【号外】【2026年9月・10月】相次ぐ不正アクセス・情報漏えい まとめ65選

2026年9月の終わりから10月にかけて、不正アクセスや情報漏えいの発表が相次いでいます。被害に遭われた企業様の名前を見ると、カーシェア、鉄道、ファストフード、コンビニエンスストア、宅配寿司、旅行予約、求人サイトと、普段から利用しているサービスの名前が並んでいることが分かります。

10月に入ってから特に目立ったのは、問い合わせの管理やコミュニティの運営、防災メールの配信、クラウドなど、企業が外部業者に任せていたサービスが不正アクセスを受け、そこに預けていた顧客情報が漏えいした可能性がある、という発表です。自社で対策をしていても、情報を預けている委託業者が狙われれば、自社のお客様の情報にも影響が出てしまいます。利用者として自分の情報が含まれていないかだけでなく、自社の顧客情報を預けている業務委託先を見直す材料としても、ぜひ読んでいただければと思います。

今回は、2026年9月に発表のあった事例16件と10月に発表のあった49件をそれぞれ一覧で示した後、主な事例の内容を見たうえで、最後に企業が今すぐ確認すべき点をまとめています。なお、以下の一覧の「状況」欄は、各社・各団体の発表の言葉を借りて書き分けています。「漏えいした」「していない」だけではない書き方（「閲覧・取得された可能性」「外部への送信を確認」など）もありますが、これは発表時点での書き方をそのまま使っているためです。

^{※ 10月分は、2026年10月15日までに公表された各社・各団体の発表を基にしています。}

^{※ 本記事の内容は各社・各団体の発表当時の情報です。}

^{※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。}

まずは2026年9月末から2ヶ月分さかのぼって、影響範囲が大きいと思われる漏えい事例を16件まとめて一覧にしました。発表日の新しい順に並べており、続報があったものはその日付を記載しています。いちばん右の列には、各社の発表へのリンクを載せています。

続いて、2026年10月1日から15日までに発表または続報があった事例を49件まとめて一覧にしました。こちらも発表日の新しい順に並べており、続報があったものはその日付で載せています。

ここからは、主な事例の発表内容を見ていきます。10月分は件数が多いため、漏えいの規模が大きかったものや、委託先・クラウドサービスを経由して複数の企業・自治体に影響が広がったものを中心に、13件に絞って紹介します。そのほかの事例は、上の一覧と各社の発表をご確認ください。

ビーケー・ジャパンは10月15日、同社が運営するバーガーキング公式アプリが第三者による不正アクセスを受け、公式アプリ会員の会員情報が外部に漏えいしたことを確認したと発表しました。10月2日から7日にかけて不正アクセスが行われ、13日に会員情報の漏えいが判明したとのことです。対象は約1,118万件で、会員ID、メールアドレス、氏名（漢字・カナ）、電話番号、性別、生年月日、都道府県などが含まれます。クレジットカード番号は同社で保持しておらず、ログインパスワードの漏えいも現時点では確認されていないとしています。

ソースネクストは10月15日、会員情報を管理するシステムが第三者による不正アクセスを受け、会員の個人情報が外部に流出したと発表しました。10月13日9時ごろに不正アクセスを確認し、同日13時36分までに封じ込めを終えたとのことです。その後の調査で、10月9日10時ごろから会員情報取得API（システム同士で情報をやりとりする仕組み）が不正に利用され、会員の情報が取得されていたことが分かっています。流出した可能性がある件数は22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などが含まれます。登録状況によって対象の項目は異なり、クレジットカード情報は対象のシステムに保存されていなかったとしています。

IDCフロンティアは10月7日、クラウドサービス「IDCFクラウド」の一部が第三者からの不正アクセスを受け、障害が発生していると発表しました。障害の影響を受けたのは495の企業・自治体です。10月14日の第5報では、障害が起きたゾーンの仮想サーバー内のデータについて、照会や外部への持ち出しを示す痕跡は確認されず、外部へのデータの流出はなかったと判断したとのことです。一方で、仮想サーバーの起動や請求情報の確認に使う「IDCFクラウドポータル」では、48社の登録情報が不正に照会されていたことも確認されています（外部へ持ち出された痕跡はないとしています）。

