パスワード
このタグの記事 25 件
オンライン麻雀「Maru-Jan」に不正アクセス（185万5578人分）：メールアドレスとパスワードが流出、会員がやること
株式会社シグナルトークは2026年11月7日、同社が運営するオンライン麻雀「Maru-Jan」で、外部からの不正アクセスにより会員185万5578人分のメールアドレスとパスワードが流出したと公表した。同社の管理システムの機能が悪用され、11月4日15時頃までに会員情報を含むデータが外部へダウンロードされたと同社は説明している。対象はMaru-Janの全会員で、メールアドレスは登録している場合に対象となる。クレジットカード番号は同社が保有していないため、対象に含まれない。パスワードの保存方式（ハッシュ化の有無など）は、同社の発表に書かれていない。同社は侵入経路を特定して対策を実施し、11月7日16時にサービスを再開した。会員には、Maru-Janのパスワードの変更、同じパスワードを使う他のサービスの変更、不審なメールへの注意を求めている。2026年11月9日時点で、続報は確認できていない。当サイトの結論：Maru-Janと同じパスワードを使っているサービスがあれば、Maru-Jan自体より先にそちらを変える。Maru-Janを名乗るメールのリンクは開かない。
アイリスプラザへの不正アクセス（約770万人分）：氏名・住所・パスワード（暗号化）などが漏えいした可能性、会員・購入者がやること
アイリスグループの株式会社アイリスプラザは2026年11月5日の第2報で、アイリスオーヤマ公式通販サイト「アイリスプラザ」で発生した不正アクセス事案について、個人情報の一部が漏えいした可能性があると公表した。同社は10月28日に、利用する外部クラウドサービスで不審なファイルを発見し、アイリスプラザと関連システムを停止して調査を始め、第三者による不正アクセスを確認した。外部クラウドサービスに保存されていた個人情報の総データ数は約770万人分で、当該データが閲覧または取得された可能性を確認している。実際の漏えい件数と影響人数は調査中。漏えいの可能性のある情報は、会員データ（退会済みを含む、約580万人）が氏名・住所・電話番号・メールアドレス・性別・パスワード（退会者を除く）・生年月日等、非会員データ（会員登録なしで購入した人やキャンペーンへの応募歴がある人を含む、約190万人）が氏名・住所・電話番号・メールアドレス。パスワードを含む一部の項目は暗号化している。クレジットカード情報は当該クラウドサービスに保存されておらず、影響を受けていないことを確認したとしている。同社は、ほかのサービスで同じパスワードを使っている人に変更を求めている。2026年11月7日時点で、第3報は確認できていない。当サイトの結論：アイリスプラザで使っていたパスワードを、ほかのサービスでも使っているなら、今日変える。退会した人と会員登録せずに買った人も対象に含まれる。
ノジマオンライン・中古スマホ買取サイトの会員管理システムへの不正アクセス（約700万件）：氏名・住所・電話番号・暗号化パスワードが漏れた会員がやること
株式会社ノジマは2026年11月2日、同社のEC「ノジマオンライン」の会員管理システムに第三者による不正アクセスがあり、ノジマオンラインと中古スマホ買取サイトの会員情報が漏えいしたと公表した。同社によれば、不正アクセスを検知・確認したのは11月1日で、同日に情報が外部に漏えいしたことを確認した。件数は約700万件（退会者は含まれない）。項目は氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス。決済情報は非保持で、クレジットカード情報は保持していないとしている。原因、侵入の期間、不正利用や二次被害の有無は調査中で、2つのサイトは11月2日の発表時点で一時休止（11月4日時点で再開の告知は見当たらない）。同社は、なりすましメールやフィッシング詐欺等に悪用されるおそれがあるとして注意を呼びかけているが、パスワードの変更は求めていない。当サイトの結論：ノジマを名乗るメール・SMS・電話のリンクは開かない。ノジマと同じパスワードを他のサービスでも使っているなら、そちらを変更する。
アエナのECアプリへの不正アクセス（会員マイページ情報 最大817,215人）：氏名・住所・届け先などが閲覧された可能性と、会員がやること
株式会社アエナは2026年10月14日、同社のECアプリの会員マイページが不正に閲覧された可能性があると公表した。同社によれば、システムログの解析で10月13日5時58分に判明し、閲覧された可能性のある会員は最大817,215人（本会員）。LINE会員と、Amazonや楽天などで利用した顧客は対象外としている。閲覧された可能性のある情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先の住所・氏名・電話番号（第三者宛を含む）、お気に入り店舗・メール配信設定、クレジットカードの下4桁・有効期限・カード名義。カード番号の全桁とセキュリティコードは保有しておらず、パスワードの閲覧・流出はなく、会員情報の変更・退会・購入の確定（決済）も行われていないことを確認しているとしている。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」で、調査中。ECサイトへのアクセスを遮断し、停止していたECアプリは10月19日（月）正午に再開、再開後の初回起動時にパスワード再設定画面が表示される。当サイトの結論：アプリでパスワードを再設定し、同じパスワードを使い回したサービスも変える。届け先や注文を装う連絡は、リンクや番号を使わずに確かめる。
