情報漏洩
このタグの記事 167 件
シェアフルの社内管理システムに不正アクセス（最大約750万件）：氏名・口座情報・緊急連絡先などが流出した可能性、ワーカーがやること
シェアフルは2026年11月9日、社内管理システムへの第三者による不正アクセスで、ユーザーの個人情報が流出した可能性があると公表した。不正アクセスは11月4日23:30頃に発生し、11月5日9:45頃に検知、同日14:00頃に経路を遮断した。流出した可能性のある個人アカウントは最大約750万件。情報は、氏名・氏名カナ、電話番号、メールアドレス、住所、生年月日、給与振込用の銀行口座情報（暗証番号やパスワードは含まれない）、顔写真のURL、緊急連絡先（ユーザーとの関係と電話番号）、在留資格関連情報、登録日・就業回数・希望情報などのアカウント属性情報。給与・ポイント、契約・就業データ、本人確認書類の画像は対象外で、マイナンバーとクレジットカード情報は保持していないとしている。同日、求人企業の担当者情報（最大約7,500社）についても別の発表がある。2026年11月11日時点で続報は確認できていない。当サイトの結論：口座情報・緊急連絡先・在留資格が含まれる可能性があるため、シェアフルや関係機関を名乗る連絡に加え、家族を装う電話、振込を装う連絡、在留資格を理由にした金銭要求にも備える。
住友生命Vitalityの申込システムに不正アクセス（約8万名）：氏名・住所・電話番号・カード番号（一部マスキング）などが漏えい、利用者がやること
住友生命保険相互会社は2026年11月9日、システム関連業務を委託している事業者のシステムへの第三者による不正アクセスで、「住友生命Vitality体験版・企業型」と「Vitalityスマート（福利厚生タイプ含む）」を利用中または過去に利用した約8万名の情報が漏えいしたと公表した。項目は氏名、住所、電話番号、生年月日、メールアドレス、クレジットカード番号（一部マスキング済み）のいずれかで、カード番号は約1,000名。保険契約や、保険契約に付随するVitality、Vitality健康プログラムの利用による歩数等のデータは含まれない。11月2日に確認し、新規申込みなどを停止している。原因は発表に書かれていない。保険の契約者全体が対象ではない。当サイトの結論：対象サービスを使っていた人は、住友生命を名乗るメール・SMS・電話のリンクや番号を使わず、カード明細を確認し、公式窓口で確かめる。
Amplifon Americas（補聴器）のデータ侵害（報道で約133万人）：聴力・医療情報や運転免許番号などが対象、通知を受けた人がやること
Amplifon Americas は、2026年2月11日にネットワークの一部で不審な動きを検知し、調査の結果、第三者が1月18日から2月8日の間にいくつかのシステムからファイルを取得したと公表しました。取得されたデータを確認し、個人情報が影響を受けた可能性があると同社が判断したのは10月6日です。対象になりうる項目は、氏名・連絡先・生年月日・運転免許証などの政府発行の番号・聴力や医療の情報・医療記録番号・診療日・医療保険の番号や情報で、社会保障番号や金融情報は限られた人数とされています。同社は、この件による個人情報の不正利用は把握していないとしています。公式ページに人数はなく、報道（SecurityWeek）はテキサス州司法長官への届出で全米約133万人（1,332,826人）としています。同社は、有効な郵送先住所のある人に通知書を送り、一部の人に24か月の信用情報モニタリングと身元保護を無料で提供するとしています。当サイトの見立て：補聴器の購入や聴力検査の記録を持つ人は、通知書が届いたら窓口で自分の項目を確かめ、保険の給付明細と信用情報を見続けてください。
三井ダイレクト損保のWebサイトへの不正アクセス（約23.4万件）：氏名・住所・車両情報などが漏えい、見積もり・契約した人がやること
三井ダイレクト損害保険株式会社は2026年11月6日、第三者が同社のWebサイトに不正アクセスし、お客さま情報の一部が漏えいしたと公表した。11月4日早朝に検知し、Webサイトとアプリでのすべての手続きを停止している。対象は同社で見積もりや契約をしたお客さまで、約23.4万件（11月6日13時時点）。漏えいした項目は、契約者・記名被保険者情報（氏名・住所・電話番号・生年月日・メールアドレス等）、車両情報（車名・登録番号・所有者等）、保険契約の条件・補償内容等。クレジットカード情報、口座情報、マイページのログインパスワードは含まれない。同社は11月9日、これとは別に、ロードサービス業務の委託先のサーバーへの不正アクセスで同社の自動車保険のお客さま約4.5万件（11月6日9時時点）の情報が漏えいしたと続報を出した。こちらには口座情報が含まれる。2026年11月10日時点で、原因は公表されていない。当サイトの結論：三井ダイレクト損保を名乗る連絡は、住所や車両情報、契約内容を言い当てても本物とは限らない。手続きが止まっている間に届く案内は、リンクを開かず、公式サイトや窓口で確かめる。
ニトリの不正アクセスによる個人情報漏えいの可能性（最大3,762万件）：氏名・住所・電話番号・生年月日などの対象と、個人会員・法人会員がやること
株式会社ニトリホールディングスは2026年11月9日、同社が管理するシステムへの第三者による不正アクセスを11月6日に確認し、サーバー上に保有する個人情報が最大3,762万件外部に流出した可能性があると公表した。対象は、ニトリグループの個人会員・商品の購入者（会員番号、氏名、フリガナ、メールアドレス、住所、電話番号、生年月日、性別）、法人会員（会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号）、ニトリネットとECモールのニトリ公式ショップの注文データ。ログインパスワードとクレジットカード情報は含まれないとしている。10月中旬から下旬にも第三者によるアクセスの可能性があり、経路は調査中で、件数は今後変わる可能性がある。対象の顧客には、メールまたは郵送で順次連絡するとしている。2026年11月10日時点で、続報は確認できていない。当サイトの結論：住所・電話番号・氏名がそろっているため、ニトリや配送事業者を名乗る電話・SMS・メールは、相手が正しい住所や注文内容を言っても本物とは限らない。
ラクスルのデータ入稿システムへの不正アクセス（件数は集計中）：印刷データ内の氏名・住所・電話番号などが漏えいのおそれ、発注者と印刷物に載った人がやること
ラクスル株式会社は2026年11月9日、運営する「ラクスル」のデータ入稿の処理に関わるシステムが第三者による不正アクセスを受け、個人情報が外部に漏えいしたおそれがあると公表した。2026年11月8日0時20分頃に判明したもので、同社システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態にあったという。漏えいのおそれがある情報は、入稿された印刷データ、請求書、Web郵便などのデータに記載された氏名、会社名、住所、電話番号、メールアドレスなど。名刺やはがきなどの印刷データには、注文者以外の人の情報も含まれる場合がある。対象件数は集計中で、クレジットカード情報、ログインID、パスワードは漏えいしていないことを確認したとしている。11月8日から一部サービスを停止し、9日7時から順次再開した。2026年11月10日時点で、件数と原因の詳細は公表されていない。当サイトの結論：名刺やはがきを発注した人だけでなく、そこに名前が載った取引先や宛先の人も対象になり得る。発注者は、載せた相手に何が起きうるかを把握し、必要なら説明を考える。
ユーグレナ「akyrise（あきゅらいず）」ECサイトに不正アクセス（最大約90万件）：氏名・住所・電話番号などが漏えいした可能性、購入者がやること
株式会社ユーグレナは2026年11月5日、化粧品ブランド「akyrise（あきゅらいず）」のECサイトが11月4日に第三者の不正アクセスを受け、会員情報が外部に漏えいしたと公表した。同日にサイトを閉鎖し、個人情報保護委員会へ速報を提出した。漏えいした可能性のある情報は2種類で、ログインアカウントに関する情報（顧客ID、メールアドレス、ハッシュ化して保管されていたログインパスワード）が最大約49万件、登録・購入等に関する情報（名前、住所、電話番号、生年月日、性別、メールアドレス、購入・配送に関する情報等）が最大約90万件。いずれも現在精査中で、同社は2つの重なりを示していないため、2つの数字は足し合わせられない。クレジットカード番号は同社のサーバーで保有しておらず、対象に含まれない。同じ発表で、メール配信サービス事業者と配送会社の側での別の不正アクセスにも触れており、同社は各々独立した事象としている。2026年11月9日時点で、続報は確認できていない。当サイトの結論：akyrise を名乗るメールやSMS、電話は、名前や住所を知っていても本物とは限らない。リンクは開かず、akyrise のパスワードを他のサービスでも使っていれば、そちらを先に変える。
ロート製薬の通販で不正アクセス（顧客管理システム2,797,545人・通話録音のカード番号9,715人）：電話で注文した人とそれ以外の人がやること
ロート製薬は2026年11月6日、通信販売で使う電話システムへの不正アクセスの調査結果を公表した。顧客管理システムの氏名・住所・電話番号が2,797,545人分（人により含まれる項目は異なる）、通話音声データに含まれるクレジットカード番号と有効期限が9,715人分で、セキュリティコードとパスワード等は含まれない。原因は電話システムのアカウント情報が第三者に不正利用されたこと。電話システムに関する外部専門機関の調査は10月16日に完了し、対象者には郵送またはメール等で順次個別に案内している。本件に起因する二次被害は確認されていない。当サイトの結論：電話でカード番号を伝えて注文した覚えがある人は、通知の有無にかかわらずカード明細を確かめ、不安ならカード会社に相談する。それ以外の人は、氏名・住所・電話番号を知った相手を名乗る電話・メール・SMSに注意する。
オンライン麻雀「Maru-Jan」に不正アクセス（185万5578人分）：メールアドレスとパスワードが流出、会員がやること
株式会社シグナルトークは2026年11月7日、同社が運営するオンライン麻雀「Maru-Jan」で、外部からの不正アクセスにより会員185万5578人分のメールアドレスとパスワードが流出したと公表した。同社の管理システムの機能が悪用され、11月4日15時頃までに会員情報を含むデータが外部へダウンロードされたと同社は説明している。対象はMaru-Janの全会員で、メールアドレスは登録している場合に対象となる。クレジットカード番号は同社が保有していないため、対象に含まれない。パスワードの保存方式（ハッシュ化の有無など）は、同社の発表に書かれていない。同社は侵入経路を特定して対策を実施し、11月7日16時にサービスを再開した。会員には、Maru-Janのパスワードの変更、同じパスワードを使う他のサービスの変更、不審なメールへの注意を求めている。2026年11月9日時点で、続報は確認できていない。当サイトの結論：Maru-Janと同じパスワードを使っているサービスがあれば、Maru-Jan自体より先にそちらを変える。Maru-Janを名乗るメールのリンクは開かない。
SMBCコンシューマーファイナンスの保証システムに不正アクセス（最大320,118名）：運転免許証番号・勤務先・年収などが流出、銀行カードローン利用者がやること
SMBCコンシューマーファイナンス株式会社は2026年11月5日、カードローン等の保証業務で使うシステムが第三者の不正アクセスを受け、システムから外部にデータが送信されたと公表した。11月2日に検知してアクセスを遮断し、調査の過程で漏えいを確認した。対象は最大320,118名。同社は地方銀行、信用金庫、インターネット銀行等のカードローンの保証をしており、対象は主に、それらの金融機関のカードローンを同社の保証で借りている人と考えられる（同社は対象者の条件を書いていない）。流出した情報は、氏名、性別、生年月日、住所、自宅電話番号、携帯電話番号、メールアドレス、運転免許証番号、勤務先情報（電話番号、年収等）、契約情報（金融機関コード、顧客番号、保証額、保証開始日等）。運転免許証等の本人確認書類の画像は含まれていない。対象の人には、範囲の特定後、保証提携先と相談のうえメールやSMS等で個別に案内する予定で、時期は書かれていない。11月6日にフリーダイヤルが追加された。2026年11月9日時点で、続報は確認できていない。当サイトの結論：カードローンの借入先の名前を名乗る電話・メール・SMSは、免許証番号や年収を言い当てても本物とは限らない。
Perry Johnson & Associates（PJ&A）の医療データ侵害で4州が和解（最大1,000万ドル、約1,330万人）：漏れた項目と、通知を受けた人がやること
ニューヨーク・コネチカット・ミシガン・ニュージャージーの4州の司法長官は2026年11月6日、医療の文字起こし・コーディング業者Perry Johnson & Associates, Inc.（PJ&A）と関連会社4社（あわせて「Perry Johnsonの各社」）との和解を発表しました。対象は2023年3月の侵害で、全米で約1,330万人に影響したとされます。各州の発表によれば、漏れた情報は、氏名・生年月日・住所・社会保障番号・病院の口座番号・診断名・保険情報と、文字起こしファイルに含まれる検査結果や薬の名前などです。当局は、従業員の認証情報が使われ、遠隔アクセスに多要素認証が求められておらず、記録は残っていたが警報が出る設定になっておらず、会社は約2か月後に攻撃者からの連絡で気づいた、と説明しています。和解の金額は最大1,000万ドルで、すぐに払うのは30万ドル以上、残り970万ドルは合意の条件を満たさない場合に支払う義務が生じます。各社は、セキュリティ計画、多要素認証、暗号化、年1回のリスク評価、データの保持・廃棄の方針を求められます。当サイトの見立て：2023年に通知を受けた人にとって、今回の和解で新しくやることは増えませんが、社会保障番号と診断名が含まれるため、信用凍結と医療の明細の確認を続けてください。
DigiCert（認証局）の社内業務システムへの不正アクセス：顧客担当者の連絡先と一部の本人確認書類が対象になり、顧客がやること
DigiCertはMozilla Bugzillaの事故報告（全文は日本時間2026年11月2日ごろ投稿）で、顧客の担当者が本人確認のために提出した情報を保管する社内業務システムへの不正アクセスがあったと説明した。データにアクセスされたのは2026年6月27日から7月2日の間。大半は事業用の連絡先（氏名、事業用メール、電話番号、住所）で、ごく一部の顧客のアカウントには運転免許証、パスポート、公共料金の請求書などの書類も含まれていた。アクセスは読み取りのみ。同社は、影響を受けた証明書は0件で、認証局のシステム、CertCentral、DigiCert ONEは影響を受けておらず、有効な証明書について顧客の対応は不要とする。件数や人数は公表されていない。当サイトの結論：顧客の管理者は、本人確認の文脈を使った連絡を、自分で開いたポータルで確かめるまで信用せず、本人確認書類を出した人は身元の悪用に注意する。
NTTドコモ「ドコモオンラインショップ」「My docomo」への不正アクセス（最大約30万件）：本人確認書類の番号などが流出、契約者がやること
NTTドコモは2026年11月4日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスを確認し、11月5日午前1時5分頃から各種手続きを停止して緊急メンテナンスに入った。同社は11月5日の第二報で、緊急メンテナンス以前の不正アクセスにより一部のお客さま情報が流出したと発表し、11月6日の第三報で対象を最大約30万件と公表した。流出した情報は、すべてのお客さまについて氏名・生年月日・年齢、住所・連絡先電話番号・メールアドレス、本人確認書類の番号、携帯電話番号・契約開始年月日などの契約情報、料金プラン・オプション・割引等の契約内容。一部のお客さまについては、法定代理人・手続代理人の氏名と連絡先、勤務先・法人の名称と所在地、金融機関名・支店名・口座番号・口座名義、子育て応援プログラムに関する情報も含まれる。原因は外部からの不正アクセスで、侵入経路と流出した範囲・件数は調査中、新たな情報流出は確認されておらず、緊急メンテナンスの復旧見込みは未定。2026年11月7日時点で、第四報は確認できていない。当サイトの結論：ドコモを名乗る連絡は、氏名・住所・契約内容・本人確認書類の番号を知っていても本物とは限らない。URLを開かず、暗証番号・パスワード・カード情報を答えず、本人確認書類の番号が漏れた人は不正な契約に備える。
ほっともっとのメールマガジン配信サービスに不正アクセス（最大約700万件）：氏名・生年月日・電話番号などが流出、会員がやること
株式会社プレナスは2026年11月4日、外部委託先が提供する「ほっともっとのメールマガジン配信サービス」が第三者による不正アクセスを受け、お客様のメールアドレスを含む会員情報が流出したと公表した。11月2日に委託先から報告を受けたもので、発生日は10月28日から31日、対象件数は最大約700万件。流出した情報は、メールアドレス、氏名、生年月日、電話番号を含む会員情報。クレジットカード情報は含まれておらず、同社はクレジットカード情報を保有していないとしている。ネット注文サービスへの影響は確認されておらず、引き続き利用できる。メールマガジン配信サービスの提供はすべて停止しており、再開時期は未定。2026年11月7日時点で、続報は確認できていない。当サイトの結論：ほっともっとを名乗るメールは、名前や生年月日を知っていても本物とは限らない。配信停止中のメールマガジンの体裁で届く案内は特に疑い、リンクを開かずに公式サイトやアプリから確かめる。
アイリスプラザへの不正アクセス（約770万人分）：氏名・住所・パスワード（暗号化）などが漏えいした可能性、会員・購入者がやること
アイリスグループの株式会社アイリスプラザは2026年11月5日の第2報で、アイリスオーヤマ公式通販サイト「アイリスプラザ」で発生した不正アクセス事案について、個人情報の一部が漏えいした可能性があると公表した。同社は10月28日に、利用する外部クラウドサービスで不審なファイルを発見し、アイリスプラザと関連システムを停止して調査を始め、第三者による不正アクセスを確認した。外部クラウドサービスに保存されていた個人情報の総データ数は約770万人分で、当該データが閲覧または取得された可能性を確認している。実際の漏えい件数と影響人数は調査中。漏えいの可能性のある情報は、会員データ（退会済みを含む、約580万人）が氏名・住所・電話番号・メールアドレス・性別・パスワード（退会者を除く）・生年月日等、非会員データ（会員登録なしで購入した人やキャンペーンへの応募歴がある人を含む、約190万人）が氏名・住所・電話番号・メールアドレス。パスワードを含む一部の項目は暗号化している。クレジットカード情報は当該クラウドサービスに保存されておらず、影響を受けていないことを確認したとしている。同社は、ほかのサービスで同じパスワードを使っている人に変更を求めている。2026年11月7日時点で、第3報は確認できていない。当サイトの結論：アイリスプラザで使っていたパスワードを、ほかのサービスでも使っているなら、今日変える。退会した人と会員登録せずに買った人も対象に含まれる。
サントリーグループの個人情報漏えい（従業員等 約9万名ほか）：外部クラウドサービスへの不正アクセスで氏名・メールアドレス等が流出。応募者・顧客がやること
サントリーグループは2026年11月2日、グループが利用する外部クラウドサービスへの第三者による不正アクセスを確認し、第三者がダウンロードしたファイルの一部に個人情報が含まれていたと公表した。10月28日に異常を検知して不正アクセスを遮断し、10月29日に個人情報が含まれることを確認。11月1日までに漏えいを確認した個人情報は7区分で、グループ従業員とパートナー企業等の従業員の氏名・メールアドレス約90,000名、企業活動体験プログラム「マル・デ・シャイン」の2023年末時点の登録者のメールアドレス7,323名、サントリーホールディングスの2026年新卒採用ビジネス部門オープン選考の応募者のマイページ登録情報等（氏名・メールアドレス・電話番号等）7,173名、サントリービバレッジソリューションの社用携帯電話2台に登録されていた氏名・電話番号1,097名、モンテ物産の従業員とパートナー企業の従業員の氏名・メールアドレス・電話番号324名、井筒まい泉の宅配を注文した客と配送した従業員の氏名・お届け先の位置情報96名、サントリーの取引先の従業員の氏名・役職25名。クレジットカード等の決済情報は含まれない。発表時点で不正利用の事実は確認していない。対象者には個別に連絡するとしている。当サイトの結論：サントリーやグループ会社を名乗る、選考・内定・配送・取引の連絡のリンクは開かず、自分で開いた公式サイトか発表ページの窓口で確かめる。
アララのメール配信「アララ メッセージ」に不正アクセス（メールアドレス約8,133万件）：氏名など会員情報も。メルマガの受信者・利用企業がやること
アララ株式会社（ペイクラウドホールディングス株式会社の子会社）は2026年11月6日の第3報で、メール配信サービス「アララ メッセージ」への不正アクセスによる持ち出しを、別のクラウド環境（環境B）のメールアドレス3,249,492件を加えて、区分間の重複を除き81,329,467件（約8,133万件。メールアドレスの数で、人数ではない）と発表した。環境Bは新たな不正アクセスではなく、10月28日から31日の一連の不正アクセスの期間中のもので、メールアドレスのみ。内訳は、環境Aのサービス経由78,102,937件（メールアドレスのみ31,346,375件、属性情報を伴うもの46,756,562件）、共用環境2,842,400件（第2報の3,386,187件から訂正）、環境B3,249,492件で、重複を差し引いている。対象の契約企業は最大約380社（第2報の推計。第3報は、共用環境の61社と環境Bの社数を含むと説明）。10月27日は偵察とみられるアクセスで、不正ログインと持ち出しは10月28日から始まり、10月31日の停止まで続いた。同社のサービスはクレジットカード番号を保有していない（第2報・第3報）。10月28日から30日には、同社のサービスが不正に使われ、クレジットカード会社を装う不審メールが最大約713万通、送信元news@arara.comから送られた。サービスは10月31日から全面停止中で、再開時期は未定。利用企業のうち、ワークマン、アソビュー、カカクコム、松井証券、モスフードサービス、ビックカメラ・コジマ・ソフマップ、TKC、IIJmio、Zaif、琉球銀行などが各社のお知らせを出している。当サイトの結論：news@arara.comやカード会社を名乗る不審なメールは開かず、カード情報を入力したらカード会社へ連絡する。利用しているサービスが公表していないかを本文の表で確かめ、利用企業は個人情報保護委員会への連名報告の申込期限（11月9日18時）を確認する。
アソビュー！の会員情報の漏えい（15,821,184件）：メール配信の委託先への不正アクセスで、氏名・電話番号・チケット購入情報等が流出。会員がやること
アソビュー株式会社は2026年11月3日、レジャー予約サービス「アソビュー！」の会員情報の一部が、メール配信を委託していた事業者のサービスへの第三者による不正アクセスで外部に流出したと公表した。同社のシステムではなく委託先のサービスに起因するという。件数は15,821,184件。項目はメールアドレス、会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日、電話番号、郵便番号、お住まいの地域、チケットの購入日時・種類・枚数、利用施設名、利用日時、参加人数、キャンセルの有無等。パスワードとクレジットカード情報は委託先に預けておらず、対象に含まれないとしている。流出したメールアドレスがどの会員のものかは未特定で、委託先が調査中。同社は11月2日に委託先から報告を受け、同日、そのサービスを使うすべてのメール配信を停止し、認証情報を無効化した。悪用による被害は、発表時点では確認されていない。対象の会員には個別に連絡する予定。当サイトの結論：アソビュー！を名乗るメール・SMS・電話の、返金・キャンセル・当選・本人確認を理由にしたリンクは開かず、自分で開いた公式サイトかアプリで確かめる。
セブン‐イレブン「7NOW」の注文者情報の漏えい（氏名カナ164,180件ほか）：配達の委託先への不正アクセスで取得された項目と、利用者がやること
株式会社セブン‐イレブン・ジャパンは2026年11月3日、同社のデリバリーサービス「7NOW」の一部の配達業務を委託している事業者が運営するサービスが第三者の不正アクセスを受け、7NOWの注文者（届け先）の情報の一部が取得されたと公表した。同社によれば、委託先の調査で不正アクセスが判明したのは11月1日、7NOWの情報も取得されたと分かったのは11月3日。取得が確認された項目は、氏名（カナ）のみが164,180件、氏名（カナ）と住所が4,762件、氏名（カナ）・住所・電話番号・郵便番号が209件で、一部は注文日、注文店舗名と店舗住所、注文商品名も含む。クレジットカード情報とID・パスワードは漏えいしていないとしている。委託先の調査では、同社の認証情報や連携設定の流出・書き換えは確認されず、7NOWは通常どおり稼働している。対象のお客様には登録の電話番号宛にショートメッセージで順次連絡する。個人情報保護委員会へ報告済み。当サイトの結論：7NOWの注文を知っているような電話・SMS・メールのリンクは開かない。パスワードの変更は発表の範囲では求められていない。
WorkOS（SSO・ディレクトリ連携の開発者向け基盤）の社内営業用アプリへの不正アクセス：セキュリティ研究者のAIエージェントが原因と公表、連絡先とサポート・Slackのやり取りが対象の顧客がやること
WorkOSは2026年11月2日に、営業・顧客対応チームが使う社内アプリへの不正アクセスを公表し、11月6日に更新を出した。更新によれば、最初の不正アクセスは10月25日に確認され、10月30日に記録が一括で取得されて、同社が外部からのアクセスを止めた。11月3〜5日にセキュリティ研究者が名乗り出て、同社と独立したフォレンジック会社が研究者の証拠をログと照合して確かめた。同社の説明では、研究者が評価していたAIエージェントが試験環境を抜け出し、意図せず同社のシステムに触れた。研究者は取得したデータをすべて削除し、誰にも共有していないと述べている。対象は営業・顧客サポートのシステムのデータのみで、連絡先、顧客アカウントの履歴、営業通話やサポート、顧客とのSlack会話の要約や抜粋、運用メタデータ。サポート連絡の一部にはエンドユーザーのメールアドレスが含まれた。原因は、旧基盤上の社内ツールのAPIが公開され、推測しやすい開発用の認証情報が本番に残り、回数制限がなく、検知が遅れたこと。更新には、顧客に求める対応と件数の記載はない。当サイトの結論：顧客は、過去のやり取りを知っているように見える連絡を、既知の経路で確かめるまで信用しない。
Chainstack（ブロックチェーンのノード・API基盤）の本番環境への不正アクセス：アカウント情報とノード認証情報が対象になりうる利用者がやること
Chainstackは2026年11月3日の公表で、外部の攻撃者が第三者のコンポーネントを通じて同社のインフラの一部に不正アクセスしたと説明した。10月26日に開発環境、10月29日に本番環境の一部、10月31日に検知してアクセス経路を遮断、11月2日に調査を終えたという。顧客アカウント情報のデータベース（組織名、アカウント保有者名、組織メンバーのメールアドレス、パスワードのハッシュ）が露出した可能性があり、ノードの認証情報を保管するシステムにもアクセスされた。読まれた証拠はないが、露出したものとして扱うとしている。決済情報は保存していないため露出していない。ノード、コンソール、APIは改変されず、サービスは継続した。件数は公表されていない。当サイトの結論：利用者はパスワードを変更し、ノード認証情報とプラットフォームAPIキーを再発行し、アプリ・CI・フロントエンドに埋め込んだエンドポイントを差し替える。
アイスタイル「@cosme」への不正アクセス（会員 約300万人の個人情報が漏えい）：氏名・住所・電話番号・肌質などが漏れた会員がやること