このクラウドを利用していた企業の中には、10月9日に「漏えいの可能性」を発表したJR東日本やJR九州があります。両社は10月15日、JR東日本は「漏えいがなかったと判断したとの報告を受けた」、JR九州は「漏えいの事実は確認されなかった」と、それぞれ発表を更新しています。また、物流子会社の日水物流で入出荷ができなくなっていたニッスイは、10月14日の第3報で、被害を受けたサーバーにニッスイグループが管理する個人情報や顧客情報は含まれていないと説明しています。日水物流は10月9日に一部の入出荷業務を再開しており、IDCフロンティア以外のサーバーを使った新しいシステムの構築を進めているとのことです。

GMOリサーチ＆AIは10月14日、アンケートサイト「infoQ」への不正アクセスについて第2報を発表しました。第1報で最大94万8,498件としていた件数は、外部に持ち出された個人情報として89万4,082件に確定したとのことです。対象は氏名、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワードなどです。また、611件・計2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換されていたことも確認されており、同社は全額を補填するとしています。原因は、サイトで使っていたソフトウェアの脆弱性を悪用されたことです。

ライドオンエクスプレスホールディングスは、「銀のさら」「釜寅」「すし上等」の公式サイト・公式アプリの登録情報を保管していたサーバーがサイバー攻撃を受け、個人情報が漏えいした可能性があると発表しました。10月7日早朝、サーバーの運営会社からランサムウェア攻撃を受けたとの報告があり、保管を委託していたデータは取り出しや復元が困難な状況とのことです。対象は最大約650万件で、氏名、住所、電話番号、メールアドレス、生年月日、パスワードのハッシュ値、注文履歴などが含まれます。この件数は漏えいした可能性のある総件数で、漏えいが確定した件数ではないと注記されています。公式サイト・アプリからの注文は止まっていますが、電話や店頭、出前館、Uber Eatsでは注文できます。

自治体などが利用する一斉配信サービス「SpeeCAN RAIDEN」を運営するアルカディアは2026年10月13日、第三者による不正アクセスを受け、個人情報が漏えいした可能性があると発表しました。同社によると、10月11日に不審な挙動を確認し、13日に侵入経路となっていたSpeeCAN RAIDENの一部の環境と、同社の「ライデン・スクール」の環境を緊急停止したとのことです。漏えいの可能性は停止した環境だけでなく、ほかの環境にも及ぶとしています。対象となり得るのは最大でメールアドレス約313万6,000件、電話番号約10万5,000件、FAX番号約1万5,000件で、いずれも推定値です。このほか、連絡先の氏名や担当者、契約情報、履歴に保存されている本文なども含まれる可能性があるとしています。なお、クレジットカードなどの決済情報はもともと扱っていないため、対象外と説明しています。

10月14日には、同社の「NET119」と「119RAIDEN」でも不正アクセスの形跡が見つかったと発表しました。漏えいの可能性があるのは、NET119では利用者の氏名や生年月日、住所などの最大約1万3,000件、119RAIDENではメールアドレス約9万7,000件などです（NET119の映像通報は対象外）。この2つのサービスは停止しておらず、通常どおり利用できるとのことです。また、不審なメールなどの二次被害に備え、サービスを利用している自治体などの管理者に対し、登録者へ注意を呼びかけるよう求めています。

緊急停止していたSpeeCAN RAIDENとライデン・スクールの環境は15日に復旧しましたが、漏えいの範囲は引き続き調査中とのことです。

アドベンチャーは、比較予約サイト「skyticket」のシステムが、経路の異なる3件の不正アクセスを受けたと発表しました。最も規模が大きいのはサーバーへの不正アクセスで、10月2日から4日にかけて約1,464万件の顧客情報が流出したとのことです。対象は氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、住所などで、そのうち約413万件にはハッシュ化したログインパスワードも含まれます。ほかに、業務管理システムの脆弱性を悪用された件（17,780件。返金先の口座情報などが流出した、または流出した恐れ）と、バスの予約完了ページが機械的に閲覧された件（予約約12,000件）も公表されています。クレジットカード番号とパスポートの画像は保存しておらず、流出していないとしています。

ブックオフグループホールディングスは10月9日、子会社の会員管理システムが第三者による不正アクセスを受け、会員情報が外部から取得されたと発表しました。10月6日に不正アクセスを確認し、10月4日から6日にかけて会員情報が取得されていたとのことです。10月13日の第2報では、会員情報が外部に送信されたことをシステムの記録で確認した会員データが6,427,735件（会員番号ベース）、同じメールアドレスで登録された複数の会員データを1人として数えた対象者が6,383,279人と発表しています。対象者のうち212,371人は退会した会員です。漏えいの対象は、アプリ会員、オンラインストア会員、Web会員の氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号です。会員カードだけを利用し、アプリやWebの登録をしていない人は対象に含まれないとのことです。クレジットカードなどの決済情報や銀行口座の情報は、対象のシステムで管理していないとしています。

