2026年9月末から相次ぐ情報漏えい｜公表された事案の一覧と、分かっている原因・共通点
仕様確認・更新日: · 編集: 株式会社ウェステリア
2026年9月25日以降、会員サービスやアプリへの不正アクセスの公表が続いています。最初の2週間(10月8日まで)で、当特集が確認できたものだけで36件です。この記事では、各社の公式発表と専門報道で確認できた事案を一覧にし、この36件について公表された原因を型ごとに数えました。10月30日までに第1報が出た事案も、別の表に載せています。10月21日以降も、カプコン、リクルート「カーセンサー」、楽天トラベル、So-net、花キューピットなどの公表が続きました。同じ時期に重なったことについて、分かっていることと、まだ分かっていないことも分けて書きます。数字は表ごとの時点のもので、続報が出れば変わります(2026-10-30時点)。最新の事案は2026年の一覧で確認できます。
結論から
- 2026年9月25日から10月8日までに第1報が出た国内の事案は、当特集が確認できたもので36件です。最大は焼肉きんぐのアプリの約1,079万件で、タイムズカー(約660万アカウント)、ミスターマックス(最大約174万人)が続きます。10月8日の追加分から10月30日までにも、ソースネクスト(最大2,251万9,960件)、skyticket(最大約1,464万件)、カプコン(全世界1,177万4,247件)、ふるさとチョイス(445万4,097件)、花キューピット(423万8,242件)などの第1報が続いています(別の表に68行。IDCFクラウドの被害が波及した4社などを含みます)
- 原因を公表した事案は、Webアプリの脆弱性・機能の悪用、設定の誤り、委託先、盗まれたID、ランサムウェアに分かれます。36件のうち20件は、2026-10-08時点で侵入経路を公表していません
- 同じ攻撃者による一連の攻撃だという公式の発表はありません。専門家の見方は、公表の時期が重なった面が大きいとするものと、AIの悪用の可能性を指摘するものに分かれています。個人情報保護委員会は2026年10月7日に、事業者向けの対策を例示しました。10月8日から9日には警察庁・国家サイバー統括室・経済産業省・金融庁・総務省・IPAも、注意喚起を出しています。10月13日にはNICTと総務省が、公開アプリを解析してサーバーを狙う手口への注意喚起を出しました。10月15日にはJPCERT/CCが、攻撃に使われた可能性のあるサーバーの調査で、攻撃者がAIを使って脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと公表しました。10月16日には、IPAが事業者向けの不正アクセス特別相談窓口を公開しています
この記事で扱う範囲
2026年9月25日から10月30日までに、第1報か、不正アクセスだと初めて公表した日がある国内の事案を載せています。会社・団体の公式発表か、専門報道で確認できたものだけです。原因の型ごとの集計は、9月25日から10月8日までの36件で行っています。
第1報がこの期間より前の事案は除きました。Gyazo(9月16日)、池上通信機(9月24日)、ムラウチドットコム(7月24日)などです。海外の子会社の事案、メールの誤送付などの人為的なミスも除いています。
攻撃者が「データを盗んだ」と主張しているだけで、会社が確認していないものは載せません。小規模な事案はほかにもあり、網羅的な一覧ではありません。
出典: ITmedia エンタープライズ: 2026年9月下旬からの不正アクセス公表の整理(2026-10-07) / ScanNetSecurity 2026年10月の記事一覧
公表された事案の一覧(2026年9月25日〜30日)
日付は第1報の日です。Gポイントは9月25日から「緊急メンテナンス」として止めており、不正アクセスと公表したのは9月30日でした。
| 公表日 | 会社・サービス | 件数(公表値) | 公表された原因 | 状態(10月8日時点) |
|---|---|---|---|---|
| 9月25日 | パーク24「タイムズカー」 | 会員情報662万8,007件と本人確認書類の画像146万4,800件に外部送信の痕跡(10月23日の第5報。当初は約660万アカウント・画像約160万件) | Webシステムへの不正アクセス。10月23日の第5報でWebシステムの脆弱性の悪用と公表 | 9月26日に遮断。サービスは通常どおり |
| 9月25日 | スマレジ「スマレジEC・リピート」「B2B」 | 4社の環境。人数は未公表 | 管理画面のログイン機能の脆弱性 | 9月18日に修正済み |
| 9月25日 | ファインズ(店舗向けの予約システム) | 153万6,322件(予約者の情報) | 第三者による不正アクセス。経路は未公表 | 9月22日に検知し、遮断 |
| 9月25日 | 佐賀大学(事務部門のNAS) | 流出の有無・件数は未公表 | ランサムウェア。経路は調査中 | 9月28日から通常業務 |
| 9月25日 | 日本郵便(国際郵便の調査請求Web受付) | 調査中 | 調査中 | 受付を停止中 |
| 9月26日 | 京王電鉄グループ | 漏えいは確認されていない | ランサムウェア。経路は調査中 | 調査中。鉄道の運行は影響なし |
| 9月26日 | ニッポンレンタカーアプリ | 41人分。10月1日の第2報で55人分を追加 | 不正アクセス。手法は未公表 | 二次被害は確認されていない |
| 9月27日 | 東京メトロ「メトロポイントクラブ」 | メールアドレス約5.9万件 | 国外からとみられる不正アクセス | 調査中 |
| 9月27日 | スターツ出版「OZmall」 | 最大44万2,779名(第2報。当初は44万7,610名) | 一部ページへの海外からの大量アクセス。脆弱性を特定して修正(中身は未公表) | 遮断したうえで再開 |
| 9月28日 | 集英社「HAPPY PLUS COMMUNITY」 | ブロガー2,835人分ほか | CMSの設定の不備に起因する、API認証情報を狙った攻撃 | 設定を直し、検知を強化 |
| 9月29日 | セイコーマート「セイコーマートアプリ」 | 57万4,647人分(第4報) | アプリのサーバ経由の不正アクセス。根本原因は調査中 | 一部の機能を停止 |
| 9月29日 | 日本郵便「郵便局アプリ」 | 19人分・69件 | 未公表 | 9月26日に再開 |
| 9月29日 | ユニリタ(社内の文書管理システム) | 機密情報。件数は未公表 | 未公表(調査中) | 業務への支障はない |
| 9月29日 | ヤマト運輸「クロネコ代金後払いサービス」 | 利用者の情報 約526万件ほか(10月16日の第4報) | 第三者による不正アクセス。経路は未公表 | サービスを停止中 |
| 9月29日 | イープラス | 払戻しを申請した顧客1,463件 | 第三者による不正アクセス | 調査中 |
| 9月30日 | ベネフィット・ワン(担当者向け機能) | 2,322社・団体の1万3,460人 | ダウンロード機能の設定の不備(不正アクセスではない) | 取得した1人がデータを削除 |
| 9月30日 | ジー・プラン「Gポイント」 | 最大約7万件の会員識別子 | 外部からの不正アクセス。経路は未公表 | サービスを停止中 |
| 9月30日 | 学校法人修道学園 | 教職員・取引先などの口座情報ほか。件数は未公表 | 管理サーバへの不正アクセス。原因は調査中 | 不正利用は確認されていない |
| 9月30日 | 関西国際大学 | 漏えいの有無は調査中 | 学内システムへの不正アクセス。経路は調査中 | インターネット接続を停止 |
| 9月30日 | 佐川急便「お荷物問い合わせサービス」 | 約100日分の送り主・届け先の情報。件数は調査中 | 未公表 | サービスを停止中 |
出典: パーク24: 不正アクセスによる個人情報漏えいについて(第3報)(2026-09-29) / タイムズモビリティ(第5報、2026-10-23) / ファインズ「弊社システムへの不正アクセスによる情報漏えいについてのお詫びとお知らせ【速報】」(2026-09-25) / 佐賀大学: ランサムウェアによる被害について(続報)(2026-09-28) / ScanNetSecurity: スマレジEC・リピート/B2Bへの不正アクセス(2026-09-29) / 日本郵便: 国際郵便の調査請求Web受付への不正アクセスについて(2026-09-25) / 京王電鉄: サイバー攻撃に関するお知らせ(2026-09-26〜) / ニッポンレンタカー: ニッポンレンタカーアプリへの不正アクセスについて(第2報)(2026-10-01) / 東京メトロ「メトロポイントクラブへの不正アクセスについて」(2026-09-27) / スターツ出版: OZmallへの不正アクセスについて(2026-09-27) / スターツ出版: OZmallへの不正アクセスについて(第2報)(2026-10-01) / ユニリタ: 不正アクセスによる情報窃取について(2026-09-29) / 学校法人修道学園: 不正アクセスによる個人情報漏えいのおそれについて(2026-09-30) / 関西国際大学: 学内システムへの不正アクセスについて(2026-09-30) / 集英社: HAPPY PLUS COMMUNITYへの不正アクセスについて(2026-09-28) / ScanNetSecurity: セイコーマートアプリへの不正アクセス(2026-10-02) / 日本郵便: 郵便局アプリへの不正アクセスについて(2026-09-29) / ヤマトホールディングス: クロネコ代金後払いサービスへの不正アクセスに関する調査結果(第4報)(2026-10-16) / ScanNetSecurity: イープラスへの不正アクセス(2026-10-02) / ITmedia NEWS: ベネフィット・ワン、設定不備で1万3,460人分の情報が閲覧可能に(2026-09-30) / ジー・プラン: Gポイントへの不正アクセスについて(2026-09-30) / INTERNET Watch「佐川急便『お荷物問い合わせサービス』に不正アクセス」(2026-10-01)
