フィッシング
このタグの記事 100 件
一番くじONLINEの配送情報が漏えいした可能性（バンダイロジパルへの不正アクセス）：氏名・住所・電話番号と、会員がやること
株式会社バンダイナムコホールディングス、株式会社BANDAI SPIRITS、株式会社バンダイロジパルの3社は2026年10月26日、バンダイナムコホールディングスの物流子会社であるバンダイロジパルが管理するシステムに第三者からの不正アクセスがあり、10月21日に発覚したと公表した（第1報）。3社の発表によれば、漏えいした可能性がある個人情報は、BANDAI SPIRITSがバンダイロジパルに商品配送業務を委託している「一番くじONLINE」の配送情報（氏名・住所・電話番号）。件数などの詳細は調査中で、クレジットカード情報は含まれておらず、現時点で不正使用等は確認されていない。10月21日に物流システム内のサーバーで不正アクセスの疑いのある痕跡を見つけてサーバーをシャットダウンし、同日、バンダイロジパルのアカウントの不正利用による操作を確認した。10月24日に当該物流システムを停止し、10月26日に警察と個人情報保護委員会へ報告した。発表は、10月26日から当該出荷システムを一時停止するとしている。不正アクセスの経路は公表されていない。3社は、本件に関連して不審な電話や郵送物が届く可能性があるとして注意を呼びかけている。当サイトの結論：一番くじONLINEで商品を届けてもらったことがある人は、一番くじやバンダイを名乗る心当たりのない電話・郵送物に応じず、確かめたいときは自分で開いた公式サイトの問い合わせフォームを使う。
Joshin（旧・上新電機）への不正アクセス（最大約600万件）：会員の氏名・住所・電話番号などが漏えいした可能性、利用者がやること
株式会社Joshin（2026年4月1日に上新電機株式会社から社名変更）は10月17日、10月16日に不正アクセスを認識し、外部からのアクセスを制限するなどの対策をとった結果、一部のサービスを提供できない状態になっていると公表した（19日に東京証券取引所へ開示）。10月26日の第2報では、10月16日にネットワークの異常を検知し、不正アクセスの形跡が見られるサーバーをネットワークから遮断するなどの措置を講じたとしている。第2報によれば、漏えいした可能性があるのは、会員情報データベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、ジョーシンのサブスクの最大約23万件（会員番号、電話番号＋手書きサイン（バイナリデータ）、ログインID・初期パスワード、請求履歴、契約番号・デバイスID、有効化コード）、リフォーム写真アップロードシステムの最大約800件（免許証画像2件、マイナンバーカード1件、口座番号5件と、リフォーム施工中の工事写真データ）。件数は漏えいした可能性のある総件数で、漏えいが確定した件数ではないとしている。同社は決済情報を保持しておらず、クレジットカード情報は保持していない。個人情報保護委員会と警察へ相談・報告済み。原因・侵入の経路・停止中のサービスの再開時期は公表されていない。当サイトの結論：Joshinを名乗るメール・SMS・電話は、氏名・住所・会員番号が正しくても本物の証拠にならない。リンクや番号は使わず、発表に載っている窓口か自分で開いた公式サイトで確かめる。
アンケートサイトQzooへの不正アクセス（約40万件）：口座情報を含む会員情報が漏れた可能性と、会員がやること
株式会社モニタスは2026年10月21日、同社が運営するアンケートサイト『Qzoo』が第三者による不正アクセスを受け、会員（モニター）の個人情報が漏えいした可能性があると発表した。経緯は、10月17日8時30分に不正アクセスが始まり、12時22分にSQLインジェクションによるデータベースの閲覧・更新、18時44分に検知・遮断、19時02分にサービスを緊急メンテナンス状態に移行、10月20日に個人情報保護委員会へ速報。対象は約40万件（10月17日時点でQzooのシステムが保有する全件）で、影響を受けた可能性があるのは、基本情報（氏名、生年月日、住所、電話番号、メールアドレス等）、会員認証情報（会員ID、パスワード等）、金融関連情報（口座番号、支店名、口座名義等）、アンケート回答情報（年収、職業等）を保管するデータベース。項目は調査中で、クレジットカード情報とマイナンバーは保有していない。原因は同社システム内の脆弱性を悪用した侵入としている。Qzoo以外の同社システムへの不正アクセスは確認されていない。当サイトの結論：Qzooと同じメールアドレスとパスワードを使うサービスは今日変え、Qzooや銀行を名乗る連絡のリンクは開かず、暗証番号やログイン情報は誰にも伝えない。口座の入出金もあわせて確認する。
エムスリー「MR君」への不正アクセス（m3.com会員など25,775名・製薬企業の担当者2,260名）：漏れた情報と、医師・製薬企業の担当者がやること
エムスリー株式会社は2026年10月15日と10月23日（第2報）、同社が運営する製薬企業向けサービス「MR君」のシステムに第三者による不正アクセスがあり、個人情報が漏えいしたと公表した。同社によれば、10月14日に不正アクセスを確認し、同日中に判明した経路を遮断した。第2報で漏えいが確認されたのは、m3.com会員様等25,775名（氏名、勤務先、一部の方のメールアドレス、一部の当社サービスのご利用に関する情報等、取引先の製薬企業が当社サービスに登録していた情報（担当関係等）。メールアドレスを含むのは6名）と、製薬企業のご担当者様2,260名（氏名、勤務先、一部の方のメールアドレス等。メールアドレスを含むのは264名）。m3.com会員以外で製薬企業から預かっている医師の情報も一部含まれる。ログインパスワードと保有するm3ポイント等は含まれず、クレジットカード番号等は同社が保持していない。原因は公表されていない。不特定多数への公開や不正利用は確認されていないとしている。同社は10月22日以降、対象の会員に登録メールアドレス宛てで個別に連絡している。当サイトの結論：m3.comを使う医師などは、エムスリーや製薬会社の担当者を名乗る連絡のリンクを開かず、パスワードや口座情報を伝えない。
ピザハットのオンライン注文への不正アクセス：メールアドレス・電話番号・ログイン用のトークンが漏えい、利用者がやること
日本ピザハット株式会社は2026年10月23日、ピザハットの日本国内向けオンライン注文サービスに関連するシステムに第三者による不正アクセスがあり、お客様の情報の一部が漏えいしたと公表した。同社によれば、10月19日、第三者がオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、お客様情報等を含むデータベースから一部の情報を取得したことが確認された。外部への漏えいが確認された情報は、お客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれていない。件数は公表されていない。原因と影響範囲の詳細は調査中としている。同社は攻撃元IPアドレスのブロック、脆弱性への対応、個人情報保護委員会への速報を実施した。二次被害は確認されていないが、同社やピザハットを装った不審なメール・SMS・電話の可能性があるとして注意を呼びかけている。当サイトの結論：ピザハットのオンライン注文を使ったことがある人は、ピザハットを名乗る連絡のリンクを開かず、公式アプリか自分で開いた公式サイトで注文履歴を確かめる。
楽天トラベルへの不正アクセス（最大約260万件）：海外ホテル予約の氏名・連絡先と一部のカード情報、利用者がやること
楽天グループ株式会社は2026年10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理・運営する一部のページと、同社が運営する多言語予約サイトへの、社外の第三者による不正アクセスを確認したと公表した。海外ホテル予約ページ（事象①）は9月10日に異常を検知し、9月16日に改修を完了。不正アクセスの対象となった情報は、ログインした最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号と、予約した最大約4万件の氏名・連絡先・居住国・予約情報・同伴者の氏名など、そのうち最大約3万6千件の支払情報（カードの発行者識別番号と下4桁、名義、有効期限、国際ブランド区分）。カード番号の全桁・セキュリティコード・パスワード・身分証明書情報・住所は含まれないとしている（予約者の項目の注記）。多言語予約サイト（事象②）は10月20日に検知し10月21日に改修を完了、ログインした最大約86万件のメールアドレスと社内用の識別番号、管理画面で入力された最大約4万件の宿泊施設従業員のアカウント名・メールアドレスが対象。原因・対象期間・補償は公表されていない。当サイトの結論：カード番号の再入力や支払いを求める連絡は、予約内容やカード下4桁が正しくても本物の証拠にならない。メールやSMSのリンクは使わず、楽天トラベルのアプリかブックマークから予約を確かめる。
フジッコのキャンペーン応募情報が漏えいした可能性（延べ約1万5,500件）：氏名・住所・家族構成などと、応募した人がやること
フジッコ株式会社は2026年10月22日、キャンペーンの応募受付業務を委託している会社のサーバーが第三者の不正アクセスを受け、応募者の個人情報が漏えいした可能性があると公表した。10月21日に判明し、サーバーは速やかに停止した。対象は、2026年5月以降に実施したカスピ海ヨーグルトシリーズ「もっと！とろぉ～もっちキャンペーン 第2弾」と「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームに入力された個人情報で、延べ約15,500件（同じ人が複数回応募した場合を含む）。項目は氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。免許証・クレジットカード・口座番号などは含まれない。フジッコイン会員としての応募、応募はがき、Xでの応募は対象外。公開や不正利用は確認されていないが、同社は情報が第三者に取得されたものとみなして対応している。当サイトの結論：該当する応募をした人は、送料・手数料の支払い、レシートの再提出、個人情報の再入力を求める連絡には応じず、公式発表に載っているキャンペーン事務局の番号で確かめる。
グリーンモンスターのアプリ「FXなび」のユーザー情報漏えいのおそれ（約619万件）：メールアドレス・アンケート回答などが対象、利用者がやること
グリーンモンスター株式会社（東証グロース、157A）は2026年10月23日、同社のFXデモトレードアプリ「FXなび」のユーザー情報等が第三者に取得されたおそれがあると公表した（第一報）。10月17日にアプリへの第三者からの不正なアクセスを確認して調査を始め、その過程で、4月27日20時26分頃から4月30日14時26分頃にかけて、別のIPアドレスの第三者がアプリからユーザー情報等を継続的に取得していたおそれが判明した。10月17日の不正アクセスによる漏えいは確認されていないとしている。対象は約619万件のユーザー情報等（個人情報に当たらないものを含む）で、項目はメールアドレス（6万6,003件）、ニックネーム、性別、年代、職業分類、X（旧Twitter）のID（6,434件）、自己紹介、アイコン画像のURL、初回アンケートの回答（480万9,631件）、端末固有のID、ログイン用の認証情報、引き継ぎコード（5,120件）、プッシュ通知用の識別子、広告ID、アクセス元のIPアドレス、成績などの利用データ。氏名・住所・電話番号・生年月日・クレジットカード情報・銀行口座情報・マイナンバーは登録できる項目に含まれない。原因は「本アプリのAPIの機能によるもの」とし、APIの機能とログイン用の認証情報を修正し、修正前に発行した認証情報をすべて無効にした。二次被害は確認されていない。当サイトの結論：FXなびの利用者は、同社や関係企業を名乗るメール・Xのメッセージのリンクや添付を開かず、投資の勧誘はすべて偽物として扱う。
リンツのオンラインショップ・公式アプリ会員情報漏えい（314万7,469件）：氏名・住所・電話番号・生年月日・ハッシュ化パスワードが漏えい、会員がやること
リンツ＆シュプルングリージャパン株式会社は2026年10月23日、オンラインショップのシステムを提供し会員情報の管理を委託している外部事業者のシステムが不正アクセスを受け、オンラインショップとLindt公式アプリの会員情報3,147,469件が漏えいしたと公表した。委託先の報告によれば、10月17日23時02分から18日0時16分にかけて、委託先のサーバーで使っていたソフトウェアの脆弱性を悪用されたという。漏えいした項目は会員ID、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化して保存）、フリガナ・会員登録日時・最終ログイン日時など。クレジットカードなどの支払いに関する情報は含まれない。10月23日11時時点で悪用は確認されていない。オンラインショップは10月21日16時から停止中で、パスワードの変更は再開時に依頼する予定。対象者には10月26日から順次メールで連絡する。当サイトの結論：会員は、リンツを名乗るメール・SMS・電話・郵便の指示に従わず、同じパスワードを他のサービスで使っていればそちらを今すぐ変更する。
ピッコマのメールマガジン宛先の流出（1,002,404件）：メールアドレスのみが流出、利用者がやること
