社会ニュース｜不正アクセス
最近の不正アクセスまとめ2026｜9〜10月の30件で何が漏れた？
2026年9月中旬から10月にかけて、タイムズカー、焼肉きんぐ、ローソン、ビッグエコーの第一興商、ブックオフ、JR東日本、大和証券など、身近なサービスで不正アクセスやサイバー攻撃の公表が続いています。この記事では、9月11日〜10月9日に公表された主な30件を各社の公式発表で確かめ、何が漏れたのか・自分が対象か・何をすればいいかを1ページで整理します。
この記事の結論
- 9月11日〜10月9日に公表された主な不正アクセスは30件。件数が出ているものだけで合計約8,054万件にのぼります（10月11日時点の集計）。その後、ヤマト運輸は10月16日に約531万件の持ち出しを発表し、佐川急便は件数を調査中です。10月9日の1日だけでもブックオフ（最大約643万件）やえきねっと・ビューカード（のべ約609万件）など4件が公表され、skyticketは約1,464万件と発表しました。
- 漏れた情報の重さは事案によって大きく違います。いちばん重いのは運転免許証の画像まで漏れたタイムズカー（約160万件）で、名義を悪用したローン申し込みへの備えが必要です。鳥取・島根・山形などでは、免許証をなくしていなくても再交付を認める特例が始まっています。
- 国も動きました。個人情報保護委員会が10月7日に注意喚起を出し、JPCERT/CCは10月8日に「アプリのAPIを悪用した攻撃」などの手口を公表、政府は同日に関係省庁会議を開いています。
- 一方で、クレジットカード番号の全体が漏れたと発表した事案は1件もありません（ニッポンレンタカーとNewsPicksは下3〜4桁と名義、ローソンアプリ予約の26件は番号の一部）。ただしinfoQでは会員のポイントが勝手にギフトコードへ交換され、skyticketでは一部の人の銀行口座情報が流出しました。いま気をつけたいのはカードの不正利用より、本物の氏名・住所・購入内容を使った偽メール・偽SMS・偽電話です。
- やることは、漏れた情報の種類で決まります。下の「自分が対象か確かめる表」で、使っているサービスを探してください。
最近の不正アクセス一覧｜2026年9〜10月の30件
9月11日から10月9日までに公表された主な不正アクセス・サイバー攻撃を、公表日順に並べました。件数や情報の種類は、各社の最新の発表（10月12日の更新で加えた分と件数を更新した分は10月11日時点、それ以外は10月9日朝時点で確認）にもとづきます。色のラベルは、漏れた情報の重さによる筆者の分類です。
| 公表日 | 組織・サービス | 何が起きた | 漏れた（可能性のある）情報 | 件数 |
|---|---|---|---|---|
| 9月11日 | 住所・電話 デジタル庁「ガバメントソリューションサービス（GSS）」 |
VPN機器の脆弱性を突いた侵入 | 府省庁の職員や業務に関わった事業者の氏名・メールアドレス・電話番号・住所など（一般の人は含まれない） | 約24.6万件 |
| 9月15日 | 住所・電話 ムラウチドットコム（通販） |
Webシステムの脆弱性を突いた不正アクセス（第2報で持ち出しを確認） | 氏名・住所・電話番号、一部の人はメールアドレス・生年月日・性別 | 7,716,811件 |
| 9月16日 | メール・電話 Gyazo（画像共有、Helpfeel） |
画像アップロードサーバーの脆弱性を突いた不正アクセス | メールアドレス・パスワードのハッシュ値・登録日時など。第2報で削除済み画像のメタデータ約1.74億件も判明 | ユーザー約2,362万件（メール登録ありは約562万件）＋画像メタデータ約4.9億件 |
| 9月25日〜29日 | 重要情報 タイムズカー（カーシェア、パーク24） |
Webシステムへの不正アクセス | 氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報、運転免許証などの画像 | 約660万アカウント（うち本人確認書類の画像は約160万件） |
| 9月26日 | ランサムウェア 京王グループ（京王電鉄ほか） |
ランサムウェア攻撃によるシステム障害 | ホテルの予約受付停止、スーパー・百貨店のカード決済やポイントの障害など。鉄道の運行には影響なし | —（漏えいは発表時点で確認されず） |
| 9月26日・10月1日 | 重要情報 ニッポンレンタカー「NRアプリ」 |
会員情報ページへの不正アクセス（別々の手口で2回） | 氏名・電話番号・メールアドレス・予約情報、登録者は免許証番号・住所・生年月日とカード番号の下4桁・名義 | 41名＋55名＝96名 |
| 9月27日・10月1日 | メール・電話 オズモール（スターツ出版） |
海外からの大量の不正アクセス | メールアドレス、一部の人は氏名と住所（都道府県まで） | 最大442,779名分（第1報は447,610名分） |
| 9月27日 | メール・電話 東京メトロ「メトポ」（ポイント） |
メール配信停止中のアドレスを置くサーバーへの不正アクセス | メールアドレスのみ | 約59,000件 |
| 9月28日・10月9日 | メール・電話 宿泊予約管理システム「TEMAIRAZU」（手間いらず） |
システムへの不正アクセス。9月21日深夜から宿泊予約者にWhatsApp・メール・SMSで偽メッセージが届いて発覚 | 宿泊者の氏名・電話番号・メールアドレス、宿泊施設名・チェックイン日・チェックアウト日・宿泊料金。カード情報は保有していない | 最大約445万人（10月9日の適時開示で判明） |
| 9月29日 | 住所・電話 セイコーマートアプリ |
アプリのサーバー経由で会員サーバーへ不正アクセス | 姓名・性別・生年月日・住所・電話番号・メールアドレス・クラブカードの入退会年月日 | 約57万アカウント |
| 9月29日・10月2日 | 住所・電話 ヤマト運輸「クロネコ代金後払いサービス」 |
サービスへの不正アクセス | 氏名・住所・電話番号・メールアドレス・商品明細など（10月16日の第4報で持ち出しが判明。請求金額・債権残高は持ち出し確認されず） | 約531万件（10月16日発表） |