花キューピットの会員情報漏えい（最大4,238,242件）：ユーザーID・暗号化されたパスワード・メールアドレスと、利用者がやること
花キューピット株式会社は2026年10月28日、同社が運営する「インターネット花キューピット」「ビジネス花キューピット」への第三者による不正アクセスで、会員情報の一部が漏えいしたと公表した。同社によれば、10月14日（水）〜15日（木）に管理システムへ不正アクセスがあり、10月19日（月）の調査の過程で会員情報の漏えいを確認した。対象件数は4,238,242件（該当する可能性のあるお客様）。漏えいした項目は、ユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの、FAQではハッシュ化）、PC用メールアドレス、携帯用メールアドレス。氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報等は漏えいしていないとしている。対象は同社の公式ECサイト（i879.com、i879.com/biz/）でメールアドレスを登録した会員で、外部ショッピングモールでの注文、メールアドレスを登録していない電話注文、花キューピット加盟店での購入は該当しないとしている。同社はクレジットカード情報を保持しておらず、カードの停止や再発行は必要ないとしている。二次被害は確認されていないとしており、10月28日から対象者へメールで順次連絡し、個人情報保護委員会と警察に報告済み。原因は書かれておらず、外部の専門機関と連携して調査中。金銭的な補填や返金は予定していないとしている。当サイトの結論：対象になり得る人はパスワードを変更し、同じIDとパスワードを使い回したサービスも変える。花キューピットや金融機関を名乗る連絡は、リンクを開かずに自分で公式サイトを開いて確かめる。
ホワイトエッセンスの不正アクセスによる個人情報漏えい（約105万アカウント）：氏名・住所・電話番号・暗号化パスワードなどと、利用者がやること
ホワイトエッセンス株式会社は2026年8月12日、予約サイトと基幹システムへの不正アクセスを受けてシステムを一時停止したと公表し、10月5日に「不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」で調査結果を公表した。同社によれば、8月5日に外部からの不正アクセスを確認し、同月12日にシステムを停止、その後の調査で個人情報が外部に持ち出されていたことが判明した。2026年8月5日時点で登録されていた情報のうち、対象者数は約105万アカウント（お客様のほか加盟院関係者・本部社員等を含む全体数）で、漏えいした項目は、お名前、ご住所、お電話番号、メールアドレス、生年月日、性別、お勤め先、ログインIDおよびパスワード（暗号化された状態）、サービスのご利用・対応に関する情報、同社の管理番号等（全部または一部）。同社は金融機関の口座情報を預かっておらず、お客様の画像が漏えいした事実も確認されていないとしている。原因は、予約サイトのプログラムに存在した脆弱性を悪用され、これを起点に基幹システムへ不正アクセスされたこととされ、同社は当該脆弱性への対処を完了したとしている。10月5日時点で二次被害は確認されていないが、同社または他の事業者を装った不審なメール・電話・郵便物が届く可能性があるとしている。当サイトの結論：同じログインIDとパスワードを他のサービスで使っているなら、そちらを変える。同社や歯科医院を名乗る連絡は、氏名・住所・生年月日が正しくても、リンクや番号を使わずに確かめる。
ビューティガレージ・アイラッシュガレージの不正アクセス（77万5,725件）：サロン名・電話・メールとパスワードの変換値が漏えい、取引先を装う連絡への備え
株式会社ビューティガレージは10月15日、同社とアイラッシュガレージのECサイトのサーバーに10月10日から12日にかけて不正アクセスがあり、お客様情報の一部が外部に漏えいしたと公表した。10月13日に検知し、経路を特定して同日中に遮断した。同社の発表によれば、対象は2026年10月10日23時55分時点で「ビューティガレージ」「アイラッシュガレージ」のECシステムに保存されていたお客様情報775,725件（ブランド別の内訳の記載なし）。アイラッシュガレージの発表では49,191件（775,725件との関係は不明）。漏えいが確認された主な項目は、会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値。住所・配送先、購入履歴、クレジットカードを含む決済情報は、現時点で漏えいは確認されていない。情報の公開や不正利用の事実は確認されていないとしている。10月20日の両社の第2報では、ECサイトは通常どおり稼働しているとし、個人情報保護委員会へ報告済みとした。原因の詳細は公表されていない。当サイトの結論：両社や取引先を名乗る連絡は、サロン名や氏名が正しくても本物の証拠にならない。振込先の変更や追加の支払いを求める連絡は、必ず公式の窓口で確かめる。
