結論
不正アクセスとは、許可なく他人のシステムやアカウントに入り込むことです。2026年7月22日から10月22日までの3か月に、国内の企業・団体が公表した不正アクセスの被害を調べたところ、283件が確認できました。特に9月中旬からは、数百万〜数千万件規模の漏えいの公表が続いています。目立つのは、①会員サイトやアプリの仕組み（API）の悪用、②クラウドやSaaSなど委託先が攻撃され、利用する数十〜数百の組織に被害が広がる形、③メールアカウントの乗っ取りの3つです。国の機関もそろって注意を呼びかけており、JPCERT/CCは攻撃者がAIを使って弱点を探していたことを確認しています。
月別の一覧へ移動：7月下旬〜8月（85件） ／ 9月（82件） ／ 10月（22日まで）（116件）
ニュースで「不正アクセスによる情報漏えい」という言葉を見ない日がないほど、被害の公表が続いています。この記事では、2026年10月22日までに公表された事例を月ごとに一覧にし、共通する手口と、中小企業でもすぐに確認できる対策をまとめました。
一覧に載せたのは、各組織の公式発表か、報道で内容を確かめられたものです。件数は発表どおりの数字で、多くは「最大」「可能性がある」件数です。被害を受けた組織を責める意図はありません。同じことが自社に起きないよう、手口を知るための資料としてお使いください。
この3か月の全体像
| 期間 | 確認できた事例 |
|---|---|
| 7月下旬〜8月 | 85件 |
| 9月 | 82件 |
| 10月（22日まで） | 116件 |
| 合計 | 283件 |
1日あたりに直すと、7月下旬〜8月は約2.1件、9月は約2.7件、10月は約5.3件と、公表のペースが上がっています。9月下旬からは、タイムズモビリティ（約660万アカウント）、物語コーポレーション（焼肉きんぐのアプリ、約1,079万件）、ソースネクスト（最大約2,252万件）など、大規模な漏えいが立て続けに公表されています。東京商工リサーチの集計では、上場企業とその子会社による100万件以上の個人情報漏えいは、2026年は10月5日時点ですでに10件と、2025年通年の6件を上回りました（東京商工リサーチ、2026年10月7日）。
手口別の内訳
| 手口 | 件数 |
|---|---|
| Webサービス・アプリへの侵入や悪用 | 132件 |
| 委託先・利用サービス経由 | 62件 |
| メールアカウントの乗っ取り | 29件 |
| 不正ログイン | 19件 |
| ランサムウェア | 13件 |
| Webサイトの改ざん | 12件 |
| その他 | 6件 |
| ECサイトの改ざん（カード情報） | 5件 |
| サポート詐欺（遠隔操作） | 3件 |
| VPN機器など | 2件 |
最も多いのは、会員サイトやアプリ、社内の管理画面など、インターネットに公開しているWebサービスやアプリへの侵入・悪用です。仕様の不備を突いて大量にアクセスし、会員情報を抜き出す手口も目立ちました。次に多いのが、委託先や利用しているサービスが攻撃され、その影響を受けたケースで、自社のシステムに問題がなくても被害が及んでいます。この中には、IDCフロンティアや両毛システムズのように、委託先がランサムウェアの被害を受けたものも含まれます。
公表された件数が500万件を超えた事例
| 組織（初回の公表日） | 発表された件数 |
|---|---|
| Helpfeel「Gyazo」（9/16） | ユーザー情報 約2,362万件 |
| Eストアー「ショップサーブ」（8/1） | 約2,335万人（購入者・店舗運営者などの合計。10/16の最終報） |
| ソースネクスト（10/15） | 最大22,519,960件（10/20にパスワードが読める状態だったと公表） |
| EPARKリラク＆エステ（7/31） | 約2,218万レコード（9/24の第二報。初報では約3,300万レコード） |
| アドベンチャー「skyticket」（10/9） | 約1,464万人 |
| ビーケー・ジャパン（バーガーキング、10/15） | 約1,118万件 |
| 物語コーポレーション（焼肉きんぐ、10/5） | 10,788,963件 |
| ユミルリンク「Cuenote FC」（10/19） | 延べ約900万件（推計） |
| 第一興商（10/8） | 約872万4,000件（委託先経由） |
| ムラウチドットコム（7/24） | 7,716,811件（9/15の第二報） |
| タイムズモビリティ（9/25） | 約660万アカウント（運転免許証画像など約160万件を含む） |
| ライドオンエクスプレスHD（銀のさら等、10/8） | 最大約650万件 |
| ブックオフ（10/9） | 6,427,735件 |
| ヤマト運輸（9/29） | 約526万件（10/16の第4報） |
件数は、「最大」「延べ」「可能性がある」ものを含む発表どおりの数字です。実際に流出した人数とは異なる場合があります。
国の機関の統計と注意喚起
| 発表元（日付） | 内容 |
|---|---|
| 警察庁（9月10日） | 2026年上半期のランサムウェア被害は123件で、半期として過去最多。中小企業が約6割、侵入経路はVPN機器が約5割。復旧に1,000万円以上かかった組織が約6割 |
| 個人情報保護委員会（10月7日） | 大量の個人データを扱う事業者での漏えいを受けて注意喚起。社外からのアクセスや管理者権限でのアクセスに多要素認証（フィッシングに強いものを含む）を入れること、不要になった個人データを消去することなどを求めた |
| JPCERT/CC（10月8日） | 国内組織への不正アクセスが相次いでいるとして注意喚起。既知の脆弱性の悪用、スマホアプリを解析したAPIの悪用、BIツール（Metabase）の脆弱性、Webシェルの設置を確認 |
| 国家サイバー統括室・IPAなど（10月9日） | そろって注意喚起。外部に公開しているシステムの洗い出しとログの点検、未適用の修正プログラムの確認、利用している外部サービスの棚卸し、保有データの見直しを求めた |
| JPCERT/CC（10月15日） | 一連の事案で、攻撃者がAIを使って既知の脆弱性を探したり、APIを攻撃したりしていたことを確認 |
国家サイバー統括室は、こうした被害は「もはや情報システム部門だけの問題ではない」として、経営層が関わるよう求めています（国家サイバー統括室、2026年10月9日）。詳しくはJPCERT/CCの注意喚起、IPAの注意喚起、個人情報保護委員会の注意喚起をご覧ください。
委託先・利用サービスからの被害の広がり
この3か月で最も特徴的なのは、多くの会社が使うサービスが1つ攻撃されると、利用する数十〜数百の組織に被害が広がることです。自社では対策をしていても、使っているサービスが攻撃されれば、自社の顧客の情報が漏れてしまいます。
| 公表日 | 攻撃されたサービス | 何が起きたか | 影響の広がり |
|---|---|---|---|
| 8/1 | Eストアー（ECサイト構築「ショップサーブ」） | サーバー上で不正プログラムが実行され、購入者情報などが外部へ送信（5/21〜8/1） | 10/16の最終報で約2,335万人（店舗運営者などを含む）・7,858店舗。カード情報の一部は約209.69万人。利用店舗64組織以上が公表 |
| 8/15 | 両毛システムズ（自治体・水道・医療向けIT） | ランサムウェア。のちに攻撃グループがデータを公開 | 伊勢崎市（児童生徒のアカウント3,789件）などが公表。ガス会社など他の顧客にも影響 |
| 8/17 | さくらインターネット（レンタルサーバ） | 管理環境を経由して侵入。レンタルサーバ951アカウントに不正プログラム、販売管理システムにも侵入 | 最大1,360,563アカウントに影響の可能性。利用者側でも公表 |
| 9/9 | ApplyNow（採用管理） | データ分析ツールの脆弱性を悪用（8/9〜9/7） | 約39万人の流出を確認。入間市・一宮市・所沢市・吉野家・井筒まい泉などが公表 |
| 9/28 | 手間いらず（宿泊施設の予約管理） | 旧サービスの不備を悪用され、予約者に不審メッセージ | 最大約445万人分が閲覧・取得された可能性（10/9公表）。利用する宿泊施設でも公表が相次いだ |
| 10/6 | スカラコミュニケーションズ（FAQシステム「i-ask」） | 管理サイトに不正ログインし、共有サーバーに不正プログラム | 延べ最大713,126件の問い合わせ情報。大和証券・シチズン時計・損保ジャパン・オリックス生命などが公表 |
| 10/7 | IDCフロンティア（クラウド） | ランサムウェア。東日本リージョンの4ゾーンが停止 | 495の企業・自治体に影響。JR東日本・ビューカード・JR九州・Peach・日水物流などが公表（外部流出はなしと判断） |
| 10/9 | コミューン（コミュニティ構築サービス） | 全コミュニティ共通の署名鍵を悪用し、管理者になりすまし | 約30.7万人（推定）。ヤマハ・スズキ・Sansan・パナソニックなど利用企業に波及 |
| 10/13 | アルカディア（防災情報の配信） | ファイルの置き場所をたどる攻撃（パストラバーサル）で鍵を盗まれ侵入。偽メール1,423,428通を送信 | 総務省に111団体が報告。自治体の防災メールや県警の安否確認に波及 |
| 10/16 | Studio（Webサイト制作サービス） | 一部機能の脆弱性を悪用 | 全登録者のアカウント情報やフォーム送信内容。報道によると約90組織（自治体を含む）が公表 |
| 10/19 | ユミルリンク（メール配信「Cuenote FC」） | 脆弱性とサポート担当者の認証情報の窃取 | 延べ約900万件（推計）の出力を確認。NTTPC・埼玉県などが公表 |
| 10/20 | NEC（委託先経由） | 委託先から盗まれた正規アカウントで顧客のシステムへ侵入 | 大阪公立大学（全学休講）・大阪大学（77,851人）などが公表 |
手口別の解説と、自社で確認すべきこと
会員サイト・アプリ・管理画面への侵入
会員サイトやスマホアプリの裏側の仕組み（API）、社内向けのBIツール（データを集計・表示する道具）、管理画面などが狙われました。認証が甘い画面や、更新されていないソフトの既知の脆弱性が入口になっています。
確認すること：公開しているシステムを一覧にし、使っていないものは止める。ソフトを最新に保つ。管理画面は社外から入れないようにする
委託先・利用サービス経由
クラウド、FAQ、メール配信、予約管理、採用管理など、外部サービスへの攻撃で利用者側に被害が広がりました。
確認すること：どの情報をどのサービスに預けているかを一覧にする。使わなくなったサービスのデータは削除を依頼する。委託先の対策状況を確認する
ランサムウェア
データを暗号化して業務を止め、さらに盗んだデータの公開をちらつかせて身代金を求める攻撃です。大学の全学休講や物流拠点の出荷停止など、業務への影響が大きくなりました。
確認すること：VPN機器などの更新を最優先にする。バックアップをネットワークから切り離して保管する。復旧の手順を決めておく
メールアカウントの乗っ取り
フィッシングメールでパスワードを盗まれ、乗っ取られたアカウントから取引先へなりすましメールが送られました。認証コードを入力させる新しい手口（デバイスコードフィッシング）も確認されています。
確認すること：多要素認証を必ず有効にする。ログインの通知や、見慣れない国からのログインを確認する
不正ログイン
他のサービスから漏れたパスワードを使い回して試す攻撃（リスト型攻撃）や、生年月日と電話番号だけでログインできる仕組みの悪用がありました。
確認すること：パスワードの使い回しをやめる。会員サイトには二段階認証を入れる。ログインの試行回数を制限する
ECサイトの改ざん
決済画面に不正なプログラムを仕込まれ、入力したカード情報を盗まれました。外部アプリやプラグインの脆弱性が入口になっています。
確認すること：管理画面やプラグインを最新に保ち、管理者のパスワードを強くする。決済画面に知らないプログラムが入っていないか確かめる
サポート詐欺による遠隔操作
「ウイルスに感染した」という偽の警告から電話をかけさせ、パソコンを遠隔操作して情報を盗む手口です。自治体や社会福祉協議会でも被害がありました。
確認すること：偽の警告が出たら電話せず、画面を閉じて担当者に連絡するよう社内で周知する
いま確認すべきこと
- インターネットに公開しているシステム（会員サイト、アプリ、管理画面、BIツール、VPN機器）を一覧にした
- 使っていないシステムやアカウントを停止・削除した
- ソフトやプラグイン、VPN機器を最新版に更新した
- メールや管理画面のログインに多要素認証を設定した
- 直近1〜3か月のログイン履歴やアクセスログに不審な点がないか確認した
- 個人情報を預けている外部サービスと、預けているデータを一覧にした
- 被害が起きたときの連絡先（警察、個人情報保護委員会への報告、委託先）と手順を決めた
ホームページやWordPressを長く更新していない場合は、ホームページ放置のリスクとWordPressの更新方法も参考にしてください。同じ時期にはPHP、Node.js、Oracle Javaの重要な更新も出ています。
電話で相談できます
読みながら「うちの場合は？」と思ったら、そのまま電話で聞いてください
たとえば、こんなことを聞いていただけます。
- アクセスはあるのに問い合わせが来ない。どこを直す？
- 記事制作を外注すると、費用はどれくらいかかる？
- ホームページは作り直すべきか、直すべきか迷っている
受付：平日10:00〜18:00｜担当者が直接お答えします
「記事を見た」とお伝えいただくと、お話がスムーズです。
受付時間外の方・文章で相談したい方はこちら
✓ 相談・見積もりは無料 ✓ 営業電話やしつこい勧誘はしません ✓ 情報収集の段階でも大丈夫です
月別の事例一覧
公表日順に並べています。「出典」は、各組織の公式発表（公式）か、内容を確かめた報道（報道）へのリンクです。発表後に件数や原因が更新された事例もあるため、最新の情報は各組織の発表でご確認ください。
7月下旬〜8月（85件）
| 公表日 | 組織 | 手口 | 被害の内容と原因 | 出典 |
|---|---|---|---|---|
| 7/22 | Axcelead Drug Discovery Partners 創薬支援 |
メール乗っ取り | 社員1名のメールアカウントに不正アクセス。2026/4/24〜5/21に約7,000通（送受信期間2025/11/5〜2026/5/21）のメールへのアクセス痕跡。社内外の個人データ・機密情報が漏えいした可能性。二次被害は未確認 原因：4/23に社員がフィッシング画面で認証情報を入力したことが判明、5/22に不正ログインを確認しアカウント無効化 |
公式 |
| 7/22 | 扶桑電通 不明 |
Web・アプリへの侵入 | 社外関係者との情報共有用クラウドストレージの共有フォルダ内の個人情報を含む情報が漏えいした可能性（件数非公表）。9/29報道で26,489件、認証情報の不正利用 原因：第一報では未公表（7/15確認） |