株式会社アイスタイルは2026年11月2日、10月28日に@cosmeへの第三者による不正アクセスを確認し、@cosme共通IDに登録された会員情報の一部が外部に漏えいしたと公表した。対象は約300万人で、すでに退会していても不正アクセス時点で会員だった人を含む。漏えいした情報は、ユーザーID（ログインには使われない）、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質。同社は、現時点ではログイン時のパスワードとクレジットカード情報は含まれていないとしている。不正アクセスの時期と原因は公表されておらず、第三者のセキュリティ専門会社が調査中。個人情報保護委員会には報告済みで、案内メールは「cosme.net」ドメインから送られ、対象者への個別連絡は11月6日に完了する予定。同社が把握している範囲では、不正利用や二次被害は確認されていないという。当サイトの結論：@cosmeの会員だった人は、送信元が「cosme.net」でないメール・SMS・電話のリンクは開かず、名前・住所・肌質が正しく書かれた連絡でも公式アプリや自分で開いた公式サイトから確かめる。パスワードは現時点では含まれないとされるが、使い回しているなら念のため変える。
ノジマオンライン・中古スマホ買取サイトの会員管理システムへの不正アクセス（約700万件）：氏名・住所・電話番号・暗号化パスワードが漏れた会員がやること
株式会社ノジマは2026年11月2日、同社のEC「ノジマオンライン」の会員管理システムに第三者による不正アクセスがあり、ノジマオンラインと中古スマホ買取サイトの会員情報が漏えいしたと公表した。同社によれば、不正アクセスを検知・確認したのは11月1日で、同日に情報が外部に漏えいしたことを確認した。件数は約700万件（退会者は含まれない）。項目は氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス。決済情報は非保持で、クレジットカード情報は保持していないとしている。原因、侵入の期間、不正利用や二次被害の有無は調査中で、2つのサイトは11月2日の発表時点で一時休止（11月4日時点で再開の告知は見当たらない）。同社は、なりすましメールやフィッシング詐欺等に悪用されるおそれがあるとして注意を呼びかけているが、パスワードの変更は求めていない。当サイトの結論：ノジマを名乗るメール・SMS・電話のリンクは開かない。ノジマと同じパスワードを他のサービスでも使っているなら、そちらを変更する。
プレステージ・インターナショナルのロードサービス受付・手配システムへの不正アクセス（最大約550万件・重複を含む）：氏名・車両情報・一部の口座情報、カード番号3件が持ち出された。保険・リース利用者がやること
株式会社プレステージ・インターナショナルは2026年11月2日、グループ会社の株式会社プレステージ・コアソリューションがお取引先企業から受託しているロードサービス等の受付・手配業務のシステムが不正アクセスを受け、お客様の個人情報が外部に持ち出されたことを確認したと公表した。件数は重複を含む最大約550万件で、重複を除いた人数は精査中。項目は氏名・住所・電話番号・メールアドレス・車両情報（登録番号、車台番号等）・事故・故障の受付に関する情報・金融機関の口座に関する情報（一部）で、11月2日の発表ではクレジットカード情報の漏えいは確認されていなかったが、11月6日の第2報で、持ち出された情報の中にクレジットカード番号が3件含まれていたと確認した（システムの受付記録の一部に記録されていた）。同社は当該カードの発行会社に連絡し、対象のお客様への連絡は発行会社と協議のうえで行うとしている。10月29日に検知して認証情報を無効化したが不正アクセスが続いたため、10月30日にシステムを停止した。ロードサービスは代替の運用で継続している。ソニー損保、アクサ損保、ENEOS（カーリース）、KDDI（au自転車サポート）も自社のお客様への影響について各社のお知らせを出している。当サイトの結論：対象になりうるのは保険やリース、auの自転車サポートなどの契約でロードサービスを使った人。自分の契約先の公式お知らせを自分で開いて確かめ、車両や事故の話を持ち出す電話・SMS・メールのリンクを開かない。クレジットカードを使った人は利用明細を確かめ、不審な請求はカード会社へ連絡する。
グッドスマイルカンパニー公式ショップの不正アクセス（カード全情報の漏えいの可能性2,800名・カード一部402,466枚・注文情報は最大202件が閲覧の可能性）：カード情報と注文情報の対象者がやること
株式会社グッドスマイルカンパニーは2026年10月23日、同社の公式ショップ（support.goodsmile.com で案内）に第三者による不正アクセスがあったと公表し、10月30日の第4報までに対象を3つのグループに整理した。グループB（2,800名）は、決済ページに設置された不正なプログラムにより、2026年10月21日13時55分〜23日7時に入力されたカード名義人名・カード番号・有効期限・セキュリティコードが漏えいした可能性がある。グループA（過去にカードを登録した人。カード402,466枚、人数は確認中）はカード番号の下4桁と有効期限のみで、同社は不正利用の可能性は極めて低いと認識している。グループC（5,356名）は、出荷前の注文情報（氏名・住所・電話番号・メールアドレス・注文内容など）のうち最大202名分が閲覧された可能性がある。同社は、原因は近時報告されたPHPの脆弱性ではないと説明している。当サイトの結論：グループBのメールを受けた人は、カード会社に連絡して番号の変更（再発行）を相談する。メールが来ない人も、過去にこのサイトへカードを登録していれば対象なので、明細を確認する。同社を名乗る不審な連絡のリンクは開かない。
PingCAP（TiDB Cloud）への不正アクセスと情報漏洩（日本国内で最大約5万件）：アカウント情報・SQLエディタ履歴・サポートチケットなどが対象の組織管理者がやること
PingCAP株式会社は、2026年9月9日〜10月7日（米国時間）に、盗まれた認証情報を使った第三者が社内システムに入り、データを複製したと公表した。日本国内で最大約5万件の個人情報が漏洩したことが判明したという。同社が影響を確認した情報の種類（顧客により異なる）は、TiDB Cloudのアカウント情報（ユーザー名、メールアドレス、組織・プロジェクトとの関連付け、SQLエディタの実行履歴とエラー情報、問い合わせ情報＝サポートチケット）、取引関連情報（氏名・メール・企業名・電話、注文内容・支払条件・請求設定）、暗号化されたAPIキーのPublic Key部分。同社はクレジットカード情報の漏洩とTiDB Cloudへの不正アクセスは確認されておらず、Private Keyは流出していないとしている。件数が数える単位（人数かレコード数か）は書かれていない。同社の英語の発表（本社）は、ソースコードも取得されたと書いている。当サイトの結論：TiDB Cloudの組織管理者は、APIキーを再発行し、アクセスログとメンバー・権限を見直し、SQLエディタやサポートチケットに貼った認証情報があれば変更する。
求人サイトMyBRANDSの不正アクセスと個人情報漏えいのおそれ（最大約13.5万アカウント）：氏名・連絡先・職歴などが対象の求職者と企業担当者がやること
株式会社iDAは2026年10月30日、同社が運営する求人サイト「MyBRANDS」のサーバー環境に第三者による不正アクセスがあり、登録した求職者と企業担当者の情報が外部に漏えいしたおそれがあると公表した。委託先で使っていたクラウドの管理用の鍵（アクセスキー）が10月21日〜22日に不正に使われ、複製したデータベースから外部へデータが送られた記録があることが10月26日に分かったという。送られたデータの中身は確認できておらず、預かっていた情報はすべて対象として知らせている。対象は退会者を含む最大約13万5千件（アカウント数、10月30日時点）で、情報は氏名、メールアドレス、電話番号、プロフィール（職歴など）、ログイン用パスワード（変換した値）等で、登録内容により異なる。カード情報と銀行口座の情報は預かっておらず含まれない。氏名・メールアドレス・電話番号・住所は暗号化して保存していたが、暗号を解く鍵も取得されたおそれがあるとしている。現時点で悪用（二次被害）は確認されていないという。当サイトの結論：MyBRANDSと同じパスワードを使った他のサービス（企業担当者は社内システムも）を変更し、採用担当やスカウトを名乗る連絡は、リンクや番号を使わず公式の窓口で確かめる。
佐賀大学のランサムウェア被害（学生・教職員・元学生などの個人情報が流出した可能性、約8万人分、患者情報も）：氏名・住所・パスワードなどが対象の人がやること
国立大学法人佐賀大学は2026年10月30日、9月28日に公表した事務情報システムのランサムウェア被害について、大学が保有する個人情報（患者情報を含む）が外部へ流出した可能性が否定できないことを確認したと公表した。大学によれば、9月24日午前8時42分、事務部門が使うNAS（ネットワーク接続型ストレージ）でランサムウェアによると思われる被害を確認した。その後、外部の専門事業者に依頼して侵入経路と影響範囲を調査してきた。対象は学生、教職員、元学生、元教職員、関係者等の約80,000人分で、項目は氏名、生年月日、性別、住所、電話番号、メールアドレス、パスワード。患者情報は件数を調査中で、要配慮個人情報（診療科、傷病名、受診日等）が含まれる。パスワードを保管していた形式（暗号化・ハッシュ化の有無）は発表に書かれていない。大学は、大学や関係機関を装った不審なメール、SMS、電話等が届く可能性があるとして注意を呼びかけている。当サイトの結論：大学や病院を名乗る連絡は、書かれた内容が正しくてもリンクや番号を使わず、自分で開いた公式サイトで確かめる。大学のパスワードと同じものを使った他のサービスは、早めに変える。
Chainalysisのセキュリティインシデント（2026年10〜11月）：全ユーザーの氏名・ユーザー名・パスワードハッシュ・有効なトークンが露出、顧客がやること
ブロックチェーン分析のChainalysisは2026年10月30日にセキュリティインシデントを公表し、その後ブログを更新している。11月4日の更新で、同社は全ユーザーの氏名、ユーザー名、パスワードハッシュ、有効なトークンが悪意ある者に露出したと説明した。調査データへのアクセスや帰属データの改ざんの証拠は見つかっていないとする。同日午前の更新では、通信経路上の攻撃（on-path attack）で一部の顧客のパスワードが露出し、対象アカウントをロックしてリセットさせたとも書いている。同社はKYT、アドレススクリーニング、ログインページを一時停止し、11月6日にKYTとアドレススクリーニングを段階的に復旧している。Reactorとデータソリューションは復旧時期が示されていない。顧客に求める対応は、許可する信頼済みIPアドレスの申請、パスワードの変更、APIキーの更新。10月30日の発表は、認証情報とセッショントークンへのアクセスの証拠はないとしていたが、その後の更新でトークンの露出を認めており、ページはこの違いを説明していない。
クラブツーリズムの不正アクセスと個人情報漏えいのおそれ（対象約432万件）：氏名・住所・電話番号・緊急連絡先などが対象の会員がやること
クラブツーリズム株式会社は2026年10月31日、10月30日5時45分に外部からの不正なアクセスを検知し、同社のインターネット予約システムでインターネット会員として登録されている情報が外部に流出した可能性があると公表した（第1信）。対象の情報は、氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先で、対象件数は約432万件。ログインパスワード、パスポート情報、クレジットカード情報、金融機関口座番号は含まれないとしている。インターネット会員に登録したことがない人の情報には影響がなく、現時点で本件に起因する具体的な二次被害は確認されていないとしている。同社はサーバを隔離して侵入経路を特定し修正したとして、被害拡大の防止と調査のためホームページを停止中で、警察への相談と個人情報保護委員会・監督官庁への報告をおこなったとしている。当サイトの結論：同社を名乗る電話・メール・SMSは、リンクや番号を使わず、公式サイトや店頭、発表の窓口で確かめる。
ワールド子会社ティンパンアレイ（報道ではラグタグ運営）の不正アクセス（延べ約120万件）：氏名・住所・電話番号などが漏れた可能性と、会員がやること
株式会社ワールドは2026年10月30日、連結子会社の株式会社ティンパンアレイの業務サーバーに第三者による不正アクセスがあり、会員情報の一部が外部へ流出した可能性があると発表した。流出の可能性がある会員情報は延べ約120万件で、項目は氏名・住所・電話番号・生年月日・性別・メールアドレス。クレジットカード情報その他の決済情報と顔情報の流出は確認されていないとしている。不正アクセスは10月17日14時51分頃、検知は10月28日12時08分頃で、同日21時36分までに経路を遮断した。対象の会員と件数の詳細は確認中で、会員への個別メールは準備が整い次第送るとしている。報道によればティンパンアレイは古着のブランド「ラグタグ（RAGTAG）」などを運営しているが、発表自体はサービス名や対象ブランドを書いていない。当サイトの結論：名前・住所・電話番号・メールアドレスがそろっている前提で、届く連絡のリンクは開かず、確認は自分で開いた公式サイトで行い、パスワードやカード番号は伝えない。
Revolveの顧客アカウント情報漏えい：保存カード番号・有効期限にアクセス（インディアナ州司法長官の一覧で151万5,073人）｜利用者が今日やること
米国のファッション通販Revolveは2026年10月29日、米証券取引委員会（SEC）への届出（The Recordの報道）で、無許可の第三者が自動化した手段で顧客アカウントのデータにアクセスしたと開示した。氏名、連絡先、保存された決済カードの番号と有効期限が含まれるとされる。当初はテキサス州の12万7,200人などの州別の数字しかなかったが、インディアナ州司法長官の侵害通知一覧（2026年11月版）には、Revolve Group, Inc.について、通知日10月29日、侵害発生日9月11日、同州の10,534人、総数151万5,073人と載っている。他の5州（アイオワ・マサチューセッツ・サウスカロライナ・テキサス・バーモント）の届出の合計は約19.7万人にとどまっていた（SecurityWeekの報道）。カードのセキュリティコード（CVV）が含まれるかは、読めた資料に記載がない。当サイトの見解：Revolveのアカウントにカードを保存していた人は、明細の少額の不審請求を確認し、カード会社に再発行の要否を相談し、注文履歴を含むメッセージは自分で確かめるまで疑う。
2026年10月のサイバー攻撃・情報漏えいまとめ：悪用された脆弱性36件と大規模な漏えい
2026年10月に米CISAが悪用の確認された脆弱性の一覧（KEV）へ加えたのは36件で、9月の43件より7件少なかった。内訳は、VPN装置やファイアウォールなどの境界機器・リモートアクセス製品が11件、2015〜2023年に公表された古い脆弱性が5件（10月8日に同時に追加）、Plex・PHP・Ahsay・Zammadが計10件、そのほかが10件である。当サイトが10月に出した事件・脆弱性の第1報は115本（国内の事件65、海外の事件28、国をまたぐ事件4、脆弱性18）で、これは当サイトの記事の本数であり、国全体の統計ではない。国内では会員・アプリのデータベースからの漏えいが相次ぎ、公表された件数が大きいものは、ショップサーブ（約2,335万6,000人）、MUJIアプリ（最大約2,726万件の可能性）、クラブツーリズム（約432万件の可能性）、花キューピット（最大4,238,242件）などだった。サービス提供元やSaaSの侵害、暗号資産取引所の流出、AI開発基盤の事案も続いた。当サイトの結論：11月は、KEVに入った境界機器を先に直し、顧客名簿を預けている外部サービスを洗い出し、侵害を公表した企業を装うメールに備える。
ETS（カリフォルニア州の統一テスト）の生徒情報の流出：障害・504・テスト結果が複製、家族がやること
カリフォルニア州と契約して州の統一テスト（CAASPP・ELPAC）を担う非営利団体Educational Testing Service（ETS）は、州教育省（CDE）の指示で、2026年10月16日から生徒と家族への通知を始めました。ETSの「データ侵害のお知らせ」によれば、許可のない第三者が、2026年5月22日から9月18日までの間に何度か、第三者の手に渡ったログイン情報を使ってCDEとテストの情報をやり取りするETSのSFTPサイトにアクセスし、生徒の情報を含むファイルを複製しました。ETSは9月25日に不審な動きを確認しました。お知らせは、カリフォルニア州の生徒の情報（直近3学年に在籍した全生徒を含むが、それに限らない）が閲覧・複製されたとしています。項目は生徒により異なり、氏名・生年月日・住所・学校・学年、生徒ID、性別・人種や民族・言語・出身国、障害や504の状況・テストの配慮・主な障害の種類、各制度の対象状況、テストの結果などです。社会保障番号、口座・カード情報、パスワード、保護者の情報は含まれないとしています。人数は公表されていません。ETSはExperian IdentityWorksを2年間無料で提供します。当サイトの見立て：カリフォルニア州の公立校に在籍した（している）生徒の家族は、通知が自分に当てはまる前提で、手紙のコードで登録し、学校名やテストに触れる連絡をそれだけで信用しないでください。
Genesysの社内システムへの不正アクセス（2026年10月）：顧客・見込み顧客の連絡先が対象、Genesys Cloudは影響なし、利用企業がやること
2026年10月19日、コンタクトセンター基盤「Genesys Cloud」を提供するGenesysは、許可のない第三者が関わるサイバーセキュリティ事案を発表した。同社が把握したのは10月16日。調査の結果、第三者が学習管理システム（LMS）と顧客関係管理（CRM）を含む一部の社内業務システムにアクセスできたことが分かり、これらのシステムの一部の情報が許可なくアクセスされた、またはダウンロードされた（あるいはその両方）ことを確認したという。これらのシステムには、既存顧客と見込み顧客の氏名、業務用メールアドレス、電話番号、役職、会社とアカウントの情報、顧客とのやり取りに関する情報などが入っている。同社は、Genesys Cloud、Genesys Engage、Genesys Engage Cloudの基盤は侵害されておらず、通話録音や分析データを含む基盤内の顧客・パートナーのデータにも不正アクセスはないとしている。10月23日には、侵入を完全に封じ込め、LMSの利用を停止したと更新した。対象の人数は公表されていない。当サイトの見立て：ベンダーに連絡先を持たれている担当者は、Genesysを名乗りパスワードや機微な情報を求める想定外の連絡を偽物として扱い、普段使っている窓口で確かめるのがよいです。
GETTIISの会員情報漏えい（会員ID31万7,971件）：何が漏れたかと、会員がやること
株式会社リンクステーションは2026年10月19日、チケット購入サービス「GETTIIS」の会員情報が不正アクセスで漏えいしたと公表し、10月20日の第二報で項目ごとの件数を示した。同社によれば、10月18日の午前0時頃から7時頃にかけて、第三者が主催者向けの公演登録サービス「Gettii-Lite」のプログラムの脆弱性を悪用し、GETTIISの会員情報を取得した。件数は項目ごとのもので、合計人数ではない。会員ID 317,971件、ハッシュ化されたパスワード 311,451件、メールアドレス 311,426件、氏名 309,759件、電話番号 309,668件、クレジットカード関連情報 29,515件（番号の先頭4桁・末尾4桁、名義、有効期限を暗号化したもの）、性別 5,900件、生年月日 5,192件、郵便番号 489件。同社は、完全なカード番号とセキュリティコードは保存しておらず、漏えいした情報のみではカード決済はできない、パスワードはハッシュ化して保存していたとしている。当サイトの結論：GETTIISのパスワードと、使い回した他サービスのパスワードを変える。氏名と電話番号は各約31万件が漏れているので、名前と番号を知っている連絡でも本物とは限らない。
松屋公式アプリ管理システムへの不正アクセス（237万7,127件ほか）：氏名・電話番号・届け先住所が漏れた会員がやること
株式会社松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが第三者から不正アクセスを受け、会員情報等が漏えいしたと発表した。不正アクセスと漏えいが判明したのは10月28日。松弁ネット・モバイルオーダー・松弁デリバリーの利用者2,377,127件は、会員ID・お届け先住所・氏名・電話番号・松屋ポイントの情報。松屋公式アプリの会員2,000件（最大3,000件となる可能性）は、会員ID・都道府県・氏名・電話番号・生年月日・メールアドレス・暗号化されたパスワード・松屋ポイントの情報。クレジットカード情報は同社では保持していないとしている。原因と侵入の経緯は調査中で、アプリとホームページ等の関連サービスは停止中。当サイトの結論：松屋を名乗る連絡のリンクは開かず、確認は自分で開いた公式の場で行い、アプリ会員は同じパスワードを使い回していないか見直す。
良品計画（無印良品）MUJIアプリ・ネットストアの情報流出（最大約2,726万件）：MUJI Cardのカード番号全桁約109万件も対象、利用者がやること
株式会社良品計画は2026年10月30日の第一報に続き、11月4日の第二報で範囲が広がったと発表した。MUJIアプリに加え無印良品ネットストアの会員（退会者を含む）も対象で、メールアドレス・生年月日・性別・会員IDが最大約2,726万件、うち約52万件は氏名・住所・電話番号も外部からアクセスされた可能性がある。クレディセゾン発行のMUJI Card会員（2021年7月までの入会）約109万件は、カード番号（全桁）・MUJI Card ID・生年月日が対象で、カード名義・有効期限・セキュリティコードは含まれないとしている。このほかアプリやネットストアに登録されたカード情報の一部約120件は、カード番号の先頭6桁と下2桁、カード名義が対象。同社は、ダークウェブ等への流出と悪用による被害は確認されていないとし、対象者へメールか郵送で個別に連絡する。11月6日にはネットストアを一時停止したと発表している。当サイトの結論：MUJI Cardを持つ人はカード明細を確認して身に覚えがなければクレディセゾンへ連絡し、無印良品やカード会社を名乗るメール・電話は相手を信用せず、自分で開いた公式アプリ・公式サイトか、カード裏面の番号で確かめる。
Paradigm Healthcare Services（Medi-Calの請求業務）の情報漏えい：会員番号・生年月日が閲覧された可能性、会員がやること
カリフォルニア州医療サービス局（DHCS）のためにMedi-Cal（州の低所得者向け医療扶助）の請求業務を行い、Medi-Calの会員番号を保持する第三者のサービス事業者Paradigm Healthcare Servicesは、「データ侵害のお知らせ」を公表し、2026年9月14日付の手紙を本人に送りました。同社によれば、2025年10月13日に社内ネットワークへの不正アクセスに気づき、一部のシステムを停止して法執行機関に通知しました。2026年8月18日に、一部の人の保護対象の健康情報を含むファイルが、2025年10月8日から15日の間に許可のない第三者に閲覧された可能性があると判断しました。閲覧された可能性がある情報は、氏名・生年月日・性別・Medi-Calの会員番号です。同社は、Student Health Networkという基盤は影響を受けておらず、情報が詐欺やなりすましに使われた証拠はないとしています。お知らせに人数はありません。報道は約97万人としています（SecurityWeekは同社の米保健福祉省への報告として97万人超、HIPAA Journalは970,403人）。当サイトの見立て：手紙を受け取ったMedi-Calの会員は、給付の明細に受けていないサービスがないかを確認し、会員番号と生年月日を知っている電話を本物の証明として扱わないでください。
米Photon Healthの情報漏えい（分析ツールの脆弱性）：氏名・住所・電話番号・生年月日・処方薬情報と、対象者が今日やること
米国の電子処方プラットフォーム Photon Health は2026年10月8日、自社で運用するデータ分析ツール（Metabase）の未知の脆弱性を第三者が悪用し、一部のデータにアクセスされたと発表しました。同社が把握したのは8月21日、対象データの確認が終わったのは9月4日です。項目は氏名・住所・電話番号・生年月日・処方薬の情報で、人によって異なります。社会保障番号と金融情報は同社が収集・保管していないため対象外、悪用の証拠はないとしています。対象人数は公表されていません。別件として、小児オンライン診療の Blueberry Pediatrics が、自社の同ツール環境への不正アクセスで340,915人が対象になったとオレゴン州司法長官に届け出ています（健康保険情報や診療記録を含む）。当サイトの見立て：実名・住所・電話番号に健康情報が結びつくため、処方・保険・薬局を名乗る本物らしい電話やメッセージが来る前提で備えてください。応じず、自分で調べた番号にかけ直すのが基本です。
Ricardo（スイスのマーケットプレイス）の情報漏えい（約89万アカウント）：氏名・住所・電話番号が対象、利用者がやること
2026年10月9日、スイスのオンラインマーケットプレイス「Ricardo」を運営するSMG Swiss Marketplace Groupは、Ricardoのプラットフォームで注文にひも付く個人データへの不正アクセスがあったと発表した。Ricardoは10月7日にサーバー上の不審な動きを検知して対策を始め、アクセスを許したセキュリティ上の脆弱性は修正済みとしている。調査の結果、約89万のユーザーアカウントに関する個人データが露出したことが分かった。露出したのは氏名、郵便の住所、電話番号と、法人ユーザーの場合は会社名に限られ、メールアドレスとパスワードは影響を受けていないという。Ricardoは対象の利用者に直接連絡し、スイス連邦データ保護・情報コミッショナー（FDPIC）に届け出た。脆弱性の内容とアクセスの期間は公表されていない。当サイトの見立て：住所と電話番号が知られている前提で、Ricardoや取引相手を名乗る郵便・電話・SMS・WhatsAppにカード情報や銀行・TWINTのログイン情報を伝えないことが、今日できる一番の対策です。
ヤクルト本社の公式サイトへの不正アクセス（約4万件）：氏名・住所・電話・メール・問い合わせ内容が漏れた人がやること
株式会社ヤクルト本社は2026年10月26日に公式サイトへの不正アクセスを認め、同日、サイトの機能を停止した。10月30日の第2報で、公式サイトを通じて提供された個人情報約4万件が外部に漏えいしたことを確認したと発表した。対象は、メールお問い合わせフォームの利用者（氏名・性別・年齢層・住所・電話番号・メールアドレス・問い合わせ内容）、給食サイト「たのしい給食」の会員（氏名・業態・勤務先・勤務先の住所と電話番号・メールアドレス・暗号化されたパスワードなど）、報道関係者向けフォームの利用者、およびそれらの問い合わせに対応した社員の氏名。クレジットカード情報と銀行口座情報は預かっていないとしている。件数の内訳・対象期間・原因は未公表で、同社は個人情報保護委員会への第一報と警察への相談を行っている。当サイトの結論：ヤクルトを名乗る連絡のリンクは開かず、「たのしい給食」の会員は同じパスワードを使った他のサービスを変更する。
アエナのECアプリへの不正アクセス（会員マイページ情報 最大817,215人）：氏名・住所・届け先などが閲覧された可能性と、会員がやること
株式会社アエナは2026年10月14日、同社のECアプリの会員マイページが不正に閲覧された可能性があると公表した。同社によれば、システムログの解析で10月13日5時58分に判明し、閲覧された可能性のある会員は最大817,215人（本会員）。LINE会員と、Amazonや楽天などで利用した顧客は対象外としている。閲覧された可能性のある情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先の住所・氏名・電話番号（第三者宛を含む）、お気に入り店舗・メール配信設定、クレジットカードの下4桁・有効期限・カード名義。カード番号の全桁とセキュリティコードは保有しておらず、パスワードの閲覧・流出はなく、会員情報の変更・退会・購入の確定（決済）も行われていないことを確認しているとしている。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」で、調査中。ECサイトへのアクセスを遮断し、停止していたECアプリは10月19日（月）正午に再開、再開後の初回起動時にパスワード再設定画面が表示される。当サイトの結論：アプリでパスワードを再設定し、同じパスワードを使い回したサービスも変える。届け先や注文を装う連絡は、リンクや番号を使わずに確かめる。