So-net会員データベースへの不正アクセス（So-net会員 約214万件・plala Sコース 約44万件）：氏名・電話番号・生年月日などの漏えいと、利用者がやること
ソニーネットワークコミュニケーションズ株式会社は2026年10月27日、同社のインターネット接続サービス「So-net」の会員データベースへの不正アクセスで、情報漏洩を確認したと公表した。同社によれば、10月19日に外部から不正アクセスを受け、10月23日にそれを確認してサーバを停止し、10月24日に漏洩した項目と件数を把握した。漏洩した情報は、So-net会員情報2,141,986件（現会員1,869,771件、2026年3月以降に退会した元会員272,215件）とplala（Sコース）会員情報443,495件（現会員422,365件、同じく元会員21,130件）で、いずれも氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用ID。会員情報については、パスワードの漏洩はなかったとしている。メールサービス（G）・A-Box・ソネットVAIOメール・PostPetメールアカウントサービスの計54,401アドレスは、メールアドレスのパスワードも漏洩し、同社は10月27日にこれを初期化した。銀行口座情報16件と、パスワード再設定用の通知書情報7件も漏洩し、該当者には個別に連絡するとしている。クレジットカード情報は含まれず、NUROを含む他のサービスの情報漏洩は確認していない。原因は「第三者からの不正アクセス（調査中）」とされ、侵入の経路は公表されていない。当サイトの結論：4つのメールサービスを使っていた人は、マイページなどからメールのパスワードを再設定し、同じパスワードを使い回したサービスも変える。全員、氏名・電話番号・生年月日が正しく書かれたSo-netを名乗る連絡でも、リンクや番号は使わずに確かめる。
アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること
株式会社モニタスは2026年10月21日、同社が運営するアンケートサイト『Qzoo』が第三者による不正アクセスを受け、会員（モニター）の個人情報が漏えいした可能性があると発表した。経緯は、10月17日8時30分に不正アクセスが始まり、12時22分にSQLインジェクションによるデータベースの閲覧・更新、18時44分に検知・遮断、19時02分にサービスを緊急メンテナンス状態に移行、10月20日に個人情報保護委員会へ速報。対象は約40万件（10月17日時点でQzooのシステムが保有する全件）で、影響を受けた可能性があるのは、基本情報（氏名、生年月日、住所、電話番号、メールアドレス等）、会員認証情報（会員ID、パスワード等）、金融関連情報（口座番号、支店名、口座名義等）、アンケート回答情報（年収、職業等）を保管するデータベース。項目は調査中で、クレジットカード情報とマイナンバーは保有していない。原因は同社システム内の脆弱性を悪用した侵入としている。Qzoo以外の同社システムへの不正アクセスは確認されていない。当サイトの結論：Qzooと同じメールアドレスとパスワードを使うサービスは今日変え、Qzooや銀行を名乗る連絡のリンクは開かず、暗証番号やログイン情報は誰にも伝えない。口座の入出金もあわせて確認する。
閲覧履歴・Cookie・保存パスワードの消し方（Chrome・Safari・Edge・Firefox、パソコンとスマホ）：情報が漏れたときに消すもの、消す前に残すもの
ブラウザの閲覧履歴・Cookie（サイトデータ）・キャッシュ・保存パスワード・自動入力の消し方を、Chrome（Windows・Mac・Android・iPhone）、Safari（Mac・iPhone・iPad）、Edge、Firefoxごとに、各社の公式ヘルプの表記で整理した。閲覧履歴を消しても、すでに他人にコピーされたものは取り戻せず、脅迫への対策にもならない。被害を減らすのは、ログイン状態（Cookie）と保存パスワードへの対応、つまり安全な端末からのパスワード変更と全セッションのログアウトである。警察に相談するなら、消す前に脅迫メールや不審な拡張機能の記録を残す。同期がオンのまま消すと同じアカウントの他の端末からも消える。2026年10月のお名前.com デスクトップクラウドの事案では、GMOインターネットが第6報で、点検が終わるまでブラウザの同期をオンにしないよう求めている。
デジタルアーツのクラウドサービスに不正アクセス（i-FILTER@Cloudなど6サービス）：一部の顧客情報が閲覧された可能性と、利用組織の管理者がやること