| 9月30日・10月1日 | 住所・電話 佐川急便「お荷物問い合わせサービス」 |
Webサービスへの不正アクセス | 送り主・届け先の氏名・住所・電話番号、スマートクラブ登録者はメールアドレス・会員ID | 調査中（約100日分の送り主・届け先）。10月7日以降、横須賀市（ふるさと納税の寄附者）や富士薬品など委託元も影響のおそれを公表 |
| 10月5日 | メール・電話 焼肉きんぐ公式アプリ（物語コーポレーション） |
会員管理システムへの不正アクセス（10月2日に確認） | 会員番号・氏名（登録名）・メールアドレス・電話番号。パスワード・生年月日・利用履歴は漏れず、カード情報は保有なし | 10,788,963件（登録者の99.8％） |
| 10月5日 | 住所・電話 アンケートサイト「infoQ」（GMOリサーチ＆AI） |
ソフトウェアの脆弱性を突いた侵入（10月2日以降）。ポイントが勝手にAmazonギフトコードへ交換 | 氏名・フリガナ・性別・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワード・保有ポイント数など | 最大948,498件（不正交換611件・2,869,500円は全額補填） |
| 10月5日・6日 | 重要情報 FAQシステム「i-ask」（スカラコミュニケーションズ）→大和証券・シチズン時計・損保ジャパンなど最大5社 |
管理サイトへの不正ログインと不正プログラムの設置（10月2日20時33分ごろ〜3日8時1分ごろ） | 問い合わせの履歴。大和証券は氏名・メールアドレス・口座番号など、シチズンは氏名・住所・電話番号・メールアドレスなど（問い合わせ欄に口座やカードを書いた場合はそれも）、損保ジャパンはドライブレコーダー「SMILING ROAD」利用企業の従業員の氏名・勤務先・運転アラートなど | 最大713,126件（延べ）。うち大和証券 約11万名（約22万件）、シチズン 約10万名、損保ジャパン 約6万件（延べ） |
| 10月6日 | メール・電話 MrMaxアプリ・オンラインストア（ミスターマックス） |
ソフトウェアの機能を不正に利用した侵入（10月3日夕方に確認） | 会員ID・氏名・メールアドレス・電話番号。住所・生年月日・カード情報・パスワード・購入履歴は流出なし | 最大1,735,154人 |
| 10月6日 | メール・電話 医療関係者向けサイト「Pharma DIGITAL」（旭化成セラピューティクス、委託先 医薬情報ネット） |
会員データベースへのサイバー攻撃（10月2日に報告） | 医師などの氏名・所属施設名・施設住所・職種・診療科、一部はメールアドレス。一般の患者は含まれない | 医療従事者 約51万4,000名＋約4万4,000名、従業員 約700名 |
| 10月6日 | 重要情報 クラウドストレージ「楽天ドライブ」 |
管理用アカウントの認証情報を盗まれた侵入（1月29日〜9月17日） | 保存していた写真・文書などのファイル。別に、アカウント名と暗号化されたパスワードなど | 保存データ15,382アカウント＋687件・313件 |
| 10月6日 | メール・電話 交通系IC「nimoca」利用履歴照会サービス（ニモカ） |
公開Webサービスへの攻撃（10月4日0時ごろ〜17時40分） | nimocaのカード番号（NRで始まる17桁）・生年月日・メールアドレス。氏名・住所・利用履歴は確認されず | 521件 |
| 10月7日・8日 | ランサムウェア クラウドサービス「IDCFクラウド」（IDCフロンティア） |
ランサムウェア攻撃で東日本リージョン1の一部（4ゾーン）の仮想サーバーが停止 | 利用企業のサーバーとデータ。4ゾーンのデータは「取り出しや復元が困難な見通し」（第3報）。情報漏えいの有無は調査中 | 利用する495の企業・自治体（ソリトン、ニッスイの物流子会社など） |
| 10月7日 | 重要情報 エイチ・アイ・エスのタイ現地法人 |
ファイルサーバーへの不正アクセス（2025年12月に検知） | パスポート情報（ローマ字氏名・生年月日・旅券番号・有効期限など）とアレルギー情報。電話番号・住所・カード情報は含まれず | 最大627名（タイへ出発した団体旅行客など） |
| 10月8日 | 住所・電話 「ローソンID」「ローソンアプリ予約」（ローソン） |
アプリ関連システムの不正利用。本人に情報を表示する仕組みが突破された（9月12〜14日・17日） | メールアドレス・氏名、入力していれば性別・電話番号・住所。アプリ予約は氏名・電話番号・カード番号の一部 | ローソンID 2,155,345件＋アプリ予約26件 |
| 10月8日 | メール・電話 カラオケ「ビッグエコー」など（第一興商、委託先 日本コロムビアグループ） |
委託先の従業員のパソコン1台がマルウェアに感染（10月1〜2日） | 店舗で会員登録や予約をした人の氏名（登録名）・性別・生年月日・メールアドレス・電話番号。パスワードは含まれず | 約8,724,000件（客 約863万件＋従業員 約9.3万件） |
| 10月8日・9日 | 重要情報 旅行予約「skyticket」（アドベンチャー） |
異なる経路の3件の不正アクセス（サーバー、業務管理システム、バス予約の完了ページ） | 氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・住所、会員約413万件はハッシュ化したログインパスワード、17,780件は返金先の銀行口座情報も。パスポート番号とカード情報は流出していない | 約1,464万件＋17,780件＋バス予約約1.2万件（10月9日の第2報） |
| 10月8日・9日 | 住所・電話 経済メディア「NewsPicks」（ユーザベース） |
業務用の管理ツールへの不正アクセス（10月8日12時48分に検知） | 氏名・勤務先・メールアドレス・住所・電話番号・カード名義・カード番号の下3〜4桁など。暗号化されたパスワードの漏えいは確認されず | 最大36.2万件（項目ごとの最大。カード名義・下3〜4桁36.2万件、メールアドレス32.3万件、勤務先6.5万件など。10月9日の第2報） |