ASOSの顧客情報漏えいと偽アプリ通知：氏名・連絡先が対象、生年月日・検索履歴は報道｜利用者が今日やること
2026年10月6日、ASOSのアプリから利用者に不正な通知が届いた。同社は、顧客との連絡に使う第三者のプラットフォームに無許可の第三者が不正アクセスしたと発表し、氏名と連絡先が閲覧された可能性がある一方、決済カード情報とアカウントのパスワードは影響を受けていないと考えていると説明した。その後の発表（BleepingComputerの報道）では、従業員のログイン情報が、信頼できる連絡先を装って聞き出されたとしている。BBCは、攻撃者が示した見本には顧客番号・生年月日・サイト内の検索履歴も含まれていたと報じたが、ASOSはこの項目一覧を確認していない。影響を受けた人数は公表されていない。当サイトの見解：自分の名前や過去の検索を知っているメッセージでも、ASOSからとは限らない。リンクは開かず、自分でアプリやサイトを開いて確かめる。
ベネフィット・ワン「トク買」の委託先に不正アクセス（29,465人）：氏名・生年月日・メールアドレス等の漏えいと、会員がやること
株式会社ベネフィット・ワンは2026年10月28日、業務委託先が運用するシステムが第三者から不正アクセスを受け、株式会社クレディセゾン会員向けサービス「トク買」の会員29,465人（退会済みを一部含む）の個人情報が漏えいしたと発表した。不正アクセスは10月14日から20日まで断続的に行われ、10月21日に委託先が一部を検知して同社に報告、同社はその日のうちに対象サービスを一時停止した。漏えいした項目は、氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収の決済処理に使う管理番号（対象の項目は会員ごとに異なる）。これとは別に、決済システムとの連携に使う同社の認証関連情報の一部が漏れたおそれがあり、10月26日に変更済みで、本件に起因する不正な決済処理は確認されていないという。クレジットカード番号・有効期限・セキュリティコードは当該システムで保持しておらず、漏えいはないとしている。クレディセゾンのシステムからの漏えいではない。原因と人数は調査中。当サイトの結論：カード番号の変更は同社の発表からは必要とされていないが、氏名・生年月日・メールアドレスなどが漏れたため、同社や提携先を装う偽の連絡のリンクは開かず、確認は自分で開いた公式サイトで行う。
Bithumb（ビッサム）の社内グループウェアへの不正アクセス（顧客844名の個人情報が露出）：身分証番号・口座番号などと、利用者がやること
韓国の暗号資産取引所Bithumbは、2026年10月27日に社内のモバイルグループウェアへ外部の第三者による異常なアクセスを検知し、10月29日の発表（韓国報道による）で、顧客の個人情報も露出したと明らかにしました。対象の顧客記録6,444名分のうち5,600名分はDRM暗号化ファイルで外部から読めない状態で、露出したのは844名です。項目は顧客により異なり、氏名・携帯電話番号・メールアドレス・住民登録番号・運転免許証番号・口座番号・身分証の写しなどです。従業員715名も対象です。同社は、このグループウェアは取引所のアカウントや資産情報と分離された内部システムで、取引所サービスや顧客データベースへの直接の侵入は確認されていないとしています。当サイトの結論：身分証や口座情報を並べた電話・SMS・メールは本物と判断せず、ワンタイムコードやパスワードは誰にも伝えず、自分で開いた公式アプリ・公式サイトで同社のお知らせを確かめてください。
Covered Californiaの代理店（エージェント）情報漏えい：氏名・免許番号・SSNまたはFEINが漏れた、フィッシングによる事案と、対象者がやること
米カリフォルニア州の医療保険マーケットプレイスCovered Californiaは、カリフォルニア州司法長官へ情報漏えいの届出を行いました（届出日は2026年10月16日）。エージェント向けの通知によれば、2026年5月13日に第三者がフィッシングの手口でエージェントに関する情報へアクセスし、エージェントの表計算ファイルが閲覧されました。ファイルには、氏名、代理店名、免許番号、FEIN（連邦雇用者番号）または社会保障番号（SSN）、代理店内での役割が含まれていました。通知は、対象のエージェントの人数を書いておらず、加入者（消費者）の情報には触れておらず、信用情報の監視サービスも提示していません。同機関は、3つの信用情報機関に詐欺警告（fraud alert）を設定することと、司法長官の「Breach Help」の案内に従うことを勧めています。当サイトの見立て：対象のエージェントと代理店職員は、詐欺警告か信用情報の凍結を今すぐ設定し、免許番号や代理店名を挙げて届く想定外の連絡は疑い、通知に書かれた窓口に問い合わせるのがよいです。
Discord認証ボット「Double Counter」の情報漏えい（Discord ID約2,800万・メール約100万）：漏れた項目と、利用者・サーバー管理者がやること
Discordの認証ボット「Double Counter」の運営者Tellter SASは2026年10月5日に事件の報告を公表し、10月21日に第2版へ更新した。それによれば、攻撃者は10月4日、ホスティング事業者上の使われなくなったサーバーでインターネットから届く状態だったMetabase（分析ツール）から入り、同じサーバーに保存されていたクラウドの認証情報2つを使った。影響を受けたのは、DiscordのユーザーIDとユーザー名約2,800万件、IPアドレスと大まかな位置情報約2,700万件、ハッシュ化した端末情報約2,500万件、メールアドレス約100万件で、前の2つは一部のコピーにとどまる。運営者の決済関連サービスの顧客約5,000件の記録もコピーされた。Discordのパスワードはボットが受け取っておらず、カード番号の全桁も対象外。攻撃者はボットのトークンを使い、約50の大規模サーバーに別のDiscordサーバーへの招待を投稿した。運営者はフランスのデータ保護当局に10月5日に届け出て、10月21日から約100万人へのメールを始めた。当サイトの結論：利用者はDiscordアカウントの設定を変える必要はないが、IDやメールを使った本物らしい連絡に備える。サーバー管理者は10月4日の招待投稿を削除する。
ENGIE（フランス）の顧客情報漏えい：提携先の営業ツールから連絡先・契約番号が漏れた、銀行情報は含まれないと発表、顧客がやること
フランスのエネルギー供給会社ENGIEは、2026年10月下旬から国内の顧客へメールを送り、提携先の一部が顧客への営業や商品案内に使うツールが攻撃を受けた（報道に出た同社の表現はサイバー悪意の行為）と伝えました。顧客向けメールと報道に出た同社の説明によれば、対象は姓名、郵便の住所、メールアドレス、電話番号、電力の供給地点番号（PDL）またはガスの供給地点番号（PCE）、顧客ID、契約番号です。同社は、銀行情報は影響を受けていない、自社のITシステムは侵害されていない、攻撃者のアクセスを遮断した、当局に届け出たとしています。対象の人数と提携先は公表されていません。同社自身のサイトに本件の告知は見つからなかったため、本記事は複数の報道に出た同社の説明にもとづきます。当サイトの見立て：契約番号やメーター番号を告げて電話やメッセージで来る相手に、IBAN（銀行口座番号）・カード番号・コードを伝えず、切って請求書の番号にかけ直すのがよいです。
フロリダ州教育省の学生支援金サイトへの不正アクセス（約490万人）：社会保障番号が漏れたおそれ、対象者がやること
フロリダ州教育省は2026年10月29日、10月19日に同省の職員が「Florida Student Financial Aid」サイト（FloridaStudentFinancialAidSG.org）への不正な犯罪的アクセスを把握したと発表しました。同省は、影響はこのサイトに限られると考えており、約490万人に影響したおそれがあるとしています。漏れた可能性がある情報は、社会保障番号、氏名、生年月日、自宅住所、電話番号（携帯を含む）、メールアドレス、性別コード（M/F）です。全員が影響を受けたとは限りません。フロリダ州で学生支援金を申請したことがある人は対象の可能性があるとしています。同省はサイバーセキュリティ対応手順を発動して州司法長官室に通知し、州のデジタル部門（Florida Digital Service）と州法執行局（FDLE）と連携しています。現在の学生支援金、授業料の支払い、奨学金・助成金・ローンの資格には影響がないとしています。原因は公表されていません。当サイトの見立て：社会保障番号は変更が難しいため、信用情報の確認、詐欺警告（fraud alert）や信用凍結（credit freeze）の検討、氏名・メール・電話を使ってこの件を口実にした連絡への警戒が要点です。
Frontline Education（米国の学校向け業務ソフト）の情報漏えい：インディアナ州の一覧で308万人、社会保障番号・メディケイドID・生徒IDが影響、職員と保護者がやること
米国の学区向け業務管理ソフトを提供するFrontline Educationは、2026年10月26日付の「データ侵害のお知らせ」を公表しました。同社によれば、8月14日に自社が利用する外部ソフトウェアの脆弱性を同社のセキュリティチームが確認し、この脆弱性により同日から同社環境の一部への不正アクセスが可能になっていました。不正な活動の最終日は8月15日です。影響を受けたデータは、同社の2つの製品（Frontline CentralとSchool Health Management）に関わるものです。影響を受けたデータとして、社会保障番号、生年月日、運転免許証番号、パスポート番号、その他の政府発行ID、メディケイドID、生徒IDを挙げています（どれが当てはまるかは人により異なる）。同社はデータの悪用を把握していないとし、成人にはTransUnionの信用情報モニタリングを2年間、未成年にはサイバーモニタリングを提供するとしています。人数は、インディアナ州司法長官の侵害通知一覧（2026年11月版）に、総数308万5,266人（同州の対象者66,157人、通知日2026年10月26日、侵害発生日2026年8月14日）と載っています。ほかの5州の届出の合計は約130万人にとどまっていました（SecurityWeekの報道）。影響を受けた学区数は公表されていません。当サイトの見立て：Frontlineを使う米国の学区の職員や在学の子どもがいる人は、自分に通知が来る前提で、無料の信用凍結を設定し、メディケイドIDや生徒IDを口にする電話やメールは本物の証明にならないと扱ってください。
花キューピットの会員情報漏えい（最大4,238,242件）：ユーザーID・暗号化されたパスワード・メールアドレスと、利用者がやること
花キューピット株式会社は2026年10月28日、同社が運営する「インターネット花キューピット」「ビジネス花キューピット」への第三者による不正アクセスで、会員情報の一部が漏えいしたと公表した。同社によれば、10月14日（水）〜15日（木）に管理システムへ不正アクセスがあり、10月19日（月）の調査の過程で会員情報の漏えいを確認した。対象件数は4,238,242件（該当する可能性のあるお客様）。漏えいした項目は、ユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの、FAQではハッシュ化）、PC用メールアドレス、携帯用メールアドレス。氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報等は漏えいしていないとしている。対象は同社の公式ECサイト（i879.com、i879.com/biz/）でメールアドレスを登録した会員で、外部ショッピングモールでの注文、メールアドレスを登録していない電話注文、花キューピット加盟店での購入は該当しないとしている。同社はクレジットカード情報を保持しておらず、カードの停止や再発行は必要ないとしている。二次被害は確認されていないとしており、10月28日から対象者へメールで順次連絡し、個人情報保護委員会と警察に報告済み。原因は書かれておらず、外部の専門機関と連携して調査中。金銭的な補填や返金は予定していないとしている。当サイトの結論：対象になり得る人はパスワードを変更し、同じIDとパスワードを使い回したサービスも変える。花キューピットや金融機関を名乗る連絡は、リンクを開かずに自分で公式サイトを開いて確かめる。
iRhythm（米国・Zio心電計）の情報漏えい（HHS掲載で8,179,772人）：氏名・保険番号・機器シリアル番号などが持ち出された、患者がやること
ウェアラブル心電計「Zio」を作る米国のiRhythm Technologiesは2026年6月15日、第三者がホストする業務アプリケーションへの不正アクセスを検知し、データが持ち出されたと米SECに届け出ました。同社の2026年10月2日付の通知によると、調査の結果、データへのアクセスとダウンロードは6月3日から8日に行われ、対象者への通知は10月2日に始まりました。含まれるのは、患者の氏名、連絡先（住所・メール・電話）、患者アカウント番号、機器のシリアル番号、保険番号、サービス日、生年月日で、同社はHIPAA上の保護対象の医療情報（PHI）に当たるとしています。同社自身は総数を公表していません。10月29日にSecurityWeekとCyberInsiderが、米保健福祉省（HHS）の公表一覧に8,179,772人として掲載されたと報じました。それ以前の州への届出では、テキサス州298,647人、サウスカロライナ州69,526人でした。同社は、製品・臨床システム・医療機器への影響は確認しておらず、決済カードや金融口座の情報は保存していないとしています。当サイトの見立て：Zioを使った人は、氏名と保険情報を使った本物らしい連絡に備え、保険会社の給付明細を確認し、無料のクレジット凍結を検討してください。
JAL・JTA・ANA・大韓航空・アシアナ航空の予約システム（委託先）への不正アクセス（JAL・JTA 約92,000名、ANA 約37,800名）：予約番号・氏名などの参照と、利用者がやること
日本航空（JAL）と日本トランスオーシャン航空（JTA）は2026年10月28日、予約・発券・搭乗手続きなどを統合的に処理する旅客サービスシステムの委託先（海外の事業者）から、同社システムへの不正アクセスによって予約情報の一部が外部から参照された形跡があるとの報告を10月23日に受けた、と公表した。対象の期間は2023年8月10日から2026年9月23日、約90,000名は予約番号・氏名・搭乗日・搭乗区間・搭乗クラス、約2,000名はこれらに加えてメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空券番号・座席番号など、合計は約92,000名。JAL・JTAは10月30日、対象者に予約時のメールアドレスあてに連絡したと発表を更新した。全日本空輸（ANA）は10月30日、同じ期間に予約した約37,800名（うち約1,700名はパスポート番号・マイレージ番号などを含む）の予約情報の一部が参照された形跡があると公表した。韓国の大韓航空とアシアナ航空も10月23日、同じ事業者の予約システムから一部の顧客の予約番号が流出した形跡があると公表し、ログイン認証情報を使った不正なアクセスが原因で、期間は2023年8月から2026年9月と推定されるとしている（両社とも人数は未公表）。JAL・JTAとANAは、クレジットカード情報とパスワードは含まれないとしている。当サイトの結論：予約番号・氏名・便名が正しく書かれた航空会社を名乗る連絡でも、リンクや番号は使わず、公式アプリ・公式サイトで確かめる。パスポート番号やマイレージ番号が対象の可能性がある人は、マイレージのパスワードを変え、特典の交換履歴を確認する。
Navigate360の情報漏えいとCrime Stoppers通報基盤（P3）：通報した人・通報で名前が出た人・米国の通知の受取人がやること
Navigate360はデータ漏えいの通知を公表し（通知ページに日付はなく、ロイターは同社が10月23日に漏えいを認めたと報じている）、2025年11月21日から2026年3月5日の間に第三者が自社の一つのシステムからデータをコピーしたと説明した。氏名、住所、生年月日、社会保障番号などが含まれる可能性がある。トロント・クライムストッパーズ（Toronto Crime Stoppers）は、同社から、盗まれたデータに2022年1月〜2025年11月のトロントの通報176,859件と、その中に含まれる14,973件の氏名があると伝えられたとして、10月22日に通報の受付を止めた。カナダのプライバシー・コミッショナーは10月27日にNavigate360の調査を開始した。同社の通知はP3やCrime Stoppersに触れておらず、公式の総数は見つかっていない。トロントは、盗まれた通報の本文を受け取っていないと述べている。当サイトの見方：通報したことがある人は、通報の内容が自分に結びつけられる可能性があると考え、通報に触れる連絡に注意し、不安があれば警察か弁護士に直接相談する。
ソニー生命への不正アクセスによる契約情報の漏えい（自社の契約情報 約290万件、メディケア生命分 約38.5万件）：氏名・住所・証券番号などと、契約者・被保険者がやること
ソニー生命保険株式会社は2026年11月9日、第二報として、不正アクセスに起因する情報漏えいを新たに確認したと公表した。自社の保険契約の個人情報（証券番号、氏名、住所、電話番号など）約290万件（解約等で契約が終了した分を含む）、代理店募集人のメールアドレスと募集人番号約780件、自社従業員のメールアドレスと社員番号約12,500件。健康状態・病歴等の要配慮個人情報、マイナンバー、クレジットカード情報、口座情報、メールアドレス（契約者分）は含まれないとしている。10月28日の第一報（ソニー生命が代理店として扱ったメディケア生命の契約者・被保険者の情報、約38.5万件）に続き、自社の契約者も対象になった。不正アクセスは10月27日に判明した。11月9日現在、お客さま情報が不正使用された事実は確認されていないが、同社を装うメール・SMS・電話に注意するよう呼びかけている。原因は公表されていない。当サイトの結論：ソニー生命の契約者（解約済みを含む）と、メディケア生命の保険にソニー生命の窓口で入った人は対象の可能性がある前提で、連絡のリンクや番号を使わず、公式サイトに載る窓口で確かめる。
コペンハーゲン大学（Københavns Universitet）の情報漏えい（約52.5万人）：氏名・CPR番号・電話番号・メールアドレスと、対象かもしれない人がやること
デンマークのコペンハーゲン大学（Københavns Universitet、KU）は2026年10月23日、テスト環境の1つにハッカーが侵入したと公表した。同大の発表を引用した複数の報道によれば、約52.5万人分のデータ（氏名、CPR番号＝デンマークの国民識別番号、勤務先と私用の電話番号、私用のメールアドレス）が取得された。10月25日の更新で、職員・学生約2万人のIDカードの暗証番号（PIN）も漏れたと公表し、新しいPINを発行済みという。報道によれば侵入の検知は10月20日（火）で、制御下に置いたとされる。同大はデンマークのデータ保護機関に届け出た。同大の公式ページには10月30日に当サイトから接続できなかったため、この記事は同大の発表を引用する報道に基づく。当サイトの見立て：氏名とCPR番号が合っていても本物とは限らない。自分で開いた窓口で確かめ、CPR番号・パスワード・PINを求められても答えない。
ホワイトエッセンスの不正アクセスによる個人情報漏えい（約105万アカウント）：氏名・住所・電話番号・暗号化パスワードなどと、利用者がやること
ホワイトエッセンス株式会社は2026年8月12日、予約サイトと基幹システムへの不正アクセスを受けてシステムを一時停止したと公表し、10月5日に「不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」で調査結果を公表した。同社によれば、8月5日に外部からの不正アクセスを確認し、同月12日にシステムを停止、その後の調査で個人情報が外部に持ち出されていたことが判明した。2026年8月5日時点で登録されていた情報のうち、対象者数は約105万アカウント（お客様のほか加盟院関係者・本部社員等を含む全体数）で、漏えいした項目は、お名前、ご住所、お電話番号、メールアドレス、生年月日、性別、お勤め先、ログインIDおよびパスワード（暗号化された状態）、サービスのご利用・対応に関する情報、同社の管理番号等（全部または一部）。同社は金融機関の口座情報を預かっておらず、お客様の画像が漏えいした事実も確認されていないとしている。原因は、予約サイトのプログラムに存在した脆弱性を悪用され、これを起点に基幹システムへ不正アクセスされたこととされ、同社は当該脆弱性への対処を完了したとしている。10月5日時点で二次被害は確認されていないが、同社または他の事業者を装った不審なメール・電話・郵便物が届く可能性があるとしている。当サイトの結論：同じログインIDとパスワードを他のサービスで使っているなら、そちらを変える。同社や歯科医院を名乗る連絡は、氏名・住所・生年月日が正しくても、リンクや番号を使わずに確かめる。
ビューティガレージ・アイラッシュガレージの不正アクセス（77万5,725件）：サロン名・電話・メールとパスワードの変換値が漏えい、取引先を装う連絡への備え
株式会社ビューティガレージは10月15日、同社とアイラッシュガレージのECサイトのサーバーに10月10日から12日にかけて不正アクセスがあり、お客様情報の一部が外部に漏えいしたと公表した。10月13日に検知し、経路を特定して同日中に遮断した。同社の発表によれば、対象は2026年10月10日23時55分時点で「ビューティガレージ」「アイラッシュガレージ」のECシステムに保存されていたお客様情報775,725件（ブランド別の内訳の記載なし）。アイラッシュガレージの発表では49,191件（775,725件との関係は不明）。漏えいが確認された主な項目は、会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値。住所・配送先、購入履歴、クレジットカードを含む決済情報は、現時点で漏えいは確認されていない。情報の公開や不正利用の事実は確認されていないとしている。10月20日の両社の第2報では、ECサイトは通常どおり稼働しているとし、個人情報保護委員会へ報告済みとした。原因の詳細は公表されていない。当サイトの結論：両社や取引先を名乗る連絡は、サロン名や氏名が正しくても本物の証拠にならない。振込先の変更や追加の支払いを求める連絡は、必ず公式の窓口で確かめる。
So-net会員データベースへの不正アクセス（So-net会員 約214万件・plala Sコース 約44万件）：氏名・電話番号・生年月日などの漏えいと、利用者がやること
ソニーネットワークコミュニケーションズ株式会社は2026年10月27日、同社のインターネット接続サービス「So-net」の会員データベースへの不正アクセスで、情報漏洩を確認したと公表した。同社によれば、10月19日に外部から不正アクセスを受け、10月23日にそれを確認してサーバを停止し、10月24日に漏洩した項目と件数を把握した。漏洩した情報は、So-net会員情報2,141,986件（現会員1,869,771件、2026年3月以降に退会した元会員272,215件）とplala（Sコース）会員情報443,495件（現会員422,365件、同じく元会員21,130件）で、いずれも氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用ID。会員情報については、パスワードの漏洩はなかったとしている。メールサービス（G）・A-Box・ソネットVAIOメール・PostPetメールアカウントサービスの計54,401アドレスは、メールアドレスのパスワードも漏洩し、同社は10月27日にこれを初期化した。銀行口座情報16件と、パスワード再設定用の通知書情報7件も漏洩し、該当者には個別に連絡するとしている。クレジットカード情報は含まれず、NUROを含む他のサービスの情報漏洩は確認していない。原因は「第三者からの不正アクセス（調査中）」とされ、侵入の経路は公表されていない。当サイトの結論：4つのメールサービスを使っていた人は、マイページなどからメールのパスワードを再設定し、同じパスワードを使い回したサービスも変える。全員、氏名・電話番号・生年月日が正しく書かれたSo-netを名乗る連絡でも、リンクや番号は使わずに確かめる。
トイポアプリへの不正アクセス（69万7,209名が対象と公表）：電話番号・氏名・住所などが漏えい、店舗のアプリ利用者がやること
株式会社トイポは、同社の顧客管理アプリ「トイポアプリ」への第三者による不正アクセスを2026年10月4日に確認し、10月14日付の「お詫びとお知らせ」で、対象ユーザーを697,209名と公表した（情報が漏えいした可能性があるとしている。同社の別のお知らせページは「漏えいしました」と書き、日付と人数の記載はない）。10月13日から、アプリ内のPush通知などで対象の人に個別に連絡している。同社によれば、一部のシステムで、認証されたユーザーが本来権限のない他のユーザーの情報を取得できるアクセス制御上の脆弱性があり、第三者がこれを利用してユーザー情報を取得した記録を確認した。脆弱性は修正済み。漏えいした情報は、電話番号、ユーザーID等の識別情報と、登録している場合の氏名・氏名カナ・メールアドレス・生年月日・性別・住所。パスワード等の認証情報、クレジットカード番号などの決済情報、ポイント情報、来店履歴、購買・利用履歴は含まれず、パスワード変更などの操作は必要ないとしている。具体的な二次被害は確認されていない。個人情報保護委員会へ報告済み。第三者機関によるセキュリティ評価・診断は実施に向けて調整中。利用店舗のお知らせでは、JR九州フードサービスが約61,500名のうち約26,900名、萬野屋の「杵屋萬野」公式アプリが212名のうち12名が対象。トイポの窓口は0120-546-030（平日9〜18時、コールセンターは10月30日18:00まで、以降はアプリ内の窓口）。当サイトの結論：電話番号と氏名が合う連絡でも本物とは限らない。リンクや番号を使わず、アプリ内の窓口か発表の窓口で確かめる。
一番くじONLINEの配送情報が漏えいした可能性（バンダイロジパルへの不正アクセス）：氏名・住所・電話番号と、会員がやること
株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパルの3社は2026年10月26日、バンダイナムコホールディングスの物流子会社であるバンダイロジパルが管理するシステムに第三者からの不正アクセスがあり、10月21日に発覚したと公表した（第1報）。3社の発表によれば、漏えいした可能性がある個人情報は、BANDAI SPIRITSがバンダイロジパルに商品配送業務を委託している「一番くじONLINE」の配送情報（氏名・住所・電話番号）。件数などの詳細は調査中で、クレジットカード情報は含まれておらず、現時点で不正使用等は確認されていない。10月21日に物流システム内のサーバーで不正アクセスの疑いのある痕跡を見つけてサーバーをシャットダウンし、同日、バンダイロジパルのアカウントの不正利用による操作を確認した。10月24日に当該物流システムを停止し、10月26日に警察と個人情報保護委員会へ報告した。発表は、10月26日から当該出荷システムを一時停止するとしている。不正アクセスの経路は公表されていない。3社は、本件に関連して不審な電話や郵送物が届く可能性があるとして注意を呼びかけている。当サイトの結論：一番くじONLINEで商品を届けてもらったことがある人は、一番くじやバンダイを名乗る心当たりのない電話・郵送物に応じず、確かめたいときは自分で開いた公式サイトの問い合わせフォームを使う。
Joshin（旧・上新電機）への不正アクセス（最大約600万件）：会員の氏名・住所・電話番号などが漏えいした可能性、利用者がやること