デジタルアーツ株式会社は2026年10月21日、クラウドサービスの運用環境と社内環境に対する不正アクセスの痕跡を見つけたと適時開示と公式サイトで公表した。同社によれば、クラウドサービスの運用に使う認証情報が第三者に不正に取得され、それを使ってサービスの運用環境に侵入された。これにより、i-FILTER@Cloud、m-FILTER@Cloud（Modern Edition）、m-FILTER MailAdviser Microsoft 365 対応版、FINAL CODE@Cloud、z-FILTER、Desk の6つのクラウドサービスを使う一部のお客様の情報が、第三者に閲覧された可能性がある。痕跡は10月9日にAIを活用した総点検で見つかり、2025年7月頃にさかのぼるものを含む。10月21日正午時点で、お客様情報の外部への持ち出しは確認されておらず、悪用や二次被害の報告もない。閲覧された可能性のある情報の項目と件数は公表されていない。同社は6サービスを使うすべてのお客様に管理者用と利用者用のパスワードの変更を求め、追加の対応が必要な一部のお客様には個別に連絡するとしている。お客様の環境に導入するソフトウェア版は対象外。10月23日の投資家向けQ&Aでは、ホワイトリストのデータベースは閲覧も改ざんもされていないことを確認したとし、個人情報保護委員会に報告したとしている。当サイトの結論：6サービスを使う組織の管理者は、今週中に管理者用と利用者用のパスワードを変え、同社からの個別連絡の有無を確かめる。
トラストバンク「ふるさとチョイス」の不正アクセス（会員情報445万4,097件）：氏名・住所・ハッシュ化されたパスワードなどの流出と、寄附者がやること
株式会社トラストバンクは2026年10月20日、同社が運営するふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、寄附者の個人情報が外部に流出したと公表した。10月19日に通常と異なるアクセス傾向に気づいて確認したところ、10月17日に不正アクセスがあったことが分かり、10月19日15時50分に関連サービスを止めた。流出を確認したのは会員情報4,454,097件で、項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。10月23日の第2報では、このうち5名についてポイント履歴、寄附履歴、生年月日、送付先などの追加の項目が流出していたと発表した。うち2名は、マイページの保存済みカード情報の表示ページ（下4桁・名義・有効期限）に第三者のアクセスがあった。カード情報は表示のたびに決済代行会社から取得する仕組みで、同社のシステムには保存されておらず、この情報だけでカード決済はできないとしている。会員には10月21日から順次、流出の有無と項目を個別にメールで知らせている。10月26日の第3報では、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を同日から順次再開したと発表した（同日のよくある質問では10月25日からとしている）。新しい寄附の受付は再開しておらず、寄附者向けサイトの再開時期は未定。全会員のパスワードは無効化されており、再開後に新しいパスワードの設定が必要になる。当サイトの結論：会員登録をしていた人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを変え、ふるさとチョイスや自治体を名乗る連絡のリンクを開かない。
メドレーの医療機関向けシステム「アットリンク」に不正アクセス：患者の氏名・誕生月日・ログインID・パスワードなどが漏えい、患者と医療機関がやること
株式会社メドレーは2026年10月15日、同社が提供する医療機関業務支援システム「@link（アットリンク）」、患者向けの「アットリンクアプリ」と周辺サービスに第三者による不正アクセスがあったと発表し、10月14日深夜から提供を一時停止した。同社によれば、10月11日に外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を始め、不正アクセスを確認した。10月23日には、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし情報を取得していたことを確認し、個人情報が外部に漏えいしたと発表した。漏えいした項目は、アプリ・WEB予約を使っていた患者について、氏名、フリガナ、誕生月日、メールアドレス（登録した人のみ）、アプリ・WEB予約のログインIDとパスワード、利用した医療機関の名称、利用登録日、最終来院日、クレジットカードの決済履歴（決済日と金額のみ。アプリでオンライン決済を使った人のみ）。アプリ・WEB予約を使っていない患者については、氏名、フリガナ、誕生月日、利用した医療機関の名称、利用登録日、最終来院日、アプリ・WEB予約のログインIDと初期パスワード。クレジットカード番号などは同社で保有していないとしている。対象の医療機関の数と人数は調査中で、該当する人には医療機関と連携して順次通知する。不正アクセスの具体的な手法は、同種の攻撃を誘発するおそれがあるとして公表していない。経路は遮断し、関係する認証情報はすべて無効化した。個人情報保護委員会と厚生労働省に報告している。アプリ・WEB予約のパスワードは引き継がず、サービス再開時に新しく設定する。10月28日12時30分更新の発表では、医療機関向けの「@link クラウド β版」を10月28日から一部の医療機関でテスト利用し始めたとし（予約の確認・受付・登録、患者情報の登録・更新・検索、診察カレンダーの設定が対象）、患者向けアプリとWEB予約サイトなどは引き続き停止している。停止期間中の利用料金は、11月中を目途に返金を予定するとしている。原因と影響範囲の調査は続いている。当サイトの結論：アットリンクのアプリ・WEB予約を使っていた人は、同じパスワードを使い回したサービスのパスワードを変え、受診先の医療機関名や来院に触れる連絡のリンクは開かない。医療機関は、患者からの問い合わせを同社の専用窓口へ案内する。
