インシデント対応

NTTドコモ「ドコモオンラインショップ」「My docomo」への不正アクセス（最大約30万件）：本人確認書類の番号などが流出、契約者がやること

NTTドコモは2026年11月4日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスを確認し、11月5日午前1時5分頃から各種手続きを停止して緊急メンテナンスに入った。同社は11月5日の第二報で、緊急メンテナンス以前の不正アクセスにより一部のお客さま情報が流出したと発表し、11月6日の第三報で対象を最大約30万件と公表した。流出した情報は、すべてのお客さまについて氏名・生年月日・年齢、住所・連絡先電話番号・メールアドレス、本人確認書類の番号、携帯電話番号・契約開始年月日などの契約情報、料金プラン・オプション・割引等の契約内容。一部のお客さまについては、法定代理人・手続代理人の氏名と連絡先、勤務先・法人の名称と所在地、金融機関名・支店名・口座番号・口座名義、子育て応援プログラムに関する情報も含まれる。原因は外部からの不正アクセスで、侵入経路と流出した範囲・件数は調査中、新たな情報流出は確認されておらず、緊急メンテナンスの復旧見込みは未定。2026年11月7日時点で、第四報は確認できていない。当サイトの結論：ドコモを名乗る連絡は、氏名・住所・契約内容・本人確認書類の番号を知っていても本物とは限らない。URLを開かず、暗証番号・パスワード・カード情報を答えず、本人確認書類の番号が漏れた人は不正な契約に備える。

ほっともっとのメールマガジン配信サービスに不正アクセス（最大約700万件）：氏名・生年月日・電話番号などが流出、会員がやること

株式会社プレナスは2026年11月4日、外部委託先が提供する「ほっともっとのメールマガジン配信サービス」が第三者による不正アクセスを受け、お客様のメールアドレスを含む会員情報が流出したと公表した。11月2日に委託先から報告を受けたもので、発生日は10月28日から31日、対象件数は最大約700万件。流出した情報は、メールアドレス、氏名、生年月日、電話番号を含む会員情報。クレジットカード情報は含まれておらず、同社はクレジットカード情報を保有していないとしている。ネット注文サービスへの影響は確認されておらず、引き続き利用できる。メールマガジン配信サービスの提供はすべて停止しており、再開時期は未定。2026年11月7日時点で、続報は確認できていない。当サイトの結論：ほっともっとを名乗るメールは、名前や生年月日を知っていても本物とは限らない。配信停止中のメールマガジンの体裁で届く案内は特に疑い、リンクを開かずに公式サイトやアプリから確かめる。

アイリスプラザへの不正アクセス（約770万人分）：氏名・住所・パスワード（暗号化）などが漏えいした可能性、会員・購入者がやること

アイリスグループの株式会社アイリスプラザは2026年11月5日の第2報で、アイリスオーヤマ公式通販サイト「アイリスプラザ」で発生した不正アクセス事案について、個人情報の一部が漏えいした可能性があると公表した。同社は10月28日に、利用する外部クラウドサービスで不審なファイルを発見し、アイリスプラザと関連システムを停止して調査を始め、第三者による不正アクセスを確認した。外部クラウドサービスに保存されていた個人情報の総データ数は約770万人分で、当該データが閲覧または取得された可能性を確認している。実際の漏えい件数と影響人数は調査中。漏えいの可能性のある情報は、会員データ（退会済みを含む、約580万人）が氏名・住所・電話番号・メールアドレス・性別・パスワード（退会者を除く）・生年月日等、非会員データ（会員登録なしで購入した人やキャンペーンへの応募歴がある人を含む、約190万人）が氏名・住所・電話番号・メールアドレス。パスワードを含む一部の項目は暗号化している。クレジットカード情報は当該クラウドサービスに保存されておらず、影響を受けていないことを確認したとしている。同社は、ほかのサービスで同じパスワードを使っている人に変更を求めている。2026年11月7日時点で、第3報は確認できていない。当サイトの結論：アイリスプラザで使っていたパスワードを、ほかのサービスでも使っているなら、今日変える。退会した人と会員登録せずに買った人も対象に含まれる。

『勝利の女神：NIKKE』PCランチャーの読み込みファイルが改ざんされ、不正プログラムが配布された：9月27日15:41以降にWindows版を起動した人がやること

『勝利の女神：NIKKE』の運営（Level Infinite）は2026年11月5日、PCランチャーの一部ファイルが第三者に改ざんされ、起動時に不正プログラムが実行される可能性があったと発表した。運営の説明では、9月27日に外部ドメインが第三者に乗っ取られ、同日15:41にランチャーが取得する公式CDNのスクリプト4件が改ざんされ、10月30日3:52から不正プログラムの配布が始まった。11月4日に異常を確認し、スクリプトを差し替えて追加配布を遮断した。対象は、9月27日15:41以降にWindows版PCランチャーを1回以上起動した利用者で、モバイル版のみの人は影響を受けないとしている。運営は、PC、外部サービスのアカウント、資産に影響を及ぼす可能性があるとし、11月5日8:00から公式PCクライアントで検査・削除する機能を提供している。被害範囲と改ざんの経路は調査中。当サイトの結論：対象なら、別の端末から、メール・金融・暗号資産・ゲームストア・Discordの順にパスワードを変え、他の端末のログインを外し、APIキーやトークンを再発行して2段階認証を有効にする。

2026-11-05

Trigger.devのセキュリティインシデント（2026年11月）：全顧客の0.66%でルートAPIキーと環境変数に不正アクセス、キーの再発行と秘密の差し替えを

バックグラウンドジョブやAIエージェントの実行基盤Trigger.devは2026年11月1日にセキュリティインシデントを公表し、11月6日に続報の報告を出した。同社によれば、11月1日にインフラのアラートが異常な動きを検知し、悪意あるものと判断して攻撃者を遮断した。影響は全顧客の0.66%で、攻撃者は一部の顧客環境のルートAPIキーを入手した。ルートキーは環境の設定（環境変数を含む）への完全なアクセスを与える。一部の環境では、直近の実行、デプロイ、スケジュールの一覧も取得され、ID、タスク名、実行の冪等性キー、状態、タグ、デプロイのメタデータとエラー、スケジュールの外部ID、実行のメタデータが返った。同社は、ほかの顧客データ、他のサービス、同社の本番データベース、ダッシュボードのアカウントにアクセスされた証拠は見つけていないとする。攻撃の経路は、調査と顧客を守るため公表していない。影響を受けた顧客にはメール（11月1日と2日）とダッシュボードの通知（時期は記載なし）で連絡し、影響した可能性のあるAPIキーは失効させた。対象の顧客は、APIキーを再発行し、環境のデータベースのパスワードやサードパーティのAPIキーなどを差し替えて、発行元で古い認証情報を失効させる。通知を受けていない顧客は影響を受けていないと同社は説明する。Webhookの署名用の秘密は露出しておらず、セルフホストは影響を受けていない。当サイトの見立て：まずメールとダッシュボードのバナーで対象かどうかを確認し、対象なら同社の手順どおりに再発行と差し替えを進める。

Chainalysisのセキュリティインシデント（2026年10〜11月）：全ユーザーの氏名・ユーザー名・パスワードハッシュ・有効なトークンが露出、顧客がやること

ブロックチェーン分析のChainalysisは2026年10月30日にセキュリティインシデントを公表し、その後ブログを更新している。11月4日の更新で、同社は全ユーザーの氏名、ユーザー名、パスワードハッシュ、有効なトークンが悪意ある者に露出したと説明した。調査データへのアクセスや帰属データの改ざんの証拠は見つかっていないとする。同日午前の更新では、通信経路上の攻撃（on-path attack）で一部の顧客のパスワードが露出し、対象アカウントをロックしてリセットさせたとも書いている。同社はKYT、アドレススクリーニング、ログインページを一時停止し、11月6日にKYTとアドレススクリーニングを段階的に復旧している。Reactorとデータソリューションは復旧時期が示されていない。顧客に求める対応は、許可する信頼済みIPアドレスの申請、パスワードの変更、APIキーの更新。10月30日の発表は、認証情報とセッショントークンへのアクセスの証拠はないとしていたが、その後の更新でトークンの露出を認めており、ページはこの違いを説明していない。

Northflankのセキュリティインシデント（2026年10月）：保存された環境変数は復号されたと想定、AI APIキーの不正利用報告も

クラウドの配備サービスNorthflankは2026年10月30日（UTC）、ステータスページでセキュリティインシデントを公表した。セキュリティ事業者の脅威アラートが11:43 UTCに届き、同社は12:02 UTCからパッチを適用、13:40 UTCに環境変数の即時差し替えを案内し、13:58 UTCにはすべての環境変数が復号されたものとして扱うよう案内した。15:12 UTCの時点で複数の利用者がAIキーの使用を報告していると記載し、23:38 UTCには、プラットフォームに保存したAI APIキーが無断で使われたと利用者から報告があったと説明している。10月31日には全顧客で監査ログを有効化し、アドオンの秘密の差し替え機能を種類ごとに順次公開した。11月2日11:09 UTC（状態はMonitoring）の更新で、同社は最初のアラートから1時間以内に攻撃を封じ込めたとみていると説明し、稼働中のワークロードは影響を受けず、ワークロードやそのデータにアクセスされた形跡は見ていないとして、攻撃はコントロールプレーンの秘密に集中していたようだと述べた。独立したフォレンジック監査人が調査中で、アクセストークン・セッション・VCS連携・アカウントをまたぐIAMロールを無効化したため、再ログインと連携のやり直しが必要になる。根本原因の報告は確認後に出す予定とされる。11月6日10:09 UTCの更新では、秘密が最初に復号されたのは10月30日02:39〜03:08 UTCで、最初のアラート（11:43 UTC）より前だったと説明し、悪用された欠陥は通知から60分以内に修正し、顧客には2時間以内に通知したとする。ワークロードやそのデータにアクセスされた証拠は見つかっていないとし、可能な範囲で上流の事業者と協力して認証情報を失効させたという。影響を受けた顧客の数、侵入の経路、対象のAI事業者は公表されていない。当サイトの見立て：Northflankに保存した秘密は、発行元で無効化してから差し替え、AI事業者ごとの利用状況と請求を確認し、支出上限を設定する。

PHPの緊急更新で見落としやすい点：WebとコマンドラインのPHPは別、set -e と diff の終了コード、更新後の侵入確認

2026年10月のPHPの重大な脆弱性への対応で、当サイトの運営者が関わるサイトでは、Web用のPHPを更新しても、cronが使うコマンドライン用のPHPが古い版のままだった。更新後の確認は、Webとコマンドラインを別々に行う。シェルスクリプトで set -e を使うと、diff や grep は『差がある・一致しない』だけで終了コード1を返し、スクリプトが止まる。0・1・2を区別して受ける。更新後は全サーバーに同じ侵入確認の項目を当て、疑わしいログは、本番のファイルと配布時のコピーを比べて決着させる。

ワールド子会社ティンパンアレイ（報道ではラグタグ運営）の不正アクセス（延べ約120万件）：氏名・住所・電話番号などが漏れた可能性と、会員がやること

株式会社ワールドは2026年10月30日、連結子会社の株式会社ティンパンアレイの業務サーバーに第三者による不正アクセスがあり、会員情報の一部が外部へ流出した可能性があると発表した。流出の可能性がある会員情報は延べ約120万件で、項目は氏名・住所・電話番号・生年月日・性別・メールアドレス。クレジットカード情報その他の決済情報と顔情報の流出は確認されていないとしている。不正アクセスは10月17日14時51分頃、検知は10月28日12時08分頃で、同日21時36分までに経路を遮断した。対象の会員と件数の詳細は確認中で、会員への個別メールは準備が整い次第送るとしている。報道によればティンパンアレイは古着のブランド「ラグタグ（RAGTAG）」などを運営しているが、発表自体はサービス名や対象ブランドを書いていない。当サイトの結論：名前・住所・電話番号・メールアドレスがそろっている前提で、届く連絡のリンクは開かず、確認は自分で開いた公式サイトで行い、パスワードやカード番号は伝えない。

AOMEI Backupperの更新サーバー改ざん（2026年4〜7月）：対象になりうる人、日時、自分のPCの確かめ方

Windows向けバックアップソフト「AOMEI Backupper」を提供するAOMEIは2026年10月19日（最終更新10月30日）、更新サーバーのソフトウェアサプライチェーン侵害について声明を公開した。セキュリティ企業の調査によれば、2026年4月から7月にかけて、AOMEI Backupperの更新サーバーの設定ファイルが約5〜10分ずつ書き換えられ、その後元に戻されることが繰り返された。その間、書き換えられた設定によってソフトが不正なファイルをダウンロードする可能性があった。これまでに判明した時間帯は、5月28日（05:40〜05:50 UTC）、7月16日（08:33〜08:39 UTC）、7月20日（10:35〜10:40 UTC）の3回。同社は7月29日までにサーバーの対策を行い、8月5日に更新サービスを新しいサーバーへ移し、10月19日にAOMEI Backupper 8.5.1を公開した。影響の有無にかかわらず、全利用者に、同社の検査ツールAOMEI Security Scannerでの検査、8.5.1への更新、セキュリティソフトでの検査、Windowsアカウント（ドメインアカウント）のパスワード変更を求めている。対象の人数と版は公表されていない。当サイトの見立て：その時間帯に電源が入っていたPCにAOMEI Backupperが入っていたなら4つの手順をすべて行い、Windowsのパスワードはできれば別の安全な端末から変えるのが今日の対策です。

Binanceの暗号資産流出（約63億ドル）：利用者の資産は補償されるのか、利用者がやること

Binanceは2026年10月29日の20時5分ごろ（UTC）にホットウォレットが侵害され、不正な出金が行われたと発表した。影響額の見積もりは約63億ドル。米連邦捜査局（FBI）は10月31日、60億ドル超の窃取は北朝鮮による犯行と発表し、盗まれた資産を保有している、または保有していたとして公表したアドレス628件を公表して、取引所などに取引の遮断を求めた。同社は、利用者の資産は安全で、損失は自社で負担すると説明しており、11月1日の発表では影響額の約95%を補填済みとしている。約30億ドルはオンチェーンで凍結した。最初の発表では、初期調査の結果として、DevOps担当者のノートPCが侵害され、攻撃者がサービスコンテナに到達して不正な出金を行ったとみられるとされ、第2報では、調査の結果ほかにも侵害点が見つかったとされた。ウォレットの秘密鍵が漏れた証拠は見つかっていない。出金は第4報で11月1日の6時〜9時（UTC）の枠で第1段階を始める予定とされ、Binanceはその後Xで、12時36分（UTC）までに第1段階の15のネットワークがすべて再開したと述べた。残りは検証中で、入金は影響を受けていない。11月2日の第5報では、10月31日のスナップショットについて上位10トークンの完全なゼロ知識証明が完成したと発表され、次の出金の段階は11月3日に予定とされた。11月3日の第6報では、同日4時（UTC）から対象の資産を増やして出金を再開するとされた（段階的に進め、安全確認の済んだものから）。事後報告書はこれから。当サイトの結論：公表されている範囲では、これは取引所自身のウォレットからの窃取で、Binanceは顧客データを影響項目として挙げていない。利用者にとっての当面のリスクは、サポートや返金、回収を名乗る偽の連絡なので、Binanceは自分のブックマークか公式アプリからだけ開き、シードフレーズ・秘密鍵・認証コードは誰にも教えず、2段階認証を有効にする。

Cursorの拡張機能マーケットプレイスに改ざんされた「Claude Code」拡張（10月29日・約11時間）：SSHバックドアの確認方法

Cursorは2026年10月29日（30日更新）の告知で、Anthropicの名前（Anthropic.claude-code）で公開された拡張機能の改ざん版（2.1.312と2.1.313、Windows・macOS）が、10月29日の太平洋時間で約午前2時27分から午後1時35分まで、Cursorの拡張機能マーケットプレイスで配布されていたと発表した。Cursorは、これらの版はAnthropicが開発したものではないとしている。同社の説明では、コードは拡張機能の読み込み時に動き、端末とユーザーの情報を集め、攻撃者の管理するSSH公開鍵（ラベル svc-telemetry）を追加し、SSHの有効化とリバーストンネルを試み、macOSではLaunchAgent、Windowsではタスクスケジューラ（予備でスタートアップ）で常駐の設定を入れ、端末情報を攻撃者へ送った。SSHの有効化は多くの端末で失敗するため、攻撃者がトンネル経由でログインすることはできなかったはずだとしている。Cursorは該当版の削除、マーケットプレイスの一時停止、他の拡張機能の監査、鍵のローテーションを行い、攻撃者のサーバーは機能していないとしている。他の版や公式の配布への影響を示す証拠はないとしている。BleepingComputerは最大約5,000人の開発者が影響を受けた可能性があると報じた。当サイトの結論：10月29日にCursorでこの拡張機能を入れた・更新した人は、鍵と常駐の設定を確認し、その端末から届く秘密情報を入れ替える。

DreamHostのインシデント（2026年10月）：File Manager経由のFTP・SFTPログイン情報が漏えい、一部のWebメールの認証情報も、契約者が今日やること