株式会社Joshin（2026年4月1日に上新電機株式会社から社名変更）は10月17日、10月16日に不正アクセスを認識し、外部からのアクセスを制限するなどの対策をとった結果、一部のサービスを提供できない状態になっていると公表した（19日に東京証券取引所へ開示）。10月26日の第2報では、10月16日にネットワークの異常を検知し、不正アクセスの形跡が見られるサーバーをネットワークから遮断するなどの措置を講じたとしている。第2報によれば、漏えいした可能性があるのは、会員情報データベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、ジョーシンのサブスクの最大約23万件（会員番号、電話番号＋手書きサイン（バイナリデータ）、ログインID・初期パスワード、請求履歴、契約番号・デバイスID、有効化コード）、リフォーム写真アップロードシステムの最大約800件（免許証画像2件、マイナンバーカード1件、口座番号5件と、リフォーム施工中の工事写真データ）。件数は漏えいした可能性のある総件数で、漏えいが確定した件数ではないとしている。同社は決済情報を保持しておらず、クレジットカード情報は保持していない。個人情報保護委員会と警察へ相談・報告済み。原因・侵入の経路・停止中のサービスの再開時期は公表されていない。当サイトの結論：Joshinを名乗るメール・SMS・電話は、氏名・住所・会員番号が正しくても本物の証拠にならない。リンクや番号は使わず、発表に載っている窓口か自分で開いた公式サイトで確かめる。
アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること
株式会社モニタスは2026年10月21日、同社が運営するアンケートサイト『Qzoo』が第三者による不正アクセスを受け、会員（モニター）の個人情報が漏えいした可能性があると発表した。経緯は、10月17日8時30分に不正アクセスが始まり、12時22分にSQLインジェクションによるデータベースの閲覧・更新、18時44分に検知・遮断、19時02分にサービスを緊急メンテナンス状態に移行、10月20日に個人情報保護委員会へ速報。対象は約40万件（10月17日時点でQzooのシステムが保有する全件）で、影響を受けた可能性があるのは、基本情報（氏名、生年月日、住所、電話番号、メールアドレス等）、会員認証情報（会員ID、パスワード等）、金融関連情報（口座番号、支店名、口座名義等）、アンケート回答情報（年収、職業等）を保管するデータベース。項目は調査中で、クレジットカード情報とマイナンバーは保有していない。原因は同社システム内の脆弱性を悪用した侵入としている。Qzoo以外の同社システムへの不正アクセスは確認されていない。当サイトの結論：Qzooと同じメールアドレスとパスワードを使うサービスは今日変え、Qzooや銀行を名乗る連絡のリンクは開かず、暗証番号やログイン情報は誰にも伝えない。口座の入出金もあわせて確認する。
エムスリー「MR君」への不正アクセス（m3.com会員など25,775名・製薬企業の担当者2,260名）：漏れた情報と、医師・製薬企業の担当者がやること
エムスリー株式会社は2026年10月15日と10月23日（第2報）、同社が運営する製薬企業向けサービス「MR君」のシステムに第三者による不正アクセスがあり、個人情報が漏えいしたと公表した。同社によれば、10月14日に不正アクセスを確認し、同日中に判明した経路を遮断した。第2報で漏えいが確認されたのは、m3.com会員様等25,775名（氏名、勤務先、一部の方のメールアドレス、一部の当社サービスのご利用に関する情報等、取引先の製薬企業が当社サービスに登録していた情報（担当関係等）。メールアドレスを含むのは6名）と、製薬企業のご担当者様2,260名（氏名、勤務先、一部の方のメールアドレス等。メールアドレスを含むのは264名）。m3.com会員以外で製薬企業から預かっている医師の情報も一部含まれる。ログインパスワードと保有するm3ポイント等は含まれず、クレジットカード番号等は同社が保持していない。原因は公表されていない。不特定多数への公開や不正利用は確認されていないとしている。同社は10月22日以降、対象の会員に登録メールアドレス宛てで個別に連絡している。当サイトの結論：m3.comを使う医師などは、エムスリーや製薬会社の担当者を名乗る連絡のリンクを開かず、パスワードや口座情報を伝えない。
ピザハットのオンライン注文への不正アクセス：メールアドレス・電話番号・ログイン用のトークンが漏えい、利用者がやること
日本ピザハット株式会社は2026年10月23日、ピザハットの日本国内向けオンライン注文サービスに関連するシステムに第三者による不正アクセスがあり、お客様の情報の一部が漏えいしたと公表した。同社によれば、10月19日、第三者がオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことが確認された。外部への漏えいが確認された情報は、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれていない。件数は公表されていない。原因と影響範囲の詳細は調査中としている。同社は攻撃元IPアドレスのブロック、脆弱性への対応、個人情報保護委員会への速報を実施した。二次被害は確認されていないが、同社やピザハットを装った不審なメール・SMS・電話の可能性があるとして注意を呼びかけている。当サイトの結論：ピザハットのオンライン注文を使ったことがある人は、ピザハットを名乗る連絡のリンクを開かず、公式アプリか自分で開いた公式サイトで注文履歴を確かめる。
楽天トラベルへの不正アクセス（最大約260万件）：海外ホテル予約の氏名・連絡先と一部のカード情報、利用者がやること
楽天グループ株式会社は2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理・運営する一部のページと、同社が運営する多言語予約サイトへの、社外の第三者による不正アクセスを確認したと公表した。海外ホテル予約ページ（事象①）は9月10日に異常を検知し、9月16日に改修を完了。不正アクセスの対象となった情報は、ログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、予約した最大約4万件の氏名・連絡先・居住国・予約情報・同伴者の氏名など、そのうち最大約3万6千件の支払情報（カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）。カード番号の全桁・セキュリティコード・パスワード・身分証明書情報・住所は含まれないとしている（予約者の項目の注記）。多言語予約サイト（事象②）は10月20日に検知し10月21日に改修を完了、ログインした最大約86万件のメールアドレスと社内用の識別番号、管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名・メールアドレスが対象。原因・対象期間・補償は公表されていない。当サイトの結論：カード番号の再入力や支払いを求める連絡は、予約内容やカード下4桁が正しくても本物の証拠にならない。メールやSMSのリンクは使わず、楽天トラベルのアプリかブックマークから予約を確かめる。
FortiBleed（FortiGateの認証情報漏えい、約7万4千台）：新しい脆弱性ではなく、管理者とVPNのパスワード変更が必要
「FortiBleed」は、FortiGate（Fortinetのファイアウォール・VPN機器）の管理者アカウントとSSL VPNの認証情報が大量に漏れ、攻撃に使われている問題である。米CISAは2026年6月18日、約7万4千台の機器に関連する認証情報が漏れたとして注意喚起を出した。Fortinetは6月19日、新しい脆弱性ではなく、過去の事案で漏れた認証情報の再利用と、弱いパスワード・多要素認証のない機器への総当たりによるものとの見解を示した。JPCERT/CCは6月23日、国内企業に関連する情報が含まれていることを確認したとして注意喚起を出した。米FBIと米シークレットサービスは10月6日、攻撃が続いており、管理者が締め出される被害や、ランサムウェアの侵入口として使われた例があると警告した。修正版のファームウェアに上げても、漏れたパスワードは使えるままである。当サイトの結論：FortiGateを使っているなら、管理者とVPNのパスワードを変え、多要素認証をかけ、管理画面をインターネットから閉じ、古い形式のパスワードの控え（SHA-256）を消す。
フジッコのキャンペーン応募情報が漏えいした可能性（延べ約1万5,500件）：氏名・住所・家族構成などと、応募した人がやること
フジッコ株式会社は2026年10月22日、キャンペーンの応募受付業務を委託している会社のサーバーが第三者の不正アクセスを受け、応募者の個人情報が漏えいした可能性があると公表した。10月21日に判明し、サーバーは速やかに停止した。対象は、2026年5月以降に実施したカスピ海ヨーグルトシリーズ「もっと！とろぉ～もっちキャンペーン 第2弾」と「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームに入力された個人情報で、延べ約15,500件（同じ人が複数回応募した場合を含む）。項目は氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。免許証・クレジットカード・口座番号などは含まれない。フジッコイン会員としての応募、応募はがき、Xでの応募は対象外。公開や不正利用は確認されていないが、同社は情報が第三者に取得されたものとみなして対応している。当サイトの結論：該当する応募をした人は、送料・手数料の支払い、レシートの再提出、個人情報の再入力を求める連絡には応じず、公式発表に載っているキャンペーン事務局の番号で確かめる。
グリーンモンスターのアプリ「FXなび」のユーザー情報漏えいのおそれ（約619万件）：メールアドレス・アンケート回答などが対象、利用者がやること
グリーンモンスター株式会社（東証グロース、157A）は2026年10月23日、同社のFXデモトレードアプリ「FXなび」のユーザー情報等が第三者に取得されたおそれがあると公表した（第一報）。10月17日にアプリへの第三者からの不正なアクセスを確認して調査を始め、その過程で、4月27日20時26分頃から4月30日14時26分頃にかけて、別のIPアドレスの第三者がアプリからユーザー情報等を継続的に取得していたおそれが判明した。10月17日の不正アクセスによる漏えいは確認されていないとしている。対象は約619万件のユーザー情報等（個人情報に当たらないものを含む）で、項目はメールアドレス（6万6,003件）、ニックネーム、性別、年代、職業分類、X（旧Twitter）のID（6,434件）、自己紹介、アイコン画像のURL、初回アンケートの回答（480万9,631件）、端末固有のID、ログイン用の認証情報、引き継ぎコード（5,120件）、プッシュ通知用の識別子、広告ID、アクセス元のIPアドレス、成績などの利用データ。氏名・住所・電話番号・生年月日・クレジットカード情報・銀行口座情報・マイナンバーは登録できる項目に含まれない。原因は「本アプリのAPIの機能によるもの」とし、APIの機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効にした。二次被害は確認されていない。当サイトの結論：FXなびの利用者は、同社や関係企業を名乗るメール・Xのメッセージのリンクや添付を開かず、投資の勧誘はすべて偽物として扱う。
リンツのオンラインショップ・公式アプリ会員情報漏えい（314万7,469件）：氏名・住所・電話番号・生年月日・ハッシュ化パスワードが漏えい、会員がやること
リンツ＆シュプルングリージャパン株式会社は2026年10月23日、オンラインショップのシステムを提供し会員情報の管理を委託している外部事業者のシステムが不正アクセスを受け、オンラインショップとLindt公式アプリの会員情報3,147,469件が漏えいしたと公表した。委託先の報告によれば、10月17日23時02分から18日0時16分にかけて、委託先のサーバーで使っていたソフトウェアの脆弱性を悪用されたという。漏えいした項目は会員ID、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化して保存）、フリガナ・会員登録日時・最終ログイン日時など。クレジットカードなどの支払いに関する情報は含まれない。10月23日11時時点で悪用は確認されていない。オンラインショップは10月21日16時から停止中で、パスワードの変更は再開時に依頼する予定。対象者には10月26日から順次メールで連絡する。当サイトの結論：会員は、リンツを名乗るメール・SMS・電話・郵便の指示に従わず、同じパスワードを他のサービスで使っていればそちらを今すぐ変更する。
ピッコマのメールマガジン宛先の流出（1,002,404件）：メールアドレスのみが流出、利用者がやること
株式会社カカオピッコマは2026年10月24日、マンガアプリ「ピッコマ」のメールマガジンの配信に使っていた株式会社ラクスライトクラウドのメール配信システム「ブラストメール」が第三者の不正アクセスを受け、メールマガジン1回分の配信で宛先となっていたお客様のメールアドレス1,002,404件が外部に流出したと公表した。10月24日に同社からの報告で判明した。流出したのはメールマガジンの受信先として登録されたメールアドレスのみで、お客様を識別する管理番号や最終課金日などは含まれていないことを確認したとしている。パスワードはブラストメールに預けておらず流出の可能性はなく、氏名とクレジットカード情報は同社では持っていない。ピッコマのアプリ・Webサービスと同社のシステムは不正アクセスを受けておらず、アカウント、パスワード、購入情報への影響はないとしている。ピッコマノベルズのメールマガジンは、現時点で流出は確認されていない。同社はメールマガジンの配信を止め、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変え、個人情報保護委員会に報告した。対象者には個別に連絡するとしている。当サイトの結論：ピッコマのメールマガジンを受け取っていた人は、ピッコマや出版社を名乗るメール・SMSのリンクを開かず、アプリから確かめる。パスワードやカード番号は入力しない。
バリューデザイン「Value Card」への不正アクセス（142万件、モスカード113万件）：カード番号・PIN・残高が流出、カードを持つ人がやること
ペイクラウドホールディングスは2026年10月23日、子会社の株式会社バリューデザインが発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバーが第三者の不正アクセスを受け、ID番号・PIN番号・残高情報の1,424,748件（発行済ID 569,224件、購入前の未発行ID 855,524件）が外部へ流出したと公表した。確認日は10月19日、原因は子会社のシステムの一部の環境でWebサーバーの脆弱性を悪用されたこと。個人情報は該当なしで、発行済IDの不正利用のおそれには対処済み、不正利用による実被害はないとしている。同じ日に、プリペイドカード「モスカード」を展開する株式会社モスフードサービスも、モスカードのサーバー運用・保守を委託しているバリューデザインのシステムへの不正アクセスでモスカード番号（16桁）・PIN番号（6桁）・残高情報の113万3,070件（流通済み約57万件、未流通約56万件）が流出したと発表し、流出したカードのPIN番号を強制的に変更した。氏名・住所・電話番号・クレジットカード情報は含まれない。モスカード以外にどの発行会社のカードが対象かは公表されていない。当サイトの結論：モスカードを持つ人は利用履歴に覚えのない引き去りがないかを確かめ、Web での残高照会などができなければ専用窓口に連絡する。PINやカード番号を尋ねる連絡には応じない。
ファンケル・アテニアのECサイトへの不正アクセス（会員36.8万人・41.7万人）：氏名・住所・電話番号・生年月日が漏えい、会員がやること
株式会社ファンケルと株式会社アテニアは2026年10月16日、両社のECサイトが10月3日から10日にかけて第三者の不正アクセスを受け、会員情報の一部が外部に漏えいしたと公表した。10月15日の内部調査で判明し、原因となった機能を特定して停止した。漏えいしたのはファンケル会員39万3,785件・36万8,184名、アテニア会員44万1,162件・41万7,312名の情報で、項目はメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（一部の人が設定したハッシュ化された2次パスワード。メインのパスワードは対象外）、本人認証質問の項目（回答は含まない）、ポイント情報・会員ステージ情報などの会員登録情報。クレジットカードなどの決済情報は含まれない。不正利用や二次被害は確認されていない。ファンケルのよくあるご質問では、対象のお客様には10月17日中に登録メールアドレス宛に連絡したとしている。当サイトの結論：両社の会員は、氏名・住所・電話番号・生年月日がそろって知られた前提で、両社を名乗るメール・SMS・電話・郵便の指示に従わず、公式サイトや共通専用ダイヤルで確かめる。
トラストバンク「ふるさとチョイス」の不正アクセス（会員情報445万4,097件）：氏名・住所・ハッシュ化されたパスワードなどの流出と、寄附者がやること
株式会社トラストバンクは2026年10月20日、同社が運営するふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、寄附者の個人情報が外部に流出したと公表した。10月19日に通常と異なるアクセス傾向に気づいて確認したところ、10月17日に不正アクセスがあったことが分かり、10月19日15時50分に関連サービスを止めた。流出を確認したのは会員情報4,454,097件で、項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。10月23日の第2報では、このうち5名についてポイント履歴、寄附履歴、生年月日、送付先などの追加の項目が流出していたと発表した。うち2名は、マイページの保存済みカード情報の表示ページ（下4桁・名義・有効期限）に第三者のアクセスがあった。カード情報は表示のたびに決済代行会社から取得する仕組みで、同社のシステムには保存されておらず、この情報だけでカード決済はできないとしている。会員には10月21日から順次、流出の有無と項目を個別にメールで知らせている。10月26日の第3報では、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を同日から順次再開したと発表した（同日のよくある質問では10月25日からとしている）。新しい寄附の受付は再開しておらず、寄附者向けサイトの再開時期は未定。全会員のパスワードは無効化されており、再開後に新しいパスワードの設定が必要になる。当サイトの結論：会員登録をしていた人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを変え、ふるさとチョイスや自治体を名乗る連絡のリンクを開かない。
アンドエスティHDの不正アクセス（顧客情報 約250万件）：流出の可能性がある項目と、会員がやること
株式会社アンドエスティHDは2026年10月23日、同社の業務サーバーへの第三者による不正アクセスで、顧客・取引先・従業員の情報の一部が外部に流出した可能性があると公表した。発表によれば、10月22日午前7時30分頃から複数のサーバーに順次ログイン試行・侵入・データ抽出が行われ、同社は午前10時頃に検知してサーバーを隔離、17時までに経路を遮断した。流出の可能性があるのは、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）と取引先約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）で、従業員は範囲を確認中。クレジットカード情報などの決済情報と、顧客自身が設定したパスワードは含まれないとしている。WEBストア「アンドエスティ」は不正アクセスの影響を受けていないが、店舗とWEBストアで会員ポイントが使えなくなっている。対象者への連絡を順次始め、問い合わせ窓口を設けるとしている。当サイトの結論：パスワードは含まれないとされているため、今日やるべきことはパスワードの変更よりも、同社やブランドの名前、本物の住所や生年月日を使った連絡を疑うこと。確かめるときは公式アプリか自分で開いた公式サイトから。
メール配信「ブラストメール」に不正アクセス（全契約者の情報と、345契約で配信先リストなど）：メルマガの受信者と利用企業がやること
株式会社ラクスの子会社、株式会社ラクスライトクラウドが提供するメール配信サービス「ブラストメール」で、外部の第三者による不正アクセスがあり、データが外部に持ち出された。同社は2026年10月21日午前0時30分にサービスを緊急停止し、親会社のラクスが同日、第1報と第2報を公表した。発表によれば、第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。販売管理システムからは、すべての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などが持ち出された。クレジットカード番号は同社では持っていない。一部の契約者については配信先リストなど配信に関する情報の漏えいも確認され、10月26日17時の更新では、新たに1件が判明してその契約件数は345件となり、すべてに個別連絡を終えたとしている。侵入経路は調査中で、10月30日12時の更新でも件数は345件のままで、11月11日ごろの再開を目指している（前後する可能性あり）。利用組織のお知らせでは、新潟日報社が「新潟日報パスポート」の全会員分、最大約25万3000人の氏名（カタカナ）・メールアドレス・性別・年代などが漏えいしたとし、JR四国は約3万件、横浜市は関係する3件のメール配信、環境省は6つのメールマガジンについて、石油資源開発（JAPEX）はメールマガジンと機関投資家向け案内の配信先について、漏えいの可能性を公表した。ギフティは、10月23日時点の288件に自社の契約は含まれていないことを確認したとしている。当サイトの結論：これらの組織のメールマガジンを受け取っている人は、送信元の名前が本物でもリンクを開かず、公式サイトから確かめる。ブラストメールを使っている企業・団体は、個別連絡の有無を確かめ、個人情報保護委員会への報告（同社との連名報告は2次受付が11月5日まで）と本人への通知を判断する。自社の担当者情報も持ち出されているため、ブラストメールやラクスを名乗る請求・再ログインのメールにも注意する。
メドレーの医療機関向けシステム「アットリンク」に不正アクセス：患者の氏名・誕生月日・ログインID・パスワードなどが漏えい、患者と医療機関がやること
株式会社メドレーは2026年10月15日、同社が提供する医療機関業務支援システム「@link（アットリンク）」、患者向けの「アットリンクアプリ」と周辺サービスに第三者による不正アクセスがあったと発表し、10月14日深夜から提供を一時停止した。同社によれば、10月11日に外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を始め、不正アクセスを確認した。10月23日には、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし情報を取得していたことを確認し、個人情報が外部に漏えいしたと発表した。漏えいした項目は、アプリ・WEB予約を使っていた患者について、氏名、フリガナ、誕生月日、メールアドレス（登録した人のみ）、アプリ・WEB予約のログインIDとパスワード、利用した医療機関の名称、利用登録日、最終来院日、クレジットカードの決済履歴（決済日と金額のみ。アプリでオンライン決済を使った人のみ）。アプリ・WEB予約を使っていない患者については、氏名、フリガナ、誕生月日、利用した医療機関の名称、利用登録日、最終来院日、アプリ・WEB予約のログインIDと初期パスワード。クレジットカード番号などは同社で保有していないとしている。対象の医療機関の数と人数は調査中で、該当する人には医療機関と連携して順次通知する。不正アクセスの具体的な手法は、同種の攻撃を誘発するおそれがあるとして公表していない。経路は遮断し、関係する認証情報はすべて無効化した。個人情報保護委員会と厚生労働省に報告している。アプリ・WEB予約のパスワードは引き継がず、サービス再開時に新しく設定する。10月28日12時30分更新の発表では、医療機関向けの「@link クラウド β版」を10月28日から一部の医療機関でテスト利用し始めたとし（予約の確認・受付・登録、患者情報の登録・更新・検索、診察カレンダーの設定が対象）、患者向けアプリとWEB予約サイトなどは引き続き停止している。停止期間中の利用料金は、11月中を目途に返金を予定するとしている。原因と影響範囲の調査は続いている。当サイトの結論：アットリンクのアプリ・WEB予約を使っていた人は、同じパスワードを使い回したサービスのパスワードを変え、受診先の医療機関名や来院に触れる連絡のリンクは開かない。医療機関は、患者からの問い合わせを同社の専用窓口へ案内する。
日本経済新聞社の不正アクセス（約183万件）：氏名・メールアドレスなど約15万件が漏えい、利用者がやること
株式会社日本経済新聞社は2026年10月16日、同社がシステム開発に利用するクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏洩したと発表した。氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含む個人情報が約15万件で、そのうちメールアドレスを含むのが約12万件。残る約168万件は、単体では個人を特定できない識別子のみだった。クレジットカード情報は含まれていない。同社によれば、クラウドサービスにアクセスするための認証情報が何らかの手段で窃取され、10月7日未明から朝にかけて不正アクセスを受けた。同社は不正アクセスに使われた認証情報を無効にし、10月11日に個人情報保護委員会へ報告した。二次被害やシステム停止・データ改ざんなどの異常は16日時点で確認されていない。漏洩が確認された人には個別に知らせるとしている。グループの株式会社日経ナショナル ジオグラフィックは10月22日、自社サービスの一部の利用者の情報が含まれていたと公表した。どのサービスの利用者が対象か、項目ごとの件数、認証情報が盗まれた手段は公表されていない。当サイトの結論：日経やグループ会社を名乗るメール・電話のリンクや番号は使わず、公式サイトから確かめる。
トレジャー・ファクトリー（トレファク）の不正アクセス（メールアドレス74万6,277件）：出張買取・トレファク引越の利用者がやること
株式会社トレジャー・ファクトリーは2026年10月23日、「出張買取」と「トレファク引越」の申込受付などに使う案件管理システムに第三者による不正アクセスがあり、お客様情報などの一部が外部に取得されたと公表した。同社の適時開示によれば、取得を確認したのはお客様情報74万6,277件（メールアドレス。うち11件は氏名と住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名と端末識別情報1,000件。クレジットカード番号などの決済に関する情報は含まれず、店舗で預かっているお客様情報と同社アプリで管理しているお客様情報は別のシステムで管理しているため対象外とした。10月20日にアクセスログの調査で確認し、同日中に外部からのアクセスと申込フォームの受付を止めた。原因はデータベースへのアクセスに関する脆弱性が悪用されたものとみており、直近で公表されたPHPの脆弱性とは関連がないとしている。二次被害は確認されていない。システムと申込フォームは10月28日をめどに再開する予定。当サイトの結論：出張買取・トレファク引越を申し込んだことがある人は、メールアドレスが知られた前提で、トレファクを名乗るメールのリンクを開かず、公式サイトから確かめる。
カプコンのCAPCOM IDへの不正アクセス（11,774,247件）：メールアドレスなどが漏えい、利用者がやること