コミックシーモアの会員情報流出（最大約420万件・ログファイル上の情報）：メールアドレスや生年月日などが流出、利用者がやること
NTTソルマーレ株式会社は、同社が運営する電子書籍ストア『コミックシーモア』への不正アクセスについて、2026年10月15日の初報から10月21日の第4報までを公表した。同社によれば、10月15日にサーバーへの外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止した。10月16日の第2報で、会員情報を管理するシステムから会員情報が第三者へ流出したことを確認したと発表した（件数は精査中）。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したこと、一部のシステムログファイルも閲覧・取得されたことを公表した。10月21日の第4報で、流出を確認した情報を、会員データベース上の登録情報319件（メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別）と、システムログファイル上の情報最大約420万件（メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない。同じ人の重複を含む可能性がある）とした。クレジットカード情報は対象のシステムで保有しておらず流出していない、購入履歴の流出とMY本棚の流出・消失・欠損は確認されていないとしている。侵入経路と攻撃手法の特定と遮断対応は完了したとしているが、その内容は公表していない。該当者にはメールで連絡する。サービスは停止中で、購入済み作品のWEBでの閲覧などから段階的に再開する予定。再開時には全ての利用者にパスワードの再設定を求める予定としている。当サイトの結論：コミックシーモアと同じメールアドレスとパスワードを他のサービスで使っている人は、今日そのサービスのパスワードを変える。同社を名乗るメールのリンクは開かず、確認は自分で開いたNTTソルマーレのニュースリリースから行う。
お名前.com デスクトップクラウド（GMOインターネット）への不正アクセス（影響の可能性があるサーバー26,739件）：利用者の情報の持ち出しを同社が確認、補償の内容とFX・証券の利用者が今日やること
GMOインターネット株式会社は2026年10月21日、FX自動売買向けのVPS（仮想サーバー）「お名前.com デスクトップクラウド」に第三者による不正アクセスがあり、一部の利用者のサーバー環境に不正なプログラムが設置されたと発表した。影響の可能性があるサーバーは26,739件で、これは対象となり得る数で、不正アクセスや情報の取得が確認された件数ではないとしている。10月21日4:00から全プランのサーバーを順次停止した。10月24日の第4報では、本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境への不正なアクセスと、利用者の情報が外部に持ち出された事実を確認したとし、一部の利用者から取引口座で身に覚えのない取引があったとの報告を受けているとした。どの情報が何人分持ち出されたか、侵入経路、被害を受けた口座の数と金額は公表されていない。同社は、本サービスを現在利用しているすべての利用者に一律5,000円のお見舞金を払い、同社が不正アクセスに起因すると認めた不正取引で実現した損失を補償する（取引所等からの返金分を差し引く）と発表した。不正アクセスを受けた現行のシステム基盤はそのまま再開せず、別のクラウド基盤上の代替サービスへの乗り換え（乗り換え後6か月無償）を案内する。同社によれば、攻撃者とみられる者から金銭の要求と、応じなければ情報を公開するなどの連絡を受けているが、要求には応じず、証拠を警察に提出したとしている。10月24日の第5報では、利用者に、自分の端末のフルスキャンとバックアップ、FX取引に使っていない端末からのパスワード変更、すでに変えた人も含めたログイン中の全セッションの切断、二要素認証の設定などを改めて求めた。同社は10月26日の第7報で、攻撃者とみられる者から、10月27日12:00に利用者の情報の公開とランサムウェア攻撃を行うとの予告を受けていると発表した。10月27日の第8報では、12:00より前にバックアップを取ったうえでネットワークを切断し、電源を落とし、パソコンにつながるコードを抜くよう求めた。第9報（11:59時点）では、預かって解析を終えた利用者の端末からはマルウェア（ランサムウェアを含む）は確認されていないが、すべての端末の安全を確認したものではないとし、ランサムウェアの被害に遭った利用者が窓口に申し出れば、被害状況を確かめたうえで同等性能の新しいパソコンを提供するとした。