【2026年9月】注目のインシデントニュース｜不正アクセス5選

サイバーセキュリティラボでは、サイバーセキュリティに関する事件や事故のニュースを日々取り上げています。2026年9月も様々な種類のインシデントが発生しました。今月は不正アクセスのインシデント事例を5つピックアップしてまとめています。

^{※ 本記事の内容は各社・各団体の発表当時の情報です。
※ 本記事はサイバーセキュリティに関する啓発や考察を目的としています。特定の企業・団体を批判する意図は一切ありません。}

立教大学は2026年9月8日、学生および卒業生の Google アカウントが第三者による不正アクセスを受け、学外への迷惑メール送信や個人情報閲覧の可能性があると公表しました。同年7月16日に不正アクセスを検知し調査した結果、同年4月27日から8月24日にかけて計1万7,668件の迷惑メール送信が確認されました。被害に遭ったのは計6アカウントで、メール本文等が閲覧された可能性が否定できません。なお、Gmail 以外のサービスや学内ネットワークへの侵入形跡、二次被害は確認されていません。同大学は被害アカウントの停止措置を講じるとともに、学生に対する多要素認証の必須化などの再発防止策を実施しています。

東京科学大学は2026年9月7日、学内の情報基盤が第三者による不正アクセスを受け、個人情報が漏えいした疑いがあると公表しました。同大学は本件の判明後、被害拡大を防ぐ措置を講じるとともに「情報セキュリティインシデント対策本部」を設置して本格的な調査を実施しています。漏えいした可能性があるのは、同大学ならびに旧東京工業大学・旧東京医科歯科大学の統合当時に在籍していた学生や教職員等の氏名、住所、メールアドレスを含む個人情報です。影響の範囲や漏えいした情報の詳細は調査中ですが、大学病院の患者情報の漏えいは確認されていません。同大学は組織をかたる不審なメール等への注意を呼びかけています。

デジタル庁は2026年9月11日、運用するガバメントソリューションサービス（GSS）が第三者からの不正アクセスを受け、個人情報が漏えいした可能性があると公表しました。同年6月25日に保守運用担当者のアカウントによる不審なファイルアクセスを検知し調査を行った結果、VPN機器の脆弱性を悪用した侵入が判明したものです。漏えいした可能性があるのは公務員等および事業者等の計約24.6万件の氏名、メールアドレス、電話番号等です。一般の個人情報やマイナンバー、口座情報は含まれておらず、二次被害も確認されていません。同庁はアカウント停止や通信遮断を実施し、脆弱性管理や接続方法の見直しを進める方針です。

株式会社LEAN BODYは2026年9月15日、利用する分析ツール「Metabase」が第三者による不正アクセスを受け、退会者を含む約44万アカウントの顧客情報が外部に取得されたと公表しました。同年8月11日から複数回にわたり情報が取得されており、9月8日に異常を検知して翌9日にアクセス経路の遮断とツールの更新を実施しました。漏えいした可能性があるのはメールアドレスや属性情報、契約・支払い情報等です。なお、カード番号全体や暗号化の解読に必要な情報は取得されておらず、不正利用も確認されていません。同社は個人情報保護委員会への報告や対象者への周知を進めています。

タイムズモビリティ株式会社は2026年9月25日、運営するカーシェアリングサービス「タイムズカー」のWebサイトが第三者による不正アクセスを受け、会員情報が漏えいしたと公表しました。漏えいしたのはタイムズカー会員とタイムズビジネスサービス会員の計約660万件で、退会済みの会員も含まれます。漏えい情報には氏名、住所、生年月日、電話番号、運転免許情報、免許証画像などの本人確認書類情報、連携サービスID等が含まれます。なお、パスワードは復元不可の形式で保管されており不正利用の可能性はなく、クレジットカード情報も含まれていません。同社はアクセス経路の遮断や調査、警察への報告、注意喚起を進めています。