2026年の情報漏えい・サイバー攻撃 一覧（国内・海外）——56件から見える侵入口の違いと、今日やること

日本郵便（郵便局アプリ）

「郵便局アプリ」への外部からの不正アクセスで、住所録や送り状の情報を含む顧客情報が取得されたと公表。

規模

19名分・69件

原因

未公表

出典

日本郵便ITmedia

京王電鉄

グループのサーバーがランサムウェア攻撃を受け、一部グループ会社の営業システムに障害が出たと公表。鉄道運行への影響はなく、情報漏えいは確認されていないとした。

規模

—

原因

未公表

出典

京王電鉄

タイムズモビリティ（タイムズカー）

Webシステムへの不正アクセスで、退会者を含む会員情報と、運転免許証などの本人確認書類の画像が漏えいしたと公表。

規模

約660万件（うち本人確認書類の画像 約160万件）

原因

未公表

出典

タイムズカー 第2報第3報

佐賀大学

事務部門のNASでランサムウェアとみられるファイル暗号化を確認したと公表。教育・研究・診療のシステムへの影響は確認されていないとした。

規模

—

原因

未公表

出典

佐賀大学ITmedia

オーストラリア政府（Medicare統計ポータル）

AI企業の評価中だったAIエージェントが、政府のMedicare統計ポータルに到達していたと首相が公表し、豪州サイバーセキュリティセンターが注意喚起を出した。

規模

—

原因

未公表

出典

pm.gov.aucyber.gov.au

Helpfeel（Gyazo）

画像共有サービスGyazoへの不正アクセスで、ユーザー情報と画像のメタデータ（OCRテキスト・位置情報など）が漏えいしたと公表。

規模

ユーザー情報約2,362万件、画像メタデータ約4.9億件

原因

画像アップロードサーバーの脆弱性を悪用した任意コマンド実行

出典

Helpfeel

アイスタイル（@cosme）

外部のファイル転送サービスの公開設定の不備で、会員情報を含むファイルが一時的にURLを知る人なら誰でも見られる状態だったと公表。

規模

10,997名

原因

ファイル転送サービスの公開設定の不備

出典

アイスタイル

CenterPoint Energy（米国・電力ガス）

外部に公開しているシステムの1つから、第三者が顧客の一部の個人情報を取得したとSECに届け出た。供給には影響なし。

規模

—

原因

外部公開システムからの取得

出典

SEC 8-K

Revolut（英国・金融）

政府機関を装った偽のデータ開示請求に応じ、一部顧客の本人確認書類の写しや取引履歴を渡してしまったと公表。システムと資金は無事としている。

規模

「ごく少数」の顧客

原因

政府機関を装った偽のデータ開示請求

出典

Malwarebytes

デジタル庁

ガバメントソリューションサービス（GSS）への不正アクセスで、職員等の個人情報が漏えいした可能性があると公表。

規模

約24.6万件

原因

VPN機器の脆弱性を利用した侵入

出典

デジタル庁

McKesson（米国・医薬品流通）

一部の外部アプリケーションからデータが持ち出され、顧客の一部に影響したとSECに届け出た。流通業務には影響なし。

規模

—

原因

外部アプリケーションへの不正アクセスと持ち出し

出典

SEC 8-K

マンチェスター空港グループ（MAG・英国）

駐車場・ラウンジ・Wi-Fiなどの申込データに第三者がアクセスしたと公表。空港の運用には影響なし。

規模

顧客約870万人

原因

未公表

出典

Security Affairs

Boston Scientific（米国・医療機器）

サイバー事案で世界規模のネットワーク障害が起き、製造・受注・出荷に影響したとSECに届け出た。

規模

—

原因

未公表

出典

SEC 8-K

楽天ブックスネットワーク

社内の一部PC端末が不正アクセスを受け、端末内に顧客情報などが保存されていたと公表。

規模

顧客33,333件

原因

未公表

出典

楽天ブックスネットワーク

さくらインターネット

レンタルサーバー環境と販売管理システムへの不正アクセスを公表。販売管理システムへの不正アクセスは約3年続いていた。

規模

最大約136万アカウント

原因

未公表

出典

さくらインターネット

フランス公共財政総局（DGFiP・税務）

職員と認可された外部事業者の認証情報が不正に使われ、課税関連データが取得されたと公表。納税サイトと利用者アカウントは無事としている。

規模

個人・事業者約67.8万件（報道）

原因

職員・外部事業者の認証情報の不正利用

出典

impots.gouv.fr

CSDD（ラトビア・道路交通安全局）

2008年までさかのぼる支払い記録のデータが持ち出されたと公表。のちに同局の役員会が辞任した。

規模

約120万人（と法人）

原因

未公表

出典

LV portālsLSM

RIZAP（APORITOオンラインストア）

ECサイトに不正なスクリプトが設置され、5月1日〜8月5日の利用者の個人情報とクレジットカード情報が流出した可能性があると公表。

規模

—

原因

不正スクリプトの設置

出典

RIZAP

科学技術振興機構（JST）

第三者の不正アクセスで、一部役職員のメールボックス内のメールが外部に漏えいした可能性があると公表。

規模