同社は10月27日の第10報（13:55時点）で、攻撃者とみられる者が同社と利用者に関する情報と称するものを公開したことを12:30に確認したと発表した（内容は確認中で、事実と異なる部分を含むおそれがあるとしている）。ランサムウェア攻撃は13:55時点で確認されていないとした。公開されたとされるサイトにはアクセスも拡散もしないよう求め、アクセスした人の情報は攻撃者に取得されるとしている。第12報（19:10時点）では、公開された情報に自分の情報が含まれると同社が確認した人に、情報の区分ごとに1万円〜2万5,000円の特別お見舞金（1回の公開につき上限300万円）を払うとし、犯人の特定につながる情報に総額100万米ドルを上限とする懸賞金を設けた（受付は10月28日12:00から）。10月28日の第13報（11:00時点）では、攻撃者とみられる者のサイト（ミラーサイトを含む）のドメインが同日午前4時ごろに停止されたことを確認したとし、同種のサイトが現れた場合も停止に向けて対応するとした。同日18:20の第14報では、懸賞金の専用サイトを同日12:00に開設し、開設から約6時間で113件の情報が寄せられたこと（18:00時点）、攻撃者とみられる者のサイトのURLや内容を広める投稿に、X上で累計20件の警告連絡を行ったこと（18:00時点）、預かった端末の解析では現時点でマルウェア感染やランサムウェア攻撃の痕跡は確認されていないことを知らせ、電源を落とすなどの協力に謝意を示したうえで、端末を再び使う前にセキュリティスキャンとバックアップを勧めた。10月29日12:40の第15報では、グループのホワイトハッカーチームが独自に調査を進め、犯人の特定につながると考えられる情報を入手したとして、同日中に警察と関係各所へ提出するとし、懸賞金の情報提供が11:30時点で270件になったことを知らせた。同日20:50の第16報では、情報提供が10月28日18:00時点の113件から10月29日18:00時点の321件になったこと、新たな犯人サイトや、個人情報等が不正に公開されているサイトの通報先（お名前.comの不正利用の報告フォーム）を示し、犯人の特定や接触、確証のない情報の投稿、不審なURLの拡散を控えるよう改めて求めた。同社は本件の攻撃と脅迫行為に、刑事告訴を含む法的対応をとる方針を示している。10月28日の同日の適時開示では、親会社のGMOインターネットグループによれば、グループ各社のサービスの確認を進めており、現時点で本サービス以外への影響は確認されていないとしている。利用者には攻撃者とみられる側からメールが届き、データを持っている証拠として閲覧履歴の一部が添付されていたと報じられている。同社の代表もブログで、攻撃者が利用者のパソコン内の情報の公開やランサムウェア攻撃で脅していると明らかにしたが、利用者のパソコンが実際に侵害されたとは発表していない。10月26日の第6報では、接続に使った端末のフルスキャン、点検が終わるまでブラウザの同期をオンにしないことなどを求めている。当サイトの結論：FX取引に使っていない端末から証券会社・FX会社のパスワードを変え、全セッションを切断し、取引履歴と残高を確かめる。補償の手続きは同社の公式サイトと登録メールアドレスへの案内だけを使い、取引用のパスワードはどこにも伝えない。
ソースネクストの会員情報流出のおそれ（22,519,960件）：メールアドレス・パスワード・住所などが対象、会員がやること
ソースネクスト株式会社は2026年10月15日、同社が管理する会員情報に第三者による不正アクセスがあり、会員の個人情報が外部に流出したことが判明したと発表した。同社によれば、10月9日10時頃から第三者が会員情報取得APIを不正に利用して会員の情報を取得しており、10月13日9時頃に不正アクセスを確認、同日13時36分までに封じ込めを完了した。流出した可能性のある情報は対象件数で22,519,960件。項目はメールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）で、登録状況により項目は異なる。クレジットカード情報は対象のシステムに保存されておらず、流出の対象に含まれないとしている。同社は10月16日の追記で、すべての会員のパスワードを無効化済みで従来のパスワードは使えないとし、新しいパスワードの再設定を求めている。10月19日の取材記事は、暗号化保存と復号状態での流出確認について同社広報の回答を伝えている。同社のよくある質問は、10月16日に外部の独立したセキュリティ専門機関へ依頼して第三者調査を始めたとし、「スーパーセキュリティ」「ウイルスセキュリティ」はこれまでどおり使えること、「1Password」に保存したパスワードなどのデータは同社が保有しておらず流出の対象に含まれないことも説明している。別事案として、同社は10月27日と11月5日に、メール配信サービスの提供会社（委託先）への不正アクセスで、同社が配信に使ったメールアドレスと注文情報などが流出した可能性があると発表した（11月5日の第二報で142,669件、重複を除いたメールアドレス数。パスワード・氏名・住所・電話番号・クレジットカード情報は対象外）。同社は、10月15日の件とは別件で関連はないとしている。当サイトの結論：ソースネクストの会員登録をしたことがある人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを先に変え、ソースネクストのパスワードは自分で開いた公式サイトから再設定する。ソースネクストを名乗るメール・SMS・電話・郵便物のリンクや番号は使わない。