| 10月8日 | 住所・電話 光回線「BiZiMo光」「ダントツひかり」など（ハイホー） |
他社への乗り換えを勧める電話でログイン情報を聞き出し、本人になりすましてマイページへ | 氏名・住所などマイページで見られる情報。カード・口座情報は扱っていない | 38,509件（契約単位） |
| 10月9日 | 住所・電話 ブックオフ（子会社の会員管理システム） |
会員管理システムへの不正アクセス（10月6日に確認） | 氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号。決済情報は含まれない | 最大約643万件（会員番号の件数） |
| 10月9日 | メール・電話 「えきねっと」「大人の休日倶楽部」・ビューカード（JR東日本） |
会員向けメールの配信サービスが、IDCFクラウドへの攻撃の影響を受けた | メールアドレス（大人の休日倶楽部は会員番号・カード有効期限・生年月日も）。氏名・住所・電話番号・カード番号は含まれない | のべ最大約609万件（えきねっと約167万・大人の休日倶楽部約39万・ビューカード約403万） |
| 10月9日 | メール・電話 「JR九州Web会員」（JR九州） |
メールマガジンの配信サービスが、IDCFクラウドへの攻撃の影響を受けた | メールアドレスのみ（氏名・住所・電話番号・カード番号、メールの件名・本文は含まれない） | 最大約130万件 |
| 10月9日 | メール・電話 コミュニティサービス「Commune」（コミューン）→スズキ・ヤマハ・湖池屋・青森県などのコミュニティ |
非公開コミュニティの招待リンクを不正に取得し、管理者になりすまして会員情報を閲覧・取得 | メールアドレス、表示名・自己紹介・非公開グループの所属など（コミュニティと会員によって異なる）。パスワードとカード情報は含まれない | 約30.7万人（推計。うちメールアドレスを含むのは約12.6万人） |
| 10月13日 | 住所・電話 楽天モバイル「my 楽天モバイル」 |
自社の脆弱性診断で、支払い証明書を第三者が閲覧できる可能性が判明（6月20日に改修済み・閲覧は確認されず） | 氏名・住所・電話番号・データ利用量・利用料金・明細など（カード情報・通話履歴は含まれない） | 非公表 |
「漏えいした」と確認された事案と、「漏えいした可能性がある」「閲覧された可能性がある」とされた事案が混在しています。件数は各社の公表値で、同じ人が複数のサービスで数えられている場合があります。
自分が対象か確かめる表｜漏れた情報の種類で4つに分かれる
同じ「不正アクセス」でも、免許証の画像や口座番号まで漏れたケースと、メールアドレスだけのケースでは、やるべきことがまったく違います。30件を漏れた情報の重さで4つに分け、それぞれの対策を並べました。
| 漏れた情報 | 該当する事案 | やること |
|---|---|---|
| 重要情報免許証・口座・パスポートまで | タイムズカー（約160万件で画像）、ニッポンレンタカー（登録者は免許証番号）、大和証券（約11万名で口座番号）、skyticket（17,780件で返金先の口座情報）、HISタイ法人（パスポート情報）、楽天ドライブ（保存していた写真・文書） | 免許証が漏れた人は、名義を使ったローンやカードの「なりすまし申し込み」に備えて信用情報機関（JICC・CIC・全国銀行個人信用情報センター）へ本人申告を。県によっては免許証の再交付も受けられます。口座番号が漏れた人は、証券会社・旅行会社・銀行を名乗る「返金」「確認」の連絡に注意します（口座番号だけでは引き出しや取引はできません）。楽天ドライブの人は保存していたファイルの棚卸しをし、脅迫や請求には応じません。 |
| 住所・電話住所・電話番号・勤務先 | ムラウチドットコム、ローソンID（入力していた人）、セイコーマートアプリ、ヤマト運輸の後払い、佐川急便、infoQ、NewsPicks（勤務先も）、ハイホー、シチズン時計・損保ジャパン（問い合わせ情報）、デジタル庁GSS（職員など）、ブックオフ（生年月日・パスワードのハッシュ値も） | 名前入りの偽SMS・偽電話・郵便物に注意します。ヤマトの件は購入内容（商品明細）まで含むため、未払いを装う請求は注文した通販サイトで確かめてから払います。NewsPicksは勤務先も対象なので、会社の経理や情報システム部を装うメールにも注意を。infoQとブックオフは暗号化されたパスワード（ハッシュ値）も対象なので、同じパスワードを使い回していれば変更を。 |
| メール・電話メールアドレス・電話番号・生年月日 | 焼肉きんぐ、第一興商（ビッグエコー・DKダイニングなど）、MrMax、Gyazo、オズモール、東京メトロ「メトポ」、旭化成系の医療従事者向けサイト、nimoca（ICカード番号も）、手間いらず（宿泊予約情報）、えきねっと・大人の休日倶楽部・ビューカード、JR九州Web会員、Commune（スズキ・ヤマハなどのコミュニティ） | 偽メールが届きやすくなります。焼肉きんぐ・第一興商・MrMaxは電話番号も漏れたため、店名をかたる「お詫びクーポン」のSMSや詐欺電話にも注意します。Gyazoはパスワードのハッシュ値も含むため、同じパスワードを他のサービスで使っていたら変更します。手間いらずの件では、宿や予約サイトを装って「事前チェックイン」「予約の維持」を理由にカード情報や支払いを求めるメッセージが実際に届いています。 |
| ランサムウェアランサムウェア（障害） | 京王グループ、IDCFクラウド（495の企業・自治体） | 発表時点で情報漏えいは確認されていません。IDCFクラウドを使う会社や自治体では、サイトやサービスが止まっている例があります。利用しているサービスの「お知らせ」を確認します。 |
対象かどうかは「個別連絡」で分かることが多い