公表された事案の一覧(2026年10月1日〜8日)
大和証券、シチズン時計、損保ジャパンは、同じ委託先(スカラコミュニケーションズ)のFAQシステムの被害です。委託先は、利用企業は最大5社、問い合わせは延べ最大71万3,126件としています(2026年10月6日の公表)。
IDCFクラウドでは、利用する自治体のWebサイトや、物流会社の入出荷にも影響が出ています。
| 公表日 | 会社・サービス | 件数(公表値) | 公表された原因 | 状態(10月8日時点) |
|---|---|---|---|---|
| 10月1日 | 日本原子力研究開発機構(JRR-3の研究支援サイト) | 175人分 | 不正アクセス。詳細は未公表 | 9月25日に外部からの接続を停止 |
| 10月1日 | チケットプラス | 最大107人の情報が他人に表示された可能性 | Webページのキャッシュ設定の変更(不正アクセスではない) | 9月30日に修正して再開 |
| 10月1日 | ローソン(自社のメールサーバ) | 不審な英文メール推計約70万件が送信。個人情報の流出は確認されていない | 第三者による不正利用。経路は調査中 | 設定変更と通信制限で対処 |
| 10月2日 | 第一生命(従業員向けの人事システム) | 従業員・退職者の約12万名 | 第三者による不正アクセス。経路は未公表 | 顧客情報への影響は確認されていない |
| 10月2日 | 大阪公立大学 | 13万人超の個人情報が流出した恐れ(調査中) | ランサムウェアの可能性が高い(10月5日の会見)。10月21日の第5報で、NECの再委託先の正規アカウントを使った不正アクセスと公表 | 休講。対面授業は10月9日から再開予定 |
| 10月3日 | リクルート「スタディサプリ」 | メールアドレス3,687件の登録の有無 | システムの仕様の不備を突かれた | 9月30日に修正済み |
| 10月4日 | 日本経済新聞社(Google Workspace) | 社員・取引先の1,646人分 | アカウントへの外部からの不正ログイン | パスワードを変更済み |
| 10月5日 | 物語コーポレーション「焼肉きんぐ」アプリ | 1,078万8,963件 | 第三者による不正アクセス。経緯は調査中 | 調査中 |
| 10月5日 | 大和証券(委託先の問い合わせ管理システム) | 約22万件。うち個人を特定できる情報は約11万人分 | 委託先の管理サイトへの不正ログインと、不正なプログラムの設置 | 不正取引は確認されていない |
| 10月5日 | GMOリサーチ&AI「infoQ」 | 89万4,082件(第2報 10-14で確定。第1報は最大94万8,498件)。ポイントの不正交換611件 | 使用していたソフトウェアの脆弱性 | サービスを停止中 |
| 10月5日 | 大起水産公式アプリ | 退会者を含む17万4,933人 | 第三者による不正アクセス。経路は未公表 | 外部の会社が調査中 |
| 10月6日 | ミスターマックス(アプリ・オンラインストア) | 最大173万5,154人 | ソフトウェアの機能を不正に利用され、サーバに侵入された | 外部からの接続を遮断 |
| 10月6日 | 楽天ドライブ | 1万5,382アカウントの保存データほか | 管理用アカウントの認証情報を不正に取得された | 新規アカウントの発行などを制限 |
| 10月6日 | 旭化成セラピューティクス(医療従事者向けサイト。委託先) | 医療従事者最大約51万4,000名ほか | 委託先の会員データベースへのサイバー攻撃。経路は未公表 | サイトを停止中 |
| 10月6〜7日 | シチズン時計・損害保険ジャパンほか(大和証券と同じ委託先の事案。件数は大和証券の1件として数える) | シチズン約10万人分、損保ジャパン延べ約6万件 | 委託先の管理サイトへの不正ログイン | 各社が調査中 |
| 10月7日 | IDCフロンティア「IDCFクラウド」 | 影響を受けた契約者495の企業・自治体。漏えいの有無は未公表 | ランサムウェア | 東日本リージョン1を停止中 |
| 10月7日 | 戸田建設 | 従業員4,778名分、取引先担当者のメールアドレス最大7,200件ほか | 外部からの不正アクセス。経路は未公表 | 対象システムを隔離 |
出典: 日本原子力研究開発機構: JRR-3研究支援サイトへの不正アクセスについて(2026-10-01) / ITmedia NEWS: チケットプラス、キャッシュ設定の変更で他人の情報が表示(2026-10-01) / ローソン: 当社メールサーバの不正利用について(2026-10-01) / 旭化成セラピューティクス: 医療従事者向けサイトの委託先への不正アクセスについて(2026-10-06) / 戸田建設: 不正アクセスによる情報漏えいのおそれについて(2026-10-07) / 第一生命保険「退職された皆さまへのお知らせ」(2026-10-02) / ITmedia NEWS: 大阪公立大学、ランサムウェア攻撃の可能性が高いと発表(2026-10-05) / 大阪公立大学(第5報、2026-10-21) / ITmedia NEWS: スタディサプリ、仕様の不備を突かれメールアドレスの登録有無を特定される(2026-10-06) / 日本経済新聞社: 当社のGoogle Workspaceアカウントへの不正ログインについて(2026-10-04) / 物語コーポレーション: 焼肉きんぐ公式アプリへの不正アクセスについて(2026-10-05) / ITmedia NEWS「大和証券、22万件情報漏えいか」(2026-10-05) / スカラコミュニケーションズ: 当社サービスへの不正アクセスについて(2026-10-06) / GMOリサーチ&AI「アンケートサイト『infoQ』への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」(2026-10-05) / ITmedia NEWS: 大起水産公式アプリに不正アクセス(2026-10-05) / ミスターマックス: MrMaxアプリ・オンラインストアへの不正アクセスについて(2026-10-06) / 楽天ドライブ: 不正アクセスに関するお知らせ(2026-10-06) / ITmedia NEWS: シチズン時計、委託先の不正アクセスで約10万人分(2026-10-06) / IDCフロンティア: IDCFクラウドの障害について(第2報)(2026-10-07)
10月8日の追加分から10月30日までに公表された事案
上の2つの表のあとも、第1報は続いています。10月8日の公表で上の表に入っていなかったもの(あとから確認したもの)と、10月30日までの第1報を、3つの表に分けて載せます。原因の型ごとの集計(次の節)には入れていません。
状態の列は、各社が公表した時点のものです。最新の状況は、各事案のページと各社の発表で確かめてください。
10月8日(追加分)〜15日
| 公表日 | 会社・サービス | 件数(公表値) | 公表された原因 | 状態(公表時点) |
|---|---|---|---|---|
| 10月8日 | ローソン「ローソンID」「ローソンアプリ予約」 | ローソンID 215万5,345件、アプリ予約26件 | 利用者本人に情報を表示する仕組みへの不正アクセス | アクセス元を遮断し、アプリ予約の機能を停止 |
| 10月8日 | ユーザベース「NewsPicks」 | メールアドレス最大32.3万件、カード情報の一部最大36.2万件など(項目ごとの最大値) | 業務で使う管理ツールの脆弱性 | サービスは継続 |
| 10月8日 | 第一興商(委託先の日本コロムビアグループ) | 顧客・従業員の約872万4,000件に漏えいのおそれ | 委託先の従業員のPC1台のマルウェア感染 | 外部への漏えいは確認されていない |
| 10月9日 | ブックオフ(会員管理システム) | 638万3,279人(会員データ642万7,735件。10月13日の第2報) | 未公表 | 10月15日から対象者にメールで連絡 |
| 10月9日 | リゾートトラスト | グループ会員約2万6千件、ホテルの予約者約3万6千件 | 自社管理のWebサイトへの不正アクセス。経路は未公表 | アクセスを遮断 |