ブックオフの情報漏えい（対象約638万人）：対象会員とパスワード変更、通知メールの確認方法
ブックオフグループホールディングス株式会社は2026年10月9日、子会社のブックオフコーポレーション株式会社が提供する国内のブックオフの会員管理システムに第三者による不正アクセスがあり、会員情報が外部に流出したと発表した。10月13日の第2報によれば、10月4日から6日にかけて会員情報が外部から取得され、対象は会員番号ベースで6,427,735件、同じメールアドレスの会員データを1人として数えると6,383,279人（うち退会会員212,371人）。対象はアプリ会員、オンラインストア会員、Web会員で、会員カードだけを使い、アプリやWebの登録をしていない人は含まれない。漏えいした可能性のある情報は氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号で（「職業」「ニックネーム」は10月16日の訂正で追加された）、全員についてすべての項目が漏れたわけではない。クレジットカード等の決済情報、銀行口座情報、店頭買取で読み取った本人確認書類の文字情報、宅配買取の本人確認書類の画像は含まれない。同社は対象者に10月15日からメールで順次連絡し（送信できると確認できたアドレスへの送信は10月22日に完了）、公式オンラインストアと公式アプリのパスワードの変更を求めている。10月23日には、ブックオフ会員サイトにログインして自分が対象かを確かめられるWeb照会機能を追加し、10月22日に本件専用のフリーダイヤルを開設したと発表した。11月6日の第3報では、外部の専門家と進めた調査の結果、会員情報を取り扱うシステムの一部機能におけるアクセス制御上の問題を第三者に悪用されたことが原因と判明したと発表した（システム構成や設定などの技術的詳細は公表を差し控えている）。第3報によれば、対象の範囲（サービス、人数、項目）は第2報から変わらず、10月26日〜29日には公式アプリのお知らせ通知でも対象の会員に個別に案内した。会員情報の外部への公開、ポイントの不正利用、会員情報の書き換えは確認されておらず、本件でポイントの不正利用が確認された場合は全額補填するとしている。個人情報保護委員会には12月初旬に確報を提出する予定。当サイトの結論：アプリ・オンラインストア・Webに会員登録したことがある人は、公式アプリと公式オンラインストアのパスワードを、公式アプリか自分で開いた公式サイトから変え、同じパスワードを使っている他のサービスも変える。ブックオフを名乗るメールやSMSのリンクは開かない。
skyticket（アドベンチャー）への不正アクセス（約1,464万件）：パスワードや返金先の口座情報、一部の利用者のカード情報が流出、利用者が今日やること
株式会社アドベンチャーは2026年10月9日、同社が運営する比較予約サイト「skyticket」で、それぞれ経路の異なる3件の不正アクセスがあったと発表した。1件目は管理機能の不正な操作を起点に、他のサーバーとクラウド上のデータへ不正にアクセスされたもので、約1,464万件の氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義が流出し、このうち約413万件はハッシュ化した会員パスワードを含む。2件目は業務管理システムの脆弱性の悪用で、返金先の口座情報などを含む17,780件（重複を含み、ほかに件数を調査中のものがある）が流出した、または流出したおそれがある。3件目はバスの予約完了ページがログインなしで表示できる状態になっていたもので、約12,000件の予約情報が閲覧された、または閲覧されたおそれがある。同社は当初、カード番号は流出した情報に含まれないとしていたが、10月16日の第2報でこれを訂正し、2017年2月〜2018年6月に「skyticketプレミアム」の会費の支払いにクレジットカードを登録・利用した最大6,140名のカード番号・名義人名・有効期限（一部は番号のみ、セキュリティコードは含まない）が、1件目の不正アクセスで流出したと発表した。会員特典の福利厚生サービスの会員ID・氏名・パスワードも流出した。パスポートの画像は流出しておらず、10月9日の発表時点で確認された二次被害は会員1名のアカウントへの不正ログインのみとしている（第2報は、流出したカード情報の不正利用の有無に触れていない）。当サイトの結論：会員は公式サイトかアプリからパスワードを変え、同じパスワードを使っていた他のサービスも変える。対象期間にskyticketプレミアムの会費の支払いにカードを登録・利用した人は、10月以降のカードの利用明細を確かめる。返金・補償・予約変更を名目にした連絡には応じず、口座の暗証番号や認証コードは誰にも伝えない。
パスワードが漏れていないか確認する方法：Have I Been Pwned の使い方と、ブラウザ・スマホに入っている確認機能