株式会社カカオピッコマは2026年10月24日、マンガアプリ「ピッコマ」のメールマガジンの配信に使っていた株式会社ラクスライトクラウドのメール配信システム「ブラストメール」が第三者の不正アクセスを受け、メールマガジン1回分の配信で宛先となっていたお客様のメールアドレス1,002,404件が外部に流出したと公表した。10月24日に同社からの報告で判明した。流出したのはメールマガジンの受信先として登録されたメールアドレスのみで、お客様を識別する管理番号や最終課金日などは含まれていないことを確認したとしている。パスワードはブラストメールに預けておらず流出の可能性はなく、氏名とクレジットカード情報は同社では持っていない。ピッコマのアプリ・Webサービスと同社のシステムは不正アクセスを受けておらず、アカウント、パスワード、購入情報への影響はないとしている。ピッコマノベルズのメールマガジンは、現時点で流出は確認されていない。同社はメールマガジンの配信を止め、ブラストメールから送られるメールがピッコマの正規のメールとして扱われないよう設定を変え、個人情報保護委員会に報告した。対象者には個別に連絡するとしている。当サイトの結論：ピッコマのメールマガジンを受け取っていた人は、ピッコマや出版社を名乗るメール・SMSのリンクを開かず、アプリから確かめる。パスワードやカード番号は入力しない。
バリューデザイン「Value Card」への不正アクセス（142万件、モスカード113万件）：カード番号・PIN・残高が流出、カードを持つ人がやること
ペイクラウドホールディングスは2026年10月23日、子会社の株式会社バリューデザインが発行会社に提供するハウス電子マネー発行サービス「Value Card」のサーバーが第三者の不正アクセスを受け、ID番号・PIN番号・残高情報の1,424,748件（発行済ID 569,224件、購入前の未発行ID 855,524件）が外部へ流出したと公表した。確認日は10月19日、原因は子会社のシステムの一部の環境でWebサーバーの脆弱性を悪用されたこと。個人情報は該当なしで、発行済IDの不正利用のおそれには対処済み、不正利用による実被害はないとしている。同じ日に、プリペイドカード「モスカード」を展開する株式会社モスフードサービスも、モスカードのサーバー運用・保守を委託しているバリューデザインのシステムへの不正アクセスでモスカード番号（16桁）・PIN番号（6桁）・残高情報の113万3,070件（流通済み約57万件、未流通約56万件）が流出したと発表し、流出したカードのPIN番号を強制的に変更した。氏名・住所・電話番号・クレジットカード情報は含まれない。モスカード以外にどの発行会社のカードが対象かは公表されていない。当サイトの結論：モスカードを持つ人は利用履歴に覚えのない引き去りがないかを確かめ、Web での残高照会などができなければ専用窓口に連絡する。PINやカード番号を尋ねる連絡には応じない。
ファンケル・アテニアのECサイトへの不正アクセス（会員36.8万人・41.7万人）：氏名・住所・電話番号・生年月日が漏えい、会員がやること
株式会社ファンケルと株式会社アテニアは2026年10月16日、両社のECサイトが10月3日から10日にかけて第三者の不正アクセスを受け、会員情報の一部が外部に漏えいしたと公表した。10月15日の内部調査で判明し、原因となった機能を特定して停止した。漏えいしたのはファンケル会員39万3,785件・36万8,184名、アテニア会員44万1,162件・41万7,312名の情報で、項目はメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（一部の人が設定したハッシュ化された2次パスワード。メインのパスワードは対象外）、本人認証質問の項目（回答は含まない）、ポイント情報・会員ステージ情報などの会員登録情報。クレジットカードなどの決済情報は含まれない。不正利用や二次被害は確認されていない。ファンケルのよくあるご質問では、対象のお客様には10月17日中に登録メールアドレス宛に連絡したとしている。当サイトの結論：両社の会員は、氏名・住所・電話番号・生年月日がそろって知られた前提で、両社を名乗るメール・SMS・電話・郵便の指示に従わず、公式サイトや共通専用ダイヤルで確かめる。
トラストバンク「ふるさとチョイス」の不正アクセス（会員情報445万4,097件）：氏名・住所・ハッシュ化されたパスワードなどの流出と、寄附者がやること
株式会社トラストバンクは2026年10月20日、同社が運営するふるさと納税サイト「ふるさとチョイス」の会員情報に第三者による不正アクセスがあり、寄附者の個人情報が外部に流出したと公表した。10月19日に通常と異なるアクセス傾向に気づいて確認したところ、10月17日に不正アクセスがあったことが分かり、10月19日15時50分に関連サービスを止めた。流出を確認したのは会員情報4,454,097件で、項目は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額。10月23日の第2報では、このうち5名についてポイント履歴、寄附履歴、生年月日、送付先などの追加の項目が流出していたと発表した。うち2名は、マイページの保存済みカード情報の表示ページ（下4桁・名義・有効期限）に第三者のアクセスがあった。カード情報は表示のたびに決済代行会社から取得する仕組みで、同社のシステムには保存されておらず、この情報だけでカード決済はできないとしている。会員には10月21日から順次、流出の有無と項目を個別にメールで知らせている。10月26日の第3報では、自治体やお礼の品の取扱事業者が使う寄附管理システムの運用を同日から順次再開したと発表した（同日のよくある質問では10月25日からとしている）。新しい寄附の受付は再開しておらず、寄附者向けサイトの再開時期は未定。全会員のパスワードは無効化されており、再開後に新しいパスワードの設定が必要になる。当サイトの結論：会員登録をしていた人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを変え、ふるさとチョイスや自治体を名乗る連絡のリンクを開かない。
アンドエスティHDの不正アクセス（顧客情報 約250万件）：流出の可能性がある項目と、会員がやること
株式会社アンドエスティHDは2026年10月23日、同社の業務サーバーへの第三者による不正アクセスで、顧客・取引先・従業員の情報の一部が外部に流出した可能性があると公表した。発表によれば、10月22日午前7時30分頃から複数のサーバーに順次ログイン試行・侵入・データ抽出が行われ、同社は午前10時頃に検知してサーバーを隔離、17時までに経路を遮断した。流出の可能性があるのは、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）と取引先約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）で、従業員は範囲を確認中。クレジットカード情報などの決済情報と、顧客自身が設定したパスワードは含まれないとしている。WEBストア「アンドエスティ」は不正アクセスの影響を受けていないが、店舗とWEBストアで会員ポイントが使えなくなっている。対象者への連絡を順次始め、問い合わせ窓口を設けるとしている。当サイトの結論：パスワードは含まれないとされているため、今日やるべきことはパスワードの変更よりも、同社やブランドの名前、本物の住所や生年月日を使った連絡を疑うこと。確かめるときは公式アプリか自分で開いた公式サイトから。
メール配信「ブラストメール」に不正アクセス（全契約者の情報と、345契約で配信先リストなど）：メルマガの受信者と利用企業がやること
株式会社ラクスの子会社、株式会社ラクスライトクラウドが提供するメール配信サービス「ブラストメール」で、外部の第三者による不正アクセスがあり、データが外部に持ち出された。同社は2026年10月21日午前0時30分にサービスを緊急停止し、親会社のラクスが同日、第1報と第2報を公表した。発表によれば、第三者がAPI用のサーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出した。販売管理システムからは、すべての契約者の会社名、担当者名、電話番号、メールアドレス、請求先のメールアドレス、契約と支払いの履歴などが持ち出された。クレジットカード番号は同社では持っていない。一部の契約者については配信先リストなど配信に関する情報の漏えいも確認され、10月26日17時の更新では、新たに1件が判明してその契約件数は345件となり、すべてに個別連絡を終えたとしている。侵入経路は調査中で、再開日時は未定。利用組織のお知らせでは、新潟日報社が「新潟日報パスポート」の全会員分、最大約25万3000人の氏名（カタカナ）・メールアドレス・性別・年代などが漏えいしたとし、JR四国は約3万件、横浜市は関係する3件のメール配信、環境省は6つのメールマガジンについて漏えいの可能性を公表した。ギフティは、10月23日時点の288件に自社の契約は含まれていないことを確認したとしている。当サイトの結論：これらの組織のメールマガジンを受け取っている人は、送信元の名前が本物でもリンクを開かず、公式サイトから確かめる。ブラストメールを使っている企業・団体は、個別連絡の有無を確かめ、個人情報保護委員会への報告（同社との連名報告は10月29日まで受付）と本人への通知を判断する。自社の担当者情報も持ち出されているため、ブラストメールやラクスを名乗る請求・再ログインのメールにも注意する。
メドレーの医療機関向けシステム「アットリンク」に不正アクセス：患者の氏名・誕生月日・ログインID・パスワードなどが漏えい、患者と医療機関がやること
株式会社メドレーは2026年10月15日、同社が提供する医療機関業務支援システム「@link（アットリンク）」、患者向けの「アットリンクアプリ」と周辺サービスに第三者による不正アクセスがあったと発表し、10月14日深夜から提供を一時停止した。同社によれば、10月11日に外部の専門機関から不正アクセスの可能性について情報提供を受けて調査を始め、不正アクセスを確認した。10月23日には、第三者が2026年9月下旬から10月中旬にかけて、不正に設置したプログラムを通じて同社のデータベースにアクセスし情報を取得していたことを確認し、個人情報が外部に漏えいしたと発表した。漏えいした項目は、アプリ・WEB予約を使っていた患者について、氏名、フリガナ、誕生月日、メールアドレス（登録した人のみ）、アプリ・WEB予約のログインIDとパスワード、利用した医療機関の名称、利用登録日、最終来院日、クレジットカードの決済履歴（決済日と金額のみ。アプリでオンライン決済を使った人のみ）。アプリ・WEB予約を使っていない患者については、氏名、フリガナ、誕生月日、利用した医療機関の名称、利用登録日、最終来院日、アプリ・WEB予約のログインIDと初期パスワード。クレジットカード番号などは同社で保有していないとしている。対象の医療機関の数と人数は調査中で、該当する人には医療機関と連携して順次通知する。不正アクセスの具体的な手法は、同種の攻撃を誘発するおそれがあるとして公表していない。経路は遮断し、関係する認証情報はすべて無効化した。個人情報保護委員会と厚生労働省に報告している。アプリ・WEB予約のパスワードは引き継がず、サービス再開時に新しく設定する。当サイトの結論：アットリンクのアプリ・WEB予約を使っていた人は、同じパスワードを使い回したサービスのパスワードを変え、受診先の医療機関名や来院に触れる連絡のリンクは開かない。医療機関は、患者からの問い合わせを同社の専用窓口へ案内する。
日本経済新聞社の不正アクセス（約183万件）：氏名・メールアドレスなど約15万件が漏えい、利用者がやること
株式会社日本経済新聞社は2026年10月16日、同社がシステム開発に利用するクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏洩したと発表した。氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含む個人情報が約15万件で、そのうちメールアドレスを含むのが約12万件。残る約168万件は、単体では個人を特定できない識別子のみだった。クレジットカード情報は含まれていない。同社によれば、クラウドサービスにアクセスするための認証情報が何らかの手段で窃取され、10月7日未明から朝にかけて不正アクセスを受けた。同社は不正アクセスに使われた認証情報を無効にし、10月11日に個人情報保護委員会へ報告した。二次被害やシステム停止・データ改ざんなどの異常は16日時点で確認されていない。漏洩が確認された人には個別に知らせるとしている。グループの株式会社日経ナショナル ジオグラフィックは10月22日、自社サービスの一部の利用者の情報が含まれていたと公表した。どのサービスの利用者が対象か、項目ごとの件数、認証情報が盗まれた手段は公表されていない。当サイトの結論：日経やグループ会社を名乗るメール・電話のリンクや番号は使わず、公式サイトから確かめる。
トレジャー・ファクトリー（トレファク）の不正アクセス（メールアドレス74万6,277件）：出張買取・トレファク引越の利用者がやること
株式会社トレジャー・ファクトリーは2026年10月23日、「出張買取」と「トレファク引越」の申込受付などに使う案件管理システムに第三者による不正アクセスがあり、お客様情報などの一部が外部に取得されたと公表した。同社の適時開示によれば、取得を確認したのはお客様情報74万6,277件（メールアドレス。うち11件は氏名と住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が使う端末に関する氏名と端末識別情報1,000件。クレジットカード番号などの決済に関する情報は含まれず、店舗で預かっているお客様情報と同社アプリで管理しているお客様情報は別のシステムで管理しているため対象外とした。10月20日にアクセスログの調査で確認し、同日中に外部からのアクセスと申込フォームの受付を止めた。原因はデータベースへのアクセスに関する脆弱性が悪用されたものとみており、直近で公表されたPHPの脆弱性とは関連がないとしている。二次被害は確認されていない。システムと申込フォームは10月28日をめどに再開する予定。当サイトの結論：出張買取・トレファク引越を申し込んだことがある人は、メールアドレスが知られた前提で、トレファクを名乗るメールのリンクを開かず、公式サイトから確かめる。