株式会社カプコンは2026年10月22日、同社が運営するオンライン会員サービス『CAPCOM ID』（同社のWebサービスや一部のオンラインゲームに必要な共通アカウント）で、第三者による不正アクセスが発生し、お客様情報の一部が外部に漏えいしたと発表した。漏えいしたのは、メールアドレスとシステム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）で、件数は11,774,247件（全世界合計）。そのうち43件は生年月日・性別・国・地域・ニックネームも漏えいした。また、そのうち196件のアカウントでログインパスワードが不正に変更されており、同社はこれらのパスワードをすでにリセットした。10月23日の第2報によれば、この196件のうち19件（日本国内）では、第三者が同社の通販サイト『イーカプコン』のマイページに不正にアクセスし、氏名、氏名（カナ）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、イーカプコンへの問い合わせ履歴、会員アドレス帳が漏えいした。196件のうち残りの177件では、パスワードの不正な変更による情報漏えいは確認されなかったとしている。利用者自身が設定したパスワードの漏えいは確認されておらず、クレジットカード情報は漏えいの対象に含まれない。同社によれば、10月19日に不正アクセスの疑いのある痕跡を発見し、ただちにアクセスの遮断と、原因・影響範囲の調査に着手した。同日に不正アクセスを確認。10月20日に漏えいとパスワードの不正な変更を確認し、10月21日に警察と個人情報保護委員会へ報告した。攻撃手段の特定と対応は完了したとしているが、原因の詳細は公表されていない。第2報で同社は、影響範囲の調査は完了したとし、CAPCOM IDと関連サービスの監視を続けるとしている。CAPCOM IDを使うサービスとゲームは引き続き利用できる。対象者には順次個別に連絡するとし、日本と海外の地域ごとに専用の問い合わせ窓口を設けた。当サイトの結論：CAPCOM IDを持っている人は、カプコンを名乗るメール・SMSのリンクを開かず、電話で個人情報を答えず、同じパスワードを他のサービスで使っているなら変え、二要素認証を設定する。
コミックシーモアの会員情報流出（最大約420万件・ログファイル上の情報）：メールアドレスや生年月日などが流出、利用者がやること
NTTソルマーレ株式会社は、同社が運営する電子書籍ストア『コミックシーモア』への不正アクセスについて、2026年10月15日の初報から10月21日の第4報までを公表した。同社によれば、10月15日にサーバーへの外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止した。10月16日の第2報で、会員情報を管理するシステムから会員情報が第三者へ流出したことを確認したと発表した（件数は精査中）。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したこと、一部のシステムログファイルも閲覧・取得されたことを公表した。10月21日の第4報で、流出を確認した情報を、会員データベース上の登録情報319件（メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別）と、システムログファイル上の情報最大約420万件（メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない。同じ人の重複を含む可能性がある）とした。クレジットカード情報は対象のシステムで保有しておらず流出していない、購入履歴の流出とMY本棚の流出・消失・欠損は確認されていないとしている。侵入経路と攻撃手法の特定と遮断対応は完了したとしているが、その内容は公表していない。該当者にはメールで連絡する。サービスは停止中で、購入済み作品のWEBでの閲覧などから段階的に再開する予定。再開時には全ての利用者にパスワードの再設定を求める予定としている。当サイトの結論：コミックシーモアと同じメールアドレスとパスワードを他のサービスで使っている人は、今日そのサービスのパスワードを変える。同社を名乗るメールのリンクは開かず、確認は自分で開いたNTTソルマーレのニュースリリースから行う。
岩井コスモ証券の委託先への不正アクセス（4,975名）：漏れた情報と意図しない売買注文、顧客がやること
岩井コスモ証券株式会社は2026年10月16日（親会社の岩井コスモホールディングスの適時開示）、同社のインターネット取引のシステム運用・保守業務を委託している事業者のシステムが第三者による不正アクセスを受け、ネット取引の顧客4,611名の氏名、メールアドレス他が外部へ漏えいしたと発表した。不正アクセスは10月14日に同社が検知した。10月20日の第2報で、アクセス記録と通信記録の再調査により364名が加わり、対象は4,975名となった（その後に新たな不正アクセスがあったものではないとしている）。漏えいした情報に取引暗証番号は含まれず、同社はこの情報では口座へのログインや取引はできないとしている。第2報では、10月14日に売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が発注され（うち5口座で約定）、すでに取引前の状態に戻して顧客の負担は生じていないことも公表した。同社は、この不正取引に漏えいした個人情報は使われていないとしている。原因となった箇所の特定と修正は完了したとし、委託先では管理機能のアクセス制限などの対策が追加された。具体的な手口は公表されていない。当サイトの結論：岩井コスモ証券を名乗る電話やメールのリンクは使わず、自分で開いたログイン画面から注文・約定の履歴を確かめ、気になる点は公式の窓口（0120-405-546）に問い合わせる。
ユミルリンクのメール配信「Cuenote FC」に不正アクセス（延べ約5,163万件に拡大）：エクスプレス予約・スマートEXの会員情報も。メルマガの受信者・利用企業がやること
ユミルリンク株式会社（東証グロース、4372）は2026年10月26日、メール配信サービス「Cuenote FC」への不正アクセスについて第二報を出し、情報漏洩が発生したシステムが49システム、件数が延べ51,628,280件になったと発表した。10月19日の第一報では5システム・延べ約900万件と試算していたが、全システムの記録をさかのぼって調べた結果、10月25日に新たに42システムで不正アクセスとデータ出力の記録を確認した。漏洩件数を調査中のシステムが16あり、延べ件数は増える可能性がある。原因はライブラリの脆弱性で、同社のサポート・品質管理担当者の認証情報の取得、不正プログラムの設置、ログイン時のセッション情報の取得による不正ログインなどを確認したとしている。同社の顧客管理システム「Cuenote BASE」でも、契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態だった。漏洩した個人情報が不特定多数に公開された事実や不正利用は確認されていないという。利用企業のうち、JR東海・JR西日本・JR九州は10月26日、当初は影響がないと報告を受けていた「エクスプレス予約」「スマートEX」で、同サービスでメールを配信した会員のメールアドレス・会員ID・氏名（カタカナ）・会員種別が漏えいしたと発表し、11月5日の第2報で対象件数は172,735件と確認したとした。アスマークも同日、自社が利用する環境の登録情報の一部が外部へ不正に取得された可能性が高いとの連絡を受けたとした。バンダイナムコエンターテインメントとBANDAI SPIRITSは10月27日21:00、バンダイナムコIDのメールサービスを使う「THE GUNDAM BASE MEMBERS」の環境で、346,247件（漏えいした情報はメールアドレスとバンダイナムコID管理用の内部識別子）が漏えいしたと発表した（氏名・住所・購入履歴・ログインパスワード・クレジットカード情報は含まれないとしている。本件で同社から送るメールの本文にはURLを記載しないとしている。ほかの利用環境への影響は確認中）。DCMホールディングス（会員制度「マイボ」のメール配信）は10月30日の第2報で、会員753,272人（10月29日時点）の漏えいを確認したと発表した（項目はメールアドレス、会員ID、氏名、性別、生年月、居住都道府県。パスワード、カード情報、ポイント残高・利用履歴は含まれない）。当サイトの結論：エクスプレス予約・スマートEXの会員は、カタカナの氏名や会員IDが書かれたメールやSMSでもリンクを開かず、公式アプリやブックマークした公式サイトから確かめる。メルマガの受信者は配信元の企業を名乗るメールのリンクを開かない。利用企業は、自社の環境が対象かをユミルリンクに確かめ、個人情報保護委員会への報告と本人への通知が必要かを判断する。
リクルートのカーセンサーnet・C-MATCHへの不正アクセス（最大3,709,551件）：問い合わせた人の氏名・住所などが漏えいした可能性、利用者と販売店がやること
株式会社リクルートは2026年10月21日、同社が運営する中古車情報サイト『カーセンサーnet』（アプリ版を含む）と中古車販売店向け業務支援サービス『C-MATCH』で、不正アクセスにより利用者や取引先の情報が外部に漏えいした可能性があると発表した。同社によれば、10月17日に『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知し、同日17時頃から関連する全てのサービスを一時停止した。10月20日に、漏えいした可能性のある個人情報の項目と件数（最大値）を把握した。件数は最大3,709,551件で、内訳は、サイト上で販売店に問い合わせた人3,210,421件（大半は氏名・住所。住所は原則として市区町村名まで）、口コミを投稿した人5,289件、C-MATCHに登録のある販売店483,168件（担当者の氏名・電話番号、古物商許認可番号、ログインIDなど。個人事業主は引落口座情報なども）、同社従業員・業務委託先や販売代理店の従業員など10,673件。いずれにもクレジットカードなどの決済情報とログインパスワードは含まれない。原因は第三者からの不正なアクセスで、詳細は調査中。個人情報保護委員会へは速報済みで、対象者には順次個別に連絡するとしている。10月21日時点で二次被害は確認されていない。サービスは10月22日13時頃から、安全性を確認できたものから順次再開している。当サイトの結論：カーセンサーで販売店に問い合わせたことがある人は、氏名と住所を知っている相手からの郵便物・メール・電話が来る前提で、心当たりのない連絡のリンクや添付を開かず、確認はリクルートの発表ページから行う。
H2O IDの個人情報漏えい（約126万件）：阪急百貨店・阪神百貨店予約サイト経由の不正アクセスで、住所・電話番号・生年月日などが漏れた会員がやること
エイチ・ツー・オー リテイリング株式会社と株式会社阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスが発生し、顧客の個人情報の一部が漏えいしたと発表した。10月16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認して同サイトのシステム全体を停止し、10月17日にはE-STORESとRemo Orderでも不正アクセスを確認して両サイトを停止した。10月19日、顧客管理システムで管理しているH2O IDのうち約126万件の個人情報の一部が漏えいしたことが判明した。発表は、ほぼ全てのH2O ID会員の個人情報の一部が漏えいしたとしている。項目はH2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目。E-STORESとRemo Orderについては漏えいの可能性を調査中で、両サービスが保持する情報として商品注文履歴、クレジットカード情報の一部（カード種別・下4桁・名義・有効期限）、ポイントカード情報の一部、アドレス帳の情報を挙げている。カード番号の全桁とセキュリティコードは保持していない。ログインパスワードの漏えいは確認されておらず、不正利用や二次被害も確認されていない。原因は調査中。E-STORESは10月19日14時に再開した。当サイトの結論：氏名・住所・電話番号・生年月日と利用サービスを知っている連絡が来る前提で、リンクは開かず、確認は自分で開いた公式サイトや発表に載っている窓口で行う。
ニフティの回線申込システムへの不正アクセス（最大542,513件）：会員ID・氏名・住所・電話番号などが対象、光回線の利用者がやること
ニフティ株式会社は2026年10月19日、同社が管理する回線申込・受付管理システムで外部からの不正なアクセスを確認したと発表した（第一報）。同社によれば、10月19日10時20分頃に不正アクセスを確認し、直ちに当該通信元からのアクセスを遮断した。このシステムは同社側で情報を登録するための管理用ツールで、お客様が直接アクセスして申し込むWebサイト（申込フォーム等）とは異なるシステムだとしている。影響を受ける可能性がある情報は最大542,513件で、対象は2019年以降に回線を申し込んだお客様（当社Webサイトをのぞく）、対象サービスは＠nifty光、＠nifty MAX光、＠nifty auひかりプラス。項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスで、これは漏えいした可能性のある情報の全項目であり、実際に漏えいした情報は調査中としている。口座やクレジットカード情報はこのシステムに保有しておらず、漏えいの対象に含まれない。パスワードについての記載はない。原因は公表されておらず、外部の専門機関と連携した詳細調査と、個人情報保護委員会への報告手続きを進めている。当サイトの結論：対象のサービスを2019年以降に申し込んだ人は、氏名・住所・電話番号・生年月日を知っている相手からの連絡が来る前提で、ニフティを名乗るメール・SMS・電話のリンクや指示に従わない。確認は自分で調べた公式の窓口で行う。
Web制作サービス「Studio」に不正アクセス：全登録者の情報とフォームの送信内容が流出した可能性、フォームを送った人とサイト運営者がやること
Studio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、Web制作サービス「Studio」に登録しているすべての顧客について情報が外部に流出した可能性があると発表した。第三者はStudioの一部機能の脆弱性を悪用して不正にアクセスし、環境内のデータを外部から取得できる状態にしていた。不正アクセスを確認できている期間は2026年9月30日〜10月1日（日本時間）で、同社は10月13日に社内の調査で確認し、10月13〜14日に脆弱性の修正と経路の遮断を終えた。流出した可能性があるのは、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、Studioで作ったサイトのフォームに送信された内容、ライブプレビューのURL、API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Webhook通知のURLなど。暗号化して保存していた一部の情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため内容を知られた可能性があるとしている。実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応している。件数と二次被害の有無は調査中。Studioでサイトを作っていた企業・団体も、フォームに送信された個人情報が流出した可能性があると相次いで発表しており、Luupは21,368件、Link-Uグループは7,663件、TRUSTARTは約1,440件、埼玉県のさいたま緑の森博物館は162件としている。デジタル庁も10月22日、10月16日にStudio株式会社から報告を受けたとして、2021年5月〜2023年3月に同庁サイトのお問い合わせフォームに入力された内容（5区分で、区分ごとに最大8,833件など。合わせると最大13,323件＝当サイトの合算）と、Studioアカウントの情報35件が漏えいした可能性があると発表した。個人情報保護委員会への報告について、Studio株式会社は10月17日に顧客へ個別の報告の保留を求めたあと、10月20日に、同委員会との協議の結果、顧客が個別に報告するか、同社と連名で報告するかを選べるようになったと案内した（本人への通知はどちらの場合も顧客が検討する）。10月19日には、営業目的やスパム、安全上の懸念がある内容の回答でも、個人を識別できる情報が含まれるなら原則として本人への通知が必要との回答を案内ページに加えた。当サイトの結論：Studioで作られたサイトのフォームを使った人は、そのサイトの運営者のお知らせを確かめ、問い合わせ内容に触れる連絡のリンクは開かない。サイト運営者は、Studioの案内の順にパスワードと連携の鍵を切り替える。
バーガーキング公式アプリの不正アクセス（約1,118万件）：氏名・生年月日・電話番号などが漏れた会員がやること
株式会社ビーケー・ジャパンは2026年10月15日、同社が運営するバーガーキング公式アプリで第三者による不正アクセスを受け、公式アプリ会員の会員情報が外部に漏えいしたことを確認したと発表した。不正アクセスは2026年10月2日から7日にかけて行われ、10月13日に漏えいが判明した。対象は公式アプリ会員情報約1,118万件で、項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は同社で保持しておらず漏えいしていない、ログインパスワード情報の漏えいは現在確認されていないとしている。原因の詳細は外部専門機関と調査中で、公表時点で不正利用などの二次被害は確認されていない。10月17日時点で続報はない。当サイトの結論：氏名・生年月日・電話番号がそろった本物らしい連絡が来る前提で、リンクは開かず、確認は自分で開いた公式アプリで行う。生年月日を暗証番号やパスワードに使っているなら変える。
ソースネクストの会員情報流出のおそれ（22,519,960件）：メールアドレス・パスワード・住所などが対象、会員がやること
ソースネクスト株式会社は2026年10月15日、同社が管理する会員情報に第三者による不正アクセスがあり、会員の個人情報が外部に流出したことが判明したと発表した。同社によれば、10月9日10時頃から第三者が会員情報取得APIを不正に利用して会員の情報を取得しており、10月13日9時頃に不正アクセスを確認、同日13時36分までに封じ込めを完了した。流出した可能性のある情報は対象件数で22,519,960件。項目はメールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）で、登録状況により項目は異なる。クレジットカード情報は対象のシステムに保存されておらず、流出の対象に含まれないとしている。同社は10月16日の追記で、すべての会員のパスワードを無効化済みで従来のパスワードは使えないとし、新しいパスワードの再設定を求めている。10月19日の取材記事は、暗号化保存と復号状態での流出確認について同社広報の回答を伝えている。同社のよくある質問は、10月16日に外部の独立したセキュリティ専門機関へ依頼して第三者調査を始めたとし、「スーパーセキュリティ」「ウイルスセキュリティ」はこれまでどおり使えること、「1Password」に保存したパスワードなどのデータは同社が保有しておらず流出の対象に含まれないことも説明している。別事案として、同社は10月27日と11月5日に、メール配信サービスの提供会社（委託先）への不正アクセスで、同社が配信に使ったメールアドレスと注文情報などが流出した可能性があると発表した（11月5日の第二報で142,669件、重複を除いたメールアドレス数。パスワード・氏名・住所・電話番号・クレジットカード情報は対象外）。同社は、10月15日の件とは別件で関連はないとしている。当サイトの結論：ソースネクストの会員登録をしたことがある人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを先に変え、ソースネクストのパスワードは自分で開いた公式サイトから再設定する。ソースネクストを名乗るメール・SMS・電話・郵便物のリンクや番号は使わない。
IDAREに不正アクセス（12万9,659人）：残高・取引履歴や一部の本人確認書類の番号が漏えい、利用者がやること
株式会社Fivotは2026年10月13日、同社が運営するキャッシュレスアプリ「IDARE」で第三者による不正アクセスがあり、個人情報が漏えいしたと発表した。カスタマーサポート等のために導入していた外部ソフトウェアの脆弱性が悪用され、8月10日〜9月27日に複数回、同社データベースの情報が取得された。対象は9月27日までに登録した12万9,659人（退会済みを含む）。全員について電話番号・メールアドレス・生年月日・ユーザーID・表示名、アカウントの設定とステータス、残高、取引履歴、IDAREカードの名義と有効期限が、一部の人について氏名・住所・性別・利用目的・本人確認書類の番号、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁、入金用銀行口座番号の下3桁、リアルカードのアクティベーションコード、2021年10月に終了した貸付サービス「LADDER」のために入力した年収・勤務先などが漏えいした。ログインパスワード、本人確認書類や顔の画像、マイナンバー、カード番号の全桁、セキュリティコード、暗証番号、口座番号の全桁は対象外。不正な取引は確認されておらず、ログインには多要素認証が必須としている。10月21日の第二報では、同日時点でも不正な取引は確認されていないとし、再発防止策と完了の期限（10月30日・11月30日）を示した。外部の専門機関による第三者調査は11月下旬〜12月上旬ごろにまとまる見込みで、完了したら調査報告書を公表するとしている。当サイトの結論：漏れた情報だけでログインや決済はできないが、本当の残高や最近の取引を言い当てる連絡が来ても本物の証拠にはならない。IDARE・カード会社・銀行を名乗る連絡には、届いた経路のまま応じず、パスワード・暗証番号・セキュリティコード・認証コードは誰にも伝えない。
アルカディア「SpeeCAN RAIDEN」に不正アクセス（メールアドレス最大約313.6万件・推定）：自治体の防災メールの登録情報が漏えいの可能性、登録者がやること
株式会社アルカディアは2026年10月13日、同社が運営するメール等の一斉配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、連絡先の名前・メールアドレス・電話・FAX番号、担当者・契約情報、履歴として保存されている配信本文が漏えいした可能性があると発表した。最大件数はメールアドレス約313.6万件、電話番号約10.5万件、FAX番号約1.5万件（いずれも推定値で調査中）。10月11日16時30分に不審な挙動を確認し、12日3時ごろに応急措置、13日11時に侵入経路となったサービス（raiden3、ライデン・スクールのs2）を緊急停止した。10月14日には、NET119と119RAIDENでも漏えいの可能性があると追加し、10月16日の第11報で、NET119は9,020件のメールアドレスに紐づく利用者の名前・生年月日・住所などの個人情報（要配慮個人情報は漏えいしていないことを確認）、119RAIDENはメールアドレス約9.7万件などとした。停止したサービスは10月15日15時ごろに復旧した。決済情報は扱っていない。自治体も各自お知らせを出しており、静岡市は防災メール登録者3万4,336人のメールアドレスなどの漏えいが判明したとし、本物と同じ「@raiden.ktaiwork.jp」を送信元とするカード会社を装った偽メールを確認している。同社は10月21日の第17報で、10月13日1時17分〜7時16分に不正なプログラムによって同社システムからフィッシングメール1,423,428通が送られ、うち少なくとも869,575通は同社が保有するメールアドレスへの配信ではなかったと公表し、外部機関によるダークウェブ調査を行うとした。個人情報保護委員会と総務省への報告を契約者・代理店に代わって行うための案内メールも送っている。10月22日の第20報では、再発防止のため、SpeeCAN RAIDENのログイン時2段階認証を必ず使うよう契約者に求め、10月23日の第22報でライデン・スクールにも同じ設定を求めた。10月23日の第21報で公表した報告書では、原因を、添付ファイルを公開するメディアサーバーの脆弱性から設定ファイルを取得され、サービス間ログイン用のシークレットキーが流出したことなどと説明し、全サービスが漏えいの可能性の対象で、件数は調査継続中（そのうちNET119は9,020件）としている。セキュリティ専門の第三者機関に詳細調査を依頼済み。11月2日17時の第25報では、10月13日の送信とは別に、10月22日〜23日にも同社システムから外部へフィッシング詐欺の疑いのある不正メールが送られたと公表した。原因として、10月11日〜13日の不正アクセスの際にメール送信APIのアカウントが漏えいし、総当たりでパスワードを破られて外部から使われたこと、連携機能を止めた後もURLパースコンフュージョンの脆弱性を使われて再び使われたことを挙げ、10月22日6時30分ごろにAPI連携を止め、10月23日10時30分ごろに脆弱性を解消して不正メールは止まったとしている。11月6日16時15分の第26報では、第19報で停止した外部システムからのAPI連携機能の再開を進めていると公表した。再開にあたって顧客側で設定作業が必要で、対象の顧客には個別に案内している。当サイトの結論：送信元では本物と見分けられないので、防災メールの送信元はブロックせず、カードや個人情報の確認を求めるメールのリンクは開かない。
コミューン「Commune」に不正アクセス（延べ16万6,505人）：企業コミュニティの会員情報が漏えい、会員と運営者がやること
コミューン株式会社は2026年10月9日、同社が運営する企業向けコミュニティサービス「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け、一部のコミュニティで会員情報が漏えいしたと発表した。漏えいは10月5日18時ごろ〜6日21時ごろと、10月7日13時17分〜14時36分に起きた。第一報では、漏えいした会員を最大で約30.7万人（重複を除いた実人数の推計）としていたが、10月21日の続報で、詳しい調査の結果、漏えいの対象となった会員は16万6,505人（会員IDの単位でコミュニティごとに数えた延べ人数。同社が運営するコミュニティや検証用・デモ用のコミュニティを含み、攻撃者が作ったアカウントは含まない）、うちメールアドレスを含む情報が漏えいした会員は12万5,601人と確認した。それ以外の会員で漏れたのは、表示名・自己紹介・非公開グループの所属など。144人はパスワードが本人の操作によらず仮パスワードに変更された。パスワードそのもの、ダイレクトメッセージの漏えいは確認されておらず、決済情報は同社では保持していない。原因は、非公開コミュニティの招待リンクの不正な取得と、管理者へのなりすましと説明している。コミュニティを運営する利用企業も各自のお知らせを出しており、日本能率協会マネジメントセンターの「時間〈とき〉ラボ」ではプロフィール欄の氏名・住所・年齢・電話番号も漏えいした。コミューンは流出したメールアドレスの悪用を防ぐため10月10日0時50分から全コミュニティを止めて臨時メンテナンスを行い、管理者アカウントの二要素認証の必須化などの対策をとった。10月16日、希望した利用企業から順次、Webブラウザ版に限り一部の機能を制限して再開すると発表した（アプリ版、メールアドレスを使った新規登録、パスワードを忘れた場合の再設定は停止中）。臨時メンテナンスや検証で、新たな不正アクセスや漏えいは確認されていないとしている。10月21日の続報では、10月9日に総務省（関東総合通信局）へ速報を出したこと、警察署へ相談を始めたこと、ログの全件解析で攻撃者が残したプログラム・アカウント・設定などは確認されていないこと、第三者機関によるフォレンジック調査の準備を進めていることも公表した。当サイトの結論：参加しているコミュニティの運営企業のお知らせで対象かを確かめ、コミュニティ名を名乗るメールのリンクは開かない。
不正アクセスの注意喚起（2026年10月・国家サイバー統括室／IPA／JPCERT/CC）：今週やる点検と、異常が見つかったときの順番
2026年9〜10月に国内で不正アクセスによる情報漏えいの公表が相次ぎ、10月9日に内閣官房 国家サイバー統括室とIPAが、10月8日にJPCERT/CCが注意喚起を出した。IPAは原因を特定の製品の脆弱性とは断定しておらず、外部公開アプリ・サービスやアカウントの侵害が起点とみられるとしている。今週やることは、①外部公開アプリの洗い出しとログ確認（直近1か月→その後3か月）②クラウド・VPNなど外部サービスのログイン失敗・接続元・身に覚えのないアカウントの確認③保有データの再点検と最小化。異常があればセキュリティインシデントと判定し、ログを残して専門家に調査を頼み、個人情報保護委員会へ報告する。当サイトの視点＝点検でログが1か月分しか残っていないと分かったら、それ自体が直すべき結果。