パスワード漏洩の確認方法の解説。Have I Been Pwned（HIBP）は、メールアドレスが既知の漏洩事件のデータに含まれていたかを調べるサービスで、どのサービスから何が漏れたかが分かる。パスワードの確認機能（Pwned Passwords）は、端末側でパスワードをハッシュ化し、先頭5文字だけを送るため、パスワードそのものは送られない（HIBP公式のAPI文書）。当サイトの結論＝今使っているパスワードの確認は、パスワードを入力するWebサイトではなく、すでにパスワードを保存しているGoogle パスワード マネージャー、iPhoneのパスワードApp、Edge のパスワード モニター、パスワードマネージャーの確認機能で行う。HIBPはメールアドレスの確認に使う。結果が「見つからない」でも安全の証明にはならない。
アンケートサイトinfoQの不正アクセス（89万4,082件）：漏れた情報と、会員がやること
GMOリサーチ&AI株式会社は2026年10月5日、同社が運営するアンケートサイト『infoQ』が第三者による不正アクセスを受け、会員の個人情報が外部に持ち出されたと発表した。10月14日の第2報で、持ち出された件数を89万4,082件と確定した（第1報では最大94万8,498件）。項目は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、ニックネームや保有ポイント数などの会員登録情報。クレジットカード情報とマイナンバーは保有していない。あわせて、611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換され、同社が全額を補填する（サービス再開時にアカウントへ付与）としている。同社は10月7日に全会員のパスワードを無効化した。原因は、同社サイトで使用していたソフトウェアの脆弱性を悪用した侵入としている。当サイトの結論：生年月日と住所まで含むため、本物らしい偽の連絡が届きやすい。infoQと同じパスワードを使っているサービスはすぐに変え、メールアカウントには2段階認証をかけ、infoQを名乗る連絡のリンクは開かない。
EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること
株式会社EPARKリラク＆エステは、同社が店舗向けに提供する予約管理・顧客管理システム「PeakManager」のデータベースが不正アクセスを受け、顧客情報が外部へ転送されたと公表した。第一報（2026年7月31日）では約3,300万レコード、重複を除いた第二報（9月24日）では約2,218万レコードで、人数への換算は困難としている。漏れた項目は氏名・フリガナ、生年月日、性別、住所、電話番号、メールアドレス、店舗が施術の申し送りとして書いた備考欄（健康状態など要配慮個人情報を一部含む）。第一報では暗号化されたパスワードが漏れた可能性も示し、変更を求めていた。当サイトの結論：PeakManagerは各店舗が自分の顧客台帳として使うシステムなので、EPARKで予約したことがない人も、店舗に名前や連絡先を伝えていれば対象になり得る。サロンや同社を名乗る連絡に応じないこと、マイページのパスワードと使い回し先を変えることを勧める。
Gyazoの不正アクセス（約2,362万件）：ユーザー情報と画像のメタデータが流出、利用者が今日やること
Gyazoの画像アップロードサーバーの脆弱性が悪用され、ユーザー情報約2,362万件と、主に2019年1月以前の画像のメタデータ約4.9億件が流出した。当サイトの結論＝今日やることはパスワード変更と使い回しの解消。そのうえで見落とされやすいのは、画像そのものではなく画像についての情報——スクリーンショットに写っていた文字（OCRテキスト）、写真の位置情報、アップロード元IPアドレス——が流出対象に含まれている点。スクショに秘密が写っていたなら、その秘密を無効化する。
パスワードのハッシュ化とは：元に戻せない一方向の変換で安全に保存する仕組み
パスワードのハッシュ化＝元に戻せない一方向変換でパスワードを保存する方法。平文保存はNG。暗号化と違い復号できないのが利点。ただしMD5/SHA-256を素で使うとレインボーテーブルや総当たりで破られる。安全な方法は『ユーザーごとのソルト』＋『わざと遅い専用ハッシュ（bcrypt/Argon2/scrypt）』。自前実装せず標準ライブラリに任せる。
ソルト（salt）とは：パスワードのハッシュ化でユーザーごとに加えるランダムな値
ソルト＝パスワードをハッシュ化する前に足す、利用者ごとに違うランダムな値。同じパスワードでも保存値が全員バラバラになり、事前計算したレインボーテーブルが無効化され、1回の解析で複数人を破ることもできなくなる。ソルトは秘密ではなくハッシュと一緒に保存してよい。bcrypt/Argon2なら自動で付与される。
パスワードの安全な保存方法：ハッシュ化とソルトの正しいやり方
サービス側でパスワードを安全に保存する実践ガイド。平文・暗号化・素のハッシュがなぜダメかを理解し、『ユーザーごとのソルト＋わざと遅い専用ハッシュ（Argon2id推奨、次点bcrypt/scrypt）』に集約する。自前実装せず標準関数を使い、コストは定期的に見直し、既存の弱いハッシュはログイン時に再ハッシュして移行する。