2026年は、通信・EC・保険・カーシェア・自治体の委託システムと、あちこちで10万件〜1,000万件超の個人情報漏えいが続いた。
ニュースではまとめて「不正アクセス」と呼ばれるけど、入られ方は事案ごとにだいぶ違う。
なので、2026年1月〜10月に公表された主な26事例を侵入の手口で分類して、1社ずつ「規模・経緯・手口・漏えい情報・対応」を表にした。
APIや開発基盤を触っている人が、自分の環境と照らして読める形にした。
先に数字の読み方だけ
ここを飛ばすと「2,000万人の情報が漏れた」みたいな誤読をしやすいので、最初に置いておく。
- 「件」「人」「名」「アカウント」は別の単位。同一人物の複数登録や延べ件数を含むので、足し合わせて被害人数にはできない。
- 確定状況は「漏えい確認」「外部持ち出し確認」「閲覧確認」「漏えいのおそれ」を分けて書いた。「おそれ」は確定件数じゃない。
- 手口は各社が公表した範囲だけ。書いてないものは「未公表」と明記している。
- 数値は2026年10月20日時点の最新報。続報で訂正されることがある。
出典は各社の公表文が中心で、セキュリティ対策Labなどのまとめ記事で補った。
各節と末尾にリンクを置いている。
手口別の全体像
ざっくり言うと、2026年の大規模事案は次の4系統に集中している。
- 公開システム・ミドルウェアの既知脆弱性
- API・会員機能の認可不備（正規の機能で他人のデータを大量取得）
- 認証情報・トークンの流出
- 委託先・SaaS経由の波及
| 手口 | 入られ方 | 該当事例 |
|---|---|---|
| 公開ソフト・Webの既知脆弱性 | パッチ未適用のサーバーやミドルウェアの穴を突く | Gyazo、KDDI、ショップサーブ、ムラウチドットコム、infoQ、VOISING |
| API・会員機能の悪用（認可不備・大量照会） | 正規のAPIや情報表示機能を大量に呼び、他人のデータを取得 | 2りんかん、ローソンID、アフラック、MrMax、OZmall |
| VPN・ネットワーク機器の脆弱性 | 境界機器から内部ネットワークへ侵入 | デジタル庁GSS、あなぶきハウジング |
| 認証情報・トークンの流出 | 開発者トークンや管理者アカウントで正規ログイン | CAMPFIRE、マネーフォワード、スカラ「i-ask」、YCC情報システム、ゼットン |
| 委託先・ランサムウェア | 共通基盤や委託先端末が破られ利用企業へ一斉波及 | 第一興商、メディカ出版、日本テレネット |
| 手口未公表 | 調査中または非開示 | 焼肉きんぐ、タイムズカー、イエローハット、ファインズ、セイコーマート、第一生命 |
この順番で1社ずつ見ていく。
1. 公開ソフト・Webの既知脆弱性
本番DBに届く位置にあるサーバーやミドルウェアの穴を突かれた型。
「アップロードサーバー」「メール基盤」「ECカート」「BIツール」と、侵入口はどれもWebに公開されているコンポーネントだった。
Gyazo（Helpfeel）
画像アップロードサーバーの脆弱性を突かれて任意コマンドを実行され、ユーザー情報約2,362万件と画像メタデータ約4.9億件が流出。
2026年で最大級の件数。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社Helpfeel（第一報 9/16、第二報 9/25） |
| 発生・検知 | 9月11日に侵入、同日夜に不審な挙動を検知。 9月12日未明までに侵入経路を遮断し脆弱性を修正 |
| 手口 | 画像アップロードサーバーに存在した脆弱性を悪用し、システム上で任意のコマンドを実行（RCE）。 その後データベースにアクセスして外部へ送出 |
| 規模 | ユーザー関連データ約2,362万件（メール未登録の匿名アカウントを含む）。 画像メタデータ約4.9億件＋約240万件。 第二報で削除済み画像のメタデータ約1.74億件も追加 |
| 漏えい情報 | 名前・ニックネーム、メールアドレス、パスワードのハッシュ値、利用者ID、端末ID、ログインセッションID、X連携用トークン、Google SSOのメールアドレス。 画像側は画像ID、アップロード元IP、取得元URL、OCRテキスト、位置情報など |
| 対象外 | クレジットカードなど決済情報 |
| 対応 | パスワード変更とX連携の再設定を呼びかけ。 9月27日にサービス再開 |
脆弱性の種類は非公表。
OSSのCVEなのか自社コードの不備なのか、どんなリクエストで実行されたのかは、第二報まででは分からない。
フォレンジック調査は続いていて、第三報は10月20日時点でまだ出ていない。
分かっているのは「任意コマンド実行＝RCE」だったことと、侵入口が「画像アップロードサーバー」というアプリケーション層だったこと。
再発防止策に「開発者向けのセキュリティ教育」「認証・認可とアクセス制御の見直し」が入っているので、自社実装側の問題だったのかなと読めなくもないけど、これは推測。
もう一つ気になるのは配置で、アップロードサーバーが数億件のDBに直接届く位置にあった点は、セグメンテーションの弱さとして海外メディアでも指摘されている。
なお、画像ファイル本体が同じ件数流出したという話ではない。
「2,362万人の個人情報」でもなくて、実人数は調査中。