カプコンのCAPCOM IDへの不正アクセス（11,774,247件）：メールアドレスなどが漏えい、利用者がやること
株式会社カプコンは2026年10月22日、同社が運営するオンライン会員サービス『CAPCOM ID』（同社のWebサービスや一部のオンラインゲームに必要な共通アカウント）で、第三者による不正アクセスが発生し、お客様情報の一部が外部に漏えいしたと発表した。漏えいしたのは、メールアドレスとシステム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントIP）で、件数は11,774,247件（全世界合計）。そのうち43件は生年月日・性別・国・地域・ニックネームも漏えいした。また、そのうち196件のアカウントでログインパスワードが不正に変更されており、同社はこれらのパスワードをすでにリセットした。10月23日の第2報によれば、この196件のうち19件（日本国内）では、第三者が同社の通販サイト『イーカプコン』のマイページに不正にアクセスし、氏名、氏名（カナ）、電話番号、郵便番号、住所、性別、生年月日、購入履歴、イーカプコンへの問い合わせ履歴、会員アドレス帳が漏えいした。196件のうち残りの177件では、パスワードの不正な変更による情報漏えいは確認されなかったとしている。利用者自身が設定したパスワードの漏えいは確認されておらず、クレジットカード情報は漏えいの対象に含まれない。同社によれば、10月19日に不正アクセスの疑いのある痕跡を発見し、ただちにアクセスの遮断と、原因・影響範囲の調査に着手した。同日に不正アクセスを確認。10月20日に漏えいとパスワードの不正な変更を確認し、10月21日に警察と個人情報保護委員会へ報告した。攻撃手段の特定と対応は完了したとしているが、原因の詳細は公表されていない。第2報で同社は、影響範囲の調査は完了したとし、CAPCOM IDと関連サービスの監視を続けるとしている。CAPCOM IDを使うサービスとゲームは引き続き利用できる。対象者には順次個別に連絡するとし、日本と海外の地域ごとに専用の問い合わせ窓口を設けた。当サイトの結論：CAPCOM IDを持っている人は、カプコンを名乗るメール・SMSのリンクを開かず、電話で個人情報を答えず、同じパスワードを他のサービスで使っているなら変え、二要素認証を設定する。
コミックシーモアの会員情報流出（最大約420万件・ログファイル上の情報）：メールアドレスや生年月日などが流出、利用者がやること
NTTソルマーレ株式会社は、同社が運営する電子書籍ストア『コミックシーモア』への不正アクセスについて、2026年10月15日の初報から10月21日の第4報までを公表した。同社によれば、10月15日にサーバーへの外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止した。10月16日の第2報で、会員情報を管理するシステムから会員情報が第三者へ流出したことを確認したと発表した（件数は精査中）。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したこと、一部のシステムログファイルも閲覧・取得されたことを公表した。10月21日の第4報で、流出を確認した情報を、会員データベース上の登録情報319件（メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別）と、システムログファイル上の情報最大約420万件（メールアドレス、ニックネーム、生年月日、性別。パスワードは含まれない。同じ人の重複を含む可能性がある）とした。クレジットカード情報は対象のシステムで保有しておらず流出していない、購入履歴の流出とMY本棚の流出・消失・欠損は確認されていないとしている。侵入経路と攻撃手法の特定と遮断対応は完了したとしているが、その内容は公表していない。該当者にはメールで連絡する。サービスは停止中で、購入済み作品のWEBでの閲覧などから段階的に再開する予定。再開時には全ての利用者にパスワードの再設定を求める予定としている。当サイトの結論：コミックシーモアと同じメールアドレスとパスワードを他のサービスで使っている人は、今日そのサービスのパスワードを変える。同社を名乗るメールのリンクは開かず、確認は自分で開いたNTTソルマーレのニュースリリースから行う。
岩井コスモ証券の委託先への不正アクセス（4,975名）：漏れた情報と意図しない売買注文、顧客がやること
岩井コスモ証券株式会社は2026年10月16日（親会社の岩井コスモホールディングスの適時開示）、同社のインターネット取引のシステム運用・保守業務を委託している事業者のシステムが第三者による不正アクセスを受け、ネット取引の顧客4,611名の氏名、メールアドレス他が外部へ漏えいしたと発表した。不正アクセスは10月14日に同社が検知した。10月20日の第2報で、アクセス記録と通信記録の再調査により364名が加わり、対象は4,975名となった（その後に新たな不正アクセスがあったものではないとしている）。漏えいした情報に取引暗証番号は含まれず、同社はこの情報では口座へのログインや取引はできないとしている。第2報では、10月14日に売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が発注され（うち5口座で約定）、すでに取引前の状態に戻して顧客の負担は生じていないことも公表した。同社は、この不正取引に漏えいした個人情報は使われていないとしている。原因となった箇所の特定と修正は完了したとし、委託先では管理機能のアクセス制限などの対策が追加された。具体的な手口は公表されていない。当サイトの結論：岩井コスモ証券を名乗る電話やメールのリンクは使わず、自分で開いたログイン画面から注文・約定の履歴を確かめ、気になる点は公式の窓口（0120-405-546）に問い合わせる。
お名前.com デスクトップクラウド（GMOインターネット）への不正アクセス（影響の可能性があるサーバー26,739件）：利用者の情報の持ち出しを同社が確認、補償の内容とFX・証券の利用者が今日やること
GMOインターネット株式会社は2026年10月21日、FX自動売買向けのVPS（仮想サーバー）「お名前.com デスクトップクラウド」に第三者による不正アクセスがあり、一部の利用者のサーバー環境に不正なプログラムが設置されたと発表した。影響の可能性があるサーバーは26,739件で、これは対象となり得る数で、不正アクセスや情報の取得が確認された件数ではないとしている。10月21日4:00から全プランのサーバーを順次停止した。10月24日の第4報では、本サービスのシステムにセキュリティ上の問題が存在し、本サービスの環境への不正なアクセスと、利用者の情報が外部に持ち出された事実を確認したとし、一部の利用者から取引口座で身に覚えのない取引があったとの報告を受けているとした。どの情報が何人分持ち出されたか、侵入経路、被害を受けた口座の数と金額は公表されていない。同社は、本サービスを現在利用しているすべての利用者に一律5,000円のお見舞金を払い、同社が不正アクセスに起因すると認めた不正取引で実現した損失を補償する（取引所等からの返金分を差し引く）と発表した。不正アクセスを受けた現行のシステム基盤はそのまま再開せず、別のクラウド基盤上の代替サービスへの乗り換え（乗り換え後6か月無償）を案内する。同社によれば、攻撃者とみられる者から金銭の要求と、応じなければ情報を公開するなどの連絡を受けているが、要求には応じず、証拠を警察に提出したとしている。10月24日の第5報では、利用者に、自分の端末のフルスキャンとバックアップ、FX取引に使っていない端末からのパスワード変更、すでに変えた人も含めたログイン中の全セッションの切断、二要素認証の設定などを改めて求めた。同社は10月26日の第7報で、攻撃者とみられる者から、10月27日12:00に利用者の情報の公開とランサムウェア攻撃を行うとの予告を受けていると発表した。10月27日の第8報では、12:00より前にバックアップを取ったうえでネットワークを切断し、電源を落とし、パソコンにつながるコードを抜くよう求めた。第9報（11:59時点）では、預かって解析を終えた利用者の端末からはマルウェア（ランサムウェアを含む）は確認されていないが、すべての端末の安全を確認したものではないとし、ランサムウェアの被害に遭った利用者が窓口に申し出れば、被害状況を確かめたうえで同等性能の新しいパソコンを提供するとした。同社は10月27日の第10報（13:55時点）で、攻撃者とみられる者が同社と利用者に関する情報と称するものを公開したことを12:30に確認したと発表した（内容は確認中で、事実と異なる部分を含むおそれがあるとしている）。ランサムウェア攻撃は13:55時点で確認されていないとした。公開されたとされるサイトにはアクセスも拡散もしないよう求め、アクセスした人の情報は攻撃者に取得されるとしている。第12報（19:10時点）では、公開された情報に自分の情報が含まれると同社が確認した人に、情報の区分ごとに1万円〜2万5,000円の特別お見舞金（1回の公開につき上限300万円）を払うとし、犯人の特定につながる情報に総額100万米ドルを上限とする懸賞金を設けた（受付は10月28日12:00から）。利用者には攻撃者とみられる側からメールが届き、データを持っている証拠として閲覧履歴の一部が添付されていたと報じられている。同社の代表もブログで、攻撃者が利用者のパソコン内の情報の公開やランサムウェア攻撃で脅していると明らかにしたが、利用者のパソコンが実際に侵害されたとは発表していない。10月26日の第6報では、接続に使った端末のフルスキャン、点検が終わるまでブラウザの同期をオンにしないことなどを求めている。当サイトの結論：FX取引に使っていない端末から証券会社・FX会社のパスワードを変え、全セッションを切断し、取引履歴と残高を確かめる。補償の手続きは同社の公式サイトと登録メールアドレスへの案内だけを使い、取引用のパスワードはどこにも伝えない。
ユミルリンクのメール配信「Cuenote FC」に不正アクセス（延べ約5,163万件に拡大）：エクスプレス予約・スマートEXの会員情報も。メルマガの受信者・利用企業がやること
ユミルリンク株式会社（東証グロース、4372）は2026年10月26日、メール配信サービス「Cuenote FC」への不正アクセスについて第二報を出し、情報漏洩が発生したシステムが49システム、件数が延べ51,628,280件になったと発表した。10月19日の第一報では5システム・延べ約900万件と試算していたが、全システムの記録をさかのぼって調べた結果、10月25日に新たに42システムで不正アクセスとデータ出力の記録を確認した。漏洩件数を調査中のシステムが16あり、延べ件数は増える可能性がある。原因はライブラリの脆弱性で、同社のサポート・品質管理担当者の認証情報の取得、不正プログラムの設置、ログイン時のセッション情報の取得による不正ログインなどを確認したとしている。同社の顧客管理システム「Cuenote BASE」でも、契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態だった。漏洩した個人情報が不特定多数に公開された事実や不正利用は確認されていないという。利用企業のうち、JR東海・JR西日本・JR九州は10月26日、当初は影響がないと報告を受けていた「エクスプレス予約」「スマートEX」で、同サービスでメールを配信した会員のメールアドレス・会員ID・氏名（カタカナ）・会員種別が漏えいしたと発表した。アスマークも同日、自社が利用する環境の登録情報の一部が外部へ不正に取得された可能性が高いとの連絡を受けたとした。当サイトの結論：エクスプレス予約・スマートEXの会員は、カタカナの氏名や会員IDが書かれたメールやSMSでもリンクを開かず、公式アプリやブックマークした公式サイトから確かめる。メルマガの受信者は配信元の企業を名乗るメールのリンクを開かない。利用企業は、自社の環境が対象かをユミルリンクに確かめ、個人情報保護委員会への報告と本人への通知が必要かを判断する。
リクルートのカーセンサーnet・C-MATCHへの不正アクセス（最大3,709,551件）：問い合わせた人の氏名・住所などが漏えいした可能性、利用者と販売店がやること
株式会社リクルートは2026年10月21日、同社が運営する中古車情報サイト『カーセンサーnet』（アプリ版を含む）と中古車販売店向け業務支援サービス『C-MATCH』で、不正アクセスにより利用者や取引先の情報が外部に漏えいした可能性があると発表した。同社によれば、10月17日に『カーセンサーnet』関連システムへの外部からの不審なアクセスを検知し、同日17時頃から関連する全てのサービスを一時停止した。10月20日に、漏えいした可能性のある個人情報の項目と件数（最大値）を把握した。件数は最大3,709,551件で、内訳は、サイト上で販売店に問い合わせた人3,210,421件（大半は氏名・住所。住所は原則として市区町村名まで）、口コミを投稿した人5,289件、C-MATCHに登録のある販売店483,168件（担当者の氏名・電話番号、古物商許認可番号、ログインIDなど。個人事業主は引落口座情報なども）、同社従業員・業務委託先や販売代理店の従業員など10,673件。いずれにもクレジットカードなどの決済情報とログインパスワードは含まれない。原因は第三者からの不正なアクセスで、詳細は調査中。個人情報保護委員会へは速報済みで、対象者には順次個別に連絡するとしている。10月21日時点で二次被害は確認されていない。サービスは10月22日13時頃から、安全性を確認できたものから順次再開している。当サイトの結論：カーセンサーで販売店に問い合わせたことがある人は、氏名と住所を知っている相手からの郵便物・メール・電話が来る前提で、心当たりのない連絡のリンクや添付を開かず、確認はリクルートの発表ページから行う。