DreamHostは2026年10月29日、10月23日にWebベースのFile Manager（files.dreamhost.com）を動かすサーバーへの不正アクセスを見つけたと発表した。File Managerが使うサードパーティ製ソフトウェアの脆弱性が悪用され、8月ごろから10月23日までにFile Managerへログインした利用者のFTP・SFTPのユーザー名とパスワードが取得された。限られた数のWebメール利用者の認証情報も取得され、ごく一部ではWebメールの認証情報でメールボックスの内容が見られた可能性があり、同社は該当者に個別に連絡している。コントロールパネルのログイン情報と請求情報へのアクセスの証拠は見つかっておらず、カード番号の全桁は保存していないという。影響は、メールとFTP・SFTPのアカウントの約10%をかなり下回る割合とされ、件数は公表されていない。同社は11月2日にカリフォルニア州司法長官へ届出を行い、通知書の見本は1年間のID盗難対策サービスを案内している。10月23日からは予防措置として一部のパスワードを再設定済みで、契約者が管理画面で新しいパスワードを設定するまで、該当のメール・FTP・SFTPは使えない。当サイトの結論：8月以降にFile Managerを使ったなら、再設定の連絡がなくてもFTP・SFTPのパスワードを変え、保存先のツールも直し、メールの転送とフィルター、サイトのファイルに身に覚えのない変更がないかを確かめる。

松屋公式アプリ管理システムへの不正アクセス（237万7,127件ほか）：氏名・電話番号・届け先住所が漏れた会員がやること

株式会社松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが第三者から不正アクセスを受け、会員情報等が漏えいしたと発表した。不正アクセスと漏えいが判明したのは10月28日。松弁ネット・モバイルオーダー・松弁デリバリーの利用者2,377,127件は、会員ID・お届け先住所・氏名・電話番号・松屋ポイントの情報。松屋公式アプリの会員2,000件（最大3,000件となる可能性）は、会員ID・都道府県・氏名・電話番号・生年月日・メールアドレス・暗号化されたパスワード・松屋ポイントの情報。クレジットカード情報は同社では保持していないとしている。原因と侵入の経緯は調査中で、アプリとホームページ等の関連サービスは停止中。当サイトの結論：松屋を名乗る連絡のリンクは開かず、確認は自分で開いた公式の場で行い、アプリ会員は同じパスワードを使い回していないか見直す。

良品計画（無印良品）MUJIアプリ・ネットストアの情報流出（最大約2,726万件）：MUJI Cardのカード番号全桁約109万件も対象、利用者がやること

株式会社良品計画は2026年10月30日の第一報に続き、11月4日の第二報で範囲が広がったと発表した。MUJIアプリに加え無印良品ネットストアの会員（退会者を含む）も対象で、メールアドレス・生年月日・性別・会員IDが最大約2,726万件、うち約52万件は氏名・住所・電話番号も外部からアクセスされた可能性がある。クレディセゾン発行のMUJI Card会員（2021年7月までの入会）約109万件は、カード番号（全桁）・MUJI Card ID・生年月日が対象で、カード名義・有効期限・セキュリティコードは含まれないとしている。このほかアプリやネットストアに登録されたカード情報の一部約120件は、カード番号の先頭6桁と下2桁、カード名義が対象。同社は、ダークウェブ等への流出と悪用による被害は確認されていないとし、対象者へメールか郵送で個別に連絡する。11月6日にはネットストアを一時停止したと発表している。当サイトの結論：MUJI Cardを持つ人はカード明細を確認して身に覚えがなければクレディセゾンへ連絡し、無印良品やカード会社を名乗るメール・電話は相手を信用せず、自分で開いた公式アプリ・公式サイトか、カード裏面の番号で確かめる。

OpenCode Consoleへの不正アクセス（2026年10月、Console利用者の1.4%）：外部AI事業者のAPIキーが漏れた可能性と、利用者がやること

オープンソースのAIコーディングエージェント「OpenCode」は2026年10月17日、公式Xアカウントで、前夜に大規模な蒸留攻撃に関連するセキュリティ侵害があり、OpenCode Consoleの利用者の1.4%が影響を受けたと公表した。対象者全員にその朝メールで知らせたこと、メールが届いていない人は影響を受けていないこと、対象は外部のプロバイダーを連携していた一部の利用者であることを説明した。事案は継続中で詳細は話せないとし、関係するAI事業者と対処していると述べている。同社のメールや発言を伝えた報道によれば、利用者がConsoleのワークスペースに保存していた外部AI事業者のAPIキーが、古いシステムを通じて漏れた可能性があり、対象者には各事業者でキーを直接失効・再発行するよう伝えた。共同創業者は、オープンソースのアプリとコマンドラインツールは影響を受けていないと述べたという。当サイトの見立て：メールが届いた人、またはConsoleにAI事業者のキーを連携していて不安な人は、今日各事業者の管理画面でキーを失効させ、10月17日以降の利用量と請求を確かめることが今日の対策です。

米Photon Healthの情報漏えい（分析ツールの脆弱性）：氏名・住所・電話番号・生年月日・処方薬情報と、対象者が今日やること

米国の電子処方プラットフォーム Photon Health は2026年10月8日、自社で運用するデータ分析ツール（Metabase）の未知の脆弱性を第三者が悪用し、一部のデータにアクセスされたと発表しました。同社が把握したのは8月21日、対象データの確認が終わったのは9月4日です。項目は氏名・住所・電話番号・生年月日・処方薬の情報で、人によって異なります。社会保障番号と金融情報は同社が収集・保管していないため対象外、悪用の証拠はないとしています。対象人数は公表されていません。別件として、小児オンライン診療の Blueberry Pediatrics が、自社の同ツール環境への不正アクセスで340,915人が対象になったとオレゴン州司法長官に届け出ています（健康保険情報や診療記録を含む）。当サイトの見立て：実名・住所・電話番号に健康情報が結びつくため、処方・保険・薬局を名乗る本物らしい電話やメッセージが来る前提で備えてください。応じず、自分で調べた番号にかけ直すのが基本です。

Trezorが、東南アジアの元認定販売店で買ったSafe 5に不審な基板が入っていたとの報告を公表（未確認）：所有者がやること

Trezorは2026年10月30日、同社のセキュリティチームが10月28日に、Trezor Safe 5に不正な部品（インプラント）が入っていたとの責任ある開示の報告を受けたと発表した。端末は2026年8月に、2026年10月まで同社の東南アジアの認定販売店だった会社から、オンラインのマーケットプレイス経由で購入されたもの。報告は、メイン基板と画面の間に携帯回線モジュールとアンテナの付いた追加の基板があり、画面に表示される内容（ウォレットのバックアップ＝リカバリーフレーズを含む）を読み取って携帯回線で送ると述べているが、同社は現物を受け取っておらず未確認で、盗難の報告もないとしている。同社の案内は、この販売店から2026年3月以降に買った端末が対象で、未設定ならそのまま設定しない、使用中なら新しい端末で新しいリカバリーフレーズのウォレットを作り資金を移す、というもの。当サイトの結論：これは報告であって確定した事実ではないが、手間に比べて守れるものが大きいので、該当の販売店で買ったなら公式の案内どおりにする。

ヤクルト本社の公式サイトへの不正アクセス（約4万件）：氏名・住所・電話・メール・問い合わせ内容が漏れた人がやること

株式会社ヤクルト本社は2026年10月26日に公式サイトへの不正アクセスを認め、同日、サイトの機能を停止した。10月30日の第2報で、公式サイトを通じて提供された個人情報約4万件が外部に漏えいしたことを確認したと発表した。対象は、メールお問い合わせフォームの利用者（氏名・性別・年齢層・住所・電話番号・メールアドレス・問い合わせ内容）、給食サイト「たのしい給食」の会員（氏名・業態・勤務先・勤務先の住所と電話番号・メールアドレス・暗号化されたパスワードなど）、報道関係者向けフォームの利用者、およびそれらの問い合わせに対応した社員の氏名。クレジットカード情報と銀行口座情報は預かっていないとしている。件数の内訳・対象期間・原因は未公表で、同社は個人情報保護委員会への第一報と警察への相談を行っている。当サイトの結論：ヤクルトを名乗る連絡のリンクは開かず、「たのしい給食」の会員は同じパスワードを使った他のサービスを変更する。

Zeaburのセキュリティインシデント（2026年10月、環境変数約322万件が読み取り）：差し替える秘密と、利用者がやること

アプリ配備のクラウドサービス（PaaS）Zeaburは2026年10月19日、10月14〜15日（UTC）のセキュリティインシデントの初期報告を公開した。同社によれば、攻撃者は流出したZeaburの内部認証情報を使って共有クラスター、一部のDedicated Server、内部システムに侵入し、最終的に10月15日16:10〜16:47（UTC）にプラットフォームデータベースを読み取った。環境変数のレコード3,218,965件（名前と値）、321,810アカウントの情報（メール・ユーザー名・電話番号など）、zSendのAPIキー566件（失効済み）が読み取られたことを確認したという。同社は根本原因がZeabur側にあるとし、長期間有効な管理用認証情報が平文で保存され、インターネットから使える状態だったと説明している。8月の別の事案のあとに差し替えた場合も含め、Zeaburに保存しているすべてのパスワードとキーの差し替えを全利用者に求めた。Zeaburは10月17日に2026年12月31日でサービスを終了すると発表し、10月22日には本件の損害の申請期限を2026年11月30日とした。当サイトの見立て：Zeaburの環境変数に置いた秘密はすべて他人に知られた前提で、発行元で先に失効させ、10月14日以降の請求とログを確かめることが今日の対策です。

ASOSの顧客情報漏えいと偽アプリ通知：氏名・連絡先が対象、生年月日・検索履歴は報道｜利用者が今日やること

2026年10月6日、ASOSのアプリから利用者に不正な通知が届いた。同社は、顧客との連絡に使う第三者のプラットフォームに無許可の第三者が不正アクセスしたと発表し、氏名と連絡先が閲覧された可能性がある一方、決済カード情報とアカウントのパスワードは影響を受けていないと考えていると説明した。その後の発表（BleepingComputerの報道）では、従業員のログイン情報が、信頼できる連絡先を装って聞き出されたとしている。BBCは、攻撃者が示した見本には顧客番号・生年月日・サイト内の検索履歴も含まれていたと報じたが、ASOSはこの項目一覧を確認していない。影響を受けた人数は公表されていない。当サイトの見解：自分の名前や過去の検索を知っているメッセージでも、ASOSからとは限らない。リンクは開かず、自分でアプリやサイトを開いて確かめる。

Bitgetの暗号資産流出（約3.875億ドル）：顧客の残高は補償されるのか、利用者がやること

暗号資産取引所Bitgetは2026年9月24日（UTC）、ホットウォレットとウォームウォレットの一部から不正な送金を検知した。当初は約3.516億ドルと見積もり、9月25日に約3.875億ドルが攻撃者の管理するアドレスへ送られたと確認した。同社は、顧客のアカウント残高に影響はなく、損失はユーザー保護基金の対象内で、コールドウォレットには触れられていないと説明している。侵入口は第三者のセキュリティ製品のゼロデイ脆弱性で、すでに対処したとしている。出金は一時停止のあと段階的に再開され、同社のページでは10月2日に全面再開とされている。影響を受けた製品の名前や、詳しい原因の報告書は公表されていない。当サイトの結論：これは取引所自身のウォレットからの窃取で、顧客データの流出ではない。利用者にとっての当面のリスクは「回収」「補償」を名乗る偽の連絡なので、2段階認証を有効にし、Bitgetは自分のブックマークからだけ開き、シードフレーズ・秘密鍵・認証コードは誰にも教えない。

ConnectWise Cloud Backup（旧SkyKick）の事案：AIによるサインイン試行が2,250超のMicrosoft 365テナントに、管理者が確認すること

ConnectWiseは2026年10月16日、MSP（IT管理事業者）向けのMicrosoft 365バックアップサービス「Cloud Backup（旧SkyKick）」に関連するアプリケーションの認証情報への不正アクセスを公表した。10月17日にアプリのID 7つを無効化し、Cloud Backup、SaaS Security、Cloud Managementを停止、10月19日に影響環境の全アカウントと認証情報をリセットした。10月21日にMicrosoftは、国家と連携するとみられるグループが関与し、オープンソースの複数エージェント型AIペネトレーションテスト用フレームワークで2,250超のテナントへのサインインを試みたと評価する調査を公表した。多くは失敗したが、特権のクラウドアクセスを多数の組織で得たとし、最短で3時間未満の例もあるという。別のセキュリティ企業は10月16日時点で162テナントの不正サインインを確認した。ConnectWiseは保存済みバックアップに侵害の形跡はないとする一方、個別のMicrosoft 365テナントが影響を受けたかは分からないとしている。当サイトの見解：これらのアプリを自社やMSPが使っていたなら、自社テナントでアプリの認証情報・ディレクトリ権限・同意を点検し、ConnectWiseの案内があるまで無効のままにする。

Frontline Education（米国の学校向け業務ソフト）の情報漏えい：社会保障番号・メディケイドID・生徒IDが影響、職員と保護者がやること

米国の学区向け業務管理ソフトを提供するFrontline Educationは、2026年10月26日付の「データ侵害のお知らせ」を公表しました。同社によれば、8月14日に自社が利用する外部ソフトウェアの脆弱性を同社のセキュリティチームが確認し、この脆弱性により同日から同社環境の一部への不正アクセスが可能になっていました。不正な活動の最終日は8月15日です。影響を受けたデータは、同社の2つの製品（Frontline CentralとSchool Health Management）に関わるものです。影響を受けたデータとして、社会保障番号、生年月日、運転免許証番号、パスポート番号、その他の政府発行ID、メディケイドID、生徒IDを挙げています（どれが当てはまるかは人により異なる）。同社はデータの悪用を把握していないとし、成人にはTransUnionの信用情報モニタリングを2年間、未成年にはサイバーモニタリングを提供するとしています。影響を受けた学区数・人数は公表されていません。当サイトの見立て：Frontlineを使う米国の学区の職員や在学の子どもがいる人は、自分に通知が来る前提で、無料の信用凍結を設定し、メディケイドIDや生徒IDを口にする電話やメールは本物の証明にならないと扱ってください。

iRhythm（米国・Zio心電計）の情報漏えい（HHS掲載で8,179,772人）：氏名・保険番号・機器シリアル番号などが持ち出された、患者がやること

ウェアラブル心電計「Zio」を作る米国のiRhythm Technologiesは2026年6月15日、第三者がホストする業務アプリケーションへの不正アクセスを検知し、データが持ち出されたと米SECに届け出ました。同社の2026年10月2日付の通知によると、調査の結果、データへのアクセスとダウンロードは6月3日から8日に行われ、対象者への通知は10月2日に始まりました。含まれるのは、患者の氏名、連絡先（住所・メール・電話）、患者アカウント番号、機器のシリアル番号、保険番号、サービス日、生年月日で、同社はHIPAA上の保護対象の医療情報（PHI）に当たるとしています。同社自身は総数を公表していません。10月29日にSecurityWeekとCyberInsiderが、米保健福祉省（HHS）の公表一覧に8,179,772人として掲載されたと報じました。それ以前の州への届出では、テキサス州298,647人、サウスカロライナ州69,526人でした。同社は、製品・臨床システム・医療機器への影響は確認しておらず、決済カードや金融口座の情報は保存していないとしています。当サイトの見立て：Zioを使った人は、氏名と保険情報を使った本物らしい連絡に備え、保険会社の給付明細を確認し、無料のクレジット凍結を検討してください。

コペンハーゲン大学（Københavns Universitet）の情報漏えい（約52.5万人）：氏名・CPR番号・電話番号・メールアドレスと、対象かもしれない人がやること

デンマークのコペンハーゲン大学（Københavns Universitet、KU）は2026年10月23日、テスト環境の1つにハッカーが侵入したと公表した。同大の発表を引用した複数の報道によれば、約52.5万人分のデータ（氏名、CPR番号＝デンマークの国民識別番号、勤務先と私用の電話番号、私用のメールアドレス）が取得された。10月25日の更新で、職員・学生約2万人のIDカードの暗証番号（PIN）も漏れたと公表し、新しいPINを発行済みという。報道によれば侵入の検知は10月20日（火）で、制御下に置いたとされる。同大はデンマークのデータ保護機関に届け出た。同大の公式ページには10月30日に当サイトから接続できなかったため、この記事は同大の発表を引用する報道に基づく。当サイトの見立て：氏名とCPR番号が合っていても本物とは限らない。自分で開いた窓口で確かめ、CPR番号・パスワード・PINを求められても答えない。