オンラインの本人確認がICチップ読み取りに変わる（2027年4月）：書類画像の廃止で変わることと、利用者・事業者の準備
犯罪収益移転防止法施行規則の改正（2025年6月24日公布、2027年4月1日施行）で、銀行口座の開設などの非対面の本人確認では、本人確認書類の画像を送る方法と写しを送る方法が原則廃止され、運転免許証やマイナンバーカードのICチップ情報の読み取りと、マイナンバーカードの電子証明書（公的個人認証）が中心になる。対面でも、書類を見せたうえでICチップを読み取る形に変わる。携帯電話のオンライン契約は2026年4月1日にすでに移行済みで、店頭は2027年4月以降。金融庁は2026年10月9日、不正アクセスが相次ぎ、免許証などの画像を含む顧客情報の漏えいも起きている「現下の情勢を踏まえ」、金融機関に施行日を待たずにICチップ読み取りへ移るよう求めた。当サイトの結論：画像は一度漏れると誰でも何度でも使えるが、ICチップの読み取りにはカードの実物と暗証番号が要る。利用者は今のうちに免許証の暗証番号2つとマイナンバーカードの暗証番号を確認し、事業者は書類画像を集めない・残さない方向へ切り替える。
個人情報の漏えい件数の推移：個人情報保護委員会への報告は2025年度に17,139件、直接届いた報告の8割は誤交付・誤送付などの人のミス
個人情報保護委員会（PPC）が公表する漏えい等報告の件数を年度別にまとめた統計ページ。民間事業者からの報告は2020年度4,141件、2021年度5,846件、2022年度7,685件、2023年度12,120件、2024年度19,056件、2025年度17,139件。2022年4月に一定の漏えいの報告が義務になり、要配慮個人情報（病歴など）は1人分でも報告対象になったため件数が増えた。委員会に直接報告された分の原因は、2025年度は誤交付48.3％、誤送付26.0％、不正アクセス9.4％。当サイトの結論：件数を押し上げているのは病院・薬局などの書類の誤交付や誤送付で、組織は受け渡しと送付の確認手順を先に整える。一方、多くの人数が漏れる事故は不正アクセスによるものが多く、外部公開機器の更新、多要素認証、委託先の管理が要る。四半期ごとの公表に合わせて更新する。
バイトルの不正アクセス（最大約389万件）：漏れたのはメールアドレスのみ、会員が偽の面接連絡や求人勧誘で気をつけること
ディップ株式会社は2026年10月9日、同社が運営する求人サイト「バイトル」「バイトルNEXT」で10月6日に第三者からの不正アクセスを確認し、会員のメールアドレスが一部漏えいしたと発表した。漏えいした可能性のある件数は最大3,885,771件。漏えいした情報はメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報等は含まれていないとしている。原因は、システムの一部機能における仕様の不備を突いた海外からの不正アクセス。同社は海外からのアクセスを全て遮断し、プログラムを改修した。インターネット上への流出や不正利用は確認されていない。対象の会員には10月6日にサービス上で知らせ、順次メール等で個別に案内している。10月10日時点で続報は出ていない。当サイトの結論：漏れたのはメールアドレスだけでも、そのアドレスは求人サイトの会員のものと分かる。面接日程や応募確認を名乗る連絡のリンクは開かず、自分で開いた公式アプリで確かめる。別のメッセージアプリへの誘導や「高額」「即日即金」をうたう誘いには応じない。
ブックオフの情報漏えい（対象約638万人）：対象会員とパスワード変更、通知メールの確認方法
ブックオフグループホールディングス株式会社は2026年10月9日、子会社のブックオフコーポレーション株式会社が提供する国内のブックオフの会員管理システムに第三者による不正アクセスがあり、会員情報が外部に流出したと発表した。10月13日の第2報によれば、10月4日から6日にかけて会員情報が外部から取得され、対象は会員番号ベースで6,427,735件、同じメールアドレスの会員データを1人として数えると6,383,279人（うち退会会員212,371人）。対象はアプリ会員、オンラインストア会員、Web会員で、会員カードだけを使い、アプリやWebの登録をしていない人は含まれない。漏えいした可能性のある情報は氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号で（「職業」「ニックネーム」は10月16日の訂正で追加された）、全員についてすべての項目が漏れたわけではない。クレジットカード等の決済情報、銀行口座情報、店頭買取で読み取った本人確認書類の文字情報、宅配買取の本人確認書類の画像は含まれない。同社は対象者に10月15日からメールで順次連絡し（送信できると確認できたアドレスへの送信は10月22日に完了）、公式オンラインストアと公式アプリのパスワードの変更を求めている。10月23日には、ブックオフ会員サイトにログインして自分が対象かを確かめられるWeb照会機能を追加し、10月22日に本件専用のフリーダイヤルを開設したと発表した。11月6日の第3報では、外部の専門家と進めた調査の結果、会員情報を取り扱うシステムの一部機能におけるアクセス制御上の問題を第三者に悪用されたことが原因と判明したと発表した（システム構成や設定などの技術的詳細は公表を差し控えている）。第3報によれば、対象の範囲（サービス、人数、項目）は第2報から変わらず、10月26日〜29日には公式アプリのお知らせ通知でも対象の会員に個別に案内した。会員情報の外部への公開、ポイントの不正利用、会員情報の書き換えは確認されておらず、本件でポイントの不正利用が確認された場合は全額補填するとしている。個人情報保護委員会には12月初旬に確報を提出する予定。当サイトの結論：アプリ・オンラインストア・Webに会員登録したことがある人は、公式アプリと公式オンラインストアのパスワードを、公式アプリか自分で開いた公式サイトから変え、同じパスワードを使っている他のサービスも変える。ブックオフを名乗るメールやSMSのリンクは開かない。
第一興商の委託先でマルウェア感染（約872万件）：ビッグエコーなどの会員の氏名・生年月日・電話番号が漏れたおそれと、利用者がやること
株式会社第一興商は2026年10月8日、同社が個人情報の取扱いを委託している会社から、その会社の従業員の端末（PC1台）がマルウェアに感染し、同社の顧客情報が漏えいしたおそれがあるとの報告を受けたと発表した。端末には委託業務に関する個人データが一時的に保管されていた。対象は同社店舗で会員登録や予約をした客の約863万1千件（ビッグエコー、メガビッグ、カラオケCLUB DAM、バナナクラブ、B-GARAGE、DKダイニングの各関連。重複を除く）と従業員の約9万3千件の計約872万4千件で、項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号。パスワードは含まれず、この情報だけでポイントは使えないとしている。実際の外部への漏えいや不正利用、同社のシステムへの影響は確認されていない。10月9日に専用のフリーダイヤルを開設した。10月26日の追記で、対象となる可能性のある客にSMSなどで順次個別に連絡していると公表し、送信元の番号（NTTドコモ・au・楽天モバイルは05036052572〔+815036052572と表示される場合あり〕、ソフトバンクは247473）を示した。この連絡は新たな漏えいが判明したことを意味するものではなく、本件に起因する実際の外部への漏えいや不正利用は引き続き確認されていないとしている。同社は、送信元の番号だけでSMSが本物だと保証されるわけではないとも書いている。11月6日には外部専門機関によるフォレンジック調査の結果を公表した。委託先が使っていた端末でマルウェア感染と外部サーバーとの不正な通信が確認され、そのマルウェアには端末内の情報を外部へ送信する機能があったが、実際に外部へ送られた情報の内容や範囲は特定できなかった。現時点で本件に起因する個人情報の流出や不正利用は確認されていない。遠隔操作が行われたと考えられる痕跡はなく、調査開始時点でマルウェアの機能は無害化されていた。対象となる可能性のある客への個別の案内は続けている。当サイトの結論：ビッグエコーやDAMを名乗るクーポン・会員更新・ポイントの連絡や、第一興商を名乗るSMSのリンクは開かず、公式アプリか自分で開いた公式サイトで確かめる。生年月日を暗証番号やパスワードに使っているなら変える。
えきねっと・ビューカード・JR九州のメール漏えいの可能性（2026）｜対処法
東日本旅客鉄道（JR東日本）、株式会社ビューカード、九州旅客鉄道（JR九州）は2026年10月9日、それぞれが会員向けのメール配信に使う外部サービスが、クラウドサービス事業者で起きた不正アクセスの影響を受け、会員の電子メールアドレスなどが閲覧または取得された可能性を否定できないと公表した。対象件数は、JR東日本が最大でえきねっと会員約167万件と大人の休日倶楽部会員約39万件、ビューカードがVIEW's NET登録者のメールアドレス約403万件、JR九州が最大でJR九州Web会員約130万件。えきねっと・VIEW's NET・JR九州Web会員はメールアドレスのみで、大人の休日倶楽部会員はメールアドレスに加えて会員番号、クレジットカード有効期限、生年月日が対象。氏名・住所・電話番号・カード番号は対象外としている。クラウドサービス事業者は、10月7日未明から続く障害の原因を第三者によるランサムウェア攻撃と公表している。同事業者は10月14日の第5報で、障害の影響を受けた領域の仮想サーバー内のデータについて、照会や外部への持ち出しを示す痕跡は確認されず、外部へのデータの流出はなかったと判断したと公表した。JR九州は10月15日、この調査結果の報告を受け、JR九州Web会員のメールアドレスについて漏えいの事実は確認されなかったと公表した。JR東日本も、えきねっとのサイトで、10月15日にメール配信用外部サービスの会社から、えきねっと会員の個人情報の漏えいはなかったと判断したとの報告を受けたと案内している（10月19日に確認）。大人の休日倶楽部会員とビューカードについては、10月19日時点で続報を確認できていない（当サイトが各社のサイトで確認）。クラウドサービス事業者は10月27日の第7報で一連の調査が完了したとし、侵入の原因を、契約者向けの管理画面の認証システムで使っていたオープンソースソフトウェアの脆弱性と公表した。仮想サーバー内のデータの外部への流出はなかったとの判断は変わっていない。当サイトの結論：JR九州は「漏えいの事実は確認されなかった」と公表し、えきねっとも漏えいはなかったとの報告を受けたと案内している。それでも、この件を名目にした偽メールは届き得る。メールのリンクからログインせず、公式アプリか自分で登録したブックマークから確かめる。
ローソンIDに不正アクセス（215万5,345件）：メールアドレス・氏名などが漏えい、会員とアプリ予約の利用者がやること
株式会社ローソンは2026年10月8日、アカウントサービス「ローソンID」と、季節の催事商品をアプリから予約・決済できる「ローソンアプリ予約」に第三者による不正アクセスがあり、個人情報が漏えいしたと発表した。10月7日の調査で、9月12日〜14日にローソンID、9月17日にアプリ予約が不正アクセスを受けていたことが分かった。漏えいを確認した情報は、ローソンIDが215万5,345件（メールアドレス、氏名。ローソンIDを使ったプレゼントの応募などで入力されている場合は性別・電話番号・住所・メルマガ取得情報も）、アプリ予約が26件（氏名、電話番号、クレジットカード番号の一部）。同社は、アプリに関連するシステムが不正に利用され、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明している。発表の項目にパスワードは含まれていない。10月8日時点で不正利用や二次被害は確認されておらず、10月13日には、個別の案内メールの送信元アドレスに「lawson_id@id.lawson.jp」を追加した。当サイトの結論：ローソンIDを持つ人は、ローソンやポイント・クーポンを名乗るメールやSMSのリンクを開かず、確認は自分で開いた公式アプリで行う。
NewsPicksの個人情報漏えいのおそれ（カード名義・下4桁など最大36.2万件）：管理ツールへの不正アクセスで何が漏れたかと、利用者がやること
株式会社ユーザベースは2026年10月8日、同社が運営する「NewsPicks」で業務に使う管理ツールが第三者による不正アクセスを受け、利用者の個人情報の一部が外部へ漏えいした可能性があると発表した。10月9日の第二報では、管理ツールの脆弱性を突かれたものとし、最大想定件数として、ウェブ決済に関わるカード情報の一部（カード名義・番号の下3桁または下4桁など）36.2万件、メールアドレス32.3万件、所属先の役職の分類27.3万件、所属6.5万件、氏名5.9万件などを公表した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない、パスワードの漏えいも確認されていないとしている。二次被害は確認されていない。当サイトの結論：カードの末尾の数字や勤務先を知っている連絡でも、それだけで本物と判断しない。リンクは開かず、確認は自分で開いた公式アプリやサイトで行い、カードの利用明細を見ておく。
skyticket（アドベンチャー）への不正アクセス（約1,464万件）：パスワードや返金先の口座情報、一部の利用者のカード情報が流出、利用者が今日やること
株式会社アドベンチャーは2026年10月9日、同社が運営する比較予約サイト「skyticket」で、それぞれ経路の異なる3件の不正アクセスがあったと発表した。1件目は管理機能の不正な操作を起点に、他のサーバーとクラウド上のデータへ不正にアクセスされたもので、約1,464万件の氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義が流出し、このうち約413万件はハッシュ化した会員パスワードを含む。2件目は業務管理システムの脆弱性の悪用で、返金先の口座情報などを含む17,780件（重複を含み、ほかに件数を調査中のものがある）が流出した、または流出したおそれがある。3件目はバスの予約完了ページがログインなしで表示できる状態になっていたもので、約12,000件の予約情報が閲覧された、または閲覧されたおそれがある。同社は当初、カード番号は流出した情報に含まれないとしていたが、10月16日の第2報でこれを訂正し、2017年2月〜2018年6月に「skyticketプレミアム」の会費の支払いにクレジットカードを登録・利用した最大6,140名のカード番号・名義人名・有効期限（一部は番号のみ、セキュリティコードは含まない）が、1件目の不正アクセスで流出したと発表した。会員特典の福利厚生サービスの会員ID・氏名・パスワードも流出した。パスポートの画像は流出しておらず、10月9日の発表時点で確認された二次被害は会員1名のアカウントへの不正ログインのみとしている（第2報は、流出したカード情報の不正利用の有無に触れていない）。当サイトの結論：会員は公式サイトかアプリからパスワードを変え、同じパスワードを使っていた他のサービスも変える。対象期間にskyticketプレミアムの会費の支払いにカードを登録・利用した人は、10月以降のカードの利用明細を確かめる。返金・補償・予約変更を名目にした連絡には応じず、口座の暗証番号や認証コードは誰にも伝えない。
PhotoGoods（大興印刷）の決済画面に不正プログラム：カード番号・セキュリティコードが漏れたおそれと、8月6日〜9月11日に利用した人がやること
大興印刷株式会社は2026年9月16日、同社が運営する「PhotoGoods（photo-goods.com）」で第三者による不正アクセスがあり、決済画面等に入力されたクレジットカード情報などを不正に取得するプログラムが設置されていたと発表した。プログラムが設置されていたのは8月6日から、不正プログラムを除去した9月11日まで。この期間に決済画面へカードを入力した人（購入を完了しなかった人を含む）のカード番号・有効期限・セキュリティコードと、氏名・住所・電話番号・メールアドレス、変換して保存された会員パスワードの情報が漏れた可能性がある。同社は、システム上の脆弱性とファイルアップロード機能の悪用による不正アクセスを確認したとしている。対象者の数と実際の漏えい範囲は調査中で、10月7日時点で続報は出ていない。当サイトの結論：期間中にカードを入力した人は、明細の確認に加えてカード会社に番号の変更を相談し、PhotoGoodsと同じパスワードを使っている他のサービスはパスワードを変える。お詫びや返金を名目にした連絡のリンクは開かない。
旭化成セラピューティクスの情報漏えいの可能性（2026）｜対象と対処
旭化成セラピューティクス株式会社は2026年10月6日、医療従事者向けの情報提供サイト「Pharma DIGITAL」がサイバー攻撃を受け、会員データベースの個人情報が閲覧または取得された可能性があると発表した。対象は、氏名・所属施設名・施設住所・職種・診療科などの医療従事者約51万4,000名、それらに加えメールアドレスなどの約4万4,000名、同社従業員約700名（氏名・メールアドレス・写真）。10月2日にサイトの委託先から報告を受け、サイトを停止した。クレジットカード情報と要配慮個人情報は保管しておらず、10月6日時点で不正利用は確認されていない。当サイトの結論：製薬会社や学会、講演会の案内を装った偽のメールが考えられる。メールのリンクからログインせず、医療情報サイトと同じパスワードを使い回していれば変える。
パスワードが漏れていないか確認する方法：Have I Been Pwned の使い方と、ブラウザ・スマホに入っている確認機能
パスワード漏洩の確認方法の解説。Have I Been Pwned（HIBP）は、メールアドレスが既知の漏洩事件のデータに含まれていたかを調べるサービスで、どのサービスから何が漏れたかが分かる。パスワードの確認機能（Pwned Passwords）は、端末側でパスワードをハッシュ化し、先頭5文字だけを送るため、パスワードそのものは送られない（HIBP公式のAPI文書）。当サイトの結論＝今使っているパスワードの確認は、パスワードを入力するWebサイトではなく、すでにパスワードを保存しているGoogle パスワード マネージャー、iPhoneのパスワードApp、Edge のパスワード モニター、パスワードマネージャーの確認機能で行う。HIBPはメールアドレスの確認に使う。結果が「見つからない」でも安全の証明にはならない。
大和証券の委託先への不正アクセス（約11万名・約22万件）：漏れた可能性がある情報と、顧客がやること
大和証券株式会社は2026年10月5日、顧客からのインターネット経由の問い合わせ内容の管理などに使っているサービスの提供元（委託先）のサーバーが不正アクセスを受け、問い合わせ履歴に含まれる約11万名分の氏名、メールアドレス、口座番号等の情報が漏えいした可能性があると発表した。個人を特定できない問い合わせを合わせると約22万件。不正アクセスは10月2日20時33分頃から10月3日8時1分頃までに発生し、同社のシステムへの不正アクセスは確認されていない。同社は、この情報ではオンライントレードを含め口座へのアクセスや取引はできないとし、10月5日時点で不正な取引や情報の公開・拡散は確認されていない。10月6日には委託先側も発表し、同じサーバー上の最大5社の環境から最大713,126件（問い合わせ単位の延べ件数）の問い合わせ情報が取得された可能性があるとした。同じ委託先の件で、シチズン時計（約10万名分）、損害保険ジャパン（問い合わせ単位の延べ約6万件）、オリックス生命保険（約26,500件）も、自社の顧客情報が漏えいした可能性があると発表している。当サイトの結論：口座番号と過去の問い合わせ内容を知っている偽の連絡が考えられる。メールやSMSのリンクからはログインせず、ブックマークか公式アプリから入って、お知らせBOXと操作履歴を確認する。
デンマークの住民登録（CPR）への不正な照会（約880万人）：漏れた情報と、住民・照会の権限を渡す組織がやること
デンマークの研究・教育・デジタル化省は2026年10月5日、住民登録システム（CPR）で、ある民間企業が正規に持っていた照会の権限を何者かが悪用し、約880万人（存命の人、国外に転出した人、亡くなった人を含む）の氏名・住所・CPR番号などを取得したと発表した。CPRには約1100万人が登録されている。CPRの管理部門は10月2日夜に、9月中にシステムで不規則な動きがあったことに気づき、企業の照会の権限を止めた。名前と住所の保護を登録している人の氏名・住所は含まれていない。デンマークの報道によれば、CPRの管理部門は10月9日、照会の権限を持つ1,039社に安全管理のルールを改めて通知し、担当大臣はセキュリティが十分でなかったと認めた。照会用のアカウントに「123456」というパスワードが使われていたとの報道もあるが、公式には確認されていない。当サイトの結論：氏名・住所・CPR番号を正しく言える連絡でも本物とは限らない。住民はMitIDやワンタイムコードを誰にも伝えず、事業者はこの3つを本人確認の根拠にするのをやめる。
国税庁e-Taxで他人の贈与税申告書が閲覧可能に（79人分）：見えた情報と、e-Tax利用者・開発者がやること
国税庁は2026年10月2日、e-Tax（国税電子申告・納税システム）のマイページで、79人分の贈与税申告書などが本人以外の利用者から閲覧できる状態だったと発表した。報道によれば、期間は9月24日8時30分〜25日0時と、25日4時〜15時58分。実際に他人の申告書を閲覧した可能性があるのは19人で、申告書に記載された贈与者や税理士を含め、計203人分の個人情報が見られた可能性がある。原因は9月24日に行ったマイページの「贈与税関係情報」の機能を充実させる改修で生じた不具合で、不具合は解消済み。国税局や税務署の職員が対象者に個別に連絡し、閲覧した可能性のある19人には秘密の保持と削除を依頼した。保存の形跡や二次被害は確認されていない。同時期の新しい基幹システム（KSK2）の不具合とは関連がないとしている。当サイトの結論：対象者には税務署側から個別に連絡が行っている。この件をきっかけにした電話やSMSには、国税庁の案内どおり、一度切って自分で調べた税務署の番号にかけ直す。開発者は、利用者Aとして利用者Bのデータを要求したら拒否されることを、改修のたびに自動テストで確かめる。
アンケートサイトinfoQの不正アクセス（89万4,082件）：漏れた情報と、会員がやること
GMOリサーチ&AI株式会社は2026年10月5日、同社が運営するアンケートサイト『infoQ』が第三者による不正アクセスを受け、会員の個人情報が外部に持ち出されたと発表した。10月14日の第2報で、持ち出された件数を89万4,082件と確定した（第1報では最大94万8,498件）。項目は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、ニックネームや保有ポイント数などの会員登録情報。クレジットカード情報とマイナンバーは保有していない。あわせて、611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換され、同社が全額を補填する（サービス再開時にアカウントへ付与）としている。同社は10月7日に全会員のパスワードを無効化した。原因は、同社サイトで使用していたソフトウェアの脆弱性を悪用した侵入としている。当サイトの結論：生年月日と住所まで含むため、本物らしい偽の連絡が届きやすい。infoQと同じパスワードを使っているサービスはすぐに変え、メールアカウントには2段階認証をかけ、infoQを名乗る連絡のリンクは開かない。
ミスターマックスのアプリ・オンラインストアへの不正アクセス（最大約173万人）：氏名・メール・電話番号が漏れた会員がやること
株式会社ミスターマックスは2026年10月6日、同社が運営するMrMaxアプリとオンラインストアのサーバーが第三者による不正アクセスを受け、会員の個人情報の一部が流出したと発表した。対象は2026年10月3日時点で会員登録している最大1,735,154人で、項目は会員ID、氏名、メールアドレス、電話番号（登録状況により異なる）。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしている。10月3日夕方に不審なアクセスを確認し、ただちにサービスを一時停止、同日中に外部からのアクセスを遮断した。同社は、第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入したとしている。公表時点で悪用の被害は確認されていない。当サイトの結論：名前で呼びかける本物らしいメール・SMS・電話が届く前提で、リンクは開かず、確認は自分で開いた公式アプリや公式サイトで行い、パスワードやカード番号は伝えない。
楽天ドライブの不正アクセス（保存データ15,382アカウント分）：取得・閲覧された情報と、利用者がやること
クラウドストレージサービス『楽天ドライブ』は2026年10月6日、同サービスが使用する一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、情報が取得・閲覧されたことを確認したと発表した。2026年1月29日から9月17日にかけて15,382アカウント分の保存データ（写真・文書等を含む）、8月27日に687アカウント分のアカウント名・ディスプレイネーム・プロフィール用画像URL、同日に313アカウント分のアカウント名・ディスプレイネーム・暗号化されたパスワード・暗号化に加えた文字列・プロフィール用画像URLが対象。二次被害は確認されていないとし、対象者にはメール等で個別に通知する。同サービスは7月30日の不審なプッシュ通知の件で、8月13日時点では保存データへの不正アクセスは確認されていないと告知していた。当サイトの結論：保存したファイルはパスワードと違って取り消せない。通知を確認し、保存していた本人確認書類や契約書は見られた前提で手を打ち、パスワードを変え、楽天ドライブを名乗る連絡や脅迫には応じない。
焼肉きんぐ公式アプリの不正アクセス（約1,079万件）：氏名・電話番号・メールが漏れた会員がやること
株式会社物語コーポレーションは2026年10月5日、同社が運営する『焼肉きんぐ』公式アプリの会員管理システムが第三者から不正アクセスを受け、ユーザー登録数10,808,784件のうち10,788,963件の会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が漏えいしたと発表した。10月2日に不正アクセスを確認して通信遮断と防御措置を行い、10月3日に漏えいを確認した。ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしておらず、クレジットカード等の決済情報は保持していない。漏えいした情報の公開や不正利用は確認されていない。10月20日には今後の強化策を公表し、10月2日朝9時から断続的な不正アクセスを受けたと説明したうえで、『焼肉きんぐ』を含むグループの計11の公式アプリで、氏名と電話番号を保持しない新しいシステムに2027年上半期に切り替える予定とした。メールアドレスの取得は続ける。警察へは届け出済みで、個人情報保護委員会への報告手続きを進めている。原因の詳細は公表されていない。当サイトの結論：アプリ会員のほぼ全員が対象で、次に起きやすいのは焼肉きんぐを名乗るクーポン・ポイント・返金名目のメール、SMS、電話。リンクは開かず、確認は自分で開いた公式アプリで行い、カード情報は入力しない。
アバハウスの個人情報漏えい：注文内容まで漏れたおそれと、偽の返金メールへの対処
株式会社アバハウスインターナショナルは2026年10月2日、海外の第三者によるとみられる社内システムへの不正アクセスで、会員ID・氏名・住所・電話番号・メールアドレス・生年月日・性別・注文情報（注文日時・商品名・金額・お届け先など）が漏えいした可能性があると公表した。同社は、取得された情報の範囲を完全には特定できていないため、購入履歴などから漏えいの可能性があると判断した人に10月2日にメールで個別に連絡した。退会者の会員情報は退会から1か月後に削除しているが、保存している過去の注文の取引記録が対象となった可能性を否定できないとして、退会者にも同じメールを送った。件数は公表されていない。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理しており、漏えいは確認されていない。発覚のきっかけは、実際の注文内容と一致する不審な返金案内メールを受け取ったという複数の問い合わせだった。同社は10月9日の続報で、侵入経路を遮断して影響の拡大は確認されていないこと、警察へ被害届を提出したこと、金銭的な被害の申し出は確認されていないことを公表した。取得された情報の範囲と原因の詳細は外部の専門機関と調査を続けている。当サイトの結論：注文内容が正しく書かれていることは、そのメールが本物である証拠にならない。返金・欠品を理由とするメールのリンクやLINEには進まず、マイページの注文履歴で確かめる。
AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる
米国で在宅医療機器を提供するAdaptHealthは、2026年6月5日の不正アクセスで、患者の氏名、連絡先、属性情報（生年月日などの人口統計的な情報）、健康保険の情報、健康の情報が漏えいしたと公表した。米保健福祉省（HHS）への報告では411万5,802人。同社によれば、社会保障番号（SSN）、口座番号、カード番号は含まれず、悪用は確認されていない。米証券取引委員会（SEC）への7月2日付の報告書によれば、原因は外部の委託先に関わる利用者のセッションがソーシャルエンジニアリング（人をだまして情報やアクセスを得る手口）で乗っ取られたことで、保険請求に使うパスワードを保存したファイルも持ち出され、外部の電子カルテのポータルにもアクセスされた。当サイトの結論：SSNがないので信用情報の凍結より先に、保険の利用明細（EOB）で受けていない医療や届いていない機器の請求がないかを見ることと、機器の再注文を名目にした電話で保険番号を答えないことが大事。運営側の教訓は、委託先のアカウント1つから自社のクラウドと取引先のポータルまで届いてしまう構造を見直すこと。
米ワシントンDCのメディケイド情報露出（約40万人）：公開報告書に残った受給者番号と、受給者・公開する側がやること
米ワシントンDC（コロンビア特別区）でメディケイド（低所得者向けの公的医療保険）を運営する医療保険財政局（DHCF）は、同局のウェブサイトに2023年から2026年7月まで掲載していた統計報告書2件に、集計の元になった個人データが「隠しフィールド」として含まれ、権限のない人が見られる状態だったと公表した。含まれていたのはメディケイド番号、生年月日、医療機関名、人種、性別、居住区（ward）、民族で、氏名、社会保障番号、金融口座の情報は含まれていないとしている。2026年7月21日に把握し、報告書を削除した。米保健福祉省（HHS）への届出では対象は399,086人。当サイトの結論：画面に集計しか見えない報告書でも、ファイルの中に元のデータが残ることがある。受給者は心当たりのない受診記録に注意し、報告書を公開する側は、元データを含まないファイルを作り直して公開する。
運転免許証の情報が漏れたら：悪用を防ぐためにやること（信用情報の本人申告・再交付・相談先）
運転免許証の画像や番号が企業から漏れたときの行動をまとめた手引き。番号・氏名・生年月日・顔写真は自分では変えられず、再交付しても免許証番号の上11桁は変わらない（警察庁の通達）。一方で、銀行口座や携帯電話の非対面の契約では、書類の画像を送る方式が廃止に向かい、ICチップの読み取りに移りつつある（携帯電話のオンライン契約は2026年4月から、犯罪収益移転防止法の対象取引は2027年4月施行予定）。当サイトの結論：漏れた情報を取り消す方法はないので、自分の名義で何か作られたら早く気づける状態を作ることが中心になる。具体的には、信用情報機関3つ（CIC・JICC・全国銀行個人信用情報センター）への本人申告、自分の信用情報の開示、漏えいした企業を装う連絡に応じないこと。再交付や有料の削除業者は、優先度が低いか、効果がない。
EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること
株式会社EPARKリラク＆エステは、同社が店舗向けに提供する予約管理・顧客管理システム「PeakManager」のデータベースが不正アクセスを受け、顧客情報が外部へ転送されたと公表した。第一報（2026年7月31日）では約3,300万レコード、重複を除いた第二報（9月24日）では約2,218万レコードで、人数への換算は困難としている。漏れた項目は氏名・フリガナ、生年月日、性別、住所、電話番号、メールアドレス、店舗が施術の申し送りとして書いた備考欄（健康状態など要配慮個人情報を一部含む）。第一報では暗号化されたパスワードが漏れた可能性も示し、変更を求めていた。当サイトの結論：PeakManagerは各店舗が自分の顧客台帳として使うシステムなので、EPARKで予約したことがない人も、店舗に名前や連絡先を伝えていれば対象になり得る。サロンや同社を名乗る連絡に応じないこと、マイページのパスワードと使い回し先を変えることを勧める。
韓国の金融機関7社で相次ぐ不正アクセス（新韓銀行は顧客約2万5千人と発表）：年収・融資限度額や住民登録番号が漏れ、顧客がやること
2026年10月1日から4日にかけて、韓国の金融機関7社が外部からの不正アクセスによる情報の流出を公表または報告した。顧客の情報は、新韓銀行が約2万5千人（氏名・電話番号・年収・融資限度額など、うち66件は住民登録番号）、KB国民銀行が119人（暗号化された住民登録番号など）、ハナ銀行が89人（住民登録番号など7項目）、イェガラム貯蓄銀行が約4万人（推定）。報道によると、ウェルカム貯蓄銀行では法人顧客の担当者の情報が最大約2,200件（推定）、現代キャピタルでは住宅ローンの募集人146人（住民登録番号を含む）、BNK釜山銀行では外部の開発委託先の職員11人の情報が流出した。10月4日には李在明大統領が徹底した調査を指示し、金融当局は約500の金融機関に緊急点検を求めた。金融委員会の委員長は同日、AIを使った攻撃の可能性も排除できないと述べたと報じられたが、原因として確認されたものではない。10月5日に警察が正式な捜査に入ったと報じられ、10月6日に金融委員会は消費者警報（注意）を出した。共通の原因は公式に確定していない。当サイトの結論：本物の年収や融資限度額を知っている電話でも、銀行からの連絡とは限らない。電話を切り、自分で調べた代表番号にかけ直して確かめる。
らしんばんの不正アクセス：本人確認書類の番号と振込先口座が漏れたおそれ（書類の画像は漏えいなし）、買取を使った人がやること
株式会社らしんばんは2026年10月1日、同社が運営するサービスへの2026年9月14日〜16日の不正アクセスで、氏名・住所・電話番号・メールアドレス・生年月日・職業などに加え、本人確認書類の種別と番号の情報、買取申込み時に入力された銀行名・支店・口座番号・名義、買取にかかわる同意書の画像、買取明細や注文内容が漏えいした可能性があると公表した。クレジットカード情報とパスワードは漏えいしておらず、マイナンバーは同社では取得していないとしている。10月9日の追記では、免許証を含む本人確認書類の画像は漏えいしていないことを明記した。お知らせには、対象は同社から個別にメールを受け取った人だとする項目も加わった。2026年10月10日時点で、件数と原因は公表されていない。当サイトの結論：口座番号と名義だけでお金を引き出すことはできないが、口座情報や身分証の番号、本当の買取内容を知っていることを材料にした連絡には応じない。暗証番号・ログイン情報・認証コードは誰にも伝えず、本人確認書類の番号が漏れた人は信用情報機関への本人申告を検討する。
ミュンヘン大学（LMU）の学生情報流出（約60万件）：IBANなど口座情報が漏れたおそれと、在学生・卒業生がやること
ドイツのルートヴィヒ・マクシミリアン大学ミュンヘン（LMU）は2026年9月19日、学籍（入学・在籍）に関する基本データを保管するITシステムに無権限の第三者がアクセスし、データが取得されたと考えざるを得ないと公表した。9月28日の続報によれば、対象は入学手続きのシステムに入っていた約60万件のデータで、在学生・卒業生など約50年分にわたる。項目は氏名・生年月日・住所・電話番号・メールアドレスなどで、2005年以降の記録には口座情報（IBANと口座名義人）が含まれ、場合によっては健康保険の番号やBAföG（国の奨学金）の番号、休学理由も含まれる。パスワード、成績、試験情報は対象外。バイエルン州刑事局が捜査に加わっている。原因は公表されていない。当サイトの結論：重いのは、卒業して何年もたった人の口座情報まで残っていたこと。ドイツ・EUの口座を使っていた人は明細を確認し、覚えのない引き落としは銀行で取り消す。LMUを名乗るメールのリンクは開かない。
Metabase脆弱性 CVE-2026-72898｜2026年の漏えい事例と対処
2026年8月、BI（ビジネスインテリジェンス）・分析ツール Metabase の認証なしSQLインジェクション（CVE-2026-72898、CVSS 10.0）が、修正版の公開前から悪用されていたことが分かった。Metabase は自社のクラウド版の利用者の一部（3%未満）と、インターネットから到達できる自前運用のインスタンスが侵害されたと公表している。影響を公表した組織には、暗号資産のハードウェアウォレットを販売する Trezor（物流委託先の分析環境から、注文者 80,689人の氏名・住所・電話番号・メールアドレスなど）、ノートPCの Framework、自動化ツールの n8n、Anaconda 傘下の Kilo Code、ウォレット基盤の Privy などがある。当サイトの結論：漏れた範囲は、侵入された分析ツールがその時点で読めたデータの範囲と一致している。Trezor の利用者はウォレットのバックアップ（リカバリーシード）を誰にも入力・提供せず、自宅住所が知られた前提で郵便や電話の指示にも従わない。分析ツールを運用する側は、修正版への更新に加えて、ツールに読ませるデータを分析に必要な列だけに絞る。
ムラウチドットコムの個人情報漏えい（771万件）：氏名・住所・電話番号が流出、昔の利用者も詐欺の電話や郵便に注意
株式会社ムラウチドットコムは2026年9月15日、Webシステムの脆弱性を悪用された不正アクセスにより、顧客の個人情報7,716,811件が外部へ持ち出されたと公表した（第一報は7月24日）。漏えいしたのは氏名・住所・電話番号と、一部の人のメールアドレス・生年月日・性別。クレジットカード情報とログインID・パスワードは別のシステムで管理しており、対象外とされている。何年分のデータか、退会者を含むかは公表されていない。当サイトの結論：メールアドレスより、本名・住所・電話番号がそろって漏れたことが重い。何年も前に一度買っただけの人も対象かもしれないと考え、同社・ECモール・カード会社を名乗る電話や郵便、SMSに個人情報やお金で応じないこと。
ポーランドMyDrの患者データ流出（最大1880万人）：PESEL・健康情報・連絡先が漏れたおそれと、対象者がやること
ポーランドで1万2000を超える医療機関が使う電子カルテ（電子診療記録）ソフトの会社MyDr sp. z o.o.は2026年8月、外部からの犯罪行為で、同社のクラウドに保存されていたデータベースの内容が第三者にコピーされたと公表した。対象は主に2024年4月12日より前の過去のデータで、ポーランドのデジタル化省は最大1880万人・1万2000超の医療機関に影響し得るとした。同社によれば、項目は氏名、住所、連絡先、PESEL（国民識別番号）、健康に関するデータ、社会保険の情報、勤務先などで、すべてが全員に当てはまるわけではない。原因や侵入の経路は公表されていない。政府はbezpiecznedane.gov.plで自分のPESELが対象かを確かめられるようにし、PESELの登録制限（zastrzeżenie PESEL）を呼びかけている。当サイトの結論：1社のソフトに数千の医療機関の患者情報が集まると、漏えいはその全体に及ぶ。今回コピーされたのは2年以上前のバックアップだった。対象者は確認・PESELの登録制限・病状に触れる脅しへの備えの3つを進める。運営側は、古いバックアップを本番と同じ水準で守っているかを確かめる。
セイコーマートアプリの不正アクセス（約57万人）：住所・生年月日などが見られた会員がやること
株式会社セイコーマートは2026年9月29日、スマートフォン向けの「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正にアクセスしたと発表した。10月5日の第四報によれば、対象はアプリに登録したことがある会員のうち574,647人分で、9月24日までにクラブカードを退会した人は含まれない。閲覧された項目は姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会年月日・退会年月日。パスワード情報と購買履歴は漏えいしておらず、クレジットカード情報は保有していない。同社は10月5日から、全アプリ会員に対象かどうかをアプリのお知らせで通知している。アプリ・WEBでの新規入会、会員情報の閲覧・変更、登録カードの変更の機能は終了し、店舗かフォームでの受付に切り替えた。原因は公表されていない。当サイトの結論：漏れたのは変えられない個人情報の組み合わせで、次に起きやすいのは同社を名乗る本物らしいメール・SMS・電話。アプリのお知らせで対象かを確かめ、連絡のリンクや電話口の指示には従わず、生年月日を暗証番号や他社の本人確認に使っていないかも見直す。
Eストアー「ショップサーブ」の情報漏えい（最終報：約2,335万6,000人）：購入者・出店者・アフィリエイターがやること
株式会社Eストアーは2026年10月16日の最終報で、同社のネットショップ構築サービス「ショップサーブ」で、外部の第三者がサーバー上のアプリケーションの脆弱性を悪用し、2026年5月21日から8月1日にかけてデータベースの情報を外部へ送信したと公表した。対象は約2,335万6,000人（購入者・会員、店舗運営者、アフィリエイターの合計。重複を除いた概数）で、うちカード情報の一部を含む人は約209万6,900人、対象店舗は7,858店（現在の利用店舗と過去の利用店舗を含む）。購入者の氏名・住所・電話番号・メールアドレス・勤務先など、暗号化された会員IDとパスワード、カード名義・番号の先頭6桁と下4桁・有効期限のほか、店舗とアフィリエイターの認証情報が含まれる。カード番号の全体とセキュリティコードは保持しておらず対象外。第2報で漏えいとされていた店舗のメール・FTPのIDとパスワードと同社からの振込先口座情報（銀行名・口座名義・口座番号など）は、最終報で漏えいの対象ではないと訂正された。二次被害の報告はないとしている。当サイトの結論：購入者の多くはサービス名を知らずに買い物をしている。どの店か分からなくても、本物の注文情報やカード番号の末尾4桁を書いた連絡を疑い、利用明細を確認し、使い回したパスワードを変える。出店者とアフィリエイターは、管理画面などのパスワードを変えて二段階認証を設定する。
手間いらず TEMAIRAZU不正アクセス（2026）｜宿泊客と施設の対処
手間いらず株式会社は2026年9月28日、宿泊予約を一元管理するシステム「TEMAIRAZUシリーズ」への不正アクセスを確認したと公表した。9月21日深夜ごろから、利用施設の予約者にWhatsAppなどのメッセージアプリ、メール、SMSで、予約情報を知っているとみられる不審なメッセージが届き、事前チェックインや予約の維持などを理由に、クレジットカード情報の入力や支払いを求めて外部サイトへ誘導していた。同社は10月7日の第二報で、第三者に閲覧・取得された可能性のある情報を、宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金と公表した。クレジットカード情報と宿泊予約サイトのログイン情報は保持していない。10月9日の適時開示では、これらを含む宿泊予約情報の対象者数を最大で約445万人とし、外部のセキュリティ専門機関に調査・分析を委託したと公表した。利用施設のお知らせによれば、原因は過去に提供していたインストール型サービスの機能の一部にあったセキュリティ上の問題で、9月26日に対策を完了した。当サイトの結論：予約サイトで予約した人も対象になり得る。ホテルを名乗るメッセージがカード情報の再入力や支払いを求めてきたら、内容が正しくても応じず、予約サイトの公式アプリか、宿の公式サイトに載っている電話番号で確かめる。
ヤマト運輸・佐川急便の不正アクセス（佐川急便は流出の可能性 最大約5,323万件、ヤマト運輸は後払いの利用者情報 約526万件）：住所や購入内容の漏えいと、荷物を受け取った人がやること
2026年9月28日にヤマト運輸の「クロネコ代金後払いサービス」、9月30日に佐川急便の「お荷物問い合わせサービス」への不正アクセスが確認され、両社は10月1〜2日に個人情報が漏えいした可能性を公表した。2つは別々の事案で、両社とも関連には触れていない。ヤマト運輸は10月16日の第4報で、後払いの利用者情報 約526万件（氏名・住所・電話番号・メールアドレス・商品明細など、2018年10月1日〜2026年9月28日分）、利用者の一部のお届け先情報 約5万件、加盟店の情報 約4,100件が不正に持ち出されたと公表した。請求金額・債権残高・社員の氏名は持ち出しが確認されなかった。佐川急便は10月23日の第5報で、2026年6月21日〜9月30日（約100日間）に預かった荷物の送り主・届け先の氏名・住所・電話番号などが流出した可能性があるとし、その最大件数を約5,323万件（重複を含む。実人数ではない）と公表した。手書きの送り状の荷物は含まれない。いずれもクレジットカード情報とパスワードは含まれない。ヤマト運輸は10月9日に後払いサービスを再開し、支払い期限を17日間延長した。佐川急便は10月23日に「お荷物問い合わせサービス」を再開したが、Web受付など8つのサービスの停止を続けている。当サイトの結論：佐川急便のほうは、自分で同社を使っていなくても、荷物を受け取っただけで対象になり得る。本名・住所・荷物のやり取りや購入内容を知った相手からの偽の不在通知や督促が来る前提で、届いた連絡のリンクは開かず、公式アプリや購入したショップの注文履歴で自分で確かめる。
イエローハットの不正アクセス（最大約180万人）：氏名・電話番号・メールが漏れた可能性と、会員がやること
株式会社イエローハットは2026年8月28日、店舗の作業予約を受け付ける「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、最大1,801,499人分の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性があると公表した。8月18日朝に検知し、外部との接続を遮断してシステムを停止した。クレジットカード情報・パスワード・車両情報はこのシステムで保持していないため漏えいはないとしている。同じグループの2りんかんイエローハットでは、2026年4月に別の不正アクセスがあり、アプリのパスワードを含む約318万人分の情報が漏えいしている。当サイトの結論：漏れた可能性があるのは、本人に直接連絡するための情報そのもの。予約・点検・お詫びを名目にした電話・SMS・メールには、そこから返事をせず、公式サイトや店舗で確かめる。
米Aesto Healthの情報漏えい（954万人）：知らない会社から通知が届いた理由と、対象者がやること
米国の医療データ移行・アーカイブ（保管）事業者Aesto, LLC（Aesto Health）は、2025年12月2日から18日ごろにかけて、同社のクラウド環境の一部で、医療機関（同社の顧客）の患者の保護対象医療情報がアクセスまたは取得された可能性があると公表した。米保健福祉省（HHS）公民権局の公開一覧では、対象者は9,540,683人。情報は氏名、生年月日、医療情報、運転免許証番号、金融口座番号、健康保険情報、個人納税者番号（ITIN）などの公的ID番号で、社会保障番号（SSN）は一部の人が対象。差出人に心当たりがないのは、医療機関が古い記録の保管を委託していたから。まず自分の医療機関が対象かを確かめる。SSN・ITINは凍結とIRSのIP PINで、医療情報は給付明細で守る。医療機関は、患者データを預けている委託先の一覧を作り、預けた記録をいつ返却・破棄するかを決めておく。
米AssuranceAmericaの情報漏えい（約700万人）：運転免許証の番号が漏れたときにやること
米国の自動車保険会社AssuranceAmericaは2026年7月10日、従業員を標的にした3月16日の不正な活動をきっかけに、第三者が社内のIT環境の一部にアクセスしてデータファイルを複製したと通知した。インディアナ州司法長官の一覧では影響を受けた人は6,998,886人。流出項目は氏名、連絡先、保険契約・事故（請求）情報、運転者・車両情報、運転免許証番号、一部の人の納税者番号（Tax ID）または社会保障番号（SSN）。米国の運転免許証番号は、融資やカードの申込だけでなく、保険や公的給付の申請でも本人確認に使われる。クレジットフリーズだけでは守れないため、住んでいる州の運転免許当局にも番号の流出を伝えることを勧める。
Basic-Fit情報漏えい（2026）｜IBAN流出と会員の対処
欧州のジムチェーンBasic-Fitは2026年4月13日、会員のクラブ来館を記録するシステムへの不正アクセスを公表した。同社によれば、アクセスは発見から数分で止めたが、複数の国の現会員のデータの一部がダウンロードされた。項目は会員情報、氏名・住所、メールアドレス、電話番号、生年月日、銀行口座情報で、パスワードへのアクセスはなかった。同社はロイターに対し、影響は約100万人、オランダ・スペインなど6か国と説明している。当サイトの結論＝ジムの会費には定期的な支払いがあり、SEPA口座振替（ユーロ圏共通の口座引き落とし）を利用している場合には、「会費の引き落としに失敗しました」という偽の連絡は、Basic-Fitが実際に送る督促とそっくりに作れる。会費の状態は必ずアプリで自分で確かめ、リンクからは確かめない。見覚えのない引き落とし元を確認し、正規の会費を慌てて差し戻さないこと。
Booking.comの予約情報への不正アクセス：宿を装う詐欺メッセージの見分け方
Booking.comは2026年4月、許可のない第三者が一部の宿泊者の予約情報にアクセスできた可能性があるとして、対象の予約の暗証番号（PIN）を更新し、宿泊者にメールで通知した。通知や報道によれば、対象は氏名、メールアドレス、電話番号、予約の詳細、宿泊施設とのやりとりなどで、広報担当者は金融情報へのアクセスはなかったとしている。影響の件数や原因は公表されていない。当サイトの結論：宿名・日付・料金が合っていても本物の証拠にならない。判断の基準は、公式アプリで自分で開いた予約確認書の支払いポリシーと一致するかどうか。カード情報の再入力、リンク先での支払い、ポリシーにない振込を求められたら応じない。
CAMPFIREの不正アクセス：対象ユーザー約22.6万件に漏えいのおそれ、利用者・開発者の対策
CAMPFIREの発表によれば、従業員が発行したGitHubの認証情報が第三者に不正利用され、GitHub上で閲覧できた情報をもとに社内業務用クラウド環境の認証情報が取得され、その一部管理領域に不正アクセスされた。プロジェクトオーナー・支援者・パートナーなど計225,846件（対象ユーザーの重複除外）の氏名・住所・電話番号・メールアドレス・口座情報に漏えいのおそれがある（クレジットカード情報は含まれない）。サービス提供基盤は別環境で、不正利用や改ざんは確認されていない。利用者は「返金」「振込先の確認」を名乗る連絡と、口座の明細に注意する。開発・運用側の教訓は2つ。本番環境を守っていても、顧客情報は社内業務用の環境にもある。業務用のトークンは会社の管理外の端末にも置かれうるので、有効期限とアクセスできる範囲を組織の設定で制限する。
カーニバル（Carnival）の情報漏えい：旅券番号が漏れたときに旅行者がやること
カーニバル・クルーズ・ラインの親会社カーニバル・コーポレーションは、2026年4月14日に従業員のアカウントに関わる不正な活動を検知したと公表した。第三者がソーシャルエンジニアリング（人をだます手口）で従業員をだまし、同社のITシステムの一部にアクセスした。4月22日に個人情報がコピーされたと判断。メイン州司法長官への届出では影響を受けた人は5,995,277人。人によって、氏名、住所、メールアドレス、電話番号、生年月日、運転免許証番号や旅券番号などの政府発行の身分証番号が含まれる。漏れたのは旅券の番号で、旅券そのものではない。米国（と日本）の紛失・盗難の届出は旅券そのものを失効させる手続きで、実際になくした・盗まれた旅券のためのもの。本当の危険は、旅行の予定や身分証の番号を知っているように見せかけた連絡。米国居住者は信用情報を凍結する。日本の旅行者を含む全員が、クルーズ会社を装ったメールのリンクを開かない。旅券を本当に届け出るべき場面も知っておく。
仏Cegedim Santéの患者データ流出（約1500万人）：医師向けソフトから漏れたときに患者・診療所がやること
フランスのCegedimグループで医療従事者向けソフトを手がけるCegedim Santéは2026年2月26日、2025年末に、医師向けソフトMLM（MonLogicielMedical.com）を使う医師のアカウントで通常と異なるリクエストの動きを検知したと公表した。MLMを使う医師3800人のうち1500人が影響を受け、MLMのデータベースにある患者の個人データが不正に閲覧または抽出されたとしている。対象は患者の事務情報（氏名、性別、生年月日、電話番号、住所、メールアドレス）と、医師が自由に書く事務的なコメント。ごく一部の患者では、このコメントに機微な情報に関する医師のメモが含まれ得る。構造化された診療記録は無事だったとしている。フランス保健省は対象を約1500万人とし、機微なメモを含むのは約1%と説明したと報じられている。1社のクラウドソフトに数千の診療所の患者情報が集まると、漏えいはそのソフトを使う診療所全体に及ぶ。もっとも深刻だったのは、「事務的なコメント」という軽そうな名前の自由記述欄だった。患者はなりすましと脅しの連絡に備える。診療所は自由記述欄の使い方と、医師ごとのアカウントの普段と違う動きに誰が気づく仕組みかを確かめる。
韓国のEV充電アプリCHAEVIの個人情報流出（29.8万件）：何が漏れ、利用者は何をすればいいか
CHAEVI（채비）の2026年7月26日・30日の告知によれば、7月23日の外部からの不法なハッキング攻撃で個人情報計298,333件が流出した。内訳はメールアドレスのみ164,858件、メール＋パスワード（暗号化）131,411件、メール＋氏名・連絡先（暗号化）＋性別・生年月日など1,235件、さらにパスワード（暗号化）まで含む829件。住民登録番号・旅券番号・カード番号・口座番号は収集・保有しておらず流出していないという。2025年1月ごろの別の流出も確認され、調査中。告知の流出項目に充電履歴や位置情報はない。詐欺に使われやすいのは、全件で暗号化されずに流出したメールアドレスと「EV充電アプリの会員」という事実。充電料金・未払い・補償を名乗るメールやSMSは基本的に無視し、同じパスワードを使う他のサービスから変える。
Companies House WebFiling不具合（2026）｜役員情報の露出と確認
英国の会社登記所Companies Houseは2026年3月13日、WebFilingにログインした登録利用者が、特定の操作をすると他社の情報を見たり変更したりできる可能性がある問題を把握し、同日13時30分にサービスを停止、3月16日9時に再開した。同機関によれば、原因は2025年10月11日の大規模なシステム更新で入った不具合（defect）で、外部からのサイバー攻撃ではない。見えた可能性があるのは、取締役と重要な支配権を持つ者（PSC）の生年月日の『日』、自宅住所、会社の登録メールアドレスで、同意のない届け出（新しい決算書や取締役の変更など）も技術的には可能だった。パスワード、本人確認のデータ、既存の届け出書類は影響を受けていない。4月8日の更新では、ごく少数の不正アクセスや変更の試みを確認したとしている。これは外部からの侵入ではなく、認可（アクセス権の確認）の不具合だ。ログインの確認は機能していたが、その利用者がこの会社の情報を扱ってよいかの確認が抜けていた。取締役は届け出履歴を確かめ、届け出があるたびにメールが届くFollowに登録する。開発者は、他人のデータを要求したら拒否されることを、更新のたびにテストで確かめる。
米DentaQuestの情報漏えい：多要素認証のコードをだまし取られた事案と、会員がやること