役職員12名のメール約18,000件

原因

未公表

出典

JST

中部電力

一部システムの資格情報が不正に使われ、役職員の電子メールなどが閲覧された可能性があると公表。

規模

電子メール約2,400件と連絡先情報

原因

システムの資格情報の不正利用

出典

中部電力

イノベーション（ITトレンド）

開発に使うGitHubへの不正アクセスで、リポジトリ内にあった個人情報が漏えいしたと公表。

規模

62,691名

原因

設定ファイルに書かれた認証情報の漏えいと、リポジトリへの個人情報の保存

出典

イノベーション

京都府

運営を委託する学習サイトで、会員の氏名などが誰でも閲覧できる状態だったと公表。

規模

最大1,338名

原因

システムの不備で公開状態になっていた

出典

京都府

PNLD（英国・警察向け法令データベース）

警察官・職員・刑事司法関係者の連絡先が取得され、ダークウェブに公開されたことを確認した。

規模

—

原因

未公表

出典

PNLD

生命保険協会

生命保険契約照会システムの利用者の個人情報が、外部から特定の操作で閲覧できる状態だったと公表。

規模

約37,000件

原因

外部から特定の操作で閲覧できる状態だった

出典

生命保険協会

Origin Energy（豪州・電力ガス）

顧客データが無断でアクセス・開示されたと豪州証券取引所に届け出た。カード番号や口座番号の一部も含まれる。

規模

現・元顧客約90万人

原因

未公表

出典

ASX releaseCyber Daily

DentaQuest（米国・歯科保険）

従業員がだまされて認証情報と多要素認証のコードを渡し、健康情報と本人情報が持ち出されたとして通知を始めた。

規模

2,300万人超（届出として報道）

原因

ソーシャルエンジニアリングで認証情報とMFAコードを詐取

出典

Security Affairs

Hugging Face

自律的に動くAIエージェントによる侵入を公表。公開モデルやデータセットへの改ざんは見つかっていないとした。

規模

—

原因

データセット処理基盤の脆弱性2件を起点に内部へ横展開

出典

Hugging Face

Abbott（米国・がん診断事業）

電話を使ったなりすまし（ビッシング）で旧システムの一部に不正アクセスされ、健康情報を含むファイルがあったと公表。

規模

—

原因

電話によるなりすまし（ビッシング）

出典

Abbott

ニチレイ

サイバー攻撃によるシステム障害で冷蔵倉庫や冷凍食品の出荷に影響が出たと公表し、8月に国内グループ会社の従業員情報の一部に漏えいのおそれがあるとした。

規模

—

原因

未公表

出典

ニチレイ@IT

名鉄協商（カリテコ）

ランサムウェアによるシステム障害を公表し、8月にカーシェア「カリテコ」の現会員・元会員の情報（運転免許証情報を含む）が流出した可能性を否定できないとした。

規模

—

原因

サーバーへの不正アクセス

出典

カリテコScanNetSecurity

加賀ソルネット

大学生・教職員向けECサイトへの不正アクセスで、顧客情報が外部に送信されたと公表。

規模

165,587名

原因

システムの脆弱性の悪用

出典

加賀ソルネットScanNetSecurity

アフラック生命保険

契約者専用サイト等への不正アクセスで、顧客約440万人（うち口座情報約22万人）と代理店の情報が漏えいしたと公表。

規模

顧客約440万人、代理店約4万店

原因

契約者向けサイト等でアクセスとデータ照会の制御が不十分だった

出典

アフラック

KDDI

ISP事業者6社向けに提供するメールシステムが不正アクセスを受け、メールアドレスとパスワードの漏えいを確認したと公表。

規模

メールアドレス約1,223万名、うちパスワード約762万名

原因

第三者製ソフトウェアの脆弱性の悪用

出典

KDDI

Carnival（米国・クルーズ）

従業員がソーシャルエンジニアリングでだまされ、旅券番号や運転免許証番号を含む個人情報がコピーされたとして通知を始めた。

規模

約600万人（州当局への届出として報道）

原因

従業員へのソーシャルエンジニアリング

出典

Help Net Security

GitHub

従業員の端末が不正な拡張機能で侵害され、社内リポジトリが持ち出されたと公表。顧客のリポジトリへの影響は確認されていないとした。

規模

社内リポジトリ約3,800

原因

不正なVS Code拡張機能による従業員端末の侵害

出典

GitHub Blog

Nx（VS Code拡張機能）

TanStackの件で盗まれた開発者の認証情報が使われ、不正な拡張機能が1時間弱、配布サイトに置かれた。

規模

拡張機能1バージョン

原因

上流のnpm侵害で盗まれた開発者の認証情報

出典

Nx

TanStack（npmパッケージ）

CI/CDの設定の弱点を連鎖的に突かれ、6分間に不正なバージョンが公開された。約1時間で非推奨化された。

規模

42パッケージの不正版84件

原因

CI/CDワークフローの設定の弱点

出典

TanStack

Instructure（Canvas・教育SaaS）

多くの教育機関が使う学習管理システムの利用者データにアクセスされ、1週間後には利用者向けページも書き換えられたと公表。

