2026年の情報漏えい・サイバー攻撃 年表（国内・海外）——203件を影響度つきで一覧、そこから見える傾向

ニフティ

最大542,513件（影響の可能性がある件数。人数は未公表）

同社の第一報によれば、社内用の回線申込・受付管理システムへの不正アクセスを10月19日に確認し、通信元を遮断した。2019年以降の指定3回線サービス申込者（同社Webサイト経由を除く）の会員ID・氏名・生年月日・住所・電話番号・メールアドレスなどが漏えいした可能性がある。実際の漏えい情報は調査中。口座・カード情報はシステムに保有せず対象外とし、パスワードについては記載していない。

• 氏名・連絡先

エイチ・ツー・オー リテイリング・阪急阪神百貨店（H2O ID）

約126万件（H2O ID。人数とは限らない）

両社の10月19日発表によれば、予約サイト経由の不正アクセスで、約126万件のH2O IDの個人情報の一部が漏えいした。氏名・住所・電話番号・生年月日などを含む。E-STORESとRemo Orderが保持する注文履歴やカード情報の一部などの漏えいの可能性は調査中。カード番号全桁・セキュリティコードは保持せず、パスワード漏えいは確認されていないとした。3サイトを停止し、詳しい原因は調査中。

• 氏名・連絡先
• 業務停止

Joshin（株式会社Joshin）

同社の10月17日発表によれば、16日に不正アクセスを認識し、外部アクセスの制限などの対応後、一部サービスを提供できない状態となった。情報流出の有無は確認中で、個人情報漏えいの可能性を否定できないとして個人情報保護委員会へ第一報を入れた。

• 業務停止

ConnectWise（Cloud Backup、旧SkyKick）

IT管理事業者（MSP）向けのMicrosoft 365バックアップサービス「Cloud Backup（旧SkyKick）」で10月14日に問題を検知し、その後、関連するアプリケーションのID（Microsoft 365上のアプリ用アカウント）への不正アクセスを確認したと公表。Cloud Backupを停止して定期バックアップが止まり、SaaS Security・Cloud Managementも予防的に一時停止した。10月17日にはCloud Backup・Cloud Managementを含むアプリのID 7つを無効化し、接続に使う証明書を失効させた。保存済みのバックアップが見られた形跡はないとする一方、利用企業側のMicrosoft 365環境が影響を受けたかは同社からは判断できないとして、復旧の案内があるまで全テナントでアプリを無効のままにし、権限・認証情報・メール転送ルールなどを点検するよう求めている。調査したセキュリティ企業は、この認証情報を使った不正なサインインを162テナントで確認した（10月16日時点）と報告し、その後300を超えるテナントでサインインが成功していたとした。原因は調査中。

• 業務停止

Studio（Web制作サービス）

同社の第一報によれば、一部機能の脆弱性を悪用した不正アクセスで、全登録者のアカウント情報、保存済みフォーム回答、外部サービスのAPIキーなどが流出した可能性がある。第三者による実際の取得は確認できていないが、取得されたものとみなして対応している。脆弱性を修正し、経路は遮断済みとしている。

• パスワード
• 氏名・連絡先
• ソースコード・認証情報

米メリーランド州アナランデル郡

8月28日に郡のネットワークの一部で不審な動きを検知し、権限のない者が一部のシステムに入り込み、ファイルを複製していたと公表。中身は確認中で、連邦の法執行機関に通報した。犯罪グループの主張については確認もコメントもしないとした。

米連邦司法府（破産通知センター）

破産裁判所の通知を全米に送る破産通知センターで、運営を委託している企業のIT環境がサイバーセキュリティ事案の影響を受け、システムとサイトがすべて使えなくなったと公表。破産通知の作成と送付が止まっている。データへの影響や復旧時期は示していない。

• 業務停止

メドレー（医療機関向けシステム「アットリンク」）

対象となる可能性のある医療機関は最大787件（アットリンク等を利用する全医療機関。患者数・項目は調査中）

医療機関向けの業務支援システム「アットリンク」などに第三者の不正アクセスがあったと公表。10月11日に外部の専門機関から情報提供を受けて調査し、不正アクセスを確認、14日深夜にサービスを一時停止した。アットリンク等に登録された患者などの個人情報が外部に漏えいした可能性があるとし、漏えいの有無と範囲（項目・対象の医療機関）は調査中。対象となる可能性のある医療機関は最大で全787件。個人情報保護委員会に報告し、警察に相談した。10月19日の続報では、調査に想定以上の時間がかかっており、10月20日をめどに改めて報告する予定と案内している。

• 業務停止

Ampath（南アフリカ・臨床検査）

10月2日にITシステムの一部への不正アクセスを検知したと報道機関向けに説明。影響を受けた可能性があるのは一部の個人属性・事務的な情報で、カルテ・診断・検査結果・銀行情報が侵害された証拠は現時点でないとしている。情報規制当局に届け出た。攻撃者側が主張する「8,000万件」はデータベースの行数とみられ、人数を大きく誇張しているとの見解。

• 氏名・連絡先

Fivot（IDARE）

129,659人（退会者を含む）

キャッシュレスサービス「IDARE」で、対象者全員の電話番号・メールアドレス・生年月日・残高・取引履歴・カード名義と有効期限の漏えいを確認したと公表。一部の対象者は氏名・住所・本人確認書類の番号・カード番号の一部（下4桁、入金用クレジットカードの先頭6桁と下4桁）・口座番号の下3桁も含む。パスワード・本人確認書類の画像・マイナンバー・カード番号の全桁・セキュリティコード・暗証番号は対象外。不正な取引は確認されていないとしている。

• 公的番号
• カード情報
• 口座情報
• 氏名・連絡先

JR九州フードサービス

約26,900名（会員約61,500名のうち）

うまや・たんやなど24店舗で使う顧客管理アプリの提供事業者が不正アクセスを受け、一部の会員情報の漏えいが判明したと公表。項目はユーザーID・電話番号・氏名・性別・メールアドレス・住所・生年月日（「漏えいした可能性がある」として列挙、ID・電話番号以外は任意の登録項目）。パスワード・カード番号などの決済情報・購買履歴は対象外。（当サイト注：JR九州本体のWeb会員の件とは別の事案）