コミューンは、企業や団体が会員向けのコミュニティを運営するためのサービス「Commune」「Commune for Work」が不正アクセスを受け、推計約30.7万人の会員情報が漏えいしたと発表しました。攻撃者はシステムの不備を利用して非公開コミュニティの招待リンクを不正に取得したほか、管理者になりすまして会員情報の取得やデータの上書きを行ったとのことです。また、144人のパスワードが、本人の操作によらず仮パスワードに変更されていたことも確認されています。

このサービスを使っていた企業も、それぞれ発表を出しています。LINEヤフーは事業者向けツール「DS.INSIGHT」のコミュニティ機能「DS.LAB」の利用者1,750名、ヤマハ発動機はコミュニティサイト「YAMAHA PAS Life」の登録者約1,600名、ちとせグループは「ちとせアカデミー」の会員最大843名の情報が、閲覧・取得された可能性があるとしています。ちとせグループの発表によると、攻撃者はコミューンが運営管理する全コミュニティ共通のログイン用の署名鍵を入手し、管理者になりすましていたとのことです。

第一興商は、個人情報の取り扱いを委託している日本コロムビアグループの従業員の端末（PC1台）がマルウェアに感染し、同社の顧客情報が漏えいした恐れがあると発表しました。端末には、委託した業務に関する個人データが一時的に保管されていたとのことです。対象は約8,724,000件で、ビッグエコーやDKダイニングなどの店舗で会員登録や予約をした客の情報と、従業員の情報が含まれます。項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号で、パスワードは含まれていません。現時点では、実際に外部へ漏えいした事実や不正利用は確認されていないとしています。

ローソンは、「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、個人情報が漏えいしたと発表しました。10月7日の調査で、9月12日から14日にローソンID、9月17日にアプリ予約への不正アクセスがあったことが分かったとのことです。漏えいを確認したのは、ローソンIDの215万5,345件（メールアドレス、氏名など）と、アプリ予約の26件（氏名、電話番号、クレジットカード番号の一部）です。本件以外の不正アクセスやマルウェア感染はないことを確認したとしています。

スカラコミュニケーションズは、同社のFAQシステム「i-ask」が第三者による不正アクセスを受け、同じサーバーで動いていた利用企業（最大5社）の問い合わせ情報が外部に漏えいした可能性があると発表しました。10月2日20時30分ごろから3日8時ごろにかけて、第三者が管理サイトに不正にログインし、不正なプログラムを設置したとのことです。対象は延べ最大713,126件で、同じ人による複数回の問い合わせを重複して含む数字です。

利用企業の側でも、大和証券が約11万人、シチズン時計が約10万名分、損害保険ジャパンが延べ約6万件について、漏えいの可能性を発表しています。オリックス生命は約26,500件で、対象の情報には氏名や証券番号のほか、問い合わせの際に申告された医療情報なども含まれるとしています。

物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが第三者による不正アクセスを受け、個人情報が漏えいしたと発表しました。10月2日に不正アクセスを確認し、その後の調査で漏えいが分かったとのことです。対象は10,788,963件で、会員番号、アプリ登録名、メールアドレス、電話番号が含まれます。

ここからは、一覧に挙げた16件を1件ずつ見ていきます。まずは、9月25日から30日までの6日間に発表または続報があった11件です。

2.5次元アイドルグループの事務所である VOISING は2026年8月18日、社内で利用しているBIツールが不正アクセスを受け、保管していたデータが不正に取得されたと発表しました。8月20日の時点では、対象を暫定で約17万人としていましたが、9月30日に発表した調査結果で、漏えいした個人情報は約17万件と確定しています。原因はBIツールの脆弱性で、修正プログラムを適用する前に不正アクセスを受けたということです。漏えいしたのは氏名、住所、電話番号、メールアドレス、生年月日、購買履歴、応援しているタレントの選択情報などで、8月24日には、このうち10件がSNS上で公開されていることも確認されました。

セイコーマートは、スマートフォン向け「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーが不正アクセスを受けたと発表しました。不正アクセスを受けた可能性があるのは約57万アカウントで、氏名、性別、生年月日、住所、電話番号、メールアドレスなどが閲覧された可能性があります。一方で、パスワードや購買履歴は漏えいしておらず、クレジットカード情報は保有していないとしています。