2026-10-28

一番くじONLINEの配送情報が漏えいした可能性（バンダイロジパルへの不正アクセス）：氏名・住所・電話番号と、会員がやること

株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパルの3社は2026年10月26日、バンダイナムコホールディングスの物流子会社であるバンダイロジパルが管理するシステムに第三者からの不正アクセスがあり、10月21日に発覚したと公表した（第1報）。3社の発表によれば、漏えいした可能性がある個人情報は、BANDAI SPIRITSがバンダイロジパルに商品配送業務を委託している「一番くじONLINE」の配送情報（氏名・住所・電話番号）。件数などの詳細は調査中で、クレジットカード情報は含まれておらず、現時点で不正使用等は確認されていない。10月21日に物流システム内のサーバーで不正アクセスの疑いのある痕跡を見つけてサーバーをシャットダウンし、同日、バンダイロジパルのアカウントの不正利用による操作を確認した。10月24日に当該物流システムを停止し、10月26日に警察と個人情報保護委員会へ報告した。発表は、10月26日から当該出荷システムを一時停止するとしている。不正アクセスの経路は公表されていない。3社は、本件に関連して不審な電話や郵送物が届く可能性があるとして注意を呼びかけている。当サイトの結論：一番くじONLINEで商品を届けてもらったことがある人は、一番くじやバンダイを名乗る心当たりのない電話・郵送物に応じず、確かめたいときは自分で開いた公式サイトの問い合わせフォームを使う。

2026-10-28

アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること

株式会社モニタスは2026年10月21日、同社が運営するアンケートサイト『Qzoo』が第三者による不正アクセスを受け、会員（モニター）の個人情報が漏えいした可能性があると発表した。経緯は、10月17日8時30分に不正アクセスが始まり、12時22分にSQLインジェクションによるデータベースの閲覧・更新、18時44分に検知・遮断、19時02分にサービスを緊急メンテナンス状態に移行、10月20日に個人情報保護委員会へ速報。対象は約40万件（10月17日時点でQzooのシステムが保有する全件）で、影響を受けた可能性があるのは、基本情報（氏名、生年月日、住所、電話番号、メールアドレス等）、会員認証情報（会員ID、パスワード等）、金融関連情報（口座番号、支店名、口座名義等）、アンケート回答情報（年収、職業等）を保管するデータベース。項目は調査中で、クレジットカード情報とマイナンバーは保有していない。原因は同社システム内の脆弱性を悪用した侵入としている。Qzoo以外の同社システムへの不正アクセスは確認されていない。当サイトの結論：Qzooと同じメールアドレスとパスワードを使うサービスは今日変え、Qzooや銀行を名乗る連絡のリンクは開かず、暗証番号やログイン情報は誰にも伝えない。口座の入出金もあわせて確認する。

2026-10-27

楽天トラベルへの不正アクセス（最大約260万件）：海外ホテル予約の氏名・連絡先と一部のカード情報、利用者がやること

楽天グループ株式会社は2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理・運営する一部のページと、同社が運営する多言語予約サイトへの、社外の第三者による不正アクセスを確認したと公表した。海外ホテル予約ページ（事象①）は9月10日に異常を検知し、9月16日に改修を完了。不正アクセスの対象となった情報は、ログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、予約した最大約4万件の氏名・連絡先・居住国・予約情報・同伴者の氏名など、そのうち最大約3万6千件の支払情報（カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）。カード番号の全桁・セキュリティコード・パスワード・身分証明書情報・住所は含まれないとしている（予約者の項目の注記）。多言語予約サイト（事象②）は10月20日に検知し10月21日に改修を完了、ログインした最大約86万件のメールアドレスと社内用の識別番号、管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名・メールアドレスが対象。原因・対象期間・補償は公表されていない。当サイトの結論：カード番号の再入力や支払いを求める連絡は、予約内容やカード下4桁が正しくても本物の証拠にならない。メールやSMSのリンクは使わず、楽天トラベルのアプリかブックマークから予約を確かめる。

閲覧履歴・Cookie・保存パスワードの消し方（Chrome・Safari・Edge・Firefox、パソコンとスマホ）：情報が漏れたときに消すもの、消す前に残すもの

ブラウザの閲覧履歴・Cookie（サイトデータ）・キャッシュ・保存パスワード・自動入力の消し方を、Chrome（Windows・Mac・Android・iPhone）、Safari（Mac・iPhone・iPad）、Edge、Firefoxごとに、各社の公式ヘルプの表記で整理した。閲覧履歴を消しても、すでに他人にコピーされたものは取り戻せず、脅迫への対策にもならない。被害を減らすのは、ログイン状態（Cookie）と保存パスワードへの対応、つまり安全な端末からのパスワード変更と全セッションのログアウトである。警察に相談するなら、消す前に脅迫メールや不審な拡張機能の記録を残す。同期がオンのまま消すと同じアカウントの他の端末からも消える。2026年10月のお名前.com デスクトップクラウドの事案では、GMOインターネットが第6報で、点検が終わるまでブラウザの同期をオンにしないよう求めている。

フジッコのキャンペーン応募情報が漏えいした可能性（延べ約1万5,500件）：氏名・住所・家族構成などと、応募した人がやること

フジッコ株式会社は2026年10月22日、キャンペーンの応募受付業務を委託している会社のサーバーが第三者の不正アクセスを受け、応募者の個人情報が漏えいした可能性があると公表した。10月21日に判明し、サーバーは速やかに停止した。対象は、2026年5月以降に実施したカスピ海ヨーグルトシリーズ「もっと！とろぉ～もっちキャンペーン第2弾」と「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームに入力された個人情報で、延べ約15,500件（同じ人が複数回応募した場合を含む）。項目は氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。免許証・クレジットカード・口座番号などは含まれない。フジッコイン会員としての応募、応募はがき、Xでの応募は対象外。公開や不正利用は確認されていないが、同社は情報が第三者に取得されたものとみなして対応している。当サイトの結論：該当する応募をした人は、送料・手数料の支払い、レシートの再提出、個人情報の再入力を求める連絡には応じず、公式発表に載っているキャンペーン事務局の番号で確かめる。

グリーンモンスターのアプリ「FXなび」のユーザー情報漏えいのおそれ（約619万件）：メールアドレス・アンケート回答などが対象、利用者がやること

グリーンモンスター株式会社（東証グロース、157A）は2026年10月23日、同社のFXデモトレードアプリ「FXなび」のユーザー情報等が第三者に取得されたおそれがあると公表した（第一報）。10月17日にアプリへの第三者からの不正なアクセスを確認して調査を始め、その過程で、4月27日20時26分頃から4月30日14時26分頃にかけて、別のIPアドレスの第三者がアプリからユーザー情報等を継続的に取得していたおそれが判明した。10月17日の不正アクセスによる漏えいは確認されていないとしている。対象は約619万件のユーザー情報等（個人情報に当たらないものを含む）で、項目はメールアドレス（6万6,003件）、ニックネーム、性別、年代、職業分類、X（旧Twitter）のID（6,434件）、自己紹介、アイコン画像のURL、初回アンケートの回答（480万9,631件）、端末固有のID、ログイン用の認証情報、引き継ぎコード（5,120件）、プッシュ通知用の識別子、広告ID、アクセス元のIPアドレス、成績などの利用データ。氏名・住所・電話番号・生年月日・クレジットカード情報・銀行口座情報・マイナンバーは登録できる項目に含まれない。原因は「本アプリのAPIの機能によるもの」とし、APIの機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効にした。二次被害は確認されていない。当サイトの結論：FXなびの利用者は、同社や関係企業を名乗るメール・Xのメッセージのリンクや添付を開かず、投資の勧誘はすべて偽物として扱う。

リンツのオンラインショップ・公式アプリ会員情報漏えい（314万7,469件）：氏名・住所・電話番号・生年月日・ハッシュ化パスワードが漏えい、会員がやること

リンツ＆シュプルングリージャパン株式会社は2026年10月23日、オンラインショップのシステムを提供し会員情報の管理を委託している外部事業者のシステムが不正アクセスを受け、オンラインショップとLindt公式アプリの会員情報3,147,469件が漏えいしたと公表した。委託先の報告によれば、10月17日23時02分から18日0時16分にかけて、委託先のサーバーで使っていたソフトウェアの脆弱性を悪用されたという。漏えいした項目は会員ID、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化して保存）、フリガナ・会員登録日時・最終ログイン日時など。クレジットカードなどの支払いに関する情報は含まれない。10月23日11時時点で悪用は確認されていない。オンラインショップは10月21日16時から停止中で、パスワードの変更は再開時に依頼する予定。対象者には10月26日から順次メールで連絡する。当サイトの結論：会員は、リンツを名乗るメール・SMS・電話・郵便の指示に従わず、同じパスワードを他のサービスで使っていればそちらを今すぐ変更する。

バリューデザイン「Value Card」への不正アクセス（142万件、モスカード113万件）：カード番号・PIN・残高が流出、カードを持つ人がやること

ペイクラウドホールディングスは2026年10月23日、子会社の株式会社バリューデザインが発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバーが第三者の不正アクセスを受け、ID番号・PIN番号・残高情報の1,424,748件（発行済ID 569,224件、購入前の未発行ID 855,524件）が外部へ流出したと公表した。確認日は10月19日、原因は子会社のシステムの一部の環境でWebサーバーの脆弱性を悪用されたこと。個人情報は該当なしで、発行済IDの不正利用のおそれには対処済み、不正利用による実被害はないとしている。同じ日に、プリペイドカード「モスカード」を展開する株式会社モスフードサービスも、モスカードのサーバー運用・保守を委託しているバリューデザインのシステムへの不正アクセスでモスカード番号（16桁）・PIN番号（6桁）・残高情報の113万3,070件（流通済み約57万件、未流通約56万件）が流出したと発表し、流出したカードのPIN番号を強制的に変更した。氏名・住所・電話番号・クレジットカード情報は含まれない。モスカード以外にどの発行会社のカードが対象かは公表されていない。当サイトの結論：モスカードを持つ人は利用履歴に覚えのない引き去りがないかを確かめ、Web での残高照会などができなければ専用窓口に連絡する。PINやカード番号を尋ねる連絡には応じない。

2026-10-25

デジタルアーツのクラウドサービスに不正アクセス（i-FILTER@Cloudなど6サービス）：一部の顧客情報が閲覧された可能性と、利用組織の管理者がやること

デジタルアーツ株式会社は2026年10月21日、クラウドサービスの運用環境と社内環境に対する不正アクセスの痕跡を見つけたと適時開示と公式サイトで公表した。同社によれば、クラウドサービスの運用に使う認証情報が第三者に不正に取得され、それを使ってサービスの運用環境に侵入された。これにより、i-FILTER@Cloud、m-FILTER@Cloud（Modern Edition）、m-FILTER MailAdviser Microsoft 365 対応版、FINAL CODE@Cloud、z-FILTER、Desk の6つのクラウドサービスを使う一部のお客様の情報が、第三者に閲覧された可能性がある。痕跡は10月9日にAIを活用した総点検で見つかり、2025年7月頃にさかのぼるものを含む。10月21日正午時点で、お客様情報の外部への持ち出しは確認されておらず、悪用や二次被害の報告もない。閲覧された可能性のある情報の項目と件数は公表されていない。同社は6サービスを使うすべてのお客様に管理者用と利用者用のパスワードの変更を求め、追加の対応が必要な一部のお客様には個別に連絡するとしている。お客様の環境に導入するソフトウェア版は対象外。10月23日の投資家向けQ&Aでは、ホワイトリストのデータベースは閲覧も改ざんもされていないことを確認したとし、個人情報保護委員会に報告したとしている。当サイトの結論：6サービスを使う組織の管理者は、今週中に管理者用と利用者用のパスワードを変え、同社からの個別連絡の有無を確かめる。

2026-10-25

ファンケル・アテニアのECサイトへの不正アクセス（会員36.8万人・41.7万人）：氏名・住所・電話番号・生年月日が漏えい、会員がやること

株式会社ファンケルと株式会社アテニアは2026年10月16日、両社のECサイトが10月3日から10日にかけて第三者の不正アクセスを受け、会員情報の一部が外部に漏えいしたと公表した。10月15日の内部調査で判明し、原因となった機能を特定して停止した。漏えいしたのはファンケル会員39万3,785件・36万8,184名、アテニア会員44万1,162件・41万7,312名の情報で、項目はメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（一部の人が設定したハッシュ化された2次パスワード。メインのパスワードは対象外）、本人認証質問の項目（回答は含まない）、ポイント情報・会員ステージ情報などの会員登録情報。クレジットカードなどの決済情報は含まれない。不正利用や二次被害は確認されていない。ファンケルのよくあるご質問では、対象のお客様には10月17日中に登録メールアドレス宛に連絡したとしている。当サイトの結論：両社の会員は、氏名・住所・電話番号・生年月日がそろって知られた前提で、両社を名乗るメール・SMS・電話・郵便の指示に従わず、公式サイトや共通専用ダイヤルで確かめる。

2026-10-25

トラストバンク「ふるさとチョイス」の不正アクセス（会員情報445万4,097件）：氏名・住所・ハッシュ化されたパスワードなどの流出と、寄附者がやること

株式会社トラストバンクは2026年10月20日、同社が運営するふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、寄附者の個人情報が外部に流出したと公表した。10月19日に通常と異なるアクセス傾向に気づいて確認したところ、10月17日に不正アクセスがあったことが分かり、10月19日15時50分に関連サービスを止めた。流出を確認したのは会員情報4,454,097件で、項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。10月23日の第2報では、このうち5名についてポイント履歴、寄附履歴、生年月日、送付先などの追加の項目が流出していたと発表した。うち2名は、マイページの保存済みカード情報の表示ページ（下4桁・名義・有効期限）に第三者のアクセスがあった。カード情報は表示のたびに決済代行会社から取得する仕組みで、同社のシステムには保存されておらず、この情報だけでカード決済はできないとしている。会員には10月21日から順次、流出の有無と項目を個別にメールで知らせている。10月26日の第3報では、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を同日から順次再開したと発表した（同日のよくある質問では10月25日からとしている）。新しい寄附の受付は再開しておらず、寄附者向けサイトの再開時期は未定。全会員のパスワードは無効化されており、再開後に新しいパスワードの設定が必要になる。当サイトの結論：会員登録をしていた人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを変え、ふるさとチョイスや自治体を名乗る連絡のリンクを開かない。

2026-10-24

アンドエスティHDの不正アクセス（顧客情報約250万件）：流出の可能性がある項目と、会員がやること

株式会社アンドエスティHDは2026年10月23日、同社の業務サーバーへの第三者による不正アクセスで、顧客・取引先・従業員の情報の一部が外部に流出した可能性があると公表した。発表によれば、10月22日午前7時30分頃から複数のサーバーに順次ログイン試行・侵入・データ抽出が行われ、同社は午前10時頃に検知してサーバーを隔離、17時までに経路を遮断した。流出の可能性があるのは、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）と取引先約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）で、従業員は範囲を確認中。クレジットカード情報などの決済情報と、顧客自身が設定したパスワードは含まれないとしている。WEBストア「アンドエスティ」は不正アクセスの影響を受けていないが、店舗とWEBストアで会員ポイントが使えなくなっている。対象者への連絡を順次始め、問い合わせ窓口を設けるとしている。当サイトの結論：パスワードは含まれないとされているため、今日やるべきことはパスワードの変更よりも、同社やブランドの名前、本物の住所や生年月日を使った連絡を疑うこと。確かめるときは公式アプリか自分で開いた公式サイトから。

2026-10-24

Railwayの環境変数が漏えいした可能性（2026年10月、最大1.85%のワークスペース）：入れ替える秘密と、利用者がやること

Railwayは2026年10月21日（UTC）、顧客の環境変数を保管するシステムで異常な動きを検知し、権限のない第三者が暗号化された環境変数にアクセスし、その一部を復号した可能性があると発表した。10月22日付の予備報告（ステータスページによれば10月23日16:38 UTCに公開）によれば、攻撃の期間は10月20日13:58〜10月22日03:32（UTC）で、ビルド基盤での権限昇格の試みから始まり、10月21日にはCI環境の認証情報が使われ、暗号化された環境変数の一部が復号された。環境変数の一部が漏れた可能性があるのは最大で全ワークスペースの1.85%（同社によれば約10万ワークスペース）。同社は、利用者のアカウントへのログインはなかったとし、ソースコードへのアクセスは最終報告まで否定していない。攻撃者はAIプロバイダのAPIキーを探していたとみられる。同社は10月21日より前に保存した秘密の入れ替えをすべての利用者に勧め、データベースの公開アクセスの停止、GitHubとDocker Hubなどの監査ログの確認も求めている。当サイトの結論：連絡が来ていなくても、Railwayに置いた秘密は漏れた前提で発行元で作り直し、古い値を無効にしてから再デプロイする。

2026-10-24

トレジャー・ファクトリー（トレファク）の不正アクセス（メールアドレス74万6,277件）：出張買取・トレファク引越の利用者がやること

株式会社トレジャー・ファクトリーは2026年10月23日、「出張買取」と「トレファク引越」の申込受付などに使う案件管理システムに第三者による不正アクセスがあり、お客様情報などの一部が外部に取得されたと公表した。同社の適時開示によれば、取得を確認したのはお客様情報74万6,277件（メールアドレス。うち11件は氏名と住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名と端末識別情報1,000件。クレジットカード番号などの決済に関する情報は含まれず、店舗で預かっているお客様情報と同社アプリで管理しているお客様情報は別のシステムで管理しているため対象外とした。10月20日にアクセスログの調査で確認し、同日中に外部からのアクセスと申込フォームの受付を止めた。原因はデータベースへのアクセスに関する脆弱性が悪用されたものとみており、直近で公表されたPHPの脆弱性とは関連がないとしている。二次被害は確認されていない。システムと申込フォームは10月28日をめどに再開する予定。当サイトの結論：出張買取・トレファク引越を申し込んだことがある人は、メールアドレスが知られた前提で、トレファクを名乗るメールのリンクを開かず、公式サイトから確かめる。