• 氏名・連絡先

英国住宅オンブズマン（Housing Ombudsman Service）

苦情管理システムのデータに対する不正アクセスを調査中と公表（システムは第三者の事業者が提供）。システムはオフラインで、オンラインでの新規の苦情申立て・案件の閲覧・ウェブチャット・ウェブフォームなどが利用できない（メール・電話では受け付け）。影響を受けた情報は事業者からの情報を待って調査中で、必要な場合は本人に直接連絡する。情報委員会（Information Commission）を含む当局へ報告し、外部のセキュリティ専門家の支援を受けている。

• 業務停止

Meta

個人データは約1,500人分（主に米国の従業員）

従業員の盗まれた認証情報で一部のGitHubリポジトリに侵入され、ソースコードなどの業務データと、約1,500人分の個人データ（本来置いてはならないものが誤って置かれていた）が取られたと報道機関に説明。個人データの項目は公表されておらず、相当部分は合成・匿名化したテストデータだったとしている。リポジトリ内の秘密情報は無効化・再発行済みで、製品の脆弱性や社内システムへの侵入ではないとしている。

• ソースコード・認証情報

Icon Oncology Group（豪州・がん治療）

委託先のシステムに保管されていた一部の患者情報に不正アクセスがあったと公表（現時点では豪州のみ）。10月15日更新の発表では、対象は外部で運用・管理されている、受信したファクスをメールに変換するプラットフォームで、患者情報をやり取りする同社の主要なシステムではないと説明。直ちに封じ込め、中核の診療・患者管理システムは影響を受けていないとし、全システムが稼働中で安全だとしている。完全なカルテではなく業務上のやり取りに関わる個別の文書とみており、該当する患者と主治医に直接連絡するとしている。診療への影響はない。

• 医療・健康

高島屋（メールマガジン）

メールマガジン配信の委託先が使うクラウド基盤が不正アクセスを受け、システム障害が起きたと公表。基盤には高島屋オンライン会員のメールアドレス・氏名・生年月日・郵便番号・市区郡までの住所などが保持されていた。10月9日時点で流出は確認されていないとし、メールマガジンの配信を当面停止した。

• 氏名・連絡先

Peach Aviation（予約関連メール）

メール配信システム上の約189万件（流出は未確認）

予約関連メールの配信に使うクラウドサービスが10月7日にランサムウェア攻撃を受け、旅程表メールの送信が遅れたり届かなくなったと公表。対象サーバーには約189万件のメールアドレス・氏名（アルファベット）・電話番号・予約番号・旅程があったが、現時点で外部流出は確認されていないとした。カードやパスポートの情報は保存されていない。運航への影響はない。

• 氏名・連絡先

リゾートトラスト

グループ会員約2万6千件、ザ・カハラホテル&リゾート 横浜の予約者約3万6千件

同社が管理するウェブサイトに不正アクセスがあり、一部のグループ会員と「ザ・カハラホテル&リゾート 横浜」予約者の個人情報が漏えいしたと公表。10月5日20時30分頃〜23時30分頃にシステムの異常な作動があり、10月7日に漏えいを確認した。漏えいした項目は示しておらず、利用履歴・医療情報・カード情報・口座情報・メールアドレス・本人確認書類は当該システムに含まれないとした。

Ricardo（スイス・フリマ／オークション）

約89万アカウント

スイスのオンラインマーケットプレイス「Ricardo」で、注文にひも付く個人データへの不正アクセスがあったと親会社が公表。10月7日にサーバー上の不審な動きを検知し、約89万アカウントの氏名・住所・電話番号（法人ユーザーは会社名も）が露出した。メールアドレスとパスワードは影響を受けていないとした。

• 氏名・連絡先

ココナラ（ココナラスキルマーケット）

履歴書449件・職務経歴書関連書類1,845件

「ココナラスキルマーケット」に10月8日に不正アクセスがあり、一部会員が提出した履歴書と職務経歴書関連書類が外部に持ち出されたと公表。カード情報やパスワードは対象外とした。

• 氏名・連絡先

Tensorlake（npm パッケージ）

メンテナのアカウントが乗っ取られ、正規のリリース手順から npm の tensorlake 0.5.144 が公開されたと公表（約1時間40分公開）。インストール時に開発環境の認証情報を盗み、書き込める他のパッケージへ自分を広げる。盗まれた GitHub トークンを失効させるとホームディレクトリを消す常駐プロセスを入れるため、先に常駐を取り除いてからトークンを失効させるよう求めている。PyPI・crates.io・CLI は影響なし。

• ソースコード・認証情報

ユーザベース（NewsPicks）

最大でメールアドレス32.3万件・カード情報の一部36.2万件など（10/9第2報）

「NewsPicks」が業務で使う管理ツールが不正アクセスを受け、利用者のメールアドレス・氏名・生年月日・配送先住所・勤務先・カード名義と番号の下3〜4桁などが漏えいした可能性があると公表。カード番号の全体とセキュリティコードは保存しておらず対象外で、パスワードの漏えいも確認されていない。

• 氏名・連絡先

コミューン（Commune）

約30.7万人（推計。うちメールアドレスを含む約12.6万人＝同社の従業員・テスト用デモアカウント計約4.2万人を含む）

企業向けコミュニティサービス「Commune」「Commune for Work」が不正アクセスを受け、10月5日18時ごろ〜6日21時ごろと、10月7日13時17分〜14時36分に一部コミュニティの会員情報が漏えいしたと公表。約12.6万人はメールアドレスを含む情報（うち約4.2万人は同社の従業員・テスト用デモアカウント）、約18.1万人は表示名・自己紹介・非公開グループの所属など。144人のパスワードが本人の操作によらず仮パスワードに変更されていた（パスワードそのものの漏えいは確認されていない）。10月9日以降に新たな漏えいは確認されていないが、流出したメールアドレスの悪用を防ぐため10月10日から全コミュニティを止め、管理者アカウントの二要素認証の必須化などの対策をとったうえで、10月16日から希望した利用企業より順次、Webブラウザ版に限り機能を制限して再開した（アプリ版・メールアドレスでの新規登録・パスワード再設定は停止中）。Sansan・スズキ（約3,000人）・LINEヤフー（1,750人）・湖池屋（最大1,800件）・ヤマハ（約1,600人）・カルビーなど、複数の利用企業も影響を公表した。日本能率協会マネジメントセンターの「時間〈とき〉ラボ」（2,950人）では、プロフィール欄に書かれた氏名・住所・年齢・電話番号も漏えいしたとしている。