KDDI（ISP事業者向けメール基盤）
第三者製ソフトの脆弱性を突かれて、メールアドレス約1,223万名分とパスワード約762万名分が漏えい。
パスワードが暗号化されずに保存されていたことで、総務省が7月29日に文書で行政指導した。
| 項目 | 内容 |
|---|---|
| 運営 | KDDI株式会社。 複数ISPに提供するメール基盤（@IT 6/25、ScanNetSecurity 8/10） |
| 発生・検知 | 5月16日〜6月17日の間、第三者がメールボックス内を閲覧できる状態。 6月17日に不正アクセスを確認し同日中にシステム改修と防御措置。 6月23日公表 |
| 手口 | メールシステムで利用していた第三者製ソフトウェアの脆弱性を悪用。 製品名・CVEは非公表。 攻撃開始時期も非公表 |
| 規模 | 当初最大1,422万件の可能性。 7月21日訂正後はメールアドレス12,231,954名分、うちパスワード7,616,173名分の漏えいを確認 |
| 波及先 | STNet「ピカラ」、KDDIウェブコミュニケーションズ「CPI」、J:COM NET、コミュファ光、ニフティなど6社。 auメール・UQ mobileメール・au one netは対象外 |
| 漏えい情報 | メールアドレス、メールシステムのログインパスワード、メールボックス内の情報（閲覧可能状態） |
| 行政対応 | 総務省は「通信の秘密」の観点で多層防御が機能しなかった点と、パスワードが暗号化等の安全管理措置なしに保存されていた点を「看過できない」とし厳重注意 |
「1,223万件のメールアドレス」と「762万人のパスワード」は対象範囲が違う。
前者はアドレスだけ、後者はログインまでできた人数に近い。
メールアカウントは他サービスのパスワード再設定先になるので、利用者側で使い回しの棚卸しが必要になった。
2026年にもなって平文保存があったのか、というのが正直な感想。
Eストアー「ショップサーブ」
EC構築基盤のアプリケーション脆弱性を突かれ、5月21日〜8月1日の約2か月半、DBの情報を外部送信され続けた。
10月16日の最終報で対象は約2,335万6,000人・7,858店舗に広がり、2026年で2番目の規模になった。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社Eストアー（BASE株式会社の子会社）。 第一報 8/1、第二報 8/2、最終報 10/16 |
| 発生・検知 | 5月21日に侵入開始。 8月1日に攻撃元からの通信を遮断し、脆弱性修正と認証情報リセット |
| 手口 | サーバー上で稼働するアプリケーションの脆弱性を悪用し、不正なプログラムを実行。 データベースの情報を外部へ送信。 脆弱性の詳細は非公表 |
| 規模 | 第二報で8,853,839件（レコード数、重複含む）。 最終報で名寄せ後の対象者約2,335万6,000人、うち約209万6,900人はクレジットカード情報の一部を含む |
| 波及先 | 現行・過去利用店舗7,858店。 キングジム（2022年8月以前の旧ECサイト利用者）など利用企業が個別に公表 |
| 漏えい情報 | 購入者：氏名、住所、電話、メール、会員ID・パスワード、カード番号の一部（先頭6桁＋下4桁）と有効期限。 店舗側：店舗管理画面・メール・FTPのID・パスワード、振込先口座情報 |
| 対象外 | 完全なカード番号とセキュリティコード |
第一報の885万件から最終報で2.6倍になったのは、レコード数を人数に名寄せしたのと、過去の利用店舗、店舗運営者・アフィリエイターを算入したため。
購入者だけじゃなく店舗側の認証情報も漏れたので、各店舗で管理画面・FTPのパスワード変更が必要になった。
EC基盤が破られると、利用店舗の運営そのものに手が届く。
ムラウチドットコム
7月にWebシステムの脆弱性を起点に侵入され、複数のシステムへ横展開されて顧客情報7,716,811件が外部に持ち出された。
侵入口はひとつでも、内部で複数システムに到達されている。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社ムラウチドットコム。 第2報 9/15 |
| 発生・検知 | 7月15日にシステム障害として顕在化。 9月15日の第2報で持ち出しを確定 |
| 手口 | Webシステムの脆弱性を起点に侵入し、そこから複数のシステムへアクセス。 脆弱性の詳細は非公表 |
| 規模 | 7,716,811件（外部持ち出しを確認） |
| 漏えい情報 | 氏名、住所、電話番号、メールアドレス、生年月日、性別、購買サービス名など |
| 対象外 | クレジットカード情報、ログインパスワード |
「障害」として検知した時点で、すでに侵害が始まっていた可能性が高い。
障害対応とセキュリティ調査を切り離さない、というのがここの教訓だと思う。
infoQ（GMOリサーチ&AI）
アンケートサイト「infoQ」で使用ソフトの脆弱性を悪用され、最大948,498件の会員情報が持ち出された。
611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換されていて、情報流出だけで済まなかった事案。