2026-10-23

コミックシーモアの会員情報流出（最大約420万件・ログファイル上の情報）：メールアドレスや生年月日などが流出、利用者がやること

NTTソルマーレ株式会社は、同社が運営する電子書籍ストア『コミックシーモア』への不正アクセスについて、2026年10月15日の初報から10月21日の第4報までを公表した。同社によれば、10月15日にサーバーへの外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止した。10月16日の第2報で、会員情報を管理するシステムから会員情報が第三者へ流出したことを確認したと発表した（件数は精査中）。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したこと、一部のシステムログファイルも閲覧・取得されたことを公表した。10月21日の第4報で、流出を確認した情報を、会員データベース上の登録情報319件（メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別）と、システムログファイル上の情報最大約420万件（メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない。同じ人の重複を含む可能性がある）とした。クレジットカード情報は対象のシステムで保有しておらず流出していない、購入履歴の流出とMY本棚の流出・消失・欠損は確認されていないとしている。侵入経路と攻撃手法の特定と遮断対応は完了したとしているが、その内容は公表していない。該当者にはメールで連絡する。サービスは停止中で、購入済み作品のWEBでの閲覧などから段階的に再開する予定。再開時には全ての利用者にパスワードの再設定を求める予定としている。当サイトの結論：コミックシーモアと同じメールアドレスとパスワードを他のサービスで使っている人は、今日そのサービスのパスワードを変える。同社を名乗るメールのリンクは開かず、確認は自分で開いたNTTソルマーレのニュースリリースから行う。

2026-10-23

お名前.com デスクトップクラウド（GMOインターネット）への不正アクセス（影響の可能性があるサーバー26,739件）：利用者の情報の持ち出しを同社が確認、補償の内容とFX・証券の利用者が今日やること

GMOインターネット株式会社は2026年10月21日、FX自動売買向けのVPS（仮想サーバー）「お名前.com デスクトップクラウド」に第三者による不正アクセスがあり、一部の利用者のサーバー環境に不正なプログラムが設置されたと発表した。影響の可能性があるサーバーは26,739件で、これは対象となり得る数で、不正アクセスや情報の取得が確認された件数ではないとしている。10月21日4:00から全プランのサーバーを順次停止した。10月24日の第4報では、本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境への不正なアクセスと、利用者の情報が外部に持ち出された事実を確認したとし、一部の利用者から取引口座で身に覚えのない取引があったとの報告を受けているとした。どの情報が何人分持ち出されたか、侵入経路、被害を受けた口座の数と金額は公表されていない。同社は、本サービスを現在利用しているすべての利用者に一律5,000円のお見舞金を払い、同社が不正アクセスに起因すると認めた不正取引で実現した損失を補償する（取引所等からの返金分を差し引く）と発表した。不正アクセスを受けた現行のシステム基盤はそのまま再開せず、別のクラウド基盤上の代替サービスへの乗り換え（乗り換え後6か月無償）を案内する。同社によれば、攻撃者とみられる者から金銭の要求と、応じなければ情報を公開するなどの連絡を受けているが、要求には応じず、証拠を警察に提出したとしている。10月24日の第5報では、利用者に、自分の端末のフルスキャンとバックアップ、FX取引に使っていない端末からのパスワード変更、すでに変えた人も含めたログイン中の全セッションの切断、二要素認証の設定などを改めて求めた。同社は10月26日の第7報で、攻撃者とみられる者から、10月27日12:00に利用者の情報の公開とランサムウェア攻撃を行うとの予告を受けていると発表した。10月27日の第8報では、12:00より前にバックアップを取ったうえでネットワークを切断し、電源を落とし、パソコンにつながるコードを抜くよう求めた。第9報（11:59時点）では、預かって解析を終えた利用者の端末からはマルウェア（ランサムウェアを含む）は確認されていないが、すべての端末の安全を確認したものではないとし、ランサムウェアの被害に遭った利用者が窓口に申し出れば、被害状況を確かめたうえで同等性能の新しいパソコンを提供するとした。同社は10月27日の第10報（13:55時点）で、攻撃者とみられる者が同社と利用者に関する情報と称するものを公開したことを12:30に確認したと発表した（内容は確認中で、事実と異なる部分を含むおそれがあるとしている）。ランサムウェア攻撃は13:55時点で確認されていないとした。公開されたとされるサイトにはアクセスも拡散もしないよう求め、アクセスした人の情報は攻撃者に取得されるとしている。第12報（19:10時点）では、公開された情報に自分の情報が含まれると同社が確認した人に、情報の区分ごとに1万円〜2万5,000円の特別お見舞金（1回の公開につき上限300万円）を払うとし、犯人の特定につながる情報に総額100万米ドルを上限とする懸賞金を設けた（受付は10月28日12:00から）。10月28日の第13報（11:00時点）では、攻撃者とみられる者のサイト（ミラーサイトを含む）のドメインが同日午前4時ごろに停止されたことを確認したとし、同種のサイトが現れた場合も停止に向けて対応するとした。同日18:20の第14報では、懸賞金の専用サイトを同日12:00に開設し、開設から約6時間で113件の情報が寄せられたこと（18:00時点）、攻撃者とみられる者のサイトのURLや内容を広める投稿に、X上で累計20件の警告連絡を行ったこと（18:00時点）、預かった端末の解析では現時点でマルウェア感染やランサムウェア攻撃の痕跡は確認されていないことを知らせ、電源を落とすなどの協力に謝意を示したうえで、端末を再び使う前にセキュリティスキャンとバックアップを勧めた。10月29日12:40の第15報では、グループのホワイトハッカーチームが独自に調査を進め、犯人の特定につながると考えられる情報を入手したとして、同日中に警察と関係各所へ提出するとし、懸賞金の情報提供が11:30時点で270件になったことを知らせた。同日20:50の第16報では、情報提供が10月28日18:00時点の113件から10月29日18:00時点の321件になったこと、新たな犯人サイトや、個人情報等が不正に公開されているサイトの通報先（お名前.comの不正利用の報告フォーム）を示し、犯人の特定や接触、確証のない情報の投稿、不審なURLの拡散を控えるよう改めて求めた。同社は本件の攻撃と脅迫行為に、刑事告訴を含む法的対応をとる方針を示している。10月28日の同日の適時開示では、親会社のGMOインターネットグループによれば、グループ各社のサービスの確認を進めており、現時点で本サービス以外への影響は確認されていないとしている。利用者には攻撃者とみられる側からメールが届き、データを持っている証拠として閲覧履歴の一部が添付されていたと報じられている。同社の代表もブログで、攻撃者が利用者のパソコン内の情報の公開やランサムウェア攻撃で脅していると明らかにしたが、利用者のパソコンが実際に侵害されたとは発表していない。10月26日の第6報では、接続に使った端末のフルスキャン、点検が終わるまでブラウザの同期をオンにしないことなどを求めている。当サイトの結論：FX取引に使っていない端末から証券会社・FX会社のパスワードを変え、全セッションを切断し、取引履歴と残高を確かめる。補償の手続きは同社の公式サイトと登録メールアドレスへの案内だけを使い、取引用のパスワードはどこにも伝えない。

2026-10-22

リクルートのカーセンサーnet・C-MATCHへの不正アクセス（最大3,709,551件）：問い合わせた人の氏名・住所などが漏えいした可能性、利用者と販売店がやること

株式会社リクルートは2026年10月21日、同社が運営する中古車情報サイト『カーセンサーnet』（アプリ版を含む）と中古車販売店向け業務支援サービス『C-MATCH』で、不正アクセスにより利用者や取引先の情報が外部に漏えいした可能性があると発表した。同社によれば、10月17日に『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知し、同日17時頃から関連する全てのサービスを一時停止した。10月20日に、漏えいした可能性のある個人情報の項目と件数（最大値）を把握した。件数は最大3,709,551件で、内訳は、サイト上で販売店に問い合わせた人3,210,421件（大半は氏名・住所。住所は原則として市区町村名まで）、口コミを投稿した人5,289件、C-MATCHに登録のある販売店483,168件（担当者の氏名・電話番号、古物商許認可番号、ログインIDなど。個人事業主は引落口座情報なども）、同社従業員・業務委託先や販売代理店の従業員など10,673件。いずれにもクレジットカードなどの決済情報とログインパスワードは含まれない。原因は第三者からの不正なアクセスで、詳細は調査中。個人情報保護委員会へは速報済みで、対象者には順次個別に連絡するとしている。10月21日時点で二次被害は確認されていない。サービスは10月22日13時頃から、安全性を確認できたものから順次再開している。当サイトの結論：カーセンサーで販売店に問い合わせたことがある人は、氏名と住所を知っている相手からの郵便物・メール・電話が来る前提で、心当たりのない連絡のリンクや添付を開かず、確認はリクルートの発表ページから行う。

2026-10-22

LiteLLM 1.107.0に認証情報を盗むマルウェアが混入（2026年10月）：対象のPyPI版・Dockerイメージと、利用者がやること

LiteLLMの開発元BerriAIは2026年10月21日（UTC）、リリースの仕組みが侵害され、認証情報を盗み遠隔でコードを実行する道具を読み込むマルウェア入りのv1.107.0が配布されたと発表した。対象はPyPIのlitellm==1.107.0（11:39〜13:23 UTC、日本時間20:39〜22:23）と、Docker HubとGHCRのv1.107.0・latest・main-latest・main-stableのタグ（Docker Hubは11:46〜14:20 UTC、日本時間20:46〜23:20。GHCRは13:51 UTC＝日本時間22:51までに取り下げ、約2時間）。GitHubの公式のソースのタグには不正なファイルは含まれず、似た名前の攻撃者のリポジトリから作られたという。それより前の版は今回の混入の対象外で、同社は1.106.2など明示した版への固定を求めている。同社は10月24日（UTC）に1.103.8・1.104.6・1.105.4・1.106.3を公開し、これらの版からDockerイメージとHelmチャートの署名を新しいcosignの鍵に切り替えた（以前の鍵では検証できない）。同社は10月23日に原因の調査を終えたとする報告を公開し、最初の発表で「社内のLiteLLMのログから取られた」とみていたトークンの経路を訂正した。報告によれば、5月27日に公開リポジトリへ誤ってコミットされた設定ファイルに、社内で使うエージェント用の基盤のマスターキーが含まれ、コミットは上書きされたがキーは失効されていなかった。攻撃者は10月10日にこのキーで基盤のAPIを使い、そこに設定されていたGitHubの組織の所有者のGitHub CLIトークンを取得。その権限でCIの秘密情報を持ち出して別の2人の保守担当者のトークンも得て、10月21日にブランチ保護を外してリリースの手順を書き換え、承認を通した。当サイトの結論：期間内に入れた・起動した環境は侵害されたものとして作り直し、その環境から届いたキー（LLMプロバイダのキー、プロキシのマスターキー、データベース、クラウドの権限）をすべて変える。

2026-10-20

H2O IDの個人情報漏えい（約126万件）：阪急百貨店・阪神百貨店予約サイト経由の不正アクセスで、住所・電話番号・生年月日などが漏れた会員がやること

エイチ・ツー・オーリテイリング株式会社と株式会社阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスが発生し、顧客の個人情報の一部が漏えいしたと発表した。10月16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認して同サイトのシステム全体を停止し、10月17日にはE-STORESとRemo Orderでも不正アクセスを確認して両サイトを停止した。10月19日、顧客管理システムで管理しているH2O IDのうち約126万件の個人情報の一部が漏えいしたことが判明した。発表は、ほぼ全てのH2O ID会員の個人情報の一部が漏えいしたとしている。項目はH2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目。E-STORESとRemo Orderについては漏えいの可能性を調査中で、両サービスが保持する情報として商品注文履歴、クレジットカード情報の一部（カード種別・下4桁・名義・有効期限）、ポイントカード情報の一部、アドレス帳の情報を挙げている。カード番号の全桁とセキュリティコードは保持していない。ログインパスワードの漏えいは確認されておらず、不正利用や二次被害も確認されていない。原因は調査中。E-STORESは10月19日14時に再開した。当サイトの結論：氏名・住所・電話番号・生年月日と利用サービスを知っている連絡が来る前提で、リンクは開かず、確認は自分で開いた公式サイトや発表に載っている窓口で行う。

2026-10-20

ニフティの回線申込システムへの不正アクセス（最大542,513件）：会員ID・氏名・住所・電話番号などが対象、光回線の利用者がやること

ニフティ株式会社は2026年10月19日、同社が管理する回線申込・受付管理システムで外部からの不正なアクセスを確認したと発表した（第一報）。同社によれば、10月19日10時20分頃に不正アクセスを確認し、直ちに当該通信元からのアクセスを遮断した。このシステムは同社側で情報を登録するための管理用ツールで、お客様が直接アクセスして申し込むWebサイト（申込フォーム等）とは異なるシステムだとしている。影響を受ける可能性がある情報は最大542,513件で、対象は2019年以降に回線を申し込んだお客様（当社Webサイトをのぞく）、対象サービスは＠nifty光、＠nifty MAX光、＠nifty auひかりプラス。項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスで、これは漏えいした可能性のある情報の全項目であり、実際に漏えいした情報は調査中としている。口座やクレジットカード情報はこのシステムに保有しておらず、漏えいの対象に含まれない。パスワードについての記載はない。原因は公表されておらず、外部の専門機関と連携した詳細調査と、個人情報保護委員会への報告手続きを進めている。当サイトの結論：対象のサービスを2019年以降に申し込んだ人は、氏名・住所・電話番号・生年月日を知っている相手からの連絡が来る前提で、ニフティを名乗るメール・SMS・電話のリンクや指示に従わない。確認は自分で調べた公式の窓口で行う。

2026-10-20

Rank Math PRO 3.0.123にマルウェアが混入（2026年10月）：対象の版と時間帯、WordPressサイトの運営者がやること

Rank Mathは2026年10月16日（UTC）、有料版のWordPressプラグインRank Math PROのv3.0.123で、10月15日20:02〜10月16日07:12（UTC。日本時間10月16日5:02〜16:12）に入手した一部の利用者のファイルにマルウェアが含まれていたと発表した。プラグインを有効化するとサイトが侵害されるおそれがあり、隠れたバックドアは訪問のたびに作り直されることがあるとしている。同社は該当ファイルを取り除き、問題のないv3.0.124を公開した。WordPress.orgで配布している無料版は対象外。影響を受けた利用者は「限られた数」とされ、件数と、マルウェアが混入した原因は公表されていない。10月20日時点で、発表は10月19日に無料版が対象外である旨の注記が加わったのが最後の更新。当サイトの結論：対象期間内に入手した3.0.123を有効化したサイトは侵害されたものとして扱い、期間より前のバックアップから戻すか、同社の順番どおりにプラグインのフォルダごと削除して調べる。どちらの場合も、サイトから読めた認証情報はすべて変える。

2026-10-17

バーガーキング公式アプリの不正アクセス（約1,118万件）：氏名・生年月日・電話番号などが漏れた会員がやること

株式会社ビーケー・ジャパンは2026年10月15日、同社が運営するバーガーキング公式アプリで第三者による不正アクセスを受け、公式アプリ会員の会員情報が外部に漏えいしたことを確認したと発表した。不正アクセスは2026年10月2日から7日にかけて行われ、10月13日に漏えいが判明した。対象は公式アプリ会員情報約1,118万件で、項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は同社で保持しておらず漏えいしていない、ログインパスワード情報の漏えいは現在確認されていないとしている。原因の詳細は外部専門機関と調査中で、公表時点で不正利用などの二次被害は確認されていない。10月17日時点で続報はない。当サイトの結論：氏名・生年月日・電話番号がそろった本物らしい連絡が来る前提で、リンクは開かず、確認は自分で開いた公式アプリで行う。生年月日を暗証番号やパスワードに使っているなら変える。

2026-10-15

ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること

GMOインターネット株式会社は2026年9月20日、レンタルサーバー「ConoHa WING」の一部の収容ホスト（Webサーバー）で、一部の利用者のWebサーバー領域に第三者が不正にアクセスし、不正なプログラムを設置したと発表した。対象は426アカウントで、対象の情報は「お客様のWebサーバー領域に保存されたデータ」。不正アクセスと設置は9月3日に始まり、9月16日に検知、9月18日に原因と影響範囲を特定して不正プログラムを排除した。原因は特定したとしているが、内容は公表していない。会員情報・契約情報・支払い情報は別の環境で管理しており、漏えいはないとしている。Webサーバー領域のデータが外部に持ち出されたかどうかは、発表に書かれていない。対象者には登録メールアドレスへ個別に連絡しており、連絡がない利用者は対象ではないとしている。10月15日時点で続報はない。当サイトの結論：まず個別の連絡が届いているかを確かめ、届いていればその指示に従う。そのうえで、Webサーバー領域に置いていた認証情報（wp-config.phpのデータベースのパスワード、.envのAPIキーなど）は読まれたものとして変え、9月3日以降に増えたファイル・管理者・定期実行を確かめる。