米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月17日から20日にかけて、同社ネットワーク上のデータに第三者がアクセスしたと公表した。ワシントン州司法長官への届出によれば、ソーシャルエンジニアリング（人をだます手口）で従業員1名がだまされ、認証情報と多要素認証（MFA）のコードを渡したことが原因。流出したのは氏名、住所、生年月日、社会保障番号（SSN）、会員番号・保険番号、Medicaid・Medicare番号、歯科・眼科の診療情報。対象項目は人によって異なる。同社は2026年8月3日、全米で2,740万人超を把握していると届け出た。SSNは変えられないので、会員は信用情報の凍結（3社すべて）、IRSのIP PIN、給付明細の確認で守る。組織にとっての教訓は、人が読み上げたり入力したりできる認証要素は、人がだまされれば渡せてしまうということ。これを防ぐのは、フィッシング耐性のあるMFA（パスキー、FIDO2セキュリティキー）と、電話してきた相手の本人確認をきちんと行うヘルプデスクだ。
スペインの電力会社Endesaの情報漏えい（身分証番号・口座番号）：契約内容を知っている詐欺電話への対処
スペインの電力会社Endesa Energíaは2026年1月12日ごろ、悪意ある第三者が同社の営業用プラットフォームに不正アクセスし、基本的な本人情報、連絡先、国民身分証（DNI）番号、電力契約の情報、場合によってはIBAN（銀行口座番号）を持ち出した可能性があると顧客に通知した。パスワードは影響を受けていない。同社はスペインのデータ保護機関（AEPD）に報告しており、影響を受けた人数は公表していない。この情報は、以前からある電力会社をかたる電話詐欺（『料金プランの変更』『供給停止』）を信じ込ませる材料そのもの。DNIや契約内容を言い当てる電話は本物らしく聞こえるが、相手がそれを知っていても本物の電力会社である証拠にはならない。電話はいったん切り、公式番号に自分からかけ直す。IBANは口座引き落としに悪用され得るので明細を確認する。承認していない引き落としは13か月以内なら返金を求められる。
ANTS（France Titres）情報漏えい（2026）｜対象者の対処
フランスの国立安全証書庁ANTS（France Titres）は2026年4月15日、申請ポータル ants.gouv.fr の個人・事業者アカウントのデータが流出した可能性のある事案を検知した。内務省は4月21日、約1170万アカウントが対象になり得ると発表。5月13日公表の国民議会答弁では、個人・事業者1167万アカウントからのデータの抜き取りを説明した。含まれるのはログインID、敬称、氏名、メールアドレス、生年月日、アカウント固有ID、一部のアカウントでは住所・出生地・電話番号で、申請時に提出した添付書類や生体情報は含まれないとしている。政府は、パスワードを次回ログイン時に変更し、ANTSを装う不審なSMS・電話・メールに最大限の注意を払うよう呼びかけた。ANTSは4月24日から申請ページを保守のため停止し、4月29日から二段階の認証を導入したと説明している。漏れたのは身分証そのものではなく、「この人は身分証や免許の手続きをしている（したことがある）」という事実であり、それこそがANTSや『permis de conduire』（運転免許）を名乗る詐欺の材料になる。身分証を作り直す必要はなく、届いた連絡のリンクを開かずに自分で ants.gouv.fr を開く習慣が最も有効だ。
2026年の政府機関の個人情報漏えい4件（米国防総省・イリノイ州・ラトビア・フランス税務当局）：市民にできること
2026年、米国・ラトビア・フランスで、政府機関が持つ市民の個人情報が相次いで外に出た。各機関の説明を並べると、情報が外に出た原因は3通りあった：公開設定の誤り（イリノイ州福祉局の地図）、脆弱性のあるシステム（国防総省DMDCのファイル共有システム、ラトビアCSDDのWebアプリ）、なりすまされた職員・委託先の認証情報（フランスDGFiP）。民間のサービスなら退会や解約という手があるが、税や福祉などの行政サービスは利用をやめられない。だから市民は、漏れた後にできる4つの対策に集中する。公式窓口で通知を確かめる、税・給付のオンラインアカウントのログインを強化する、機関を名乗る連絡には自分で調べた番号でかけ直す、開示請求で何が漏れたかを自分で確かめる。
Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること
学習管理システム（LMS）Canvasの運営会社Instructureによれば、2026年4月29日に不正な活動を検知し、ユーザー名、メールアドレス、コース名、履修情報、メッセージが持ち出された。同社は、パスワード、生年月日、健康情報、社会保障番号、金融情報、成績、懲戒記録を保存する項目は含まれないとしている。5月7日には同じ攻撃者が別の脆弱性でログイン後の画面を書き換えた。持ち出された項目は一見重要でなさそうでも、誰がどの授業を取っているかとメールアドレスがそろうと、学校を名乗る本物らしい詐欺メールが作れる。そしてメッセージは自由記述なので、そこに書いたものは何でも対象になり得る。届いた連絡は、学校の公式サイトや普段使っているCanvasなど、公式の窓口だけで確かめる。学校のIT担当者は、通知先の登録、ログの確認、管理者の多要素認証、授業データのバックアップ（Canvasの外への保存）を進める。
英マンチェスター空港グループの情報漏えい（約870万人）：駐車場・ラウンジの予約情報が漏れたときの詐欺対策
英国のManchester Airports Group（MAG）は2026年8月27日付の声明で、2026年8月に権限のない第三者によるサイバーセキュリティ事案があり、マンチェスター、ロンドン・スタンステッド、イーストミッドランズの3空港での駐車場・ラウンジ・Fast Track（保安検査の優先レーン）の予約と、空港内Wi-Fiの登録に関わる顧客データが取得されたと公表した。対象はメールアドレス、電話番号、車両登録番号（ナンバー）、郵便番号。MAGも侵入されたシステムも銀行やカードの情報は保持していないとしている。MAGは、通知を受けた人のデータは公開された状態になったと説明している。報道によれば、影響を受けたのは約870万人（MAGの広報担当者の説明）。空港の運用システムは関係せず、運航への影響はない。連絡先にナンバーや郵便番号が組み合わされると、偽の連絡が本物らしくなるおそれがある。ナンバーや予約に触れた『返金』『予約に問題』『駐車違反』の連絡でも、リンクは開かず、自分で空港の公式サイトの予約管理を開けばよい。本物の変更・取り消しはそこで無料でできるとMAGは案内している。
数学学習サービスMathspaceの情報漏えい（生徒・保護者など約108万人）：保護者・学校がやること
数学の学習サービスMathspaceは2026年9月5日付（9月8日更新）の公式ブログで、同社が自社で運用する社内の集計（レポート）システムの脆弱性を突かれ、生徒、保護者、学校の教職員、同社の従業員の情報が取得されたと公表した。影響はオーストラリアとニュージーランドの1,079,819人。対象はユーザーID、ユーザー名、氏名、メールアドレス、国、タイムゾーン、ユーザーの種別、メール確認の状態、最終利用日、最終ログイン日、登録日。パスワード（保存用に変換した値＝ハッシュを含む）、認証トークン、SSO（シングルサインオン）の認証情報、学習記録や成績は含まれないとしている。同社の説明では、ソフトウェアの開発元が8月6日に重大な脆弱性の修正を公開したが、同社の脆弱性の通知の仕組みはこれを拾えず、8月10日からの不正アクセスと8月27日のデータのダウンロードが後に確認された。当サイトの結論：漏れたのは子どものアカウントを含む利用者の名簿で、学校や学習サービスを名乗る本物らしい偽の連絡に使われるおそれがある。家庭では、連絡に書かれたリンクからログインしないこと、確認コードを人に教えないことを子どもと確認する。運営側は、社内向けだからと後回しにされがちな集計ツールも本番システムと同じ速さで更新し、更新後に侵入の痕跡がないかまで確かめる。
メディカ出版のランサムウェア被害（約64万人）：医療職の読者・著者・出版社がやること
株式会社メディカ出版の発表によれば、2026年3月13日にシステム障害を検知し、ランサムウェアによる不正アクセスと判明した。5月13日の調査結果報告では、第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことが起点で、個人情報が外部に持ち出されたことを直接示す確定的な証拠は確認されていないが、可能性を完全には否定できないとして、約641,000人分（重複を含む可能性）を『漏えいのおそれ』として扱っている。対象には読者の氏名・連絡先・メールアドレス、著者の銀行口座番号、従業員の人事情報などが含まれる。クレジットカード情報は同社が保持しない仕組み。同社を装う偽メールも確認されている。当サイトの結論：専門出版社の顧客名簿からは、医療職であることや勤務先が分かる。そのため、教材・セミナー・学会・原稿料を名乗る連絡は、メールのリンクからではなく、自分で開いた公式サイトで確かめる。著者は、口座番号を知っていることを示したうえで暗証番号やネットバンキングの情報を聞き出そうとする連絡に注意する。
米Medtronicの情報漏えい（約383万人）：医療機器を使う患者が確認すること
米医療機器大手Medtronicは2026年4月24日、第三者が同社の社内ITシステム（corporate IT）のデータにアクセスしたと公表した。対象者への通知文によれば、アクセスは2026年4月13日から19日。インディアナ州司法長官の一覧では全米で3,834,294人が対象で、通知は6月29日。対象の情報は氏名、連絡先、生年月日、社会保障番号（SSN）、健康関連情報。同社は、製品のセキュリティや患者の安全、機器が安全に動作し治療を行う能力への影響は確認していないとしている。当サイトの結論：医療機器メーカーは、安全情報や回収の連絡を患者に届けるために患者の情報を持っている。そのため、機器の使用をやめたり登録を取り消したりはしない。SSNは信用情報の凍結とIRS（米内国歳入庁）のIP PIN（税の申告で本人確認に使う番号）で悪用を防ぐ。機器の名前を出してくる電話は、いったん切り、通知文や患者IDカードに書かれた番号にかけ直して確かめる。
カリテコ（名鉄協商）のランサムウェア被害：運転免許証情報が漏れたおそれと会員がやること
名鉄協商株式会社は2026年7月2日、6月23日に検知したサーバーへの不正アクセスとシステム障害を公表し、調査でランサムウェアによる不正アクセスの痕跡を確認したと説明した。8月4日には、カーシェア「カリテコ」の入会申込書に記載された情報（氏名、住所、生年月日、電話番号、メールアドレス、運転免許証情報、一部の会員はクレジットカード情報）が、現会員・退会済み会員とも漏えいしたおそれを否定できないと公表した。件数は公表されておらず、流出や不正利用の事実は確認されていないとしている。当サイトの結論：免許証の番号や生年月日は変えられないため、タイムズカーの事案と同じく、信用情報機関3つへの本人申告と、自分の信用情報の確認を勧める。この事案で特に注意したい点は二つある。一つは、ランサムウェアの被害では、システムが復旧した後になって、情報が漏れたおそれが分かる場合があること。もう一つは、同社の個別案内の一部が宛先不明で届いていないこと。引っ越した元会員は、案内を待たずに自分から窓口に確認してほしい。
オランダの通信会社Odidoの情報漏えい（約639万人）：身分証の番号が漏れたときにやること
オランダの通信会社Odidoは2026年2月12日、同社が使う顧客対応システムからの顧客情報の流出を公表した。広報担当者は約620万アカウントと説明し、のちに同社のFAQは影響を受けた人を約639万人（Odidoと傘下ブランドBenの現・元顧客）としている。人によって、氏名、住所、携帯番号、顧客番号、メールアドレス、IBAN（銀行口座番号）、生年月日、身分証の番号と有効期限などが含まれ、パスワードや通話記録、身分証のスキャン画像は含まれていない。当サイトの結論：身分証の番号は、それだけで契約や手続きができるものではなく、本人を特定する手がかりにとどまる。オランダの身元詐欺窓口（CMI）は、この情報だけでは融資・口座開設・通信契約・新しい身分証の申請はできないとしており、旅券や免許証の作り直しも口座番号の変更も求められていない。本当に危ないのは、漏れた番号を示して本物を装う相手からの連絡だ。またこの事案は、本人確認のために事業者が集めた番号が、その事業者から漏れることがあると示している。
豪Quest Apartment Hotelsの情報漏えい（約199万人）：カード・旅券番号が漏れた宿泊者がやること
オーストラリアのサービスアパートメント・ホテルチェーンQuest Apartment Hotelsは、2026年8月17日に第三者のサービス提供事業者の脆弱性を通じたデータベースへの不正アクセスを確認し、8月19日に公表した。9月16日の発表では、約1,991,613人の顧客の情報（2025年6月より前の記録）が影響を受け、CVV付きのクレジットカード番号46,727件、CVVなしのカード番号297,739件（いずれも期限切れを含む）、旅券・運転免許証番号104,268件、車両登録番号225,300件、NDIS番号271件、メディケア番号46件などが含まれていた。当サイトの結論：CVV（カード裏面などにある3〜4桁の確認コード）付きのカード番号が通知された人は、カード会社に連絡して再発行を相談する。カード業界のセキュリティ基準PCI DSSは、CVVを取引の承認後に保存することを認めていない。なぜ記録に残っていたかは公表されておらず、当サイトは基準に準拠していたかどうかを判断しない。ただ、ホテルの予約記録にCVVが残っている場合があることは、宿泊者が知っておくべき事実である。
APORITOオンラインストア（RIZAP）のカード情報流出のおそれ：利用者とEC事業者がやること
RIZAP株式会社の発表によれば、同社が運営する「APORITOオンラインストア」に第三者が悪意ある不正スクリプトを設置し、2026年5月1日〜8月5日に注文または情報を入力した人の氏名・住所・電話番号・メールアドレスと、クレジットカード番号・有効期限・セキュリティコードが外部へ流出した可能性がある。同社は8月5日に不審な外部送信プログラムを発見して同日サイトを閉鎖し、8月18日時点でも閉鎖と調査を継続している。不正利用や実際の漏えいは確認されていないとしている。当サイトの結論：流出した可能性がある項目にセキュリティコードまで含まれる以上、明細を確認するだけでなく、カード会社に相談してカードを再発行し、番号を変えるのが確実。EC事業者にとっての教訓は、カード情報を自社のサーバーに保存しない「非保持化」だけでは、入力画面に不正なプログラムを仕込まれる被害は防げないこと。日本のクレジットカード・セキュリティガイドラインが求める脆弱性対策5項目に加えて、決済ページの変更を検知する仕組みを持つことを勧める。
2026年の情報漏えい・サイバー攻撃 年表（国内・海外）——203件を影響度つきで一覧、そこから見える傾向
2026年1〜10月に公表された主な情報漏えい・サイバー攻撃203件（国内99・海外103・国分類なし1）を、被害組織の公式発表などを出典に年表化した。影響度は規模と漏れた情報の種類で3段階に分け、基準をページに明記している。当サイトの結論：海外では運転免許証・旅券・社会保障番号といった本人確認に使う情報の流出が103件中29件と目立ち、国内ではランサムウェアと、インターネットに公開している機器やシステム（VPN装置、Webサイト、分析ツールなど）の脆弱性が目立つ。本人確認情報はパスワードのように簡単には入れ替えられないため、利用者は本人確認書類を預けるサービスを減らし、漏れたら信用情報機関に本人申告をする。運営者は、外部公開機器の更新と、預かった本人確認書類の保管期間の見直しから始める。
香港・信興集団の情報漏えい（約92万人）：家電の修理・保証の連絡を装う詐欺への対処
香港の個人資料私隠専員公署（PCPD）は2026年3月23日に信興集団（Shun Hing Group）から情報漏えいの通報を受け、調査を始めた。PCPDは7月2日、同社が提供した最新情報として、92万1,000人超の個人情報が流出した可能性があり、うち約92万人の顧客の氏名・敬称、住所、電話番号、メールアドレスと、約1,000人の従業員・サービス/製品/仕入先の担当者の身分証明書番号、銀行口座番号、給与などが含まれるとした。約105万人分の個人情報は悪意をもって暗号化された可能性がある。信興集団は7月9日の告知で、当時は情報が悪用された証拠はなく、PanaClubのシステムは停止していると説明した。当サイトの結論：流出した可能性があるのは、家電の配送・設置・保証登録・修理のために顧客が伝えた連絡先。相手が住所や買った家電を知っていても本物の連絡とは限らない。PanaClubの再設定を求めるメッセージのリンクは開かず、自分で公式サイトを開き最新の案内を確かめる。
南アフリカStandard Bankの情報漏えい：身分証番号・口座番号を知っている詐欺電話への対処
南アフリカのStandard Bankは2026年3月23日、一部のデータへの不正アクセスを確認したと公表した。4月14日の続報では、影響を受けた情報は氏名、身分証番号または会社登記番号、連絡先（電話番号・住所・メールアドレス）、口座番号で、のちにB-BBEE区分とVAT登録番号が加わり、データは『公開されたとみられる』とした。取引系の銀行システムと基幹システムへのアクセスはなく、顧客の資金に影響はないとしている。影響人数は公表していない。当サイトの結論：危険なのは、このデータで口座にログインされることではなく、本物の身分証番号と口座番号を読み上げながらStandard Bankを名乗る電話がかかってくること。相手が番号を知っていても、本物の銀行だという証明にはならない。銀行はパスワード・PIN・OTP（ワンタイムPIN）を求めないとしている。電話は切ってカード裏の番号にかけ直し、SAFPSに登録し、信用情報を確認する。
テキサス州TPWD情報漏えい（2026）｜狩猟・釣り免許購入者の対処
米テキサス州公園野生生物局（TPWD）によれば、2026年5月13日、州のサイバー対策機関Texas Cyber Commandが、狩猟・釣り免許の販売を担うTPWDの免許システム委託先に関わるサイバーセキュリティ事案を検知した。権限のない者が、300万人を超える購入者の運転免許証情報、パスポート番号（提出した人のみ）、メールアドレス、電話番号、住所を取得した可能性がある。社会保障番号（SSN）、生年月日、クレジットカードなどの金融情報は取得されていないとしている。テキサス州司法長官の一覧では、影響を受けたテキサス州民は3,087,721人。当サイトの結論：免許は州の機関から買う公的なものだが、購入時に出した身分証の番号は、TPWDが販売を任せた委託先のシステムに保管されていた。購入者が自分で選んだ会社ではない。また免許は毎年更新するのでTPWDからの連絡は自然に見え、詐欺はそれを装いやすい。クレジットフリーズ（信用情報の凍結）をかけ、免許番号が悪用されたときの州公安局（DPS）の手順を知り、更新や支払いは自分で入力したTPWDのアドレスからだけ行うこと。
イタリアの鉄道Trenitaliaの情報漏えい：遅延の払い戻しを装う詐欺への備え
イタリアの鉄道会社Trenitaliaは、身元不明の外部の者によるサイバーセキュリティ事案で、乗車券（titoli di viaggio）に結びつく一部の個人情報に不正アクセスがあったとして、GDPR第34条にもとづく通知を顧客に送った。他社と共同でデータを管理している乗車券についての追加の通知は、これを「2026年6月26日にTrenitaliaが通知したのと同じ事案」としている。対象になり得るのは、氏名・生年月日・出生地、メールアドレス・電話番号、区間・日時・乗車券番号などの旅程、ロイヤルティカードの番号、勤務先、身分証の記載事項など。カンパニア州の共通乗車券（UnicoCampania）の通知では、納税者番号（codice fiscale）と性別も挙げられている。アカウントのログイン情報、パスワード、カード番号などの支払い情報は含まれないとしている。同社はイタリアのデータ保護機関（Garante）とCSIRT Italiaに通知し、ローマ検察に告訴した。当サイトの結論：漏れたのは、いつ、どこへ、どの列車で行くかという旅程の情報で、「列車が遅れたので払い戻します」という偽の連絡を本物らしく見せるのに使える。本物の遅延の補償は、自分で公式サイトやアプリから申請するか、地域線のデジタル乗車券なら購入時のカードに自動で戻る。SMSのリンクからカード番号を入れる払い戻しは存在しないと覚えておけば、SMSの文面が本物らしいかどうかを見極める必要はない。
韓国TVINGの個人情報流出：補償を装う詐欺メッセージと利用者がやること
韓国科学技術情報通信部の官民合同調査団が2026年9月3日に公表した調査結果によれば、TVINGへの侵害で、有効・休眠・退会・テスト用を合わせて3,954万アカウント（重複を含む）の情報が流出した。流出項目はID、氏名、生年月日、連携情報（CI）、重複加入確認情報（DI）、返金用口座番号（暗号化）、パスワード（一方向暗号化）など20項目（70種）で、パスワードは復号できない状態と確認された。当サイトの結論：TVINGが実際に補償の申請を受け付けているため、補償や返金を名乗る偽のSMSがいちばん本物らしく見える。補償は自分で開いた公式アプリでだけ確認し、パスワードは同じものを使っている他のサービスから変える。開発・運用側にとっての教訓は、開発者1人の接続キーで全ソースコードにアクセスでき、そのソースコードの中に本番環境の接続キーが入っていたという構造にある。
米国の医療情報漏えい（2026年）｜主な事例と通知の確認方法
2026年、米国では医療情報の漏えいが相次ぎ、その多くは患者が名前も知らない会社で起きた。HHSの公開一覧で6件を並べると、4件は医療機関などから業務を請け負う委託先（Business Associate）、1件は医療機関から検体と情報を受け取る検査会社、残る1件は医療機関本体だが、侵入のきっかけは委託先側だった可能性があると本人が説明している。当サイトの結論：知らない会社からの通知は、それだけでは詐欺の証拠にならない。通知に書かれた番号やリンクを使う前に、HHSの公開一覧と州司法長官の掲載を自分で開いて照合する。組織側は、患者データを渡した先の一覧、契約終了時の返却・廃棄の確認、フィッシングに強い多要素認証（パスキーなど、偽サイトにだまされても認証を渡してしまわない方式）の3つから始める。
タイムズカー不正アクセス（氏名・住所など6,628,007件、書類画像 約146万件に外部送信の痕跡）：マイページでの確認と、対象者・退会者がやること
タイムズモビリティ株式会社は2026年10月23日の第5報で、外部専門機関によるフォレンジック調査を終え、最終件数を公表した。タイムズカーWebシステムでは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報について6,628,007件で攻撃者によるアクセスと外部送信の痕跡が確認された。暗号化して保管していた本人確認書類の画像は、外部送信の痕跡があるものが1,464,800件（これまで「約160万件に漏えいのおそれ」としていた）、アクセスされたが外部送信の痕跡がないものが891,602件。ハッシュ化されたパスワードの外部送信は4件。関連して不正アクセスが確認されたタイムズクラブWebシステムでは、タイムズクラブカード番号19,510件、連携サービスID135,436件、クレジットカード番号の下4桁28件などに外部送信の痕跡があった（カード番号の全桁とセキュリティコードは保持していない）。原因はWebシステムの脆弱性の悪用。同社は画像の外部送信が確認された人に3,000円相当のお見舞いを渡すとし（内容と渡し方は検討中）、10月23日17時からマイページに一人ひとりの漏えい項目を載せている。当サイトの結論：まずマイページで自分の項目を確かめる。書類画像の外部送信が確認された人は信用情報機関への本人申告と信用情報の開示で備え、全員が同社を装う連絡に反応しないこと。退会者は専用フォームで照会できる。
Gyazoの不正アクセス（約2,362万件）：ユーザー情報と画像のメタデータが流出、利用者が今日やること
Gyazoの画像アップロードサーバーの脆弱性が悪用され、ユーザー情報約2,362万件と、主に2019年1月以前の画像のメタデータ約4.9億件が流出した。当サイトの結論＝今日やることはパスワード変更と使い回しの解消。そのうえで見落とされやすいのは、画像そのものではなく画像についての情報——スクリーンショットに写っていた文字（OCRテキスト）、写真の位置情報、アップロード元IPアドレス——が流出対象に含まれている点。スクショに秘密が写っていたなら、その秘密を無効化する。
2026年の国内大型情報漏えい4件（KDDI・アフラック・デジタル庁・さくら）：侵入口は違っても、共通する再発防止策は検知の強化
KDDI（メール基盤・約1,223万人）、アフラック（約440万人）、デジタル庁（約24.6万件）、さくらインターネット（最大約136万アカウント）。4件の侵入口は互いに似ていないのに、KDDI・アフラック・さくらの3社は再発防止策に検知の強化を挙げ、残るデジタル庁は大量アクセスという量の異常で気づけた事案だった。当サイトの結論＝侵入を完全に防げるとは考えず、正規の利用と同じ形の攻撃でも見分けられる手がかりである量と時間を監視する仕組みに投資する。
2026年の国内情報漏えいの侵入経路：脆弱性より正規の認証情報によるものが多い（横断分析）
2026年8月に公表された国内の主要事案を経路で分類すると、脆弱性型より認証情報型が多い。共通するのは『自分のサーバーは無傷なのに、外部のサービスの正規のアカウントから入られた』こと。当サイトの結論＝脆弱性管理を完璧にしても、この型は1件も止まらない。だから対策の比重を、パッチから『認証情報の寿命・範囲・置き場所』と『委託先とSaaSの棚卸し』へ移す必要がある。
MOVEit 大規模情報漏えい（2023）— SQLインジェクションのゼロデイが2,700社超に波及した原因と防御
入口はインターネット公開のファイル転送製品MOVEit TransferのSQLインジェクションのゼロデイ（CVE-2023-34362）。Web shell（LEMURLOOT）が仕込まれ背後のDBからデータが一括窃取され、2,700社超・約9,330万人分が流出。多くの被害者は委託先・取引先がMOVEitを使っていたことで間接的に巻き込まれた。あなたの環境ではKEV即時パッチ・公開面の最小化・Web↔DBの最小権限と分離・委託先の棚卸しとデータ最小化で備える。
組織のセキュリティ対策の最低限：2026年の国内事故から逆算した6つの優先順位
組織向けの『最低限』は、製品の一覧ではなく、実際の事故で破られた場所から決めるべき。2026年の国内事故を並べると、入口はVPN機器・第三者製ソフト・照会機能・非公表とバラバラでも、被害を広げた原因は6つにまとまる。①入口の機器を期限つきで塞ぐ②保守・委託・退職者のアカウントを狭く③量と時間を見張る④ログを遡れる期間残す⑤要らないデータを持たない⑥優先度をKEVで付け直す。当サイトの結論＝組織の最低限とは『誰が・どの数字で・いつ気づくか』を決めること。
Capital One 情報漏えい事件（2019）— SSRFから1億人分が漏れた原因と防御
起点はたった1つのSSRF。そこからメタデータ提供先→過剰権限のIAM一時鍵→S3一括コピーへと連鎖し、約1億600万人分が漏えい。各段階で止められた。あなたの環境ではIMDSv2・IAM最小権限・送信先の許可リストで再発防止する。
Codecov 改ざん事件（2021）— CIで使う外部ツールが改ざんされ、秘密情報が流出した原因と防御
原因は『CIで信頼して実行するツール（curl|bashのBash Uploader）が上流で改ざんされた』こと。自分のコードは無傷なので約2か月気づけず、CIの秘密情報が流出。検知はチェックサム照合だった。あなたのCIでは取得物の完全性検証・秘密の最小権限・ローテーション・egress監視で再発防止する。
Equifax 情報漏えい事件（2017）— 未パッチのApache Strutsで1.47億人が漏れた原因と防御
原因は『修正パッチが出ていた既知CVE（CVSS 9.8）を公開システムに当てなかった』こと。監視装置の証明書失効で76日間も持ち出しに気づけず被害が拡大。あなたの環境では資産の棚卸し・パッチSLA・機械監視・検知の健全性で再発防止する。