| 項目 | 内容 |
|---|---|
| 運営 | GMOリサーチ&AI株式会社。 公表 10/5 |
| 発生・検知 | 10月3日に不正アクセスを確認、10月5日公表 |
| 手口 | 第三者が使用ソフトウェアの脆弱性を悪用して侵入。 製品名・CVEは非公表 |
| 規模 | 最大948,498件（外部持ち出しを確認） |
| 漏えい情報 | 氏名、住所、メールアドレス、生年月日、暗号化されたパスワード、会員ID、ポイント数など |
| 資産被害 | 611件・2,869,500円分のポイントがAmazonギフトコードへ不正交換。 全額補填の方針 |
ポイントが即座に現金同等物に換えられるサービスだと、情報を取られた瞬間に不正交換が走る。
流出後のログイン監視だけじゃ足りなくて、交換操作そのものの異常検知がいる。
VOISING（BIツールの既知脆弱性）
2.5次元アイドル事務所のVOISINGが社内で使っていたBIツールの既知脆弱性を悪用され、約17万件の個人情報が漏えい。
購買履歴・決済金額・「推し」の選択情報まで含んでいて、第4報では一部がSNSで公開されたことも確認された。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社VOISING。 第一報 8/18、第4報 9/30 |
| 発生・検知 | 8月10日1時2分頃に不正アクセス開始。 8月16日18時47分〜20時21分にBIツール内のデータをダウンロード。 同日23時55分に把握、8月17日1時55分までに停止・遮断 |
| 手口 | BIツールの既知脆弱性を悪用。 製品名は非公表 |
| 規模 | 約17万件（漏えい確認） |
| 漏えい情報 | 氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額の記録、サービス加入状況、応援対象タレントの選択情報 |
| 対象外 | アカウントパスワード |
| 二次被害 | 一部個人情報のSNS上での公開を確認（第4報） |
製品名は非公表だけど、同じ時期にMetabaseのSQLインジェクション脆弱性（CVE-2026-72898、8月11日にCISA KEV登録）がLEAN BODYやJGC Digitalでも悪用されていて、JPCERT/CCも注意喚起している。
VOISINGが同じものだと公表した事実はない。
BIツールは本番DBに直結する読み取り権限を持っているのに、Webに出ていてもパッチ管理の対象から漏れがち。
KEVに載った脆弱性は数日以内に当てる期限がいる、と思わされる事案。
2. API・会員機能の悪用（認可不備・大量照会）
脆弱性じゃなく、正規の機能を正規の形式で大量に叩かれた型。
「認証は通っているけど、本人のデータ範囲に絞る認可が効いていない」「照会量の異常を見ていない」のどちらか、または両方。
API設計をしている人には、2026年で一番刺さる系統だと思う。
2りんかんイエローハット（APIの悪用）
「2りんかんアプリ」の仕組み（API）を悪用した不正アクセスで、会員3,179,454名分の情報が取得された。
アプリのユーザーIDとパスワードまで対象で、サービスを約半年止めてシステムを作り直している。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社2りんかんイエローハット（イエローハット連結子会社）。 第一報 4/23、最終報 6/19 |
| 発生・検知 | 4月20日夕刻に会員専用サーバーへの不正アクセスを検知し、ネットワーク遮断。 4月21日に「システム不具合」としてアプリ停止を告知 |
| 手口 | 最終報で「アプリの仕組み（API）を悪用した不正アクセス」と公表。 会員情報を返すAPIを通じて大量取得されたとみられる。 認可やレート制限の不備が疑われるが詳細は非公表 |
| 規模 | 3,179,454名分（取得確認） |
| 漏えい情報 | 氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、ポイント残高、アプリユーザーID、アプリパスワード、車両情報の11項目 |
| 対象外 | クレジットカード情報（別システムで管理）。 イエローハット店舗など他ブランド（サーバーが独立） |
| 対応 | アプリ本体のセキュリティ強化・通信監視強化を含むシステム再構築。 10月目途で再開、再開時は全会員を一斉ログアウトし新パスワード設定を必須化 |
パスワードが取得対象に入っているのが重い。
ハッシュ化していたかは公表されていないけど、同社は他サービスでの使い回しを変えるよう呼びかけている。
親会社イエローハット本体のWEB作業予約システムへの攻撃（後述）とは別の事案。
ローソンID・ローソンアプリ予約
アプリ上で「利用者本人に情報を表示するためのセキュリティ機構」が破られて、ローソンIDの2,155,345件と、アプリ予約の26件（カード番号の一部を含む）が漏えい。
9月中旬の侵害が10月7日の調査で判明していて、検知まで3週間くらいかかっている。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社ローソン。 公表 10/8、@IT 10/16 |