2026-10-14

アルカディア「SpeeCAN RAIDEN」に不正アクセス（メールアドレス最大約313.6万件・推定）：自治体の防災メールの登録情報が漏えいの可能性、登録者がやること

株式会社アルカディアは2026年10月13日、同社が運営するメール等の一斉配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、連絡先の名前・メールアドレス・電話・FAX番号、担当者・契約情報、履歴として保存されている配信本文が漏えいした可能性があると発表した。最大件数はメールアドレス約313.6万件、電話番号約10.5万件、FAX番号約1.5万件（いずれも推定値で調査中）。10月11日16時30分に不審な挙動を確認し、12日3時ごろに応急措置、13日11時に侵入経路となったサービス（raiden3、ライデン・スクールのs2）を緊急停止した。10月14日には、NET119と119RAIDENでも漏えいの可能性があると追加し、10月16日の第11報で、NET119は9,020件のメールアドレスに紐づく利用者の名前・生年月日・住所などの個人情報（要配慮個人情報は漏えいしていないことを確認）、119RAIDENはメールアドレス約9.7万件などとした。停止したサービスは10月15日15時ごろに復旧した。決済情報は扱っていない。自治体も各自お知らせを出しており、静岡市は防災メール登録者3万4,336人のメールアドレスなどの漏えいが判明したとし、本物と同じ「@raiden.ktaiwork.jp」を送信元とするカード会社を装った偽メールを確認している。同社は10月21日の第17報で、10月13日1時17分〜7時16分に不正なプログラムによって同社システムからフィッシングメール1,423,428通が送られ、うち少なくとも869,575通は同社が保有するメールアドレスへの配信ではなかったと公表し、外部機関によるダークウェブ調査を行うとした。個人情報保護委員会と総務省への報告を契約者・代理店に代わって行うための案内メールも送っている。10月22日の第20報では、再発防止のため、SpeeCAN RAIDENのログイン時2段階認証を必ず使うよう契約者に求め、10月23日の第22報でライデン・スクールにも同じ設定を求めた。10月23日の第21報で公表した報告書では、原因を、添付ファイルを公開するメディアサーバーの脆弱性から設定ファイルを取得され、サービス間ログイン用のシークレットキーが流出したことなどと説明し、全サービスが漏えいの可能性の対象で、件数は調査継続中（そのうちNET119は9,020件）としている。セキュリティ専門の第三者機関に詳細調査を依頼済み。11月2日17時の第25報では、10月13日の送信とは別に、10月22日〜23日にも同社システムから外部へフィッシング詐欺の疑いのある不正メールが送られたと公表した。原因として、10月11日〜13日の不正アクセスの際にメール送信APIのアカウントが漏えいし、総当たりでパスワードを破られて外部から使われたこと、連携機能を止めた後もURLパースコンフュージョンの脆弱性を使われて再び使われたことを挙げ、10月22日6時30分ごろにAPI連携を止め、10月23日10時30分ごろに脆弱性を解消して不正メールは止まったとしている。11月6日16時15分の第26報では、第19報で停止した外部システムからのAPI連携機能の再開を進めていると公表した。再開にあたって顧客側で設定作業が必要で、対象の顧客には個別に案内している。当サイトの結論：送信元では本物と見分けられないので、防災メールの送信元はブロックせず、カードや個人情報の確認を求めるメールのリンクは開かない。

2026-10-12

不正アクセスの注意喚起（2026年10月・国家サイバー統括室／IPA／JPCERT/CC）：今週やる点検と、異常が見つかったときの順番

2026年9〜10月に国内で不正アクセスによる情報漏えいの公表が相次ぎ、10月9日に内閣官房国家サイバー統括室とIPAが、10月8日にJPCERT/CCが注意喚起を出した。IPAは原因を特定の製品の脆弱性とは断定しておらず、外部公開アプリ・サービスやアカウントの侵害が起点とみられるとしている。今週やることは、①外部公開アプリの洗い出しとログ確認（直近1か月→その後3か月）②クラウド・VPNなど外部サービスのログイン失敗・接続元・身に覚えのないアカウントの確認③保有データの再点検と最小化。異常があればセキュリティインシデントと判定し、ログを残して専門家に調査を頼み、個人情報保護委員会へ報告する。当サイトの視点＝点検でログが1か月分しか残っていないと分かったら、それ自体が直すべき結果。

2026-10-11

サイトやサーバーが不正アクセスされたか調べる方法：レンタルサーバー・WordPress・VPS別の確認手順と、見つけたときの順番

サイトの侵入確認は『外から見える兆候』と『中に残る痕跡』の両方を見る。兆候＝Search Console の『セキュリティの問題』、検索結果の警告、事業者からの通知、知らない管理者、スマホや検索経由だけのリダイレクト。痕跡＝管理者ユーザー、コアファイルの改変（wp core verify-checksums）、ログイン履歴、authorized_keys、cron、待ち受けポート、最近変更されたファイル。当サイトの視点＝『何も見つからない』は安全の証明にならない。見つけたら、掃除の前に証拠を残し、きれいな端末から認証情報を全部変え、侵入前のバックアップか作り直しで戻し、入口を塞いでから再審査を依頼する。

2026-10-11

個人情報の漏えい件数の推移：個人情報保護委員会への報告は2025年度に17,139件、直接届いた報告の8割は誤交付・誤送付などの人のミス

個人情報保護委員会（PPC）が公表する漏えい等報告の件数を年度別にまとめた統計ページ。民間事業者からの報告は2020年度4,141件、2021年度5,846件、2022年度7,685件、2023年度12,120件、2024年度19,056件、2025年度17,139件。2022年4月に一定の漏えいの報告が義務になり、要配慮個人情報（病歴など）は1人分でも報告対象になったため件数が増えた。委員会に直接報告された分の原因は、2025年度は誤交付48.3％、誤送付26.0％、不正アクセス9.4％。当サイトの結論：件数を押し上げているのは病院・薬局などの書類の誤交付や誤送付で、組織は受け渡しと送付の確認手順を先に整える。一方、多くの人数が漏れる事故は不正アクセスによるものが多く、外部公開機器の更新、多要素認証、委託先の管理が要る。四半期ごとの公表に合わせて更新する。

旭化成セラピューティクスの情報漏えいの可能性（2026）｜対象と対処

旭化成セラピューティクス株式会社は2026年10月6日、医療従事者向けの情報提供サイト「Pharma DIGITAL」がサイバー攻撃を受け、会員データベースの個人情報が閲覧または取得された可能性があると発表した。対象は、氏名・所属施設名・施設住所・職種・診療科などの医療従事者約51万4,000名、それらに加えメールアドレスなどの約4万4,000名、同社従業員約700名（氏名・メールアドレス・写真）。10月2日にサイトの委託先から報告を受け、サイトを停止した。クレジットカード情報と要配慮個人情報は保管しておらず、10月6日時点で不正利用は確認されていない。当サイトの結論：製薬会社や学会、講演会の案内を装った偽のメールが考えられる。メールのリンクからログインせず、医療情報サイトと同じパスワードを使い回していれば変える。

大和証券の委託先への不正アクセス（約11万名・約22万件）：漏れた可能性がある情報と、顧客がやること

大和証券株式会社は2026年10月5日、顧客からのインターネット経由の問い合わせ内容の管理などに使っているサービスの提供元（委託先）のサーバーが不正アクセスを受け、問い合わせ履歴に含まれる約11万名分の氏名、メールアドレス、口座番号等の情報が漏えいした可能性があると発表した。個人を特定できない問い合わせを合わせると約22万件。不正アクセスは10月2日20時33分頃から10月3日8時1分頃までに発生し、同社のシステムへの不正アクセスは確認されていない。同社は、この情報ではオンライントレードを含め口座へのアクセスや取引はできないとし、10月5日時点で不正な取引や情報の公開・拡散は確認されていない。10月6日には委託先側も発表し、同じサーバー上の最大5社の環境から最大713,126件（問い合わせ単位の延べ件数）の問い合わせ情報が取得された可能性があるとした。同じ委託先の件で、シチズン時計（約10万名分）、損害保険ジャパン（問い合わせ単位の延べ約6万件）、オリックス生命保険（約26,500件）も、自社の顧客情報が漏えいした可能性があると発表している。当サイトの結論：口座番号と過去の問い合わせ内容を知っている偽の連絡が考えられる。メールやSMSのリンクからはログインせず、ブックマークか公式アプリから入って、お知らせBOXと操作履歴を確認する。

デンマークの住民登録（CPR）への不正な照会（約880万人）：漏れた情報と、住民・照会の権限を渡す組織がやること

デンマークの研究・教育・デジタル化省は2026年10月5日、住民登録システム（CPR）で、ある民間企業が正規に持っていた照会の権限を何者かが悪用し、約880万人（存命の人、国外に転出した人、亡くなった人を含む）の氏名・住所・CPR番号などを取得したと発表した。CPRには約1100万人が登録されている。CPRの管理部門は10月2日夜に、9月中にシステムで不規則な動きがあったことに気づき、企業の照会の権限を止めた。名前と住所の保護を登録している人の氏名・住所は含まれていない。デンマークの報道によれば、CPRの管理部門は10月9日、照会の権限を持つ1,039社に安全管理のルールを改めて通知し、担当大臣はセキュリティが十分でなかったと認めた。照会用のアカウントに「123456」というパスワードが使われていたとの報道もあるが、公式には確認されていない。当サイトの結論：氏名・住所・CPR番号を正しく言える連絡でも本物とは限らない。住民はMitIDやワンタイムコードを誰にも伝えず、事業者はこの3つを本人確認の根拠にするのをやめる。

国税庁e-Taxで他人の贈与税申告書が閲覧可能に（79人分）：見えた情報と、e-Tax利用者・開発者がやること

国税庁は2026年10月2日、e-Tax（国税電子申告・納税システム）のマイページで、79人分の贈与税申告書などが本人以外の利用者から閲覧できる状態だったと発表した。報道によれば、期間は9月24日8時30分〜25日0時と、25日4時〜15時58分。実際に他人の申告書を閲覧した可能性があるのは19人で、申告書に記載された贈与者や税理士を含め、計203人分の個人情報が見られた可能性がある。原因は9月24日に行ったマイページの「贈与税関係情報」の機能を充実させる改修で生じた不具合で、不具合は解消済み。国税局や税務署の職員が対象者に個別に連絡し、閲覧した可能性のある19人には秘密の保持と削除を依頼した。保存の形跡や二次被害は確認されていない。同時期の新しい基幹システム（KSK2）の不具合とは関連がないとしている。当サイトの結論：対象者には税務署側から個別に連絡が行っている。この件をきっかけにした電話やSMSには、国税庁の案内どおり、一度切って自分で調べた税務署の番号にかけ直す。開発者は、利用者Aとして利用者Bのデータを要求したら拒否されることを、改修のたびに自動テストで確かめる。

アンケートサイトinfoQの不正アクセス（89万4,082件）：漏れた情報と、会員がやること

GMOリサーチ&AI株式会社は2026年10月5日、同社が運営するアンケートサイト『infoQ』が第三者による不正アクセスを受け、会員の個人情報が外部に持ち出されたと発表した。10月14日の第2報で、持ち出された件数を89万4,082件と確定した（第1報では最大94万8,498件）。項目は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、ニックネームや保有ポイント数などの会員登録情報。クレジットカード情報とマイナンバーは保有していない。あわせて、611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換され、同社が全額を補填する（サービス再開時にアカウントへ付与）としている。同社は10月7日に全会員のパスワードを無効化した。原因は、同社サイトで使用していたソフトウェアの脆弱性を悪用した侵入としている。当サイトの結論：生年月日と住所まで含むため、本物らしい偽の連絡が届きやすい。infoQと同じパスワードを使っているサービスはすぐに変え、メールアカウントには2段階認証をかけ、infoQを名乗る連絡のリンクは開かない。

ミスターマックスのアプリ・オンラインストアへの不正アクセス（最大約173万人）：氏名・メール・電話番号が漏れた会員がやること

株式会社ミスターマックスは2026年10月6日、同社が運営するMrMaxアプリとオンラインストアのサーバーが第三者による不正アクセスを受け、会員の個人情報の一部が流出したと発表した。対象は2026年10月3日時点で会員登録している最大1,735,154人で、項目は会員ID、氏名、メールアドレス、電話番号（登録状況により異なる）。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしている。10月3日夕方に不審なアクセスを確認し、ただちにサービスを一時停止、同日中に外部からのアクセスを遮断した。同社は、第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入したとしている。公表時点で悪用の被害は確認されていない。当サイトの結論：名前で呼びかける本物らしいメール・SMS・電話が届く前提で、リンクは開かず、確認は自分で開いた公式アプリや公式サイトで行い、パスワードやカード番号は伝えない。

大阪公立大学のランサムウェア被害（委託先のクラウドストレージから個人情報の漏えいを確認）：学生・卒業生・保護者・教職員がやること

大阪公立大学は、2026年10月2日未明から仮想化基盤システムで大規模な障害が起き、学内ネットワーク、OMUメール、各Webサイト、教務・財務会計・人事給与・図書館などのシステムが止まったと発表した。10月5日の記者会見で、原因をランサムウェア攻撃によるものと判断したと説明した。授業は10月2日から8日まで休講となり、大学は10月9日からすべてのキャンパスで対面授業を再開すると発表した（第4報）。大学は10月21日の第5報で、基盤システムの保守・運用の委託先から、その再委託先が9月下旬にサイバー攻撃を受け、再委託先の正規のアカウントで大学のシステムに不正にアクセスされたことが原因との報告を受けたと発表した。委託先が利用していたクラウドストレージに保存されていた大学に関連する個人情報とシステム関連情報の漏えいが確認されたとの報告も受けており、内容や件数は委託先に確認中としている。記者会見で示した漏えいの可能性のある業務システムの情報（教務システム関連の情報約13万件など）は大学の仮想化基盤内のもので、これとは別であり、その漏えいの有無は調査を続けている。大学は10月23日、卒業生と保護者向けの相談・問い合わせ窓口を設けた。報道によれば、約500台のサーバーが停止し、バックアップデータの多くも暗号化された。当サイトの結論：大学を名乗る連絡は、メールやSMSのリンクから開かず、OMUエントランスページから確かめる。不審な連絡は大学の相談窓口に伝える。組織は、委託先・再委託先が使うアカウントを棚卸しし、本番と同じ管理者権限で消せないバックアップを1つ持つ。

楽天ドライブの不正アクセス（保存データ15,382アカウント分）：取得・閲覧された情報と、利用者がやること

クラウドストレージサービス『楽天ドライブ』は2026年10月6日、同サービスが使用する一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、情報が取得・閲覧されたことを確認したと発表した。2026年1月29日から9月17日にかけて15,382アカウント分の保存データ（写真・文書等を含む）、8月27日に687アカウント分のアカウント名・ディスプレイネーム・プロフィール用画像URL、同日に313アカウント分のアカウント名・ディスプレイネーム・暗号化されたパスワード・暗号化に加えた文字列・プロフィール用画像URLが対象。二次被害は確認されていないとし、対象者にはメール等で個別に通知する。同サービスは7月30日の不審なプッシュ通知の件で、8月13日時点では保存データへの不正アクセスは確認されていないと告知していた。当サイトの結論：保存したファイルはパスワードと違って取り消せない。通知を確認し、保存していた本人確認書類や契約書は見られた前提で手を打ち、パスワードを変え、楽天ドライブを名乗る連絡や脅迫には応じない。

2026-10-05

DIVD不正アクセス（2026）｜Zammadの脆弱性と運用者の対処

オランダの非営利団体DIVD（Dutch Institute for Vulnerability Disclosure）は2026年9月24日に侵入されたことを公表した。その後のケースページでは、問い合わせ管理ソフトZammadの未知の脆弱性2件（CVE-2026-102489、CVE-2026-102490）が悪用されたと説明している。DIVDは侵入後の操作を、次の手を自分で決めて動くAIエージェントによるものと分析している。ボランティアのDIVDメールアドレスの持ち出しは確定し、連絡先も持ち出された可能性がある。CSIRTの問い合わせ管理システムからは一部の情報が持ち出され、脆弱なシステムのIPアドレスを含むやり取りが含まれ得る。米CISAは10月2日に2件をKEVに追加した。当サイトの結論：Zammadを自社運用する組織は開発元が10月15日に勧めた7.2.2への更新を進める。6.5から直ちに移行できない場合の6.5.5はCVE-2026-102489への緊急修正で、保守期間の延長ではない。DIVDとやり取りした組織は、指摘された脆弱性の修正を急ぎ、DIVDを装う連絡に注意する。