報道 |
| 7/23 | シーエスエム 不明 |
VPN機器など | 公表時点で情報漏えい・マルウェア感染の痕跡は未確認。業務・メールは停止後に再開 原因：調査中（対象機器を撤去し別機器に入替） |
報道 |
| 7/23 | 北海道協同組合通信社 出版 |
委託先経由 | 顧客の氏名・住所・電話番号が漏えいした可能性（件数調査中）。カード・口座・マイナンバーは含まず 原因：販売管理システム再構築のデータ移行で委託先がクラウド共有フォルダに一時保管、7/15に不正アクセス。原因調査中 |
報道 |
| 7/24 | ニデック（NIDEK） 眼科医療機器 |
Web・アプリへの侵入 | Webサイトに不正アクセスの痕跡、一部会員情報にアクセスされた可能性。件数・項目は未公表 原因：公表時点で調査中（ScanNetSecurity 8/20見出しでは「ソフトウェアの脆弱性を悪用」） |
公式 |
| 7/24 | ムラウチドットコム EC（家電等通販） |
Web・アプリへの侵入 | 第一報：氏名・メール・住所・電話・一部の生年月日/性別に漏えいの痕跡。ID/パスワード・決済情報は別管理で対象外。9/16報道で約771万件 原因：7/15未明に障害、7/16に痕跡確認。第一報時点で調査中（のちにWebシステムの脆弱性と報道） |
報道 |
| 7/24 | シミックヘルスケア・インスティテュート 医療関連サービス（患者支援プログラム受託） |
Web・アプリへの侵入 | 患者30名（氏名・年齢・電話等）、患者216名（メール）、医療従事者1,535名、委託元関係者113名、ほか46名の情報が第三者に取得 原因：6/15に不正アクセス、7/11の調査でWeb公開領域に配置されていたファイルの一部取得を確認 |
公式 |
| 7/24 | OCS（ANAグループ／OCS FAMILY LINK SERVICE） 国際宅配・物流 |
Web・アプリへの侵入 | 7/23にシステム不具合で停止を告知、7/24にサイバー攻撃・不正アクセスを公表。一部の個人情報・データが流出した可能性（項目・件数非公表） 原因：調査中（8月続報で脆弱性が原因と報道） |
報道 |
| 7/28 | 菱熱 不明 |
メール乗っ取り | メールアカウントから不審メールを外部送信、その後社員がフィッシングでパスワードを入力する二次被害。漏えい有無は調査中 原因：調査中 |
報道 |
| 7/28 | TENTIAL 不明 |
メール乗っ取り | 正規の送信環境から約11万通のフィッシングメールを送信（7/25 20時〜7/26 5時）。顧客DBへの不正アクセス・個人情報漏えいは未確認 原因：アクセスキーが不正利用可能となった経路は調査中 |
報道 |
| 7/28 | 中電不動産 不動産 |
委託先経由 | 約4,000件（2018/7〜2024/10の月極駐車場契約者の氏名・住所・口座情報・車両情報）に漏えいの可能性 原因：委託先・名鉄協商のサーバーへのランサムウェア攻撃 |
報道 |
| 7/29 報道日 |
シー・コネクト（インク革命.COM） EC |
ECサイト改ざん | 外部からの不正アクセスで一部顧客のカード情報等が流出した可能性（ScanNetSecurity見出しでは24,166名） 原因：不明 |
報道 |
| 7/30 | 楽天ドライブ（Rakuten Drive） クラウドストレージ |
その他 | 「YOUR RAKUTEN DRIVE HACKED」等の不審通知。Webサイトを7/31〜8/4停止、影響の可能性がある楽天IDのパスワードを強制リセット（件数非公表）。8/13時点で保存データへの不正アクセスは未確認。10/6報道で約1.5万アカウントのデータ等漏えい 原因：未公表 |
公式 |
| 7/31 | EPARKリラク＆エステ（PeakManager） 予約・顧客管理プラットフォーム |
Web・アプリへの侵入 | 一部DBに不正アクセス（7/27判明）、DB内の顧客情報削除も確認。約3,300万レコード（氏名・生年月日・性別・住所・電話・メール・暗号化パスワード等）漏えいの可能性。カード・マイナンバーは含まず 原因：未確定（外部専門機関と調査中） |
公式 |
| 7/31 | ALSOKジョイライフ（ベルパージュ奈良あやめ池） 介護・高齢者住宅運営 |
その他 | 過去・現在の入居者情報134件が閲覧された可能性（7/4判明） 原因：端末が外部の第三者に不正アクセスされ遠隔操作。経路の記載なし |
公式 |
| 7/31 | セントラルコンサルタント 建設コンサルタント |
Web・アプリへの侵入 | 不正アクセスの「可能性のある事象」。問い合わせフォーム情報（会社名・氏名・メール・電話・住所・内容）のDBが閲覧・取得された可能性。件数記載なし、漏えいは未確認 原因：記載なし（9月続報で不正管理者アカウント作成・外部との不正通信を確認と報道） |
公式 |
| 7/31 | 日本適合性認定協会（JAB） 認定機関（公益財団法人） |
メール乗っ取り | 職員アカウントから件名「文件审查」の迷惑メールを送信（6/16）。件数記載なし 原因：未公表 |
報道 |
| 7/31 | 東京都中小企業振興公社 公益財団法人 |
Web・アプリへの侵入 | 価格転嫁・賃上げ支援事業の公式サイトに不正アクセス、サイト運営業務を一部停止。件数記載なし、漏えい有無は未確認 原因：不明 |
報道 |
| 7/31 | 山梨大学（総合情報戦略機構） 大学 |
サイト改ざん | 契約レンタルサーバー上のほぼ全てのWordPressサイトが侵害。8/5更新時点で59件のWebサイトが閲覧不可（ScanNetSecurity見出しは54サイト）。個人情報への影響は記載なし 原因：調査中 |
報道 |
| 8/1 | Eストアー（ショップサーブ） EC構築サービス |
Web・アプリへの侵入 | 延べ8,853,839件（人数ではない）。購入者情報、会員情報（暗号化PW）、カード名義・番号の一部・有効期限、店舗の管理画面/メール/FTP認証情報、振込先口座。第1報の「8/1 9:09〜11:06頃」を第2報(8/2)で発生期間5/21〜8/1に拡大。10/16最終報で約2,335万人・7,858店舗と報道 原因：サーバー上で不正プログラムが実行され外部送信。侵入経路は未公表 |
公式 |
| 8/3 | 講談社 出版 |
メール乗っ取り | 社員の連絡先情報最大3,812件を窃取、うち553件に社員名義のフィッシングメール送信（メールアドレス・一部氏名） 原因：7/27に取引先を装うフィッシングで認証情報入力、7/30に不正ログイン |
公式 |
| 8/3 | 大仙（愛知県豊橋市） 建材・温室・額縁等の製造販売 |
Web・アプリへの侵入 | 8/1 2時頃に不正アクセス、社内全システムを遮断し受注・出荷業務に影響。漏えいは未確認 原因：調査中 |
公式 |
| 8/3 | 海月館グループ 宿泊 |
Web・アプリへの侵入 | 宿泊客の氏名・連絡先等が流出した可能性（7/29夕刻〜30午前）。宿泊内容の詳細・カード番号は対象外。件数記載なし 原因：記載なし |
公式 |
| 8/4 | 中部電力 電力 |
不正ログイン | 役職員のメール一部（確認範囲で約2,400件）と連絡先情報が漏えいした可能性。関係機関・自治体・取引先等約2,400人、グループ役職員・委託先社員等約71,700人。電気・ガス顧客情報の漏えいは未確認 原因：資格情報の不正利用（入手経路不明）。7/29に第三者機関の情報提供で判明 |
公式 |
| 8/4 | 学研メディカルサポート 不明 |
Web・アプリへの侵入 | 管理するWordPress 78サイトで不正アカウント生成・既存アカウントのパスワード書換え。個人情報流出は未確認 原因：WordPressの脆弱性（詳細非公表） |
報道 |
| 8/4 | イノベーション 不明 |
Web・アプリへの侵入 | 速報で最大約6万件の氏名・メール（一部電話）。8/20報道で62,691名分の漏えい確定 原因：GitHub認証情報の漏えい（経路非公表）、リポジトリ内ファイルに個人情報 |
報道 |
| 8/5 | 共同通信社 報道 |
メール乗っ取り | 約6,000件（職員等約3,000件、加盟社・取引先等約3,000件）の氏名・メール・部署・役職等が漏えいした可能性。一部アカウントのメール・保存ファイルが閲覧された可能性 原因：8/4に外部からの情報提供で判明。原因調査中 |
報道 |
| 8/5 | シンアイ産業 ウォーターサーバー事業（沖縄） |
委託先経由 | 氏名・連絡先・住所・契約情報・問い合わせ内容が閲覧された可能性を否定できず。件数非公表、外部流出は未確認 原因：調査中（管理会社から報告） |
報道 |
| 8/5 | 東海大学（山中湖セミナーハウス） 大学 |
サイト改ざん | 宿泊予約情報274名分（2022/5/9〜2026/4/22のWeb予約利用者の氏名・電話・メール等）が漏えいした可能性。発覚は4/22 原因：不明 |
報道 |
| 8/6 | シーイーシー ITサービス・データセンター |
ランサムウェア | 東京第二データセンターで障害。8/7続報でランサムウェアと確認、攻撃領域は顧客預かりシステム・データとは別、漏えいは未確認 原因：侵入経路は判明したが非公表 |
公式 |
| 8/6 | アンビションDXホールディングス 不動産（賃貸管理等） |
Web・アプリへの侵入 | ファイルサーバーに不正アクセス・ログ消失。8/28第3報で顧客・オーナー・入居者・取引先・役職員の氏名・住所・電話・メール等の漏えいを確認（人数非公表）。10/20最終報で約14万ファイル持ち出し・約58万件と報道 原因：手口・経路は非公表 |
公式 |
| 8/6 | 名古屋市 地方自治体 |
委託先経由 | 市営駐車場の定期券購入者263名（現地222名：氏名・車両番号・定期券情報、EC41名：氏名・住所・電話・メール等）に漏えいのおそれ 原因：指定管理者・名鉄協商のサーバーへのランサムウェア攻撃（名鉄協商は7/2公表） |
公式 |
| 8/6 | ナイス 建築資材・住宅 |
メール乗っ取り | 約2,400件（氏名・メール・電話・会社名・会社住所）漏えいの可能性。8/21追記で第三者による不正利用とスパム送信を確認 原因：7/22に不審な挙動を確認。原因の記載なし |
公式 |
| 8/6 | ル・アンジェ 不明 |
不正ログイン | 一部会員・従業員の氏名・生年月日・住所・電話・メール等が対象となった可能性。件数記載なし 原因：7/10発生・7/15認識。原因不明だがブルートフォース攻撃の可能性が高いと判断 |
公式 |
| 8/7 | 科学技術振興機構（JST） 国立研究開発法人 |
メール乗っ取り | 役職員12名のメールボックス内メール約18,000件（8/28更新。当初報道は約16,000件）が漏えいした可能性。外部アドレス約1,400件、役職員アドレス約1,000件 原因：7/28に外部機関から情報提供。原因究明中 |
公式 |
| 8/7 | ヨネックス（台湾子会社YONEX TAIWAN） スポーツ用品 |
Web・アプリへの侵入 | 一部サーバーへの不正アクセス（8/3確認）、台湾子会社の一部業務に影響。流出の有無は調査中 原因：未公表 |
報道 |
| 8/10 | REXT Holdings（子会社REXT） 小売（WonderGOO・新星堂等） |
ランサムウェア | 8/9に被害確認。WonderGOO・WonderREX・新星堂・HAPiNS・JEANS MATEの一部店舗で臨時休業等、キャッシュレス決済の一部・買取・ポイント停止、EC発送遅延。漏えいの可能性は完全には否定できず 原因：調査中 |
公式 |
| 8/10 | RIZAPグループ（APORITOオンラインストア） EC |
ECサイト改ざん | 5/1〜8/5の注文・入力者の氏名・住所・電話・メール・カード番号・有効期限・セキュリティコードが外部送信された可能性。件数記載なし、ストア閉鎖 原因：不正スクリプトの設置（侵入経路は調査中） |
報道 |
| 8/10 | 五大開発（いさぼうネット） 建設コンサルタント・システム開発 |
Web・アプリへの侵入 | 会員の氏名・メール・ログインパスワード・会社名・住所・電話が漏えいした可能性。件数記載なし 原因：記載なし（不正アクセス・攻撃の確認は2026/1/26） |
公式 |
| 8/12 | ホワイトエッセンス 歯科（ホワイトニング） |
Web・アプリへの侵入 | 8/5に不正アクセス確認、システムの一部で第三者による不正操作。予約サイト・基幹システムを8/12から停止。件数記載なし。10月に約105万アカウント漏えいと報道 原因：記載なし（経路封鎖・脆弱性修復中） |
公式 |
| 8/12 | 名古屋鉄道 鉄道 |
委託先経由 | 「WEBナビ名鉄のハイキング」賞品引換申込者（2023/6〜2026/5）の氏名・住所・電話・メール・ポイント情報に漏えいの可能性。件数記載なし 原因：委託先・名鉄協商へのランサムウェア攻撃 |
公式 |
| 8/12 | エスケーアイマネージメント 葬祭事業（報道） |
サポート詐欺 | 社内PCが遠隔操作され、個人情報を含む約4,000ファイルが削除（一部はバックアップなし）。持ち出しは未確認 原因：偽警告に従い電話し、遠隔操作ソフトを導入させられた（8/7発生） |
報道 |
| 8/12 | ヨネックス（公式オンラインショップ） スポーツ用品 |
不正ログイン | 3アカウントで不正ログイン、うち1件で氏名・住所・電話・生年月日・購入履歴等が閲覧された可能性 原因：外部で不正取得されたID/パスワードの利用（8/5検知） |
報道 |
| 8/13 | 赤武エンジニアリング 製造（粉体機器） |
ランサムウェア | 社内システムが感染しシステム障害。流出の有無は調査中 原因：記載なし |
公式 |
| 8/13 | チャーム（チャーム本店1号店・2号店） ペット用品通販 |
Web・アプリへの侵入 | 約23万件（氏名・住所・電話/FAX・生年月日・性別・メール・ポイント・対応記録・パスワードハッシュ）に漏えいのおそれ。カード情報含まず。不正ログイン確認期間7/1〜8/12 原因：記載なし |
公式 |
| 8/14 | たのしいミュージアム（うんこミュージアム公式サイト） 展示施設の企画運営 |
サイト改ざん | 8/10 17:04〜8/11 11:24に問い合わせフォームを使った4名の氏名・メール・電話・本文が漏えいしたおそれ 原因：第三者製ソフトウェアの脆弱性 |
公式 |
| 8/14 | アジア保健研修所（AHI） 公益財団法人 |
委託先経由 | 配信先情報の漏えいを確認（件数非公表） 原因：メール配信システム「める配くん」サーバーへの不正アクセス |
報道 |
| 8/15 | 両毛システムズ ITサービス（自治体・水道・医療向け） |
Web・アプリへの侵入 | 社内システムへの不正アクセス（8/14確認）、影響確認中。のちにランサムウェアと判明し、SafePayがデータを公開したと報道 原因：調査中 |
報道 |
| 8/15 | SCRAP イベント制作（リアル脱出ゲーム） |
