Webサービス・アプリへの不正アクセスによる国内の被害事例(32件)と、まずやる対策
会員向けのWebサイトやスマホアプリは、インターネットに公開されたサーバで動き、多くの会員情報を持っています。サーバやWebシステムの脆弱性、管理画面、外部とつなぐAPIを突かれると、会員情報がまとめて取得されます。
2026年9月中旬から10月上旬に、この種類の大規模な流出の公表が集中しました。共通の原因や、同じ攻撃者による一連の攻撃だという公式の発表は、2026年10月6日時点でありません。
この一覧には、公開しているWebサービス・アプリのサーバ(会員管理システムなど)が入口だと公表された事案を入れています。脆弱性があったかどうかや、詳しい手口が未公表の事案も含めています。
該当する事案(32件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- ギフティグループ(子会社ギフティのeギフト発行システム)
システムの脆弱性を悪用され、eギフトが不正に発行された。損失は約5.5億円の見込み
eギフトの発行に使うシステムの脆弱性を悪用した第三者による不正アクセス(会社の発表)
2026年の一覧で見る → - グッドスマイルカンパニー「グッドスマイルカンパニー公式ショップ」
公式通販サイトの決済ページに不正なプログラム。カード情報(全桁・セキュリティコード)2,800名分が漏えいした可能性
サイトで使っていたシステムの一部に存在した脆弱性が悪用され、管理者権限が不正に取得された(会社の発表)。原因と思われる脆弱性は、近時報告されたPHPの脆弱性ではないとしている
2026年の一覧で見る → - ネットプロテクションズ「NP後払い」(請求書再発行システム)
後払い決済の請求書再発行システムに機械的な連続リクエスト。2万8,884件の氏名・住所にアクセス
請求書再発行システムに、第三者から通常想定されない方法で機械的かつ連続的なリクエストが行われた(会社の発表)
2026年の一覧で見る → - バルテック(POS・業務クラウド「FreePOS」「MOT」シリーズなど。利用企業に波及)
業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
第三者が同社サービスのプログラムの脆弱性を悪用してサーバー内に侵入し、マルウェアを設置した(会社の発表)
2026年の一覧で見る → - エイチ・ツー・オー リテイリング/阪急阪神百貨店(「H2O ID」、予約サイト・HANKYU HANSHIN E-STORES・Remo Order)
百貨店の予約サイトを経由して顧客管理システムに不正アクセス。共通ID「H2O ID」約126万件が漏えい
未公表(「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの第三者による不正アクセス。詳細な原因とセキュリティ上の脆弱性は調査中)
経緯・原因・対応を読む → - リンクステーション(チケット購入サービス「GETTIIS」。主催者向け「Gettii-Lite」経由)
主催者向けサービスの脆弱性を悪用され、チケット購入サービスの会員情報 約31.8万件が取得された
第三者が主催者向けの公演登録サービス「Gettii-Lite」のプログラムの脆弱性を悪用した(会社の発表)
2026年の一覧で見る → - ファンケル・アテニア(ECサイト)
ECサイトに不正アクセス。ファンケル約39万件・アテニア約44万件の会員情報が漏えい
未公表(ECサイトへの不正アクセス。原因となった機能を特定して停止したと公表。被害拡大を防ぐため、サイバー攻撃の詳細は開示を差し控えるとしている)
経緯・原因・対応を読む → - ソースネクスト
会員情報を取得するAPIが不正に利用され、パスワードを含む会員情報最大2,251万9,960件が流出した可能性
会員情報を管理するシステムへの不正アクセスで、会員情報取得APIが不正に利用された(会社の発表)。不正利用が可能になった原因は外部の専門機関と調査中
経緯・原因・対応を読む → - 大和総研(内藤証券から運用を受託するインターネット取引システム「Financial Plate/WB4」)
受託運用するネット取引システムのWebサーバーに不正アクセス。内藤証券の利用者最大631名の情報が漏えいした可能性
未公表(第三者によるWebサーバーへの不正アクセス。不正なプログラムを削除し、攻撃元からの通信を遮断した。原因は外部の専門機関と調査中)
2026年の一覧で見る → - 工房「発車オーライネット」(バス会社・旅行サイトとの連携用APIサーバー)
バス予約サイトの連携用APIサーバーに不正アクセス。予約情報最大8,341件(5,614人)が流出した可能性
未公表(バス運行会社などに予約サービスを提供するための連携用APIサーバーへの、第三者による不正アクセス)
2026年の一覧で見る → - アエナ「ECアプリ」(化粧品の通販)
通販アプリへの機械的な連続アクセスで、会員最大81万7,215人の情報が閲覧された可能性
機械的な連続アクセス(会社の発表。詳細は調査中)
2026年の一覧で見る → - アルカディア「SpeeCAN RAIDEN」ほか(自治体・学校などが使う一斉同報サービス)
自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性