2026-10-05

焼肉きんぐ公式アプリの不正アクセス（約1,079万件）：氏名・電話番号・メールが漏れた会員がやること

株式会社物語コーポレーションは2026年10月5日、同社が運営する『焼肉きんぐ』公式アプリの会員管理システムが第三者から不正アクセスを受け、ユーザー登録数10,808,784件のうち10,788,963件の会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が漏えいしたと発表した。10月2日に不正アクセスを確認して通信遮断と防御措置を行い、10月3日に漏えいを確認した。ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしておらず、クレジットカード等の決済情報は保持していない。漏えいした情報の公開や不正利用は確認されていない。10月20日には今後の強化策を公表し、10月2日朝9時から断続的な不正アクセスを受けたと説明したうえで、『焼肉きんぐ』を含むグループの計11の公式アプリで、氏名と電話番号を保持しない新しいシステムに2027年上半期に切り替える予定とした。メールアドレスの取得は続ける。警察へは届け出済みで、個人情報保護委員会への報告手続きを進めている。原因の詳細は公表されていない。当サイトの結論：アプリ会員のほぼ全員が対象で、次に起きやすいのは焼肉きんぐを名乗るクーポン・ポイント・返金名目のメール、SMS、電話。リンクは開かず、確認は自分で開いた公式アプリで行い、カード情報は入力しない。

アバハウスの個人情報漏えい：注文内容まで漏れたおそれと、偽の返金メールへの対処

株式会社アバハウスインターナショナルは2026年10月2日、海外の第三者によるとみられる社内システムへの不正アクセスで、会員ID・氏名・住所・電話番号・メールアドレス・生年月日・性別・注文情報（注文日時・商品名・金額・お届け先など）が漏えいした可能性があると公表した。同社は、取得された情報の範囲を完全には特定できていないため、購入履歴などから漏えいの可能性があると判断した人に10月2日にメールで個別に連絡した。退会者の会員情報は退会から1か月後に削除しているが、保存している過去の注文の取引記録が対象となった可能性を否定できないとして、退会者にも同じメールを送った。件数は公表されていない。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理しており、漏えいは確認されていない。発覚のきっかけは、実際の注文内容と一致する不審な返金案内メールを受け取ったという複数の問い合わせだった。同社は10月9日の続報で、侵入経路を遮断して影響の拡大は確認されていないこと、警察へ被害届を提出したこと、金銭的な被害の申し出は確認されていないことを公表した。取得された情報の範囲と原因の詳細は外部の専門機関と調査を続けている。当サイトの結論：注文内容が正しく書かれていることは、そのメールが本物である証拠にならない。返金・欠品を理由とするメールのリンクやLINEには進まず、マイページの注文履歴で確かめる。

AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる

米国で在宅医療機器を提供するAdaptHealthは、2026年6月5日の不正アクセスで、患者の氏名、連絡先、属性情報（生年月日などの人口統計的な情報）、健康保険の情報、健康の情報が漏えいしたと公表した。米保健福祉省（HHS）への報告では411万5,802人。同社によれば、社会保障番号（SSN）、口座番号、カード番号は含まれず、悪用は確認されていない。米証券取引委員会（SEC）への7月2日付の報告書によれば、原因は外部の委託先に関わる利用者のセッションがソーシャルエンジニアリング（人をだまして情報やアクセスを得る手口）で乗っ取られたことで、保険請求に使うパスワードを保存したファイルも持ち出され、外部の電子カルテのポータルにもアクセスされた。当サイトの結論：SSNがないので信用情報の凍結より先に、保険の利用明細（EOB）で受けていない医療や届いていない機器の請求がないかを見ることと、機器の再注文を名目にした電話で保険番号を答えないことが大事。運営側の教訓は、委託先のアカウント1つから自社のクラウドと取引先のポータルまで届いてしまう構造を見直すこと。

米ワシントンDCのメディケイド情報露出（約40万人）：公開報告書に残った受給者番号と、受給者・公開する側がやること

米ワシントンDC（コロンビア特別区）でメディケイド（低所得者向けの公的医療保険）を運営する医療保険財政局（DHCF）は、同局のウェブサイトに2023年から2026年7月まで掲載していた統計報告書2件に、集計の元になった個人データが「隠しフィールド」として含まれ、権限のない人が見られる状態だったと公表した。含まれていたのはメディケイド番号、生年月日、医療機関名、人種、性別、居住区（ward）、民族で、氏名、社会保障番号、金融口座の情報は含まれていないとしている。2026年7月21日に把握し、報告書を削除した。米保健福祉省（HHS）への届出では対象は399,086人。当サイトの結論：画面に集計しか見えない報告書でも、ファイルの中に元のデータが残ることがある。受給者は心当たりのない受診記録に注意し、報告書を公開する側は、元データを含まないファイルを作り直して公開する。

運転免許証の情報が漏れたら：悪用を防ぐためにやること（信用情報の本人申告・再交付・相談先）

運転免許証の画像や番号が企業から漏れたときの行動をまとめた手引き。番号・氏名・生年月日・顔写真は自分では変えられず、再交付しても免許証番号の上11桁は変わらない（警察庁の通達）。一方で、銀行口座や携帯電話の非対面の契約では、書類の画像を送る方式が廃止に向かい、ICチップの読み取りに移りつつある（携帯電話のオンライン契約は2026年4月から、犯罪収益移転防止法の対象取引は2027年4月施行予定）。当サイトの結論：漏れた情報を取り消す方法はないので、自分の名義で何か作られたら早く気づける状態を作ることが中心になる。具体的には、信用情報機関3つ（CIC・JICC・全国銀行個人信用情報センター）への本人申告、自分の信用情報の開示、漏えいした企業を装う連絡に応じないこと。再交付や有料の削除業者は、優先度が低いか、効果がない。

EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること

株式会社EPARKリラク＆エステは、同社が店舗向けに提供する予約管理・顧客管理システム「PeakManager」のデータベースが不正アクセスを受け、顧客情報が外部へ転送されたと公表した。第一報（2026年7月31日）では約3,300万レコード、重複を除いた第二報（9月24日）では約2,218万レコードで、人数への換算は困難としている。漏れた項目は氏名・フリガナ、生年月日、性別、住所、電話番号、メールアドレス、店舗が施術の申し送りとして書いた備考欄（健康状態など要配慮個人情報を一部含む）。第一報では暗号化されたパスワードが漏れた可能性も示し、変更を求めていた。当サイトの結論：PeakManagerは各店舗が自分の顧客台帳として使うシステムなので、EPARKで予約したことがない人も、店舗に名前や連絡先を伝えていれば対象になり得る。サロンや同社を名乗る連絡に応じないこと、マイページのパスワードと使い回し先を変えることを勧める。

韓国の金融機関7社で相次ぐ不正アクセス（新韓銀行は顧客約2万5千人と発表）：年収・融資限度額や住民登録番号が漏れ、顧客がやること

2026年10月1日から4日にかけて、韓国の金融機関7社が外部からの不正アクセスによる情報の流出を公表または報告した。顧客の情報は、新韓銀行が約2万5千人（氏名・電話番号・年収・融資限度額など、うち66件は住民登録番号）、KB国民銀行が119人（暗号化された住民登録番号など）、ハナ銀行が89人（住民登録番号など7項目）、イェガラム貯蓄銀行が約4万人（推定）。報道によると、ウェルカム貯蓄銀行では法人顧客の担当者の情報が最大約2,200件（推定）、現代キャピタルでは住宅ローンの募集人146人（住民登録番号を含む）、BNK釜山銀行では外部の開発委託先の職員11人の情報が流出した。10月4日には李在明大統領が徹底した調査を指示し、金融当局は約500の金融機関に緊急点検を求めた。金融委員会の委員長は同日、AIを使った攻撃の可能性も排除できないと述べたと報じられたが、原因として確認されたものではない。10月5日に警察が正式な捜査に入ったと報じられ、10月6日に金融委員会は消費者警報（注意）を出した。共通の原因は公式に確定していない。当サイトの結論：本物の年収や融資限度額を知っている電話でも、銀行からの連絡とは限らない。電話を切り、自分で調べた代表番号にかけ直して確かめる。

らしんばんの不正アクセス：本人確認書類の番号と振込先口座が漏れたおそれ（書類の画像は漏えいなし）、買取を使った人がやること

株式会社らしんばんは2026年10月1日、同社が運営するサービスへの2026年9月14日〜16日の不正アクセスで、氏名・住所・電話番号・メールアドレス・生年月日・職業などに加え、本人確認書類の種別と番号の情報、買取申込み時に入力された銀行名・支店・口座番号・名義、買取にかかわる同意書の画像、買取明細や注文内容が漏えいした可能性があると公表した。クレジットカード情報とパスワードは漏えいしておらず、マイナンバーは同社では取得していないとしている。10月9日の追記では、免許証を含む本人確認書類の画像は漏えいしていないことを明記した。お知らせには、対象は同社から個別にメールを受け取った人だとする項目も加わった。2026年10月10日時点で、件数と原因は公表されていない。当サイトの結論：口座番号と名義だけでお金を引き出すことはできないが、口座情報や身分証の番号、本当の買取内容を知っていることを材料にした連絡には応じない。暗証番号・ログイン情報・認証コードは誰にも伝えず、本人確認書類の番号が漏れた人は信用情報機関への本人申告を検討する。

ミュンヘン大学（LMU）の学生情報流出（約60万件）：IBANなど口座情報が漏れたおそれと、在学生・卒業生がやること

ドイツのルートヴィヒ・マクシミリアン大学ミュンヘン（LMU）は2026年9月19日、学籍（入学・在籍）に関する基本データを保管するITシステムに無権限の第三者がアクセスし、データが取得されたと考えざるを得ないと公表した。9月28日の続報によれば、対象は入学手続きのシステムに入っていた約60万件のデータで、在学生・卒業生など約50年分にわたる。項目は氏名・生年月日・住所・電話番号・メールアドレスなどで、2005年以降の記録には口座情報（IBANと口座名義人）が含まれ、場合によっては健康保険の番号やBAföG（国の奨学金）の番号、休学理由も含まれる。パスワード、成績、試験情報は対象外。バイエルン州刑事局が捜査に加わっている。原因は公表されていない。当サイトの結論：重いのは、卒業して何年もたった人の口座情報まで残っていたこと。ドイツ・EUの口座を使っていた人は明細を確認し、覚えのない引き落としは銀行で取り消す。LMUを名乗るメールのリンクは開かない。

Metabase脆弱性 CVE-2026-72898｜2026年の漏えい事例と対処

2026年8月、BI（ビジネスインテリジェンス）・分析ツール Metabase の認証なしSQLインジェクション（CVE-2026-72898、CVSS 10.0）が、修正版の公開前から悪用されていたことが分かった。Metabase は自社のクラウド版の利用者の一部（3%未満）と、インターネットから到達できる自前運用のインスタンスが侵害されたと公表している。影響を公表した組織には、暗号資産のハードウェアウォレットを販売する Trezor（物流委託先の分析環境から、注文者 80,689人の氏名・住所・電話番号・メールアドレスなど）、ノートPCの Framework、自動化ツールの n8n、Anaconda 傘下の Kilo Code、ウォレット基盤の Privy などがある。当サイトの結論：漏れた範囲は、侵入された分析ツールがその時点で読めたデータの範囲と一致している。Trezor の利用者はウォレットのバックアップ（リカバリーシード）を誰にも入力・提供せず、自宅住所が知られた前提で郵便や電話の指示にも従わない。分析ツールを運用する側は、修正版への更新に加えて、ツールに読ませるデータを分析に必要な列だけに絞る。

ムラウチドットコムの個人情報漏えい（771万件）：氏名・住所・電話番号が流出、昔の利用者も詐欺の電話や郵便に注意

株式会社ムラウチドットコムは2026年9月15日、Webシステムの脆弱性を悪用された不正アクセスにより、顧客の個人情報7,716,811件が外部へ持ち出されたと公表した（第一報は7月24日）。漏えいしたのは氏名・住所・電話番号と、一部の人のメールアドレス・生年月日・性別。クレジットカード情報とログインID・パスワードは別のシステムで管理しており、対象外とされている。何年分のデータか、退会者を含むかは公表されていない。当サイトの結論：メールアドレスより、本名・住所・電話番号がそろって漏れたことが重い。何年も前に一度買っただけの人も対象かもしれないと考え、同社・ECモール・カード会社を名乗る電話や郵便、SMSに個人情報やお金で応じないこと。

ポーランドMyDrの患者データ流出（最大1880万人）：PESEL・健康情報・連絡先が漏れたおそれと、対象者がやること

ポーランドで1万2000を超える医療機関が使う電子カルテ（電子診療記録）ソフトの会社MyDr sp. z o.o.は2026年8月、外部からの犯罪行為で、同社のクラウドに保存されていたデータベースの内容が第三者にコピーされたと公表した。対象は主に2024年4月12日より前の過去のデータで、ポーランドのデジタル化省は最大1880万人・1万2000超の医療機関に影響し得るとした。同社によれば、項目は氏名、住所、連絡先、PESEL（国民識別番号）、健康に関するデータ、社会保険の情報、勤務先などで、すべてが全員に当てはまるわけではない。原因や侵入の経路は公表されていない。政府はbezpiecznedane.gov.plで自分のPESELが対象かを確かめられるようにし、PESELの登録制限（zastrzeżenie PESEL）を呼びかけている。当サイトの結論：1社のソフトに数千の医療機関の患者情報が集まると、漏えいはその全体に及ぶ。今回コピーされたのは2年以上前のバックアップだった。対象者は確認・PESELの登録制限・病状に触れる脅しへの備えの3つを進める。運営側は、古いバックアップを本番と同じ水準で守っているかを確かめる。

セイコーマートアプリの不正アクセス（約57万人）：住所・生年月日などが見られた会員がやること

株式会社セイコーマートは2026年9月29日、スマートフォン向けの「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正にアクセスしたと発表した。10月5日の第四報によれば、対象はアプリに登録したことがある会員のうち574,647人分で、9月24日までにクラブカードを退会した人は含まれない。閲覧された項目は姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会年月日・退会年月日。パスワード情報と購買履歴は漏えいしておらず、クレジットカード情報は保有していない。同社は10月5日から、全アプリ会員に対象かどうかをアプリのお知らせで通知している。アプリ・WEBでの新規入会、会員情報の閲覧・変更、登録カードの変更の機能は終了し、店舗かフォームでの受付に切り替えた。原因は公表されていない。当サイトの結論：漏れたのは変えられない個人情報の組み合わせで、次に起きやすいのは同社を名乗る本物らしいメール・SMS・電話。アプリのお知らせで対象かを確かめ、連絡のリンクや電話口の指示には従わず、生年月日を暗証番号や他社の本人確認に使っていないかも見直す。

Eストアー「ショップサーブ」の情報漏えい（最終報：約2,335万6,000人）：購入者・出店者・アフィリエイターがやること

株式会社Eストアーは2026年10月16日の最終報で、同社のネットショップ構築サービス「ショップサーブ」で、外部の第三者がサーバー上のアプリケーションの脆弱性を悪用し、2026年5月21日から8月1日にかけてデータベースの情報を外部へ送信したと公表した。対象は約2,335万6,000人（購入者・会員、店舗運営者、アフィリエイターの合計。重複を除いた概数）で、うちカード情報の一部を含む人は約209万6,900人、対象店舗は7,858店（現在の利用店舗と過去の利用店舗を含む）。購入者の氏名・住所・電話番号・メールアドレス・勤務先など、暗号化された会員IDとパスワード、カード名義・番号の先頭6桁と下4桁・有効期限のほか、店舗とアフィリエイターの認証情報が含まれる。カード番号の全体とセキュリティコードは保持しておらず対象外。第2報で漏えいとされていた店舗のメール・FTPのIDとパスワードと同社からの振込先口座情報（銀行名・口座名義・口座番号など）は、最終報で漏えいの対象ではないと訂正された。二次被害の報告はないとしている。当サイトの結論：購入者の多くはサービス名を知らずに買い物をしている。どの店か分からなくても、本物の注文情報やカード番号の末尾4桁を書いた連絡を疑い、利用明細を確認し、使い回したパスワードを変える。出店者とアフィリエイターは、管理画面などのパスワードを変えて二段階認証を設定する。

手間いらず TEMAIRAZU不正アクセス（2026）｜宿泊客と施設の対処

手間いらず株式会社は2026年9月28日、宿泊予約を一元管理するシステム「TEMAIRAZUシリーズ」への不正アクセスを確認したと公表した。9月21日深夜ごろから、利用施設の予約者にWhatsAppなどのメッセージアプリ、メール、SMSで、予約情報を知っているとみられる不審なメッセージが届き、事前チェックインや予約の維持などを理由に、クレジットカード情報の入力や支払いを求めて外部サイトへ誘導していた。同社は10月7日の第二報で、第三者に閲覧・取得された可能性のある情報を、宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金と公表した。クレジットカード情報と宿泊予約サイトのログイン情報は保持していない。10月9日の適時開示では、これらを含む宿泊予約情報の対象者数を最大で約445万人とし、外部のセキュリティ専門機関に調査・分析を委託したと公表した。利用施設のお知らせによれば、原因は過去に提供していたインストール型サービスの機能の一部にあったセキュリティ上の問題で、9月26日に対策を完了した。当サイトの結論：予約サイトで予約した人も対象になり得る。ホテルを名乗るメッセージがカード情報の再入力や支払いを求めてきたら、内容が正しくても応じず、予約サイトの公式アプリか、宿の公式サイトに載っている電話番号で確かめる。