| 10月9日 | アドベンチャー「skyticket」 | 最大約1,464万件ほか(経路の違う3件)。10月16日の第2報でカード情報最大6,140名分の流出も判明(第1報の「流出なし」を訂正) | 3件の経路が別々(管理機能の不正操作・業務管理システムの脆弱性・ログインなしで見える予約完了ページ) | 保存済みカードでの支払いを停止 |
| 10月9日 | ディップ「バイトル」「バイトルNEXT」 | メールアドレス最大388万5,771件 | Webサイトの一部機能の仕様の不備を突いた、海外からの不正アクセス | 海外からのアクセスを遮断し、改修 |
| 10月9日 | ココナラ | 履歴書449件、職務経歴書関連1,845件 | 外部からの不正アクセス。経路は未公表 | サービスは継続 |
| 10月9日 | コミューン「Commune」 | 推計約30.7万人 | システムの不備を突かれ、管理者になりすまされた | 10月10日から臨時メンテナンス |
| 10月9日 | JR東日本(IDCFクラウドの被害の波及) | 最大約206万件としたが、10月15日に「漏えいはなかった」との報告を受けたと公表 | IDCFクラウドへのランサムウェア攻撃の影響 | 切符の予約は通常どおり |
| 10月9日 | JR九州(IDCFクラウドの被害の波及) | メールアドレス最大約130万件としたが、10月15日に漏えいの事実は確認されなかったと公表 | IDCフロンティアへの不正アクセスに伴うもの | メールマガジンの配信を停止中 |
| 10月13日 | ライドオンエクスプレス(銀のさら・釜寅など) | 最大約650万件 | 利用するサーバーの運営会社へのランサムウェア攻撃。侵入経路は未特定 | 公式サイト・アプリからの注文を停止中 |
| 10月13日 | Fivot「IDARE」 | 12万9,659人 | 業務で使う外部ソフトウェアの脆弱性 | サービスは継続 |
| 10月13日 | アルカディア「SpeeCAN RAIDEN」ほか | メールアドレス最大約313万6千件ほか(推定値)。NET119は9,020件に確定 | メディアサーバーの不備(ディレクトリトラバーサル)から設定ファイル内の鍵を取得され、アカウントIDの総当たりでログインされた(10月19日の説明資料) | 10月15日に復旧 |
| 10月13日 | NEXT STAGE(社内のBIツール) | 最大約4万件 | BIツールのアカウントの不正利用 | 対象のアカウントを停止 |
| 10月13日 | JR九州フードサービス(トイポアプリの被害の波及) | 約2万6,900名 | アプリ提供会社のAPIで、他の利用者の情報を取得できる状態だった | 脆弱性は修正済み |
| 10月13日 | ゴルフダイジェスト・オンライン | 従業員・退職者・委託先などの氏名と社用メールアドレス1,789件の流出を確認。会員55件(識別子IDのみ51件、個人情報を含む4件)が照会された可能性(10月16日の続報) | 第三者による不正アクセス。侵入経路は特定できていないと公表 | ネットワークの一部を遮断。クーポン・配送などに影響 |
| 10月14日 | アエナ(化粧品の通販アプリ) | 最大81万7,215人 | 機械的な連続アクセス | ECサイトへのアクセスを遮断 |
| 10月14日 | イズミ(IDCFクラウドの被害の波及) | 最大約40万件。漏えいの事実は確認されていない | 委託先が使うIDCFクラウドへのランサムウェア攻撃 | 調査を継続 |
| 10月14日 | マウスコンピューター(IDCFクラウドの被害の波及) | メールアドレス約42万件。漏えいの事実は確認されていない | 委託先が使うIDCFクラウドへの不正アクセス | メールマガジンの配信を停止 |
| 10月15日 | ソースネクスト | 最大2,251万9,960件(パスワードを含む) | 会員情報を取得するAPIの不正利用 | 10月16日に全会員のパスワードを変更 |
| 10月15日 | ビーケー・ジャパン「バーガーキング公式アプリ」 | 約1,118万件 | 第三者による不正アクセス。経緯は調査中 | 通信元からのアクセスを遮断 |
| 10月15日 | メドレー「@link」 | 対象になりうる医療機関は最大787。人数は未公表 | 第三者による不正アクセス。原因は調査中 | サービスを一時停止 |
| 10月15日 | エムスリー「MR君」 | 医師会員の1割未満と、製薬企業の担当者数百名規模(精査中) | 第三者による不正アクセス。原因は調査中 | 判明している経路を遮断 |
| 10月15日 | 大和総研(内藤証券のネット取引システム) | 最大631名 | Webサーバーへの不正アクセス。原因は調査中 | ログイン状態を一時的に解除 |
| 10月15日 | 工房「発車オーライネット」 | 最大8,341件・5,614人(最終確認中) | 連携用のAPIサーバーへの不正アクセス | 該当サーバーの通信を遮断 |
| 10月15日 | 丸木医科器械(医療機器の商社。基幹システム) | 顧客・取引先の情報への影響は確認中 | サーバーへの外部からの不正アクセス(10月26日の続報)。経路は未公表 | 基幹システムが全面停止。受注・出荷を一時停止し、FAXで受付 |
10月16日〜20日
| 公表日 | 会社・サービス | 件数(公表値) | 公表された原因 | 状態(公表時点) |
|---|---|---|---|---|
| 10月16日 | 日本経済新聞社(システム開発に使うクラウドサービス) | 約183万件。うち氏名・メールアドレスなどを含むものが約15万件 | クラウドサービスの認証情報を窃取された。手段は未公表 | 使われた認証情報を無効化 |
| 10月16日 | ファンケル・アテニア(ECサイト) | ファンケル36万8,184名(39万3,785件)、アテニア41万7,312名(44万1,162件) | 攻撃の詳細は開示を差し控えるとしている | 原因になった機能を停止。決済情報は対象外 |
| 10月16日 | Studio(ノーコードのWeb制作サービス) | 登録しているすべての顧客の情報が流出した可能性。件数は精査中 | 一部機能の脆弱性を悪用され、クラウド環境のデータを外部から取得できる状態にされた | 10月14日までに対処。取得の事実は未確認だが、取得されたものとみなして対応 |
| 10月16日 | NTTソルマーレ「コミックシーモア」 | 会員データベースの登録情報319件と、システムログ上の最大約420万件(10月21日の第4報。同じ会員の重複を含む可能性) | 会員情報を管理するシステムへの不正アクセス。経路は特定して対処したとしているが中身は未公表 | 10月15日から停止。10月29日に購入済み作品のWeb閲覧などを再開 |
| 10月16日 | 岩井コスモ証券(委託先トレードワークスのシステム) | 顧客4,975名(10月20日の第2報で364名を追加)。7口座で意図しない売買注文 | 委託先システムの管理機能の設定の不備を悪用された(委託先の発表) | 取引前の状態に戻し、顧客の負担はない |
| 10月17日 | Joshin(上新電機) | 会員情報データベースの最大約600万件ほか(10月26日の第2報。可能性のある総件数) | 第三者による不正アクセス。経路は未公表 | 外部からのアクセスを制限し、一部のサービスが止まった |
| 10月17日 | 石川コンピュータ・センター(自治体関係者向けのサポートサイト) | ログイン情報85件などを保有。外部への漏えいは確認されていない(10月27日の第2報) | 第三者の不審な操作の痕跡。原因は調査中 | サービスを停止中 |
| 10月17日 | セカンドリテイリング(ゲオ・セカンドストリート) | 外部への漏えいは確認されていない(10月19日の第2報) | 社内システムへの不正アクセス。原因は調査中 | アプリと通販を停止。10月29日に一部を再開 |
| 10月19日 | ニフティ(回線の申込・受付管理システム) | 最大1万8,000件(10月21日の第二報。当初は3サービス累計で最大54万2,513件) | 調査中 | 口座・カード情報は対象外 |
| 10月19日 | エイチ・ツー・オー リテイリング/阪急阪神百貨店(H2O ID) | 約126万件 | 予約サイトを経由した、顧客管理システムへの不正アクセス。原因は調査中 | 予約サイトと通販2サイトを停止 |
| 10月19日 | ユミルリンク「Cuenote FC」(メール配信サービスの専用ASPプラン) | 延べ最大5,162万8,280件(10月26日の第二報で50システムに拡大。当初は5システム・延べ約900万件と試算) | プログラムの脆弱性から担当者の認証情報を取得され、不正なプログラムを設置された | 脆弱性を修正し、捜査機関に届け出 |
| 10月19日 | クリプトン・フューチャー・メディア「SONICWIRE」「D2R」 | SONICWIRE会員の登録情報36万2,137件ほか(10月22日に確定。当初は最大約42万件の可能性) | 原因は究明中 | サーバーを停止し、全員のパスワードを無効化 |