ヤマト運輸は、通販向けの「クロネコ代金後払いサービス」が2026年9月28日に不正アクセスを受けたと発表しました。同日22時28分にサービスを停止しており、復旧の時期は決まっていません。個人情報が漏えいしたかどうかや、影響を受けた件数についても、まだ明らかにされていません。なお、宅急便など他のサービスは通常どおり利用できます。

日本郵政と日本郵便は、「郵便局アプリ」が外部から不正アクセスを受け、ゆうIDと郵便局アプリに関連する顧客情報69件（19名分）が不正に取得されたと発表しました。2026年9月25日22時30分ごろに緊急メンテナンスを行い、翌26日にサービスを再開しています。また、これとは別に、国際郵便の「調査請求Web受付サービス」でも同年9月25日に不正アクセスの可能性が見つかっており、受付を止めて調査が続いています。

イープラスは、電子チケット「スマチケ」の払戻し情報を管理するシステムが不正アクセスを受け、1,463件の個人情報が漏えいしたと発表しました。不正アクセスは2026年9月11日の夜から12日の未明にかけて複数回あり、同社は15日に設定を見直して遮断したとのことです。漏えいした1,463件のすべてに、メールアドレス、カタカナ表記の氏名、対象の公演の内容が含まれており、このうち751件には振込先の口座情報が、68件には郵便番号、住所、氏名も含まれていたとのことです。なお、クレジットカード情報は同社が保有していないため、漏えいしていません。

カーシェアリングサービス「タイムズカー」のWebシステムが不正アクセスを受け、約660万件のアカウント情報が第三者に取得されました。対象となった情報は、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などで、このうち運転免許証画像などの本人確認書類が漏えいしたアカウントは約160万件に上ります。対象には、現在の会員だけでなく、退会済みの会員も含まれています。

スターツ出版は、同社が運営する「OZmall（オズモール）」が不正アクセスを受け、会員の個人情報が漏えいした可能性があると発表しました。対象は、最大44万7,610名分の会員メールアドレスです。一部の会員については、氏名および住所（都道府県まで）が含まれる可能性があります。電話番号や番地を含む住所が閲覧された形跡は確認されておらず、クレジットカード情報が漏えいした可能性もないとしています。

東京メトロは、ポイントサービス「メトポ」の会員向けサービスが不正アクセスを受け、個人情報が閲覧・取得された可能性があると発表しました。対象となるのは、約5万9,000件のメールアドレスです。。なお、当該サーバーにはメールアドレス以外の会員情報は含まれていないことを確認しており、不正なアクセスをされた被疑箇所は特定し、不正アクセスを防止するための対策を実施しています。

京王電鉄は、9月26日未明に同社グループのサーバーがランサムウェア（データを暗号化して身代金を要求する不正プログラム）による攻撃を受けたと発表しました。この影響で、グループの一部の店舗ではクレジットカードや電子マネーでの決済ができなくなり、京王プレッソインは新規の予約受付を停止しています。鉄道の運行に支障はなく、情報漏えいも確認されていませんが、調査は続いています。

ファインズは、2026年9月22日にシステムの異常を検知し、調査を実施した結果、第三者による不正アクセスを確認したと発表しました。対象は1,536,322件に及び、予約者の氏名、電話番号、メールアドレス、予約店舗、予約メニュー、予約日時などの情報が含まれているとのことです。同社は弁護士と連携して調査を進めており、新たな事実が判明し次第、改めて公表するとしています。

Helpfeelは、画像共有サービス「Gyazo」が不正アクセスを受け、ユーザーに関するデータ約2,362万件および画像に関するメタデータが外部に流出したと発表しました。約2,362万件のうち、メールアドレスを登録しているユーザーは約562万件で、残る約1,801万件はメールアドレスを登録していない匿名ユーザーです。メタデータについては、約4.9億件に加え、削除済み画像に関する約1.74億件も流出したことが判明しています。ただし、いずれも画像ファイルそのものの流出件数ではありません。なお、サービスは2026年9月27日に再開されています。

続いて、2026年9月中旬までに発表された5件です。同年7月や8月に初報があったものも含まれますが、9月に入ってから続報で件数が明らかになったものもあるため、あわせて整理しておきます。

ムラウチドットコムは2026年9月15日、同年7月に発生した不正アクセスにより、771万6,811件の個人情報が漏えいしたことを確認したと発表しました。原因は、Webシステムの一部に存在していた脆弱性であり、これを起点として複数のシステムが不正アクセスを受けました。漏えいした情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別とのことです。なお、クレジットカード情報およびパスワードは含まれていません。