• 氏名・連絡先

オリックス生命保険

約26,500件（複数回の問い合わせを含む）

公式サイトからの問い合わせの管理に使う委託先のサービスに不正アクセスがあり、氏名・生年月日・住所・電話番号・メールアドレス・証券番号と、顧客が申告した医療情報等を含む問い合わせ内容が漏えいした可能性があると公表。マイナンバーやクレジットカード番号等は含まれない。大和証券・シチズン時計・損保ジャパンと同じ委託先の件。

• 医療・健康
• 氏名・連絡先

エイチ・アイ・エス（タイ現地法人）

最大627名

タイ現地法人のファイルサーバーに不正アクセスがあり、タイ旅行の利用者のパスポート情報（氏名・生年月日・旅券番号・有効期限など）とアレルギー情報が流出した可能性があると公表。検知は2025年12月で、全ファイルの確認に時間を要したとした。電話番号・住所・メールアドレス・カード情報は含まれない。

• 公的番号
• 医療・健康

損害保険ジャパン（SMILING ROAD）

問い合わせ単位で延べ約6万件

事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ対応に使う委託先のサーバーに不正アクセスがあり、氏名・電話番号・住所・メールアドレス・勤務先・ドライバーID・運転アラートの情報などが漏えいした可能性があると公表。口座・カード・マイナンバーカードの情報は含まれない。大和証券・シチズン時計と同じ委託先・同じ時間帯（10月2日夜〜3日朝）の不正アクセス。

• 氏名・連絡先

楽天ドライブ

保存データ15,382アカウント／プロフィール情報687アカウント（うち313は暗号化パスワードも）

システムの一部の管理用アカウントの認証情報を第三者に不正に取得され、内部にアクセスされたと公表。15,382アカウントの保存データ（写真・文書など）が閲覧・取得され、687アカウントのアカウント名・表示名などのプロフィール情報、うち313アカウントは暗号化されたパスワードとソルトも対象となった。

• パスワード
• 氏名・連絡先

旭化成セラピューティクス（Pharma DIGITAL）

最大約55.87万人（医療関係者約51.4万人＋約4.4万人、従業員約700人）

医療関係者向け情報サイト「Pharma DIGITAL」へのサイバー攻撃で、会員データベースの個人情報が閲覧・取得された可能性があると公表。医療関係者約51.4万人の氏名・所属施設名・施設住所・職種・診療科、別の約4.4万人はこれらに加えメールアドレスも、従業員約700人は氏名・メールアドレス・写真が対象。不正利用は確認されていないとした。

• 氏名・連絡先

シチズン時計

約10万名分

ウェブサイトの問い合わせフォームを運営する委託先のサーバーに不正アクセスがあり、シチズン・ブローバ・フレデリック・コンスタントの問い合わせに含まれる氏名・住所・電話番号・メールアドレスなどが漏えいした可能性があると公表。問い合わせに口座やカード情報を書いた場合はそれも対象。大和証券と同じ委託先・同じ時間帯（10月2日夜〜3日朝）の不正アクセス。

• 氏名・連絡先

ニモカ（nimoca利用履歴照会サービス）

521件

交通系ICカード「nimoca」の利用履歴照会サービスが攻撃され、サービスから自動送信されるメールを通じてカード番号・生年月日・メールアドレスが漏えいしたと公表。氏名・住所・電話番号・利用履歴の漏えいは確認されていない。利用者の「身に覚えのないメール」の問い合わせで判明し、サービスを停止した。

• 氏名・連絡先

ASOS（英国・ファッション通販）

顧客に無許可のプッシュ通知が送られたと公表し、顧客との連絡に使う外部プラットフォームでの不正な活動を調査中とした。氏名や連絡先などの基本的な個人情報にアクセスされた可能性があり（10月8日の顧客向けメールでは、ほかに個人を特定しないアカウント関連の情報の一部も、と説明＝報道）、カード情報とパスワードは影響を受けていないとみている。

• 氏名・連絡先

大和証券

約11万名（個人を特定できない問い合わせを含め約22万件）

ネット経由の問い合わせ管理に使う委託先のサーバーに不正アクセスがあり、問い合わせ履歴に含まれる氏名・メールアドレス・口座番号などが漏えいした可能性があると公表。この情報だけでは口座へのアクセスや取引はできないとし、同社システムへの不正アクセスは確認されていないとした。

• 氏名・連絡先

大起水産（大起水産公式アプリ）

174,933人（退会者を含む）

回転寿司チェーンの公式アプリのシステムに不正アクセスがあり、2024年11月以降の登録者の氏名・電話番号・メールアドレス・住所・生年月日などが漏えいした可能性があると公表。パスワードは別のサーバーで管理しており対象外とした。

• 氏名・連絡先

GMOリサーチ&AI（infoQ）

894,082件（10/14第2報で確定。10/5第1報は最大948,498件）

アンケートサイト「infoQ」に侵入され、会員の氏名・生年月日・メールアドレス・住所・電話番号・暗号化されたパスワードなどが外部に持ち出されたと公表。一部会員（611件・2,869,500円）のポイントが本人の意思によらずギフトコードに交換されており、全額を補填する（サービス再開時にアカウントへ付与）とした。10月7日に全会員のパスワードを無効化。カード情報とマイナンバーは保有していない。