ヤマト運輸、デジタル庁、東京メトロ、Gyazo、タイムズカー、MrMax、infoQ、大和証券、楽天ドライブ、ローソン、skyticket、NewsPicks、ブックオフ、JR東日本・ビューカード、JR九州などは、対象者にメールなどで個別に連絡するとしています。ただし「個別連絡」を装う偽メールも考えられるため、連絡が来たらメール内のリンクではなく公式サイトのお知らせと照らし合わせてください。東京メトロは、案内は「メトロポイントクラブ事務局」から送り、外部サイトへの誘導はしないと明言しています。ローソンは「lawson_id@mailservice.lawson.jp」、skyticketは「info@skyticket.com」から送るとしています。
特に影響が大きい事案の中身
タイムズカー｜免許証画像など約160万件
パーク24は9月25日に第1報を出し、28日に約660万アカウント分の情報が取得されたこと、29日に運転免許証や公共料金の請求書などの画像が約160万件漏えいしたことを公表しました。退会した人も対象です。パスワードは復元できない形式で保管していたとし、クレジットカード情報は漏れていません。免許証画像と住所・生年月日がそろうと、名義を使ったローン申し込みのリスクがあるため、信用情報機関への本人申告が広がっています。10月に入ってからは、鳥取県（9月末から）・島根県（10月1日から）・山形県（9月28日から）などの公安委員会が、免許証をなくしていなくても再交付を認める特例を始めました。鹿児島県では10月6日までに少なくとも7人が再交付を申請しています。
Gyazo｜ユーザーデータ約2,362万件
画像共有サービスGyazoでは、9月11日に画像アップロードサーバーの脆弱性を突かれ、ユーザーに関するデータ約2,362万件と画像のメタデータ約4.9億件が流出しました。9月25日の第2報で、約2,362万件のうち約1,801万件（約76％）はメールアドレスを登録していない匿名ユーザーで、メール登録があるのは約562万件と精査されています。パスワードはハッシュ値（そのままでは読めない形）で、決済情報は含まれません。サービスは約9日間止まり、9月27日に再開しました。
ムラウチドットコム｜7,716,811件
家電通販のムラウチドットコムは、7月に起きた不正アクセスのフォレンジック調査を終え、9月15日の第2報で7,716,811件の顧客情報が外部へ持ち出されたと確定させました。氏名・住所・電話番号のほか、一部の人はメールアドレス・生年月日・性別も含まれます。お届け先として登録した情報、クレジットカード情報、パスワードは含まれていません。
セイコーマートアプリ｜約57万アカウント
北海道のコンビニ・セイコーマートは9月29日、アプリのサーバーを経由して会員情報のサーバーに不正アクセスされた可能性があると発表しました。9月24日夜に不正な退会処理が1件あったことがきっかけです。約57万アカウントの姓名・生年月日・住所・電話番号・メールアドレスなどが閲覧された可能性があります。カード情報は持っておらず、パスワードの漏えいの恐れはないとしています。
ヤマト運輸・佐川急便｜宅配2社で相次ぐ
ヤマト運輸は通販の後払い決済「クロネコ代金後払いサービス」で、利用者の氏名・住所に加えて商品明細まで漏えいした可能性があると10月2日に発表し、10月16日の第4報で2018年10月以降の利用分など約531万件が持ち出されたと確定させました。佐川急便は「お荷物問い合わせサービス」への不正アクセスで、約100日分の送り主・届け先の氏名・住所・電話番号が流出した可能性があります。2社の件の詳細と見分け方はヤマト運輸の不正アクセスで何が漏れた？佐川急便との違いと対策にまとめています。
焼肉きんぐ｜アプリ会員10,788,963件
物語コーポレーションは10月5日、「焼肉きんぐ」公式アプリの会員管理システムが不正アクセスを受け、登録者の99.8％にあたる10,788,963件の会員番号・氏名（登録名）・メールアドレス・電話番号が漏えいしたと発表しました。パスワード・生年月日・利用履歴は漏れておらず、カード情報はもともと持っていません。件数は上場企業の漏えいとして過去有数の規模です。詳しくは焼肉きんぐの情報漏洩で何が漏れた？で解説しています。
MrMax｜アプリ・オンラインストア会員 最大1,735,154人
ディスカウントストアのミスターマックスは10月6日、MrMaxアプリとオンラインストアのサーバーに侵入され、会員ID・氏名・メールアドレス・電話番号が流出したと発表しました。10月3日夕方に不審なアクセスに気づき、サービスを止めています。住所・生年月日・カード情報・パスワード・購入履歴は流出していないとしています。
infoQ｜最大948,498件とポイントの不正交換
GMOリサーチ＆AIのアンケートサイト「infoQ」は、ソフトウェアの脆弱性を突かれ、会員の氏名・住所・電話番号・生年月日・暗号化されたパスワードなど保有する全件（最大948,498件）が持ち出されました。さらに611件・2,869,500円分のポイントが本人の知らないうちにAmazonギフトコードへ交換されており、同社は全額を補填するとしています。
i-ask経由の大和証券・シチズン｜委託先から最大713,126件
FAQシステム「i-ask」を提供するスカラコミュニケーションズのサーバーに、10月2日夜から3日朝にかけて不正ログインと不正プログラムの設置があり、同じサーバーを使っていた最大5社の問い合わせ情報（延べ最大713,126件）が取得された可能性があります。社名を公表したのは大和証券（約11万名、氏名・メールアドレス・口座番号など）とシチズン時計（約10万名、氏名・住所・電話番号・メールアドレスなど）です。どちらも自社システムへの不正アクセスはないとしています。
楽天ドライブ｜保存ファイル15,382アカウント
クラウドストレージ「楽天ドライブ」では、管理用アカウントの認証情報を盗まれ、1月29日〜9月17日の232日間、利用者が保存していた写真・文書などのファイルが取得・閲覧されていました。8月13日に「保存データへの不正アクセスは確認されていない」と案内した後も続いていたことになります。経緯は楽天の不正アクセスで何が漏れた？で検証しています。
第一興商（ビッグエコーなど）｜委託先から約872万件
