するデータベースからリモートディテーリング事業のデータが外部に漏えいしていることが発覚した。漏えいを確認したのは、医療従事者の氏名・所属医療機関・都道府県、製薬企業側の管理者・担当者の氏名とメールアドレス、予約時の電話番号とメールアドレス、製品名・製薬企業名、予約の作成日時・面談日時・ステータスなど。件数は調査中。コンテンツ本体と録画・音声データは対象外。事業継続に支障はないとしている。警視庁サイバー犯罪対策課に相談し、個人情報保護委員会に報告した(2026-10-19時点)。
  33. 石川コンピュータ・センター(顧客向けサポートサイト) 情報処理・システム開発

    顧客向けサポートサイトに不正アクセス。サービスを停止し、影響範囲を調査

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(原因と侵入経路は調査中)
    影響
    2026-10-16、自治体関係者と自治体向けシステムの販売店関係者の問い合わせに使うサポートサイトのサーバーで、第三者の不審な操作の痕跡を確認。サービスを停止し、サーバーをネットワークから遮断した。10-27の第2報によると、サイトが保有していたのはログイン情報(IDとパスワード)85件、問い合わせ内容16,132件、添付ファイル1,833件で、問い合わせ内容と添付ファイルへの不正アクセスの事実は確認されていない。外部への情報漏えいと不正利用の事実は確認されていない。総務省北陸総合通信局・個人情報保護委員会・石川県警察などに報告・相談した。原因と侵入経路は調査中で、サービスの停止は続いている(2026-10-27時点)。
  34. Joshin(上新電機) 家電量販

    ネットワークに不正アクセス。会員情報データベースなど最大約600万件が漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。外部の専門機関と詳細を調査中)
    影響
    2026-10-16にネットワークの異常を検知し、ネットワークの一部が不正アクセスを受けた形跡を確認して、サーバーをネットワークから遮断した。外部からのアクセスを制限した結果、一部のサービスを提供できない状態になった。10-26の第2報で、漏えいした可能性がある件数を公表した。会員情報データベースサーバーの最大約600万件(氏名・住所・電話番号・会員番号)、「ジョーシンのサブスク」の最大約23万件(会員番号・電話番号と手書きサイン・ログインIDと初期パスワード・請求履歴など)、リフォーム写真アップロードシステムの最大約800件(工事写真のほか、運転免許証画像2件・マイナンバーカード1件・口座番号5件。該当者には個別に連絡)。いずれも可能性のある総件数で、漏えいが確定した件数ではない。クレジットカード情報は保持していない。個人情報保護委員会と警察に相談・報告した。停止したサービスの範囲と再開時期、侵入経路は公表されていない(2026-10-26時点)。
    この事案の経緯・原因・対応を読む →
  35. セカンドリテイリング(「ゲオ」「セカンドストリート」などを運営) リユース・ゲーム・モバイル販売

    社内システムに不正アクセス。ゲオ・セカンドストリートのアプリと通販を停止(漏えいは確認されず)

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(社内システムへの第三者による不正アクセス。外部のセキュリティ専門機関と原因を調査)
    影響
    2026-10-15に社内システムへの不正アクセスを確認。二次被害を防ぐため、10-17 21時からセカンドストリートアプリ、セカンドストリートオンライン、ゲオオンラインストア、ゲオあれこれレンタル、ゲオモバイルのオンラインストア、2nd STORAGEなどのアプリ・Webサービスを停止した(店舗の営業は通常どおり)。10-19の第2報で、データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏えいは確認されなかったと公表。セキュリティ強化のためサービスの停止は続いており、再開時期は未定(2026-10-19時点)。10-29にセカンドストリートアプリ・セカンドストリートオンライン・ゲオアプリ・ゲオオンラインなどを再開した。ゲオオンラインストア・ゲオあれこれレンタル・ゲオモバイルのオンラインストア・2nd STORAGEなどは再開時期が未定で、漏えいは確認されていないとの説明は変わっていない(2026-10-30時点)。
  36. 日本経済新聞社(システム開発に利用するクラウドサービス) 新聞・報道

    開発用クラウドの認証情報を盗まれ、約183万件の個人情報が漏えい

    盗まれた・弱いID/パスワード
    侵入経路・原因
    システム開発に利用するクラウドサービスにアクセスするための認証情報が、何らかの手段で窃取された(手段は未公表)
    影響
    10-07未明から朝にかけて不正アクセスを受け、クラウド上に保管していた個人情報約183万件が漏えい(10-16時点)。氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件(うちメールアドレスを含むもの約12万件)、単体では個人を特定できない識別子のみが約168万件。10-11に個人情報保護委員会へ報告。使われた認証情報は無効にした。二次被害、システム停止・データ改ざんは確認されていない。対象者には個別に連絡する。
    ここから学べること
    日経は2026-10-04にも、社員のGoogle Workspace・Microsoft 365アカウントへの不正ログイン(nikkei-2026)を公表している。会社は今回の件との関係に触れていない。グループの日経ナショナル ジオグラフィックは2026-10-17、今回漏えいした個人情報に同社サービスの利用者の情報が一部含まれている可能性があると公表した(件数は未公表で調査中)。
    この事案の経緯・原因・対応を読む →
  37. ファンケル・アテニア(ECサイト) 化粧品・健康食品の通販

    ECサイトに不正アクセス。ファンケル約39万件・アテニア約44万件の会員情報が漏えい

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(ECサイトへの不正アクセス。原因となった機能を特定して停止したと公表。被害拡大を防ぐため、サイバー攻撃の詳細は開示を差し控えるとしている)
    影響
    2026-10-15の内部調査で、10-03〜10-10にファンケルとアテニアのECサイトが不正アクセスを受けていたことが判明。会員情報の一部の漏えいを確認した。ファンケルは393,785件・368,184名、アテニアは441,162件・417,312名。項目はメールアドレス・氏名・住所・電話番号・生年月日・性別・お客様番号、一部の人が設定したサブメールアドレスとそのハッシュ化された2次パスワード、本人認証の質問項目(回答は含まない)、ポイントや会員ステージなどの登録情報。メインのパスワードとクレジットカードなどの決済情報は対象外。10-16に個人情報保護委員会と警察に報告・相談した。不特定多数への公開、不正利用、二次被害は確認されていない(2026-10-16時点)。対象者には登録メールアドレス宛てに順次連絡する。
    この事案の経緯・原因・対応を読む →
  38. Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及) ノーコードWebサイト制作SaaS

    Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に

    利用しているSaaS・他社製ソフト委託先・取引先経由
    侵入経路・原因
    第三者がStudioの一部機能の脆弱性を悪用して、同社が利用するクラウド環境に不正アクセスし、環境内のデータを外部から取得できる状態にしていた(会社の発表)。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出された。原因の詳しい調査は外部の専門機関に依頼する調整中
    影響
    不正アクセスは2026-09-30〜10-01(確認できている期間)。10-13に社内調査で確認し、10-13〜10-14に脆弱性の修正と経路の遮断を完了、10-16に公表した。取得された事実は確認できていないが、取得されたものとみなして対応している。対象はStudioのすべての登録顧客で、アカウント情報(ユーザー名・メールアドレス・ハッシュ化パスワードなど)、デザインエディタやCMSの内容、フォームに送信された内容、ライブプレビューのURL、API連携に登録された外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など。件数は精査中。認証情報と暗号化の鍵は切り替えた(鍵は10-17)。データの改ざん・削除の記録は確認されていない(2026-10-18時点)。フォームを使う利用企業は自らが個人情報保護委員会への報告や本人への通知の主体になりうるため、同社は10-17に報告の保留を案内し、10-20に委員会との協議の結果として、利用企業が個別に報告するか同社との連名で報告するかを選べると案内した。10-28時点で、連名での報告の受付は11月上旬に始める予定としている。案内ページには、2022年12月〜2023年8月に「Studio AI」の先行利用を申し込んだ人のメールアドレス・ユーザー名・推定した国も流出した可能性があると追記された。機能ごとの件数は精査中(2026-10-28時点)。
    ここから学べること
    利用企業・団体の個別の公表が続いている(例: 埼玉県は「さいたま緑の森博物館」のイベント申込・問い合わせの162件が漏えいした可能性(10-16)、TVerは「TVer広告」のフォームで取得した企業・法人の情報(10-20)、ユーザーベースは問い合わせフォームの情報(10-19))。デジタル庁は問い合わせフォームの最大13,323件を公表し、別の行(digital-agency-studio-2026)にした。
    この事案の経緯・原因・対応を読む →
  39. 岩井コスモ証券(委託先: トレードワークスのシステム) 証券

    委託先システムの設定の不備を突かれ、顧客4,975名の情報が漏えい。7口座で意図しない売買注文も

    委託先・取引先経由設定・管理の不備
    侵入経路・原因
    システムを提供するトレードワークスの「システムの一部の管理機能において設定に不備があり、第三者にこれを悪用された」(トレードワークスの発表)。通常のログイン経路は多要素認証などで防がれていたとしている
    影響
    2026-10-14に第三者による不正アクセスを検知し、トレードワークスに連絡してアクセス制限などの緊急措置をとった。第1報(10-16)では4,611名の氏名・メールアドレスなどの漏えいを公表し、第2報(10-20)で364名を追加して4,975名とした。取引暗証番号は含まれず、この情報だけでは口座へのログインや取引はできないとしている。第2報では、10-14に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、うち5口座で約定していたことも公表した。同日中に取引前の状態に戻し、顧客の負担はない。二次被害は確認されておらず、システムは平常どおり稼働している(2026-10-20時点)。
    ここから学べること
    第1報では、対策を段階的に進めていたため手口につながる不正売買の公表を控えていたと説明している。
  40. ソースネクスト ソフトウェア販売

    会員情報を取得するAPIが不正に利用され、パスワードを含む会員情報最大2,251万9,960件が流出した可能性

    Webサービス・アプリ経由
    侵入経路・原因
    会員情報を管理するシステムへの不正アクセスで、会員情報取得APIが不正に利用された(会社の発表)。不正利用が可能になった原因は外部の専門機関と調査中
    影響
    2026-10-13 9時ごろに不正アクセスを確認し、13:36までに封じ込めを完了。調査で10-09 10時ごろから不正アクセスが始まっていたと判明した。流出した可能性がある件数は22,519,960件で、項目はメールアドレス・パスワード・氏名・氏名カナ・住所・性別・電話番号・FAX番号・生年月日・会社名・役職名・部署名と、加入サービス・登録日・ログイン日などの識別情報(登録状況により異なる)。パスワードの保存形式は公表されていない(日本経済新聞は暗号化して保存していたと報道。公式では未確認)。対象は2026-10-13 13:36までに登録した会員。クレジットカード情報は対象システムに保存しておらず対象外。10-15に個人情報保護委員会へ報告し、10-16に所轄警察署へ被害を申告する予定。10-16の追記で、すべての会員のパスワードを変更済みで従来のパスワードは使えないとし、再設定を呼びかけている。対象者には登録メールアドレス宛てに順次連絡し、メールアドレスがない会員には郵送する予定(2026-10-16時点)。
    この事案の経緯・原因・対応を読む →
  41. ビーケー・ジャパン「バーガーキング公式アプリ」 ハンバーガーチェーン

    公式アプリの会員情報を管理するシステムに不正アクセス。会員情報約1,118万件が漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。不正アクセスが可能になった経緯と詳細な原因は外部専門機関と調査中)
    影響
    2026-10-02〜10-07に不正アクセスが行われ、10-13に会員情報の漏えいが判明。通信元からのアクセスを遮断した。漏えいしたのは公式アプリの会員情報約1,118万件で、項目は会員ID・メールアドレス・登録種別・都道府県・性別・生年月日・氏名(漢字・カナ)・電話番号・モバイルオーダー履歴の有無・メールアドレス認証の有無。クレジットカード番号は同社で保持しておらず、ログインパスワードの漏えいは確認されていない。対策本部を設置し、個人情報保護委員会に報告。対象者にはメールで順次案内する。二次被害は確認されていない(2026-10-15時点)。2026-10-16時点で続報は出ていない。
    この事案の経緯・原因・対応を読む →
  42. エムスリー「MR君」(製薬企業向けサービス) 医療従事者向け情報サービス

    製薬企業向けサービスに不正アクセス。医師会員の一部と製薬企業の担当者の氏名・勤務先などが漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。原因は調査中)
    影響
    2026-10-14に製薬企業向けサービス「MR君」のシステムへの不正アクセスを確認し、同日、一部の医師会員(医師会員全体の1割未満)と製薬企業の担当者(数百名規模)の氏名・勤務先・一部の人のメールアドレスなどが漏えいしたことを確認した。正確な人数と項目は精査中で、続報で知らせるとしている。ログインパスワードとm3ポイントは含まれず、クレジットカード番号などは保持していない。判明している経路は遮断して監視を継続。監督官庁への報告などを進め、対象者には順次案内する。不特定多数への公開や不正利用は確認されていない(2026-10-15時点)。
  43. 大和総研(内藤証券から運用を受託するインターネット取引システム「Financial Plate/WB4」) システム開発・運用