• パスワード
• 氏名・連絡先

大阪公立大学

少なくとも約13万人分の個人情報が流出したおそれ（流出は調査中）

10月2日未明にランサムウェアによる攻撃を受け、約500台のサーバーが停止したと会見で公表。バックアップデータの多くも暗号化され、復旧の見通しは立っていない。在学生・卒業生などの氏名・住所・メールアドレスなどが流出したおそれがあり、全授業を10月8日まで休講とした。

• 氏名・連絡先
• 業務停止

i-plug（OfferBox）

最大314,009人（期間中に検索対象だった学生）

就活サービス「OfferBox」の企業向け画面で、システム設定の不備により学生の氏名・メールアドレスが通信データに含まれていたと公表（2026年5月12日〜8月28日）。通常の画面には出ず、開発者ツールなどで見える状態で、見えたのは利用企業のみ。攻撃ではなく、企業以外への漏えいは確認されていない。

• 氏名・連絡先

日本経済新聞社

1,646人分（Google Workspace）／なりすましメール約9,000通（Microsoft 365・別件）

社員のGoogle Workspaceアカウントへの外部からの不正アクセスで、社員や取引先などの氏名・メールアドレス1,646人分が漏えいした可能性があると公表。8月上旬にGoogleからの通知で判明した。別件として、9月30日に社員のMicrosoft 365アカウントに第三者が不正にログインし、悪質なサイトへ誘導するメール約9,000通が送られたことも公表した。読者や取材源の情報は含まれないとしている。

• 氏名・連絡先

第一生命保険

約12万名（従業員約5万名、退職者約7万名）

従業員向け人事システムへの不正アクセスで、退職者を含む従業員の氏名・住所・電話番号・所属などが漏えいしたおそれがあると公表。顧客情報へのアクセスは確認されていないとした。

• 氏名・連絡先

アバハウスインターナショナル

社内システムへの不正アクセスで、会員情報と注文情報（商品名・金額・届け先）が漏えいした可能性を公表（退会者は過去の注文の取引記録が対象となった可能性を否定できないとした）。注文内容と一致する偽の返金メールが発覚のきっかけだった。10月9日の続報で、侵入経路は遮断済み・金銭的な被害の申し出は確認されていないとし、警察へ被害届を提出。件数は未公表。

• 氏名・連絡先

Frontline Education（米国・学区向けSaaS）

利用する外部ソフトウェアの脆弱性を突かれ、学区職員の社会保障番号や住所・メールアドレスにアクセスされたとして通知を始めた。

• 公的番号
• 氏名・連絡先

国税庁（e-Tax）

申告書79人分（個人情報は計203人分）

e-Taxマイページの改修で入った不具合で、本人以外のログイン利用者に贈与税申告書（贈与額・生年月日など）が閲覧できる状態だった。19人が閲覧した可能性。

• 氏名・連絡先

日本原子力研究開発機構

175名（個人情報を含むファイル367件）

委託先のクラウド上の研究支援サイトからファイルが不正にダウンロードされ、身分証の画像（6名はマイナンバー入り）や放射線業務の特殊健康診断結果が含まれていたと公表。

• 本人確認書類
• 公的番号
• 医療・健康

らしんばん

中古アニメグッズ店への不正アクセス（9月14〜16日）で、買取で使った本人確認書類の種別と番号、振込先口座、同意書の画像などが漏えいした可能性を公表。件数は未公表で、カード情報・パスワード・免許証を含む本人確認書類の画像は漏えいなしとした（10月9日追記）。

• 公的番号
• 口座情報
• 氏名・連絡先

韓国の金融機関7社（新韓・KB国民・ハナ・イェガラム貯蓄ほか）

社ごとに発表（合算しない）：新韓銀行 顧客約2万5千人、KB国民銀行 119人、ハナ銀行 89人、イェガラム貯蓄銀行 約4万人（推定）など。ほかに法人顧客の担当者・募集人・委託先職員（報道）

銀行・貯蓄銀行・キャピタル会社の7社で外部からの不正アクセスによる流出が相次いで判明。新韓銀行では年収・融資限度額、一部の社では住民登録番号も含まれる。大統領が徹底調査を指示。共通の原因は確定していない。

• 公的番号
• 氏名・連絡先

佐川急便

約100日分の荷物（件数は調査中）

荷物問い合わせサービスへの不正アクセスで、約100日分の荷物の送り主・届け先の氏名・住所・電話番号などが流出した可能性を公表。自分で佐川を使っていない受取人も対象になり得る。Webサービス9つを停止中。他のシステムへの影響は確認されていないとした。

• 氏名・連絡先
• 業務停止

セイコーマート（セイコーマートアプリ）

574,647人（第四報）

アプリのサーバーを経由して会員情報のサーバーに不正アクセスされ、氏名・住所・生年月日・電話番号・メールアドレスなどが閲覧されたと公表。パスワード情報と購買履歴は漏えいしていないとした。

• 氏名・連絡先

イープラス

1,463件（うち口座情報751件）

電子チケットの払い戻し情報を扱うシステムへの不正アクセスで、払い戻しを申請した人のメールアドレスなどと振込先の口座情報が漏えいしたと公表。会員データベースとは別のシステムとした。

• 口座情報
• 氏名・連絡先

日本郵便（郵便局アプリ）

19名分69件

郵便局アプリへの外部からの不正アクセスで、会員情報・住所録・送り状の情報が不正に取得されたことが判明したと公表。不正利用の形跡は確認されていないとした。

• 氏名・連絡先

Fakturownia（ポーランド・請求書SaaS）

全データ取得 約2,250アカウント（ほかのアカウントは一部）

システムの脆弱性を突かれてデータベースの大部分がコピーされ、取引先の口座番号、パスワードのハッシュ値、APIトークンなどが含まれると公表。カード情報と銀行の認証情報は含まれないとした。

• 口座情報
• パスワード
• 氏名・連絡先
• ソースコード・認証情報

サンポー食品

8月25日に自社ウェブサイトへの不正アクセスを確認し、管理者権限の取得やサイトの改ざんが行われていたと公表。サイトを停止して調査した。お問い合わせフォームの内容はサイト内に保存しておらず、個人情報の漏えいは確認されていないとした。