H2O IDの個人情報漏えい（約126万件）：阪急百貨店・阪神百貨店予約サイト経由の不正アクセスで、住所・電話番号・生年月日などが漏れた会員がやること
エイチ・ツー・オー リテイリング株式会社と株式会社阪急阪神百貨店は2026年10月19日、阪急阪神百貨店が運営する「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスが発生し、顧客の個人情報の一部が漏えいしたと発表した。10月16日に予約サイトを経由した顧客管理システムへの不正アクセスを確認して同サイトのシステム全体を停止し、10月17日にはE-STORESとRemo Orderでも不正アクセスを確認して両サイトを停止した。10月19日、顧客管理システムで管理しているH2O IDのうち約126万件の個人情報の一部が漏えいしたことが判明した。発表は、ほぼ全てのH2O ID会員の個人情報の一部が漏えいしたとしている。項目はH2O ID、氏名（姓名・漢字カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでのご利用サービス項目。E-STORESとRemo Orderについては漏えいの可能性を調査中で、両サービスが保持する情報として商品注文履歴、クレジットカード情報の一部（カード種別・下4桁・名義・有効期限）、ポイントカード情報の一部、アドレス帳の情報を挙げている。カード番号の全桁とセキュリティコードは保持していない。ログインパスワードの漏えいは確認されておらず、不正利用や二次被害も確認されていない。原因は調査中。E-STORESは10月19日14時に再開した。当サイトの結論：氏名・住所・電話番号・生年月日と利用サービスを知っている連絡が来る前提で、リンクは開かず、確認は自分で開いた公式サイトや発表に載っている窓口で行う。
ニフティの回線申込システムへの不正アクセス（最大542,513件）：会員ID・氏名・住所・電話番号などが対象、光回線の利用者がやること
ニフティ株式会社は2026年10月19日、同社が管理する回線申込・受付管理システムで外部からの不正なアクセスを確認したと発表した（第一報）。同社によれば、10月19日10時20分頃に不正アクセスを確認し、直ちに当該通信元からのアクセスを遮断した。このシステムは同社側で情報を登録するための管理用ツールで、お客様が直接アクセスして申し込むWebサイト（申込フォーム等）とは異なるシステムだとしている。影響を受ける可能性がある情報は最大542,513件で、対象は2019年以降に回線を申し込んだお客様（当社Webサイトをのぞく）、対象サービスは＠nifty光、＠nifty MAX光、＠nifty auひかりプラス。項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスで、これは漏えいした可能性のある情報の全項目であり、実際に漏えいした情報は調査中としている。口座やクレジットカード情報はこのシステムに保有しておらず、漏えいの対象に含まれない。パスワードについての記載はない。原因は公表されておらず、外部の専門機関と連携した詳細調査と、個人情報保護委員会への報告手続きを進めている。当サイトの結論：対象のサービスを2019年以降に申し込んだ人は、氏名・住所・電話番号・生年月日を知っている相手からの連絡が来る前提で、ニフティを名乗るメール・SMS・電話のリンクや指示に従わない。確認は自分で調べた公式の窓口で行う。
Web制作サービス「Studio」に不正アクセス：全登録者の情報とフォームの送信内容が流出した可能性、フォームを送った人とサイト運営者がやること
Studio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、Web制作サービス「Studio」に登録しているすべての顧客について情報が外部に流出した可能性があると発表した。第三者はStudioの一部機能の脆弱性を悪用して不正にアクセスし、環境内のデータを外部から取得できる状態にしていた。不正アクセスを確認できている期間は2026年9月30日〜10月1日（日本時間）で、同社は10月13日に社内の調査で確認し、10月13〜14日に脆弱性の修正と経路の遮断を終えた。流出した可能性があるのは、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、Studioで作ったサイトのフォームに送信された内容、ライブプレビューのURL、API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Webhook通知のURLなど。暗号化して保存していた一部の情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため内容を知られた可能性があるとしている。実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応している。件数と二次被害の有無は調査中。Studioでサイトを作っていた企業・団体も、フォームに送信された個人情報が流出した可能性があると相次いで発表しており、Luupは21,368件、Link-Uグループは7,663件、TRUSTARTは約1,440件、埼玉県のさいたま緑の森博物館は162件としている。デジタル庁も10月22日、10月16日にStudio株式会社から報告を受けたとして、2021年5月〜2023年3月に同庁サイトのお問い合わせフォームに入力された内容（5区分で、区分ごとに最大8,833件など。合わせると最大13,323件＝当サイトの合算）と、Studioアカウントの情報35件が漏えいした可能性があると発表した。個人情報保護委員会への報告について、Studio株式会社は10月17日に顧客へ個別の報告の保留を求めたあと、10月20日に、同委員会との協議の結果、顧客が個別に報告するか、同社と連名で報告するかを選べるようになったと案内した（本人への通知はどちらの場合も顧客が検討する）。10月19日には、営業目的やスパム、安全上の懸念がある内容の回答でも、個人を識別できる情報が含まれるなら原則として本人への通知が必要との回答を案内ページに加えた。当サイトの結論：Studioで作られたサイトのフォームを使った人は、そのサイトの運営者のお知らせを確かめ、問い合わせ内容に触れる連絡のリンクは開かない。サイト運営者は、Studioの案内の順にパスワードと連携の鍵を切り替える。
バーガーキング公式アプリの不正アクセス（約1,118万件）：氏名・生年月日・電話番号などが漏れた会員がやること
株式会社ビーケー・ジャパンは2026年10月15日、同社が運営するバーガーキング公式アプリで第三者による不正アクセスを受け、公式アプリ会員の会員情報が外部に漏えいしたことを確認したと発表した。不正アクセスは2026年10月2日から7日にかけて行われ、10月13日に漏えいが判明した。対象は公式アプリ会員情報約1,118万件で、項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は同社で保持しておらず漏えいしていない、ログインパスワード情報の漏えいは現在確認されていないとしている。原因の詳細は外部専門機関と調査中で、公表時点で不正利用などの二次被害は確認されていない。10月17日時点で続報はない。当サイトの結論：氏名・生年月日・電話番号がそろった本物らしい連絡が来る前提で、リンクは開かず、確認は自分で開いた公式アプリで行う。生年月日を暗証番号やパスワードに使っているなら変える。
ソースネクストの会員情報流出のおそれ（22,519,960件）：メールアドレス・パスワード・住所などが対象、会員がやること
ソースネクスト株式会社は2026年10月15日、同社が管理する会員情報に第三者による不正アクセスがあり、会員の個人情報が外部に流出したことが判明したと発表した。同社によれば、10月9日10時頃から第三者が会員情報取得APIを不正に利用して会員の情報を取得しており、10月13日9時頃に不正アクセスを確認、同日13時36分までに封じ込めを完了した。流出した可能性のある情報は対象件数で22,519,960件。項目はメールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報（加入サービス・登録日・ログイン日等）で、登録状況により項目は異なる。クレジットカード情報は対象のシステムに保存されておらず、流出の対象に含まれないとしている。同社は10月16日の追記で、すべての会員のパスワードを無効化済みで従来のパスワードは使えないとし、新しいパスワードの再設定を求めている。10月19日の取材記事は、暗号化保存と復号状態での流出確認について同社広報の回答を伝えている。同社のよくある質問は、10月16日に外部の独立したセキュリティ専門機関へ依頼して第三者調査を始めたとし、「スーパーセキュリティ」「ウイルスセキュリティ」はこれまでどおり使えること、「1Password」に保存したパスワードなどのデータは同社が保有しておらず流出の対象に含まれないことも説明している。当サイトの結論：ソースネクストの会員登録をしたことがある人は、同じメールアドレスとパスワードの組み合わせを使っている他のサービスのパスワードを先に変え、ソースネクストのパスワードは自分で開いた公式サイトから再設定する。ソースネクストを名乗るメール・SMS・電話・郵便物のリンクや番号は使わない。
ConoHa WING（GMOインターネット）の一部サーバーへの不正アクセス（426アカウント）：Webサーバー領域のデータが対象、サイト運営者が今日やること
GMOインターネット株式会社は2026年9月20日、レンタルサーバー「ConoHa WING」の一部の収容ホスト（Webサーバー）で、一部の利用者のWebサーバー領域に第三者が不正にアクセスし、不正なプログラムを設置したと発表した。対象は426アカウントで、対象の情報は「お客様のWebサーバー領域に保存されたデータ」。不正アクセスと設置は9月3日に始まり、9月16日に検知、9月18日に原因と影響範囲を特定して不正プログラムを排除した。原因は特定したとしているが、内容は公表していない。会員情報・契約情報・支払い情報は別の環境で管理しており、漏えいはないとしている。Webサーバー領域のデータが外部に持ち出されたかどうかは、発表に書かれていない。対象者には登録メールアドレスへ個別に連絡しており、連絡がない利用者は対象ではないとしている。10月15日時点で続報はない。当サイトの結論：まず個別の連絡が届いているかを確かめ、届いていればその指示に従う。そのうえで、Webサーバー領域に置いていた認証情報（wp-config.phpのデータベースのパスワード、.envのAPIキーなど）は読まれたものとして変え、9月3日以降に増えたファイル・管理者・定期実行を確かめる。
IDAREに不正アクセス（12万9,659人）：残高・取引履歴や一部の本人確認書類の番号が漏えい、利用者がやること
株式会社Fivotは2026年10月13日、同社が運営するキャッシュレスアプリ「IDARE」で第三者による不正アクセスがあり、個人情報が漏えいしたと発表した。カスタマーサポート等のために導入していた外部ソフトウェアの脆弱性が悪用され、8月10日〜9月27日に複数回、同社データベースの情報が取得された。対象は9月27日までに登録した12万9,659人（退会済みを含む）。全員について電話番号・メールアドレス・生年月日・ユーザーID・表示名、アカウントの設定とステータス、残高、取引履歴、IDAREカードの名義と有効期限が、一部の人について氏名・住所・性別・利用目的・本人確認書類の番号、IDAREカード番号の下4桁、入金用クレジットカード番号の先頭6桁と下4桁、入金用銀行口座番号の下3桁、リアルカードのアクティベーションコード、2021年10月に終了した貸付サービス「LADDER」のために入力した年収・勤務先などが漏えいした。ログインパスワード、本人確認書類や顔の画像、マイナンバー、カード番号の全桁、セキュリティコード、暗証番号、口座番号の全桁は対象外。不正な取引は確認されておらず、ログインには多要素認証が必須としている。10月21日の第二報では、同日時点でも不正な取引は確認されていないとし、再発防止策と完了の期限（10月30日・11月30日）を示した。外部の専門機関による第三者調査は11月下旬〜12月上旬ごろにまとまる見込みで、完了したら調査報告書を公表するとしている。当サイトの結論：漏れた情報だけでログインや決済はできないが、本当の残高や最近の取引を言い当てる連絡が来ても本物の証拠にはならない。IDARE・カード会社・銀行を名乗る連絡には、届いた経路のまま応じず、パスワード・暗証番号・セキュリティコード・認証コードは誰にも伝えない。
アルカディア「SpeeCAN RAIDEN」に不正アクセス（メールアドレス最大約313.6万件・推定）：自治体の防災メールの登録情報が漏えいの可能性、登録者がやること