| 10月19日 | パピレス「Renta!」 | 一部会員のメールアドレスなどが流出したおそれ(10月23日)。件数は未公表 | 外部からの不正アクセス。詳細は調査中 | サービスを一時停止。10月30日にブラウザ版の簡易ライブラリを先行公開 |
| 10月19日 | リンクステーション「GETTIIS」(チケット購入サービス) | 会員ID 31万7,971件ほか(項目ごとの件数) | 主催者向けサービス「Gettii-Lite」の脆弱性の悪用 | サーバーを切り替え、脆弱性に対策 |
| 10月19日 | エンタッチ(製薬企業向けのリモートディテーリング) | 医療従事者との面談予約のデータ。件数は調査中 | ランサムウェア攻撃を行う第三者による不正アクセス。経路は未公表 | 事業継続に支障はないとしている |
| 10月20日 | NEC(システム開発・保守の委託先) | 委託先名・顧客名・件数は未公表 | 委託先から窃取された正規アカウントの認証情報の悪用 | 顧客のシステムでファイルが暗号化されて停止。情報共有用のクラウドストレージのファイルも漏えい |
| 10月20日 | 住宅省エネ2024キャンペーン事務局(国土交通省など。システムは事務局の博報堂が運営) | 登録事業者の2万3,918名(速報値) | 事務局システムへの外部からの不正操作。原因は調査中 | システムの全機能を停止 |
| 10月20日 | トラストバンク「ふるさとチョイス」 | 会員情報445万4,097件 | 第三者による不正アクセス。原因は調査中 | 寄附者向けサイトを停止中(10月28日時点) |
10月21日〜30日
| 公表日 | 会社・サービス | 件数(公表値) | 公表された原因 | 状態(公表時点) |
|---|---|---|---|---|
| 10月21日 | リクルート「カーセンサーnet」「C-MATCH」 | 最大370万9,551件 | 外部からの不正アクセス。原因は調査中 | 10月22日から、安全を確認できたサービスを順次再開 |
| 10月21日 | ラクスライトクラウド「ブラストメール」(メール配信サービス) | 全契約者の契約者情報。配信先リストなどの漏えいを確認した契約は345件(10月29日時点) | API用のサーバーに侵入され、データベースからデータを持ち出された。経路は調査中 | サービスを停止中。11月11日ごろの再開を目指す |
| 10月21日 | JFEケミカル | 最大約23万件(10月28日の第二報。精査中) | 第三者による不正アクセス。原因は調査中 | データの公開と二次被害は確認されていない |
| 10月21日 | デジタルアーツ(「i-FILTER@Cloud」などクラウドサービスの運用環境) | 一部の顧客の情報が閲覧された可能性。件数は未公表 | 運用に使う認証情報を不正に取得され、運用環境に侵入された | 認証情報を無効化し、全顧客にパスワードの変更を依頼 |
| 10月21日 | GMOインターネット「お名前.com デスクトップクラウド」(FX自動売買向けVPS) | 停止したサーバーは最大2万6,739件。利用者の情報の持ち出しを確認(10月24日の第4報。第1報では漏えいは確認されていないとしていた) | サービスのシステムのセキュリティ上の問題による不正アクセス。経路は調査中 | 攻撃者が金銭を要求し、10月27日に情報を公開。会社は要求に応じないとしている |
| 10月22日 | カプコン「CAPCOM ID」 | 全世界1,177万4,247件(メールアドレスなど)。196件はパスワードを不正に変更 | 第三者による不正アクセス。手段は未公表 | サービスは継続 |
| 10月22日 | ネットプロテクションズ「NP後払い」(請求書再発行システム) | 2万8,884件(氏名・住所) | 機械的かつ連続的なリクエスト | システムを止め、安全を確認して再開 |
| 10月22日 | デジタル庁(Studioの被害の波及) | 問い合わせフォームの入力内容 最大1万3,323件(当特集の合計)ほか | Studioのクラウド環境への不正アクセス | 二次被害は確認されていない |
| 10月22日 | バルテック(POS・業務クラウド「FreePOS」「MOT」など) | 契約企業の情報1,213件と、875社分の売上などのデータ(10月26日の第三報) | 自社サービスのプログラムの脆弱性を悪用され、マルウェアを設置された | 20超のサービスを停止し、10月26日から順次再開 |
| 10月23日 | ヤマダデンキ(「ヤマダビデオ」「スマホゴールド会員」) | 調査中 | 外部からの不正アクセス。経路は未公表 | 両サービスを一時停止 |
| 10月23日 | グッドスマイルカンパニー公式ショップ | カード情報(全桁・セキュリティコード)2,800名分ほか(10月29日の第3報。当初は下4桁と有効期限のみとしていた) | システムの脆弱性を悪用されて管理者権限を取得され、決済ページに不正なプログラムを置かれた | サイトを閉鎖。再開時期は未定 |
| 10月26日 | 楽天グループ「楽天トラベル」(海外ホテル予約サイトの一部ページ・多言語予約サイト) | ログインした利用者 最大約260万件と最大約86万件ほか(経路の違う2つの事象) | 第三者による不正アクセス。原因を特定し、改修済み | 二次被害は確認されていない |
| 10月26日 | ヤクルト本社(公式ホームページ) | 約4万件(10月30日の第2報) | 第三者による不正アクセス。詳細は調査中 | ホームページをメンテナンス中 |
| 10月26日 | ギフティ(eギフトの発行システム) | 個人情報の漏えいは確認されていない。損失は約5.5億円の見込み | 発行システムの脆弱性の悪用 | システムを停止し、再開しない |
| 10月26日 | バンダイロジパル(物流システム。「一番くじONLINE」の配送情報) | 配送先の氏名・住所・電話番号。件数は調査中 | アカウントの不正利用による操作。経路は調査中 | システムを停止 |
| 10月27日 | ソニーネットワークコミュニケーションズ「So-net」 | So-net会員214万1,986件、plala(Sコース)会員44万3,495件ほか | 第三者からの不正アクセス。原因は調査中 | サーバーを停止。メールパスワード5万4,401件を初期化 |
| 10月28日 | 日本航空・日本トランスオーシャン航空・全日本空輸(予約システムを提供するAmadeusの被害の波及) | JAL・JTAは延べ約9万2,000件(報道)。ANAは影響範囲を特定中 | Amadeusのシステムへの第三者による不正アクセス | 不正利用は確認されていないとされる |
| 10月28日 | ベネフィット・ワン「トク買」(委託先フォレステックのシステム) | 2万9,465人 | 委託先のシステムへの不正アクセス。原因は調査中 | サービスを停止。再開時期は未定 |
| 10月28日 | 花キューピット | 会員423万8,242件(ユーザーID・暗号化したパスワード・メールアドレス) | 管理システムへの不正アクセス。経路は遮断済み | 10月28日から対象者にメールで連絡 |
| 10月28日 | ソニー生命(契約者向けサイト) | 代理店として扱ったメディケア生命の契約情報 約38.5万件 | 契約者専用サイトなどへの不正アクセス。詳細は調査中 | 契約者向けのWebサービスとアプリを停止 |
| 10月28日 | モイ「ツイキャス」 | 7件の個人情報へのアクセスを確認。ログへのアクセスの規模は調査中 | 外部からの不正アクセス。原因は調査中 | サービスを緊急停止。再開時期は未定 |
| 10月29日 | アイリスオーヤマ「アイリスプラザ」 | 調査中(カード情報の漏えいは確認されていない) | 不正アクセス。経路は未公表 | サイトを一時停止 |
| 10月29日 | 松屋フーズ(公式アプリ・ホームページ) | 未公表 | 外部からの不正アクセスを検知。原因は特定中 | アプリ・モバイルオーダー・ホームページを停止 |
ゴルフダイジェスト・オンラインは10月13日に不正アクセスを公表し、10月16日の続報で情報の流出を公表しました。コミックシーモアは10月15日にサービスを止め、10月16日に会員情報の流出を公表しています。ふるさとチョイスは10月19日にサービスの停止を、10月20日に会員情報の流出を公表しました。
Studioの被害は、Studioで作ったWebサイトのフォームの送信内容などにも及ぶため、利用する企業や自治体が個別に公表しています。ユミルリンクの「Cuenote FC」はメール配信サービスで、NECの事案は委託先から顧客のシステムに広がりました。大阪公立大学は10月21日、NECの再委託先の正規アカウントで不正にアクセスされたと公表しています。いずれも1社の被害として1行にしています。一方、IDCFクラウドの被害が波及したJR東日本・JR九州・イズミ・マウスコンピューターは、各社が個別に公表したため、それぞれ1行にしました。
ブラストメールの被害は、配信を使っていた企業・団体が個別に公表しています。カカオピッコマ(メールアドレス100万2,404件)、アルク(約31万件)、東京都(最大約1万6,000件)などです。1社の被害として1行にしています。デジタル庁はStudioの被害の波及ですが、件数を示して個別に公表したため1行にしました。JAL・JTA・ANAは、予約システムを提供するAmadeus(スペイン)の被害の波及で、3社を1行にしています。