| 発生・検知 | ローソンID：9月12〜14日。 アプリ予約：9月17日。 いずれも10月7日の調査で判明、10月8日公表 |
| 手口 | ローソンアプリに関連するシステムが不正利用され、本人向けに情報を表示するセキュリティ機構を第三者が突破。 本人確認トークンの検証不備など認可側の問題が疑われるが、技術的詳細は非公表 |
| 規模 | ローソンID 2,155,345件、ローソンアプリ予約26件 |
| 漏えい情報 | ID：メールアドレス、氏名、（登録があれば）性別、電話番号、住所、メルマガ取得情報。 予約：氏名、電話番号、クレジットカード番号の一部 |
| 関連事象 | 9月25〜27日にメールサーバーが不正利用され約70万件の不審な英文メールが送信（10月1日に別途公表）。 同一攻撃者かは未公表 |
| 対応 | 不審アクセス元のブロック、アプリ予約機能の停止、対象者へ個別メール、個人情報保護委員会へ報告 |
26件の「カード番号の一部」は全桁じゃない。
件数は小さいけど、決済情報に手が届いた経路として見ておきたい。
アフラック生命保険
契約者専用サイト「アフラック よりそうネット」などを通じた不正アクセスで、顧客約440万人の情報が漏えい。
約22万人分は保険料振替口座情報を含む。
「通常利用と同じ形式のアクセスで大量照会されたから検知できなかった」と、同社が原因をはっきり書いている。
| 項目 | 内容 |
|---|---|
| 運営 | アフラック生命保険株式会社。 第一報 6/30、第二報 7/13、調査結果 7/31 |
| 発生・検知 | 最初の漏えいは6月10日（第一報の6月15日から訂正）。 6月25日発覚。 複数回のアクセスを確認 |
| 手口 | アクセスの形式が通常の利用時と同様で、既存の検知・遮断機能をすり抜けた。 短時間に大量のデータ照会を監視・制御する機能が不足。 正規機能を使った大量照会型 |
| 規模 | 顧客約440万人（うち振替口座情報を含む約22万人）。 代理店約4万店の住所・代表者名も対象 |
| 漏えい情報 | 契約者の氏名・住所・電話番号・生年月日、保険契約情報、被保険者の氏名・生年月日・性別、受取人氏名、第二連絡先（親族等）の氏名・住所・電話番号、保険料振替口座情報 |
| 行政対応 | 金融庁が6月30日付で保険業法128条1項・個人情報保護法146条1項に基づく報告徴求命令。 7月31日に調査結果と再発防止策を報告。 役員4名の報酬一部返納 |
契約者本人だけじゃなく、被保険者・受取人・緊急連絡先の家族まで対象になるのが保険ならでは。
再発防止策の中心は「照会量の監視と制御」で、API運営者にはそのまま参考になる。
MrMax（ミスターマックス）
アプリとオンラインストアで「ソフトウェアの機能を不正利用」され、最大1,735,154人分の会員情報が流出。
不審アクセスの確認から3日で公表している。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社ミスターマックス・ホールディングス。 公表 10/6 |
| 発生・検知 | 10月3日に不審なアクセスを確認し外部通信を遮断。 10月6日公表 |
| 手口 | 「ソフトウェアの機能を不正利用して侵入」と公表。 脆弱性か正規機能の悪用かは判別できる表現になっていない |
| 規模 | 最大1,735,154人（影響範囲の上限。 流出自体は確認） |
| 漏えい情報 | 会員ID、氏名、メールアドレス、電話番号 |
| 対象外 | 住所、パスワード、クレジットカード情報、購入履歴（流出未確認） |
焼肉きんぐ・ローソン・infoQと同じ10月第1週に集中していて、JPCERT/CCの注意喚起（10月8日）の背景になった事案のひとつ。
OZmall（スターツ出版）
海外からの大量アクセスで、メールアドレスや一部の氏名・都道府県が閲覧された可能性。
初報の最大447,610名から第2報で最大442,779名に訂正された。
| 項目 | 内容 |
|---|---|
| 運営 | スターツ出版株式会社。 第2報 10/1 |
| 発生・検知 | 9月26日に海外からの大量アクセスを検知。 9月27日初報、10月1日第2報 |
| 手口 | 「海外からの大量アクセス」と公表。 認証突破か認可不備かは未公表 |
| 規模 | 最大442,779名（閲覧された可能性） |
| 漏えい情報 | メールアドレス、一部の氏名・都道府県 |
| 対象外 | 電話番号、番地を含む詳細住所（閲覧形跡なし）。 決済情報（別システムで管理） |
「大量アクセス」が検知の契機になっていて、アクセス量の監視が機能した側。
それでも40万件超は閲覧されているので、検知から遮断までの速さが被害幅を決める。
3. VPN・ネットワーク機器の脆弱性
境界機器から内部に入られた型。
入った後は正規の保守アカウントやグループ会社のネットワークを使って横に広がっている。
デジタル庁 ガバメントソリューションサービス（GSS）
政府共通の業務基盤GSSがVPN機器の脆弱性から侵入され、保守運用担当者のアカウントでサーバー上の大量ファイルにアクセスされた。
職員・業務関係者の個人情報約24.6万件に漏えいの可能性。
突かれた脆弱性のCVSSは「Medium」で、パッチを当てる前にやられている。