不正ログイン | 代表取締役のXアカウントが乗っ取られ、不審な投稿・DMの可能性。顧客情報の漏えいは未確認 原因：不明 |
報道 |
| 8/17 | さくらインターネット クラウド・ホスティング |
Web・アプリへの侵入 | レンタルサーバ583アカウント（9/10第3報で951）に不正ログイン、一部サーバにマルウェア設置、メール・Webデータ・ログ等が閲覧/取得された可能性。8/19第2報で販売管理システムへの不正アクセスも判明、1,360,563アカウントに影響の可能性、うち30アカウントでハッシュ化パスワード 原因：当社管理環境を経由（詳細非公表）。販売管理システムは2023/4〜2026/3に侵入 |
公式 |
| 8/17 | 教育ソフトウェア 教育関連システム（デジタル採点・CBT等） |
ランサムウェア | 休眠中のレンタルサーバーが暗号化・不正アクセス痕跡（4/30〜5/1）。2016年までの自己採点システム利用者4,627件、サーバ内メールが閲覧された可能性。調査では漏えいの事実は未確認 原因：長期間未使用サーバーへの不正アクセス。経路の記載なし |
公式 |
| 8/17 | GHP（クラブチャペルホテルズ） ホテル運営 |
Web・アプリへの侵入 | 宿泊予約システムDBの一部が閲覧された可能性が高い。予約者・メール会員・問い合わせ者の氏名（ニックネーム）・メール・電話。件数記載なし。決済情報は保有せず 原因：脆弱性箇所を修正（詳細非公表）。8/6に不審挙動検知 |
公式 |
| 8/18 | VOISING エンタメ（タレント事務所） |
Web・アプリへの侵入 | BIツールに不正アクセス（8/10〜）、8/16 18:47〜20:21にデータの不正ダウンロードを確認し漏えいを公表。全顧客の氏名・住所・電話・メール・生年月日・性別・購買履歴・応援タレント等。件数調査中（8/20第2報で最大約17万人と報道） 原因：脆弱性に修正プログラム適用・キー無効化（原因は調査中） |
公式 |
| 8/18 | 上越ケーブルビジョン ケーブルテレビ |
メール乗っ取り | ヘルプデスクのメールアドレスに不正アクセス（8/15確認）。送受信メール中の氏名・住所・メール・電話が対象 原因：調査中 |
報道 |
| 8/18 | 日刊工業新聞社 新聞 |
Web・アプリへの侵入 | 旧「ニュースウェーブ21」関連システム（8/15頃から）。8/25の調査結果で約279人分のメール・会社名が閲覧された可能性、持ち出しは未確認 原因：8/25続報：管理用アカウントの脆弱なパスワードをブルートフォースで突破され管理画面に不正ログイン |
報道 |
| 8/18 | 原田産業（ECサイト「ビールの縁側」） 商社／EC |
Web・アプリへの侵入 | サイトを一時閉鎖、一部顧客の個人情報が漏えいした可能性（項目・件数未公表）。10/5続報でカード情報含む9名と報道 原因：第一報は調査中（続報で脆弱性悪用による管理者権限取得と報道） |
報道 |
| 8/18 | ウェブライフ Web制作サービス |
Web・アプリへの侵入 | OEMパートナー向け顧客管理システムで最大7,425名。8/14〜17に閲覧・改ざんの可能性。8/26続報で漏えい可能性が残るのはメールアドレス等に絞られ、氏名・住所・電話等は漏えい未確認 原因：顧客管理システムのアクセス制御の不備（修正済） |
公式 |
| 8/19 | NTTスマートコネクト（スマイルサーバ） ホスティング |
Web・アプリへの侵入 | jm9/jm10の2台で不正アクセスを7/24に確認し同日全サービス停止（7/27代替サーバ提供）。漏えいは未確認、利用者データの引き渡しは保留 原因：未特定（フォレンジック調査中） |
公式 |
| 8/19 | 同志社大学（キャリアセンター） 大学 |
ランサムウェア | 「筆記試験対策ポータル」がランサムウェア被害で停止（4/19確認）、学生の大学発行メールアドレス流出の可能性 原因：大学公表では未確認（開発元ノストラムがVPN経由侵入を公表済との報道、同一性は未確認） |
報道 |
| 8/19 | DAIKO NEXT LINK（DAIKO XTECHグループ） システム開発・運用 |
メール乗っ取り | 旧ドメイン（daiko-b.co.jp）の一部メールアカウントに不正アクセス。8/24に旧ドメインのメールサーバを停止し新ドメインへ移行。個人情報流出は未確認 原因：調査中 |
公式 |
| 8/19 | 東邦通信システムズ ITインフラ・セキュリティサービス |
Web・アプリへの侵入 | 外部ホスティングサーバの管理アカウントへ7/31〜8/4頃に断続的な不正アクセス、一部顧客のメールアカウント設定が書き換え。大規模流出・不正送信は未確認 原因：経路未公表 |
報道 |
| 8/20 | 2025年日本国際博覧会協会 公益社団法人 |
委託先経由 | 再委託先M365への不正アクセス（5/13）。関係者の氏名・所属・連絡先、出演者の氏名・肩書・写真、台本等が含まれていた可能性。人数非公表 原因：再委託先従業員がフィッシングメールを受信 |
報道 |
| 8/20 | エヌ・イー ケムキャット 化学（触媒） |
不正ログイン | 退職者を含む従業員、派遣・委託先、グループ会社社員の氏名・生年月日・住所・メール・電話・人事情報等が漏えいのおそれ。人数記載なし 原因：端末上でのマルウェア実行が原因と考えられる（5/28検知、7/31調査完了） |
公式 |
| 8/20 | スプーン（SPOON SPORTS公式サイト） 自動車部品 |
サイト改ざん | /blog/配下ページにClickFix型の偽セキュリティ確認画面（8/12 17:59頃〜8/19 18:32頃）。実際に不正処理が実行された事例も確認。個人情報への影響は調査中 原因：7/29と8/12にWordPress管理画面へ不正ログイン（認証情報の取得経路は不明） |
公式 |
| 8/20 | 長野県（多文化共生相談センター） 地方自治体 |
不正ログイン | 相談員のWhatsAppが不正利用され、なりすましメッセージで1名が198,000円を振込。登録者55名中2名の氏名閲覧、全登録者の氏名・電話・やり取りが閲覧されたおそれ 原因：8/10、WhatsAppを装う「セキュリティ更新」メッセージに従い端末を操作 |
公式 |
| 8/21 | 楽天ブックスネットワーク 出版取次 |
Web・アプリへの侵入 | 計35,773件（楽天ブックス利用者の配送先情報33,333件、取引先担当者2,101件、従業員339件）が対象PCに保存。漏えいは未確認、金融情報は含まず 原因：記載なし（4/5検知） |
公式 |
| 8/21 | 01銀行 銀行 |
Web・アプリへの侵入 | 顧客識別情報とメールアドレスの漏えいを確認、最大100社分 原因：未公表（8/17検知） |
報道 |
| 8/21 | いまでや（IMADEYA） 酒類小売・EC |
その他 | 氏名・メール・注文番号・注文金額の流出可能性が高い。フィッシングサイトにカード情報等を入力した顧客2名 原因：第一報で未特定（10/15にShopify連携アプリのAPIトークン悪用と判明と報道） |
報道 |
| 8/22 | 環境機器（虫退治ドットコム） 業務用防虫資材の販売・通販 |
ECサイト改ざん | 決済ページに不正プログラム（8/11 14:49〜8/18 14:00）。計15名（カード利用6名はカード番号・有効期限・セキュリティコード・名義も対象） 原因：サイトのシステムの一部の脆弱性を悪用され管理者権限を不正取得 |
公式 |
| 8/24 | 全日空商事（選べるe-GIFT） 商社（ANAグループ） |
Web・アプリへの侵入 | 管理運用システムに不正アクセス（8/11〜12）、契約企業担当者名・企業名・ID・メールの一部が閲覧された可能性。ギフトの不正交換も確認（件数非公表） 原因：未公表 |
報道 |
| 8/24 | ファンくる 覆面調査・モニターサービス |
不正ログイン | 試行5,060,270回、ログイン成功59,389名、ポイント不正交換2アカウント。氏名・生年月日・郵便番号・電話・メールが閲覧された可能性 原因：他サービス由来の認証情報によるリスト型攻撃 |
報道 |
| 8/25 | カバー（hololive OFFICIAL CARD GAME公式サイト） エンタメ |
Web・アプリへの侵入 | 7/4〜7/19の問い合わせフォーム利用者の氏名・メール・電話・内容が取得されたおそれ。件数非公表 原因：CMSの脆弱性（7/17に脆弱性が公表されたことを受け調査し発覚） |
報道 |
| 8/25 | マネジメントサービスセンター 人材アセスメント・研修 |
サイト改ざん | HPで管理者権限取得・改ざん。297名（氏名・会社名・メール・電話）が影響の可能性 原因：非公表（対策完了） |
報道 |
| 8/25 | 日本大学法学部 大学 |
メール乗っ取り | 教職員1名のアカウントから不審メール3,177件を送信 原因：フィッシングメールで認証情報を窃取（8/3発生、8/7検知） |
報道 |
| 8/25 | 社会福祉法人北区さつき会（さつき保育園） 保育園 |
サイト改ざん | トップページ改ざん（8/19）、全サイトを8/19〜25閉鎖。個人情報への影響なし 原因：システムの脆弱性 |
公式 |
| 8/26 | 日鉄興和不動産 不動産 |
Web・アプリへの侵入 | マンション販売業務等の顧客情報を保存するクラウドサービスに不正アクセス（8/25確認）。漏えいは未確認、件数非公表 原因：未公表 |
報道 |
| 8/27 | チューリッヒ保険会社 損害保険 |
Web・アプリへの侵入 | Z-Dashで最大1,668名（事案管理番号・氏名・メール）。映像・カード・口座情報は含まず 原因：8/18の社内調査でZ-Dashの脆弱性を確認、4/1・4/6に不正アクセス |
公式 |
| 8/27 | クー アパレル（CAL、POU DOU DOU等） |
委託先経由 | 顧客のメールアドレス2,255件が漏えい対象 原因：める配くん（ディライトフル）への脆弱性を突いた攻撃（6/16）。ディライトフル側は7月に公表済 |
公式 |
| 8/27 | CINRA（CINRA JOB） 求人・メディア |
その他 | 退会者を含む登録者の氏名・住所・電話・メール・生年月日・学歴/職歴・応募履歴等に漏えいのおそれ（閲覧・取得は未確認）。件数記載なし 原因：クラウドで管理する認証情報が外部から取得可能な状態だった（8/18確認） |
公式 |
| 8/28 | イエローハット カー用品 |
Web・アプリへの侵入 | WEB作業予約システムで最大1,801,499名（氏名・電話・メール・会員番号）が漏えいした可能性（8/28第1報）。10/15第2報で1,797,124名分の外部流出を確認、項目に住所・生年月日・性別・ログインID・パスワード（復元不可の形式で保管）を追加。カード情報は保持せず 原因：「不正プログラムによる攻撃」。侵入経路は未公表（第1報報道では8/18朝検知、第2報では8/19検知と記載） |
公式 |
| 8/28 | カインドオル（トレジャー・ファクトリー子会社） ブランド古着EC |
不正ログイン | 最大136,464人（氏名・住所・電話・生年月日・メール・購入回数/金額・ポイント履歴等）。カード番号・ログインPWは含まず 原因：ECプラットフォーム事業者を装うフィッシングでスタッフアカウントの認証情報を窃取、二段階認証未設定 |
報道 |
| 8/28 | コロナ 暖房機器メーカー |
Web・アプリへの侵入 | 施工情報管理クラウドで最大3万5,000人（氏名・住所・施工関連資料）。ランサムウェアグループが320GB保有を主張と報道 原因：未特定 |
報道 |
| 8/28 | T&K TOKA 化学（インキ・機能性樹脂等） |
ランサムウェア | 一部システムで被害、一部業務を停止 原因：調査中 |
公式 |
| 8/28 | サンコーテクノ（ベトナム子会社SANKO FASTEM (VIETNAM)） 製造（建設用アンカー等） |
ランサムウェア | サーバー・PC内の各種ファイルが暗号化（8/25確認） 原因：未特定 |
公式 |
| 8/30 | まんだらけ 中古ホビー小売 |
Web・アプリへの侵入 | 8/27 23時頃に侵入確認。8/28 6時までの通販注文者の氏名・住所・電話・メールが漏えいした可能性。通販・オークション停止（通販は9/5再開） 原因：調査中 |
公式 |
9月（82件）
| 公表日 | 組織 | 手口 | 被害の内容と原因 | 出典 |
|---|---|---|---|---|
| 9/1 | TRUNK ホテル運営 |
メール乗っ取り | 従業員メールアカウントが不正アクセスされ、保有情報の一部が外部へ漏えい。同社・従業員をかたる不審メールを送信。424人分の氏名・住所・メールアドレス・勤務先等 原因：従業員メールアカウントへの不正アクセス（詳細非公表） |
公式 |
| 9/1 | ペーパーロジック（paperlogic） IT/SaaS |
Web・アプリへの侵入 | 8/27、利用クラウドサーバで不正アクセス・異常挙動を検知しシステム停止。顧客情報の閲覧・持出しの痕跡なし 原因：非公表 |
公式 |
| 9/1 | 三井不動産 不動産 |
不正ログイン | 一部システムの情報が第三者に閲覧された可能性。グループ役職員等 最大19,000人（氏名・メール・所属・役職）＋社外関係者 最大36,000人（メールアドレス・表示名）。8/28確認 原因：一部システムの資格情報（ログイン情報）の不正利用（9/28第二報で確定） |
公式 |
| 9/1 | 千葉県（生物多様性センター「生命のにぎわい調査団」ページ） 自治体 |
Web・アプリへの侵入 | 8/27未明に2回の不正アクセス、未リンクのページを挿入。登録会員1,963名の個人情報を保存、公表時点で漏えい未確認。サイト全体停止 原因：調査中（8/27千葉県警からの連絡で発覚） |
公式 |
| 9/1 | 東京都管工事工業協同組合 業界団体 |
サイト改ざん | スマートフォン閲覧時に不審広告・ウイルス感染を装う画面へ誘導。個人情報・機密情報の流出は未確認 原因：旧版CMSの脆弱性→不正プログラム設置→JavaScript書換 |
公式 |
| 9/3 | 鳥取県（環境放射線モニタリングシステム） 自治体 |
ランサムウェア | 県庁内主局サーバのファイル暗号化で主局停止、遠隔地の副局で監視継続。個人情報・機密情報は保有せず 原因：調査中 |
公式 |
| 9/3 | 浜銀TT証券 証券 |
不正ログイン | 一部顧客の口座番号・パスワード（パスキー登録情報含む）が詐取され、投資信託の不正売買を確認（件数非公表） 原因：フィッシング |
公式 |
| 9/3 | RBW JAPAN（MAMAMOO公式FC「MOOMOO JAPAN」） エンタメ |
委託先経由 | 有料会員のメールアドレス・パスワードが漏えいした可能性（件数非公表）、決済情報は対象外。9/1検知 原因：FCシステム管理委託先サーバへの不正アクセス |
公式 |
| 9/4 | SCAT IT |