株式会社アルカディアは2026年10月13日、同社が運営するメール等の一斉配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、連絡先の名前・メールアドレス・電話・FAX番号、担当者・契約情報、履歴として保存されている配信本文が漏えいした可能性があると発表した。最大件数はメールアドレス約313.6万件、電話番号約10.5万件、FAX番号約1.5万件（いずれも推定値で調査中）。10月11日16時30分に不審な挙動を確認し、12日3時ごろに応急措置、13日11時に侵入経路となったサービス（raiden3、ライデン・スクールのs2）を緊急停止した。10月14日には、NET119と119RAIDENでも漏えいの可能性があると追加し、10月16日の第11報で、NET119は9,020件のメールアドレスに紐づく利用者の名前・生年月日・住所などの個人情報（要配慮個人情報は漏えいしていないことを確認）、119RAIDENはメールアドレス約9.7万件などとした。停止したサービスは10月15日15時ごろに復旧した。決済情報は扱っていない。自治体も各自お知らせを出しており、静岡市は防災メール登録者3万4,336人のメールアドレスなどの漏えいが判明したとし、本物と同じ「@raiden.ktaiwork.jp」を送信元とするカード会社を装った偽メールを確認している。同社は10月21日の第17報で、10月13日1時17分〜7時16分に不正なプログラムによって同社システムからフィッシングメール1,423,428通が送られ、うち少なくとも869,575通は同社が保有するメールアドレスへの配信ではなかったと公表し、外部機関によるダークウェブ調査を行うとした。個人情報保護委員会と総務省への報告を契約者・代理店に代わって行うための案内メールも送っている。10月22日の第20報では、再発防止のため、SpeeCAN RAIDENのログイン時2段階認証を必ず使うよう契約者に求め、10月23日の第22報でライデン・スクールにも同じ設定を求めた。10月23日の第21報で公表した報告書では、原因を、添付ファイルを公開するメディアサーバーの脆弱性から設定ファイルを取得され、サービス間ログイン用のシークレットキーが流出したことなどと説明し、全サービスが漏えいの可能性の対象で、件数は調査継続中（そのうちNET119は9,020件）としている。セキュリティ専門の第三者機関に詳細調査を依頼済み。当サイトの結論：送信元では本物と見分けられないので、防災メールの送信元はブロックせず、カードや個人情報の確認を求めるメールのリンクは開かない。
コミューン「Commune」に不正アクセス（延べ16万6,505人）：企業コミュニティの会員情報が漏えい、会員と運営者がやること
コミューン株式会社は2026年10月9日、同社が運営する企業向けコミュニティサービス「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け、一部のコミュニティで会員情報が漏えいしたと発表した。漏えいは10月5日18時ごろ〜6日21時ごろと、10月7日13時17分〜14時36分に起きた。第一報では、漏えいした会員を最大で約30.7万人（重複を除いた実人数の推計）としていたが、10月21日の続報で、詳しい調査の結果、漏えいの対象となった会員は16万6,505人（会員IDの単位でコミュニティごとに数えた延べ人数。同社が運営するコミュニティや検証用・デモ用のコミュニティを含み、攻撃者が作ったアカウントは含まない）、うちメールアドレスを含む情報が漏えいした会員は12万5,601人と確認した。それ以外の会員で漏れたのは、表示名・自己紹介・非公開グループの所属など。144人はパスワードが本人の操作によらず仮パスワードに変更された。パスワードそのもの、ダイレクトメッセージの漏えいは確認されておらず、決済情報は同社では保持していない。原因は、非公開コミュニティの招待リンクの不正な取得と、管理者へのなりすましと説明している。コミュニティを運営する利用企業も各自のお知らせを出しており、日本能率協会マネジメントセンターの「時間〈とき〉ラボ」ではプロフィール欄の氏名・住所・年齢・電話番号も漏えいした。コミューンは流出したメールアドレスの悪用を防ぐため10月10日0時50分から全コミュニティを止めて臨時メンテナンスを行い、管理者アカウントの二要素認証の必須化などの対策をとった。10月16日、希望した利用企業から順次、Webブラウザ版に限り一部の機能を制限して再開すると発表した（アプリ版、メールアドレスを使った新規登録、パスワードを忘れた場合の再設定は停止中）。臨時メンテナンスや検証で、新たな不正アクセスや漏えいは確認されていないとしている。10月21日の続報では、10月9日に総務省（関東総合通信局）へ速報を出したこと、警察署へ相談を始めたこと、ログの全件解析で攻撃者が残したプログラム・アカウント・設定などは確認されていないこと、第三者機関によるフォレンジック調査の準備を進めていることも公表した。当サイトの結論：参加しているコミュニティの運営企業のお知らせで対象かを確かめ、コミュニティ名を名乗るメールのリンクは開かない。
オンラインの本人確認がICチップ読み取りに変わる（2027年4月）：書類画像の廃止で変わることと、利用者・事業者の準備
犯罪収益移転防止法施行規則の改正（2025年6月24日公布、2027年4月1日施行）で、銀行口座の開設などの非対面の本人確認では、本人確認書類の画像を送る方法と写しを送る方法が原則廃止され、運転免許証やマイナンバーカードのICチップ情報の読み取りと、マイナンバーカードの電子証明書（公的個人認証）が中心になる。対面でも、書類を見せたうえでICチップを読み取る形に変わる。携帯電話のオンライン契約は2026年4月1日にすでに移行済みで、店頭は2027年4月以降。金融庁は2026年10月9日、不正アクセスが相次ぎ、免許証などの画像を含む顧客情報の漏えいも起きている「現下の情勢を踏まえ」、金融機関に施行日を待たずにICチップ読み取りへ移るよう求めた。当サイトの結論：画像は一度漏れると誰でも何度でも使えるが、ICチップの読み取りにはカードの実物と暗証番号が要る。利用者は今のうちに免許証の暗証番号2つとマイナンバーカードの暗証番号を確認し、事業者は書類画像を集めない・残さない方向へ切り替える。
バイトルの不正アクセス（最大約389万件）：漏れたのはメールアドレスのみ、会員が偽の面接連絡や求人勧誘で気をつけること
ディップ株式会社は2026年10月9日、同社が運営する求人サイト「バイトル」「バイトルNEXT」で10月6日に第三者からの不正アクセスを確認し、会員のメールアドレスが一部漏えいしたと発表した。漏えいした可能性のある件数は最大3,885,771件。漏えいした情報はメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報等は含まれていないとしている。原因は、システムの一部機能における仕様の不備を突いた海外からの不正アクセス。同社は海外からのアクセスを全て遮断し、プログラムを改修した。インターネット上への流出や不正利用は確認されていない。対象の会員には10月6日にサービス上で知らせ、順次メール等で個別に案内している。10月10日時点で続報は出ていない。当サイトの結論：漏れたのはメールアドレスだけでも、そのアドレスは求人サイトの会員のものと分かる。面接日程や応募確認を名乗る連絡のリンクは開かず、自分で開いた公式アプリで確かめる。別のメッセージアプリへの誘導や「高額」「即日即金」をうたう誘いには応じない。
ブックオフの情報漏えい（対象約638万人）：対象会員とパスワード変更、通知メールの確認方法
ブックオフグループホールディングス株式会社は2026年10月9日、子会社のブックオフコーポレーション株式会社が提供する国内のブックオフの会員管理システムに第三者による不正アクセスがあり、会員情報が外部に流出したと発表した。10月13日の第2報によれば、10月4日から6日にかけて会員情報が外部から取得され、対象は会員番号ベースで6,427,735件、同じメールアドレスの会員データを1人として数えると6,383,279人（うち退会会員212,371人）。対象はアプリ会員、オンラインストア会員、Web会員で、会員カードだけを使い、アプリやWebの登録をしていない人は含まれない。漏えいした可能性のある情報は氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号で（「職業」「ニックネーム」は10月16日の訂正で追加された）、全員についてすべての項目が漏れたわけではない。クレジットカード等の決済情報、銀行口座情報、店頭買取で読み取った本人確認書類の文字情報、宅配買取の本人確認書類の画像は含まれない。同社は対象者に10月15日からメールで順次連絡し（送信できると確認できたアドレスへの送信は10月22日に完了）、公式オンラインストアと公式アプリのパスワードの変更を求めている。10月23日には、ブックオフ会員サイトにログインして自分が対象かを確かめられるWeb照会機能を追加し、10月22日に本件専用のフリーダイヤルを開設したと発表した。原因の詳細は、今後の不正アクセスを誘発するおそれがあるとして公表を差し控えている。当サイトの結論：アプリ・オンラインストア・Webに会員登録したことがある人は、公式アプリと公式オンラインストアのパスワードを、公式アプリか自分で開いた公式サイトから変え、同じパスワードを使っている他のサービスも変える。ブックオフを名乗るメールやSMSのリンクは開かない。
第一興商の委託先でマルウェア感染（約872万件）：ビッグエコーなどの会員の氏名・生年月日・電話番号が漏れたおそれと、利用者がやること
株式会社第一興商は2026年10月8日、同社が個人情報の取扱いを委託している会社から、その会社の従業員の端末（PC1台）がマルウェアに感染し、同社の顧客情報が漏えいしたおそれがあるとの報告を受けたと発表した。端末には委託業務に関する個人データが一時的に保管されていた。対象は同社店舗で会員登録や予約をした客の約863万1千件（ビッグエコー、メガビッグ、カラオケCLUB DAM、バナナクラブ、B-GARAGE、DKダイニングの各関連。重複を除く）と従業員の約9万3千件の計約872万4千件で、項目は氏名（登録名）、性別、生年月日、メールアドレス、電話番号。パスワードは含まれず、この情報だけでポイントは使えないとしている。実際の外部への漏えいや不正利用、同社のシステムへの影響は確認されていない。10月9日に専用のフリーダイヤルを開設した。10月26日の追記で、対象となる可能性のある客にSMSなどで順次個別に連絡していると公表し、送信元の番号（NTTドコモ・au・楽天モバイルは05036052572〔+815036052572と表示される場合あり〕、ソフトバンクは247473）を示した。この連絡は新たな漏えいが判明したことを意味するものではなく、本件に起因する実際の外部への漏えいや不正利用は引き続き確認されていないとしている。同社は、送信元の番号だけでSMSが本物だと保証されるわけではないとも書いている。当サイトの結論：ビッグエコーやDAMを名乗るクーポン・会員更新・ポイントの連絡や、第一興商を名乗るSMSのリンクは開かず、公式アプリか自分で開いた公式サイトで確かめる。生年月日を暗証番号やパスワードに使っているなら変える。
えきねっと・ビューカード・JR九州のメール漏えいの可能性（2026）｜対処法
東日本旅客鉄道（JR東日本）、株式会社ビューカード、九州旅客鉄道（JR九州）は2026年10月9日、それぞれが会員向けのメール配信に使う外部サービスが、クラウドサービス事業者で起きた不正アクセスの影響を受け、会員の電子メールアドレスなどが閲覧または取得された可能性を否定できないと公表した。対象件数は、JR東日本が最大でえきねっと会員約167万件と大人の休日倶楽部会員約39万件、ビューカードがVIEW's NET登録者のメールアドレス約403万件、JR九州が最大でJR九州Web会員約130万件。えきねっと・VIEW's NET・JR九州Web会員はメールアドレスのみで、大人の休日倶楽部会員はメールアドレスに加えて会員番号、クレジットカード有効期限、生年月日が対象。氏名・住所・電話番号・カード番号は対象外としている。クラウドサービス事業者は、10月7日未明から続く障害の原因を第三者によるランサムウェア攻撃と公表している。同事業者は10月14日の第5報で、障害の影響を受けた領域の仮想サーバー内のデータについて、照会や外部への持ち出しを示す痕跡は確認されず、外部へのデータの流出はなかったと判断したと公表した。JR九州は10月15日、この調査結果の報告を受け、JR九州Web会員のメールアドレスについて漏えいの事実は確認されなかったと公表した。JR東日本も、えきねっとのサイトで、10月15日にメール配信用外部サービスの会社から、えきねっと会員の個人情報の漏えいはなかったと判断したとの報告を受けたと案内している（10月19日に確認）。大人の休日倶楽部会員とビューカードについては、10月19日時点で続報を確認できていない（当サイトが各社のサイトで確認）。クラウドサービス事業者は10月27日の第7報で一連の調査が完了したとし、侵入の原因を、契約者向けの管理画面の認証システムで使っていたオープンソースソフトウェアの脆弱性と公表した。仮想サーバー内のデータの外部への流出はなかったとの判断は変わっていない。当サイトの結論：JR九州は「漏えいの事実は確認されなかった」と公表し、えきねっとも漏えいはなかったとの報告を受けたと案内している。それでも、この件を名目にした偽メールは届き得る。メールのリンクからログインせず、公式アプリか自分で登録したブックマークから確かめる。