    受託運用するネット取引システムのWebサーバーに不正アクセス。内藤証券の利用者最大631名の情報が漏えいした可能性

    Webサービス・アプリ経由委託先・取引先経由
    侵入経路・原因
    未公表(第三者によるWebサーバーへの不正アクセス。不正なプログラムを削除し、攻撃元からの通信を遮断した。原因は外部の専門機関と調査中)
    影響
    2026-10-14 4:46〜6:56に、内藤証券のインターネット取引システムのWebサーバーが不正アクセスを受け、ログイン中の利用者の状態を一時的に保持するデータベースにアクセスされた。その時間帯にログインしていた最大631名の氏名・住所・電話番号・メールアドレス・証券口座番号・勤務先・出金先の金融機関名・支店名・口座番号が漏えいした可能性がある。資産の状況や取引内容を保管する業務用のデータベースには不正アクセスの痕跡はない。この情報だけでは口座へのログインや取引はできないとしている。なりすまし防止のためログイン状態を一時的に解除し、外部専門機関にフォレンジック調査を依頼。不正利用や不正な出金・取引は確認されていない(2026-10-15時点)。
    ここから学べること
    大和証券の委託先(問い合わせ管理)の件(daiwa-securities-2026)とは別の事案。
  44. 工房「発車オーライネット」(バス会社・旅行サイトとの連携用APIサーバー) バスチケット予約サイト

    バス予約サイトの連携用APIサーバーに不正アクセス。予約情報最大8,341件(5,614人)が流出した可能性

    Webサービス・アプリ経由委託先・取引先経由
    侵入経路・原因
    未公表(バス運行会社などに予約サービスを提供するための連携用APIサーバーへの、第三者による不正アクセス)
    影響
    2026-09-16〜09-19に不審なアクセスがあったことを10-13に検知し、該当サーバーの通信を遮断。遮断までの間に一部の予約情報が外部へ漏えいした痕跡を確認した。対象は利用日が2026-07-16〜11-29の一部の予約で、カタカナの予約名・電話番号・乗車日・路線・予約番号など。最大8,341件・5,614人(いずれも最終確認中)。クレジットカード・銀行口座・住所・メールアドレス・パスワードは該当サーバーに保存していない。個人情報保護委員会に報告し、警察に被害届を出した。具体的な被害の報告はないが、不審なSMSや電話への注意を呼びかけ、10-19に専用の相談窓口を開設する(2026-10-15時点)。
    ここから学べること
    連携先のバス会社も個別に公表している(例: 中国バスは2路線の予約17件が対象の可能性と公表)。
  45. NTTソルマーレ「コミックシーモア」 電子書籍ストア

    電子書籍ストアに不正アクセス。会員319件の登録情報と、ログファイル上の最大約420万件の情報が流出

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(会員情報を管理するシステムへの第三者による不正アクセス。第3報(10-18)で侵入経路と攻撃手法は特定して対処したとしているが、中身は公表していない)
    影響
    2026-10-15、サーバーへの外部からの不正アクセスの可能性が高いと判断し、11:35にサービスを停止して遮断(初報)。10-16の第2報で、会員情報を管理するシステムから一部会員の会員情報が第三者へ流出したことを確認したと公表した。流出した項目はメールアドレス・生年月日・性別・ニックネーム・ハッシュ化されたパスワードで、件数は精査中。10-18の第3報では、一部のシステムログファイルも閲覧・取得されたことが判明し、会員情報が含まれるか精査しているとした。クレジットカード情報は対象システムに保有しておらず、購入履歴やMY本棚の流出・消失は確認されていない。再開日時は未定で、購入済み書籍のWeb閲覧から順次再開する準備を進めている。再開時には全会員にパスワードの再設定を求める予定(2026-10-18時点)。10-21の第4報で、流出を確認した件数を公表した。会員データベースの登録情報 319件(メールアドレス・ハッシュ化パスワード・ニックネーム・生年月日・性別)と、システムログファイル上の情報 最大約420万件(同じ会員の重複を含む可能性がある。メールアドレス・ニックネーム・生年月日・性別で、パスワードは含まない)。10-29の第5報で、購入済み作品のWebブラウザでの閲覧などを再開した(利用にはパスワードの再発行が必要。作品・ポイントの購入や本棚アプリは未再開)。
    この事案の経緯・原因・対応を読む →
  46. 丸木医科器械(医療機器の商社。基幹システム) 医療機器卸

    サーバーへの不正アクセスで、発注・仕入・入出庫を管理する基幹システムが全面停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(サーバーへの外部からの不正アクセス。外部専門家と影響範囲を調査中)
    影響
    2026-10-15 10時ごろ、発注・仕入・入出庫管理の基幹システムに障害が発生し、全面的に使えなくなった。受注・出荷を一時止め、FAXで受け付けている。10-26の続報で、サーバーへの外部からの不正アクセスを確認したと公表した。顧客・取引先の情報への影響と外部への流出の有無は確認が終わっていない。個人情報保護委員会に速報し、警察などへの報告・相談を進めている。10-15以降、Webの問い合わせフォームの送信内容を確認できない状態が続いている(2026-10-26時点)。
    ここから学べること
    専門報道は2026-10-30時点で確認できず、出典は公式の2本のみ。
  47. アエナ「ECアプリ」(化粧品の通販) 化粧品販売

    通販アプリへの機械的な連続アクセスで、会員最大81万7,215人の情報が閲覧された可能性

    Webサービス・アプリ経由
    侵入経路・原因
    機械的な連続アクセス(会社の発表。詳細は調査中)
    影響
    2026-10-13 5:58に判明し、ECサイトへのアクセスを遮断。閲覧された可能性があるのは本会員の最大817,215人で、氏名・住所・電話番号・メールアドレス・生年月日・性別・職業、登録済みのお届け先(第三者宛てを含む)、クレジットカードの下4桁・有効期限・名義など。カード番号の全桁・セキュリティコード・ログインパスワードは対象外で、LINE会員やAmazon・楽天などでの購入者も対象外。会員情報の変更・退会・購入の確定は行われておらず、悪用・二次被害は確認されていない。対象者には個別にメールで案内している(2026-10-14時点)。2026-10-16には、ECアプリのサービスが停止中でアプリから退会できないため、退会専用の受付ページを開設した。ECアプリは2026-10-19正午に再開し、再開後の初回起動時にパスワードの再設定を求めている(10-20のお知らせ)。
  48. イズミ「ゆめオンライン」「ゆめデリバリー」(IDCFクラウドの被害の波及) スーパー・ネットスーパー

    メルマガ配信の委託先が使うIDCFクラウドへの攻撃で、氏名・メールアドレス最大約40万件が漏えいした可能性

    委託先・取引先経由
    侵入経路・原因
    メールマガジン配信の委託先が利用するIDCフロンティアのクラウドサービスへの、第三者によるランサムウェア攻撃(会社の発表)
    影響
    ゆめオンライン・ゆめデリバリーのメールマガジン配信に使う氏名とメールアドレスの最大約40万件が保管されていた。外部への漏えいと不正利用の事実は確認されていないが、可能性を否定できないとして調査を継続。対象情報は暗号化されている。住所・電話番号・クレジットカード番号は対象外。対象者には準備が整い次第、個別にお詫びのメールを送るとしている(2026-10-14時点)。
  49. マウスコンピューター(メールマガジン配信の委託先。IDCFクラウドの被害の波及) パソコン製造・販売

    メルマガ配信の委託先が使うIDCFクラウドへの不正アクセスで、メールアドレス約42万件が漏えいした可能性

    委託先・取引先経由
    侵入経路・原因
    メールマガジンの配信業務を委託している事業者が、配信機能の一部で利用しているIDCフロンティアのクラウド基盤への不正アクセス(会社の発表)
    影響
    漏えいした可能性があるのは、メールアドレス約42万件と、2026-09-05〜10-06にそのアドレス宛てに送ったメールの配信記録。公式オンラインショップの注文・決済に関する情報は対象のクラウド基盤に保存しておらず、影響は確認されていない。顧客情報の漏えいの事実は確認されておらず、関係事業者からも漏えいを確認したとの報告は受けていない。メールマガジンの配信を一時停止し、オンラインショップは通常どおり(2026-10-14時点。2026-10-16時点で続報は確認できていない)。
    ここから学べること
    JR東日本・JR九州などは2026-10-15に、IDCフロンティアの調査結果などを受けて漏えいはなかったとの続報を出している(idcf-cloud-2026 を参照)。
  50. ライドオンエクスプレスホールディングス「銀のさら」「釜寅」「すし上等」 宅配(外食)

    利用サーバーの運営会社がランサムウェア攻撃を受け、最大約650万件の顧客情報が漏えいした可能性

    委託先・取引先経由
    侵入経路・原因
    同社が利用する一部のサーバーの運営会社が、サイバー攻撃(ランサムウェア攻撃)を受けたと発表・報告した(会社の発表。運営会社名は記載なし)。侵入経路は特定されていない
    影響
    2026-10-05以降、利用するサーバーへの第三者による不正アクセスを検知。10-07早朝に一部サーバーでシステム障害が起き、システムを停止した。運営会社に保管を委託していたデータは取り出し・復元が困難と報告を受けた。漏えいした可能性のある総件数は最大約650万件(漏えいが確定した件数ではないと公式が注記)。項目は氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・会員IDなどで、入力していた場合は家族の氏名・誕生日や届け先の情報も含む。クレジットカード情報は保有していない。個人情報保護委員会と管轄の警察署に報告済み。電話注文・店頭テイクアウト・出前館・Uber Eats は10-08以降稼働しているが、公式サイト・アプリからの注文は停止中で再開の見通しは立っていない(2026-10-13時点)。
    ここから学べること
    INTERNET Watch は、IDCフロンティアの事案(idcf-cloud-2026)との関係を示す公式の発表はないと注記している。
  51. Fivot「IDARE」 キャッシュレス決済サービス

    業務用の外部ソフトの脆弱性を突かれ、利用者12万9,659人の登録情報・残高・取引履歴が漏えい

    利用しているSaaS・他社製ソフト
    侵入経路・原因
    カスタマーサポート等の業務で使っていた外部ソフトウェアの脆弱性を悪用した不正アクセス(ソフトウェア名は未公表)
    影響
    2026-08-10〜09-27に複数回の不正アクセス。09-27までに登録した129,659人(退会者を含む)の電話番号・メールアドレス・生年月日・ユーザーIDなどの登録情報、残高、取引履歴、IDAREカードの名義・有効期限が漏えい。一部の利用者は氏名・住所・本人確認書類の番号などの申請内容、カード番号・口座番号の一部の桁、任意サービスの属性情報(年収・勤務先など)も含む。本人確認書類の画像、マイナンバー、ログインパスワード、カード・口座番号の全桁、セキュリティコードは対象外。経路を遮断して当該ソフトウェアの利用を終え、関連する認証情報を更新。外部専門家による調査を進め、法令に基づく報告を行ったとしている。サービスは継続(2026-10-13時点)。
  52. アルカディア「SpeeCAN RAIDEN」ほか(自治体・学校などが使う一斉同報サービス) 一斉同報・防災情報配信サービス

    自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性

    Webサービス・アプリ経由委託先・取引先経由
    侵入経路・原因
    添付ファイルを公開するメディアサーバーにディレクトリパストラバーサル(本来見えない内部のファイルにアクセスできる不備)があり、内部のソースファイルを取得された。設定ファイル内のサービス間ログイン用シークレットキーを使ってアカウントIDへの総当たり攻撃が行われ、ログインしたセッションから内部情報を取得された(10-19の説明資料、会社の発表)。2026-10-11 6:26にアクセスが始まり、23:40に社内の監視がデータベースの異常な負荷を捉えて検知した
    影響
    2026-10-11 16:30に不審な挙動を確認し、10-12 3時ごろに侵入経路を塞ぐ応急措置。10-13に侵入経路が判明し、11:00から「SpeeCAN RAIDEN」と学校向け「ライデン・スクール」の該当サービスを緊急停止した。10-15 15時ごろに復旧を完了したと公表し、侵入経路の遮断と不正プログラムがないことの確認に触れたうえで、利用者にログインパスワードの変更を勧めている(漏えいの範囲は調査中)。漏えいの可能性がある最大件数は、メールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件(推定値で調査継続中)。項目は連絡先の名前・メールアドレス・電話番号・FAX番号、担当者・契約情報、履歴として保存された配信本文。10-14には「NET119」「119RAIDEN」にも不正アクセスの形跡があったと追記した(この2サービスは停止していない)。10-16の第11報で、NET119は9,020件のメールアドレスに紐づく利用者の氏名・生年月日・性別・住所・電話番号などが漏えいした可能性があると件数を確定し(当初は最大約1万3,000件と発表。要配慮個人情報は漏えいしていない)、119RAIDENはメールアドレス約9万7,000件・電話番号約1万7,000件・FAX番号約400件とした。10-19の説明資料では、10-13未明に発覚したバックドアから不正なメールが配信され、その総数は1,423,428通で、多くはフィッシング詐欺が疑われる内容だったと公表した。個人情報保護委員会・総務省への報告は、契約者の同意を得て同社が代行する手続きを進めている(第10・13・14報)。警察とも協議し、被害届を出す予定(2026-10-21時点)。
    ここから学べること
    利用していた自治体はそれぞれ登録者への注意を公表している(例: さいたま市・横須賀市、いずれも2026-10-13)。影響を受けた自治体・学校の数は会社から公表されていない。唐津市は2026-10-19、事業者の社内調査で安全性が確認できたとの見解を受け、市の情報メールの新規会員受付を再開した。
  53. NEXT STAGE「Qualiz」「ACRO5」(社内で使うBIツール) 現場検査・監査サービス