その他 | 8/24〜25に第三者が契約クラウドを不正利用、利用料金を事業者と協議中。情報流出の痕跡なし。9/2三田署に被害届 原因：調査中 |
公式 |
| 9/4 | 大田区（大田区民プラザ／指定管理者 大田区文化振興協会） 自治体 |
サポート詐欺 | 8/22、職員が偽警告の電話番号に連絡し端末を不正アクセスされた。職員・利用者等556人の氏名等が漏えいの可能性 原因：サポート詐欺 |
公式 |
| 9/4 | NEXCO東日本（東京外環プロジェクトHP） 高速道路 |
Web・アプリへの侵入 | 第三者による不正アクセスの疑いでHP一時公開停止。個人情報漏えいは未確認 原因：調査中 |
公式 |
| 9/4 | アップ（洛西進学教室・進学館サイト／ベネッセグループ） 学習塾 |
Web・アプリへの侵入 | 8/24不正アクセス、不正プログラム設置。講師採用応募者10名・社員（サイト管理者）3名の情報が閲覧されたおそれ 原因：外部ソフトウェア（プラグイン）の脆弱性 |
公式 |
| 9/4 | キングジム 文具 |
委託先経由 | 2022年8月以前の旧「キングジムストア」「オフィスオンライン」購入者の氏名・住所・電話・メール等（件数非公表） 原因：ショップサーブサーバへの不正アクセス（5/21〜8/1） |
公式 |
| 9/7 | 東京科学大学 大学 |
Web・アプリへの侵入 | 現・旧構成員（旧東京工業大学・旧東京医科歯科大学の学生・職員含む）の氏名・住所・メールアドレス漏えいの疑い、件数調査中。病院患者情報の漏えいは未確認 原因：調査中（8/28対策本部設置） |
公式 |
| 9/8 | 立教大学 大学 |
メール乗っ取り | 学生4・卒業生2の計6つのGoogleアカウントから迷惑メール17,668通を送信。メール本文・個人情報の閲覧可能性を否定できず 原因：非公表（海外からの不正アクセス。4/27〜7/16、8/12〜24） |
公式 |
| 9/8 | 日本大学理工学部 大学 |
メール乗っ取り | 教職員1名のアカウントから学内外の連絡先へ不審メール50通を送信。メールボックス全体が閲覧可能だったため個人情報閲覧の可能性を否定できず 原因：フィッシングメールのリンクから認証情報を窃取（8/7不正アクセス開始、8/19検知） |
公式 |
| 9/8 | REVISIO 調査・マーケティング |
その他 | 役職員の業務PC1台がマルウェア感染、取引先等の個人情報漏えいの可能性を否定できず 原因：マルウェア感染（経路非公表） |
公式 |
| 9/8 | サンメッセ（WEB発注システム） 印刷 |
委託先経由 | 購買発注「WEB発注システム」サーバへのサイバー攻撃。一部利用者情報が外部へ流出した可能性、停止後に再開 原因：運用委託先からの報告（手口非公表） |
公式 |
| 9/9 | ApplyNow（Interview Cloud／ApplyNow／ApplyNow Sign） 採用SaaS |
Web・アプリへの侵入 | 8/9〜9/7不正アクセス、9/7検知・遮断。10/9追記で約39万人（ApplyNow Sign利用者約3万人含む）の外部流出を確認。Signはマイナンバー・基礎年金番号・口座情報を含む 原因：社内データ分析ツールの脆弱性 |
公式 |
| 9/9 | 熊本県（ワンストップジョブサイトくまもと） 自治体 |
サイト改ざん | 9/1 3:34〜9/3 9:49、利用登録画面でiPhoneに偽警告を表示し有料アプリへ誘導。個人情報漏えいは未確認 原因：外部からの不正アクセス（手法非公表） |
公式 |
| 9/10 | ハルメクホールディングス（HALMEK up） 出版・通販 |
不正ログイン | 従業員ID・パスワードが窃取され管理画面に不正アクセス（9/9検知）。顧客管理情報へのアクセスは未確認 原因：従業員認証情報の窃取 |
報道 |
| 9/10 | 長野県大町市（デジタルアーカイブ「デジまち」） 自治体 |
サイト改ざん | 一部ページがオンラインカジノ誘導ページに改ざん（7/14侵入、8/28外部通報で発覚）、ネットワークから遮断 原因：システムの脆弱性 |
報道 |
| 9/11 | デジタル庁（ガバメントソリューションサービス GSS） 政府 |
VPN機器など | 約24.6万件（府省庁職員等約18.9万・事業者等約5.7万）の氏名・メール・電話・住所が漏えいの可能性。マイナンバー・口座・年金番号は含まず 原因：VPN機器の脆弱性＋保守運用者アカウント（6/25検知、7/9侵入判明） |
公式 |
| 9/11 | ロート製薬 製薬・通販 |
Web・アプリへの侵入 | 通販事業のシステムで不正アクセスの可能性（9/10検知）。9/15続報で通販の顧客対応システムの通話音声データ等、顧客管理システムの情報が不正取得された可能性 原因：調査中 |
公式 |
| 9/11 | 日本エネルギー経済研究所 研究機関 |
メール乗っ取り | 所員6名のMicrosoft 365アカウントに不正アクセス。メール5,417件・ファイル3,272件の閲覧痕跡（うち2,798件ダウンロード） 原因：フィッシング（7/29外部機関から情報提供） |
公式 |
| 9/11 | 川崎市（かわさき新産業創造センターKBIC Webサイト） 自治体（指定管理） |
Web・アプリへの侵入 | 9/4指定管理者から報告、サイト一時閉鎖。改ざん・個人情報漏えいは未確認 原因：調査中 |
公式 |
| 9/11 | ピーシーデポコーポレーション（PCデポ） PC専門店 |
メール乗っ取り | 会員向けメールドメイン（@ozzio.jp）の送信用認証情報が悪用され、support@ozzio.jpから9/4〜9/8に約1,800通のフィッシングメール。会員DBへの不正アクセスは未確認 原因：調査中 |
公式 |
| 9/11 | mogily（デジタル整理券システム） IT |
Web・アプリへの侵入 | 9/9〜10に管理システムへ不正アクセス、1社の顧客133名の当落ステータスを当選→落選に改ざん。個人情報漏えいなし 原因：侵入口を特定・対策済（詳細非公表） |
公式 |
| 9/12 | 東京大学大学院医学系研究科 公共健康医学専攻 大学 |
サイト改ざん | 8/30〜9/10、不正プログラムで偽エラー・更新画面を表示しコマンド実行等を誘導した可能性。個人情報入力機能なし 原因：非公表（全面再構築・管理画面アクセス制限） |
公式 |
| 9/12 | ドズル社（ドズル社ストア） EC |
ECサイト改ざん | 9/11 15時頃〜17:50、決済時に不正な外部ページへ誘導。カード情報・ログイン情報・氏名住所等が入力された可能性（件数非公表） 原因：Shopifyにインストールしていた外部アプリ |
公式 |
| 9/14 | 東産業 企業 |
Web・アプリへの侵入 | 公式サイトに不正アクセス。問い合わせフォーム経由で取得した顧客情報が対象、外部への影響は未確認 原因：Webサイトの脆弱性（ScanNetSecurity 10/5見出しはwp2shell悪用と報道） |
公式 |
| 9/14 | 日本大学（教員5名） 大学 |
メール乗っ取り | 教員5名のアカウントから不審メール1,333件を送信（8/7不正アクセス、8/29検知） 原因：フィッシングによる認証情報窃取とみられる |
公式 |
| 9/15 | あいの風とやま鉄道 鉄道 |
Web・アプリへの侵入 | 観光列車「一万三千尺物語」座席管理システムに9/2〜9/8繰り返し不正アクセス、予約の不正取消も。1,409名の氏名・住所・電話・メールが漏えいのおそれ 原因：調査中 |
公式 |
| 9/15 | LEAN BODY フィットネス |
Web・アプリへの侵入 | DBから顧客情報が取得された（約44万アカウントとの集計あり） 原因：分析ツールMetabaseの脆弱性 |
報道 |
| 9/15 | 小田原エンジニアリング 機械 |
メール乗っ取り | 独子会社出向者のメールが3/27〜8/31に閲覧（約3,500通）、なりすましの送金指示で一部取引先に金銭被害 原因：非公表（8/31検知） |
公式 |
| 9/16 | Helpfeel（Gyazo） IT |
Web・アプリへの侵入 | ユーザー情報約2,362万件（氏名・メール・パスワードハッシュ等）、画像メタデータ約4.9億件ほか流出 原因：画像アップロードサーバの脆弱性で任意コマンド実行（9/11） |
公式 |
| 9/16 | 大興印刷（PhotoGoods） 印刷 |
ECサイト改ざん | 8/6〜9/11、決済画面に不正プログラム。カード番号・有効期限・セキュリティコード、氏名・住所・電話・メール等が漏えいの可能性（件数調査中） 原因：システムの脆弱性＋ファイルアップロード機能の悪用 |
公式 |
| 9/16 | スコア・ジャパン 物流 |
サイト改ざん | 9/14 9:14頃〜18:00、トップページ改ざん、検索流入を無関係サイトへリダイレクト。顧客情報流出なし 原因：非公表 |
公式 |
| 9/17 | 千葉銀行（子会社ちばぎん商店） 銀行 |
委託先経由 | 9/3サイトにオンラインカジノ表示で発覚。GIFT SELECTION申込関連 個人約722・法人約1,616の氏名・住所・メール等が漏えいの可能性 原因：調査中 |
公式 |
| 9/17 | 入間市 自治体 |
委託先経由 | 職員採用試験録画面接の応募者1,276件（氏名・カナ・電話・メール・受験職種） 原因：ApplyNowへの不正アクセス（9/7検知、9/16漏えい確認） |
公式 |
| 9/17 | 一宮市 自治体 |
委託先経由 | 職員候補者試験の受験者約600件（受験番号・氏名・電話・メール）。委託先が契約終了後もデータを未削除 原因：ApplyNowへの不正アクセス（9/7） |
公式 |
| 9/18 | 日揮デジタル（アザス／するーぷ） IT |
Web・アプリへの侵入 | 約6万アカウント（アザス約4万・するーぷ約2万）の情報を第三者が取得 原因：Metabaseの脆弱性（9/16検知・遮断） |
公式 |
| 9/18 | モンベル（グローバルサイト） アウトドア |
Web・アプリへの侵入 | 最大15名分の個人情報が第三者に不正取得された可能性（9/12判明） 原因：非公表 |
公式 |
| 9/18 | ランドハウジング 不動産 |
不正ログイン | 他社の内見予約システムで同社アカウントが悪用され不正な内見予約。物件の鍵情報の一部漏えいの可能性→鍵交換等 原因：調査中（7/16認知、8/22警視庁へ通報） |
公式 |
| 9/18 | 大気社（マレーシアグループ会社） 建設設備 |
メール乗っ取り | 従業員1名のメールアカウントに不正アクセス、複数宛先へ不審メール送信（9/17確認） 原因：調査中 |
公式 |
| 9/18 | 橿原市 自治体 |
委託先経由 | 職員採用試験の動画選考に係る個人情報漏洩（313件・令和2年度応募者との集計あり） 原因：ApplyNowへの不正アクセス |
公式 |
| 9/18 | PFU（旧PFUダイレクト本店） IT機器 |
委託先経由 | 最大169,355件の注文情報（氏名・住所・電話・メール等） 原因：ショップサーブサーバへの不正アクセス |
公式 |
| 9/19 | 所沢市 自治体 |
委託先経由 | 応募者1,701名（氏名・メール・電話） 原因：ApplyNowへの不正アクセス（9/16漏えい確認） |
公式 |
| 9/20 | GMOインターネット（ConoHa WING） レンタルサーバ |
Web・アプリへの侵入 | 一部収容ホストの426アカウントのWeb領域に不正プログラム設置（9/3開始、9/16検知、9/18除去） 原因：非公表 |
公式 |
| 9/22 | くふうカンパニー（Zaim） IT（家計簿アプリ） |
Web・アプリへの侵入 | 9/18 20:09〜9/19 1:42、14名の登録情報（ニックネーム・メール・旧認証方式のパスワード関連情報）を不正に書き換え。情報漏えい・不正ログインなし 原因：システム処理の不備 |
公式 |
| 9/24 | 池上通信機 電機 |
ランサムウェア | 9/21外部から情報提供。9/30一部サーバで不正アクセス痕跡とファイル暗号化、社内NW遮断。10/2ダークウェブのリークサイトに同社保有とみられる情報が掲載 原因：調査中 |
公式 |
| 9/24 | ダイナック 外食 |
委託先経由 | 採用応募者の個人情報漏えい（件数非公表） 原因：ApplyNowへの不正アクセス |
公式 |
| 9/24 | MIMARU（APARTMENT HOTEL MIMARU） 宿泊 |
委託先経由 | 予約者に不審メッセージ、宿泊者情報の一部が閲覧・取得された可能性（9/24告知、9/29続報） 原因：手間いらずシステムへの不正アクセス（9/21のみ、9/26対策） |
公式 |
| 9/25 | 佐賀大学 大学 |
ランサムウェア | 事務部門NASのファイル暗号化（ランサムウェア被害の疑い）、事務用端末の利用停止。教育・研究・医療系への影響なし。9/28通常業務再開 原因：調査中 |
公式 |
| 9/25 | タイムズモビリティ（タイムズカー） カーシェア |
Web・アプリへの侵入 | 9/28第2報で約660万件のアカウント情報（本人確認書類情報＝運転免許証画像等を含む）を取得されたと公表。9/29に本人確認書類画像の漏えいは約160万件と公表 原因：外部からの不正アクセス（9/25 9:07検知、9/26 7:25経路遮断） |
公式 |
| 9/25 | 日本郵便（国際郵便 調査請求Web受付サービス） 郵便 |
Web・アプリへの侵入 | サーバへの不正アクセスの可能性で受付停止。10/16続報で約600件が第三者閲覧可能な状態、同サービスのメールアカウントから迷惑メール送信 原因：調査中 |
公式 |
| 9/25 | スマレジ（スマレジEC・リピート／B2B） SaaS |
Web・アプリへの侵入 | 4社の顧客環境で顧客・注文・管理者・WordPress情報が閲覧・取得された可能性。カード情報は非保持 原因：顧客管理画面のログイン機能の脆弱性（9/18修正） |
公式 |
| 9/25 | ファインズ（予約システム） IT |
Web・アプリへの侵入 | 1,536,322件（予約者の氏名・電話・メール・予約内容） 原因：非公表（9/22異常検知） |
公式 |
| 9/25 | 東洋紡（東洋紡せんい）／9/30 東洋紡エムシー 繊維 |
メール乗っ取り | 東洋紡せんい従業員アカウントから約1,500通のフィッシング誘導メール（9/24確認）。東洋紡エムシー社員2名のアカウントも侵害（9/28確認） 原因：東洋紡エムシー社員はフィッシング |
公式 |
| 9/25 | 井筒まい泉 外食 |
委託先経由 | 採用応募者の個人情報漏えい（件数非公表） 原因：ApplyNowへの不正アクセス |
公式 |
| 9/25 | 伊勢崎市 自治体 |
委託先経由 | 児童生徒タブレットのアカウント3,789件（学校名・学年・氏名・アカウント名・パスワード）。9/24委託先から報告、9/25保護者へ通知（ページ最終更新9/28） 原因：委託先のVPN機器経由でランサムウェア攻撃（8/14） |