ローソンIDに不正アクセス（215万5,345件）：メールアドレス・氏名などが漏えい、会員とアプリ予約の利用者がやること
株式会社ローソンは2026年10月8日、アカウントサービス「ローソンID」と、季節の催事商品をアプリから予約・決済できる「ローソンアプリ予約」に第三者による不正アクセスがあり、個人情報が漏えいしたと発表した。10月7日の調査で、9月12日〜14日にローソンID、9月17日にアプリ予約が不正アクセスを受けていたことが分かった。漏えいを確認した情報は、ローソンIDが215万5,345件（メールアドレス、氏名。ローソンIDを使ったプレゼントの応募などで入力されている場合は性別・電話番号・住所・メルマガ取得情報も）、アプリ予約が26件（氏名、電話番号、クレジットカード番号の一部）。同社は、アプリに関連するシステムが不正に利用され、アプリ上で利用者本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明している。発表の項目にパスワードは含まれていない。10月8日時点で不正利用や二次被害は確認されておらず、10月13日には、個別の案内メールの送信元アドレスに「lawson_id@id.lawson.jp」を追加した。当サイトの結論：ローソンIDを持つ人は、ローソンやポイント・クーポンを名乗るメールやSMSのリンクを開かず、確認は自分で開いた公式アプリで行う。
NewsPicksの個人情報漏えいのおそれ（カード名義・下4桁など最大36.2万件）：管理ツールへの不正アクセスで何が漏れたかと、利用者がやること
株式会社ユーザベースは2026年10月8日、同社が運営する「NewsPicks」で業務に使う管理ツールが第三者による不正アクセスを受け、利用者の個人情報の一部が外部へ漏えいした可能性があると発表した。10月9日の第二報では、管理ツールの脆弱性を突かれたものとし、最大想定件数として、ウェブ決済に関わるカード情報の一部（カード名義・番号の下3桁または下4桁など）36.2万件、メールアドレス32.3万件、所属先の役職の分類27.3万件、所属6.5万件、氏名5.9万件などを公表した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない、パスワードの漏えいも確認されていないとしている。二次被害は確認されていない。当サイトの結論：カードの末尾の数字や勤務先を知っている連絡でも、それだけで本物と判断しない。リンクは開かず、確認は自分で開いた公式アプリやサイトで行い、カードの利用明細を見ておく。
skyticket（アドベンチャー）への不正アクセス（約1,464万件）：パスワードや返金先の口座情報、一部の利用者のカード情報が流出、利用者が今日やること
株式会社アドベンチャーは2026年10月9日、同社が運営する比較予約サイト「skyticket」で、それぞれ経路の異なる3件の不正アクセスがあったと発表した。1件目は管理機能の不正な操作を起点に、他のサーバーとクラウド上のデータへ不正にアクセスされたもので、約1,464万件の氏名（パスポート表記を含む）・生年月日・メールアドレス・電話番号・住所・振込時の依頼人名義が流出し、このうち約413万件はハッシュ化した会員パスワードを含む。2件目は業務管理システムの脆弱性の悪用で、返金先の口座情報などを含む17,780件（重複を含み、ほかに件数を調査中のものがある）が流出した、または流出したおそれがある。3件目はバスの予約完了ページがログインなしで表示できる状態になっていたもので、約12,000件の予約情報が閲覧された、または閲覧されたおそれがある。同社は当初、カード番号は流出した情報に含まれないとしていたが、10月16日の第2報でこれを訂正し、2017年2月〜2018年6月に「skyticketプレミアム」の会費の支払いにクレジットカードを登録・利用した最大6,140名のカード番号・名義人名・有効期限（一部は番号のみ、セキュリティコードは含まない）が、1件目の不正アクセスで流出したと発表した。会員特典の福利厚生サービスの会員ID・氏名・パスワードも流出した。パスポートの画像は流出しておらず、10月9日の発表時点で確認された二次被害は会員1名のアカウントへの不正ログインのみとしている（第2報は、流出したカード情報の不正利用の有無に触れていない）。当サイトの結論：会員は公式サイトかアプリからパスワードを変え、同じパスワードを使っていた他のサービスも変える。対象期間にskyticketプレミアムの会費の支払いにカードを登録・利用した人は、10月以降のカードの利用明細を確かめる。返金・補償・予約変更を名目にした連絡には応じず、口座の暗証番号や認証コードは誰にも伝えない。
PhotoGoods（大興印刷）の決済画面に不正プログラム：カード番号・セキュリティコードが漏れたおそれと、8月6日〜9月11日に利用した人がやること
大興印刷株式会社は2026年9月16日、同社が運営する「PhotoGoods（photo-goods.com）」で第三者による不正アクセスがあり、決済画面等に入力されたクレジットカード情報などを不正に取得するプログラムが設置されていたと発表した。プログラムが設置されていたのは8月6日から、不正プログラムを除去した9月11日まで。この期間に決済画面へカードを入力した人（購入を完了しなかった人を含む）のカード番号・有効期限・セキュリティコードと、氏名・住所・電話番号・メールアドレス、変換して保存された会員パスワードの情報が漏れた可能性がある。同社は、システム上の脆弱性とファイルアップロード機能の悪用による不正アクセスを確認したとしている。対象者の数と実際の漏えい範囲は調査中で、10月7日時点で続報は出ていない。当サイトの結論：期間中にカードを入力した人は、明細の確認に加えてカード会社に番号の変更を相談し、PhotoGoodsと同じパスワードを使っている他のサービスはパスワードを変える。お詫びや返金を名目にした連絡のリンクは開かない。
旭化成セラピューティクスの情報漏えいの可能性（2026）｜対象と対処
旭化成セラピューティクス株式会社は2026年10月6日、医療従事者向けの情報提供サイト「Pharma DIGITAL」がサイバー攻撃を受け、会員データベースの個人情報が閲覧または取得された可能性があると発表した。対象は、氏名・所属施設名・施設住所・職種・診療科などの医療従事者約51万4,000名、それらに加えメールアドレスなどの約4万4,000名、同社従業員約700名（氏名・メールアドレス・写真）。10月2日にサイトの委託先から報告を受け、サイトを停止した。クレジットカード情報と要配慮個人情報は保管しておらず、10月6日時点で不正利用は確認されていない。当サイトの結論：製薬会社や学会、講演会の案内を装った偽のメールが考えられる。メールのリンクからログインせず、医療情報サイトと同じパスワードを使い回していれば変える。
大和証券の委託先への不正アクセス（約11万名・約22万件）：漏れた可能性がある情報と、顧客がやること
大和証券株式会社は2026年10月5日、顧客からのインターネット経由の問い合わせ内容の管理などに使っているサービスの提供元（委託先）のサーバーが不正アクセスを受け、問い合わせ履歴に含まれる約11万名分の氏名、メールアドレス、口座番号等の情報が漏えいした可能性があると発表した。個人を特定できない問い合わせを合わせると約22万件。不正アクセスは10月2日20時33分頃から10月3日8時1分頃までに発生し、同社のシステムへの不正アクセスは確認されていない。同社は、この情報ではオンライントレードを含め口座へのアクセスや取引はできないとし、10月5日時点で不正な取引や情報の公開・拡散は確認されていない。10月6日には委託先側も発表し、同じサーバー上の最大5社の環境から最大713,126件（問い合わせ単位の延べ件数）の問い合わせ情報が取得された可能性があるとした。同じ委託先の件で、シチズン時計（約10万名分）、損害保険ジャパン（問い合わせ単位の延べ約6万件）、オリックス生命保険（約26,500件）も、自社の顧客情報が漏えいした可能性があると発表している。当サイトの結論：口座番号と過去の問い合わせ内容を知っている偽の連絡が考えられる。メールやSMSのリンクからはログインせず、ブックマークか公式アプリから入って、お知らせBOXと操作履歴を確認する。
デンマークの住民登録（CPR）への不正な照会（約880万人）：漏れた情報と、住民・照会の権限を渡す組織がやること
デンマークの研究・教育・デジタル化省は2026年10月5日、住民登録システム（CPR）で、ある民間企業が正規に持っていた照会の権限を何者かが悪用し、約880万人（存命の人、国外に転出した人、亡くなった人を含む）の氏名・住所・CPR番号などを取得したと発表した。CPRには約1100万人が登録されている。CPRの管理部門は10月2日夜に、9月中にシステムで不規則な動きがあったことに気づき、企業の照会の権限を止めた。名前と住所の保護を登録している人の氏名・住所は含まれていない。デンマークの報道によれば、CPRの管理部門は10月9日、照会の権限を持つ1,039社に安全管理のルールを改めて通知し、担当大臣はセキュリティが十分でなかったと認めた。照会用のアカウントに「123456」というパスワードが使われていたとの報道もあるが、公式には確認されていない。当サイトの結論：氏名・住所・CPR番号を正しく言える連絡でも本物とは限らない。住民はMitIDやワンタイムコードを誰にも伝えず、事業者はこの3つを本人確認の根拠にするのをやめる。
国税庁e-Taxで他人の贈与税申告書が閲覧可能に（79人分）：見えた情報と、e-Tax利用者・開発者がやること
国税庁は2026年10月2日、e-Tax（国税電子申告・納税システム）のマイページで、79人分の贈与税申告書などが本人以外の利用者から閲覧できる状態だったと発表した。報道によれば、期間は9月24日8時30分〜25日0時と、25日4時〜15時58分。実際に他人の申告書を閲覧した可能性があるのは19人で、申告書に記載された贈与者や税理士を含め、計203人分の個人情報が見られた可能性がある。原因は9月24日に行ったマイページの「贈与税関係情報」の機能を充実させる改修で生じた不具合で、不具合は解消済み。国税局や税務署の職員が対象者に個別に連絡し、閲覧した可能性のある19人には秘密の保持と削除を依頼した。保存の形跡や二次被害は確認されていない。同時期の新しい基幹システム（KSK2）の不具合とは関連がないとしている。当サイトの結論：対象者には税務署側から個別に連絡が行っている。この件をきっかけにした電話やSMSには、国税庁の案内どおり、一度切って自分で調べた税務署の番号にかけ直す。開発者は、利用者Aとして利用者Bのデータを要求したら拒否されることを、改修のたびに自動テストで確かめる。
アンケートサイトinfoQの不正アクセス（89万4,082件）：漏れた情報と、会員がやること
GMOリサーチ&AI株式会社は2026年10月5日、同社が運営するアンケートサイト『infoQ』が第三者による不正アクセスを受け、会員の個人情報が外部に持ち出されたと発表した。10月14日の第2報で、持ち出された件数を89万4,082件と確定した（第1報では最大94万8,498件）。項目は、氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化されたパスワード、会員ID、ニックネームや保有ポイント数などの会員登録情報。クレジットカード情報とマイナンバーは保有していない。あわせて、611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換され、同社が全額を補填する（サービス再開時にアカウントへ付与）としている。同社は10月7日に全会員のパスワードを無効化した。原因は、同社サイトで使用していたソフトウェアの脆弱性を悪用した侵入としている。当サイトの結論：生年月日と住所まで含むため、本物らしい偽の連絡が届きやすい。infoQと同じパスワードを使っているサービスはすぐに変え、メールアカウントには2段階認証をかけ、infoQを名乗る連絡のリンクは開かない。
ミスターマックスのアプリ・オンラインストアへの不正アクセス（最大約173万人）：氏名・メール・電話番号が漏れた会員がやること
株式会社ミスターマックスは2026年10月6日、同社が運営するMrMaxアプリとオンラインストアのサーバーが第三者による不正アクセスを受け、会員の個人情報の一部が流出したと発表した。対象は2026年10月3日時点で会員登録している最大1,735,154人で、項目は会員ID、氏名、メールアドレス、電話番号（登録状況により異なる）。住所、生年月日、クレジットカード情報、パスワード、購入履歴は流出していないことを確認したとしている。10月3日夕方に不審なアクセスを確認し、ただちにサービスを一時停止、同日中に外部からのアクセスを遮断した。同社は、第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入したとしている。公表時点で悪用の被害は確認されていない。当サイトの結論：名前で呼びかける本物らしいメール・SMS・電話が届く前提で、リンクは開かず、確認は自分で開いた公式アプリや公式サイトで行い、パスワードやカード番号は伝えない。
大阪公立大学のランサムウェア被害（委託先のクラウドストレージから個人情報の漏えいを確認）：学生・卒業生・保護者・教職員がやること