    社内で使うBIツール(Metabase)が不正利用され、取引先などの情報最大約4万件が漏えいした可能性

    利用しているSaaS・他社製ソフト
    侵入経路・原因
    社内業務で使うMetabase社のBIツールで、脆弱性のリスクが公表されていたところ、第三者がアカウントを不正に利用し、ツールから同社サービスのデータベースを検索できる状態にあった(会社の発表)
    影響
    2026-10-09に発覚。不正アクセスの期間は2026-09-22〜10-09。検索のみ可能な状態で、データの更新・削除はできなかった。Qualiz(旧GenKan-NS/TeiKan-NSを含む)・ACRO5に関する取引先と認定現場監査士の氏名・電話番号・メールアドレスの最大約40,000件が漏えいした可能性。旧GenKan-NS/TeiKan-NSは認証情報、認定現場監査士は住所・生年月日・資格・血液型も含む。クレジットカード・銀行口座・本人確認書類の情報は含まれない。対象アカウントを停止してデータベースへのアクセスを制限し、個人情報保護委員会への報告などを進めている。二次被害は確認されていない(2026-10-13時点)。
  54. JR九州フードサービス(トイポ社の顧客管理アプリ「トイポアプリ」の被害の波及) 飲食店

    導入していた顧客管理アプリへの不正アクセスで、会員約2万6,900名の情報が漏えいした可能性

    利用しているSaaS・他社製ソフト
    侵入経路・原因
    顧客管理アプリ「トイポアプリ」を提供するトイポ社への第三者からの不正アクセス。一部のAPIで、権限のない第三者が他のユーザー情報を取得できる状態になっていた(トイポ社の説明として会社が公表)。脆弱性は修正済み
    影響
    トイポ社が2026-10-04に不正アクセスを確認し、10-07に同社へ連絡。うまや・たんやなど24店舗でスタンプカード・クーポン配信に使うアプリの会員約61,500名のうち、約26,900名のユーザーID・電話番号・氏名・性別・メールアドレス・住所・生年月日(ユーザーIDと電話番号以外は任意登録)が漏えいした可能性。パスワード・クレジットカード番号などの決済情報・購買履歴は対象外。新規会員の募集を停止し、トイポ社から対象者へ10-16までにアプリ通知でお詫びを送るとしている(2026-10-13時点)。
    ここから学べること
    トイポ社は自社の告知ページ(Notion)で、2026-10-04に確認した不正アクセスとアクセス制御上の脆弱性、漏えいした項目を公表している(公表日はページに記載がなく、ScanNetSecurity は10-14と報じている)。全体の件数について ScanNetSecurity は697,209名と報じているが、2026-10-30時点の公式ページには件数の記載がない。
  55. ゴルフダイジェスト・オンライン ゴルフ場予約・ゴルフ用品販売

    不正アクセスでファイルをダウンロードされ、従業員・委託先の情報が流出。会員情報55件も照会された可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(侵入経路は特定できていないと公表。2026-10-16時点)
    影響
    2026-10-13 7:09ごろにセキュリティ監視ツールが不正アクセスの兆候を検知し、7:41ごろに該当サーバーの通信を遮断。ネットワークの一部遮断で、クーポンの利用、商品配送、プレーチケットの購入などに影響が出た。10-14の操作ログの調査で一部のファイルのダウンロードを確認し、従業員・退職者・委託先やパートナー企業の人の氏名(一部はフリガナ)と社用メールアドレス1,789件が流出した(社内システムとツールの管理者・利用者のリスト。件数で、人数は未公表)。10-15には別のサーバー1台も侵害され、10-13 10:16〜10:20ごろに会員情報が照会されていたことを確認。照会された可能性があるのは55件で、識別子IDのみが51件、氏名・性別・生年月日・電話番号・メールアドレス・住所・ログインID・保有ポイントなどを含むものが4件。パスワードと決済情報の流出は確認されていない。個人情報保護委員会に報告済み。二次被害は確認されていない(2026-10-16時点)。
  56. ブックオフグループホールディングス株式会社(子会社ブックオフコーポレーションの会員管理システム) リユース(中古品小売)

    子会社の会員管理システムに不正アクセス。会員データ642万7,735件(638万3,279人)が漏えい

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(攻撃元からの通信を遮断し、脆弱性を是正したと公表。第2報ではシステム構成・脆弱性・攻撃手法の公表を控えるとしている)
    影響
    2026-10-06に連結子会社ブックオフコーポレーションの会員管理システム(国内ブックオフ事業。店舗・公式オンラインストアなど)への不正アクセスを確認し、10-04〜10-06に会員情報が外部から取得されたと判明。第2報(10-13)で、漏えい対象の会員データは会員番号ベースで6,427,735件、同じメールアドレスのデータを1人と数えた対象者は6,383,279人(有効会員6,170,908人・退会会員212,371人)と確定した(第1報は最大約643万件)。項目は氏名・生年月日・性別・メールアドレス・電話番号・郵便番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号。本人確認書類の画像と決済情報・口座情報は含まれない。会員カードだけの利用者や、hugall・ブクログ・青山ブックセンターなど一部のサービスは対象外。公開・ポイントの不正利用・書き換えは確認されていない。10-15から対象者へメールで順次連絡する。個人情報保護委員会に報告し、警察に相談している(2026-10-13時点)。10-23に、対象者への個別メールの送信を10-22に完了したこと、会員サイトにWEB照会機能を追加し、専用のフリーダイヤルを開設したことを公表した(2026-10-23時点)。
    この事案の経緯・原因・対応を読む →
  57. リゾートトラスト(グループ会員・ザ・カハラホテル&リゾート 横浜の予約者) 会員制リゾートホテル

    自社管理のウェブサイトに不正アクセス。会員約2万6千件・ホテル予約者約3万6千件が漏えい

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(同社の「統合予約サイト」のシステムへの外部からの不正アクセス。侵入経路は遮断済み。調査結果を踏まえ、対象システムの脆弱性の改修・監視体制の強化・ネットワークアクセス権限の見直しを行うとしている)
    影響
    2026-10-05 20:30ごろ〜23:30ごろにウェブサイトのシステムに異常な作動があり、10-06に認知。10-07に不正アクセスによる漏えいを確認し、アクセスを遮断した。サーバに保管されていた一部のグループ会員の情報 約2万6千件と、ザ・カハラホテル&リゾート 横浜の予約者の情報 約3万6千件が漏えい(公式は合計と重複の有無を示していない)。当該システムに利用履歴・医療情報・クレジットカード情報・銀行口座情報・メールアドレス・本人確認書類などは含まれない。ホテル・施設の運営に直接の影響はない。外部の専門機関と調査中で、対象者には順次個別に連絡するとしている(2026-10-09時点)。10-16に、不正アクセスは「統合予約サイト」のシステムに対するものだったことと、漏えいした項目(会員本人の氏名・生年月日・住所・電話番号、勤務先の情報、家族の氏名・生年月日、会員番号・契約施設名など)を公表し、個人情報保護委員会への速報と警察への相談を行ったとした。件数は変わっていない。予約サイトとアプリは休止が続き、ホームページは10-21から全面停止したのち、10-23に一部のページから再開した(2026-10-23時点)。
  58. アドベンチャー「skyticket」 旅行予約サイト

    経路の違う3件の不正アクセス。最大約1,464万件の顧客情報が流出し、第2報でカード情報最大6,140名分の流出も判明

    Webサービス・アプリ経由設定・管理の不備
    侵入経路・原因
    3件の経路が別々。(1)skyticketの一部管理機能を不正に操作され、そこから他のサーバーやクラウド上のデータにアクセスされた。(2)業務管理システムの脆弱性を悪用された。(3)バス予約の予約完了ページがログインなしで表示できる状態になっており、機械的に閲覧された
    影響
    (1)2026-10-02〜10-04に不正アクセスを受け、10-05に発覚。約1,464万件の氏名(パスポート表記を含む)・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義などが流出し、うち約413万件はハッシュ化したログインパスワードを含む。パスポート番号は流出していないことを確認。(2)09-20に発生し09-28に発覚。17,780件(重複を含む。一部は調査中)の氏名・電話番号・返金先の口座情報など。(3)08-03〜10-01に約1万2,000件の予約(同行者を含む)の氏名・生年月日・連絡先・乗車便などが閲覧されたおそれ(10-01に修正)。第1報では、クレジットカード番号とパスポート画像は保存しておらず流出していないとしていた(カード情報は10-16の第2報で訂正。後述)。二次被害は、09-09に確認した会員1名のアカウントへの不正ログインを除き確認されていない。10-07に保存済みカードでの支払いとカード情報の保存機能を停止。個人情報保護委員会に報告済み。10-08 19時ごろから対象者へ順次メールで通知し、パスワードの変更を呼びかけた。10-10には、問い合わせの急増で起きていたメールサーバーの障害が復旧したと告知し、同社を装った詐欺の連絡に注意を呼びかけた。10-13には専用の電話窓口を開設し、便乗した詐欺メールへの注意を改めて呼びかけた。10-16の第2報で第1報を訂正し、(1)の不正アクセスで10-03に取得されたログから、2017年2月〜2018年6月に有料会員サービス「skyticket プレミアム」の会費支払いにカードを登録・利用した最大6,140名のクレジットカード番号・名義・有効期限(一部は番号のみ。セキュリティコードは含まない)が流出したと公表した(判明は10-15)。2018年6月まではカード情報を自社サーバーで保管しており、決済代行会社に移行した際に会費支払いの変更履歴(ログ)が削除されずに残っていた。暗号化されていたが、暗号化に使う情報も取得されたため読み取られるおそれがある。会員特典のベネフィット・ステーションの会員ID・氏名・パスワードも流出した。2018年6月以前のほかの支払いのカード情報が残っていないかは確認中。決済代行会社を通じてカード会社に不正利用の監視を依頼し、二次被害は確認されていない(2026-10-16時点)。
  59. ディップ「バイトル」「バイトルNEXT」 求人サイト

    求人サイトの会員メールアドレス最大388万5,771件が漏えいした可能性

    Webサービス・アプリ経由
    侵入経路・原因
    Webサイトの一部機能の仕様の不備を突いた、海外からの不正アクセス
    影響
    2026-10-06に不正アクセスを確認。「バイトル」「バイトルNEXT」の会員の最大3,885,771件のメールアドレスが漏えいした可能性。氏名・電話番号・パスワード・カード情報は含まれず、メールアドレス以外の流出とネット上への流出・不正利用は確認されていない。海外からのアクセスを全面的に遮断してプログラムを改修。10-06にサービス上で告知し、個別にメールで案内。個人情報保護委員会と総務省関東総合通信局への報告、警察への相談を進めている。サービスは継続。
  60. ココナラ「ココナラスキルマーケット」 スキルマーケット

    スキルマーケットに不正アクセス。会員の履歴書・職務経歴書2,294件が流出

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス。脆弱性の再検査とセキュリティ強化を実施したと公表)
    影響
    2026-10-08 2:05に不正アクセスを検知して遮断。13時ごろに再び検知し、15時ごろに個人情報の持ち出しの形跡を確認、15:44に再遮断、21:27にセキュリティ強化を完了。履歴書・職務経歴書を登録した会員の一部の履歴書449件と職務経歴書関連書類1,845件が流出。カード情報とパスワードは対象外で、他のサービスへの影響はない。公開・不正利用は確認されていない。警察への通報と個人情報保護委員会への報告を行うとしている。サービスは継続。
  61. コミューン「Commune」「Commune for Work」(ヤマハ・スズキ・Sansan・パナソニック・LINEヤフーなどの利用コミュニティ) コミュニティサービス(SaaS)