公式 |
| 9/25 | レゴランド・ジャパン（レゴランド・ジャパン・ホテル） レジャー |
委託先経由 | 予約1,557件の氏名・メール・電話に影響の可能性。決済・パスワード・旅券情報のアクセスは未確認 原因：予約プラットフォーム運営Amadeusへの不正アクセス |
公式 |
| 9/26 | 京王電鉄グループ 鉄道・ホテル |
ランサムウェア | グループのサーバへのランサムウェア攻撃（9/26未明確認）。一部グループ会社の営業システムに障害、情報漏えいは確認中。鉄道運行に支障なし 原因：調査中 |
公式 |
| 9/26 | ニッポンレンタカーサービス（NRアプリ） レンタカー |
Web・アプリへの侵入 | 会員41名の氏名・電話・メール・利用履歴等（登録者は免許証番号・カード下4桁等）が閲覧のおそれ。10/1に別手法の別事案（9/19〜21）で55名 原因：調査中 |
公式 |
| 9/27 | 東京メトロ（メトポ） 鉄道 |
Web・アプリへの侵入 | 配信停止会員のメールアドレス約59,000件が閲覧・取得された可能性 原因：調査中 |
公式 |
| 9/27 | スターツ出版（オズモール） 出版・予約 |
Web・アプリへの侵入 | 最大447,610名分の会員メールアドレス（一部は氏名・都道府県）。10/1第2報では最大442,779名分 原因：海外からの大量の不正アクセス（9/26検知） |
公式 |
| 9/28 | 手間いらず（TEMAIRAZU） 宿泊SaaS |
Web・アプリへの侵入 | 9/21深夜から複数施設の予約者にWhatsApp・メール・SMSで不審メッセージ。宿泊者情報の一部が閲覧・取得された可能性（10/9に最大約445万人分の可能性と公表） 原因：原因特定・対策完了（詳細非公表）。施設側告知では旧提供サービスのセキュリティ不備、9/26対策 |
公式 |
| 9/28 | 集英社（HAPPY PLUS COMMUNITY） 出版 |
Web・アプリへの侵入 | 9/9に不正アクセス。ブロガー2,835件、案件630件、送信メール11,237件、取引先10,780件が漏えい 原因：CMSの設定不備によりAPI認証情報を悪用され特権アカウントを作成 |
公式 |
| 9/28 | 信濃毎日新聞社（信毎デジタル ポイント交換システム） 新聞 |
Web・アプリへの侵入 | 9/7発覚、一部の履歴データが一時消去（復旧済）。個人情報の流出は未確認 原因：非公表 |
公式 |
| 9/29 | ユニリタ ソフトウェア |
Web・アプリへの侵入 | 9/28、Webサイト上で機密情報窃取の公表を確認。特定の社内文書管理システムからの窃取を確認、顧客情報等の範囲調査中（Everestが約128GB・159,901ファイルを主張、同社未確認） 原因：調査中 |
公式 |
| 9/29 | アイホン（豪州法人 AIPHONE PTY LTD） 電機 |
Web・アプリへの侵入 | 豪州販売子会社の社内ネットワークに第三者が不正アクセス、拠点間接続を遮断。他拠点への影響・情報漏えいは未確認 原因：非公表 |
公式 |
| 9/29 | 国際文化会館（図書室 蔵書検索システムOPAC） 公益財団 |
Web・アプリへの侵入 | 9/23早朝〜9/25朝に不正アクセス。法人会員の会社名・法人代表会員パスワード等が漏えいした可能性 原因：非公表（接続元制限・脆弱性修正プログラム適用） |
公式 |
| 9/29 | ヤマト運輸（クロネコ代金後払いサービス） 物流・決済 |
Web・アプリへの侵入 | 9/28検知。10/16第4報で利用者情報約526万件（うちメール約49万件）、配送先約5万件、加盟店約4,100件の持ち出しを確認 原因：非公表 |
公式 |
| 9/29 | 日本郵政・日本郵便（郵便局アプリ） 郵便 |
Web・アプリへの侵入 | 19名69件（ゆうID会員情報・アドレス帳・送り状情報）を取得された。9/25 22:30頃から緊急メンテ、9/26再開 原因：非公表 |
公式 |
| 9/29 | イープラス（スマチケ払戻し情報管理システム） チケット |
Web・アプリへの侵入 | 払戻し申請者1,463件（銀行振込751件は口座情報、カード返金644件、郵便為替68件は住所等） 原因：9/11 19:58〜9/12 2:44に複数回の不正アクセス、9/15遮断 |
公式 |
| 9/29 | セコマ（セイコーマートアプリ） コンビニ |
Web・アプリへの侵入 | アプリ用サーバ経由で会員情報が閲覧。9/30第三報で572,022名（アプリ会員の約49%） 原因：非公表（手法は非開示） |
公式 |
| 9/29 | 四街道市社会福祉協議会 福祉 |
サポート詐欺 | 8/30、業務PCが約30分遠隔操作され、居宅介護支援事業所の利用者最大33名の情報が閲覧・取得された可能性 原因：サポート詐欺 |
公式 |
| 9/29 | ホテルグランドヒル市ヶ谷 宿泊 |
委託先経由 | 宿泊者情報の一部が閲覧・取得された可能性、WhatsApp利用者に不審メッセージ 原因：旧インストール型サービスの構成要素の不備による不正アクセス（9/21）、9/26修正 |
公式 |
| 9/30 | 佐川急便（お荷物問い合わせサービス） 物流 |
Web・アプリへの侵入 | 9/30以前約100日分の送り主・届け先、運賃契約顧客、スマートクラブ登録者の氏名・住所・電話等が流出の可能性（件数調査中）。9つのWebサービス停止 原因：第三者による侵害（手法非公表） |
報道 |
| 9/30 | 修道学園 学校法人 |
Web・アプリへの侵入 | 9/26に管理サーバへの第三者アクセスを確認。取引先の口座情報、教職員・外部講師の氏名・住所・電話・口座情報が流出の可能性（10/8第2報で学生情報は含まずと判明） 原因：調査中 |
報道 |
| 9/30 | ジー・プラン（Gポイント） ポイント |
Web・アプリへの侵入 | 最大約7万件の会員識別子が流出の可能性、Gポイント関連サービス停止 原因：調査中（9/25異常検知） |
公式 |
| 9/30 | 吉野家ホールディングス・吉野家・はなまる 外食 |
委託先経由 | Interview Cloud応募者 吉野家4,998名・はなまる368名、採用担当418アカウント 原因：ApplyNowのデータ分析ツールの脆弱性（8/9〜9/7） |
公式 |
10月（22日まで）（116件）
| 公表日 | 組織 | 手口 | 被害の内容と原因 | 出典 |
|---|---|---|---|---|
| 10/1 | 日本原子力研究開発機構（JAEA） 国立研究開発法人 |
委託先経由 | JRR-3利用者向け研究支援サイトから2,419ファイルが不正ダウンロード。うち367ファイル（175人分）に個人情報（身分証画像200件、放射線業務の特殊健康診断結果146件、放射線業務従事者証明21件など。6人分はマイナンバーを含む）。ID・パスワード等の登録情報は漏えいなし 原因：委託先クラウド上の研究支援サイトへの不正アクセス（9/25確認、同日外部アクセス停止）。手口は非公表 |
公式 |
| 10/1 | ローソン（メールサーバー） 小売（コンビニ） |
メール乗っ取り | 9/25 15時頃〜9/27 17時15分頃、英文の不審メール約70万件（推計）を主に海外へ送信。個人情報の漏えい、データセンター侵入、改ざん、マルウェア感染は未確認 原因：調査中（9/27にサーバー設定変更・通信制限） |
公式 |
| 10/1 | らしんばん 小売（中古ホビー・EC） |
Web・アプリへの侵入 | 件数は非公表。氏名・住所・メール・電話・生年月日・会員番号・注文情報・口座情報・買取同意書画像などの一部。10/9の続報で、カード情報・パスワード・マイナンバー・本人確認書類画像は漏えいなしと説明 原因：9/14〜9/16の第三者による不正アクセス（詳細は調査中） |
報道 |
| 10/2 | 大阪公立大学 大学 |
委託先経由 | 10/2未明から仮想化基盤の大規模障害。ネットワーク・学内メール・学務・財務・人事給与・図書館システム等が停止し全学休講（報道では約500台のサーバー停止、10/9に対面授業再開）。学務システムに少なくとも約13万人分（氏名・住所・メール・学生証写真等）を保管、漏えい有無は調査中。10/21第5報で、NECのクラウドストレージから本学関連の個人情報・システム関連情報の流出を確認（件数未公表） 原因：10/5会見で「いわゆるランサムウェア攻撃」と説明。10/21第5報で、NECの再委託先が9月下旬にサイバー攻撃を受け、同社の正規アカウントで本学システムに不正アクセスされたことが障害の原因と公表 |
公式 |
| 10/2 | 第一ライフグループ／第一生命保険 生命保険 |
Web・アプリへの侵入 | 約12万人（現役約5万人＝事務約1.3万・営業約3.7万、退職者約7万人）の社員番号・氏名・住所・電話・性別・所属・役職・職務・上長名が閲覧・流出の可能性。顧客情報への不正アクセスは未確認 原因：9/24に検知。第三者による不正アクセス（手口は非公表） |
公式 |
| 10/2 | JOGMEC（エネルギー・金属鉱物資源機構） 独立行政法人 |
Web・アプリへの侵入 | メールアドレス約8,500件（役職員約1,100、外部約7,400）が漏えいの可能性。公開・悪用は未確認 原因：外部からの情報システムへの不正アクセス。9/9に外部機関の情報提供と外部調査で判明。原因調査中 |
公式 |
| 10/2 | サミーネットワークス（777CON-PASS） エンタメ（アプリ） |
Web・アプリへの侵入 | 個人情報が流出の可能性（件数非公表、カード情報は保有せず）。10/16に最終報 原因：管理サーバーへの第三者の不正アクセス（アプリサーバーへの不正リクエスト） |
報道 |
| 10/2 | セーファーインターネット協会 業界団体 |
Web・アプリへの侵入 | 氏名・メール、各ホットラインへの通報・相談内容、問い合わせフォームの内容、イベント・研修申込情報、協会とのメール内容が漏えいの可能性（件数非公表、閲覧・取得は未確認） 原因：利用中の「さくらのレンタルサーバ」上での不正アクセス。原因は非公表 |
公式 |
| 10/2 | 講談社ベック 出版関連 |
メール乗っ取り | 旧ドメインの社員1アカウントから不審メール50件を送信。メールボックス内の個人情報等が漏えいのおそれ 原因：ID・パスワードが何らかの方法で窃取されたと推定（9/14検知） |
公式 |
| 10/2 | ジャパンタイムズ（グループ会社） 新聞・メディア |
ランサムウェア | グループ会社が管理する一部サーバーに不正アクセス。漏えいの有無は調査中。電子版・購読者DB・決済は別基盤で影響なし 原因：調査中 |
報道 |
| 10/3 | アバハウスインターナショナル アパレル（EC） |
不正ログイン | 会員ID・氏名・住所・電話・メール・生年月日・性別・注文情報が流出の可能性（退会者を含む、件数非公表）。返金を装う不審メールで発覚 原因：社内システムに不正ログインし、弱点を突いて不正プログラムを設置・実行（9/27深夜〜9/28、海外からと推定） |
公式 |
| 10/3 | リクルート（スタディサプリ） 教育サービス |
Web・アプリへの侵入 | 登録ユーザーのメールアドレス3,687件が第三者に特定された可能性。氏名・パスワード・決済情報の漏えいは未確認 原因：システムの一部機能の仕様の不備を突いた第三者の不正アクセス（9/30判明、同日修正） |
公式 |
| 10/4 | 日本経済新聞社（Microsoft 365） 新聞・メディア |
メール乗っ取り | 9/30、社内と取材先等の社外へ悪性サイトに誘導するなりすましメール約9,000件を送信。宛先の氏名・メールとメール内容の一部が漏えいのおそれ（件数調査中） 原因：社員のMicrosoft 365アカウントへの不正ログイン（手口非公表） |
公式 |
| 10/4 | 日本経済新聞社（Google Workspace） 新聞・メディア |
不正ログイン | 社員・取引先等1,646人の氏名・メールアドレス等（読者・取材先は含まず） 原因：7月下旬から社員アカウントに不正ログイン。8月上旬にGoogleから通知 |
公式 |
| 10/4 | 日経BP 出版 |
メール乗っ取り | 送受信先26人の氏名・メールアドレス 原因：日経社員のアドレスから届いたフィッシングメールで認証情報を窃取（9/30判明） |
報道 |
| 10/5 | 物語コーポレーション（焼肉きんぐ公式アプリ） 外食 |
Web・アプリへの侵入 | 登録10,808,784件のうち10,788,963件（会員番号・アプリ登録名・メール・電話番号）。パスワード・生年月日・購買履歴は含まず 原因：10/2に不正アクセスを確認、その後の調査で漏えいを確認。原因・侵入経路は調査中 |
報道 |
| 10/5 | GMOリサーチ&AI（infoQ） アンケートサイト |
Web・アプリへの侵入 | 最大948,498件（保有する全会員情報：氏名・フリガナ・性別・生年月日・メール・住所・電話・暗号化パスワード等）。10/14続報で894,082件の持ち出しを確認。ポイント不正交換611件・2,869,500円（全額補填） 原因：サイトで利用するソフトウェアの脆弱性を悪用。10/3に確認、同日サービス停止 |
公式 |
| 10/5 | 大和証券 証券 |
委託先経由 | 約11万人（個人を特定できない問い合わせを含め約22万件）の氏名・メール・口座番号等が漏えいの可能性 原因：委託先サーバーへの不正アクセス（10/2 20:33頃〜10/3 8:01頃）。自社システムへの侵入はなし |
報道 |
| 10/5 | 大起水産（公式アプリ） 外食（回転ずし） |
Web・アプリへの侵入 | 2024/11/1〜2026/9/15に登録した174,933人（退会者を含む）の氏名・電話・メール・性別・郵便番号・住所・生年月日が漏えいの可能性（パスワードは別サーバーで対象外） 原因：アプリシステムへの第三者の不正アクセス（9/15確認）。原因は非公表 |
公式 |
| 10/5 | リゾーツ琉球（ホテル リゾートイン石垣島） 宿泊 |
委託先経由 | 17,170人分の取得を確認（氏名・メール・電話・住所・生年月日・国籍等、パスポート画像234件・署名画像6件・顔写真5件） 原因：宿泊管理システムへの第三者の不正アクセス（9/18夜〜9/19夕方）。同システムを使う他施設も被害。システム提供元の名前は非公表 |
公式 |
| 10/6 | スカラコミュニケーションズ（FAQシステム「i-ask」） SaaS |
不正ログイン | 同じサーバー上の最大5社、延べ最大713,126件の問い合わせ情報（氏名・メール・問い合わせ内容等） 原因：管理サイトに不正ログイン後、共有サーバーに不正プログラムを設置して各社DBから取得（10/2 20:30頃〜10/3 8:00頃）。初期ログインの手段は非公表 |
公式 |
| 10/6 | シチズン時計 時計製造 |