添付ファイルを公開するメディアサーバーにディレクトリパストラバーサル(本来見えない内部のファイルにアクセスできる不備)があり、内部のソースファイルを取得された。設定ファイル内のサービス間ログイン用シークレットキーを使ってアカウントIDへの総当たり攻撃が行われ、ログインしたセッションから内部情報を取得された(10-19の説明資料、会社の発表)。2026-10-11 6:26にアクセスが始まり、23:40に社内の監視がデータベースの異常な負荷を捉えて検知した
2026年の一覧で見る → - リゾートトラスト(グループ会員・ザ・カハラホテル&リゾート 横浜の予約者)
自社管理のウェブサイトに不正アクセス。会員約2万6千件・ホテル予約者約3万6千件が漏えい
未公表(同社の「統合予約サイト」のシステムへの外部からの不正アクセス。侵入経路は遮断済み。調査結果を踏まえ、対象システムの脆弱性の改修・監視体制の強化・ネットワークアクセス権限の見直しを行うとしている)
2026年の一覧で見る → - アドベンチャー「skyticket」
経路の違う3件の不正アクセス。最大約1,464万件の顧客情報が流出し、第2報でカード情報最大6,140名分の流出も判明
3件の経路が別々。(1)skyticketの一部管理機能を不正に操作され、そこから他のサーバーやクラウド上のデータにアクセスされた。(2)業務管理システムの脆弱性を悪用された。(3)バス予約の予約完了ページがログインなしで表示できる状態になっており、機械的に閲覧された
2026年の一覧で見る → - ディップ「バイトル」「バイトルNEXT」
求人サイトの会員メールアドレス最大388万5,771件が漏えいした可能性
Webサイトの一部機能の仕様の不備を突いた、海外からの不正アクセス
2026年の一覧で見る → - コミューン「Commune」「Commune for Work」(ヤマハ・スズキ・Sansan・パナソニック・LINEヤフーなどの利用コミュニティ)
企業向けコミュニティ基盤に不正アクセス。推計約30.7万人の会員情報が漏えい
外部の第三者が同社システムの不備を突いた。非公開コミュニティの招待リンクを不正に取得して一般会員として登録し、管理者になりすまして会員情報の閲覧・取得とデータの上書きを行った(会社の発表)。利用企業の設定や運用に起因するものではないとしている
2026年の一覧で見る → - ローソン「ローソンID」「ローソンアプリ予約」
ローソンIDの情報を表示する仕組みに不正アクセス。215万5,345件の個人情報が漏えい
ローソンアプリに関連するシステムが不正に利用されたと考えられる、と会社は説明。利用者本人に情報を表示するためのセキュリティ機構が第三者から不正アクセスを受けた。ほかの不正アクセスやマルウェア感染はないことを確認したとしている
2026年の一覧で見る → - IDCフロンティア「IDCFクラウド」
クラウド基盤がランサムウェア攻撃を受け、495の企業・自治体に影響
「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性を悪用されて認証システムに侵入され、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得されたうえで、仮想サーバーを停止・暗号化された(第7報、10-27)。第三者からのランサムウェア攻撃と公表
経緯・原因・対応を読む → - ミスターマックス・ホールディングス(MrMaxアプリ・オンラインストア)
サービスを構成するソフトウェアの機能を悪用され、会員情報最大173万5,154人分
第三者がサービスを構成するソフトウェアの機能を不正に利用してサーバに侵入した(会社の発表)。詳細は外部専門機関が調査中で、警察に相談済み
2026年の一覧で見る → - GMOリサーチ&AI「infoQ」
サイトのソフトウェアの脆弱性を悪用され、会員情報89万4,082件が持ち出された。ポイントの不正交換も
サイトで使っていたソフトウェアの脆弱性を悪用された(脆弱性・製品名は未公表)
経緯・原因・対応を読む → - 物語コーポレーション「焼肉きんぐ」公式アプリ
会員管理システムへの第三者による不正アクセス(10-02朝9時からの断続的な攻撃)。侵入経路は未公表
経緯・原因・対応を読む → - リクルート「スタディサプリ」
機能の仕様の不備を突かれ、メールアドレス3,687件の登録の有無を特定された可能性
システムの一部機能の仕様の不備を突いた第三者による不正アクセス(会社の発表)。2026-09-30に発生し、同日に機能を改修
2026年の一覧で見る → - 佐川急便(荷物問い合わせサービスなど)
約100日分の送り主・届け先の情報など最大約5,323万件(重複を含む)が流出した可能性。Webサービスを停止
未公表(第三者機関と調査中)
経緯・原因・対応を読む → - セイコーマート「セイコーマートアプリ」
未公表(アプリのサーバを経由して会員情報のサーバへ不正アクセス。警察と連携しており手法の開示は差し控えると公表)
経緯・原因・対応を読む → - 日本郵便「郵便局アプリ」「ゆうID」
郵便局アプリへの不正アクセスで、69件(19名分)の顧客情報が取得
未公表
2026年の一覧で見る → - 東京メトロ「メトロポイントクラブ」
ポイントサービスのサーバに不正アクセス。メールアドレス約5.9万件
未公表(被疑箇所を特定して対策済み。調査は継続)。報道では国外からと推測される第三者によるとされている
2026年の一覧で見る → - スターツ出版「オズモール(OZmall)」