    企業向けコミュニティ基盤に不正アクセス。推計約30.7万人の会員情報が漏えい

    利用しているSaaS・他社製ソフトWebサービス・アプリ経由
    侵入経路・原因
    外部の第三者が同社システムの不備を突いた。非公開コミュニティの招待リンクを不正に取得して一般会員として登録し、管理者になりすまして会員情報の閲覧・取得とデータの上書きを行った(会社の発表)。利用企業の設定や運用に起因するものではないとしている
    影響
    2026-10-05 18時ごろから10-06 21時ごろと、10-07 13:17〜14:36に会員情報が漏えい。推計約30.7万人(メールアドレスを含む情報が約12.6万人で、うち約4.2万人は同社従業員とテスト用デモアカウント。表示名・自己紹介・非公開グループの所属などが約18.1万人)。144名はパスワードが本人の操作によらず仮パスワードに変更された。パスワード・ダイレクトメッセージの漏えいは確認されておらず、決済情報は保持していない。10-06 21時ごろに全コミュニティを停止し、10-08 12時ごろから順次再開。データを10-06 18時時点に巻き戻した。悪用・二次被害は確認されていない(2026-10-09時点)。総務省へ報告する。10-13のお知らせでは、10-09の公表以降に新しい不正アクセスや漏えいは確認されていないとしたうえで、流出したメールアドレスの悪用を防ぐため10-10 0:50から臨時メンテナンス中で、10-16以降、安全を確認できた機能の範囲で要望のあった契約企業から順次再開する予定とした(2026-10-13時点)。
    ここから学べること
    利用企業は2026-10-09に各自公表した。ヤマハ(ヤマハネットワークエンジニア会 約1,600名)、スズキ(スズキヴィレッジ 約3,000名)、Sansan(Sansan User Forum 漏えい確認1,325名・可能性8,687名)。LINEヤフー(10-09公表。DS.INSIGHT のコミュニティ機能「DS.LAB」の1,750名の情報が閲覧・取得された可能性。10-06にコミューンから連絡を受け、DS.LABを停止)。ヤマハ発動機(10-12公表。コミュニティーサイト「YAMAHA PAS Life」の約1,600名。10-06 19:18ごろ〜21:02ごろに不正アクセス)。パナソニック(LUMIXコミュニティ 約2,000名、ヘアサプ 約3,000名)は ITmedia の報道による(公式発表は未確認)。
  62. JR東日本「えきねっと」「大人の休日倶楽部」(IDCFクラウドの被害の波及) 鉄道

    IDCFクラウドへの攻撃の影響で、会員のメールアドレスなど最大約206万件に漏えいの可能性と発表。10-15に漏えいはなかったとの報告を受けたと公表

    委託先・取引先経由
    侵入経路・原因
    IDCフロンティアの「IDCFクラウド」へのランサムウェア攻撃(2026-10-07)の影響。会員向けメール配信に使う外部サービスにあった情報が閲覧・取得された可能性がある
    影響
    えきねっと会員の最大約167万件(メールアドレスのみ。ビジネスえきねっとは対象外)と、大人の休日倶楽部会員の最大約39万件(メールアドレス・会員番号・クレジットカードの有効期限・生年月日)が漏えいした可能性。氏名・住所・電話番号・カード番号は対象外。会員向けメール配信の一部ができない状態。対象者には準備が整い次第メールで連絡するとしている。切符の予約は通常どおり。2026-10-15の更新で、IDCフロンティアからの報告を受けたメール配信用外部サービス会社から、えきねっと会員・大人の休日倶楽部会員の個人情報の漏えいはなかったと判断したとの報告を受けたと公表した(当初の発表は最大約206万件の漏えいの可能性。2026-10-15時点)。
    ここから学べること
    同日(2026-10-09)、グループのビューカードも会員サイト「VIEW's NET」の登録会員のメールアドレス約403万件が漏えいした可能性を公表した(氏名・住所・電話番号・カード番号などは対象外)。ビューカードも2026-10-15の更新で、メール配信用外部サービス会社から漏えいはなかったと判断したとの報告を受けたとしている。
  63. JR九州「JR九州Web会員」(IDCFクラウドの被害の波及) 鉄道

    IDCフロンティアへの不正アクセスに伴い、会員のメールアドレス最大約130万件に漏えいの可能性と発表。10-15に漏えいの事実は確認されずと続報

    委託先・取引先経由
    侵入経路・原因
    IDCフロンティアで発生した不正アクセスに伴うもの(会社の発表)。JR九州Web会員向けのメール配信用外部サービスの電子メールログデータが閲覧・取得された可能性がある
    影響
    JR九州Web会員の最大約130万件の電子メールアドレスが漏えいした可能性。氏名・住所・電話番号・カード番号とメールマガジンの件名・本文は漏えいの可能性なし。メール配信用外部サービスが一部使えず、メールマガジンを配信できない状態。対象者には準備が整い次第、お詫びのメールを順次送るとしていた。2026-10-15の続報で、10-14にIDCフロンティアから調査の結果、個人情報漏えいの事実は確認されなかったと報告を受け、約130万件のメールアドレスについて漏えいの事実は確認されなかったと公表した。対象者には、漏えいの事実が確認されなかった旨のメールを順次送る。JR九州メールマガジンは配信できない状態が続いており、安全性の再確認と環境整備が整い次第再開する(2026-10-15時点)。
  64. ローソン「ローソンID」「ローソンアプリ予約」 コンビニ

    ローソンIDの情報を表示する仕組みに不正アクセス。215万5,345件の個人情報が漏えい

    Webサービス・アプリ経由
    侵入経路・原因
    ローソンアプリに関連するシステムが不正に利用されたと考えられる、と会社は説明。利用者本人に情報を表示するためのセキュリティ機構が第三者から不正アクセスを受けた。ほかの不正アクセスやマルウェア感染はないことを確認したとしている
    影響
    「ローソンID」は2026-09-12〜09-14、「ローソンアプリ予約」は09-17に不正アクセスを受け、10-07の調査で判明。ローソンIDは2,155,345件のメールアドレス・氏名(プレゼント応募などで入力した場合は性別・電話番号・住所・メルマガ取得情報も)、アプリ予約は26件の氏名・電話番号・クレジットカード番号の一部が漏えいした。アクセス元をブロックし、アプリ予約の機能を停止し、10-19に再開した(利用にはアプリのアップデートが必要)。個人情報保護委員会に報告。不正利用や二次被害は確認されていない。
    ここから学べること
    2026-10-01公表のメールサーバ不正利用とは別の公表。両者の関係は公表されていない。発覚の経緯について、日経クロステック(2026-10-09)は、同社によると不審なアクセスを常時監視していたが今回は検知できず、人手による定期調査で見つけたと報じている(公式発表は「10月7日に実施した調査の中で判明」とだけ記載)。
  65. 株式会社ユーザベース(NewsPicks) ソーシャル経済メディア

    業務用の管理ツールに不正アクセス。メールアドレス最大32.3万件、カード情報の一部最大36.2万件などが漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    業務で利用している管理ツールの脆弱性を突かれた(2026-10-09の第2報)。ツールの種類と原因の詳細は調査中。サービス本体と同社の他の情報システムへの侵入は確認されていない
    影響
    2026-10-08 12:48に検知して対策本部を設置し、14:01に第三者による不正アクセスと判断して該当サーバーを遮断。21:44に個人情報保護委員会へ速報を出し、警察に相談した。10-09の第2報で、漏えいした可能性がある情報を項目別の最大想定件数で公表した: メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属(勤務先など)6.5万件、所属先の電話番号2.9万件、役職の7分類27.3万件、クレジットカード情報の一部(名義、番号の下3桁または下4桁など)36.2万件、法人向けサービスの運営担当窓口名とメールアドレス122件。項目ごとの件数で、人数の合計は公表されていない。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない。パスワードの漏えいと二次被害は確認されていない(2026-10-09時点)。対象者には10-09から順次メールで連絡。管理ツールのアクセス遮断・アカウント削除、アクセスキーの再発行、権限の縮小を実施し、サービスは継続している。
    この事案の経緯・原因・対応を読む →
  66. 第一興商(委託先: 日本コロムビアグループ) カラオケ・飲食店

    委託先の従業員PC1台がマルウェアに感染。ビッグエコーなどの顧客・従業員約872万4,000件に漏えいのおそれ

    委託先・取引先経由
    侵入経路・原因
    個人情報の取り扱いを委託している日本コロムビアグループ(NCG)の従業員PC1台のマルウェア感染。PCに委託業務の個人データが一時保存されていた。感染経路は未公表(NCGが調査中)。第一興商のシステムへの影響は確認されていない
    影響
    2026-10-01〜10-02に感染が判明し、10-02に端末をネットワークから隔離。第一興商は10-05にNCGから報告を受けた。対象は店舗で会員登録または予約をした顧客と従業員の氏名(登録名)・性別・生年月日・メールアドレス・電話番号で、顧客約863万1,000件(ビッグエコー関連約555万8,000件、DKダイニング関連約346万2,000件など。重複約51万5,000件を差し引いた値)と従業員約9万3,000件、計約872万4,000件。パスワードは含まれず、この情報だけでポイントは使えない。実際の外部への漏えいと不正利用は確認されていない(2026-10-09時点)。10-09に専用フリーダイヤルを開設。
  67. IDCフロンティア「IDCFクラウド」 クラウド・データセンター

    クラウド基盤がランサムウェア攻撃を受け、495の企業・自治体に影響

    ランサムウェアWebサービス・アプリ経由委託先・取引先経由
    侵入経路・原因
    「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性を悪用されて認証システムに侵入され、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得されたうえで、仮想サーバーを停止・暗号化された(第7報、10-27)。第三者からのランサムウェア攻撃と公表
    影響
    2026-10-07午前3時40分ごろから攻撃を受け、東日本リージョン1をネットワークから遮断。同リージョンの一部(tesla・henry・pascal・jouleの4ゾーン)で仮想サーバが停止し、再起動できない。影響を受けた契約者は495の企業・自治体(第3報)。第3報(10-08)では対象ゾーンのデータは取り出し・復元が困難な見通しとしていたが、第5報(10-14)で、スナップショット機能を使っていた194の契約者はバックアップデータを取り出せると確認した。10-09の第4報では、ソフトバンクの法人部門を窓口に顧客対応(バックアップ手順の案内、移行環境の提案など)を行い、ソフトバンクの技術部門の支援を受けて調査・復旧を進めていること、監督省庁・警察へ報告・相談していることを公表した。第5報では、影響を受けた4ゾーンでデータの照会・持ち出しの痕跡はなく、外部へのデータの流出はなかったと判断したと公表。一方、IDCFクラウドポータルで48社の登録情報(企業名・ログインID・パスワードのハッシュ値・通知先メールアドレス・月額利用料金の合計額)が不正に照会された(持ち出しの痕跡はない)。影響のないゾーン・リージョンの調査は継続中。10-18の第6報で、安全性の確認が完了したとして「IDCFクラウド バックアップ」の提供を再開し、IDCFクラウド以外の環境にもデータを復元できるようにした。スナップショット機能は停止を続けている。IDCFクラウド TypeSとプライベートクラウドは対象外(第6報)。10-27の第7報で一連の調査が完了したとして原因を公表し、仮想サーバー内のデータの外部流出はなかったと判断した。ポータルで不正に照会されたのは最大71社の登録情報(当初は48社。個人名などを含むものが最大31社31件。持ち出しの痕跡はない)で、ログインパスワードが最大4件不正に変更されていた(リセット済み)。バックアップデータを取り出せるのは206の契約者(当初は194)。攻撃者とは接触しておらず、身代金の支払いや交渉は一切していない。ポータルは、主要機能の操作代行(実施中)→全機能の代行→提供再開の3段階で再開する(2026-10-27時点)。利用企業のサービス停止や自治体サイトの閲覧不能が報じられている。
    ここから学べること
    利用企業側では、JR東日本(えきねっと・大人の休日倶楽部で最大約206万件)とJR九州(JR九州Web会員 最大約130万件)が2026-10-09、イズミ(ゆめオンライン・ゆめデリバリー 最大約40万件)とマウスコンピューター(メールアドレス約42万件)が2026-10-14、IDCフロンティアへの不正アクセスに伴い、メール配信の外部サービスにあった情報が漏えいした可能性を公表した(別行 jr-east-2026 / jr-kyushu-2026 / izumi-2026 / mouse-computer-2026)。その後2026-10-15に、JR東日本(えきねっと・大人の休日倶楽部)とビューカード(VIEW's NET。約403万件)は、IDCフロンティアからの報告を受けたメール配信の外部サービス会社から漏えいはなかったと判断したとの報告を受けたと、JR九州はIDCフロンティアの調査結果に基づき漏えいの事実は確認されなかったと公表した。イズミとマウスコンピューターの同様の続報は2026-10-16時点で確認できていない。このほか2026-10-13に、JR東海(通販サイト「JR東海MARKET」「いいもの探訪」で約1万5,000件のメールアドレス・配信メール本文の氏名・住所・注文内容など。外部への漏えいを示す事実は確認されていない)とスカパーJSAT(「スカパー!メンバーズ」の会員向けメール配信サービスのメールアドレス。件数は未公表)が、2026-10-14にピーチ・ジョン(メールアドレスのみ。件数は未公表)が、同様の可能性を公表した。ニッスイは2026-10-07、グループの日水物流で商品の入出荷ができないシステム障害が起き、委託先データセンターへの第三者による不正アクセスとみられると発表した(データセンター名は記載なし。IDCFクラウドの利用は報道)。
    この事案の経緯・原因・対応を読む →
  68. 戸田建設 建設

    支払い管理システムなどに不正アクセス。取引先と従業員4,778名の情報

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの不正アクセス)
    影響
    2026-10-01〜10-05に漏えいの形跡があり、10-05に検知。取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778名分の氏名・住所・電話番号・メールアドレス・所属部署が対象。対象システムはネットワークから隔離済み。公開や不正利用は確認されていない。
  69. エイチ・アイ・エス(タイ現地法人 H.I.S. TOURS CO., LTD.) 旅行