| 項目 | 内容 |
|---|---|
| 運営 | デジタル庁。 公表 9/11、@IT 9/14 |
| 発生・検知 | 6月25日に保守運用担当者アカウントによる大量ファイルアクセスを検知。 7月9日にVPN脆弱性経由の侵入と判明し、同日アカウント停止・侵害機器の通信遮断・VPNへのパッチ適用 |
| 手口 | ネットワーク接続機器（VPN）の脆弱性を悪用して侵入 → 保守運用担当者のアカウントを利用して内部ファイルへアクセス。 製品名・CVEは非公表、CVSSはMedium |
| 規模 | 約24.6万件（漏えいの可能性）。 利用機関の職員・公務員等約18.9万件、事業者・個人約5.7万件 |
| 漏えい情報 | 氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件 |
| 対象外 | 一般国民の個人情報、マイナンバー、金融機関口座情報、年金番号 |
| 再発防止 | 脆弱性管理方法の見直し、外部からの接続方法の改善 |
ゼロトラストを掲げる基盤でも、境界機器の脆弱性と保守アカウントの組み合わせで突破された。
CVSSの深刻度だけで対応順を決めていると、Mediumでも実際に悪用される脆弱性を後回しにしてしまう。
あなぶきハウジングサービス
グループ会社のネットワーク機器の脆弱性を起点にランサムウェアグループQilinの攻撃を受け、ファイルサーバーからの外部流出207,773件が確定。
松山市営住宅の入居者情報7,237件など、受託業務の情報も含んでいる。
| 項目 | 内容 |
|---|---|
| 運営 | あなぶきハウジングサービス株式会社（マンション管理）。 第6報 5/21 |
| 発生・検知 | 2月3日に攻撃を確認。 5月21日の第6報で流出件数を確定 |
| 手口 | グループ会社のネットワーク機器の脆弱性から侵入し、グループ内ネットワークを横展開してランサムウェアを展開。 Qilinがリークサイトで犯行を主張 |
| 規模 | 207,773件（外部流出を確認） |
| 漏えい情報 | 顧客・取引先等の個人情報。 松山市営住宅入居者7,237件など自治体からの受託分を含む |
グループ会社が入口になって本体まで到達した構造。
グループ内で機器の脆弱性管理の水準が揃っていないと、一番弱い拠点が全体の入口になる。
4. 認証情報・トークンの流出
正規の認証情報で、正規にログインされた型。
脆弱性がなくても、トークンの置き場所や管理者アカウントの保護が甘ければ結果は同じ。
CAMPFIRE（GitHubトークン流出起点）
従業員が発行したGitHubのPersonal Access Token（PAT）が、個人開発で使っていたサーバーに意図せずアップロードされて流出。
そこから社内業務用クラウド環境の管理領域まで侵害が広がった。
重複除外後225,846ユーザーに漏えいのおそれ。
開発者個人の認証情報管理が、そのまま本番データに直結した事例。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社CAMPFIRE（クラウドファンディング）。 調査結果 6/2、ScanNetSecurity 6/11 |
| 発生・検知 | 4月3日未明に従業員のGitHubアカウントを悪用した不審な操作を検知し第一報。 4月20日にクラウド環境への不正アクセスを検知。 5月30日フォレンジック完了、6月2日公表 |
| 手口 | ① 従業員が発行したGitHub PATが個人開発用サーバー上に意図せず置かれ流出 → ② そのPATでシステム管理用GitHubにアクセス、ソースコード閲覧 → ③ GitHub内の情報から社内業務用クラウド環境の管理領域へ侵入し、顧客情報管理システムの一部にアクセス |
| 規模 | 重複除外後225,846ユーザー（漏えいのおそれ）。 うち4月9日までに利用したプロジェクトオーナー・コミュニティオーナー108,784件は口座情報を含む |
| 漏えい情報 | 氏名、住所、電話番号、メールアドレス、口座情報 |
| 対象外 | クレジットカード情報 |
| 確定状況 | データファイルの外部転送の痕跡は確認されず。 ただし一部ログ未取得領域があり閲覧の可能性は否定できないと判断 |
この事案、個人的には2026年で一番「自分の身にも起きうる」と感じた。
本番にアクセスできる権限のPATを個人環境に持ち出せたこと。
GitHubの中にクラウド管理環境へ到達できる情報があったこと。
クラウド側でログが取れていない領域があったこと。
どれか一つ欠けていれば、ここまで広がらなかったはず。
開発基盤を本番環境と同じ水準で守らないといけない、という話に尽きる。
マネーフォワード（GitHub不正アクセス）
5月1日に発生したGitHubへの不正アクセスについて、6月に調査完了を公表。
従業員2,300名分と顧客固有識別子60,449名分の情報に漏えいのおそれが確定した。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社マネーフォワード（家計簿・会計SaaS）。 調査完了 6月9日、第四報 6月23日 |
| 発生・検知 | 5月1日にGitHubへの不正アクセスが発生 |