カラオケ「ビッグエコー」などを運営する第一興商は10月8日、個人情報の取り扱いを委託している日本コロムビアグループの従業員のパソコン1台がマルウェアに感染し、約8,724,000件の情報が漏えいしたおそれがあると発表しました。内訳はビッグエコー関連が約555.8万件、DKダイニング関連が約346.2万件などで、重複を除いた客の情報が約863.1万件、従業員が約9.3万件です。対象は氏名（登録名）・性別・生年月日・メールアドレス・電話番号で、パスワードは含まれず、この情報だけでポイントは使えないとしています。実際に外部へ出たかどうかは調査中です。
ローソンID｜2,155,345件
ローソンは10月8日、アカウントサービス「ローソンID」に9月12〜14日、「ローソンアプリ予約」に9月17日に不正アクセスがあったと発表しました。判明したのは10月7日の調査で、ローソンIDの2,155,345件でメールアドレス・氏名（プレゼント応募などで入力していれば性別・電話番号・住所も）が、アプリ予約の26件では氏名・電話番号とクレジットカード番号の一部が漏えいしました。原因は「アプリ上で本人に情報を表示するためのセキュリティ機構」が突破されたことと説明しています。ローソンは10月1日にも、メールサーバーを不正利用されて約70万件の不審な英文メールを送られたと公表していますが、これとは別の事案です。
IDCFクラウド｜495の企業・自治体のサーバーが停止
IDCフロンティアのクラウドサービスでは10月7日午前3時40分ごろからランサムウェア攻撃による障害が続いています。10月8日の第3報では、被害を受けた東日本リージョン1の4ゾーンに保管された利用者のデータは「取り出しや復元が困難な見通し」とし、利用者が自分で持っているバックアップから別の環境で作り直すよう案内しました。仕組みと影響はIDCFクラウドのランサムウェア被害とは？で解説しています。
10月9日に4件｜skyticket1,464万件・ブックオフ643万件・えきねっと609万件
10月9日は大型の発表が1日に重なりました。skyticketは第2報で、異なる経路の3件の不正アクセスにより約1,464万件（うち会員のハッシュ化パスワードを含むもの約413万件）が流出したと発表し、件数ではGyazoに次ぐ規模になりました。ブックオフは子会社の会員管理システムから最大約643万件（住所・生年月日・パスワードのハッシュ値も）、JR東日本とビューカードはIDCFクラウド上のメール配信サービスからのべ最大約609万件（主にメールアドレス）、JR九州も同じ原因で最大約130万件の漏えいの可能性を公表。9月28日に不正アクセスを公表していた宿泊予約管理システムの手間いらずも、対象が最大約445万人にのぼると開示しました。詳しくはブックオフの情報漏洩で何が漏れた？とえきねっと情報漏洩で何が漏れた？で解説しています。
30件から見える5つの傾向
1. 9月末から10月はじめに集中、15日間で27件
30件のうち27件は、9月25日〜10月9日の15日間に最初の公表がありました。9月25〜30日の6日間に9件（タイムズカー、京王グループ、ニッポンレンタカー、オズモール、東京メトロ、手間いらず、セイコーマート、ヤマト運輸、佐川急便）、10月5〜6日の2日間に7件（焼肉きんぐ、infoQ、大和証券・シチズン、MrMax、旭化成系サイト、楽天ドライブ、nimoca）、10月7〜8日の2日間に7件（IDCFクラウド、HISタイ法人、ローソン、第一興商、skyticket、NewsPicks、ハイホー）、10月9日の1日だけで4件（ブックオフ、JR東日本・ビューカード、JR九州、Commune）です。
各社が不正アクセスを確認した日も近く、焼肉きんぐ（10月2日）、旭化成の委託先からの報告（10月2日）、第一興商の委託先での感染判明（10月1〜2日）、infoQ（10月3日）、i-ask（10月3日朝）、MrMax（10月3日夕方）、nimoca（10月4日）、ブックオフとCommune（いずれも10月6日）、IDCFクラウド（10月7日）、NewsPicks（10月8日）と、10月の最初の1週間に集まっています。政府は関係省庁会議で、個々の事案どうしの関係は今のところ明らかになっていないと説明しています。
2. カード番号の全体は漏れていない。ただし口座番号とポイントは狙われた
30件のうち、クレジットカード番号の全体が漏れたと発表した事案はありません。ニッポンレンタカーは下4桁と名義人名、NewsPicksは下3〜4桁と名義、ローソンアプリ予約の26件は番号の一部です。各社ともカード情報を「別のシステムで管理」「外部の決済会社を利用」「もともと保有していない」などと説明しています。
一方でinfoQでは、会員611件分のポイント（2,869,500円分）が本人の知らないうちにAmazonギフトコードへ交換されました。大和証券では口座番号、skyticketでは17,780件で返金先の銀行口座情報も対象です。警戒すべきはカードの不正利用よりも、漏れた個人情報を使った詐欺と、ポイントやアカウントの乗っ取りです。
3. 入り口は「脆弱性」「API」「管理者アカウント」、そして「電話」
原因を具体的に公表した事案を分けると、デジタル庁（VPN機器の脆弱性）、ムラウチドットコム、Gyazo、infoQ、MrMaxはシステムの弱点を突かれたもの。ローソンは、アプリで本人に情報を表示する仕組みを不正に使われました。i-ask（管理サイトへの不正ログイン）と楽天ドライブ（管理用アカウントの認証情報の盗用）、NewsPicks（業務用の管理ツール）は管理者側の入り口が狙われています。
JPCERT/CCは10月8日の注意喚起で、一般公開しているスマホアプリを解析してAPIの接続先や鍵を割り出し、画面からはできない内部APIを操作する手口の報告を複数受けていると明かしました。一方、ハイホーの件はシステムへの侵入ではなく、乗り換え勧誘の電話で本人からログイン情報を聞き出したもので、利用者の側でしか防げない入り口です。
4. 自社でなく「委託先」から漏れる