    タイ現地法人のファイルサーバに不正アクセス。最大627名分のパスポート情報が流出した可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(タイ現地法人のネットワークへの第三者による不正アクセス)
    影響
    2025-12-11にファイルサーバの不正アクセス検知ソフトが警告を出し、サーバをネットワークから切り離した。データの一部が引き出された可能性があり、12-29に日本で取得した個人情報も含まれていると確認して個人情報保護委員会とJIPDECに報告。2026-02-24に最大627名分のパスポート情報(氏名、性別、生年月日、旅券番号、有効期限など)とアレルギー情報が含まれると判明し、全ファイルの確認を終えて10-07に公表した。対象はタイに出発した団体旅行(2017年、2019〜2020年、2024〜2025年)と一部の個人旅行の客。電話番号、住所、メールアドレス、カード情報は含まれない。公表まで時間がかかった理由について、会社はサーバに無関係なデータが大量に混在し手作業で照合したためと説明している。
  70. 楽天グループのクラウドストレージ「楽天ドライブ」 クラウドストレージ

    管理用アカウントの認証情報を悪用され、1万5,382アカウント分の保存データが閲覧・取得

    盗まれた・弱いID/パスワード
    侵入経路・原因
    一部システムの管理用アカウントの認証情報を不正に取得され、侵入された。認証情報が漏れた経緯は未公表
    影響
    2026-01-29から09-17にかけて、15,382アカウント分の保存データ(写真・文書など)が閲覧・取得された。08-27には687アカウント分のアカウント名などと、うち313アカウント分の暗号化されたパスワードも取得された。アプリのダウンロードと新規アカウントの発行を制限。二次被害は確認されていない(報道)。2026-07のプッシュ通知配信システムの件とは別事案。
  71. ミスターマックス・ホールディングス(MrMaxアプリ・オンラインストア) ディスカウントストア・EC

    サービスを構成するソフトウェアの機能を悪用され、会員情報最大173万5,154人分

    Webサービス・アプリ経由
    侵入経路・原因
    第三者がサービスを構成するソフトウェアの機能を不正に利用してサーバに侵入した(会社の発表)。詳細は外部専門機関が調査中で、警察に相談済み
    影響
    2026-10-03夕方に検知し、サービスを一時停止して外部からのアクセスを遮断。最大1,735,154人分(10-03時点の会員)の会員ID・氏名・メールアドレス・電話番号が流出。住所、生年月日、カード情報、パスワード、購入履歴は含まれない。二次被害は確認されていない。
  72. 旭化成セラピューティクス「Pharma DIGITAL」(委託先: 医薬情報ネット) 医薬品

    医療従事者向けサイトの委託先に不正アクセス。最大約51.4万名分

    委託先・取引先経由
    侵入経路・原因
    サイトの運営と情報管理を委託している医薬情報ネットの会員データベースへのサイバー攻撃。侵入経路は未公表
    影響
    2026-10-02に委託先から報告を受けた。医療従事者最大約51万4,000名(氏名・所属施設・職種・診療科など。うち約4万4,000名はメールアドレス等も)と従業員約700名(氏名・メールアドレス・写真)の情報が漏えいした可能性。カード情報と要配慮個人情報は持っていない。サイトは停止中。不正利用は確認されていない。
  73. 大和証券(委託先: スカラコミュニケーションズ「i-ask」) 証券

    問い合わせ管理の委託先に不正アクセス。顧客約11万名分

    委託先・取引先経由利用しているSaaS・他社製ソフト
    侵入経路・原因
    委託先スカラコミュニケーションズのFAQシステム「i-ask」の管理サイトに不正ログインされ、不正プログラムを設置されて、同じサーバ上の利用企業のデータベースから問い合わせ情報を取得された(委託先の発表)。ログイン情報の入手経路は未公表。大和証券のシステムへの侵入は確認されていない
    影響
    2026-10-02夜から10-03朝にかけて発生し、10-03朝に監視アラートで検知。大和証券分は約11万名の氏名・メールアドレス・口座番号等・問い合わせ内容(個人を特定できない問い合わせを含め約22万件。いずれも漏えいの可能性)。これらの情報で口座へのアクセスや取引はできない。委託先全体では最大5社・延べ最大713,126件(名寄せ前の別の数字)。不正取引とネット上への公開は確認されていない(10-05時点)。
    ここから学べること
    同じ委託先の事案で、シチズン時計(約10万名分、公式発表)と損害保険ジャパン(延べ約6万件、報道)も公表している。
    この事案の経緯・原因・対応を読む →
  74. GMOリサーチ&AI「infoQ」 アンケートサイト運営

    サイトのソフトウェアの脆弱性を悪用され、会員情報89万4,082件が持ち出された。ポイントの不正交換も

    Webサービス・アプリ経由
    侵入経路・原因
    サイトで使っていたソフトウェアの脆弱性を悪用された(脆弱性・製品名は未公表)
    影響
    2026-10-02以降に発生し、10-03午前に会員の問い合わせをきっかけに検知、同日に遮断してサービスを停止。第2報(10-14)で、外部に持ち出された件数を894,082件と確定した(第1報は保有する全件の最大948,498件。公式の単位は「件」)。項目は氏名・性別・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワード・会員ID・ニックネーム・保有ポイント数など。カード情報とマイナンバーは含まれない。10-05に個人情報保護委員会へ報告、10-06に警察に相談、10-07に全会員のパスワードを無効化した。ポイントがギフトコードに不正に交換される被害が611件・2,869,500円分あり、全額を補填するとしている。調査結果と再発防止策は改めて公表し、サービスは安全を確認してから再開する(2026-10-14時点)。
    この事案の経緯・原因・対応を読む →
  75. 物語コーポレーション「焼肉きんぐ」公式アプリ 外食

    会員管理システムから、登録者のほぼ全員の約1,079万件

    Webサービス・アプリ経由
    侵入経路・原因
    会員管理システムへの第三者による不正アクセス(10-02朝9時からの断続的な攻撃)。侵入経路は未公表
    影響
    2026-10-02に検知し、10-03に流出を確認。会員情報1,078万8,963件(登録者1,080万8,784件のほぼ全員)のアプリ登録名、メールアドレス、電話番号、会員番号。ログインパスワード、生年月日、店舗利用履歴は含まれず、決済情報は持っていない。公開や不正利用は確認されていない。アプリは防御措置をとったうえで継続し、他ブランドのアプリでは漏えいはない。会社は公式アプリ専用コールセンター(0120-795-775)を設けた。10-20の続報で、10-02朝9時から外部の第三者による断続的な攻撃(不正アクセス)を受けたこと、警察に届け出て、個人情報保護委員会への報告手続きを進めていることを公表した。再発防止として、グループの公式アプリ計11本が持つ個人情報を減らし、2027年上半期に氏名・電話番号を保持しない新システムへ変える予定。件数は変わっていない(2026-10-20時点)。
    この事案の経緯・原因・対応を読む →
  76. 大起水産「大起水産公式アプリ」 回転すし・鮮魚販売

    公式アプリに不正アクセス。会員17万4,933人分が漏えいのおそれ

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。外部の専門調査会社が調査中)
    影響
    2026-09-15に検知。2024-11-01〜2026-09-15の登録者(退会者を含む)174,933人分の氏名・電話番号・メールアドレス・性別・郵便番号・住所・生年月日が漏えいしたおそれ。パスワードは別サーバで管理しており対象外。外部への流出と不正利用は確認されていない。アプリは通常どおり使える。
  77. 日本経済新聞社(社員のGoogle Workspace・Microsoft 365アカウント) 新聞・報道

    社員アカウントへの不正ログインで1,646人分が漏えい。なりすましメール約9,000件も

    盗まれた・弱いID/パスワード
    侵入経路・原因
    外部からの不正ログイン。ID・パスワードなどの認証情報を得られた経緯は未公表。2025年のSlackの事案とは別
    影響
    Google Workspaceの件は、2026年7月下旬以降に不正ログインされ、8月上旬にGoogleからの通知で判明。メールアドレス・氏名など1,646人分が漏えい(読者・取材先の情報は含まれない)。同日公表のMicrosoft 365の件は、社員のアカウントから09-30になりすましメール約9,000件が送られ、送信先のメールアドレス・氏名と一部のメール内容が漏えいしたとみられる(件数は調査中)。
  78. 日経BP(従業員のメールアカウント) 出版

    日経社員のアドレスから届いたフィッシングメールで認証情報を盗まれ、26件が漏えいのおそれ

    盗まれた・弱いID/パスワード
    侵入経路・原因
    従業員が、日本経済新聞社の社員のメールアドレスから届いたフィッシングメールで認証情報を入手された(会社の発表)
    影響
    2026-09-30に従業員のメールアカウントへの不正アクセスが判明。メールの送受信先の個人名とメールアドレス26件が流出したおそれ。アカウントへの接続を遮断し、個人情報保護委員会へ報告。対象者には個別にメールで連絡している。
    ここから学べること
    日本経済新聞社は同じ10-04に、社員のMicrosoft 365アカウントから09-30になりすましメール約9,000件が送られたと公表している(nikkei-2026)。
  79. リクルート「スタディサプリ」 オンライン学習サービス

    機能の仕様の不備を突かれ、メールアドレス3,687件の登録の有無を特定された可能性

    Webサービス・アプリ経由
    侵入経路・原因
    システムの一部機能の仕様の不備を突いた第三者による不正アクセス(会社の発表)。2026-09-30に発生し、同日に機能を改修
    影響
    3,687件のメールアドレスについて、サービスに登録されているかどうかを特定された可能性。氏名・パスワード・決済情報の流出と不正ログインは確認されていない。千代田区は区内の児童・生徒8名が含まれると公表(2026-10-05)。
  80. 大阪公立大学 公立大学

    ランサムウェアで学内システムが停止し、全授業を約1週間休講

    ランサムウェア委託先・取引先経由盗まれた・弱いID/パスワード
    侵入経路・原因
    基盤システムの保守・運用の委託先NECが開発・保守を再委託している事業者が2026年9月下旬にサイバー攻撃を受け、その再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされた(NECからの報告として大学が2026-10-21に公表)。大学は仮想化基盤の障害をランサムウェア攻撃によるものと判断している(2026-10-05公表)
    影響
    2026-10-02未明に発生し、同日に休講を告知。学内ネットワーク、メール、Webサイト、教務・財務・人事給与・図書館などのシステムが止まり、10-02〜10-08は全授業を休講し、10-09から全キャンパスで対面授業を再開すると告知し(2026-10-08の第4報)、10-09に授業を再開した。メールは学外からの受信を10-08に再開し、学外宛ての送信は10月13日ごろまでに再開する予定(2026-10-09のお知らせ)。原因調査と復旧作業は継続中。個人情報の流出の有無は調査中(大学の発表)。影響の例として、申込者の氏名・連絡先などの申込情報を取り出せないため、博学連携講座「豊臣時代の大坂城・城下町の新研究」の全4回(11-02〜12-14)を中止すると10-14に告知した。日経は、在学生・卒業生ら少なくとも13万人分に流出の恐れがあり、サーバ約500台が停止したと報じている。10-21の第5報で、NECが利用していたクラウドストレージにあった大学に関連する個人情報とシステム関連情報の漏えいもNECから報告を受けたと公表した(内容・件数はNECに確認中。会見で示した教務システム関連の約13万件は大学の仮想化基盤内の情報で、これとは別)。授業料の納付は11月からに見送った(2026-10-29時点)。
    この事案の経緯・原因・対応を読む →
  81. 第一ライフグループ・第一生命保険(従業員向け人事システム) 生命保険

    従業員向け人事システムに不正アクセス。従業員・退職者約12万名分

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセスとだけ公表)
    影響
    2026-09-24に検知。約12万名分(従業員約5万名、退職者約7万名)の従業員番号・氏名・住所・電話番号・性別・所属・職位などが対象。顧客情報への不正アクセスと二次被害は確認されていない。
  82. 日本原子力研究開発機構(JRR-3 研究支援サイト) 国立研究開発法人

    研究炉の利用手続きサイトから、顔写真付き身分証の画像など367件

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(原因究明中)。サイトは機構が契約するクラウド基盤の上で動いていた
    影響
    2026-09-25に不正アクセスを確認して外部からのアクセスを停止し、09-29に個人情報の漏えいを確認。登録ファイル2,419件が不正にダウンロードされ、うち367件(175人分)が個人情報を含む(顔写真付き公的身分証の画像200件(うち6名分はマイナンバーを含む)、放射線業務の特殊健康診断の結果146件など)。利用者のIDとパスワードは漏えいしていない。業務ネットワークとは独立しており、他のシステムへの影響はない。
  83. ローソン(自社メールサーバ) コンビニ

    メールサーバを不正利用され、不審な英文メール推計約70万件が送信

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正利用。調査中)
    影響
    2026-09-25 15時ごろから09-27 17時15分ごろまで、自社のメールサーバから不審な英文メールが推計約70万件送られた(大半は海外宛て)。09-27に設定変更と通信制限で対処。個人情報の流出、データセンターへの侵入、改ざん、マルウェア感染は確認されていない。
    ここから学べること
    2026-10-08に「ローソンID」などへの不正アクセスによる約215万件の漏えいを別に公表した。この件との関係は公表されていない。
  84. チケットプラス「チケプラ」 電子チケット販売