| 手口 | ソースコード管理サービス「GitHub」への不正アクセス。 認証情報の入手経路は非公表 |
| 規模 | 従業員2,300名分、顧客固有識別子60,449名分（漏えいのおそれ） |
| 漏えい情報 | 従業員情報、顧客の固有識別子（氏名・連絡先ではなくID類） |
CAMPFIREと同じく開発基盤が起点。
リポジトリに顧客識別子が入っていたということは、ソースコードやテストデータに本番データが混ざっていたということで、これも他人事じゃない。
スカラコミュニケーションズ「i-ask」と影響企業
FAQシステム「i-ask」の管理サイトに第三者が不正ログインして不正プログラムを置き、同じサーバー上の利用企業最大5社のDBから問い合わせ情報を取られた可能性。
延べ最大713,126件。
大和証券・シチズン時計・損保ジャパン・東武鉄道・オリックス生命が「自社システムは無事だけど顧客情報が漏れたかもしれない」と相次いで公表した。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社スカラコミュニケーションズ。 公表 10/6、@IT 5社比較 10/10 |
| 発生・検知 | 10月2日20時30分頃〜10月3日8時頃。 10月3日朝にデータベースの監視アラートを契機に調査開始、同日8時頃に遮断 |
| 手口 | 管理サイトへの不正ログイン → サーバー上へ不正プログラム設置 → 同一サーバー上の他社環境のDBから取得。 認証情報の入手経路は未公表 |
| 規模 | 最大5社・延べ713,126件（問い合わせ単位、重複含む）。 実人数は名寄せ中 |
| 漏えい情報 | 氏名、メールアドレス、問い合わせ内容など。 利用企業により保管データが異なる |
影響企業ごとの公表内容はこう。
| 利用企業 | 公表日 | 対象 | 固有の情報 |
|---|---|---|---|
| 大和証券 | 10/5 | 約11万人 | 口座番号を含む問い合わせ管理情報。 口座への不正アクセス・不正取引は未確認 |
| シチズン時計 | 10/6 | 約10万人 | 各ブランドサイトの問い合わせフォーム。 問い合わせ欄に銀行口座やカード情報を入力していた場合はそれも対象 |
| 損保ジャパン | 10/7 | 延べ約6万件 | 事業者向けドラレコ「SMILING ROAD」の問い合わせ。 運転アラート情報を含む |
| 東武鉄道 | 10/7 | 非公表 | 問い合わせ情報 |
| オリックス生命 | 10月上旬 | 非公表 | 問い合わせ情報 |
1回の不正ログインが複数社に届いた、というのが核心。
マルチテナントSaaSで利用企業ごとのDB分離がなくて、アップロード先でプログラムが動かせた。
各社の件数はi-ask全体の713,126件と重複するので、足し算はできない。
YCC情報システム（ランサムウェア・自治体波及）
山形のSIer、YCC情報システムのファイルサーバーがランサムウェアで暗号化され、委託元の自治体・大学・交通事業者など複数の組織に漏えいのおそれが波及。
侵入経路は「ネットワーク機器の管理者アカウントの認証情報が推測または取得された」と第5報で推定されている。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社YCC情報システム（山形新聞・山形放送グループ）。 第5報 5/20 |
| 発生・検知 | 4月2日6時50分頃から暗号化開始、7時50分頃に脅迫文を確認。 4月3日第1報、4月6日にランサムウェアと公表、5月20日第5報 |
| 手口 | ネットワーク機器の管理者アカウントの認証情報を、認証試行などで推測または取得され、それを用いて内部ネットワークへ侵入（外部専門機関の推定）。 ランサムウェアの種類は特定済みだが非公表 |
| 規模 | 山形市だけで約55.8万件（健康情報システム約50万件、マイナンバーを含む人事給与約6,000件、児童相談2,520件など）。 山形県約26,800件、山形大学延べ80,091件、埼玉県幸手市などにも波及 |
| 漏えい情報 | 健康情報、マイナンバー関連、児童相談情報、人事給与情報 |
| 確定状況 | 外部専門機関は「実質的な情報漏えいを裏付ける痕跡は確認されていない」としつつ、可能性は否定できないとして監視継続 |
管理者アカウントへの認証試行が通ったということは、ロックアウトや多要素認証が効いていなかった可能性が高い。
山形大学の事案では、契約終了後のデータが委託先に残っていたことも問題になった。
ゼットン（廃止システムのアカウント）
昔使っていた旧メールシステムのアカウントに外部から不正アクセスされ、18,553件の個人情報が流出したおそれ。
件数は小さいけど、「廃止したはずのシステムのアカウントが生きていた」という、ありがちな管理漏れの事例。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社ゼットン（飲食店運営）。 公表 3/27 |
| 手口 | 廃止済みの旧メールシステムに残っていたアカウントへの不正ログイン。 認証情報の入手経路は非公表 |
| 規模 | 18,553件（流出のおそれ） |
| 漏えい情報 | メールに含まれていた個人情報 |