委託先経由 | 約10万人の氏名・住所・電話・メール（自由記述欄に書かれた口座・カード情報を含む可能性） 原因：委託先スカラコミュニケーションズのサーバーへの不正アクセス（10/2 20:33頃〜10/3 8:01頃） |
公式 |
| 10/6 | ミスターマックス・ホールディングス 小売（EC） |
Web・アプリへの侵入 | アプリ・通販の会員最大1,735,154人の会員ID・氏名・メール・電話の一部。住所・生年月日・カード・パスワード・購買履歴は流出なし 原因：サービスを動かすソフトウェアの機能を不正に使って侵入（10/3夕方に検知） |
公式 |
| 10/6 | 旭化成セラピューティクス（Pharma DIGITAL） 製薬 |
委託先経由 | 医療関係者最大約51.4万人（うち約4.4万人はメールアドレスも）と従業員約700人の情報が閲覧・取得された可能性 原因：会員DBへのサイバー攻撃（10/2に委託先から報告）。原因調査中 |
公式 |
| 10/6 | NPO法人気象キャスターネットワーク NPO |
サイト改ざん | 最大15,959人の氏名・メール（一部は住所・電話）が漏えいの可能性。9/29に外部サイトへ誘導する改ざん 原因：9/24から不正アクセス。原因は非公表 |
公式 |
| 10/6 | アクティブ（業務用冷凍食品の通販サイト） 食品EC |
Web・アプリへの侵入 | 最大54,916件の店舗名・住所・電話・メール・注文金額・配送先等（カード・口座・パスワードは含まず） 原因：特定ページへのSQLインジェクションで不正な管理者アカウントを作り、データを出力（10/2） |
報道 |
| 10/6 | ワイルドモンスター（爬虫類ショップ） 小売（EC） |
Web・アプリへの侵入 | クレジットカード情報等が漏えいした可能性（件数非公表） 原因：第三者の不正アクセス。カード会社から不正利用の可能性を指摘されて判明 |
公式 |
| 10/6 | ニモカ（nimoca利用履歴照会サービス） 交通系IC |
Web・アプリへの侵入 | 521件のnimocaカード番号・生年月日・登録メールアドレスが流出（10/4 0時頃〜17時40分。同日サービス停止）。氏名・住所・電話・利用履歴の流出は未確認 原因：公開Webサービスへの攻撃で、入力に応じて登録情報の一部を含むメールが自動送信された |
公式 |
| 10/7 | 損害保険ジャパン 損害保険 |
委託先経由 | 「SMILING ROAD」の問い合わせ延べ約6万件（氏名・電話・住所・メール・勤務先・運転者ID・運転アラート・機器情報・問い合わせ内容）が漏えいの可能性 原因：委託先スカラコミュニケーションズのサーバーへの不正アクセス（10/2 20:33頃〜10/3 8:01頃） |
公式 |
| 10/7 | エイチ・アイ・エス（タイ子会社H.I.S. TOURS） 旅行 |
Web・アプリへの侵入 | 最大627人のパスポート情報（ローマ字氏名・署名名・性別・生年月日・旅券番号・有効期限）とアレルギー情報 原因：タイ子会社のネットワークに不正アクセスされ、ファイルサーバーからデータの一部が持ち出された（2025/12/11検知）。手口は非公表 |
公式 |
| 10/7 | 戸田建設 建設 |
Web・アプリへの侵入 | 従業員4,778人の氏名・住所・電話・メール・所属、取引先担当者メール最大7,200件、取引情報最大6,000件 原因：外部からの不正アクセス（10/1〜10/5に持ち出しの痕跡、10/5検知）。原因調査中 |
公式 |
| 10/7 | IDCフロンティア（IDCFクラウド） クラウド・データセンター |
ランサムウェア | 10/7 3:40頃から東日本第1リージョンの4ゾーンが停止し、495の企業・自治体に影響。データの取り出し・復元は困難。10/14に外部流出なしと判断、管理ポータルで48社の登録情報への不正照会を確認 原因：第三者による不正アクセス（同日夕方の第2報でランサムウェアと公表）。侵入経路は非公表 |
公式 |
| 10/7 | 日水物流（ニッスイグループ） 物流 |
委託先経由 | 入出荷が停止（報道では17拠点。10/9に一部再開、10/20に全拠点正常化）。影響を受けたサーバーに個人・顧客情報はなし（後報） 原因：委託先データセンターへの第三者の不正アクセスとみられる |
公式 |
| 10/7 報道日 |
富山県立大学 大学 |
メール乗っ取り | 学生1人のMicrosoft 365アカウントから迷惑メール1,092件を送信（8/23〜27）。ほかの情報漏えいは未確認 原因：学生PCのマルウェア感染でID・パスワードが盗まれた疑い |
報道 |
| 10/8 | オリックス生命保険 生命保険 |
委託先経由 | 延べ約26,500件（氏名・生年月日・住所・電話・メール・証券番号・問い合わせ内容。医療情報を含む可能性） 原因：委託先スカラコミュニケーションズへの不正アクセス |
公式 |
| 10/8 | ローソン（ローソンID・ローソンアプリ予約） 小売 |
Web・アプリへの侵入 | ローソンID 2,155,345件（メール・氏名・性別・電話・住所等）、アプリ予約26件（氏名・電話・カード番号の一部） 原因：ローソンアプリ関連システムを悪用（ローソンIDは9/12〜9/14、アプリ予約は9/17） |
公式 |
| 10/8 | ユーザベース（NewsPicks） メディア |
Web・アプリへの侵入 | 業務で利用する管理ツールに第三者が不正アクセス。氏名・勤務先・メール・住所・電話番号、カード名義・カード番号の下3〜4桁などが漏えいした可能性（10/9に第2報） 原因：業務管理ツールの脆弱性を悪用 |
報道 |
| 10/8 | 第一興商（ビッグエコー等） カラオケ・外食 |
委託先経由 | 約872万4,000件（顧客約863.1万件＝ビッグエコー約555.8万・DKダイニング約346.2万等、従業員約9.3万件）。氏名・性別・生年月日・メール・電話が漏えいのおそれ（外部流出は未確認） 原因：委託先従業員のPC1台が10/1〜10/2にマルウェアに感染 |
公式 |
| 10/8 | ライドオンエクスプレスHD（銀のさら・釜寅・すし上等！） 外食（宅配） |
委託先経由 | 最大約650万件（氏名・住所・電話・メール・性別・生年月日・パスワードハッシュ・注文履歴等）。注文受付を停止 原因：10/5に検知、10/7にサーバー運営会社からランサムウェア被害の連絡。運営会社名は非公表で、piyologはIDCF関連として整理 |
公式 |
| 10/8 | ハイホー（hi-ho） ISP |
不正ログイン | マイページへの不正ログイン38,509件（契約単位）。氏名・住所・電話・メール・契約・請求情報等が閲覧された 原因：「生年月日＋郵便番号＋電話番号」でログインできる方式を悪用。警視庁が競合の光回線代理店社員2人を逮捕 |
報道 |
| 10/8 | 八十二長野銀行 銀行 |
メール乗っ取り | メールアドレス35件が漏えいの可能性（ほかの項目は調査中） 原因：行員が受け取った外部からの不審メールが起点（10/7発生、10/8判明） |
公式 |
| 10/8 | KKR大手前病院 病院 |
メール乗っ取り | 職員等の個人情報が漏えいの可能性（件数非公表、患者情報は含まず） 原因：病院が使うメールアカウントへの第三者の不正アクセス（手口非公表） |
公式 |
| 10/9 | アドベンチャー（skyticket） 旅行予約（OTA） |
Web・アプリへの侵入 | 約1,464万人（うち約413万人はハッシュ化パスワード）、業務システム経由17,780件、バス予約約1.2万件。初報ではカード番号の流出なし→第2報でカード情報最大6,140人分 原因：管理機能の不正操作から他サーバー・クラウドへ到達（10/2〜10/4）、業務管理システムの脆弱性悪用（9/20）、ログイン不要の予約確認ページ（8/3〜10/1） |
公式 |
| 10/9 | ブックオフグループHD 小売（リユース） |
Web・アプリへの侵入 | 6,427,735件（6,383,279人）。氏名・住所・電話・生年月日・性別・メール・パスワードハッシュ・ポイントカード番号等 原因：第三者による不正アクセス（10/6確認）。脆弱性は修正済み |
報道 |
| 10/9 | リゾートトラスト 宿泊・会員制リゾート |
Web・アプリへの侵入 | グループ会員情報約26,000件、ザ・カハラ・ホテル＆リゾート横浜の予約情報約36,000件（メール・カード・口座・本人確認書類は対象外） 原因：管理するWebサイトへの不正アクセス（10/5不具合、10/6確認）。手口は非公表 |
報道 |
| 10/9 | ディップ（バイトル・バイトルNEXT） 人材 |
Web・アプリへの侵入 | 最大3,885,771件のメールアドレス（氏名・電話・パスワード・カード情報は含まず） 原因：海外の攻撃者がシステムの一部仕様の不備を悪用（10/6確認） |
公式 |
| 10/9 | ココナラ（ココナラスキルマーケット） ネットサービス |
Web・アプリへの侵入 | 履歴書449件・職務経歴書関連1,845件 原因：10/8に不正アクセスを検知・遮断後、再度の侵入で持ち出し。脆弱性を再点検し修正 |
公式 |
| 10/9 | コミューン（Commune／Commune for Work） SaaS |
Web・アプリへの侵入 | 約30.7万人（推定）。ヤマハ、スズキ、Sansan、パナソニック等に波及 原因：全コミュニティ共通のログイン署名鍵を入手し、管理者になりすました（10/6確認） |
報道 |
| 10/9 | LINEヤフー（DS.LAB） IT |
委託先経由 | DS.LAB利用者約1,750人の氏名・メール・ニックネーム等 原因：委託先コミューンのシステムの不備を悪用 |
公式 |
| 10/9 | ちとせグループ（ちとせアカデミー） バイオ |
委託先経由 | 最大843人の氏名・フリガナ・性別・メール・プロフィール等 原因：Communeで全コミュニティ共通の署名鍵を悪用した管理者なりすまし |
公式 |
| 10/9 | JR東日本（えきねっと・大人の休日倶楽部） 鉄道 |
委託先経由 | 最大で、えきねっと約167万件（メール）、大人の休日倶楽部約39万件（メール・会員番号・カード有効期限・生年月日）。10/15に委託先から流出なしと報告 原因：IDCFへの不正アクセス |
公式 |
| 10/9 | ビューカード（VIEW's NET） クレジットカード |
委託先経由 | メールアドレス約403万件（カード番号は対象外）。後に流出なしと報告 原因：IDCFへの不正アクセス |
公式 |
| 10/9 | JR九州（Web会員） 鉄道 |
委託先経由 | 最大約130万件のメールアドレス・メール配信ログ（10/15に流出確認されず） 原因：IDCFへの不正アクセス |
公式 |
| 10/9 | Peach Aviation 航空 |
委託先経由 | 旅程メールシステム内の約189万件（メール・ローマ字氏名・電話・予約番号・旅程）。外部流出は未確認、国交省へ報告。カード・旅券情報は保存なし 原因：IDCFクラウドへのランサムウェア攻撃 |
公式 |
| 10/9 | エネコム 通信（ISP） |
Web・アプリへの侵入 | 複数ファイルの外部流出の形跡。顧客情報を含む可能性（件数非公表） 原因：外部から社内ネットワークへの不正アクセス（10/6確認） |
公式 |
| 10/12 | 東武レジャー企画（東武動物公園） レジャー |
委託先経由 | 問い合わせフォーム最大約600件 原因：IDCFの被害 |
報道 |
| 10/13 | アルカディア（SpeeCAN RAIDEN／NET119／119RAIDEN） 防災情報配信 |
Web・アプリへの侵入 | 推計でSpeeCAN RAIDENのメール約313.6万件・電話約10.5万件・FAX約1.5万件、NET119 9,020件、119RAIDENメール約9.7万件。10/13にフィッシングメール1,423,428通を送信 原因：添付ファイル用サーバーのパストラバーサルで設定ファイルの秘密鍵を入手し、ブルートフォースでセッションを取得（10/11侵入、piyologによる） |
公式 |
| 10/13 | 大分県 自治体 |
委託先経由 | 防災メール登録アドレス最大27,667件 原因：配信事業者への不正アクセス |
公式 |
| 10/13 | 横須賀市 自治体 |
委託先経由 | 防災メール47,065件、防災FAX996人、防災電話11人、防犯メール10,848件の登録者情報（各サービスの登録件数で、漏えい確定件数ではない） 原因：SpeeCAN RAIDENへの第三者の不正アクセス（10/11） |
公式 |
| 10/13 | Fivot（IDARE） フィンテック |
Web・アプリへの侵入 | 2026/9/27までの登録者129,659人の電話・メール・生年月日・残高・取引履歴等（一部は氏名・住所・本人確認書類番号等も） 原因：カスタマーサポート等に使う外部ソフトの脆弱性を悪用（8/10〜9/27に複数回） |
公式 |
| 10/13 | NEXT STAGE（Qualiz・ACRO5） 建設向けIT |
Web・アプリへの侵入 | 最大約4万件（取引先・監査員の氏名・電話・メール等） 原因：脆弱性が公表されていたMetabaseで、不正なアカウントを使いDBを閲覧（9/22〜10/9） |
公式 |
| 10/13 | JR九州フードサービス（Toypoアプリ） 外食 |
委託先経由 | 会員約61,500人のうち約26,900人（ユーザーID・電話・任意登録の氏名・メール・住所・生年月日等） 原因：トイポ社の一部APIの脆弱性を突いた不正アクセス（10/4検知、修正済み） |
公式 |
| 10/13 | ゴルフダイジェスト・オンライン EC・メディア |
Web・アプリへの侵入 | 10/13第1報ではシステム障害（クーポン・配送・プレー券購入）で、個人情報の流出は未確認。続報では社内メール・氏名1,789件のファイルがダウンロード、会員情報55件が照会されたとされる 原因：第三者の不正アクセス。経路は未特定 |
公式 |
| 10/13 | 東日本三菱自動車販売 自動車販売 |
メール乗っ取り | なりすましメール825件。宛先の氏名・メールが流出、過去のメール内容が閲覧された可能性 原因：社員のMicrosoft 365への不正ログイン（手口は未特定） |
公式 |
| 10/13 | DCMホールディングス（マイボ） ホームセンター |
Web・アプリへの侵入 | 会員419人の会員番号・メール・会員ステージ・ポイント情報等。アプリ全体を10/9から停止 原因：9/21から異常な大量アクセス（10/8にログ確認）。手口は非公表 |
公式 |
| 10/13 | スカパーJSAT（スカパー！メンバーズ） 放送 |
委託先経由 | 会員・元会員のメールアドレスが漏えいの可能性（件数非公表）。10/16に流出なしと結論 原因：IDCFのクラウド基盤への不正アクセス |
公式 |
| 10/13 | NTTExCパートナー 教育 |
委託先経由 | クラウド型学習管理システムの一部利用者のメールアドレス（piyologでは最大約9万件、流出は未確認） 原因：IDCFへの不正アクセス |