サイトの脆弱性を突かれ、会員のメールアドレスなど最大約44万人分
自社サイトの一部ページへの海外からの大量アクセス。脆弱性を特定して修正したと公表(脆弱性の中身は未公表)
2026年の一覧で見る → - タイムズモビリティ(パーク24グループ)「タイムズカー」
Webシステムの脆弱性を悪用され、会員情報662万8,007件と運転免許証などの画像146万4,800件に外部送信の痕跡
Webシステムに存在した脆弱性が悪用され、侵入後にシステム内の情報を探索し、取得した情報を使ってデータベースとファイル領域にアクセスされた(第5報、外部専門機関のフォレンジック調査の結果)。攻撃手法の詳細は公表を控えている
経緯・原因・対応を読む → - スマレジ「スマレジEC・リピート」「スマレジEC・B2B」
EC構築サービスの管理画面のログイン機能の脆弱性を悪用され、利用企業4社に影響の可能性
顧客向け管理画面のログイン機能の脆弱性を第三者に悪用された。脆弱性は2026-09-18に修正済み。脆弱性の中身と不正アクセスの開始日は未公表
2026年の一覧で見る → - Helpfeel「Gyazo」
アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件
画像アップロードサーバの脆弱性を悪用され、任意のコマンドを実行された。2026-09-11に検知し、09-12に遮断・修正
経緯・原因・対応を読む → - ムラウチドットコム
Webシステムの一部にあった脆弱性
経緯・原因・対応を読む → - アフラック生命保険
「オンライン相談」と「よりそうネット」の2システムへの不正アクセス。調査結果(2026-07-31)では、照会の手口への制御と短時間の大量照会の監視が足りなかったとしている。手口の中身は未公表
経緯・原因・対応を読む →
事案に共通していること
一度に取得される件数が大きくなっています。焼肉きんぐのアプリでは登録者のほぼ全員にあたる1,078万8,963件、Gyazoでは約2,362万件、ムラウチドットコムでは7,716,811件が対象でした。ムラウチドットコムはWebシステムの一部の脆弱性、Gyazoは画像アップロードサーバの脆弱性が原因と公表しています。アフラック生命保険では契約者向けサイトなどへの不正アクセスで約440万人分が対象になり、金融庁が報告命令を出しました。
持っているデータの量で、被害の大きさが変わります。タイムズカーでは、退会者や手続きが終わらなかった申込者も含む約660万アカウントが対象になり、運転免許証の画像などの本人確認書類も約160万件含まれました。東京メトロのポイントサービスは、サーバにメールアドレスしか置いていなかったため、対象はメールアドレス約5万9,000件にとどまりました。
気づくきっかけは、普段と違う動きでした。セイコーマートのアプリでは不正な退会処理から、東京メトロではメール配信の不具合から調査が始まりました。佐川急便、日本郵便を含め、多くの事案で侵入経路の詳細は2026年10月6日時点で調査中か未公表です。
まずやる対策
- 1
公開しているサービスの一覧を作る
Webサイト、スマホアプリのサーバ、管理画面、外部とつなぐAPIを一覧にします。委託先が作って運用しているものも含めます。
- 2
脆弱性診断を定期的に受け、部品の修正を当てる
公開時だけでなく、大きな改修のたびと、決めた周期で診断を受けます。使っているライブラリやミドルウェアの修正も当てます。
- 3
WAFを置く
WAF(Webアプリへの攻撃を手前で止める仕組み)を置き、既知の攻撃を止めます。診断で見つかった問題を直すまでの間の守りにもなります。
- 4
持つデータを減らす
退会者、手続きが終わらなかった申込者、本人確認書類の画像を、決めた期間で消します。サービスに要らない項目は、そもそも集めません。
- 5
大量の取り出しと普段と違う動きに気づけるようにする
短時間に大量の会員情報が読み出された、退会処理が急に増えた、などの動きを担当者に知らせます。夜間や連休中に誰が見るかも決めます。
自社で確認すること
- 1 公開しているWebサービス・アプリと、その管理画面・APIの一覧がありますか。最後に脆弱性診断を受けたのはいつですか
- 2 退会者や手続き途中の申込者、本人確認書類の画像を、決まった期間で消していますか
- 3 1回のアクセスで大量の会員情報が取り出されたとき、誰が気づきますか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
退会者や古い取引のデータを決めた期間で消す仕組みや、普段と違う動きを知らせる仕組みづくりをお手伝いできます。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- 侵入経路が未公表の事案を、なぜこの手口に入れているのですか
- 会社が、公開しているWebサービスやアプリのサーバ(会員管理システムなど)が入口だと公表しているからです。そこにどんな脆弱性があったかは、多くの事案で未公表です。続報で経路が分かったら、記述を更新します。
- 脆弱性診断を受けていれば防げますか
- 診断は、知られている種類の問題を見つける手段の1つで、すべてを防げるわけではありません。改修のたびの診断、部品の修正、WAF、持つデータを減らすこと、大量の取り出しに気づく仕組みを組み合わせることで、被害を小さくできます。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。