大阪公立大学は、2026年10月2日未明から仮想化基盤システムで大規模な障害が起き、学内ネットワーク、OMUメール、各Webサイト、教務・財務会計・人事給与・図書館などのシステムが止まったと発表した。10月5日の記者会見で、原因をランサムウェア攻撃によるものと判断したと説明した。授業は10月2日から8日まで休講となり、大学は10月9日からすべてのキャンパスで対面授業を再開すると発表した（第4報）。大学は10月21日の第5報で、基盤システムの保守・運用の委託先から、その再委託先が9月下旬にサイバー攻撃を受け、再委託先の正規のアカウントで大学のシステムに不正にアクセスされたことが原因との報告を受けたと発表した。委託先が利用していたクラウドストレージに保存されていた大学に関連する個人情報とシステム関連情報の漏えいが確認されたとの報告も受けており、内容や件数は委託先に確認中としている。記者会見で示した漏えいの可能性のある業務システムの情報（教務システム関連の情報 約13万件など）は大学の仮想化基盤内のもので、これとは別であり、その漏えいの有無は調査を続けている。大学は10月23日、卒業生と保護者向けの相談・問い合わせ窓口を設けた。報道によれば、約500台のサーバーが停止し、バックアップデータの多くも暗号化された。当サイトの結論：大学を名乗る連絡は、メールやSMSのリンクから開かず、OMUエントランスページから確かめる。不審な連絡は大学の相談窓口に伝える。組織は、委託先・再委託先が使うアカウントを棚卸しし、本番と同じ管理者権限で消せないバックアップを1つ持つ。
楽天ドライブの不正アクセス（保存データ15,382アカウント分）：取得・閲覧された情報と、利用者がやること
クラウドストレージサービス『楽天ドライブ』は2026年10月6日、同サービスが使用する一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、情報が取得・閲覧されたことを確認したと発表した。2026年1月29日から9月17日にかけて15,382アカウント分の保存データ（写真・文書等を含む）、8月27日に687アカウント分のアカウント名・ディスプレイネーム・プロフィール用画像URL、同日に313アカウント分のアカウント名・ディスプレイネーム・暗号化されたパスワード・暗号化に加えた文字列・プロフィール用画像URLが対象。二次被害は確認されていないとし、対象者にはメール等で個別に通知する。同サービスは7月30日の不審なプッシュ通知の件で、8月13日時点では保存データへの不正アクセスは確認されていないと告知していた。当サイトの結論：保存したファイルはパスワードと違って取り消せない。通知を確認し、保存していた本人確認書類や契約書は見られた前提で手を打ち、パスワードを変え、楽天ドライブを名乗る連絡や脅迫には応じない。
焼肉きんぐ公式アプリの不正アクセス（約1,079万件）：氏名・電話番号・メールが漏れた会員がやること
株式会社物語コーポレーションは2026年10月5日、同社が運営する『焼肉きんぐ』公式アプリの会員管理システムが第三者から不正アクセスを受け、ユーザー登録数10,808,784件のうち10,788,963件の会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が漏えいしたと発表した。10月2日に不正アクセスを確認して通信遮断と防御措置を行い、10月3日に漏えいを確認した。ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしておらず、クレジットカード等の決済情報は保持していない。漏えいした情報の公開や不正利用は確認されていない。10月20日には今後の強化策を公表し、10月2日朝9時から断続的な不正アクセスを受けたと説明したうえで、『焼肉きんぐ』を含むグループの計11の公式アプリで、氏名と電話番号を保持しない新しいシステムに2027年上半期に切り替える予定とした。メールアドレスの取得は続ける。警察へは届け出済みで、個人情報保護委員会への報告手続きを進めている。原因の詳細は公表されていない。当サイトの結論：アプリ会員のほぼ全員が対象で、次に起きやすいのは焼肉きんぐを名乗るクーポン・ポイント・返金名目のメール、SMS、電話。リンクは開かず、確認は自分で開いた公式アプリで行い、カード情報は入力しない。
アバハウスの個人情報漏えい：注文内容まで漏れたおそれと、偽の返金メールへの対処
株式会社アバハウスインターナショナルは2026年10月2日、海外の第三者によるとみられる社内システムへの不正アクセスで、会員ID・氏名・住所・電話番号・メールアドレス・生年月日・性別・注文情報（注文日時・商品名・金額・お届け先など）が漏えいした可能性があると公表した。同社は、取得された情報の範囲を完全には特定できていないため、購入履歴などから漏えいの可能性があると判断した人に10月2日にメールで個別に連絡した。退会者の会員情報は退会から1か月後に削除しているが、保存している過去の注文の取引記録が対象となった可能性を否定できないとして、退会者にも同じメールを送った。件数は公表されていない。クレジットカード番号とセキュリティコードは決済代行会社のシステムで管理しており、漏えいは確認されていない。発覚のきっかけは、実際の注文内容と一致する不審な返金案内メールを受け取ったという複数の問い合わせだった。同社は10月9日の続報で、侵入経路を遮断して影響の拡大は確認されていないこと、警察へ被害届を提出したこと、金銭的な被害の申し出は確認されていないことを公表した。取得された情報の範囲と原因の詳細は外部の専門機関と調査を続けている。当サイトの結論：注文内容が正しく書かれていることは、そのメールが本物である証拠にならない。返金・欠品を理由とするメールのリンクやLINEには進まず、マイページの注文履歴で確かめる。
AdaptHealthの情報漏えい（約412万人）：健康保険と病状の情報が漏れ、患者は保険の明細と電話を確かめる
米国で在宅医療機器を提供するAdaptHealthは、2026年6月5日の不正アクセスで、患者の氏名、連絡先、属性情報（生年月日などの人口統計的な情報）、健康保険の情報、健康の情報が漏えいしたと公表した。米保健福祉省（HHS）への報告では411万5,802人。同社によれば、社会保障番号（SSN）、口座番号、カード番号は含まれず、悪用は確認されていない。米証券取引委員会（SEC）への7月2日付の報告書によれば、原因は外部の委託先に関わる利用者のセッションがソーシャルエンジニアリング（人をだまして情報やアクセスを得る手口）で乗っ取られたことで、保険請求に使うパスワードを保存したファイルも持ち出され、外部の電子カルテのポータルにもアクセスされた。当サイトの結論：SSNがないので信用情報の凍結より先に、保険の利用明細（EOB）で受けていない医療や届いていない機器の請求がないかを見ることと、機器の再注文を名目にした電話で保険番号を答えないことが大事。運営側の教訓は、委託先のアカウント1つから自社のクラウドと取引先のポータルまで届いてしまう構造を見直すこと。
EPARKリラク＆エステ「PeakManager」の情報漏えい（約2,218万レコード）：健康状態のメモも漏れた、サロン利用者がやること
株式会社EPARKリラク＆エステは、同社が店舗向けに提供する予約管理・顧客管理システム「PeakManager」のデータベースが不正アクセスを受け、顧客情報が外部へ転送されたと公表した。第一報（2026年7月31日）では約3,300万レコード、重複を除いた第二報（9月24日）では約2,218万レコードで、人数への換算は困難としている。漏れた項目は氏名・フリガナ、生年月日、性別、住所、電話番号、メールアドレス、店舗が施術の申し送りとして書いた備考欄（健康状態など要配慮個人情報を一部含む）。第一報では暗号化されたパスワードが漏れた可能性も示し、変更を求めていた。当サイトの結論：PeakManagerは各店舗が自分の顧客台帳として使うシステムなので、EPARKで予約したことがない人も、店舗に名前や連絡先を伝えていれば対象になり得る。サロンや同社を名乗る連絡に応じないこと、マイページのパスワードと使い回し先を変えることを勧める。
韓国の金融機関7社で相次ぐ不正アクセス（新韓銀行は顧客約2万5千人と発表）：年収・融資限度額や住民登録番号が漏れ、顧客がやること
2026年10月1日から4日にかけて、韓国の金融機関7社が外部からの不正アクセスによる情報の流出を公表または報告した。顧客の情報は、新韓銀行が約2万5千人（氏名・電話番号・年収・融資限度額など、うち66件は住民登録番号）、KB国民銀行が119人（暗号化された住民登録番号など）、ハナ銀行が89人（住民登録番号など7項目）、イェガラム貯蓄銀行が約4万人（推定）。報道によると、ウェルカム貯蓄銀行では法人顧客の担当者の情報が最大約2,200件（推定）、現代キャピタルでは住宅ローンの募集人146人（住民登録番号を含む）、BNK釜山銀行では外部の開発委託先の職員11人の情報が流出した。10月4日には李在明大統領が徹底した調査を指示し、金融当局は約500の金融機関に緊急点検を求めた。金融委員会の委員長は同日、AIを使った攻撃の可能性も排除できないと述べたと報じられたが、原因として確認されたものではない。10月5日に警察が正式な捜査に入ったと報じられ、10月6日に金融委員会は消費者警報（注意）を出した。共通の原因は公式に確定していない。当サイトの結論：本物の年収や融資限度額を知っている電話でも、銀行からの連絡とは限らない。電話を切り、自分で調べた代表番号にかけ直して確かめる。
らしんばんの不正アクセス：本人確認書類の番号と振込先口座が漏れたおそれ（書類の画像は漏えいなし）、買取を使った人がやること
株式会社らしんばんは2026年10月1日、同社が運営するサービスへの2026年9月14日〜16日の不正アクセスで、氏名・住所・電話番号・メールアドレス・生年月日・職業などに加え、本人確認書類の種別と番号の情報、買取申込み時に入力された銀行名・支店・口座番号・名義、買取にかかわる同意書の画像、買取明細や注文内容が漏えいした可能性があると公表した。クレジットカード情報とパスワードは漏えいしておらず、マイナンバーは同社では取得していないとしている。10月9日の追記では、免許証を含む本人確認書類の画像は漏えいしていないことを明記した。お知らせには、対象は同社から個別にメールを受け取った人だとする項目も加わった。2026年10月10日時点で、件数と原因は公表されていない。当サイトの結論：口座番号と名義だけでお金を引き出すことはできないが、口座情報や身分証の番号、本当の買取内容を知っていることを材料にした連絡には応じない。暗証番号・ログイン情報・認証コードは誰にも伝えず、本人確認書類の番号が漏れた人は信用情報機関への本人申告を検討する。
ミュンヘン大学（LMU）の学生情報流出（約60万件）：IBANなど口座情報が漏れたおそれと、在学生・卒業生がやること
ドイツのルートヴィヒ・マクシミリアン大学ミュンヘン（LMU）は2026年9月19日、学籍（入学・在籍）に関する基本データを保管するITシステムに無権限の第三者がアクセスし、データが取得されたと考えざるを得ないと公表した。9月28日の続報によれば、対象は入学手続きのシステムに入っていた約60万件のデータで、在学生・卒業生など約50年分にわたる。項目は氏名・生年月日・住所・電話番号・メールアドレスなどで、2005年以降の記録には口座情報（IBANと口座名義人）が含まれ、場合によっては健康保険の番号やBAföG（国の奨学金）の番号、休学理由も含まれる。パスワード、成績、試験情報は対象外。バイエルン州刑事局が捜査に加わっている。原因は公表されていない。当サイトの結論：重いのは、卒業して何年もたった人の口座情報まで残っていたこと。ドイツ・EUの口座を使っていた人は明細を確認し、覚えのない引き落としは銀行で取り消す。LMUを名乗るメールのリンクは開かない。
Metabase脆弱性 CVE-2026-72898｜2026年の漏えい事例と対処
2026年8月、BI（ビジネスインテリジェンス）・分析ツール Metabase の認証なしSQLインジェクション（CVE-2026-72898、CVSS 10.0）が、修正版の公開前から悪用されていたことが分かった。Metabase は自社のクラウド版の利用者の一部（3%未満）と、インターネットから到達できる自前運用のインスタンスが侵害されたと公表している。影響を公表した組織には、暗号資産のハードウェアウォレットを販売する Trezor（物流委託先の分析環境から、注文者 80,689人の氏名・住所・電話番号・メールアドレスなど）、ノートPCの Framework、自動化ツールの n8n、Anaconda 傘下の Kilo Code、ウォレット基盤の Privy などがある。当サイトの結論：漏れた範囲は、侵入された分析ツールがその時点で読めたデータの範囲と一致している。Trezor の利用者はウォレットのバックアップ（リカバリーシード）を誰にも入力・提供せず、自宅住所が知られた前提で郵便や電話の指示にも従わない。分析ツールを運用する側は、修正版への更新に加えて、ツールに読ませるデータを分析に必要な列だけに絞る。
ムラウチドットコムの個人情報漏えい（771万件）：氏名・住所・電話番号が流出、昔の利用者も詐欺の電話や郵便に注意
株式会社ムラウチドットコムは2026年9月15日、Webシステムの脆弱性を悪用された不正アクセスにより、顧客の個人情報7,716,811件が外部へ持ち出されたと公表した（第一報は7月24日）。漏えいしたのは氏名・住所・電話番号と、一部の人のメールアドレス・生年月日・性別。クレジットカード情報とログインID・パスワードは別のシステムで管理しており、対象外とされている。何年分のデータか、退会者を含むかは公表されていない。当サイトの結論：メールアドレスより、本名・住所・電話番号がそろって漏れたことが重い。何年も前に一度買っただけの人も対象かもしれないと考え、同社・ECモール・カード会社を名乗る電話や郵便、SMSに個人情報やお金で応じないこと。