ギフティの事案は、個人情報の漏えいではなく、eギフトの不正発行による金銭の損失です。お名前.com デスクトップクラウドでは、利用者の取引口座での身に覚えのない取引の報告が出ています。会社は全利用者への見舞金と、不正取引による損失の補償などを公表しました(10月29日時点)。
同じ期間には、第1報が期間より前の事案の続報もありました。Eストアーは10月16日の最終報で、2026年5月21日から8月1日までの不正プログラムによる漏えいの対象者を約2,335万6,000人(名寄せ後の概数)と公表しました。うち約209万6,900人はカード情報の一部(名義・先頭6桁と下4桁・有効期限)を含みます。
出典: ローソンの公表(ローソンID・ローソンアプリ予約、2026-10-08) / ユーザベース(NewsPicks)の公表(2026-10-08) / 第一興商の公表(2026-10-08) / ブックオフの公表(第2報、2026-10-13) / リゾートトラストの公表(2026-10-09、PDF) / skyticket(アドベンチャー)の公表(2026-10-09) / ディップの公表(2026-10-09) / ココナラの公表(2026-10-09) / コミューンの公表(2026-10-09) / INTERNET Watch(JR東日本の発表の報道、2026-10-09) / JR九州の公表(続報、2026-10-15、PDF) / ライドオンエクスプレスホールディングスの公表(2026-10-13) / IDARE(Fivot)の公表(2026-10-13) / アルカディアの公表(SpeeCAN RAIDEN、2026-10-13) / NEXT STAGEの公表(適時開示、2026-10-13、PDF) / JR九州フードサービスの公表(2026-10-13、PDF) / ゴルフダイジェスト・オンライン「不正アクセスによるシステム障害およびサービス影響について」(2026-10-13) / ゴルフダイジェスト・オンラインの公表(続報、2026-10-16) / アエナの公表(2026-10-14) / イズミの公表(2026-10-14、PDF) / マウスコンピューターの公表(2026-10-14) / ソースネクストの公表(2026-10-15) / ビーケー・ジャパンの公表(バーガーキング公式アプリ、2026-10-15、PDF) / メドレーの公表(適時開示、2026-10-15、PDF) / エムスリーの公表(MR君、2026-10-15、PDF) / 大和総研の公表(2026-10-15、PDF) / 工房の公表(発車オーライネット、第一報、2026-10-15、PDF) / 日本経済新聞社の公表(2026-10-16) / ファンケル・アテニア「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」(2026-10-16、PDF) / Studioの公表(第一報、2026-10-16) / Studioの特設ページ(2026-10-20更新) / NTTソルマーレ「『コミックシーモア』会員情報の流出に関するお詫びとお願い(第2報)」(2026-10-16) / ニフティの公表(2026-10-19) / エイチ・ツー・オー リテイリング/阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」(2026-10-19、PDF) / ユミルリンクの公表(Cuenote FC、第一報 2026-10-19 19:05更新版) / クリプトン・フューチャー・メディアの公表(SONICWIRE・D2R、2026-10-19) / パピレス「電子書籍販売サイト『Renta!』のサービス一時停止に関するお知らせ」(2026-10-19、TDnet PDF) / NEC「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」(2026-10-20) / Eストアーの公表(最終報、2026-10-16) / 丸木医科器械(続報、2026-10-26) / 岩井コスモ証券(第2報、2026-10-20) / トレードワークス(2026-10-16、PDF) / 石川コンピュータ・センター(第2報、2026-10-27) / Joshin(第2報、適時開示 2026-10-26、PDF) / セカンドリテイリング(第2報、2026-10-19) / セカンドリテイリング(再開状況、2026-10-30) / リンクステーション「GETTIIS」(第二報、2026-10-20) / 東邦ホールディングス(エンタッチ、2026-10-19、PDF) / 国土交通省 報道発表「住宅省エネ2024キャンペーン」事務局システム(2026-10-20) / トラストバンク「ふるさとチョイス」会員情報の流出(2026-10-20) / トラストバンク(第4報、2026-10-28) / ニフティ(第二報、2026-10-21) / ユミルリンク(第二報、2026-10-26) / NTTソルマーレ(第4報、2026-10-21) / NTTソルマーレ(第5報、2026-10-29) / パピレス「Renta!」(2026-10-23) / リクルート「カーセンサーnet」への不正アクセス(2026-10-21) / ブラストメール 不正アクセスのお知らせ(2026-10-29 12:00更新) / Security NEXT(ブラストメール、2026-10-26) / カカオピッコマ(第2報、2026-10-28) / アルク(2026-10-23) / 東京都 報道発表(東京広域援農ボランティア事業、2026-10-23) / JFEケミカル(第二報、2026-10-28、PDF) / デジタルアーツ(2026-10-21) / GMOインターネットグループ(お名前.com デスクトップクラウド 第4報、2026-10-24) / GMOインターネットグループ(第12報、2026-10-27) / INTERNET Watch(お名前.com デスクトップクラウド、2026-10-21) / カプコン(第一報、2026-10-22) / カプコン(第二報、2026-10-23) / ネットプロテクションズ「NP後払い」(2026-10-22) / デジタル庁(Studioへの不正アクセスの影響、2026-10-22) / バルテック(第三報、2026-10-26) / ヤマダデンキ(2026-10-23、PDF) / グッドスマイルカンパニー(第3報、2026-10-29) / 楽天トラベル(2026-10-26) / ヤクルト本社(第1報・第2報) / ITmedia NEWS(ヤクルト本社 第2報、2026-10-30) / ギフティグループ(適時開示 2026-10-26、PDF) / バンダイロジパル・BANDAI SPIRITS(2026-10-26、PDF) / ソニーネットワークコミュニケーションズ(2026-10-27、PDF) / ANAホールディングス(Amadeusへの不正アクセス、2026-10-29) / 日本経済新聞(JAL・JTAの予約情報、2026-10-28) / ITmedia NEWS(JAL・ANA、2026-10-29) / ベネフィット・ワン「トク買」(2026-10-28、PDF) / 花キューピット(2026-10-28) / ソニー生命(2026-10-28、PDF) / モイ「ツイキャス」(第2報、適時開示 2026-10-29、PDF) / アイリスオーヤマ(2026-10-29) / ITmedia NEWS(松屋フーズ、2026-10-29)
公表された原因を、型ごとに数えると
2026年9月25日から10月8日までの36件について、2026-10-08時点の公表をもとに、当特集が分けました。36件のうち20件は、侵入経路をまだ公表していません。続報で原因が分かれば、型が変わることがあります。10月8日の追加分から10月30日までの事案は、この集計に入れていません。タイムズカーは10月23日の第5報でWebシステムの脆弱性の悪用と公表しましたが、集計は10月8日時点の公表のままにしています。
原因が分かっている事案だけを見ても、1つの手口には集まっていません。ITmediaの整理(2026年10月7日)も、Webの脆弱性、設定の誤り、委託先や外部サービス経由が混ざっており、単一の原因ではないとしています。手口ごとの事例と対策は、手口別のページにまとめています。
| 原因の型 | 件数 | 該当する事案 |
|---|---|---|
| Webアプリの脆弱性・機能の悪用 | 5件 | スマレジ、OZmall、スタディサプリ、infoQ、ミスターマックス |
| 設定の誤り | 3件 | 集英社、ベネフィット・ワン、チケットプラス |
| 委託先 | 2件 | 大和証券(同じ委託先の被害を公表したシチズン時計・損保ジャパンなどを含む)、旭化成セラピューティクス |
| 盗まれた・不正に取得されたID | 2件 | 日本経済新聞社、楽天ドライブ |