東京メトロ（メトポ）

約59,000件（メールアドレス）

ポイントサービス「メトポ」で、メール配信を止めていたアドレスを保管するサーバーへの不正アクセスにより、メールアドレス約5.9万件が閲覧・取得された可能性があると公表。

• 氏名・連絡先

スターツ出版（オズモール）

最大442,779名分（10/1第2報で精査。9/27第1報は447,610名分）

会員制サイト「オズモール」への海外からの大量の不正アクセスで、会員と一部の退会者のメールアドレスと一部の氏名・住所（都道府県まで）が閲覧された可能性があると公表。クレジットカード情報は外部決済のため対象外とした。

• 氏名・連絡先

京王電鉄

グループのサーバーがランサムウェア攻撃を受け、一部グループ会社の営業システムに障害が出たと公表。鉄道運行への影響はなく、情報漏えいは確認されていないとした。

• 業務停止

Renfe（スペイン・鉄道）

接続していた鉄道インフラ管理会社の侵害されたサーバーを経由して、利用者の氏名とメールアドレスを中心とする情報にアクセスされたと説明。口座・決済・身分証の情報へのアクセスは確認されていないとした。

• 氏名・連絡先

ニッポンレンタカーサービス（ニッポンレンタカーアプリ）

41名（9/26）＋55名（10/1公表の別の不正アクセス）

アプリのシステムへの不正アクセスで、会員の氏名・連絡先・予約情報が閲覧されたおそれがあると公表。登録者は運転免許証番号・住所・生年月日も対象。カード番号は下4桁のみとした。10月1日には、調査の過程で別の手法による不正アクセス（9月19〜21日）が見つかり、55名の会員情報ページが不正に閲覧されたおそれがあると追加で公表した。

• 公的番号
• 氏名・連絡先

佐賀大学

事務部門のNASでランサムウェアとみられるファイル暗号化を確認したと公表。教育・研究・診療のシステムへの影響は確認されていないとした。9月27日に事務用端末の利用を再開し、28日から通常業務に戻った。

• 業務停止

ダヴェド・ポーイス警察（英国ウェールズ）

サイバー事案で緊急以外のシステム（メールやオンライン窓口）が一時止まったと公表。市民の個人データへのアクセスは確認されておらず、職員の情報については調査中とした。

• 業務停止

オーストラリア政府（Medicare統計ポータル）

AI企業の評価中だったAIエージェントが、政府のMedicare統計ポータルに到達していたと首相が公表し、豪州サイバーセキュリティセンターが注意喚起を出した。

DIVD（オランダ・脆弱性開示の非営利団体）

問い合わせ管理ソフト Zammad の未知の脆弱性2件を突かれた侵入を公表し、侵入後の操作はAIエージェントによるものと分析した。ボランティアのメールアドレスの持ち出しは確定し、CSIRTの問い合わせ管理システムからは脆弱なシステムのIPアドレスを含み得るやり取りの一部が持ち出されたとした。

• 氏名・連絡先

J:COM

約408万件（加入世帯）

「外部から大量のアクセスがあり、DNSサーバに高負荷が発生した」ことで、インターネット・テレビ・モバイルなどが約9時間使いにくくなったと公表。情報漏えいへの言及はない。

• 業務停止

Astrana Health（米国・医療）

社員になりすまし、代表電話番号を偽装したソーシャルエンジニアリングでシステムに侵入され、患者・従業員などの情報にアクセスされたとSECに届け出た。

• 医療・健康
• 氏名・連絡先

GMOインターネット（ConoHa WING）

426アカウント（Webサーバー領域のデータ）

レンタルサーバー「ConoHa WING」の一部収容ホストで、顧客のWebサーバー領域に第三者が不正アクセスし不正なプログラムを設置したと公表。9月3日に始まり、16日に検知、18日に排除。会員・契約・支払い情報は別の環境で管理しており「漏えいはございません」としたが、Webサーバー領域のデータが持ち出されたかは記載なし。対象者には登録メールアドレスへ個別に連絡し、連絡がない人は対象外としている。

CrowdSec（フランス・セキュリティ）

非公開リポジトリ約170件

TanStackの件で不正版に感染した退職者の端末から、失効していなかったGitHubの認証トークンが盗まれ、ソースコードが持ち出されたと公表。顧客・パートナーの情報は含まれないとした。

• 氏名・連絡先
• ソースコード・認証情報

BigCommerce（米国・ECプラットフォーム）

「少数の」加盟店ストア

外部アプリの開発会社が侵害され、そのアプリのAPI認証情報で一部加盟店の顧客の氏名・メール・電話番号・配送先が取得されたと加盟店に通知。自社基盤は侵害されていないとした。

• 氏名・連絡先

大興印刷（PhotoGoods）

グッズ作成サービスの決済画面にカード情報を盗むプログラムが仕込まれ、8月6日〜9月11日に入力されたカード番号・有効期限・セキュリティコードが漏えいした可能性があると公表。サービスは停止中。

• カード情報
• パスワード
• 氏名・連絡先
• 業務停止

CenterPoint Energy（米国・電力ガス）

外部に公開しているシステムの1つから、第三者が顧客の一部の個人情報を取得したとSECに届け出た。供給には影響なし。

• 氏名・連絡先

キングプリンターズ

9月10日に自社のシステム基盤への不正アクセスを検知し、9月14日16時までサイトと関連機能を止めたと公表。9月25日の第2報で、目的は同社が保有する認証情報を使った生成AIサービスの不正利用とみられるとした。外部へデータが送られた痕跡はなく、顧客の個人情報や各種データの漏えいは確認されていない（9月25日時点）。決済情報はサーバーに保持していない。10月初旬から外部の専門機関による詳細な調査を予定している。