    キャッシュ設定の変更で、別の会員の情報が画面に表示

    設定・管理の不備
    侵入経路・原因
    外部からの攻撃ではない。2026-09-28にアクセス集中の対策としてWebページのキャッシュ設定を変えたため、同時にアクセスした人に別の会員の情報が表示された(不正アクセスとデータベースの改ざんは確認されていないと公表)
    影響
    2026-09-28 7:00から09-29 22:35まで発生し、09-29夜に利用者の問い合わせで検知。自分の情報が他人に表示された可能性が最大107名、他人の情報が表示された可能性が最大322名。氏名・メールアドレス・住所・電話番号・カード番号下4桁などが表示された可能性。カード番号の全桁とパスワードは表示されていない。09-30朝に再開。二次被害は確認されていない。
  85. らしんばん(運営するサービス) 中古アニメグッズの買取・販売

    運営サービスに不正アクセス。買取の口座情報や本人確認書類の番号などが漏えいした可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス。システムの改修と不正アクセスの遮断を行ったと公表)
    影響
    2026-09-14〜09-16に不正アクセスを受けた(検知後にシステムを改修し、それ以降の不正アクセスはないとしている)。漏えいの可能性がある項目は、氏名(フリガナを含む)・郵便番号・住所・メールアドレス・電話番号・生年月日・性別・職業・会員番号、本人確認書類の種別と番号、買取明細・買取金額、買取申込み時の銀行名・支店・口座番号・名義、注文内容・注文金額・決済方法、配送先氏名・配送希望日時・伝票番号、付与ポイント数、買取の同意書の画像(利用状況により異なる)。10-09の追記で、クレジットカード情報・パスワード・免許証などの本人確認書類の画像は漏えいしていないとした。件数は公表されておらず、対象者には個別にメールで連絡している。警察に相談し、個人情報保護委員会に報告した(2026-10-09時点)。
  86. 佐川急便(荷物問い合わせサービスなど) 物流

    約100日分の送り主・届け先の情報など最大約5,323万件(重複を含む)が流出した可能性。Webサービスを停止

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(第三者機関と調査中)
    影響
    2026-09-30に不正アクセスを確認して第1報。10-01の第2報で個人情報流出の可能性を公表。9/30から遡る約100日分(6月下旬以降)の荷物の送り主・届け先の氏名、会社名、住所、電話番号など、運賃契約先、スマートクラブ登録者のメールアドレス・会員IDが対象の可能性。件数は調査中で、10-09の第4報でも、確認が済む前に公表すると実際と異なる情報が伝わるおそれがあるとして未公表。カード、パスワード、口座は含まれない。10-01正午にシステムへの外部からのアクセスを遮断し、同日に個人情報保護委員会へ速報。第4報では、他のシステムとグループ会社のシステムへの影響と、流出した可能性のある情報の不正利用は確認されていないとし、今後の報告は対象の出荷人との連名で行う方向で準備中。不正アクセスの発生日時は調査中。一部のWebサービスの停止を継続し、集荷・配達は通常どおり(2026-10-09時点)。10-23の第5報で、名寄せを一定程度進めたうえでの最大件数を約5,323万件と公表した(重複を含み、実人数ではない。区分別の件数は非公表)。送り状データの対象期間は2026-06-21〜09-30で、手書きの送り状は対象外。同日「お荷物問い合わせサービス」を再開し、問い合わせAPI・飛脚宅配便受付・受取先変更など8つのサービスは停止を続けている(2026-10-23時点)。2026年7月のスマートクラブの件とは別事案。
    この事案の経緯・原因・対応を読む →
  87. ベネフィット・ワン「ベネワン・プラットフォーム」 福利厚生代行

    アンケート機能の不具合で、他の利用企業の従業員情報1万3,460名分がダウンロード可能に

    設定・管理の不備
    侵入経路・原因
    外部からの攻撃ではない。2025-06の改修で入ったアンケート結果ダウンロード機能の条件設定の不備。2025-10に社内で不具合を把握していたが、解消作業が適切に行われていなかった(会社の発表)
    影響
    2026-07-30に利用企業の担当者からの連絡で判明。2,322企業・団体の13,460名分の社員番号・氏名・性別・生年月日・所属などが他社からダウンロードできる状態だった。実際にダウンロードしたのは連絡してきた1社1名で、削除を確認済み。二次被害は確認されていない。
  88. ジー・プラン「Gポイント」 ポイント交換サービス

    ポイント交換サービスに不正アクセス。会員識別子最大約7万件。サービスを停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(調査中)
    影響
    2026-09-25にシステムの異常を検知し、同日にシステムを止めて外部からのアクセスを遮断。最大約7万件の会員識別子が流出した可能性(調査で変わりうるとしている)。報道では、氏名・住所・電話番号・メールアドレスは含まないと会社が説明したとされる。Gポイント関連サービスは停止中で、再開時期は未定。
  89. 学校法人修道学園(広島修道大学など) 学校法人

    管理サーバへの不正アクセスで、教職員や取引先の口座情報などが漏えいのおそれ

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(管理サーバへの第三者による不正アクセス。原因は調査中)
    影響
    2026-09-26に確認。取引先の口座情報と、教職員・外部講師の氏名・住所・電話番号・口座情報が漏えいしたおそれ。第1報では一部の学生も対象としていたが、10-08の第2報で、漏えいのおそれがある情報に学生に関するものは含まれていないことを確認したと公表した。件数は未公表。公開や不正利用は確認されていない(2026-10-08時点)。
  90. 関西国際大学 私立大学

    学内システムに不正アクセス。eポートフォリオのファイルが外部から取得され、学内ネットワークを停止

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(侵入経路と原因は究明中。外部専門機関の調査を手配し、警察と連携)
    影響
    2026-09-30に不正アクセスを公表し、インターネット接続を止めた。10-06の第2報で、eポートフォリオシステムから複数のファイルが外部から繰り返し取得され、2023年3月までに在籍した学生の在学中の経験や振り返りなどの文字情報が流出したと大学は判断した。氏名・学籍番号などが含まれるか、対象の範囲と件数は調査中。学内Wi-Fiを含む学内ネットワークを停止し、授業連絡や課題提出などは代替手段で対応。10月中旬以降に一部システムの段階的な再開を目指すとしている。
  91. セイコーマート「セイコーマートアプリ」 コンビニ

    アプリのサーバに不正アクセス。57万4,647人分

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(アプリのサーバを経由して会員情報のサーバへ不正アクセス。警察と連携しており手法の開示は差し控えると公表)
    影響
    2026-09-24に不正な退会処理を確認し、09-28にサーバへの不正アクセスが判明。氏名・住所・生年月日・性別・電話番号・メールアドレス・入会/退会年月日などが閲覧された可能性。574,647人分(第四報、10-05。当初は約57万アカウント、第三報で572,022人と発表)。09-24までの退会者は含まれない。パスワードと購買履歴は含まれない。電子マネーの不正利用は確認されていない。アプリ・WEBでの新規入会や会員情報の閲覧・変更などの機能は終了する。2026-10-15のお知らせで、アプリへのログインは10月下旬に再開する予定とした。安全性を高めるため個人情報をアプリ・WEBサイトから閲覧できない仕組みに移り、アプリからの会員情報の閲覧・新規入会・会員情報の変更と、マイページからの会員情報の閲覧・変更・退会は廃止する(当面は店頭で手続き)。景品交換の申し込みサイトは11月以降に再開する見込みで、10月末・11月末に期限が来るポイントは12月末まで延長する(2026-10-15時点)。10-26に、メールアドレスとパスワードを登録済みの人のアプリへのログインを再開した。認証の要素を追加し、アプリやインターネットから個人情報へアクセスできないようにした。未登録の人の利用登録は休止を続けている(2026-10-26時点)。
    この事案の経緯・原因・対応を読む →
  92. 日本郵便「郵便局アプリ」「ゆうID」 郵便

    郵便局アプリへの不正アクセスで、69件(19名分)の顧客情報が取得

    Webサービス・アプリ経由
    侵入経路・原因
    未公表
    影響
    2026-09-25の22:30ごろから緊急メンテナンスを実施し、09-26に再開。ゆうID会員情報、住所録、アプリで作った送り状情報(追跡番号・品名を含む)の69件(19名分)が取得された。公表時点で不正利用の形跡はない。2026-09-25に公表された国際郵便の調査請求Web受付の件とは別事案。
    ここから学べること
    日本郵政は2026-10-19、共通ID「ゆうID」で、外部で漏えいしたID・パスワードのリストを使った不正ログイン(リスト型攻撃)が判明したと公表した。10-15に「ゆうゆうポイント」公式サイトで不審なアクセスを検知し、10-16から同サイトを停止。不正ログインされた可能性があるアカウントは249件で、氏名・住所・生年月日・性別・電話番号・メールアドレスなどの会員情報が閲覧された可能性がある(1件のアカウントが持つ住所録83件も対象)。09-29の郵便局アプリの件で取得されたゆうIDとは重複しておらず、自社システムからの情報漏えいは確認されていないとしている。ゆうIDのパスワード再設定やパスキー設定のお願いと、2段階認証の必須化の案内を順次送る(2026-10-19時点)。
  93. ユニリタ ソフトウェア

    社内の文書管理システムから契約書・認証情報・個人情報などが窃取され、10-12に公開された

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(調査中)
    影響
    2026-09-28に、窃取したとする情報がWeb上で公表されているのを確認して発覚。第2報(10-09)で、被害は特定のSaaS型文書管理システムに限られ、顧客・取引先との契約書、顧客のシステム認証情報、顧客の従業員や社外関係者の個人情報(特定個人情報を含まない)、社内のシステム認証情報、社員の個人情報などの窃取を確認したと公表。警察に相談し、個人情報保護委員会へ報告するとしている。第3報(10-14)で、攻撃者が10-12に公開した情報に同社の情報が含まれていることを確認した。件数は未公表で、漏えいしたファイルを解析中。対象者には個別に連絡する(2026-10-14時点)。システム障害や業務への支障、データの改ざんはない。
  94. ヤマト運輸「クロネコ代金後払いサービス」 物流・後払い決済

    後払い決済の利用者情報 約526万件ほかが持ち出された(第4報)

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(セキュリティ専門機関と調査中)
    影響
    2026-09-28に検知し、同日22時28分にサービスを停止。10-09 13時に再開し、9-28以降に期限を迎える払込票の支払期限を17日延長(第3報)。第4報(10-16)の調査結果で、利用者の情報約526万件(うちメールアドレスを含むもの約49万件。2018-10-01〜2026-09-28の利用。氏名・住所・電話番号・メールアドレス・商品明細・申込番号や与信番号などの社内管理用情報)、お届け先の情報約5万件(氏名・住所・電話番号・送り状番号)、加盟店の情報約4,100件(加盟店名・加盟店コード)の持ち出しを公表。カード情報とパスワードは含まれない。第2報で可能性を挙げた請求金額・債権残高・社員の氏名は持ち出しを確認せず。対象者には順次個別に連絡。侵入経路は未公表。宅急便など他のサービスは通常どおり。
    この事案の経緯・原因・対応を読む →
  95. イープラス(電子チケット「スマチケ」の払戻し情報の管理システム) チケット販売

    払戻しを申請した顧客1,463件の個人情報

    不正アクセス(経路未公表)
    侵入経路・原因
    第三者による不正アクセス。手法は未公表
    影響
    中止・延期公演の払戻し情報を管理するシステムが対象で、払戻しを申請した顧客1,463件の個人情報が漏えい(ScanNetSecurityの報道)。
  96. 集英社「HAPPY PLUS COMMUNITY」 出版

    CMSの設定の不備を突かれ、ブロガー2,835人分などが漏えい

    設定・管理の不備
    侵入経路・原因
    利用しているCMSの設定の不備に起因するAPI認証情報を狙った攻撃。特権ユーザーのアカウントを不正に作られ、APIリクエストを繰り返された(会社の発表)
    影響
    2026-09-09に発生し、同日、システムのテンプレートを使ったメールを受け取った人からの通報で検知。ブロガー2,835件、案件情報630件、送信メール情報11,237件、取引先一覧10,780件が対象。ブロガーの項目は氏名・メールアドレス・住所・電話番号・生年月日などのプロフィール情報。フォレンジック調査中。
  97. 手間いらず「TEMAIRAZU」(利用する宿泊施設の予約者に波及) 宿泊施設向け予約管理システム