| ランサムウェア | 4件 | 京王電鉄グループ、佐賀大学、大阪公立大学(可能性が高い)、IDCフロンティア |
| 未公表・調査中 | 20件 | タイムズカー、焼肉きんぐ、ファインズ、セイコーマート、第一生命、佐川急便、ヤマト運輸など |
出典: ITmedia エンタープライズ: 2026年9月下旬からの不正アクセス公表の整理(2026-10-07) / ITmedia NEWS「不正アクセスなぜ急増 原因はAIか、それとも…… 専門家の見解は」(2026-10-06)
各社に共通する対応
利用者の側では、パスワードの変更と、不審な連絡への注意が中心になります。通知を受け取った人がすることは「『個人情報漏えいのお知らせ』が届いたら」にまとめています。
- 外部からの接続の遮断と、サービスの停止・一部制限(Gポイント、ヤマト運輸、佐川急便、infoQ、IDCFクラウドなど)
- 対象者への個別の連絡と、問い合わせ窓口の開設
- なりすましメール・SMS・電話への注意の呼びかけ(ほぼすべての会社)
- パスワードの使い回しをやめる呼びかけ(infoQなど)
- 個人情報保護委員会への報告と、警察への相談
出典: GMOリサーチ&AI「アンケートサイト『infoQ』への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」(2026-10-05) / ITmedia NEWS「大和証券、22万件情報漏えいか」(2026-10-05) / パーク24: 不正アクセスによる個人情報漏えいについて(第3報)(2026-09-29) / 個人情報保護委員会: 大規模な漏えい等事案を踏まえた対応について(注意喚起)(2026-10-07)
同じ時期に集中したことについて、分かっていること・いないこと
分かっていることは3つです。1つ目に、同じ攻撃者による一連の攻撃だという、被害を受けた会社や国の公式の発表は、2026-10-30時点でありません。2つ目に、原因を公表した事案の手口はばらばらです。3つ目に、大和証券など3社以上は、同じ委託先の1件の被害でした。
専門家の見方は分かれています。ラックのCTOは、各社の調査や公表の時期が9月末に重なった面が大きいとしています(ITmedia、2026年10月6日)。NHK(2026年10月6日)は、7月以降の被害の増加を理由に、AIが悪用されている可能性が高いとするセキュリティー会社の見方を報じました。
統計の見方もあります。デジタル大臣は2026年10月2日の会見で、不正アクセスなどによる漏えいの件数は必ずしも増加傾向にないと述べました。不正の目的による漏えい等の報告は、2024年度の7,604件から2025年度は3,822件に減っています。
JPCERT/CC(国内のインシデント対応の調整機関)は2026年10月8日に注意喚起を出しました。一連の攻撃は、1つの共通するソフトウェアの脆弱性を悪用したものではないとしています。標的ごとに既知の脆弱性を探して悪用を試みている可能性がある、という見方です。
一方で同じ注意喚起は、普段のランサムウェア攻撃などとは別に、大量の漏えいにつながる攻撃の型が増えている恐れがあるとしています。挙げているのは、アプリのAPI(システム同士をつなぐ窓口)への不正な操作などです。すべての事案で同じ手口が使われたことを示すものではない、とも書いています。
JPCERT/CCは2026年10月15日、攻撃に使われた可能性のあるサーバーを、複数の組織と連携して調べた結果を公表しました。その過程で、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したとしています。同じ攻撃元のサーバーは、日本以外の地域向けのWebサービスも攻撃していました。
ただし、この調査はどの会社の事案にAIが使われたかを書いていません。被害を受けた会社の公表で、攻撃へのAIの関与に触れたものも確認できていません(2026-10-30時点。当特集が表に載せた事案の公表の範囲)。
セキュリティ企業の観測も出ています。マクニカのセキュリティ研究センターは2026年10月7日、国内のWebシステムからの漏えいの公表が、2026年は10月6日時点で119件(2025年は84件)になり、うち81件が7月以降だったと公表しました。特定の企業ではなく、公開されたWebシステムを幅広く探っている可能性が高いとみています。
GMOサイバーセキュリティ byイエラエは2026年10月19日、日本企業を狙った攻撃の攻撃元を調べた結果、AIによる自律型の侵入試験(ペネトレーションテスト)のシステムが使われていたことを確認したと公表しました。同社が確認した標的のうち8社は、2026年9〜10月に情報漏えいを公表しているとしています。社名は示していません。
どちらもセキュリティ企業の観測と見方です。被害を受けた会社や国が、同じ攻撃者によるものだと発表したわけではありません。マクニカは、一連の事案でAIが使われたと断定できるログや痕跡は確認されていないとしています。
まだ分かっていないのは、多くの事案の侵入経路と、個々の事案でAIがどう使われたかです。AIについては「生成AIでサイバー攻撃は増えたのか」で、公的機関の資料と分けて整理しています。背景にある長い目で見た理由は「なぜ相次ぐのか」にまとめています。
出典: ITmedia NEWS「不正アクセスなぜ急増 原因はAIか、それとも…… 専門家の見解は」(2026-10-06) / NHK「個人情報流出なぜ相次ぐ? “異様な状況” AI悪用可能性の指摘も」(2026-10-06) / ScanNetSecurity: デジタル大臣の2026-10-02会見(不正アクセスによる漏えい等の件数について)(2026-10-08) / ITmedia エンタープライズ: 2026年9月下旬からの不正アクセス公表の整理(2026-10-07) / JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(2026-10-08公開、10-09更新) / JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」(2026-10-15) / マクニカ セキュリティ研究センター「相次ぐWEBシステムからの情報漏洩事案について」(2026-10-07) / ScanNetSecurity「重点確認のIPアドレスを提示 ～ マクニカ、相次ぐWebシステムからの情報漏えいの被害傾向と攻撃手法を公表」(2026-10-21) / GMOサイバーセキュリティ byイエラエ「相次ぐ不正アクセスの攻撃元の多くがAIであることを確認」(2026-10-19) / ScanNetSecurity「GMOサイバーセキュリティ byイエラエ、不正アクセス攻撃元にAI自律型ペンテストシステム「ARTEX」を確認」(2026-10-21)
国・関係機関の注意喚起と、企業が今週確認すること
2026年10月7日から29日にかけて、国と関係機関が相次いで注意喚起を出しました。対象と求めている内容、情報提供・相談の窓口を、各機関の原文から表にまとめます。
国家サイバー統括室は10月14日、各機関の注意喚起を1つのページにまとめて掲載しました。原文を順に確かめたいときは、このページが入口になります。
| 発出元・日付 | 主な対象 | 求めていること | 情報提供・相談の窓口 |
|---|---|---|---|
| 個人情報保護委員会(10月7日) | 大量の個人情報や、機微な情報、財産的被害・詐欺につながるおそれのある情報を持つ事業者など | 個人情報の適正な取扱い。見直し予定の技術的安全管理措置の内容を先取りして例示。不要になった個人データの消去 | 文書の連絡先として、委員会事務局の監視・監督室を記載 |
| JPCERT/CC(10月8日公開、9日更新) | 業種の限定はない。従業員向けやBIツールなど、社内向けのシステムも点検するよう求める | APIへのアクセスの回数制限・アクセス制御、既知の脆弱性の修正、不要な管理機能の公開停止など | JPCERT/CCへの情報提供とインシデント対応の相談 |
| 警察庁(10月8日) | 企業・団体、個人、本人確認を行う事業者 | 企業・団体には、ネットに接続する機器のソフトウェアの更新、パスワードの強度の確保など。本人確認を行う事業者には、犯罪収益移転防止法等に基づく本人確認の徹底 | 最寄りの警察署か、サイバー犯罪の相談窓口。警察相談専用電話「#9110」 |
| 国家サイバー統括室(10月9日) | 特に、大量の個人情報や機微な情報を扱う事業者など | ウェブシステム等の管理、委託先を含めたサプライチェーンの対策、データの管理の徹底 | 被害にあった組織は、技術的な情報を統括室・所管省庁・専門機関へ共有 |
| 経済産業省(10月9日) | 関係する事業者。情報提供の依頼は経済産業省の所管業界の事業者 | 上の3つの注意喚起を参照し、サプライチェーン全体で対策を徹底 | 被害が起きたら、経済産業省の担当課室(業所管課室)へ速やかに一報 |
| 金融庁(10月9日) | 金融機関等 | 国家サイバー統括室の注意喚起などを踏まえた対策の点検(委託先などのリスク管理、インシデント時の対応態勢を含む)。非対面の本人確認で画像の確認の徹底。ICチップの読み取りへの早期の移行 | 問合せ先(電話受付)を記載。被害の報告先は、この文書には書かれていない |