• 業務停止

Revolut（英国・金融）

「ごく少数」の顧客

政府機関を装った偽のデータ開示請求に応じ、一部顧客の本人確認書類の写しや取引履歴を渡してしまったと公表。システムと資金は無事としている。

• 本人確認書類
• 口座情報

デジタル庁

約24.6万件

ガバメントソリューションサービス（GSS）への不正アクセスで、職員等の個人情報が漏えいした可能性があると公表。

• 氏名・連絡先

ロート製薬

通信販売で使うシステムへの不正アクセスで、電話の通話音声データと顧客管理システムの情報が取得された可能性があると公表。件数と対象者は調査中。

• 氏名・連絡先

日本エネルギー経済研究所

パスポート情報13件の漏えい、メールアドレス759件などの漏えいの可能性

フィッシングを起点に所員6名のMicrosoft 365アカウントへ不正アクセスがあり、ファイル2,798件がダウンロードされたと公表。続報でパスポート情報13件の漏えいと、メールアドレスや一部の口座情報の漏えいの可能性を明らかにした。外部機関からの連絡で判明した。

• 本人確認書類
• 口座情報
• 氏名・連絡先

フロリダ州 高速道路安全・自動車局（米国）

運転者・車両データベースに、警察職員の個人端末に保存されていた認証情報で不正アクセスされたと認めた。影響件数とデータの種類は公表していない。

• 氏名・連絡先

ApplyNow（採用・労務SaaS）

総数は調査中（うち吉野家HD関連5,784件＝吉野家の応募者4,998件・はなまるの応募者368件・グループ従業員418件。アカウント数で人数とは一致しない）

データ分析ツールの脆弱性を突かれて約1か月不正アクセスが続き、電子契約サービスのマイナンバー・基礎年金番号・口座情報や応募者の情報が対象になったと公表。元取引先の吉野家HDは、契約終了後に消えているはずだった応募者の情報（吉野家4,998件・はなまる368件）と、採用を担当したグループ従業員418件（ユーザー名・メールアドレス・暗号化されたパスワード）の計5,784件が含まれていたと公表した。

• 公的番号
• 口座情報
• パスワード
• 氏名・連絡先

Veradigm（米国・医療IT）

「少数の」顧客

委託先の環境から自社APIの認証情報が取得され、患者の個人データ（一部は社会保障番号）がダウンロードされたとSECに届け出た。医療・臨床データは含まれないとした。

• 公的番号
• 氏名・連絡先

東京科学大学

情報基盤への不正アクセスで、学生・教職員などの氏名・住所・メールアドレスを含む個人情報が漏えいした疑いがあると公表。病院の患者情報の漏えいは確認されていないとした。

• 氏名・連絡先

Weverse（韓国・ファンコミュニティ）

422,584件（アカウントID単位）

決済を扱う外部向けAPIの脆弱性を突かれ、購入・決済・返金の履歴が流出したと公表。氏名や連絡先は含まれないとされる。

IDScan.net（米国・本人確認サービス）

本人確認サービスのクラウド環境の一部に不正アクセスされ、運転免許証や旅券の番号がコピーされた可能性があると公表。

• 公的番号
• 氏名・連絡先

鳥取県（放射線監視システム）

原子力防災用の放射線監視システムの主サーバーがランサムウェア被害を受けて停止したと公表。副監視局で監視は続いており、システム内に個人情報はないとした。

• 業務停止

三井不動産

最大5.5万件（役職員 最大19,000件、社外 最大36,000件）

一部システムの認証情報が不正に使われ、役職員と社外の人の氏名・メールアドレスなどが閲覧された可能性があると公表。業務データやパスワードの漏えいは確認されていないとした。

• 氏名・連絡先

Amadeus（iHotelier・ホテル予約基盤）

「ごく限られた数」

ホテル予約基盤iHotelierにつながるAPIで不審な動きを9月11日に検知したと広報担当者が説明。宿泊客の氏名・連絡先・予約内容が対象で、決済情報やパスワードは含まれないとされる。

• 氏名・連絡先

まんだらけ

配送情報のサーバーへの侵入を確認して通販を止め、8月28日朝までの注文者の氏名・住所・電話番号・メールアドレスが漏えいした可能性を公表。持ち出しの形跡は現時点で確認されていないとした。

• 氏名・連絡先
• 業務停止

McKesson（米国・医薬品流通）

一部の外部アプリケーションからデータが持ち出され、顧客の一部に影響したとSECに届け出た。流通業務には影響なし。

• 氏名・連絡先

カインドオル

136,464名

ECプラットフォームの管理用アカウントに第三者がログインし、顧客情報が2回にわたり一括で書き出されたと公表。カード番号とログインパスワードは含まれないとした。

• 氏名・連絡先

Hasbro（米国・玩具）

従業員の個人情報と金融情報に不正アクセスがあったとして通知を始めた。身分証番号や金融口座の情報が含まれる場合があるとした。

• 公的番号
• 口座情報
• 氏名・連絡先

Boston Scientific（米国・医療機器）

サイバー事案で世界規模のネットワーク障害が起き、製造・受注・出荷に影響したとSECに届け出た。

• 業務停止

米アルコール・たばこ・火器及び爆発物取締局（ATF）

他のシステムとつながっていない単独のシステムへの侵入を確認して停止し、議会報告の対象となる「重大インシデント」に指定した。捜査対象者に関する情報が含まれると報じられた。

• 氏名・連絡先

Solimut Mutuelle de France（フランス・共済）

オンラインサービスが悪用されたサイバー攻撃で個人データの侵害が起きたと会員に告知。件数とデータの種類は公表していない。

Nutex Health（米国・病院運営）

サーバー上の情報に第三者がアクセスし、持ち出されたとSECに届け出た。患者・従業員などのデータが含まれるかは調査中で、業務への重大な影響はないとした。

SickKids（カナダ・小児病院）

他の組織も使う外部ソフトウェアの脆弱性を突かれ、現職・元職員と求職者の個人情報に不正アクセスがあったと公表。診療システムと患者情報には影響なしとした。

• 氏名・連絡先

VOISING

約17万件

利用するBIツールの既知の脆弱性を修正前に突かれ、ファンクラブ・公式ストアの氏名・住所・購買履歴などが漏えいしたと公表。一部はSNSなどに掲載された。

• 氏名・連絡先

ベルリン州政府（ドイツ）

2つの省庁を州のネットワークから切り離し、約9日間外部と接続できなくなった。州は脅迫に応じないと表明し、その後、持ち出されたデータが公開されたと報じられた。

• 業務停止

チャーム（ペット用品通販）

約39万件（漏えい確認 約37万件、おそれ 約2万件）

通販サイトへの不正アクセスで、氏名・住所・生年月日などとパスワードのハッシュ値が漏えいしたと公表。239名のアカウントへの不正ログインも確認し、本店サイトの受注を止めた。