システム移行のときに旧環境のアカウントを棚卸ししたか、それだけの話なんだけど、だからこそ起きる。
5. 委託先・ランサムウェア（自社は無事でも漏れる）
自社システムは侵入されていないのに、預けた先が破られて顧客情報が対象になった型。
前の章のスカラ「i-ask」やYCCも同じ性質を持っている。
第一興商（委託先・日本コロムビアグループ経由）
個人情報の取扱いを委託していた日本コロムビアグループ（NCG）の従業員PC1台がマルウェアに感染。
顧客約863万1,000件・従業員約9万3,000件の計約872万4,000件に漏えいのおそれが生じた。
自社システムへの侵入じゃなく、委託先端末が起点。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社第一興商（ビッグエコー、カラオケCLUB DAM等）。 公表 10/8 |
| 発生・検知 | 10月1〜2日にNCGで感染判明。 NCGは10月2日に端末を隔離、10月5日に第一興商へ報告 |
| 手口 | 委託先従業員のPCへのマルウェア感染。 感染経路は調査中。 感染PCに委託業務の個人データが一時保管されていた |
| 規模 | 約872万4,000件（漏えいのおそれ）。 ビッグエコー関連約555万8,000件、DKダイニング関連約346万2,000件ほか。 重複約51万5,000件を控除 |
| 漏えい情報 | 氏名（登録名）、性別、生年月日、メールアドレス、電話番号 |
| 対象外 | パスワード |
| 確定状況 | 実際の外部流出・不正利用は未確認。 第一興商自身のシステムへの影響も未確認 |
委託先の端末1台に、委託業務の個人データが一時保管されていたことが起点になった。
「委託先が何をどこに置くか」を委託元が把握していたのか、という話になる。
メディカ出版・日本テレネット（ランサムウェア）
どちらもランサムウェアでサーバーを暗号化され、外部持ち出しの確証がないまま「漏えいのおそれ」として大きな件数を公表した事案。
暗号化被害と漏えい確定は別物として読んだほうがいい。
| 項目 | メディカ出版 | 日本テレネット |
|---|---|---|
| 事業 | 医療・看護系出版 | BPO（業務受託） |
| 発生・公表 | 3月13日被害、5月13日調査結果 | 3月9日障害、6月12日調査結果 |
| 手口 | ランサムウェア。 侵入経路は非公表 |
ランサムウェアでファイルサーバー等を暗号化。 侵入経路は非公表 |
| 規模 | 641,000人分（漏えいのおそれ） | 約106.6万件（漏えいのおそれ） |
| 漏えい情報 | 医療・教育機関の関係者、顧客等の情報 | 受託業務の情報、取引先・従業員情報 |
| 確定状況 | 持ち出しを直接示す確定的な証拠なし | 外部転送を示す痕跡は未確認 |
日本テレネットはBPO受託先なので、委託元企業の顧客情報が対象になる。
6. 手口が未公表の大型事案
件数は大きいのに、入口が公表されていない事案たち。
「調査中」のまま続報が止まることも多いので、対策の参考にするなら、件数だけじゃなく「何が公表されていないか」を見ておいたほうがいい。
焼肉きんぐ公式アプリ（物語コーポレーション）
会員管理システムへの不正アクセスで、アプリ登録者1,080万件のうち1,078万8,963件（約99.8%）が漏えい。
侵入の手口は10月20日時点で未公表。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社物語コーポレーション（週刊アスキー 10/5） |
| 発生・検知 | 10月2日に会員管理システムへの不正アクセスを確認し通信遮断。 翌10月3日に漏えいを確認。 10月5日公表 |
| 手口 | 未公表。 原因と侵入経緯は調査中 |
| 規模 | 1,078万8,963件（登録数1,080万8,784件のほぼ全件） |
| 漏えい情報 | 会員番号、アプリ登録名、メールアドレス、電話番号 |
| 対象外 | ログインパスワード、生年月日、性別、郵便番号、保有ポイント・店舗利用履歴。 決済情報は同システムで保有していない |
8月に会員1,000万人突破を発表した直後の事案で、会員基盤そのものが被害範囲になった。
氏名＋メール＋電話の組み合わせは、同社を装うフィッシング・SMSにそのまま使える。
タイムズカー（パーク24・タイムズモビリティ）
Webシステムへの不正アクセスで約660万アカウントの情報が取得され、うち約160万アカウントでは運転免許証画像などの本人確認書類まで漏えいした。
退会者・入会未完了者も対象に含まれていて、変更できない本人確認情報が流出した点で、2026年で一番後を引く事案だと思う。
| 項目 | 内容 |
|---|---|
| 運営 | タイムズモビリティ（パーク24グループ）。 第2報 9/28、第3報 9/29 |
| 発生・検知 | 9月25日9時07分に不正アクセスを検知。 9月26日7時25分までに侵入経路と攻撃元との通信を遮断 |
| 手口 | 「Webシステムへの外部からの不正アクセス」とのみ公表。 侵入経路の詳細は未公表 |
| 規模 | 約660万アカウント（情報取得を確認）。 うち本人確認書類画像の漏えいは約160万アカウント |