| 総務省(10月9日) | 総務省の所管事業者と関係団体 | 国家サイバー統括室と同じ内容の注意喚起。経営層のリーダーシップのもとでの対策の強化 | 連絡先として、総務省のサイバーセキュリティ統括官室を記載 |
| IPA(10月9日) | 大量の情報資産や機微な情報を扱う事業者などの経営者 | 外部に公開しているアプリと、利用している外部サービスのログ・アカウントの点検。未適用の修正の適用。保有データの再点検 | IPAの企業組織向けサイバーセキュリティ相談窓口と、不正アクセスの届出窓口 |
| NICT(10月13日) | Androidアプリを提供している事業者 | 公開アプリを解析してサーバーを狙う「A2B攻撃」について、侵害の確認、脆弱性の点検、暫定的な緩和策 | 個別のシステムの診断や技術相談には対応しない、と明記 |
| 総務省(10月13日) | 事業者や関係団体 | NICTの注意喚起を受け、アプリ側の制御だけに頼らず、サーバー側で認証・認可・入力値の検証を行う。iOSアプリやWebサービスも同様 | 連絡先として、総務省のサイバーセキュリティ統括官室を記載 |
| 警察庁(10月15日) | サービスの利用者と、サービスを提供する事業者 | 利用者には、リンクを安易に開かない、パスワードの使い回しをしない、パスキーなどの多要素認証。事業者には、送信ドメイン認証(DMARC)を「受信拒否」の設定で導入、パスキーなどの多要素認証の導入 | この資料には、相談窓口の記載はない |
| JPCERT/CC(10月15日、調査の公表) | アプリやWebサービスを提供している組織 | API認証用の秘密鍵や有効期間の長い認証情報をアプリに埋め込まない。サーバー側での認証・認可。レート制限と異常なリクエストの監視。外部URLを取得するAPIでは、アクセス先を制限し、リダイレクト後の宛先も確かめる | 攻撃元の情報などをJPCERT/CCへ提供するよう依頼。標的の可能性がある組織には、JPCERT/CCから連絡する |
| IPA(10月16日、相談窓口の公開) | 不正アクセスの被害を受けている、またはその可能性がある全国の企業・組織 | インシデントが起きたときの初動対応の相談。被害が起きた可能性についての助言と、インシデント対応を行う専門業者の一覧の紹介 | 不正アクセス特別相談窓口(事業者向け)。電話03-6759-5760(平日9時30分〜17時30分。12時〜13時を除く)、メールincident-support@ipa.go.jp |
| JPCERT/CC(10月23日、注意喚起の更新) | 10月8日の注意喚起と同じ | AIを使った侵入テストの仕組みを悪用した攻撃の試行を、確認された手口に追加。不審なアクセス元を追記 | JPCERT/CCへの情報提供 |
| IPA(10月26日、個人向け) | 漏えいの対象になった個人 | 漏れた情報の種類を確かめ、種類ごとに対処する(パスワードの変更、カード会社への連絡、突然のメール・SMSは開かずに削除など) | IPA 情報セキュリティ安心相談窓口 |
| 消費者庁(10月29日) | 消費者 | IDとパスワードの変更、多要素認証やパスキーの利用、利用明細の確認、SMS・メールのURLを開かないこと、警察庁推奨アプリの利用 | 消費者ホットライン188、最寄りの消費生活センター |
経済産業省の文書は、個人情報保護委員会・JPCERT/CC・国家サイバー統括室の3つを参照するよう求めています。そのうえで、①組織のトップによる主導、②脆弱性情報の早期把握と対応、③「ゼロトラスト」への移行を挙げています。
経済産業省への一報では、発生から現在までの時系列、被害状況、攻撃の種類などを、可能な範囲で伝えるよう求めています。経済産業省は、事業者の同意なく公表しないとしています。関係する専門機関の紹介や助言も行うとしています。
国家サイバー統括室は、不正侵入の事案が複数確認されていることから、アクセスログなどの点検・分析を勧めています。不審な通信や大量のアクセスの痕跡がないかを確かめる、という内容です。
個人情報保護委員会は10月7日に、不正アクセスによる漏えいの事例集「WARNING」も改訂しました。脆弱性の放置、不正ログイン、グループ会社や海外拠点、クラウドサービス、APIの悪用など9つの事例を載せています。
金融庁は10月9日、運転免許証などの本人確認書類の画像を含む顧客情報の漏えいが起きているとして、金融機関等に注意喚起を出しました。金融庁によると、画像を送る本人確認の方法は2027年4月1日に廃止され、ICチップの読み取りに原則一本化されます。金融庁は、この施行日を待たずに対応するよう求めています。
IPA(情報処理推進機構)は10月9日の文書で、特定の製品やサービスの脆弱性を狙った攻撃とは断定されていないとしています。公表事例の傾向から、外部に公開しているアプリやサービスの侵害と、アカウントの侵害が起点になっているとみています。
IPAは、ログやアカウントに異常が見つかったら、すぐにセキュリティインシデントと判定するよう求めています。情報漏えいの可能性を考え、専門のセキュリティベンダーに詳しい調査を頼むことを強く勧めています。
警察庁は10月8日の「サイバー警察局便り」で、情報流出の事案が続いているとして、基本的な対策の再確認を呼びかけました。総務省は10月9日、国家サイバー統括室と同じ内容の注意喚起を、所管事業者と関係団体に出しています。
金融庁の文書は、どの事案かを名指ししていません。ITmedia NEWS(10月9日)は、タイムズカーなどで免許証の画像の漏えいが相次いだことを背景として報じています。
NICT(情報通信研究機構)は10月13日、相次ぐ漏えいの原因の一つとして、公開アプリを解析してサーバーを狙う手口を挙げました。社名は挙げていません。手口と対策は「A2B攻撃とは」にまとめています。
警察庁は10月15日の「サイバー警察局便り」で、流出したメールアドレスに偽のメールが送られるおそれがあるとしました。さらなる情報流出や金銭的な被害につながるおそれがある、という内容です。
同じ資料は事業者に、自社を名乗る偽メールを防ぐ送信ドメイン認証(DMARC)を「受信拒否」の設定で入れるよう求めています。DMARCは、送信元のドメインが本物かを受信側で確かめる仕組みです。
JPCERT/CCは10月15日、攻撃元のサーバーの調査結果を公表しました。攻撃者は、Androidアプリの配布ファイルを解析して接続先のAPIを特定し、SSRF(サーバーに別の宛先へ通信させる攻撃)などの弱点がないかを調べていました。NICTが10月13日に注意喚起した手口と同じ流れです。
同じ公表は、アプリに埋め込んだ秘密鍵や認証情報は解析で取り出されるおそれがある、としています。そうなると、正規のアプリを通さずにAPIへ要求を送れてしまいます。JPCERT/CCは、標的になっている可能性がある組織に連絡しているとしています。
IPAは10月16日、「不正アクセス特別相談窓口(事業者向け)」のページを公開しました。被害が疑われる段階でも相談でき、インシデント対応を行う専門業者の一覧も紹介するとしています。
政府は10月26日、首相官邸で第1回の「サイバーセキュリティに関する関係閣僚会議」を開きました。首相は、IPAや警察の相談対応の充実、中小企業向けの支援策の拡充の検討などを関係閣僚に指示しています。詳しくは「中小企業に関係する制度の動き」にまとめています。
企業が今週確認すること
上の注意喚起から、今週のうちに確かめやすいものを9つ挙げます。どれも原文の項目を、確認の形に言い換えたものです。
- 外部や管理者権限からのログインに、フィッシングに強い多要素認証が入っているか(個人情報保護委員会)
- 退会者や使わなくなった個人データを持ち続けていないか。消すときは、クラウド上でも復元できない方法か(個人情報保護委員会)
- Webサービスの管理画面、委託先やSaaSに預けたデータの一覧があり、不正アクセスに気づく仕組み(EDRなど)があるか(個人情報保護委員会)
- アクセスログに、不審な通信や大量のアクセスの痕跡がないか(国家サイバー統括室)
- アプリや社内向けシステムのAPIに、回数制限とアクセス制御があるか。業務で使わない管理機能をインターネットに公開していないか(JPCERT/CC)
- 外部に公開しているアプリと、使っている外部サービス(クラウド・VPNなど)のログを、直近1か月から3か月へ広げて見たか。作った覚えのないアカウントや、無効にしたはずのアカウントが有効になっていないか(IPA)
- 公開しているアプリの接続先のサーバーで、認証・認可と入力値の検証をサーバー側でも行っているか(総務省・NICT)
- 自社のメールのドメインに送信ドメイン認証(DMARC)を入れ、「受信拒否」の設定にしているか(警察庁)
- 公開しているアプリに、APIの認証に使う秘密鍵や、有効期間の長い認証情報を埋め込んでいないか(JPCERT/CC)
EDRは、端末やサーバの不審な動きを検知する仕組みです。ほかの確認項目は「今週確認する10項目」に、被害が疑われたときの動き方は「起きたときの初動」にまとめています。