大和証券・シチズン・損保ジャパンは問い合わせ管理を委託していたスカラコミュニケーションズのサーバーから、旭化成セラピューティクスはサイト運営の委託先から、第一興商は個人情報の取り扱いを委託していた日本コロムビアグループのパソコンから漏れています。佐川急便の件では、配送を任せていた横須賀市（ふるさと納税）や富士薬品などが「自分の客の情報も含まれるおそれがある」と相次いで発表しました。IDCFクラウドでは、1つのクラウドへの攻撃で495の企業・自治体のサーバーが止まり、10月9日にはその上でメール配信サービスを使っていたJR東日本・ビューカード（のべ約609万件）とJR九州（約130万件）が、メールアドレスなどの漏えいの可能性を相次いで発表しました。コミュニティ基盤のCommuneでも、スズキ・ヤマハ・湖池屋・青森県など、運営を任せていた企業や自治体のコミュニティに被害が広がっています。利用者から見えない委託先が攻撃の入り口になるのが、今回の大きな特徴です。
5. 発覚から公表まで時間がかかる
デジタル庁の件は6月25日に検知し、公表は9月11日。楽天ドライブでは、保存データへのアクセスが1月29日から9月17日まで続いていたことが10月6日になって公表されました。HISタイ法人は2025年12月に検知し、すべてのファイルを確認し終えて公表したのは約10か月後の10月7日です。ローソンも9月中旬の不正アクセスが判明したのは10月7日でした。手間いらずは9月21日に偽メッセージの連絡を受け、9月28日に不正アクセスを公表しましたが、対象が最大約445万人と開示したのは10月9日です。infoQとnimocaは利用者からの問い合わせで気づいており、利用者の「おかしい」という連絡が発覚の入り口になることもあります。
10月7〜9日公表分で特に気をつけたい人
ビッグエコー・DKダイニングなどの会員とローソンIDの利用者は、店名をかたる「お詫び」「ポイント付与」のSMSやメールに注意してください。skyticketの会員はパスワードの変更と、口座番号を使った「返金」の連絡への注意を。NewsPicksの利用者は、勤務先あてに届く不審な請求メールに注意を。ハイホー系の光回線の契約者は、電話でログインIDやパスワードを伝えないでください。ブックオフの会員は、同じパスワードを使っているほかのサービスの変更を。えきねっと・ビューカード・JR九州の会員は、「お詫び」をまねた偽メールのリンクからログインしないでください。最近ホテルや旅館を予約した人は、宿や予約サイトを名乗る「事前チェックイン」のメッセージに注意を。
国の対応｜注意喚起と関係省庁会議
相次ぐ漏えいを受け、国も10月7〜8日に続けて動きました。
- 個人情報保護委員会（10月7日）：「大規模な漏えい等事案を踏まえた対応について」の注意喚起を出し、2024年12月の企業向け注意喚起「WARNING」を改訂しました。
- JPCERT/CC（10月8日）：「直近で相次いでいる国内組織における不正アクセス」の注意喚起で、①さまざまなソフトの既知の脆弱性を探して突く、②スマホアプリを解析して管理用APIを不正に操作する、③分析ツールMetabaseの脆弱性（CVE-2026-72898）を悪用する、の3つの手口を示しました。共通の脆弱性が1つあるのではなく、標的ごとに弱点を探しているとしています。従業員向けのシステムや分析ツールなど、外部から使われることを想定していないシステムの被害も挙げています。
- 関係省庁会議（10月8日）：古川俊治サイバー安全保障担当相は、企業に脆弱性対策や個人認証の強化、流出情報の悪用防止を求める方針を示し、各省庁が集めた漏えい事案の情報を国家サイバー統括室（NCO）に集めるよう指示しました。業務委託先も含めた対策を求めます。
利用者にとってのポイント
国の要請は企業向けですが、JPCERT/CCが挙げた対策の中には「漏えいに備えて平時から多要素認証などを呼びかける」ことも含まれています。サービス側で2段階認証（多要素認証）を選べるなら、今のうちにオンにしておくのが利用者にできる一番の備えです。
不正アクセスの被害を広げないために今すぐやること
- 1. メッセージ内のリンクから入力しない
運送会社・コンビニ・カラオケ・通販・鉄道会社を名乗る連絡でも、URLは押さずに公式アプリやブックマークから確かめます。各社とも、パスワードやカード情報をメール・SMS・電話で聞くことはないとしています。 - 2. 使い回しのパスワードを変える
Gyazo、タイムズカー、infoQ、楽天ドライブのように、パスワードのハッシュ値や暗号化されたパスワードが対象になった事案もあります。skyticketも対象者にパスワードの変更を求めています。同じパスワードを他のサービスで使っていれば、そちらを優先して変えます。 - 3. 免許証が漏れた人は本人申告
タイムズカーで本人確認書類が漏れた人は、信用情報機関に「名義が悪用されるおそれ」を登録できます。手順と費用はタイムズカー免許証流出で何をすべき？JICC本人申告のやり方と費用で解説しています。 - 4. 請求・返金の連絡は「自分で」確かめる
未払いや返金の案内が来ても、注文した通販サイトのマイページや手元の払込票で確認してから対応します。 - 5. ログイン情報は電話で教えない
ハイホーの件では、乗り換えを勧める電話で「手続きに必要」とログイン情報を聞き出されました。ID・パスワード・生年月日は、電話の相手が誰であっても伝えないでください。 - 6. カードの利用明細をときどき見る
今回カード番号の全体は漏れていませんが、偽サイトに入力させる手口が続きます。身に覚えのない請求がないか、明細アプリで確かめる習慣をつけておくと安心です。 - 7. 使えるサービスはパスキーに切り替える
パスキーは偽サイトでは使えず、サーバーから漏れて使い回されることもありません。証券会社では2026年6月末までに原則必須になりました。スマホを失くしたときの扱いはパスキーのスマホを紛失したらどうなる？復元の条件と証券4社の手順で解説しています。
「対象者への補償」をうたう連絡にも注意
大きな漏えいのあとは、「お詫びの返金」「補償金の受け取り」をうたって口座番号やカード番号を入力させる偽メールが出回りがちです。補償などの案内は、必ず各社の公式サイトに掲載された内容と照らし合わせてください。