    宿泊施設向け予約管理システムに不正アクセス。予約者最大約445万人の宿泊予約情報が閲覧・取得された可能性

    利用しているSaaS・他社製ソフト委託先・取引先経由
    侵入経路・原因
    未公表(セキュリティ上の理由で、不正アクセスの具体的な手法と対策の詳細は公表しないとしている。原因箇所は特定し、対策を完了したと公表)
    影響
    2026-09-21深夜ごろから、利用施設の予約者にWhatsApp・メール・SMSなどで予約情報を知っているとみられる不審なメッセージが届き、カード情報の再入力や支払いを求めて偽サイトへ誘導していると複数の施設から連絡があった。調査の過程で自社システムへの不正アクセスを確認。09-24 10:58ごろ〜21:48ごろに一部機能を停止(予約・在庫・料金の連携エンジン全体は止めていない)。09-28の第1報では件数を示さず、10-07の第2報で対象の情報(宿泊者の氏名・電話番号・メールアドレス・宿泊施設名・チェックイン日・チェックアウト日・宿泊料金)を公表し、10-09の適時開示で対象者数を最大約445万人とした(閲覧・取得された可能性のある人数)。クレジットカード情報と宿泊予約サイトのログイン情報は保有していない。個人情報保護委員会に報告し、警察に相談。外部の専門機関が調査中で、業績への影響は算定できていない(2026-10-09時点)。
    ここから学べること
    予約者に届いた不審なメッセージの調査から、予約管理システムへの不正アクセスが見つかった例。会社は不審なメッセージが不正アクセスに起因する可能性があるとしている(第1報)。利用施設も個別に公表している(例: ホテルグランドヒル市ヶ谷は2026-09-29に、手間いらずからの報告として、過去に提供していたインストール型サービスを構成する機能の一部にセキュリティ上の問題があったと説明)。2026-10-21時点で、手間いらずのお知らせ一覧に10-09の適時開示より新しい報告はない。
  98. 東京メトロ「メトロポイントクラブ」 鉄道

    ポイントサービスのサーバに不正アクセス。メールアドレス約5.9万件

    Webサービス・アプリ経由
    侵入経路・原因
    未公表(被疑箇所を特定して対策済み。調査は継続)。報道では国外からと推測される第三者によるとされている
    影響
    2026-09-20にメール配信の不具合があり、09-25にふだんと違う利用記録を見つけて判明。送信できないため配信を止めていたメールアドレス約5万9,000件を入れたサーバが対象で、メールアドレス以外の会員情報は含まれない。
    ここから学べること
    持っていないデータは漏れない。保存する項目を絞っていたことで被害が小さく済んだ例。
  99. スターツ出版「オズモール(OZmall)」 出版・予約サイト

    サイトの脆弱性を突かれ、会員のメールアドレスなど最大約44万人分

    Webサービス・アプリ経由
    侵入経路・原因
    自社サイトの一部ページへの海外からの大量アクセス。脆弱性を特定して修正したと公表(脆弱性の中身は未公表)
    影響
    2026-09-26に検知。会員と一部の元会員のメールアドレス、一部の人の氏名と都道府県までの住所が漏えいした可能性。最大442,779名(第2報、10-01。当初は最大447,610名と発表)。電話番号と番地までの住所は閲覧の形跡がない。カード情報は外部決済のため対象外。二次被害は確認されていない。
  100. 京王電鉄グループ 鉄道・ホテル・小売

    グループの営業システムに支障。鉄道の運行は影響なし

    ランサムウェア
    侵入経路・原因
    未公表(ランサムウェアと公表。侵入経路は調査中)
    影響
    グループ各社の営業システムに支障が出た。京王プラザホテルは自社でも告知し、一部に支障が出た。報道では京王ポイントの付与・利用の停止なども伝えられた。09-30以降、定期券らくはや予約や問い合わせフォームなどの停止を個別に告知し、10-07に定期券らくはや予約を順次再開。京王ストアは09-30にクレジットカード・電子マネー決済を全店で再開、京王友の会は10-06にカウンター手続きを再開。京王ポイントは10-07時点でも一部加盟店で加算・利用できない。警察に通報済み。2026-10-16時点で情報漏えいは確認されていないとしており、京王電鉄の第2報は出ていない。
    この事案の経緯・原因・対応を読む →
  101. ニッポンレンタカーサービス「ニッポンレンタカーアプリ」 レンタカー

    アプリへの不正アクセスで会員41名分。調査中に別の手法による不正アクセスも判明

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(外部からの攻撃とだけ公表)
    影響
    第1報(2026-09-26)は会員41名分。続報(10-01)で、09-19〜09-21に別の手法で不正アクセスされ会員55名分が閲覧されたことが判明(両者の重複は未公表)。項目は氏名、電話番号、メールアドレス、ログインID、利用・予約情報。登録状況により運転免許証番号・住所・生年月日、カード番号下4桁・名義人名も含む。二次被害は確認されていない。
  102. タイムズモビリティ(パーク24グループ)「タイムズカー」 カーシェア

    Webシステムの脆弱性を悪用され、会員情報662万8,007件と運転免許証などの画像146万4,800件に外部送信の痕跡

    Webサービス・アプリ経由
    侵入経路・原因
    Webシステムに存在した脆弱性が悪用され、侵入後にシステム内の情報を探索し、取得した情報を使ってデータベースとファイル領域にアクセスされた(第5報、外部専門機関のフォレンジック調査の結果)。攻撃手法の詳細は公表を控えている
    影響
    2026-09-25に検知して同日に第1報、09-26朝に経路と通信を遮断した。10-23の第5報で、外部専門機関の調査結果を公表した。外部送信の痕跡が確認されたのは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報 6,628,007件(当初は「最大約660万アカウント」。重複を含み実人数ではない)と、暗号化して保存していた運転免許証などの本人確認書類の画像 1,464,800件(当初は「約160万件」)など。別に891,602件の画像はアクセスのみで外部送信の痕跡はない。画像は暗号化されていたためすぐに閲覧できる状態ではないが、将来の復号は否定できないとしている。ハッシュ化パスワードの外部送信は4件。新たに「タイムズクラブWebシステム」への不正アクセスも確認され、タイムズクラブカード番号19,510件・連携サービスID 135,436件などに外部送信の痕跡があった。売買・公開の事実は確認されていない。外部送信の痕跡が確認された画像の本人には3,000円相当の現金または金券を渡す。パーク24は見舞金と対応費用として特別損失55億円を計上する見込みと公表した(10-23)。社外取締役を中心とする調査委員会を置き、強化策は年内をめどに公表する。本人確認書類の画像は2026年10月末までに削除するとしている(第4報、10-16)。個人情報保護委員会には09-25に報告し、09-28に警察へ相談した(2026-10-23時点)。
    ここから学べること
    退会者の情報まで残っていた(税法などを理由に7年間保管)。保管が必要なデータも、置き場所と守り方を分けないと被害の範囲が広がる。
    この事案の経緯・原因・対応を読む →
  103. スマレジ「スマレジEC・リピート」「スマレジEC・B2B」 店舗・EC向けSaaS

    EC構築サービスの管理画面のログイン機能の脆弱性を悪用され、利用企業4社に影響の可能性

    Webサービス・アプリ経由
    侵入経路・原因
    顧客向け管理画面のログイン機能の脆弱性を第三者に悪用された。脆弱性は2026-09-18に修正済み。脆弱性の中身と不正アクセスの開始日は未公表
    影響
    影響の可能性があるのは利用企業4社。その顧客情報(氏名・住所・メールアドレス・購入履歴など)、受注情報、管理者のログインIDと暗号化済みパスワード、WordPressのログイン情報などが閲覧・取得された可能性。個人の件数は未公表。カード情報はシステムに持たない仕様。2026年1月の外部連携アプリ経由の事案とは別件。
  104. 佐賀大学 国立大学

    事務部門のNASのファイルがランサムウェアで暗号化

    ランサムウェア
    侵入経路・原因
    未公表(感染経路は調査中)
    影響
    2026-09-24朝に検知し、同日夕方に事務用端末を停止。09-27に端末の利用を再開し、09-28から通常業務。教育・研究・診療のシステムへの影響は確認されていない。情報流出の有無と件数は公表されていない。
  105. ファインズ(店舗向け予約システム) 店舗向け予約・販促支援

    予約システムへの不正アクセスで、予約者情報約153.6万件に影響

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表(第三者による不正アクセス)
    影響
    2026-09-22にシステムの異常を検知し、アクセス遮断などの措置をとった。影響範囲は1,536,322件で、予約者の氏名・電話番号・メールアドレス、予約店舗・メニュー・日時など。発生日と二次被害の有無は公表されていない。
  106. 日本郵便「調査請求Web受付」(国際郵便) 郵便・物流

    国際郵便の調査請求のWeb受付に、外部から不正アクセスの可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    外部からの不正アクセスの可能性。原因は調査中(2026-10-08時点)
    影響
    2026-09-25 15時ごろに発覚し、受付を一時停止。影響範囲は調査中で、件数は未公表。郵便局アプリ・ゆうIDの事案(2026-09-29公表)とは別の公表。
  107. 池上通信機 放送機器メーカー

    外部からの情報提供で発覚。サーバ内ファイルの暗号化を確認

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    2026-09-21に外部から情報提供を受けて発覚し、09-24に第1報。09-30の第2報で一部サーバのファイルの暗号化を公表し、社内ネットワークの切断が続いている。10-02の第3報で、同社の情報が外部のサイトに公開されたことを確認したと公表(内容と範囲は精査中)。会社の発表は「ランサムウェア」という語を使っておらず、暗号化の事実を公表している。
  108. Helpfeel「Gyazo」 画像共有SaaS

    アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件

    Webサービス・アプリ経由利用しているSaaS・他社製ソフト
    侵入経路・原因
    画像アップロードサーバの脆弱性を悪用され、任意のコマンドを実行された。2026-09-11に検知し、09-12に遮断・修正
    影響
    ユーザー関連データ約2,362万件(うち約1,801万件はメールアドレスのない匿名ユーザー)が流出し、サービスを停止。2026-09-25の第2報で、画像のメタデータ(画像ID・OCRテキストなど)の流出も判明。公式の発表では、主に2019年1月以前にアップロードされた画像の分が約4.9億件、主に2023年2月以前に削除された画像の分が約1.74億件と、区分の違う2つの値が示されている。条件を絞って取得された画像メタデータ約240万件も公表。2026-09-27にサービスを再開(過去の画像はいったん本人だけが見られる状態)。第2報の時点で二次被害は確認されていない。
    この事案の経緯・原因・対応を読む →
  109. デジタル庁「ガバメントソリューションサービス(GSS)」 政府共通基盤

    VPN機器の脆弱性から侵入。約24.6万件

    VPN・リモートアクセス機器
    侵入経路・原因
    ネットワーク接続機器(VPN)の脆弱性。保守運用担当者のアカウントで大量のファイルにアクセスされた
    影響
    2026-06-25に大量のファイルアクセスを検知。07-09にVPN機器の脆弱性を使った侵入と判明し、同日にアカウントを止めて外部との通信を遮断した。約24.6万件の個人情報(公務員等約18.9万件、事業者・個人約5.7万件)が漏えいした可能性。一般の方の個人情報、マイナンバー、口座、年金番号は含まれない。2026-10-08時点で二次被害の公表はない。
    この事案の経緯・原因・対応を読む →
  110. ロート製薬 医薬品・通販

    通販の顧客対応システムなどから、通話音声データが取得された可能性

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表
    影響
    2026-09-10に検知。通販の顧客対応に使うシステムに保存されていた通話音声データと付随情報が、不正に取得された可能性がある。2026-09-15の続報で、同社が使う顧客管理システムからも情報が取得された可能性を公表。件数は調査中。主要な業務への影響はない。
    犯行グループ
    攻撃者が海外フォーラムで約4TB(顧客情報約395万件、通話録音約85万件)を取得したと主張。会社は確認していない
  111. T&K TOKA 化学(印刷インキ)

    ランサムウェアで一部業務を停止

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    一部業務を停止。情報流出の有無は調査中。
  112. VOISING(利用するBIツール) エンタメ(2.5次元アイドル・配信者の事務所)

    利用するBIツールの既知の脆弱性を突かれ、約17万件の個人情報が漏えい

    利用しているSaaS・他社製ソフト
    侵入経路・原因
    利用するBIツール(ビジネスインテリジェンスツール)の脆弱性を悪用された。修正プログラムを適用する前に不正アクセスされ、システムに侵入された(第4報、会社の発表)。会社は、既知の脆弱性への修正が、脆弱性情報の公開から攻撃までに間に合わなかったことを直接の原因としている
    影響
    2026-08-17に対象のBIツールを停止し、攻撃者が作ったアカウントとAPIキーを無効化。08-18に公表した。漏えいを確認したのは約17万件で、項目は氏名・住所・電話番号・メールアドレス・生年月日・性別、購買履歴・決済金額の記録・サービスの加入状況、応援対象タレントの選択情報。クレジットカード番号とログインパスワードに当たる情報は保持しておらず対象外。08-24の第3報では、一部の情報が外部で公開されていることを確認したと公表した。侵害を受けた環境は復旧させずに廃棄し、資格情報をすべて失効・更新。警察に相談し、個人情報保護委員会に報告した。09-30の第4報で、外部専門機関による最終調査と社内精査の完了を公表した(関係機関から二次被害の報告は届いていない。2026-09-30時点)。
    ここから学べること
    再発防止策として、脆弱性情報の受信体制と深刻度に応じた対応期限の規定、社内ツールをインターネットへ直接公開しない構成への見直し、BIツール上の個人情報の仮名化・最小化を挙げている(第4報)。
  113. さくらインターネット クラウド・ホスティング