出典: 個人情報保護委員会: 大規模な漏えい等事案を踏まえた対応について(注意喚起)(2026-10-07) / 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について(注意喚起)」本文PDF(2026-10-07) / 個人情報保護委員会「WARNING 不正アクセスによる個人データ漏えい防止のための注意喚起」(2024-12-11、2026-10-07改訂) / ITmedia NEWS「漏えい相次ぐ中、保護委が対策を緊急例示」(2026-10-08) / 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」(2026-10-09) / 経済産業省 商務情報政策局「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起及び情報提供に係る協力依頼」(2026-10-09) / JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(2026-10-08公開、10-09更新) / 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」(2026-10-09) / ITmedia NEWS「金融庁、本人確認の『ICチップ一本化』へ早期移行を要請 免許証画像の漏えい相次ぎ」(2026-10-09) / 警察庁「サイバー警察局便り R8 Vol.19 情報流出に注意」(2026-10-08) / 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について(注意喚起)」(2026-10-09) / IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」(2026-10-09) / NICT「【注意喚起】相次ぐ情報漏えい、その原因の一つは『アプリ解析からのサーバ攻撃』」(プレスリリース、2026-10-13) / 総務省「不正アクセスによる情報漏えい等の事案を踏まえた対応について(公開アプリの解析情報を悪用した攻撃への注意喚起)」(2026-10-13) / 内閣官房国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について」(2026-10-14) / 警察庁「サイバー警察局便り R8 Vol.20 フィッシングメールに注意」(2026-10-15) / JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」(2026-10-15) / IPA「不正アクセス特別相談窓口(事業者向け)」(2026-10-16公開) / JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(2026-10-23更新) / IPA「自分の個人情報等が漏えいした際の『対処』と『日頃の対策』」(2026-10-26) / 消費者庁「不正アクセスによる個人情報の漏えい等に関する注意喚起」(2026-10-29。日付は国家サイバー統括室の特設サイトによる) / 首相官邸「サイバーセキュリティに関する関係閣僚会議」(2026-10-26)
出典と、確認した時点
一覧の日付・件数・原因は、各社の公式発表と、ITmedia、INTERNET Watch、ScanNetSecurity、Security NEXT、日経、NHKの報道で2026-10-08に確かめました。出典は表の上の各節に付けています。
件数は最新の公式発表の値です。調査中の事案は、続報で件数や原因が変わります。当特集は続報を確認したら、この記事と各事案のページを更新します。
国・関係機関の注意喚起は、各機関が公開した原文(PDF・Webページ)で2026-10-10に確かめました。警察庁(10月8日)・総務省(10月9日)・IPA(10月9日)の注意喚起は、2026-10-12に原文で確かめて追記しました。2026-10-10〜10-12に、新しい注意喚起や前の注意喚起の改訂は確認できませんでした。NICT・総務省(10月13日)、国家サイバー統括室(10月14日)、警察庁(10月15日)の文書は、2026-10-15に原文で確かめて追記しました。JPCERT/CC(10月15日)の調査の公表は、2026-10-16に原文で確かめて追記しました。
10月8日の追加分から10月15日までの表は、各事案のページ(各社の公式発表と専門報道で確認済み)の値を転記しました。10月16日から20日までの10件と、Eストアーの最終報は、2026-10-21に各社の公式発表で確かめました。IPAの相談窓口(10月16日)、マクニカ(10月7日)とGMOサイバーセキュリティ byイエラエ(10月19日)の公表も、2026-10-21に原文で確かめて追記しました(2026-10-21時点)。
10月21日から30日までの表と、10月15日から20日までに追加した行、続報で直した件数(タイムズカー、ニフティ、ユミルリンク、クリプトン、コミックシーモア、Renta!、大阪公立大学の原因)は、各事案のページ(各社の公式発表と専門報道で確認済み)の値を2026-10-30に転記しました。JPCERT/CC(10月23日の更新)、IPA(10月26日)、消費者庁(10月29日)の文書と、関係閣僚会議(10月26日)は、2026-10-30に原文で確かめて追記しました(2026-10-30時点)。
出典: 個人情報保護委員会: 大規模な漏えい等事案を踏まえた対応について(注意喚起)(2026-10-07) / ITmedia NEWS「不正アクセスなぜ急増 原因はAIか、それとも…… 専門家の見解は」(2026-10-06) / ITmedia エンタープライズ: 2026年9月下旬からの不正アクセス公表の整理(2026-10-07) / ScanNetSecurity 2026年10月の記事一覧
よくあるご質問
- 国や関係機関は、企業に何を求めていますか
- 2026年10月7日〜9日に、個人情報保護委員会、JPCERT/CC、警察庁、国家サイバー統括室、経済産業省、金融庁、総務省、IPAが注意喚起を出しました。脆弱性の修正、多要素認証、委託先を含めた管理、不要なデータの消去、ログの点検などです。経済産業省は所管業界の事業者に、被害が起きたら担当課室へ速やかに一報するよう依頼しています。10月13日にはNICTと総務省が、公開アプリの接続先のサーバーで認証・認可を確かめるよう求めました。10月15日には警察庁が、事業者に送信ドメイン認証(DMARC)とパスキーなどの多要素認証の導入を求めています。同じ日にJPCERT/CCは、アプリに秘密鍵や有効期間の長い認証情報を埋め込まないこと、サーバー側での認証・認可などを推奨しました。10月16日には、IPAが事業者向けの「不正アクセス特別相談窓口」を公開しています。10月23日には、JPCERT/CCがAIを使った侵入テストの仕組みを悪用した攻撃の試行を注意喚起に追加しました(2026-10-30時点)。
- 2026年9月末から10月に公表された情報漏えいは何件ですか
- 当特集が公式発表と専門報道で確認できたものは、2026年9月25日から10月8日までに第1報が出た36件です(2026-10-08時点)。その後も、10月8日の追加分から10月30日までの第1報を別の表に68行載せています。IDCFクラウドの被害が波及した4社(うちJR東日本・JR九州は、のちに漏えいはなかったと公表)、Studioの被害が波及したデジタル庁を、それぞれ1行として含みます(2026-10-30時点)。小規模な事案はほかにもあり、網羅的な数ではありません。
- 同じ攻撃者による攻撃ですか
- 2026-10-30時点で、同じ攻撃者による一連の攻撃だという、被害を受けた会社や国の公式の発表はありません。原因を公表した事案の手口も、Webアプリの脆弱性、設定の誤り、委託先、ランサムウェアなどに分かれています。セキュリティ企業のGMOサイバーセキュリティ byイエラエは2026年10月19日、同社が調べた攻撃元の標的のうち8社が9〜10月に情報漏えいを公表していると発表しましたが、社名は示していません。
- 生成AIが使われたのですか
- JPCERT/CCは2026年10月15日、攻撃に使われた可能性のあるサーバーの調査で、攻撃者がAIを使って脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと公表しました。ただし、どの会社の事案にAIが使われたかは書いていません。2026年10月19日には、GMOサイバーセキュリティ byイエラエが、攻撃元にAIによる自律型の侵入試験のシステムが使われていたことを確認したと公表しました。いずれも調査機関やセキュリティ企業の観測です。被害を受けた会社の公表で、攻撃へのAIの関与に触れたものは確認できていません(2026-10-30時点)。詳しくは「生成AIでサイバー攻撃は増えたのか」で整理しています。
- 自分の情報が含まれているか、どう確かめればよいですか
- 対象者には各社が個別に連絡するとしています。会社の公式サイトのお知らせと、届いた連絡の送信元を確かめてください。通知を装った偽のメールやSMSもあるため、本文のリンクは開かず、公式アプリやブックマークから確認してください。