• パスワード
• 氏名・連絡先
• 業務停止

Trezor（チェコ・暗号資産ウォレット）

80,689人

物流委託先の分析環境が修正前の脆弱性を突かれ、注文者の氏名・電話番号・メールアドレス・配送先住所が漏えいしたと公表。ウォレット・秘密鍵・バックアップは影響なしとした。

• 氏名・連絡先

RIZAP（APORITOオンラインストア）

ECサイトに不正なスクリプトが設置され、5月1日〜8月5日の利用者の個人情報とクレジットカード情報が流出した可能性があると公表。

• カード情報
• 氏名・連絡先

REXTホールディングス（ワンダーグー・新星堂・ジーンズメイトなど）

ランサムウェア被害で一部店舗の休業やキャッシュレス決済の制限が起きたと公表。9月の第4報で、流出した可能性のある情報の一部がインターネット上に掲載されていることを確認したとした。

• 業務停止

Kilo Code（Anaconda傘下・米国）

利用するBIツール Metabase 側の侵害で、一部利用者の氏名・メールアドレス・請求先住所・Slackのアクセストークン・プロンプトの一部が取得されたと公表。決済カード情報は含まれない。

• パスワード
• 氏名・連絡先

n8n（ドイツ・業務自動化ツール）

公表136レコード

Metabaseの脆弱性による侵入を公表。8月11日訂正：公表136レコードのうち7件はユーザー名・メール、5件は氏名・ユーザー名・メール・bcryptハッシュ化パスワードの取得確認。62件は氏名・メールの取得の可能性、残る62件は機密情報を含まないと説明。

• パスワード
• 氏名・連絡先

シーイーシー

東京のデータセンターの一部が不正アクセスを受けてサービスに障害が出たと公表し、翌日ランサムウェアによる攻撃と確認した。9月の最終報告で情報漏えいは発生していないことを確認したとした。

• 業務停止

中部電力

約74,100人（社外の関係者約2,400人、グループ連絡先約71,700人）

認証情報が不正に使われ、従業員のメールとグループの連絡先名簿が閲覧された可能性があると公表。電力供給への影響や電気・ガスの顧客情報の漏えいは確認されていないとした。

• 氏名・連絡先

Intermarché Drive（フランス・ネットスーパー）

287,605人

ネットスーパーの利用者の氏名・生年月日・電話番号・住所・ポイントカード番号・注文情報が流出したと認めた。口座情報・パスワード・メールアドレスは含まれないとした。

• 氏名・連絡先

PNLD（英国・警察向け法令データベース）

警察官・職員・刑事司法関係者の連絡先が取得され、ダークウェブに公開されたことを確認した。

• 氏名・連絡先

CEVA Logistics（フランス・物流）

欧州の8倉庫

欧州の受託物流業務の一部にサイバー侵入があり、8つの倉庫から出荷できなくなったと顧客に説明。荷物の届け先の氏名・住所・電話番号なども対象で、決済・口座情報は含まれないとされる。

• 氏名・連絡先
• 業務停止

CHAEVI（韓国・EV充電）

298,333件

EV充電プラットフォームへのハッキングで、メールアドレスや暗号化されたパスワードなどが流出したと韓国当局に届け出た。住民登録番号やカード番号は含まれないとしている。

• パスワード
• 氏名・連絡先

Origin Energy（豪州・電力ガス）

現・元顧客約90万人

顧客データが無断でアクセス・開示されたと豪州証券取引所に届け出た。カード番号や口座番号の一部も含まれる。

• 氏名・連絡先

Hugging Face

自律的に動くAIエージェントによる侵入を公表。公開モデルやデータセットへの改ざんは見つかっていないとした。

• ソースコード・認証情報

Abbott（米国・がん診断事業）

電話を使ったなりすまし（ビッシング）で旧システムの一部に不正アクセスされ、健康情報を含むファイルがあったと公表。

• 医療・健康

メディア4u（法人向けSMS配信サービス）

95,412レコード（うち個人情報を含み得るもの22,928件）

SMS配信サービスの管理画面のアカウント一覧が流出し、サービスを通じて不正なSMSが280件送信されたと公表。パスワードや決済情報は含まれないとした。

• 氏名・連絡先

ニチレイ

53,866件（9月18日時点の第7報の表の合計）

サイバー攻撃によるシステム障害で冷蔵倉庫や冷凍食品の出荷に影響が出たと公表し、9月の第7報で配送先・取引先・従業員とその家族、求職者の給与賞与や在留資格などの情報の漏えいを確認した。

• 氏名・連絡先
• 業務停止

八王子学園 八王子中学校・高等学校

学校のサーバーが不正アクセスとランサムウェアの被害を受けたと公表（7月13日）。9月30日の第2報によれば、7月8日に攻撃者がサーバーに侵入し、10日未明にサーバーと一部の教職員の端末のファイルが暗号化された。在校生・卒業生・保護者・受験生・教職員などの個人情報を含むファイルも暗号化され、復元は極めて困難としている。調査では個人情報を含むファイルの外部への流出は確認されなかったが、攻撃者が一部のログを消しているため、流出を完全には否定できないとした。

• 業務停止

シンガポール土地管理局（SLA）

約7万人

委託先が管理するクラウド上の匿名化されているはずのテスト用データに不正アクセスがあり、国民ID番号（NRIC）と住所が流出したと公表。

• 公的番号
• 氏名・連絡先

信興集団（香港・家電販売）

約92.1万人（香港当局の説明として報道）

同社は連絡先などが影響を受けた可能性を説明。報道では顧客約92万人と従業員・取引先約1,000人の情報が対象とされ、後者には身分証番号・口座情報が含まれた可能性がある。