最近の不正アクセスについてよくある質問
Q. 最近の不正アクセスにはどんなものがありますか？
A. 2026年9月11日〜10月2日には、デジタル庁のGSS、ムラウチドットコム、Gyazo、タイムズカー、京王グループ（ランサムウェア）、ニッポンレンタカー、オズモール、東京メトロ「メトポ」、宿泊予約管理システムの手間いらず、セイコーマートアプリ、ヤマト運輸の後払いサービス、佐川急便の荷物問い合わせサービスの12件が公表されました。さらに10月5〜6日には、焼肉きんぐ公式アプリ、アンケートサイトinfoQ、FAQシステムi-ask経由の大和証券・シチズン時計（10月7日に損保ジャパンも公表）、MrMax、旭化成セラピューティクスの医療従事者向けサイト、楽天ドライブ、nimocaの7件、10月7〜8日にはIDCFクラウド（ランサムウェア）、HISのタイ現地法人、ローソンID、第一興商（ビッグエコーなど）、skyticket、NewsPicks、ハイホーの7件、10月9日にはブックオフ、JR東日本・ビューカード、JR九州、コミュニティサービスCommuneの4件が公表され、合わせて30件です。
Q. いちばん規模が大きいのはどれですか？
A. 件数ではGyazoのユーザーデータ約2,362万件が最大ですが、約76％はメールアドレスを登録していない匿名ユーザーです。個人情報の件数ではskyticketの約1,464万件が最大で、焼肉きんぐの10,788,963件、第一興商の約872.4万件（漏えいのおそれ）、ムラウチドットコムの7,716,811件、タイムズカーの約660万アカウント、ブックオフの最大約643万件、JR東日本・ビューカードののべ最大約609万件、手間いらずの最大約445万人、ローソンIDの2,155,345件、MrMaxの最大1,735,154人が続きます。漏れた情報の重さでは、運転免許証の画像まで約160万件漏れたタイムズカーが最も深刻です。
Q. クレジットカードは止めたほうがいいですか？
A. 30件のうち、カード番号の全体が漏れたと発表した事案はありません。ニッポンレンタカーは下4桁と名義人名、NewsPicksは下3〜4桁と名義、ローソンアプリ予約の26件は番号の一部で、シチズンは問い合わせ欄にカード情報を書いた場合のみ漏えいの可能性があるとしています。ただし偽メールから偽サイトに誘導してカード番号を入力させる手口が考えられるため、メッセージ内のリンクからカード情報を入力しないでください。
Q. 自分が対象かどうかはどうすればわかりますか？
A. 多くの会社が、対象者にメールなどで個別に連絡するとしています。連絡が来た場合は、メール内のリンクではなく各社の公式サイトのお知らせと照らし合わせてください。佐川急便のように件数が調査中の会社もあり、専用の問い合わせ窓口を設けています。
Q. 京王のランサムウェアでは個人情報は漏れましたか？
A. 京王電鉄は9月26日の発表で、情報漏えいの事実は確認できていないとし、顧客情報などの流出を含めて調査中としています。鉄道の運行には影響がなく、ホテルの予約受付や店舗のカード決済・ポイントなどに障害が出ました。
Q. なぜ最近こんなに不正アクセスが多いのですか？
A. JPCERT/CCは10月8日の注意喚起で、共通する1つの脆弱性ではなく、標的ごとに既知の脆弱性を探して突く攻撃や、スマホアプリを解析して管理用APIを不正に操作する攻撃が確認されていると説明しています。政府は10月8日に関係省庁会議を開きましたが、個々の事案どうしの関係は明らかになっていないとしています。委託先やクラウド事業者が攻撃されて、多くの会社に被害が広がる例も目立ちます。
Q. 不正アクセスの被害を防ぐために個人でできることは？
A. メッセージ内のリンクから個人情報を入力しないこと、パスワードを使い回さず漏えいしたサービスと同じパスワードを変えること、免許証の画像が漏れた場合は信用情報機関に本人申告をすること、請求や返金の連絡は自分で公式サイトを開いて確かめること、ログイン情報を電話で教えないこと、2段階認証を選べるならオンにしておくことが基本です。
【追記 2026年10月14日】10月13日には楽天モバイルが、支払い証明書が第三者に閲覧される可能性があったと発表しました（閲覧は確認されず）。楽天モバイルで情報漏洩の恐れ、何が見えた？改修から公表まで115日で解説しています。
あわせて読みたい
出典・参考資料
- デジタル庁：ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について（2026年9月11日）
- ムラウチドットコム：弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告（第二報・2026年9月15日）
- Helpfeel：「Gyazo」への不正アクセスによる情報漏えいに関するお知らせとお詫び（2026年9月16日）／同 第二報（9月25日）
- パーク24：タイムズカーWebサイトへの不正アクセス 第2報（9月28日）／第3報（9月29日）
- 京王電鉄：ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び（2026年9月26日）
- ニッポンレンタカーサービス：NRアプリへの不正アクセスについて（9月26日）／続報（10月1日）
- スターツ出版：オズモールへの不正アクセスについて（9月27日）／続報（10月1日）
- 東京地下鉄：メトポ会員向けサービスにおける不正アクセス事案の発生について（PDF）（2026年9月27日）
- セイコーマート：公式Xでのお知らせ（2026年9月29日）／INTERNET Watch：セイコーマート、不正アクセスで約57万アカウントの会員情報漏えいの可能性
- ヤマトホールディングス：【第2報】「クロネコ代金後払いサービス」への不正アクセスの発生について（2026年10月2日）
- 佐川急便：個人情報流出の可能性について（第2報）（2026年10月1日）