公式 |
| 10/13 | JR東海 鉄道 |
委託先経由 | 約15,000件（流出は未確認） 原因：IDCFへの不正アクセス |
報道 |
| 10/14 | 静岡市 自治体 |
委託先経由 | 市民のメール34,336件、職員6,915件（氏名・職員番号・所属） 原因：委託先アルカディアへの不正アクセス |
公式 |
| 10/14 | アエナ（ECアプリ） EC |
Web・アプリへの侵入 | 最大817,215人のマイページ情報（氏名・住所・電話・メール・生年月日・配送先・カード下4桁・有効期限・名義）が閲覧された可能性 原因：不正な経路からの機械的な連続アクセス（10/13にログで確認） |
公式 |
| 10/14 | イズミ（ゆめオンライン等） スーパー |
委託先経由 | 最大約40万件の氏名・メール（暗号化）。流出は未確認 原因：IDCFクラウドへのランサムウェア攻撃 |
公式 |
| 10/14 | マウスコンピューター PCメーカー |
委託先経由 | 約42万件のメールアドレスと配信ログ（9/5〜10/6）。流出は未確認 原因：IDCFのクラウド基盤への不正アクセス |
公式 |
| 10/14 | Lili ネットサービス |
Web・アプリへの侵入 | 会員最大約98,256人（本人確認書類画像は最大7,261人）、登録途中離脱者約10,223人、問い合わせ1,364件。パスワードは平文で流出した可能性が高い 原因：プログラムの不備で7/11〜10/6に侵入し、パスワードを読み取るプログラムを設置。10/11に管理ツール経由で再侵入 |
公式 |
| 10/15 | ソースネクスト ソフトウェア |
Web・アプリへの侵入 | 最大22,519,960件（メール・パスワード・氏名・住所・電話・生年月日・勤務先等）。10/20にパスワードが平文で読める状態だったと公表。ケーブルテレビ等8社の利用者にも波及（rocket-boys） 原因：会員情報取得APIの悪用（10/9 10時頃〜10/13 13:36） |
公式 |
| 10/15 | ビーケー・ジャパン（バーガーキング公式アプリ） 外食 |
Web・アプリへの侵入 | 約1,118万件（会員ID・メール・氏名・電話・生年月日・都道府県等） 原因：10/2〜10/7のアクセス（10/13判明）。原因調査中 |
報道 |
| 10/15 | メドレー（@link） 医療IT |
Web・アプリへの侵入 | 最大787医療機関の患者情報が漏えいの可能性。10/14深夜からサービス停止 原因：外部専門機関から10/11に指摘。原因調査中 |
公式 |
| 10/15 | エムスリー（MR君） 医療IT |
Web・アプリへの侵入 | 医師会員の1割未満と製薬企業社員数百人の氏名・勤務先・一部メール 原因：10/14確認。原因調査中 |
公式 |
| 10/15 | 大和総研（内藤証券「Financial Plate/WB4」の運営） IT・金融 |
委託先経由 | 最大631人の氏名・住所・電話・メール・証券口座番号・勤務先・出金先口座。不正出金・取引は未確認 原因：10/14 4:46〜6:56にWebサーバーへ不正アクセス、一時DBへ到達。不正プログラムを除去 |
公式 |
| 10/15 | 工房（発車オーライネット） バス予約IT |
委託先経由 | 最大8,341件（5,614人）のカナ氏名・電話・予約内容（乗車日7/16〜11/29分）。各地のバス事業者が公表（例：イルカ交通258件、中国バス17件） 原因：提携用APIサーバーへの不正アクセス（9/16〜9/19、10/13検知） |
公式 |
| 10/15 | ACCESS（台湾子会社のEC支援「CROS」） IT |
Web・アプリへの侵入 | 顧客ID155,280件、注文ID231,998件、カード情報1,305アカウント（全項目4件、セキュリティコード以外1,301件）。盗まれたメール送信キーで不正メール11,441通（台湾・香港・マカオ・シンガポール） 原因：特定取引先向けBIツールをアプリケーションレベルで悪用（9/11検知） |
公式 |
| 10/16 | NTTソルマーレ（コミックシーモア） 電子書籍 |
Web・アプリへの侵入 | 会員のメール・ハッシュ化パスワード・生年月日・性別・ニックネームが流出。10/22の報道で最大約420万件 原因：10/15に外部からのアクセスを判断しサービス停止、10/16に不正アクセスと流出を確認。経路を特定・遮断済み |
報道 |
| 10/16 | ファンケル・アテニア 化粧品（EC） |
Web・アプリへの侵入 | ファンケル393,785件（368,184人）、アテニア441,162件（417,312人）。メール・氏名・住所・電話・生年月日・顧客番号等。メインのパスワードとカード情報は対象外 原因：10/3〜10/10にECサイトの機能を悪用（10/15判明） |
公式 |
| 10/16 | Studio SaaS（Web制作） |
Web・アプリへの侵入 | アカウント情報（ハッシュ化パスワード含む）、フォーム送信内容、CMS・デザインデータ、APIキー等が取得された可能性。約90組織に波及（Studioまとめ行を参照） 原因：一部機能の脆弱性を悪用（9/30〜10/1）。10/13検知、10/14に修正 |
公式 |
| 10/16 | 日本経済新聞社（開発用クラウド） 新聞・メディア |
不正ログイン | 約183万件（氏名・メール・住所・電話・生年月日のいずれかを含むものは約15万件、識別子のみ約168万件） 原因：開発用クラウドの認証情報を窃取され、10/7に不正アクセス |
公式 |
| 10/16 | 岩井コスモ証券 証券 |
委託先経由 | 4,611人→10/20第2報で4,975人の氏名・メール。7口座で意図しない売買注文、うち5口座で約定（10/14に原状回復） 原因：委託先システムの一部管理機能の設定不備を悪用 |
報道 |
| 10/16 | 三井住友DSアセットマネジメント（投信直販ネット） 資産運用 |
委託先経由 | 予防措置としてログインを約10時間10分停止。口座・取引への影響は未確認 原因：取引処理委託先への不正アクセス（委託先名は非公表） |
報道 |
| 10/16 | ワサビ（WASABI SWITCH） 注文システムIT |
Web・アプリへの侵入 | 利用店舗の注文情報等が流出（件数調査中）。返金を装う不審メールを確認 原因：10/14の不正アクセスで流出、マルウェアを除去。10/16に別原因の不正アクセス |
公式 |
| 10/16 | Astemo 自動車部品 |
委託先経由 | 約350人（従業員・取引先等の氏名・メール・電話・所属） 原因：委託先社員のアカウントで共有クラウドへ侵入（9/2頃から不審なMFA通知） |
公式 |
| 10/16 | ジャパン・アーツ 音楽事務所 |
メール乗っ取り | 連絡先5,376件（氏名・メール）が窃取され、なりすましメールを送信 原因：フィッシングで認証情報を入力し、デバイス承認もした（10/13） |
公式 |
| 10/17 | 上新電機（ジョーシン） 家電量販 |
Web・アプリへの侵入 | 一部サービスを停止。個人情報の漏えいは否定できず、個人情報保護委員会へ速報 原因：10/16検知。調査中 |
公式 |
| 10/17 | セカンドリテイリング（ゲオ・セカンドストリート） リユース |
Web・アプリへの侵入 | 10/17からアプリ・オンラインストア等を停止。10/19第2報時点で外部流出は未確認 原因：10/15に社内システムへの不正アクセスを確認。侵入経路は非公表 |
報道 |
| 10/17 | 石川コンピュータ・センター IT |
Web・アプリへの侵入 | サポートサイトを停止しサーバーを遮断。漏えいの有無は非公表 原因：10/16確認。調査中 |
公式 |
| 10/17 | デジサポート（DIGYM） IT |
Web・アプリへの侵入 | 全サイトへのアクセスを遮断。個人情報流出の可能性 原因：調査中 |
公式 |
| 10/17 | リクルート（カーセンサー・C-MATCH） 情報サービス |
Web・アプリへの侵入 | 10/21に最大3,709,551件と公表（問い合わせ利用者3,210,421、口コミ5,289、販売店483,168、社員等10,673）。カード情報・パスワードは対象外 原因：10/17に不審なアクセスを検知し関連サービスを停止。原因調査中 |
公式 |
| 10/18 | 日本サッカー協会（JFA Passport） スポーツ団体 |
Web・アプリへの侵入 | 一部機能を停止。影響は調査中（10/21に「漏えい等なし」と報道（見出しのみ確認）） 原因：10/17 3:25〜19時頃の不正アクセス。サービス提供事業者と経路を遮断 |
公式 |
| 10/18 | ビジネステック（足利市の斎場予約システム） IT・自治体 |
委託先経由 | 約8,800人分の漏えいのおそれ（項目調査中） 原因：不正なDB照会と、お知らせ欄への不正データ追加を確認（10/15） |
公式 |
| 10/19 | ニフティ ISP |
Web・アプリへの侵入 | 初報で最大542,513件→10/21第2報で最大1万8,000件（@nifty光のWeb以外の申込者。会員ID・氏名・性別・生年月日・住所・電話。メールは対象外に訂正） 原因：外部からの不正アクセス（10/19 10:20頃確認） |
報道 |
| 10/19 | 阪急阪神百貨店（H2O ID） 百貨店 |
Web・アプリへの侵入 | H2O ID会員約126万人のほぼ全件（氏名・性別・メール・住所・電話・生年月日等）が流出。E-STORES・Remo Orderはカード情報の一部（下4桁等）を調査中 原因：予約サイト（10/16確認）とEC（10/17確認）への不正アクセス。原因調査中 |
公式 |
| 10/19 | ユミルリンク（Cuenote FC） メール配信SaaS |
Web・アプリへの侵入 | 専用ASPプランの5システムから延べ約900万件（推計、メールアドレス等）を出力 原因：プログラムの脆弱性を突いてサポート・品質管理担当者の認証情報を窃取し、不正プログラムを設置（10/16検知） |
公式 |
| 10/19 | クリプトン・フューチャー・メディア 音楽EC |
Web・アプリへの侵入 | SONICWIRE最大約42万件（氏名・メール・ハッシュ化パスワード等）、D2Rは店舗ごとに連絡 原因：10/17に確認。原因調査中 |
公式 |
| 10/19 | 日本貿易振興機構（ジェトロ） 独立行政法人 |
Web・アプリへの侵入 | 企業名・担当者メールアドレス743件の流出を確認。一部サイトを10/17から停止 原因：10/14から不正アクセスを確認。原因調査中 |
公式 |
| 10/19 | 日本郵便（ゆうID） 郵便 |
不正ログイン | 249アカウント（1アカウントは保存住所83件）。10/20から2段階認証を必須化 原因：他サービスで流出したパスワードの使い回し（10/15検知） |
報道 |
| 10/19 | 東邦ホールディングス（子会社エンタッチ） 医薬品卸 |
Web・アプリへの侵入 | リモートディテーリングサービスのDBから医療関係者の個人情報が流出（件数調査中） 原因：DBへの不正アクセス（10/13検知）。まとめサイトではランサムウェア攻撃者によるものとされる |
報道 |
| 10/20 | NEC（委託先経由） IT |
委託先経由 | 複数顧客でサーバー上のファイルが暗号化されシステムが停止、情報共有用クラウドストレージから個人情報を含むファイルが流出（件数は非公表）。大阪公立大学・大阪大学が関連公表 原因：委託先が9月下旬に攻撃を受け、盗まれた正規アカウントで委託先端末から顧客環境へアクセス |
公式 |
| 10/20 | トラストバンク（ふるさとチョイス） ふるさと納税 |
Web・アプリへの侵入 | 4,454,097件の流出を確認（氏名・メール・住所・電話・ハッシュ化パスワード・寄附控除の試算額） 原因：10/17に侵入、10/19に検知。関連する脆弱性に対応中 |
公式 |
| 10/20 | 燦ホールディングス（たまのや・喜月堂セレオ） 葬祭 |
Web・アプリへの侵入 | 購入者の氏名・住所・電話・メール・注文内容が漏えいの可能性（件数非公表。持ち出しの痕跡は未確認） 原因：9/10・9/11に不正アクセスを検知。不正アカウントを削除し攻撃元IPを遮断 |
公式 |
| 10/20 | Globee（abceed） 語学学習アプリ |
Web・アプリへの侵入 | 10,834アカウントのメール・ハッシュ化パスワード（うち90件はユーザー名も） 原因：関連システムの設定を悪用した不正アクセス（10/17検知） |
公式 |
| 10/20 | NTTPC 通信 |
委託先経由 | サービスに登録された連絡先メールアドレス等が漏えいの可能性（件数非公表） 原因：ユミルリンクのCuenote FCへの不正アクセス（10/19に連絡） |
公式 |
| 10/20 | 埼玉県（ぷらっとさいたま） 自治体 |
委託先経由 | 最大669人の企業名・担当者名・メール・業種等 原因：委託先が使うユミルリンクのメルマガシステムのサーバーへの不正アクセス |
公式 |
| 10/21 | 大阪大学 大学 |
委託先経由 | 77,851人（卒業生59,014、在学生15,035、教職員3,802）の氏名・大阪大学個人ID・大学発行メール・学籍番号等 原因：9/26にNECが共有したクラウドストレージ上のファイルを第三者がダウンロード。NECは契約外の再委託先と共有し、削除すべきファイルも保持していた。学内システムへの不正アクセスの痕跡はなし |
公式 |
| 10/21 | GMOインターネット（お名前.com デスクトップクラウド） クラウド・ホスティング |
Web・アプリへの侵入 | 最大26,739台のサーバーで保存情報が閲覧された可能性。10/21 4時から全プランのサーバーを停止。同社保有の個人情報の漏えいは未確認 原因：第三者の不正アクセスで一部顧客のサーバー環境に不正プログラムを設置（10/20確認） |
公式 |
| 10/21 | PingCAP（TiDB Cloud） クラウドDB（外資・日本法人あり） |
不正ログイン | 日本で最大約5万件（TiDB Cloudのアカウント情報、取引関連の連絡先・契約条件、APIキー公開鍵部分（暗号化）等）。TiDB Cloud本体への侵入とカード情報の漏えいはなし 原因：不正に取得されたアカウント認証情報で社内システムへアクセス（米国時間9/9〜10/7） |
公式 |
| 10/21 | フューチャーショップ（futureshop） EC構築SaaS |
Web・アプリへの侵入 | サーバー4台（c02・c05・c12・g06）をメンテナンスモードにし、該当店舗のECサイト・管理画面が利用不可。影響範囲は調査中 原因：10/21 10:14頃に一部サーバーへの第三者の不正アクセスを確認 |
公式 |
| 10/21 | イオン（グループ各社の一部サイト） 小売 |