ヤマト運輸・佐川急便の不正アクセス（佐川急便は流出の可能性最大約5,323万件、ヤマト運輸は後払いの利用者情報約526万件）：住所や購入内容の漏えいと、荷物を受け取った人がやること

2026年9月28日にヤマト運輸の「クロネコ代金後払いサービス」、9月30日に佐川急便の「お荷物問い合わせサービス」への不正アクセスが確認され、両社は10月1〜2日に個人情報が漏えいした可能性を公表した。2つは別々の事案で、両社とも関連には触れていない。ヤマト運輸は10月16日の第4報で、後払いの利用者情報約526万件（氏名・住所・電話番号・メールアドレス・商品明細など、2018年10月1日〜2026年9月28日分）、利用者の一部のお届け先情報約5万件、加盟店の情報約4,100件が不正に持ち出されたと公表した。請求金額・債権残高・社員の氏名は持ち出しが確認されなかった。佐川急便は10月23日の第5報で、2026年6月21日〜9月30日（約100日間）に預かった荷物の送り主・届け先の氏名・住所・電話番号などが流出した可能性があるとし、その最大件数を約5,323万件（重複を含む。実人数ではない）と公表した。手書きの送り状の荷物は含まれない。いずれもクレジットカード情報とパスワードは含まれない。ヤマト運輸は10月9日に後払いサービスを再開し、支払い期限を17日間延長した。佐川急便は10月23日に「お荷物問い合わせサービス」を再開したが、Web受付など8つのサービスの停止を続けている。当サイトの結論：佐川急便のほうは、自分で同社を使っていなくても、荷物を受け取っただけで対象になり得る。本名・住所・荷物のやり取りや購入内容を知った相手からの偽の不在通知や督促が来る前提で、届いた連絡のリンクは開かず、公式アプリや購入したショップの注文履歴で自分で確かめる。

イエローハットの不正アクセス（最大約180万人）：氏名・電話番号・メールが漏れた可能性と、会員がやること

株式会社イエローハットは2026年8月28日、店舗の作業予約を受け付ける「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、最大1,801,499人分の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性があると公表した。8月18日朝に検知し、外部との接続を遮断してシステムを停止した。クレジットカード情報・パスワード・車両情報はこのシステムで保持していないため漏えいはないとしている。同じグループの2りんかんイエローハットでは、2026年4月に別の不正アクセスがあり、アプリのパスワードを含む約318万人分の情報が漏えいしている。当サイトの結論：漏れた可能性があるのは、本人に直接連絡するための情報そのもの。予約・点検・お詫びを名目にした電話・SMS・メールには、そこから返事をせず、公式サイトや店舗で確かめる。

米Aesto Healthの情報漏えい（954万人）：知らない会社から通知が届いた理由と、対象者がやること

米国の医療データ移行・アーカイブ（保管）事業者Aesto, LLC（Aesto Health）は、2025年12月2日から18日ごろにかけて、同社のクラウド環境の一部で、医療機関（同社の顧客）の患者の保護対象医療情報がアクセスまたは取得された可能性があると公表した。米保健福祉省（HHS）公民権局の公開一覧では、対象者は9,540,683人。情報は氏名、生年月日、医療情報、運転免許証番号、金融口座番号、健康保険情報、個人納税者番号（ITIN）などの公的ID番号で、社会保障番号（SSN）は一部の人が対象。差出人に心当たりがないのは、医療機関が古い記録の保管を委託していたから。まず自分の医療機関が対象かを確かめる。SSN・ITINは凍結とIRSのIP PINで、医療情報は給付明細で守る。医療機関は、患者データを預けている委託先の一覧を作り、預けた記録をいつ返却・破棄するかを決めておく。

米AssuranceAmericaの情報漏えい（約700万人）：運転免許証の番号が漏れたときにやること

米国の自動車保険会社AssuranceAmericaは2026年7月10日、従業員を標的にした3月16日の不正な活動をきっかけに、第三者が社内のIT環境の一部にアクセスしてデータファイルを複製したと通知した。インディアナ州司法長官の一覧では影響を受けた人は6,998,886人。流出項目は氏名、連絡先、保険契約・事故（請求）情報、運転者・車両情報、運転免許証番号、一部の人の納税者番号（Tax ID）または社会保障番号（SSN）。米国の運転免許証番号は、融資やカードの申込だけでなく、保険や公的給付の申請でも本人確認に使われる。クレジットフリーズだけでは守れないため、住んでいる州の運転免許当局にも番号の流出を伝えることを勧める。

Basic-Fit情報漏えい（2026）｜IBAN流出と会員の対処

欧州のジムチェーンBasic-Fitは2026年4月13日、会員のクラブ来館を記録するシステムへの不正アクセスを公表した。同社によれば、アクセスは発見から数分で止めたが、複数の国の現会員のデータの一部がダウンロードされた。項目は会員情報、氏名・住所、メールアドレス、電話番号、生年月日、銀行口座情報で、パスワードへのアクセスはなかった。同社はロイターに対し、影響は約100万人、オランダ・スペインなど6か国と説明している。当サイトの結論＝ジムの会費には定期的な支払いがあり、SEPA口座振替（ユーロ圏共通の口座引き落とし）を利用している場合には、「会費の引き落としに失敗しました」という偽の連絡は、Basic-Fitが実際に送る督促とそっくりに作れる。会費の状態は必ずアプリで自分で確かめ、リンクからは確かめない。見覚えのない引き落とし元を確認し、正規の会費を慌てて差し戻さないこと。

Booking.comの予約情報への不正アクセス：宿を装う詐欺メッセージの見分け方

Booking.comは2026年4月、許可のない第三者が一部の宿泊者の予約情報にアクセスできた可能性があるとして、対象の予約の暗証番号（PIN）を更新し、宿泊者にメールで通知した。通知や報道によれば、対象は氏名、メールアドレス、電話番号、予約の詳細、宿泊施設とのやりとりなどで、広報担当者は金融情報へのアクセスはなかったとしている。影響の件数や原因は公表されていない。当サイトの結論：宿名・日付・料金が合っていても本物の証拠にならない。判断の基準は、公式アプリで自分で開いた予約確認書の支払いポリシーと一致するかどうか。カード情報の再入力、リンク先での支払い、ポリシーにない振込を求められたら応じない。

カーニバル（Carnival）の情報漏えい：旅券番号が漏れたときに旅行者がやること

カーニバル・クルーズ・ラインの親会社カーニバル・コーポレーションは、2026年4月14日に従業員のアカウントに関わる不正な活動を検知したと公表した。第三者がソーシャルエンジニアリング（人をだます手口）で従業員をだまし、同社のITシステムの一部にアクセスした。4月22日に個人情報がコピーされたと判断。メイン州司法長官への届出では影響を受けた人は5,995,277人。人によって、氏名、住所、メールアドレス、電話番号、生年月日、運転免許証番号や旅券番号などの政府発行の身分証番号が含まれる。漏れたのは旅券の番号で、旅券そのものではない。米国（と日本）の紛失・盗難の届出は旅券そのものを失効させる手続きで、実際になくした・盗まれた旅券のためのもの。本当の危険は、旅行の予定や身分証の番号を知っているように見せかけた連絡。米国居住者は信用情報を凍結する。日本の旅行者を含む全員が、クルーズ会社を装ったメールのリンクを開かない。旅券を本当に届け出るべき場面も知っておく。

仏Cegedim Santéの患者データ流出（約1500万人）：医師向けソフトから漏れたときに患者・診療所がやること

フランスのCegedimグループで医療従事者向けソフトを手がけるCegedim Santéは2026年2月26日、2025年末に、医師向けソフトMLM（MonLogicielMedical.com）を使う医師のアカウントで通常と異なるリクエストの動きを検知したと公表した。MLMを使う医師3800人のうち1500人が影響を受け、MLMのデータベースにある患者の個人データが不正に閲覧または抽出されたとしている。対象は患者の事務情報（氏名、性別、生年月日、電話番号、住所、メールアドレス）と、医師が自由に書く事務的なコメント。ごく一部の患者では、このコメントに機微な情報に関する医師のメモが含まれ得る。構造化された診療記録は無事だったとしている。フランス保健省は対象を約1500万人とし、機微なメモを含むのは約1%と説明したと報じられている。1社のクラウドソフトに数千の診療所の患者情報が集まると、漏えいはそのソフトを使う診療所全体に及ぶ。もっとも深刻だったのは、「事務的なコメント」という軽そうな名前の自由記述欄だった。患者はなりすましと脅しの連絡に備える。診療所は自由記述欄の使い方と、医師ごとのアカウントの普段と違う動きに誰が気づく仕組みかを確かめる。

韓国のEV充電アプリCHAEVIの個人情報流出（29.8万件）：何が漏れ、利用者は何をすればいいか

CHAEVI（채비）の2026年7月26日・30日の告知によれば、7月23日の外部からの不法なハッキング攻撃で個人情報計298,333件が流出した。内訳はメールアドレスのみ164,858件、メール＋パスワード（暗号化）131,411件、メール＋氏名・連絡先（暗号化）＋性別・生年月日など1,235件、さらにパスワード（暗号化）まで含む829件。住民登録番号・旅券番号・カード番号・口座番号は収集・保有しておらず流出していないという。2025年1月ごろの別の流出も確認され、調査中。告知の流出項目に充電履歴や位置情報はない。詐欺に使われやすいのは、全件で暗号化されずに流出したメールアドレスと「EV充電アプリの会員」という事実。充電料金・未払い・補償を名乗るメールやSMSは基本的に無視し、同じパスワードを使う他のサービスから変える。

Companies House WebFiling不具合（2026）｜役員情報の露出と確認

英国の会社登記所Companies Houseは2026年3月13日、WebFilingにログインした登録利用者が、特定の操作をすると他社の情報を見たり変更したりできる可能性がある問題を把握し、同日13時30分にサービスを停止、3月16日9時に再開した。同機関によれば、原因は2025年10月11日の大規模なシステム更新で入った不具合（defect）で、外部からのサイバー攻撃ではない。見えた可能性があるのは、取締役と重要な支配権を持つ者（PSC）の生年月日の『日』、自宅住所、会社の登録メールアドレスで、同意のない届け出（新しい決算書や取締役の変更など）も技術的には可能だった。パスワード、本人確認のデータ、既存の届け出書類は影響を受けていない。4月8日の更新では、ごく少数の不正アクセスや変更の試みを確認したとしている。これは外部からの侵入ではなく、認可（アクセス権の確認）の不具合だ。ログインの確認は機能していたが、その利用者がこの会社の情報を扱ってよいかの確認が抜けていた。取締役は届け出履歴を確かめ、届け出があるたびにメールが届くFollowに登録する。開発者は、他人のデータを要求したら拒否されることを、更新のたびにテストで確かめる。

米DentaQuestの情報漏えい：多要素認証のコードをだまし取られた事案と、会員がやること

米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月17日から20日にかけて、同社ネットワーク上のデータに第三者がアクセスしたと公表した。ワシントン州司法長官への届出によれば、ソーシャルエンジニアリング（人をだます手口）で従業員1名がだまされ、認証情報と多要素認証（MFA）のコードを渡したことが原因。流出したのは氏名、住所、生年月日、社会保障番号（SSN）、会員番号・保険番号、Medicaid・Medicare番号、歯科・眼科の診療情報。対象項目は人によって異なる。同社は2026年8月3日、全米で2,740万人超を把握していると届け出た。SSNは変えられないので、会員は信用情報の凍結（3社すべて）、IRSのIP PIN、給付明細の確認で守る。組織にとっての教訓は、人が読み上げたり入力したりできる認証要素は、人がだまされれば渡せてしまうということ。これを防ぐのは、フィッシング耐性のあるMFA（パスキー、FIDO2セキュリティキー）と、電話してきた相手の本人確認をきちんと行うヘルプデスクだ。

スペインの電力会社Endesaの情報漏えい（身分証番号・口座番号）：契約内容を知っている詐欺電話への対処

スペインの電力会社Endesa Energíaは2026年1月12日ごろ、悪意ある第三者が同社の営業用プラットフォームに不正アクセスし、基本的な本人情報、連絡先、国民身分証（DNI）番号、電力契約の情報、場合によってはIBAN（銀行口座番号）を持ち出した可能性があると顧客に通知した。パスワードは影響を受けていない。同社はスペインのデータ保護機関（AEPD）に報告しており、影響を受けた人数は公表していない。この情報は、以前からある電力会社をかたる電話詐欺（『料金プランの変更』『供給停止』）を信じ込ませる材料そのもの。DNIや契約内容を言い当てる電話は本物らしく聞こえるが、相手がそれを知っていても本物の電力会社である証拠にはならない。電話はいったん切り、公式番号に自分からかけ直す。IBANは口座引き落としに悪用され得るので明細を確認する。承認していない引き落としは13か月以内なら返金を求められる。

ANTS（France Titres）情報漏えい（2026）｜対象者の対処

フランスの国立安全証書庁ANTS（France Titres）は2026年4月15日、申請ポータル ants.gouv.fr の個人・事業者アカウントのデータが流出した可能性のある事案を検知した。内務省は4月21日、約1170万アカウントが対象になり得ると発表。5月13日公表の国民議会答弁では、個人・事業者1167万アカウントからのデータの抜き取りを説明した。含まれるのはログインID、敬称、氏名、メールアドレス、生年月日、アカウント固有ID、一部のアカウントでは住所・出生地・電話番号で、申請時に提出した添付書類や生体情報は含まれないとしている。政府は、パスワードを次回ログイン時に変更し、ANTSを装う不審なSMS・電話・メールに最大限の注意を払うよう呼びかけた。ANTSは4月24日から申請ページを保守のため停止し、4月29日から二段階の認証を導入したと説明している。漏れたのは身分証そのものではなく、「この人は身分証や免許の手続きをしている（したことがある）」という事実であり、それこそがANTSや『permis de conduire』（運転免許）を名乗る詐欺の材料になる。身分証を作り直す必要はなく、届いた連絡のリンクを開かずに自分で ants.gouv.fr を開く習慣が最も有効だ。

TanStack・Nx Console・GitHubの連鎖侵害（2026年5月）：開発者が確認すること

2026年5月11日、TanStackのRouter/Startリポジトリの公開パイプラインが悪用され、npmの42パッケージ・84バージョンに認証情報を盗むコードが入った。これを入れたNxの貢献者の端末からGitHub CLIのトークンが盗まれ、5月18日にNx Console拡張機能の改ざん版（v18.95.0）が公開された。同日、GitHubは社員の端末が改ざんされたVS Code拡張機能によって侵害され、GitHub社内のリポジトリが持ち出されたと発表した。3社とも、攻撃は本物の開発者アカウントや公式の配布の仕組みを通って行われた。防御の要は、公開用の認証情報（トークン）が盗まれても1人では新しい版を公開できない仕組みにすることと、設定したはずの安全策が実際に働いているかを確かめることだ。

2026年の政府機関の個人情報漏えい4件（米国防総省・イリノイ州・ラトビア・フランス税務当局）：市民にできること

2026年、米国・ラトビア・フランスで、政府機関が持つ市民の個人情報が相次いで外に出た。各機関の説明を並べると、情報が外に出た原因は3通りあった：公開設定の誤り（イリノイ州福祉局の地図）、脆弱性のあるシステム（国防総省DMDCのファイル共有システム、ラトビアCSDDのWebアプリ）、なりすまされた職員・委託先の認証情報（フランスDGFiP）。民間のサービスなら退会や解約という手があるが、税や福祉などの行政サービスは利用をやめられない。だから市民は、漏れた後にできる4つの対策に集中する。公式窓口で通知を確かめる、税・給付のオンラインアカウントのログインを強化する、機関を名乗る連絡には自分で調べた番号でかけ直す、開示請求で何が漏れたかを自分で確かめる。

2026年にサイバー攻撃で診療が止まった病院4件：何が止まり、患者・医療機関は何をすればいいか

2026年、米国・ベルギー・日本でサイバー攻撃により診療が止まった病院が相次いだ。各病院の発表を並べると、入院と救急はダウンタイム手順（システムが止まったときに紙などで業務を続ける手順）で続いたのに、外来・化学療法・院内薬局・予約の電話・患者ポータル・救急車の受け入れといった、患者の自宅や救急隊など病院の外とのやり取りに関わる機能が止まっていた。ダウンタイム手順は病棟だけでなく、こうした外とのやり取りの機能についても決めておく。侵入口は医療機器の保守用VPN装置のような、医療情報システムと意識されにくい機器にもある。患者は公式サイトで状況を確かめ、急ぐ薬は専用窓口へ、病院を名乗る不審な電話には応じない。

Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること

学習管理システム（LMS）Canvasの運営会社Instructureによれば、2026年4月29日に不正な活動を検知し、ユーザー名、メールアドレス、コース名、履修情報、メッセージが持ち出された。同社は、パスワード、生年月日、健康情報、社会保障番号、金融情報、成績、懲戒記録を保存する項目は含まれないとしている。5月7日には同じ攻撃者が別の脆弱性でログイン後の画面を書き換えた。持ち出された項目は一見重要でなさそうでも、誰がどの授業を取っているかとメールアドレスがそろうと、学校を名乗る本物らしい詐欺メールが作れる。そしてメッセージは自由記述なので、そこに書いたものは何でも対象になり得る。届いた連絡は、学校の公式サイトや普段使っているCanvasなど、公式の窓口だけで確かめる。学校のIT担当者は、通知先の登録、ログの確認、管理者の多要素認証、授業データのバックアップ（Canvasの外への保存）を進める。

英マンチェスター空港グループの情報漏えい（約870万人）：駐車場・ラウンジの予約情報が漏れたときの詐欺対策

英国のManchester Airports Group（MAG）は2026年8月27日付の声明で、2026年8月に権限のない第三者によるサイバーセキュリティ事案があり、マンチェスター、ロンドン・スタンステッド、イーストミッドランズの3空港での駐車場・ラウンジ・Fast Track（保安検査の優先レーン）の予約と、空港内Wi-Fiの登録に関わる顧客データが取得されたと公表した。対象はメールアドレス、電話番号、車両登録番号（ナンバー）、郵便番号。MAGも侵入されたシステムも銀行やカードの情報は保持していないとしている。MAGは、通知を受けた人のデータは公開された状態になったと説明している。報道によれば、影響を受けたのは約870万人（MAGの広報担当者の説明）。空港の運用システムは関係せず、運航への影響はない。連絡先にナンバーや郵便番号が組み合わされると、偽の連絡が本物らしくなるおそれがある。ナンバーや予約に触れた『返金』『予約に問題』『駐車違反』の連絡でも、リンクは開かず、自分で空港の公式サイトの予約管理を開けばよい。本物の変更・取り消しはそこで無料でできるとMAGは案内している。

数学学習サービスMathspaceの情報漏えい（生徒・保護者など約108万人）：保護者・学校がやること

数学の学習サービスMathspaceは2026年9月5日付（9月8日更新）の公式ブログで、同社が自社で運用する社内の集計（レポート）システムの脆弱性を突かれ、生徒、保護者、学校の教職員、同社の従業員の情報が取得されたと公表した。影響はオーストラリアとニュージーランドの1,079,819人。対象はユーザーID、ユーザー名、氏名、メールアドレス、国、タイムゾーン、ユーザーの種別、メール確認の状態、最終利用日、最終ログイン日、登録日。パスワード（保存用に変換した値＝ハッシュを含む）、認証トークン、SSO（シングルサインオン）の認証情報、学習記録や成績は含まれないとしている。同社の説明では、ソフトウェアの開発元が8月6日に重大な脆弱性の修正を公開したが、同社の脆弱性の通知の仕組みはこれを拾えず、8月10日からの不正アクセスと8月27日のデータのダウンロードが後に確認された。当サイトの結論：漏れたのは子どものアカウントを含む利用者の名簿で、学校や学習サービスを名乗る本物らしい偽の連絡に使われるおそれがある。家庭では、連絡に書かれたリンクからログインしないこと、確認コードを人に教えないことを子どもと確認する。運営側は、社内向けだからと後回しにされがちな集計ツールも本番システムと同じ速さで更新し、更新後に侵入の痕跡がないかまで確かめる。

メディカ出版のランサムウェア被害（約64万人）：医療職の読者・著者・出版社がやること

株式会社メディカ出版の発表によれば、2026年3月13日にシステム障害を検知し、ランサムウェアによる不正アクセスと判明した。5月13日の調査結果報告では、第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことが起点で、個人情報が外部に持ち出されたことを直接示す確定的な証拠は確認されていないが、可能性を完全には否定できないとして、約641,000人分（重複を含む可能性）を『漏えいのおそれ』として扱っている。対象には読者の氏名・連絡先・メールアドレス、著者の銀行口座番号、従業員の人事情報などが含まれる。クレジットカード情報は同社が保持しない仕組み。同社を装う偽メールも確認されている。当サイトの結論：専門出版社の顧客名簿からは、医療職であることや勤務先が分かる。そのため、教材・セミナー・学会・原稿料を名乗る連絡は、メールのリンクからではなく、自分で開いた公式サイトで確かめる。著者は、口座番号を知っていることを示したうえで暗証番号やネットバンキングの情報を聞き出そうとする連絡に注意する。

米Medtronicの情報漏えい（約383万人）：医療機器を使う患者が確認すること

米医療機器大手Medtronicは2026年4月24日、第三者が同社の社内ITシステム（corporate IT）のデータにアクセスしたと公表した。対象者への通知文によれば、アクセスは2026年4月13日から19日。インディアナ州司法長官の一覧では全米で3,834,294人が対象で、通知は6月29日。対象の情報は氏名、連絡先、生年月日、社会保障番号（SSN）、健康関連情報。同社は、製品のセキュリティや患者の安全、機器が安全に動作し治療を行う能力への影響は確認していないとしている。当サイトの結論：医療機器メーカーは、安全情報や回収の連絡を患者に届けるために患者の情報を持っている。そのため、機器の使用をやめたり登録を取り消したりはしない。SSNは信用情報の凍結とIRS（米内国歳入庁）のIP PIN（税の申告で本人確認に使う番号）で悪用を防ぐ。機器の名前を出してくる電話は、いったん切り、通知文や患者IDカードに書かれた番号にかけ直して確かめる。

カリテコ（名鉄協商）のランサムウェア被害：運転免許証情報が漏れたおそれと会員がやること

名鉄協商株式会社は2026年7月2日、6月23日に検知したサーバーへの不正アクセスとシステム障害を公表し、調査でランサムウェアによる不正アクセスの痕跡を確認したと説明した。8月4日には、カーシェア「カリテコ」の入会申込書に記載された情報（氏名、住所、生年月日、電話番号、メールアドレス、運転免許証情報、一部の会員はクレジットカード情報）が、現会員・退会済み会員とも漏えいしたおそれを否定できないと公表した。件数は公表されておらず、流出や不正利用の事実は確認されていないとしている。当サイトの結論：免許証の番号や生年月日は変えられないため、タイムズカーの事案と同じく、信用情報機関3つへの本人申告と、自分の信用情報の確認を勧める。この事案で特に注意したい点は二つある。一つは、ランサムウェアの被害では、システムが復旧した後になって、情報が漏れたおそれが分かる場合があること。もう一つは、同社の個別案内の一部が宛先不明で届いていないこと。引っ越した元会員は、案内を待たずに自分から窓口に確認してほしい。

オランダの通信会社Odidoの情報漏えい（約639万人）：身分証の番号が漏れたときにやること

オランダの通信会社Odidoは2026年2月12日、同社が使う顧客対応システムからの顧客情報の流出を公表した。広報担当者は約620万アカウントと説明し、のちに同社のFAQは影響を受けた人を約639万人（Odidoと傘下ブランドBenの現・元顧客）としている。人によって、氏名、住所、携帯番号、顧客番号、メールアドレス、IBAN（銀行口座番号）、生年月日、身分証の番号と有効期限などが含まれ、パスワードや通話記録、身分証のスキャン画像は含まれていない。当サイトの結論：身分証の番号は、それだけで契約や手続きができるものではなく、本人を特定する手がかりにとどまる。オランダの身元詐欺窓口（CMI）は、この情報だけでは融資・口座開設・通信契約・新しい身分証の申請はできないとしており、旅券や免許証の作り直しも口座番号の変更も求められていない。本当に危ないのは、漏れた番号を示して本物を装う相手からの連絡だ。またこの事案は、本人確認のために事業者が集めた番号が、その事業者から漏れることがあると示している。

豪Quest Apartment Hotelsの情報漏えい（約199万人）：カード・旅券番号が漏れた宿泊者がやること

オーストラリアのサービスアパートメント・ホテルチェーンQuest Apartment Hotelsは、2026年8月17日に第三者のサービス提供事業者の脆弱性を通じたデータベースへの不正アクセスを確認し、8月19日に公表した。9月16日の発表では、約1,991,613人の顧客の情報（2025年6月より前の記録）が影響を受け、CVV付きのクレジットカード番号46,727件、CVVなしのカード番号297,739件（いずれも期限切れを含む）、旅券・運転免許証番号104,268件、車両登録番号225,300件、NDIS番号271件、メディケア番号46件などが含まれていた。当サイトの結論：CVV（カード裏面などにある3〜4桁の確認コード）付きのカード番号が通知された人は、カード会社に連絡して再発行を相談する。カード業界のセキュリティ基準PCI DSSは、CVVを取引の承認後に保存することを認めていない。なぜ記録に残っていたかは公表されておらず、当サイトは基準に準拠していたかどうかを判断しない。ただ、ホテルの予約記録にCVVが残っている場合があることは、宿泊者が知っておくべき事実である。

2026年の情報漏えい・サイバー攻撃年表（国内・海外）——203件を影響度つきで一覧、そこから見える傾向

2026年1〜10月に公表された主な情報漏えい・サイバー攻撃203件（国内99・海外103・国分類なし1）を、被害組織の公式発表などを出典に年表化した。影響度は規模と漏れた情報の種類で3段階に分け、基準をページに明記している。当サイトの結論：海外では運転免許証・旅券・社会保障番号といった本人確認に使う情報の流出が103件中29件と目立ち、国内ではランサムウェアと、インターネットに公開している機器やシステム（VPN装置、Webサイト、分析ツールなど）の脆弱性が目立つ。本人確認情報はパスワードのように簡単には入れ替えられないため、利用者は本人確認書類を預けるサービスを減らし、漏れたら信用情報機関に本人申告をする。運営者は、外部公開機器の更新と、預かった本人確認書類の保管期間の見直しから始める。

香港・信興集団の情報漏えい（約92万人）：家電の修理・保証の連絡を装う詐欺への対処

香港の個人資料私隠専員公署（PCPD）は2026年3月23日に信興集団（Shun Hing Group）から情報漏えいの通報を受け、調査を始めた。PCPDは7月2日、同社が提供した最新情報として、92万1,000人超の個人情報が流出した可能性があり、うち約92万人の顧客の氏名・敬称、住所、電話番号、メールアドレスと、約1,000人の従業員・サービス/製品/仕入先の担当者の身分証明書番号、銀行口座番号、給与などが含まれるとした。約105万人分の個人情報は悪意をもって暗号化された可能性がある。信興集団は7月9日の告知で、当時は情報が悪用された証拠はなく、PanaClubのシステムは停止していると説明した。当サイトの結論：流出した可能性があるのは、家電の配送・設置・保証登録・修理のために顧客が伝えた連絡先。相手が住所や買った家電を知っていても本物の連絡とは限らない。PanaClubの再設定を求めるメッセージのリンクは開かず、自分で公式サイトを開き最新の案内を確かめる。

南アフリカStandard Bankの情報漏えい：身分証番号・口座番号を知っている詐欺電話への対処

南アフリカのStandard Bankは2026年3月23日、一部のデータへの不正アクセスを確認したと公表した。4月14日の続報では、影響を受けた情報は氏名、身分証番号または会社登記番号、連絡先（電話番号・住所・メールアドレス）、口座番号で、のちにB-BBEE区分とVAT登録番号が加わり、データは『公開されたとみられる』とした。取引系の銀行システムと基幹システムへのアクセスはなく、顧客の資金に影響はないとしている。影響人数は公表していない。当サイトの結論：危険なのは、このデータで口座にログインされることではなく、本物の身分証番号と口座番号を読み上げながらStandard Bankを名乗る電話がかかってくること。相手が番号を知っていても、本物の銀行だという証明にはならない。銀行はパスワード・PIN・OTP（ワンタイムPIN）を求めないとしている。電話は切ってカード裏の番号にかけ直し、SAFPSに登録し、信用情報を確認する。

テキサス州TPWD情報漏えい（2026）｜狩猟・釣り免許購入者の対処

米テキサス州公園野生生物局（TPWD）によれば、2026年5月13日、州のサイバー対策機関Texas Cyber Commandが、狩猟・釣り免許の販売を担うTPWDの免許システム委託先に関わるサイバーセキュリティ事案を検知した。権限のない者が、300万人を超える購入者の運転免許証情報、パスポート番号（提出した人のみ）、メールアドレス、電話番号、住所を取得した可能性がある。社会保障番号（SSN）、生年月日、クレジットカードなどの金融情報は取得されていないとしている。テキサス州司法長官の一覧では、影響を受けたテキサス州民は3,087,721人。当サイトの結論：免許は州の機関から買う公的なものだが、購入時に出した身分証の番号は、TPWDが販売を任せた委託先のシステムに保管されていた。購入者が自分で選んだ会社ではない。また免許は毎年更新するのでTPWDからの連絡は自然に見え、詐欺はそれを装いやすい。クレジットフリーズ（信用情報の凍結）をかけ、免許番号が悪用されたときの州公安局（DPS）の手順を知り、更新や支払いは自分で入力したTPWDのアドレスからだけ行うこと。

イタリアの鉄道Trenitaliaの情報漏えい：遅延の払い戻しを装う詐欺への備え

イタリアの鉄道会社Trenitaliaは、身元不明の外部の者によるサイバーセキュリティ事案で、乗車券（titoli di viaggio）に結びつく一部の個人情報に不正アクセスがあったとして、GDPR第34条にもとづく通知を顧客に送った。他社と共同でデータを管理している乗車券についての追加の通知は、これを「2026年6月26日にTrenitaliaが通知したのと同じ事案」としている。対象になり得るのは、氏名・生年月日・出生地、メールアドレス・電話番号、区間・日時・乗車券番号などの旅程、ロイヤルティカードの番号、勤務先、身分証の記載事項など。カンパニア州の共通乗車券（UnicoCampania）の通知では、納税者番号（codice fiscale）と性別も挙げられている。アカウントのログイン情報、パスワード、カード番号などの支払い情報は含まれないとしている。同社はイタリアのデータ保護機関（Garante）とCSIRT Italiaに通知し、ローマ検察に告訴した。当サイトの結論：漏れたのは、いつ、どこへ、どの列車で行くかという旅程の情報で、「列車が遅れたので払い戻します」という偽の連絡を本物らしく見せるのに使える。本物の遅延の補償は、自分で公式サイトやアプリから申請するか、地域線のデジタル乗車券なら購入時のカードに自動で戻る。SMSのリンクからカード番号を入れる払い戻しは存在しないと覚えておけば、SMSの文面が本物らしいかどうかを見極める必要はない。

Trivyのサプライチェーン侵害（2026年3月）：CIでTrivyを使っている人がやること

2026年3月19日、Aqua Securityが開発するオープンソースの脆弱性スキャナTrivyで、不正なv0.69.4がリリースされ、GitHub Actionのtrivy-action（77タグ中76）とsetup-trivy（全7タグ）が不正なコミットに書き換えられた。Aquaによれば、不正なコードはCIの実行環境から秘密情報を集めて外部に送るもので、2月下旬に始まった侵害で得た認証情報を、3月1日のローテーション（認証情報の入れ替え）が一斉に行われなかったために使い続けられたことが原因とされる。当サイトの結論：教訓は、Actionsをタグではなくコミットの識別子（SHA）で固定することだけではない。SHAで固定したアクションの中で別の部品がタグで呼ばれていれば、そこから不正な版が入り得る。漏れた認証情報の入れ替えは、一斉に行わなければ攻撃者のアクセスを断てない。脆弱性スキャナは、秘密情報を渡さないジョブで動かす。

韓国TVINGの個人情報流出：補償を装う詐欺メッセージと利用者がやること

韓国科学技術情報通信部の官民合同調査団が2026年9月3日に公表した調査結果によれば、TVINGへの侵害で、有効・休眠・退会・テスト用を合わせて3,954万アカウント（重複を含む）の情報が流出した。流出項目はID、氏名、生年月日、連携情報（CI）、重複加入確認情報（DI）、返金用口座番号（暗号化）、パスワード（一方向暗号化）など20項目（70種）で、パスワードは復号できない状態と確認された。当サイトの結論：TVINGが実際に補償の申請を受け付けているため、補償や返金を名乗る偽のSMSがいちばん本物らしく見える。補償は自分で開いた公式アプリでだけ確認し、パスワードは同じものを使っている他のサービスから変える。開発・運用側にとっての教訓は、開発者1人の接続キーで全ソースコードにアクセスでき、そのソースコードの中に本番環境の接続キーが入っていたという構造にある。

米国の医療情報漏えい（2026年）｜主な事例と通知の確認方法

2026年、米国では医療情報の漏えいが相次ぎ、その多くは患者が名前も知らない会社で起きた。HHSの公開一覧で6件を並べると、4件は医療機関などから業務を請け負う委託先（Business Associate）、1件は医療機関から検体と情報を受け取る検査会社、残る1件は医療機関本体だが、侵入のきっかけは委託先側だった可能性があると本人が説明している。当サイトの結論：知らない会社からの通知は、それだけでは詐欺の証拠にならない。通知に書かれた番号やリンクを使う前に、HHSの公開一覧と州司法長官の掲載を自分で開いて照合する。組織側は、患者データを渡した先の一覧、契約終了時の返却・廃棄の確認、フィッシングに強い多要素認証（パスキーなど、偽サイトにだまされても認証を渡してしまわない方式）の3つから始める。