- piyolog：ランサムウェア攻撃による京王電鉄グループのシステム障害についてまとめてみた（2026年9月30日）
- 物語コーポレーション：『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び（2026年10月5日）
- GMOリサーチ＆AI：当社が運営するアンケートサイト「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026年10月5日）
- 大和証券：外部委託先への不正アクセスによるお客様情報の漏洩の可能性について（PDF）（2026年10月5日）
- スカラ：当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（PDF）（2026年10月6日）
- シチズン時計：委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について（2026年10月6日）
- ミスターマックス：不正アクセスによる情報流出に関するお詫びとお知らせ（2026年10月6日）
- 旭化成セラピューティクス：医療従事者向け情報提供ウェブサイト「Pharma DIGITAL」への不正アクセスおよび個人情報漏えいの可能性について（2026年10月6日）
- 楽天ドライブ：【重要】「楽天ドライブ」における不正アクセスの発生について（2026年10月6日）
- ニモカ：nimoca利用履歴照会サービスへの第三者からの不正アクセスによる情報漏えい（PDF）（2026年10月6日）
- 個人情報保護委員会：大規模な漏えい等事案を踏まえた対応について（注意喚起）（2026年10月7日）
- JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起（2026年10月8日）
- 損害保険ジャパン：当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について（PDF）（2026年10月7日）
- IDCフロンティア：【第3報】当社サービスの一部システムへの不正アクセスによる障害について（2026年10月8日）
- エイチ・アイ・エス：子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ（PDF）（2026年10月7日）
- 横須賀市：佐川急便株式会社に対する不正アクセスに伴う個人情報の漏えいのおそれについて（2026年10月7日）
- ローソン：第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（2026年10月8日）
- 第一興商：委託先における個人情報漏えいのおそれについて（2026年10月8日）
- skyticket：skyticketよりお送りした「個人情報の流出に関するお知らせ」メールについて（2026年10月9日）
- ユーザベース：NewsPicksのお客様の個人情報漏洩の可能性に関するお詫びとお知らせ（2026年10月8日）／第二報（10月9日）
- アドベンチャー：不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（PDF）（2026年10月9日）
- 手間いらず：不審なメッセージおよび当社システムへの不正アクセスに関するお詫びとお知らせ（PDF）（2026年9月28日）／当社システムへの不正アクセスに関する調査状況および対応について（PDF）（10月9日）
- ブックオフグループホールディングス：不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（PDF）（2026年10月9日）
- JR東日本：IDCフロンティア社で発生した不正アクセスに伴うメール配信用外部サービスからのメールアドレス等の漏えい可能性について（PDF）／ビューカード：同（PDF）（いずれも2026年10月9日）
- JR九州：IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について（PDF）（2026年10月9日）
- コミューン：当社サービス「Commune」、「Commune for Work」への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ（2026年10月9日）／INTERNET Watch：影響を受けたコミュニティの一覧
- ハイホー：お客様情報への第三者によるアクセスが確認された事案に関するご報告（2026年10月8日）
- FNNプライムオンライン：島根・鳥取両県警が運転免許証再交付の特例措置開始／鹿児島県内で相談や免許証の再交付も、テレ朝news：山形県で運転免許証の再交付を受け付け
- 熊本日日新聞（共同通信）：不正アクセスによる情報漏えいを受けた関係省庁会議（2026年10月8日）
内容は各社・各機関の発表（2026年10月11日までに確認できたもの）にもとづきます。件数・範囲は調査中のものがあり、今後の発表で変わる可能性があります。4つの分類、件数の合計（Gyazoはメールアドレス登録ありの約562万件、i-askは損保ジャパン分を含む延べ件数、旭化成系サイトは医療従事者と従業員の合計、第一興商は従業員を含む約872.4万件、ハイホーは契約単位、ローソンはIDとアプリ予約の合計、skyticketは3件の合計、NewsPicksは項目ごとの最大件数（36.2万件）、JR東日本・ビューカードは3つの会員ののべ件数、Communeは推計人数で計算し、件数未公表のヤマト運輸・佐川急便と、ランサムウェアの京王グループ・IDCFクラウドは含まない）、発覚日の整理、傾向の整理は筆者によるものです。アイキャッチ背景：D Coetzee「UPS Power Management Module, iDataPlex racks with network cabling in NERSC data center (2).jpg」（Wikimedia Commons、CC0）をトリミング・明るさ調整・文字入れ。
コメント