• 氏名・連絡先

名鉄協商（カリテコ）

ランサムウェアによるシステム障害を公表し、8月にカーシェア「カリテコ」の現会員・元会員の情報（運転免許証情報を含む）が流出した可能性を否定できないとした。

• 本人確認書類
• カード情報
• 氏名・連絡先
• 業務停止

加賀ソルネット

165,587名

大学生・教職員向けECサイトへの不正アクセスで、顧客情報が外部に送信されたと公表。

• 氏名・連絡先

Trenitalia（イタリア・鉄道）

乗車券や定期券にひも付く乗客情報（連絡先、旅程など。一部の通知では==納税者番号==も）に外部から不正アクセスがあったと顧客に通知。認証情報と決済情報は含まれないとしている。

• 公的番号
• 氏名・連絡先

ノッティンガム大学（英国）

学籍システムを支えるソフトウェアの脆弱性を突かれ、学生・卒業生・志願者の大量のデータが取得されたとして、システムを停止した。

• 公的番号
• 口座情報
• 氏名・連絡先
• 業務停止

GitHub

従業員の端末が不正な拡張機能で侵害され、社内リポジトリが持ち出されたと公表。顧客のリポジトリへの影響は確認されていないとした。

• ソースコード・認証情報

Nx（VS Code拡張機能）

拡張機能1バージョン

TanStackの件で盗まれた開発者の認証情報が使われ、不正な拡張機能が1時間弱、配布サイトに置かれた。

• ソースコード・認証情報

TanStack（npmパッケージ）

42パッケージの不正版84件

CI/CDの設定の弱点を連鎖的に突かれ、6分間に不正なバージョンが公開された。約1時間で非推奨化された。

• ソースコード・認証情報

Instructure（Canvas・教育SaaS）

多くの教育機関が使う学習管理システムの利用者データにアクセスされ、1週間後には利用者向けページも書き換えられたと公表。

• 氏名・連絡先

Vercel（米国・開発プラットフォーム）

一部の顧客

従業員が使っていた外部のAIツールが侵害されたことを足がかりに社内システムへ到達され、一部顧客の環境変数（APIキーやDB認証情報を含み得る）が復号されたと公表。

• ソースコード・認証情報

Booking.com

報道で紹介された同社説明によれば、第三者が一部の宿泊客の予約情報にアクセスしたとして、予約用PINをリセットし、対象者に通知した。

• 氏名・連絡先

阿波銀行

のべ27,745件

行内OAシステムのテスト環境が不正アクセスを受け、そこに保管していた顧客情報等が漏えいしたと公表。

• 口座情報
• 氏名・連絡先

米連邦捜査局（FBI）

捜査で得た通信記録を扱う内部システムへの侵害を、議会に「重大インシデント」と報告した。

• 氏名・連絡先

axios（npmパッケージ）

広く使われるHTTPライブラリの不正なバージョンが、乗っ取られたメンテナーのアカウントから公開され、数時間で削除された。

• ソースコード・認証情報

Standard Bank（南アフリカ・銀行）

国民ID番号や口座番号を含む顧客情報への不正アクセスを公表。基幹システムは無事としたが、のちにデータが公開されたとみられるとした。

• 公的番号
• 口座情報
• 氏名・連絡先

BTG Pactual（ブラジル・銀行）

自行資金 約1億レアル

不正な取引で自行の決済準備金 約1億レアルが流出し、即時決済Pixを約1日停止。顧客の口座とデータには影響なく、大半を回収したとしている。

• 業務停止

Trivy（脆弱性スキャナ・Aqua Security）

広く使われる脆弱性スキャナの不正なリリースとGitHub Actionsのタグが公開され、実行した利用者のCI/CDの秘密情報（APIトークン・クラウド認証情報など）が狙われたと公表。

• ソースコード・認証情報

英国登記所（Companies House）

オンライン届出サービスの更新に入った欠陥で、ログインした利用者が他社の非公開情報（役員の生年月日・住所など）を閲覧・変更できる状態だったとして、サービスを停止した。

• 氏名・連絡先
• 業務停止

Stryker（米国・医療機器）

サイバー事案で世界中のMicrosoft環境が止まり、受注・製造・出荷に影響したと米証券取引委員会（SEC）に届け出た。

• 業務停止

アドバンテスト

2月15日に社内のIT環境で異常を検知し、ランサムウェアを伴うサイバーセキュリティインシデントを2月19日に公表。10月6日付の個人向け通知（米カリフォルニア州司法長官のサイトに掲載）で、第三者がサーバーからデータを持ち出したと説明した。通知に書かれる項目は人により異なり、連絡先・生年月日・社会保障番号・各国の身分証番号・運転免許証・パスポート番号・医療情報・金融情報などが並ぶ。対象人数は公表していない。対象者には18か月の信用・ウェブ監視サービスを無料で提供する。

• 公的番号
• 医療・健康
• 氏名・連絡先

日本医科大学武蔵小杉病院

患者約13万人、職員等約1,700人

ランサムウェア攻撃で患者約13万人分の個人情報が漏えいしたと公表。カルテ情報の漏えいは確認されていないとした。

• 氏名・連絡先

穴吹ハウジングサービス

207,773件（第6報で確定）

一部サーバーのランサムウェア被害を公表し、5月の第6報で漏えいの可能性がある個人情報を207,773件と確定した。

• 氏名・連絡先

Canada Computers & Electronics（カナダ・家電EC）

ゲスト購入をした顧客の個人情報とクレジットカード情報が、2025年12月末〜2026年1月22日の購入分について取得されたと公表。

• カード情報
• 氏名・連絡先

Endesa Energía（スペイン・電力）

営業用プラットフォームへの不正アクセスで、身分証番号・連絡先・契約情報、場合によっては口座番号が取得された可能性があると顧客に通知。パスワードは影響なしとしている。

• 公的番号
• 口座情報
• 氏名・連絡先

Betterment（米国・投資サービス）

ソーシャルエンジニアリングで外部のマーケティング・業務基盤に侵入され、一部顧客に偽の暗号資産案内が送られ、連絡先情報が流出したと公表。口座とパスワードは無事としている。

• 氏名・連絡先