デジタル庁は、各府省庁の職員が利用するガバメントソリューションサービス（GSS）が不正アクセスを受け、約24.6万件の個人情報が漏えいした可能性があると発表しました。6月25日、保守・運用を担当する職員のアカウントによる大量のファイルへのアクセスを検知し、7月9日には、VPNの脆弱性を悪用した侵入であることが判明しました。対象となる情報は、職員や業務に関わった事業者などの氏名、メールアドレス、電話番号、住所であり、一般の方の個人情報は含まれていないとのことです。

さくらインターネットは、2026年8月17日、「さくらのレンタルサーバ」の一部環境に対する不正アクセスを公表しました。さらに同月19日には、顧客の契約情報などを管理する販売管理システムについても、不正アクセスを受けた可能性があると発表しています。その後、同年9月10日に公表した第3報では、販売管理システムに保存されていた会員情報のうち、第三者による閲覧・取得の可能性がある対象を136万563アカウントとしています。なお、クレジットカード情報については、同システム内に保存していないと説明しています。

イエローハットは、「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、最大1,801,499名分の会員情報が漏えいした可能性があると発表しました。漏えいした可能性がある情報は、氏名、電話番号、メールアドレス、会員番号とのことです。なお、クレジットカード情報やパスワードは同システムで保持していないため、漏えいしていないとしています。同社は2026年8月18日朝に不正アクセスを検知し、直ちにシステムの外部接続を遮断しました。

Eストアーは、ECサイトの構築・運営を支援するサービス「ショップサーブ」のサーバーが不正アクセスを受け、購入者の情報が外部に漏えいしたと発表しました。5月21日から8月1日にかけて、第三者がサーバー上で不正なプログラムを動かし、その情報を外部に送信していたことが分かっています。発表された件数は8,853,839件ですが、同じ人のデータが複数含まれている可能性があるため、漏えいした人数を表す数字ではありません。また、漏えいしたのは購入者の情報だけではなく、ショップサーブで店舗を運営している企業の、管理画面やFTP（ファイルを送受信する仕組み）のID・パスワードも含まれているとのことです。

では、こうした事例を受けて、企業は何を確認しておけばよいのでしょうか。ここからは、優先して確認していただきたい点を3つに絞って整理します。

まず、会社のメールアドレスやパスワードが、すでに外部に流出していないかを確認してください。流出に気づかないまま同じパスワードを使い続けていると、そこが不正ログインの入口になります。サイバーセキュリティラボでは「アカウント流出チェッカー」というツールを無償提供しており、会社のドメイン（メールアドレスの＠より後ろの部分）から、IDとパスワードがセットで流出しているアカウントの数と、迷惑メールのデータベースに登録されているアカウントの数を調べることができます。漏えいへの対策は、今の状況を知ることから始まると言っても過言ではありません。漏えいインシデントが増えているこの機に、ぜひ皆様もご利用ください。

^{※ 迷惑メールデータベースとは、迷惑メールの送信先として集められ、出回っているメールアドレスのリストのことです。ここに登録されているメールアドレスは、迷惑メールやフィッシングメールの送り先として使われるおそれがあります。}

次に、今回の16件の中に、業務で利用しているサービスや、社員が利用しているサービスが含まれていないかをご確認ください。該当する場合は、各社の発表内容を確認したうえでパスワードを変更し、同一のパスワードを他のサービスでも使い回していないかを見直す必要があります。その際、多要素認証もあわせて設定しておくことが非常に重要です。

また、漏えいした情報を悪用したフィッシングが、今後増加する可能性があります。氏名や会員番号、予約内容が記載されていても正規の連絡とは限らないため、メールやSMSのリンクは開かず、公式サイトやアプリから確認するよう、社内に周知してください。

最後に、自社の入口となるシステムの確認です。今回の事例では、Webシステム、VPN、データ分析ツールの脆弱性を突かれ、侵入を許したケースが複数確認されました。自社のWebサイトやVPNに更新プログラムが提供されていないか確認し、提供されている場合は速やかに適用してください。導入業者に任せたまま、更新担当者が明確になっていない場合は、まず担当者を定めることから始めてください。

あわせて、不要となったデータを保管したままにしていないかも見直すことをおすすめします。タイムズカーでは、退会済み会員の情報も対象となりました。

今回は、9月25日からの6日間に発表が集中した10件を含む、16件の不正アクセスと情報漏えいを見てきました。名前の挙がったサービスを利用している方は各社の発表をご確認ください。該当しない方も、まずは本記事で紹介した3点から、対応可能な項目を一つずつ着実に進めていくことをおすすめします。