規模

—

原因

無料の教員向け製品の脆弱性を足がかりにした侵入

出典

Instructure

Basic-Fit（オランダ・フィットネス）

会員の来館システムへの不正アクセスで、銀行口座情報を含む会員情報が流出したと公表。

規模

6か国の会員約100万人

原因

未公表

出典

BleepingComputer

Booking.com

第三者が一部の宿泊客の予約情報にアクセスしたとして、予約用PINをリセットし、対象者に通知した。

規模

—

原因

未公表

出典

BleepingComputer

日本郵船

グループで使う船舶燃料の調達システムが不正アクセスを受け、従業員と取引先従業員の個人情報を含むデータが持ち出されたと公表。

規模

—

原因

未公表

出典

日本郵船ScanNetSecurity

いえらぶGROUP

不動産事業者向けクラウドサービスへの不正アクセスで、社外関係者の情報が読み出されたと公表。

規模

—

原因

システムの脆弱性を発端とする不正アクセス

出典

いえらぶGROUPScanNetSecurity

CAMPFIRE

システム管理用のGitHubアカウントへの不正アクセスを公表し、その後データベースへのアクセスも確認。一部の銀行口座情報も含まれた。

規模

225,846人

原因

管理用GitHubアカウントへの不正アクセス

出典

CAMPFIREScanNetSecurity

阿波銀行

行内OAシステムのテスト環境が不正アクセスを受け、そこに保管していた顧客情報等が漏えいしたと公表。

規模

のべ27,745件

原因

テスト環境への不正アクセス

出典

阿波銀行ScanNetSecurity

YCC情報システム

ファイルサーバーがランサムウェア攻撃を受け、自治体などの取引先から預かっていた情報の一部が漏えいしたおそれを否定できないと公表。

規模

—

原因

未公表

出典

YCC情報システムScanNetSecurity

axios（npmパッケージ）

広く使われるHTTPライブラリの不正なバージョンが、乗っ取られたメンテナーのアカウントから公開され、数時間で削除された。

規模

—

原因

メンテナーのアカウント乗っ取り（長期間有効なnpmトークンが疑われる）

出典

GitHub issueInfoQ

Navia Benefit Solutions（米国・福利厚生管理）

社会保障番号を含む個人情報と福利厚生プランの情報が取得されたとして、約270万人への通知を始めた。

規模

約270万人

原因

未公表

出典

California AGSecurityWeek

メディカ出版

ランサムウェア被害による情報漏えいを公表。著者等の銀行口座番号や従業員の人事情報も含まれるとした。

規模

約77万2,000件（重複を含む可能性）

原因

未公表

出典

メディカ出版ScanNetSecurity

Stryker（米国・医療機器）

サイバー事案で世界中のMicrosoft環境が止まり、受注・製造・出荷に影響したと米証券取引委員会（SEC）に届け出た。

規模

—

原因

未公表

出典

SEC 8-K

村田製作所

IT環境への第三者の不正アクセスでデータが不正に取得されたと公表。第3報で漏えいの可能性がある個人情報を約8.8万件とした。

規模

約8.8万件

原因

未公表

出典

村田製作所ScanNetSecurity

ミシシッピ大学医療センター（米国）

サイバー攻撃でネットワークと電子カルテが止まり、州内35の診療所が1週間以上閉鎖された。病院と救急は継続した。

規模

—

原因

未公表

出典

UMMCTechTarget

日本医科大学武蔵小杉病院

ランサムウェア攻撃で患者約13万人分の個人情報が漏えいしたと公表。カルテ情報の漏えいは確認されていないとした。

規模

患者約13万人、職員等約1,700人

原因

VPN装置の脆弱性を悪用した不正アクセス

出典

武蔵小杉病院ScanNetSecurity

マイナビ

利用するクラウドサービスが第三者の不正アクセスを受け、ユーザーと取引先担当者の個人情報が流出した可能性があると公表。

規模

一般ユーザー74,224件（第3報時点）

原因

利用するクラウドサービスへの不正アクセス

出典

マイナビScanNetSecurity

穴吹ハウジングサービス

一部サーバーのランサムウェア被害を公表し、5月の第6報で漏えいの可能性がある個人情報を207,773件と確定した。

規模

207,773件（第6報で確定）

原因

グループ会社のネットワーク機器の脆弱性を突かれた

出典

穴吹ハウジングサービスScanNetSecurity

イリノイ州福祉局（米国）

利用者データを含む内部の計画用地図が、地図サイトのプライバシー設定の誤りで数年にわたり誰でも見られる状態だったと公表。

規模

約70.5万人

原因

地図サイトの公開設定の誤り

出典

IDHS

Betterment（米国・投資サービス）

ソーシャルエンジニアリングで外部のマーケティング・業務基盤に侵入され、一部顧客に偽の暗号資産案内が送られ、連絡先情報が流出したと公表。口座とパスワードは無事としている。

規模

—

原因

ソーシャルエンジニアリングによる外部基盤への侵入

出典

BettermentBleepingComputer