    レンタルサーバ951アカウントに影響。販売管理システムへの不正アクセスは3年続いていた

    設定・管理の不備利用しているSaaS・他社製ソフト
    侵入経路・原因
    一部サーバへの不正アクセスとマルウェアの設置が見つかった。侵入経路は「記録の制約」で確定できなかったと公表。販売管理システムで初期パスワードがハッシュ化されずに保存されていたことも判明
    影響
    「さくらのレンタルサーバ」の951アカウント(当初583、追加368)が影響の対象。販売管理システムへの不正アクセスは2023年4月〜2026年3月に続いており、最大1,360,563アカウント(ハッシュ化パスワードを含む)に影響した可能性。第三報(2026-09-10)で調査完了を公表した。
    ここから学べること
    侵入から発覚まで3年。ログを見ていなければ気づけない。
    この事案の経緯・原因・対応を読む →
  114. 両毛システムズ(委託元: 伊勢崎市・ガス事業者など) SI(自治体・ガス事業者の委託先)

    VPNアカウントを悪用され、委託元のガス会社・自治体に波及

    ランサムウェア委託先・取引先経由VPN・リモートアクセス機器
    侵入経路・原因
    VPN(ネットワーク接続機器)のアカウントの悪用
    影響
    委託元に波及し、伊勢崎市の児童生徒3,789件のアカウント情報、名張近鉄ガス約6,800件・新宮ガス約1,460件の顧客情報などが漏えいした可能性がある。ランサムウェアと確認したのは第2報(2026-08-19)。
    この事案の経緯・原因・対応を読む →
  115. REXT(WonderGOO、新星堂、JEANS MATEなど) 小売

    店舗の臨時休業、キャッシュレス決済と買取の停止

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    一部店舗の臨時休業や部分営業、キャッシュレス決済の制限、買取停止、ポイント休止、ECの発送遅延。9月下旬には、流出した可能性のある情報の一部がネットに掲載されたと発表した。
    犯行グループ
    RansomHouseがリークサイトに掲載(会社は認めていない)
  116. Eストアー「ショップサーブ」 EC構築SaaS

    EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)

    利用しているSaaS・他社製ソフト委託先・取引先経由
    侵入経路・原因
    外部の第三者が、同社のサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた(最終報、2026-10-16)。期間は2026-05-21〜08-01。この経路以外の侵害と、バックドアなど不正なプログラムの設置は認められなかったとしている
    影響
    2026-10-16の最終報で、漏えいの対象者は約2,335万6,000人(購入者・会員、店舗運営者、アフィリエイターの合計。名寄せで重複を除いた概数)、対象店舗は7,858店(過去の利用店舗を含む)と確定した。当初は延べ約885万件(同じ人の重複登録を含む)と発表していた。項目は購入者の氏名・住所・電話番号・メールアドレス・勤務先など、会員IDと暗号化されたパスワード、店舗管理画面のログインID・パスワード、コンビニ払込票の店舗情報、アフィリエイト登録者のメールアドレス・パスワード。うち約209万6,900人はクレジットカード情報の一部(名義、先頭6桁と下4桁、有効期限)を含む。完全なカード番号とセキュリティコードは保持していない。第2報で対象としていた店舗メールシステムとFTPのID・パスワード、振込先口座情報は、調査の結果、対象外になった。対象者への個別連絡は完了し、個人情報保護委員会と関東総合通信局に報告書を出し、所轄警察署に相談している。二次被害の報告とダークウェブへの流出は確認されていない(2026-10-16時点)。キングジムなど出店企業も個別に公表した。
    ここから学べること
    自社で作っていなくても、使っているSaaSが侵害されれば自社の顧客の情報が漏れる。
    この事案の経緯・原因・対応を読む →
  117. ムラウチドットコム EC(家電通販)

    Webシステムの脆弱性を突かれ、約772万件が持ち出し

    Webサービス・アプリ経由
    侵入経路・原因
    Webシステムの一部にあった脆弱性
    影響
    2026-07-16に不正アクセスの痕跡を発見。2026-09-15の調査完了の発表で、7,716,811件の個人情報(氏名・住所・電話番号、一部はメールアドレス・生年月日など)が持ち出されたと確定。カード情報とログインID・パスワードは含まれない。
    この事案の経緯・原因・対応を読む →
  118. ファイブフォックス アパレル(コムサなど)

    上位会員の顧客情報と従業員情報が漏えいした恐れ

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    VIP・GOLD会員の顧客情報と従業員情報が漏えいした恐れがある(2026-09-08の第2報)。
  119. ニチレイ 食品・低温物流

    冷凍食品の出荷と冷蔵倉庫の入出庫が停止。取引先約5,000社に影響

    不正アクセス(経路未公表)
    侵入経路・原因
    未公表。会社はランサムウェアとは公表しておらず、詳細の開示を控えている
    影響
    ニチレイロジグループの冷蔵倉庫の入出庫と、ニチレイフーズの冷凍食品出荷が停止。7/17から順次再開し、7/24に全拠点が通常稼働に戻った(第5報)。報道では外食・小売の取引先約5,000社で欠品や遅れが出た。第6報・第7報で、配送先3,308件、取引先6,849件、従業員など43,709件の情報の漏えいを確認した。
    犯行グループ
    RansomHouseがリークサイトで犯行を主張(会社は認めていない)
    ここから学べること
    情報が漏れるかどうかより、業務が止まる被害が大きい例。
    この事案の経緯・原因・対応を読む →
  120. 日本交通 タクシー・ハイヤー

    電話でのタクシー配車とハイヤーの予約管理が停止

    ランサムウェア
    侵入経路・原因
    未公表(不正アクセスとマルウェア感染)
    影響
    ハイヤーのWeb受注・予約管理、電話でのタクシー配車などが一時停止。2026-08-19の第4報で、保有ファイルの一部が外部に流出したことを確認した。
    犯行グループ
    AiLockが2.9TBを保有していると主張(未検証。会社は認めていない)
  121. アフラック生命保険 保険

    契約者向けサイトへの不正アクセスで、約440万人分

    Webサービス・アプリ経由
    侵入経路・原因
    「オンライン相談」と「よりそうネット」の2システムへの不正アクセス。調査結果(2026-07-31)では、照会の手口への制御と短時間の大量照会の監視が足りなかったとしている。手口の中身は未公表
    影響
    顧客約440万人分の氏名・住所・証券番号・保障内容など。うち約22万人(第二報で更新)は保険料の振替口座情報も含む。代理店約4万店分も対象。マイナンバーとカード情報は含まれない。金融庁が報告命令を出した。契約者専用サイト「よりそうネット」は、再発防止策と安全性の検証を終えたとして、一部を除き2026-09-28に再開した(初回登録の方法を変更。公式FAQ、2026-10-01時点)。
    この事案の経緯・原因・対応を読む →
  122. 武蔵野大学 教育

    バックアップから復旧し、運営に支障なし。一方でリークサイトに掲載

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    2026-06-15に感染を確認。バックアップから復旧し、大学運営への支障はなかった。大学は、データの流出は確認されておらず、身代金も払っていないとしている。
    犯行グループ
    Qilinがリークサイトに掲載し、資料のサンプル画像を公開したと報じられている(大学の発表とは食い違う)
  123. KDDI(ISP 6社に波及) 通信

    ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件

    利用しているSaaS・他社製ソフト委託先・取引先経由設定・管理の不備
    侵入経路・原因
    ISP向けメールシステムに組み込んでいた第三者製ソフトの未知の脆弱性
    影響
    @nifty、BIGLOBE、J:COM NET、コミュファ光、ピカラ光、CPIの利用者が対象。当初は最大1,422万件と発表し、2026-07-06の続報で漏えいはメールアドレス約1,223万件、うちパスワード約762万件と確定。解約者・休眠者も含む。
    ここから学べること
    1つの基盤の脆弱性が、それを使う複数の事業者の利用者に一度に広がった。
    この事案の経緯・原因・対応を読む →
  124. YCC情報システム(委託元: 山形市など) SI(自治体の委託先)

    自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象

    ランサムウェア委託先・取引先経由VPN・リモートアクセス機器盗まれた・弱いID/パスワード
    侵入経路・原因
    ネットワーク機器の管理者アカウントの認証情報を、攻撃者が推測または取得した(2026-05-20の第五報)
    影響
    2026-04-02にファイルサーバの被害を確認。山形市分では健康情報約50万件、マイナンバーを含む人事給与情報約6,000件、児童相談情報2,520件などが対象。実際に漏えいした痕跡は確認されていないが、可能性は否定できないとしている。
    この事案の経緯・原因・対応を読む →
  125. コタ ヘア化粧品(東証プライム)

    システム障害で決算短信の開示が期末後50日を超える

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    2026-03-27の攻撃によるシステム障害で、決算数値の確定と監査が遅れた。2026年3月期の決算短信は期末後50日を超えて開示(2026-04-23に遅延を公表)。ランサムウェアと判明したのは第3報(2026-04-15)。
    ここから学べること
    被害が情報漏えいにとどまらず、上場企業の開示義務にまで及んだ例。
  126. マイナビ 人材・メディア

    業務で使う外部クラウドサービスが侵害され、最大11万件

    利用しているSaaS・他社製ソフト
    侵入経路・原因
    マイナビ転職などのサービス本体ではなく、業務で使っていた外部のクラウドサービス。手口の詳細は未公表
    影響
    最大111,505件の個人情報(一般ユーザー74,224件、法人担当者21,609件、従業員15,672件)が流出した可能性がある。カード情報とマイナンバーは含まれない。
  127. ワシントンホテル ホテル

    ランサムウェアで一部ホテルのカード決済端末が停止

    ランサムウェア
    侵入経路・原因
    未公表
    影響
    2026-02-13夜に一部サーバへの侵入を確認。一部ホテルでカード決済端末が一時使えなくなった。最終報(2026-09-07)の時点で、リークサイトなどへのデータ公開は確認されていない。
  128. ホソカワミクロン 製造(粉体機器)

    二重恐喝型のランサムウェアで、マイナンバーを含む情報が公開

    ランサムウェア
    侵入経路・原因
    未公表(最終報では、個人情報はクラウドサービス経由で流出したとしている)
    影響
    マイナンバーを含む個人情報が漏えい。2026-02-15に、流出したとみられるファイルがネット上で公開されているのを確認した。
    犯行グループ
    Everestが30GBを窃取したと犯行声明
  129. トンボ飲料 飲料製造

    リモートデスクトップソフトから侵入され、サーバが暗号化

    ランサムウェアVPN・リモートアクセス機器
    侵入経路・原因
    インターネットから操作できる状態だったリモートデスクトップソフト(最終報で判明)
    影響
    一部のサーバが暗号化された。仕入先の銀行口座情報など、取引先の情報の一部が流出した可能性がある。

網羅的な一覧ではありません。件数は最新の公式発表の値で、調査が進むと変わることがあります。誤りや更新があれば、ページ下のフォームからお知らせください。

他の年

2025年の一覧 → 2024年の一覧 → 事案まとめ(全年・手口別)→

当社がお手伝いできること

当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。

入口とアカウントの棚卸し

社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。

認証の強化の組み込み

自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。

VPNを使わない接続への置き換え

当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。

持つデータを減らす

退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。

気づける仕組み

ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。

セキュリティ相談窓口(事故対応・診断・監視・保険・補助金のうち、どこに何を頼めばよいかを無料で切り分け)→ AIでのセキュリティ対策の相談窓口(ログの異常・不審メールの一次判定、アカウントの棚卸しの自動化)→

よくあるご質問

2026年9月から10月に、会員情報の流出の公表が多いのはなぜですか
2026年10月30日時点で、共通の原因や、同じ攻撃者による一連の攻撃だという公式の発表はありません。焼肉きんぐのアプリ、セイコーマートのアプリ、佐川急便、日本郵便、東京メトロ、カプコンなどは、侵入経路の詳細を調査中または未公表としています。タイムズカーは10月23日の第5報で、Webシステムの脆弱性を悪用されたと公表しました。原因を公表した事案の手口も、Webアプリの脆弱性、設定の誤り、委託先などに分かれています。一覧と原因の型は解説「2026年9月末から相次ぐ情報漏えい」に、AIの関与について分かっていることは「生成AIでサイバー攻撃は増えたのか」にまとめています。続報が出たら、このページと各事案の記述を更新します。
2026年の一覧は、これからも更新されますか
更新します。調査中の事案は、会社の続報(件数の確定、侵入経路、再発防止策)が出たら書き換えます。新しく公表された事案も、公式発表か専門報道で確認できたものから追加します。網羅的な一覧ではありません。

何から手を付けるか迷ったら、まず相談してください。

不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。

  1. 1

    状況を送る

    フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。

  2. 2

    2営業日以内にメールで返信

    お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。

  3. 3

    必要なら1時間のオンライン相談

    返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。

ご相談の種類当てはまるものを選ぶだけでも送れます(複数可)

セキュリティの初動相談は無料です。いただいた内容はご相談への回答にのみ使用します。

ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。