Web・アプリへの侵入 | 一部サイトが閲覧不可（報道ではグループ13社）。個人情報流出の有無は調査中 原因：調査中 |
報道 |
| 10/21 | ラクス（子会社ラクスライトクラウド「ブラストメール」） メール配信SaaS |
Web・アプリへの侵入 | 全契約顧客の会社名・担当者名・電話・メール・契約/支払履歴が持ち出され、一部顧客は配信リスト等も流出。10/21 0:30からサービス停止 原因：APIサーバー2台に侵入しコマンドを実行、営業管理システム・サービスDBに接続。侵入経路は調査中 |
公式 |
| 10/21 報道日 |
20府県警察（警察庁発表） 警察 |
委託先経由 | 警察官・職員等の個人情報12万件あまりが漏えいの可能性。NHKは事業者名を出していないが、rocket-boysの見出しはアルカディア経由で10県警・約7万4,800人とする 原因：委託先への不正アクセス |
報道 |
委託先の被害を受けて多数の組織が公表したもの
| 公表日 | 対象 | 内容 |
|---|---|---|
| 2026-08-02〜08-19 | ショップサーブ利用店舗（piyolog集計64組織ほか） | 期間内に公表：デザインフィル・アルインコ・ハリマ食品（ハリマ化成G、8/10第2報で漏えい確認）・大倉陶園・フランスベッド・プロギア・博多ふくいち・トヨダプロダクツ・シダックス中伊豆ワイナリーヒルズ・マルキユー・小西酒造ほか（8/2〜8/7中心）、日本製紙クレシア（8/19、8/7から対象者へ案内）。キングジム(9/4)・PFU(9/18)は期間外 |
| 2026-10-08〜10-16 | IDCFのその他の利用組織 | 東京酒粋（10/9）：氏名・メール・誕生月の一部（後に委託先が流出なしと結論）。高島屋（10/9）：流出は未確認。ジュン：10/14に流出なしと判断。レック／森のスパリゾート北海道ホテル：撮影データ等の流出可能性を否定できず。焼津市：約50件。湖西市：個人情報なし。そのほか多数の組織がサービス停止のみを公表 |
| 2026-10-16〜21 | Studioの利用組織（約90組織） | LUUP 21,368件、Ubie最大16,005件、Voicy 15,088件、クラウドワークス12,131件、ラクスル6,412件、TVer広告1,801件、和歌山県417事業者・1,749人（10/16）、神奈川県約85件（10/19）、東北電力フロンティア182件（10/17）、東邦ガス100件（10/20）、スカパーJSAT最大32件（10/20）、坂出市28件、江戸川区6人（10/21）、社会福祉法人伸生紀（10/16、件数非公表）、テリロジーHD子会社39件（10/21）など |
| 2026-10-13〜21 | アルカディアの利用自治体・消防・警察 | 10/14時点で総務省に111団体（6県・104市町村・1組合）が報告。県警職員の件数は愛知約1.5万、神奈川最大約1.6万、埼玉約1.3万、兵庫約1.3万、福岡約1.1万など。静岡市・横須賀市・大分県は本編に個別掲載 |
公表が報じられているものの、内容を確認しきれていない事例
次の事例は、公表されたことは報じられていますが、公式発表の本文を確認できなかったため、上の一覧と件数には含めていません。件数などの詳細は、各組織の発表をご確認ください。
| 時期 | 組織 | 報じられている内容 |
|---|---|---|
| 8月下旬 | M&Sフードサービス（宮本むなし 持ち帰り注文サイト） | 注文サイトの顧客情報が流出した可能性 |
| 9月 | さくらさくみらい | 委託先が使うクラウドへの不正アクセス |
| 9月 | JA遠州夢咲 | ホームページへの不正アクセスで一時閉鎖 |
| 9月 | 宮崎県（県立学生寮関連） | サポート詐欺による遠隔操作で寮生の情報が漏えいした可能性 |
| 9月 | 福山市 | ApplyNowの被害で応募者などの情報 |
| 9月 | 大東ガス、名張近鉄ガス | 両毛システムズの被害で顧客情報が漏えいしたおそれ |
| 9月 | カルビー（PhotoGoods） | 委託先経由で顧客情報が漏えいした可能性 |
| 9月 | 円谷プロダクション（ULTRA MART） | 委託先のデジタル整理券システムが改ざんされ、抽選結果に影響 |
| 9月下旬 | 粗供養ドットコム、絵具屋三吉、マンズワイン | ショップサーブの被害で購入者情報 |
| 9月下旬 | FIRST CABINなど手間いらず利用の宿泊施設 | 予約者への不審メッセージと宿泊者情報の流出の可能性 |
| 9月末 | クオカード（LINE公式アカウントのキャンペーン） | キャンペーンシステムへの不正アクセス |
| 10/18〜 | パピレス（Renta!） | 不正アクセスの可能性でサービスを停止 |
| 10/19 | ジグザグ（WorldShopping） | 海外の顧客情報への不正アクセス |
| 10/19 | 楽待 | 加盟店経由の不正アクセス |
| 10/20 | 幼児活動研究会 | 社内ネットワークへの不正アクセス |
| 10/21 | デジタルアーツ | クラウドサービスの運用用の認証情報が盗まれ、一部顧客の情報が閲覧された可能性 |
主な続報
件数や原因は、続報で大きく変わることがあります。この期間に出た主な続報です（見出ししか確認できなかったものは除いています）。
| 続報の日付 | 組織 | 続報の内容 | 出典 |
|---|---|---|---|
| 9/2 | トレジャー・ファクトリー（子会社カインドオル） | 初報8/28。専用窓口設置、顧客情報ファイルの一括エクスポートを確認 | 公式 |
| 9/3 | シーイーシー | 8月の東京第2DC被害。最終報で情報漏えいなし | 報道 |
| 9/7 | 武蔵野大学 | 初報6/15。共有フォルダの複数ファイル流出を確認 | 報道 |
| 9/7 | コープやまぐち（LINEミニアプリ） | 初報8/28。第二報で217,295件が対象（DB全削除はバックアップで復旧） | 公式 |
| 9/8 | ファイブフォックス | 初報7/14。第二報で最大73,185件 | 報道 |
| 9/11 | REXT Holdings／REXT | 初報8/10。第4報で流出の可能性ある情報の一部がネット上に掲載 | 報道 |
| 9/14 | 日本化粧品工業会（JCIA） | 職員1名のM365アカウントが侵害されフィッシングメールを大量送信、一部メールが持ち出され個人情報漏えいの可能性（rocket-boys集計ではフィッシング4,026件・持ち出し475件） | 公式 |
| 9/15 | ムラウチドットコム | 初報7/24。第二報で7,716,811件の顧客情報持ち出し | 報道 |
| 9/17 | シンカ（カイクラサービス紹介サイト） | 初報8/28。調査結果、情報取得を可能にする不正プログラムを確認、外部送信の形跡なし | 報道 |
| 9/18 | ニチレイ | 初報7/13。第7報で53,866件（配送先3,308・取引先6,849・従業員等43,709）の漏えい確定 | 報道 |
| 9/24 | EPARKリラク&エステ（PeakManager） | 初報7/31（約3,300万レコード）。9/24の第二報で精査の結果約2,218万レコードと確認。備考欄の健康状態など要配慮個人情報を一部含む | 公式 |
| 9/25 | 両毛システムズ | 8月に初報。第3報でランサムウェア攻撃と確定、顧客（大東ガス・伊勢崎市・名張近鉄ガス）にも影響 | 報道 |
| 9/29 | タイムズモビリティ | 運転免許証画像などの本人確認書類が漏えいしたアカウントは約160万件と公表（全体は約660万アカウント） | 公式 |
| 9/30 | VOISING | 初報8/18。第四報で約17万件の漏えい確認 | 報道 |
| 9/30 | 八王子学園八王子中学校・高等学校 | 第2報。サーバ全ファイル・一部職員端末が暗号化、個人データ漏えいは未確認 | 報道 |
| 10/1 | 佐川急便 | 10/1の第2報で約100日分の荷主・届け先情報が漏えいの可能性。10/9に第4報。委託元のユニ・チャーム、仙北市などが公表 | 報道 |
| 10/2 | 日本エネルギー経済研究所 | パスポート情報13人分の漏えいを確認など | 報道 |
| 10/2 | ムーンスター | オンラインストア利用者全員の氏名・住所・電話・メール・注文履歴が流出の可能性（件数非公表、カード情報は保有せず）。顧客宛てのなりすましメールに過去の注文情報 | 報道 |
| 10/5 | ホワイトエッセンス | 約105万アカウント | 公式 |
| 10/6 | 楽天ドライブ | 調査結果として、15,382アカウントの保存ファイル（1/29〜9/17）、687アカウントのアカウント名等、313アカウントの暗号化パスワード等が閲覧されたと公表（初報7/30） | 公式 |
| 10/9 | 手間いらず | 最大約445万人分の予約情報（氏名・電話・メール・宿泊施設名・日程・料金）が閲覧・取得された可能性 | 公式 |
| 10/14 | ユニリタ | 10/12に攻撃者がデータを公開し、10/14に自社情報が含まれることを確認 | 公式 |
| 10/14 | ポータス | 第3報 | 公式 |
| 10/16 | ヤマト運輸 | 10/16の第4報で利用者情報約526万件、配送先約5万件などの持ち出しを確認 | 公式 |
| 10/16 | Eストアー（ショップサーブ） | 最終報で約2,335.6万人（購入者・店舗運営者・アフィリエイターの合計）・7,858店舗。カード情報の一部を含む人は約209.69万人 | 公式 |
| 10/17 | ハッピーキャット（猫カフェ 猫ちゃんといっしょ） | 2020/1/8〜2025/1/31の予約情報（氏名・電話・メール・予約内容）が取得された（件数調査中） | 公式 |
よくある質問
不正アクセスの被害はどれくらい起きていますか？
この記事の調査では、2026年7月22日から10月22日までの3か月で、国内の企業・団体による公表が283件確認できました。公表されていない被害もあるため、実際はこれより多いと考えられます。警察庁によると、ランサムウェアの被害だけでも2026年上半期に123件の報告がありました。
中小企業も狙われますか？
狙われます。警察庁の統計では、2026年上半期のランサムウェア被害のうち約6割が中小企業でした。また、委託先や利用しているサービスが攻撃されると、規模に関係なく被害を受けます。
自社のホームページが改ざんされていないか、どう確かめればよいですか？
スマートフォンとパソコンの両方でサイトを開き、見覚えのない広告や警告画面、外部サイトへの移動がないかを確認してください。あわせて、管理画面のログイン履歴や、ソフト・プラグインが最新かどうかも確認します。
利用しているサービスで漏えいが起きたら、何をすればよいですか？
まずサービス提供元の発表で、自社のどの情報が対象かを確認します。個人情報が含まれる場合は、本人への連絡や個人情報保護委員会への報告が必要になることがあります。パスワードの変更や、なりすましメールへの注意喚起もあわせて行ってください。
最初に取り組むべき対策は何ですか？
①インターネットに公開しているシステムを一覧にして古いものを止める、②ソフトとVPN機器を最新にする、③メールと管理画面に多要素認証を設定する、の3つが基本です。IPAの注意喚起でも、外部に公開しているシステムの洗い出しとログの確認が、速やかに行う点検の最初に挙げられています。
出典
- 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月10日）
https://www.npa.go.jp/publications/statistics/cybersecurity/index.html - JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日）
https://www.jpcert.or.jp/at/2026/at260030.html - JPCERT/CC Eyes「連続不正アクセス事案の攻撃手法に関する調査」（2026年10月15日）
https://blogs.jpcert.or.jp/ja/2026/10/web_api_attacks.html - IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
https://www.ipa.go.jp/security/security-alert/2026/alert20261009.html - 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）
https://www.ppc.go.jp/news/careful_information/261007_alert/ - 内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
https://www.cyber.go.jp/pdf/press/taiou.pdf - 東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」（2026年10月7日）
https://www.tsr-net.co.jp/data/detail/1203305_1527.html
各事例の出典は、月別の一覧の「出典」欄に載せています。
※本記事は2026年10月22日までの公開情報にもとづいています。調査では公式発表と報道を照らし合わせましたが、すべての公表を網羅できているとは限りません。件数・原因は各組織の続報で変わることがあります。被害を受けた組織を非難する意図はありません。
あわせて読みたい
サイト・システムの点検のご相談
「うちのサイトは大丈夫？」から
お気軽にご相談ください
株式会社仁頼は、Webサイトの制作・改善と、検索・AI検索からの集客を支援しています。公開しているシステムの洗い出しや、WordPressの更新・保守の進め方からご相談いただけます。
相談・見積もりは無料です。
この記事を書いた人
齊藤一樹
代表取締役/Webマーケター
株式会社仁頼 代表取締役。横浜市在住。 2018年からデジタルマーケティング業界に携わり、Google広告・SEO・コンテンツマーケティングを中心に8年以上の実務経験を持つ。これまでに制作した記事は9,000本以上、70名を超える専門ライターとのチーム体制で、幅広い業界のWebマーケティングを支援してきた。 2022年9月に株式会社仁頼を設立。「受けた御恩を忘れず、信頼を得られるよう迅速かつ最適な対応をする」という信念のもと、SEO・広告運用・サイト制作などのマーケティング支援を行っている。 近年は、ChatGPTやPerplexityなどのAI検索でサイトが引用される「GEO（生成エンジン最適化）」の分野にいち早く注力。自社サービス「GEO Hack」を通じて、AI時代の新しい集客手法を企業に提供している。 「難しいことをわかりやすく、小さな会社にも大きな成果を」をモットーに、日々クライアントと伴走中。