| 対象者 | 現会員、退会済み会員、入会手続き未完了者、タイムズビジネスサービスの現・旧会員 |
| 漏えい情報 | 氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報。 約160万件では運転免許証画像、現住所確認書類画像、学生証画像 |
| 対象外 | クレジットカード情報 |
免許証画像は氏名・住所・生年月日・顔写真・免許証番号がワンセットなので、偽造書類やeKYC突破によるなりすまし契約の材料になる。
少なくとも22都県で免許証の再交付申請が確認されていて、東京都だけで約1,500人。
退会者の免許証画像まで保管していたことが被害を広げた。
本人確認が終わった画像を退会後も残す設計自体が、たぶん今後問われていく。
イエローハット WEB作業予約システム
親会社イエローハット本体のWEB作業予約システムへの不正アクセスで、最大1,801,499名分に漏えいの可能性。
2りんかんの事案から4か月後に、グループ内の別システムがやられた。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社イエローハット |
| 発生・検知 | 8月18日に検知、8月28日に公表 |
| 手口 | 未公表 |
| 規模 | 最大1,801,499名分（漏えいのおそれ） |
| 漏えい情報 | 氏名、電話番号、メールアドレス、会員番号 |
| 対象外 | クレジットカード情報、パスワード、車両情報 |
2りんかんのときに「サーバーが独立しているので他ブランドに影響なし」と言った直後に本体側が被害を受けていて、グループ横断でセキュリティ水準を揃えることの難しさが出ている。
ファインズ予約システム
店舗向け予約システムへの不正アクセスで、予約情報1,536,322件が対象に。
氏名・連絡先に加えて予約店舗・日時・利用メニューが含まれるので、「予約内容を知っている相手」を装った連絡が成立してしまう。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社ファインズ（予約システム提供） |
| 発生・検知 | 9月22日に異常を検知、9月25日に速報を公表 |
| 手口 | 未公表。 詳細調査中 |
| 規模 | 1,536,322件（予約レコード。 利用者数ではない） |
| 漏えい情報 | 氏名、連絡先、予約店舗、予約日時、利用メニュー |
予約システムは複数店舗の顧客を一括で預かっているので、店舗単位では小さな事業者でもSaaS側の侵害で一斉に対象になる。
セイコーマートアプリ
アプリに登録したことのある会員574,647人分の情報が不正アクセスで閲覧された。
第3報の572,022人から第4報で増えていて、対象には過去の登録者も含む。
| 項目 | 内容 |
|---|---|
| 運営 | 株式会社セイコーマート（北海道） |
| 発生・検知 | 9月に不正アクセス。 9月29日公表、10月5日第4報 |
| 手口 | 未公表 |
| 規模 | 574,647人（不正閲覧を確認） |
| 対応 | アプリ・Web上の新規入会、会員情報の閲覧・変更など一部機能の運用変更 |
続報のたびに対象数が増えていて、「閲覧された範囲」の確定に時間がかかる典型。
第一ライフグループ・第一生命（人事システム）
社員向け人事システムへの不正アクセスで、現職・退職者約12万人分の人事情報に漏えいの可能性。
うち約7万人は退職者で、退職者データの長期保管が影響範囲を広げた。
| 項目 | 内容 |
|---|---|
| 運営 | 第一ライフグループ・第一生命保険。 退職者向け告知 10/2 |
| 発生・検知 | 9月24日に侵害を確認、10月2日公表 |
| 手口 | 未公表 |
| 規模 | 約12万人（現職約5万人、退職者約7万人）に漏えいの可能性 |
| 漏えい情報 | 従業員番号、氏名、住所、電話番号、所属、職位、上司氏名など |
| 対象外 | 顧客情報（公表時点で影響未確認） |
顧客じゃなく従業員の人事情報が狙われたのが珍しい。
所属・職位・上司氏名が揃うと、社内を装った標的型メールやBECの精度が上がる。
全体を見て思ったこと
26事例を並べてみると、失敗はだいたい4つに集約される。
- 認証は通っているけど認可が効いていない
- Webに出ている周辺ツールのパッチが遅い
- 開発者の認証情報が本番に届く
- 預けた先・退会者のデータが残っている
JPCERT/CC（10月8日）と個人情報保護委員会（10月7日）の注意喚起も、だいたいこの線に沿っている。
個別の脆弱性やランサムウェアの話より、「本人のデータだけ返しているか」「退会した人のデータをいつ消すか」みたいな地味なところが、今年の大型事案の大半を決めていた印象。
参考：一次情報・公的注意喚起
各社の公表文は本文の各節に個別にリンクした。
横断的に参照したまとめと公的文書は以下。
この記事の件数・日付は2026年10月20日時点。
10月19日以降もソフトバンク「My SoftBank」への不正アクセスの試み、ニフティの回線申込システム（最大54万2,513件）、ユミルリンクのメール配信サービス（最大約900万件）などが公表されているので、落ち着いたら追記したい。