ポーランドMyDrの患者データ流出（最大1880万人）：PESEL・健康情報・連絡先が漏れたおそれと、対象者がやること
ポーランドで1万2000を超える医療機関が使う電子カルテ（電子診療記録）ソフトの会社MyDr sp. z o.o.は2026年8月、外部からの犯罪行為で、同社のクラウドに保存されていたデータベースの内容が第三者にコピーされたと公表した。対象は主に2024年4月12日より前の過去のデータで、ポーランドのデジタル化省は最大1880万人・1万2000超の医療機関に影響し得るとした。同社によれば、項目は氏名、住所、連絡先、PESEL（国民識別番号）、健康に関するデータ、社会保険の情報、勤務先などで、すべてが全員に当てはまるわけではない。原因や侵入の経路は公表されていない。政府はbezpiecznedane.gov.plで自分のPESELが対象かを確かめられるようにし、PESELの登録制限（zastrzeżenie PESEL）を呼びかけている。当サイトの結論：1社のソフトに数千の医療機関の患者情報が集まると、漏えいはその全体に及ぶ。今回コピーされたのは2年以上前のバックアップだった。対象者は確認・PESELの登録制限・病状に触れる脅しへの備えの3つを進める。運営側は、古いバックアップを本番と同じ水準で守っているかを確かめる。
セイコーマートアプリの不正アクセス（約57万人）：住所・生年月日などが見られた会員がやること
株式会社セイコーマートは2026年9月29日、スマートフォン向けの「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正にアクセスしたと発表した。10月5日の第四報によれば、対象はアプリに登録したことがある会員のうち574,647人分で、9月24日までにクラブカードを退会した人は含まれない。閲覧された項目は姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会年月日・退会年月日。パスワード情報と購買履歴は漏えいしておらず、クレジットカード情報は保有していない。同社は10月5日から、全アプリ会員に対象かどうかをアプリのお知らせで通知している。アプリ・WEBでの新規入会、会員情報の閲覧・変更、登録カードの変更の機能は終了し、店舗かフォームでの受付に切り替えた。原因は公表されていない。当サイトの結論：漏れたのは変えられない個人情報の組み合わせで、次に起きやすいのは同社を名乗る本物らしいメール・SMS・電話。アプリのお知らせで対象かを確かめ、連絡のリンクや電話口の指示には従わず、生年月日を暗証番号や他社の本人確認に使っていないかも見直す。
Eストアー「ショップサーブ」の情報漏えい（延べ約885万件）：購入者のカード番号の一部と店舗のパスワードが漏れ、購入者と出店者がやること
株式会社Eストアーは2026年8月1日と2日、同社のネットショップ構築サービス「ショップサーブ」のサーバーで、外部の第三者が2026年5月21日から8月1日にかけて不正なプログラムを実行し、購入者情報を外部へ送信したと公表した。漏えいは最大で延べ885万3,839件。購入者の氏名・住所・電話番号・メールアドレス・勤務先、暗号化された会員IDとパスワード、カード名義・カード番号の一部（先頭6桁と下4桁）・有効期限に加え、出店者の管理画面・メールシステム・FTPのIDとパスワード、振込先口座情報が含まれる。セキュリティコードは保持しておらず対象外で、8月2日時点で二次被害の報告はないとしている。当サイトの結論：購入者の多くは「ショップサーブ」という名前を知らずに、各店のサイトで買い物をしている。どの店かが分からなくても、本物の注文情報やカード番号の末尾4桁を書いた連絡を疑い、カードの利用明細を確認し、使い回したパスワードを変える。出店者は、管理画面・メール・FTPのパスワードを変え、自分の店のページに身に覚えのない変更がないかを確かめる。
手間いらず TEMAIRAZU不正アクセス（2026）｜宿泊客と施設の対処
手間いらず株式会社は2026年9月28日、宿泊予約を一元管理するシステム「TEMAIRAZUシリーズ」への不正アクセスを確認したと公表した。9月21日深夜ごろから、利用施設の予約者にWhatsAppなどのメッセージアプリ、メール、SMSで、予約情報を知っているとみられる不審なメッセージが届き、事前チェックインや予約の維持などを理由に、クレジットカード情報の入力や支払いを求めて外部サイトへ誘導していた。同社は10月7日の第二報で、第三者に閲覧・取得された可能性のある情報を、宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金と公表した。クレジットカード情報と宿泊予約サイトのログイン情報は保持していない。10月9日の適時開示では、これらを含む宿泊予約情報の対象者数を最大で約445万人とし、外部のセキュリティ専門機関に調査・分析を委託したと公表した。利用施設のお知らせによれば、原因は過去に提供していたインストール型サービスの機能の一部にあったセキュリティ上の問題で、9月26日に対策を完了した。当サイトの結論：予約サイトで予約した人も対象になり得る。ホテルを名乗るメッセージがカード情報の再入力や支払いを求めてきたら、内容が正しくても応じず、予約サイトの公式アプリか、宿の公式サイトに載っている電話番号で確かめる。
ヤマト運輸・佐川急便の不正アクセス（佐川急便は流出の可能性 最大約5,323万件、ヤマト運輸は後払いの利用者情報 約526万件）：住所や購入内容の漏えいと、荷物を受け取った人がやること
2026年9月28日にヤマト運輸の「クロネコ代金後払いサービス」、9月30日に佐川急便の「お荷物問い合わせサービス」への不正アクセスが確認され、両社は10月1〜2日に個人情報が漏えいした可能性を公表した。2つは別々の事案で、両社とも関連には触れていない。ヤマト運輸は10月16日の第4報で、後払いの利用者情報 約526万件（氏名・住所・電話番号・メールアドレス・商品明細など、2018年10月1日〜2026年9月28日分）、利用者の一部のお届け先情報 約5万件、加盟店の情報 約4,100件が不正に持ち出されたと公表した。請求金額・債権残高・社員の氏名は持ち出しが確認されなかった。佐川急便は10月23日の第5報で、2026年6月21日〜9月30日（約100日間）に預かった荷物の送り主・届け先の氏名・住所・電話番号などが流出した可能性があるとし、その最大件数を約5,323万件（重複を含む。実人数ではない）と公表した。手書きの送り状の荷物は含まれない。いずれもクレジットカード情報とパスワードは含まれない。ヤマト運輸は10月9日に後払いサービスを再開し、支払い期限を17日間延長した。佐川急便は10月23日に「お荷物問い合わせサービス」を再開したが、Web受付など8つのサービスの停止を続けている。当サイトの結論：佐川急便のほうは、自分で同社を使っていなくても、荷物を受け取っただけで対象になり得る。本名・住所・荷物のやり取りや購入内容を知った相手からの偽の不在通知や督促が来る前提で、届いた連絡のリンクは開かず、公式アプリや購入したショップの注文履歴で自分で確かめる。
イエローハットの不正アクセス（最大約180万人）：氏名・電話番号・メールが漏れた可能性と、会員がやること
株式会社イエローハットは2026年8月28日、店舗の作業予約を受け付ける「イエローハットWEB作業予約システム」が不正なプログラムによる攻撃を受け、最大1,801,499人分の氏名・電話番号・メールアドレス・会員番号が漏えいした可能性があると公表した。8月18日朝に検知し、外部との接続を遮断してシステムを停止した。クレジットカード情報・パスワード・車両情報はこのシステムで保持していないため漏えいはないとしている。同じグループの2りんかんイエローハットでは、2026年4月に別の不正アクセスがあり、アプリのパスワードを含む約318万人分の情報が漏えいしている。当サイトの結論：漏れた可能性があるのは、本人に直接連絡するための情報そのもの。予約・点検・お詫びを名目にした電話・SMS・メールには、そこから返事をせず、公式サイトや店舗で確かめる。
米AssuranceAmericaの情報漏えい（約700万人）：運転免許証の番号が漏れたときにやること
米国の自動車保険会社AssuranceAmericaは2026年7月10日、従業員を標的にした3月16日の不正な活動をきっかけに、第三者が社内のIT環境の一部にアクセスしてデータファイルを複製したと通知した。インディアナ州司法長官の一覧では影響を受けた人は6,998,886人。流出項目は氏名、連絡先、保険契約・事故（請求）情報、運転者・車両情報、運転免許証番号、一部の人の納税者番号（Tax ID）または社会保障番号（SSN）。米国の運転免許証番号は、融資やカードの申込だけでなく、保険や公的給付の申請でも本人確認に使われる。クレジットフリーズだけでは守れないため、住んでいる州の運転免許当局にも番号の流出を伝えることを勧める。
Basic-Fit情報漏えい（2026）｜IBAN流出と会員の対処
欧州のジムチェーンBasic-Fitは2026年4月13日、会員のクラブ来館を記録するシステムへの不正アクセスを公表した。同社によれば、アクセスは発見から数分で止めたが、複数の国の現会員のデータの一部がダウンロードされた。項目は会員情報、氏名・住所、メールアドレス、電話番号、生年月日、銀行口座情報で、パスワードへのアクセスはなかった。同社はロイターに対し、影響は約100万人、オランダ・スペインなど6か国と説明している。当サイトの結論＝ジムの会費には定期的な支払いがあり、SEPA口座振替（ユーロ圏共通の口座引き落とし）を利用している場合には、「会費の引き落としに失敗しました」という偽の連絡は、Basic-Fitが実際に送る督促とそっくりに作れる。会費の状態は必ずアプリで自分で確かめ、リンクからは確かめない。見覚えのない引き落とし元を確認し、正規の会費を慌てて差し戻さないこと。
Booking.comの予約情報への不正アクセス：宿を装う詐欺メッセージの見分け方
Booking.comは2026年4月、許可のない第三者が一部の宿泊者の予約情報にアクセスできた可能性があるとして、対象の予約の暗証番号（PIN）を更新し、宿泊者にメールで通知した。通知や報道によれば、対象は氏名、メールアドレス、電話番号、予約の詳細、宿泊施設とのやりとりなどで、広報担当者は金融情報へのアクセスはなかったとしている。影響の件数や原因は公表されていない。当サイトの結論：宿名・日付・料金が合っていても本物の証拠にならない。判断の基準は、公式アプリで自分で開いた予約確認書の支払いポリシーと一致するかどうか。カード情報の再入力、リンク先での支払い、ポリシーにない振込を求められたら応じない。
CAMPFIREの不正アクセス：対象ユーザー約22.6万件に漏えいのおそれ、利用者・開発者の対策
CAMPFIREの発表によれば、従業員が発行したGitHubの認証情報が第三者に不正利用され、GitHub上で閲覧できた情報をもとに社内業務用クラウド環境の認証情報が取得され、その一部管理領域に不正アクセスされた。プロジェクトオーナー・支援者・パートナーなど計225,846件（対象ユーザーの重複除外）の氏名・住所・電話番号・メールアドレス・口座情報に漏えいのおそれがある（クレジットカード情報は含まれない）。サービス提供基盤は別環境で、不正利用や改ざんは確認されていない。利用者は「返金」「振込先の確認」を名乗る連絡と、口座の明細に注意する。開発・運用側の教訓は2つ。本番環境を守っていても、顧客情報は社内業務用の環境にもある。業務用のトークンは会社の管理外の端末にも置かれうるので、有効期限とアクセスできる範囲を組織の設定で制限する。
カーニバル（Carnival）の情報漏えい：旅券番号が漏れたときに旅行者がやること
カーニバル・クルーズ・ラインの親会社カーニバル・コーポレーションは、2026年4月14日に従業員のアカウントに関わる不正な活動を検知したと公表した。第三者がソーシャルエンジニアリング（人をだます手口）で従業員をだまし、同社のITシステムの一部にアクセスした。4月22日に個人情報がコピーされたと判断。メイン州司法長官への届出では影響を受けた人は5,995,277人。人によって、氏名、住所、メールアドレス、電話番号、生年月日、運転免許証番号や旅券番号などの政府発行の身分証番号が含まれる。漏れたのは旅券の番号で、旅券そのものではない。米国（と日本）の紛失・盗難の届出は旅券そのものを失効させる手続きで、実際になくした・盗まれた旅券のためのもの。本当の危険は、旅行の予定や身分証の番号を知っているように見せかけた連絡。米国居住者は信用情報を凍結する。日本の旅行者を含む全員が、クルーズ会社を装ったメールのリンクを開かない。旅券を本当に届け出るべき場面も知っておく。
仏Cegedim Santéの患者データ流出（約1500万人）：医師向けソフトから漏れたときに患者・診療所がやること
フランスのCegedimグループで医療従事者向けソフトを手がけるCegedim Santéは2026年2月26日、2025年末に、医師向けソフトMLM（MonLogicielMedical.com）を使う医師のアカウントで通常と異なるリクエストの動きを検知したと公表した。MLMを使う医師3800人のうち1500人が影響を受け、MLMのデータベースにある患者の個人データが不正に閲覧または抽出されたとしている。対象は患者の事務情報（氏名、性別、生年月日、電話番号、住所、メールアドレス）と、医師が自由に書く事務的なコメント。ごく一部の患者では、このコメントに機微な情報に関する医師のメモが含まれ得る。構造化された診療記録は無事だったとしている。フランス保健省は対象を約1500万人とし、機微なメモを含むのは約1%と説明したと報じられている。1社のクラウドソフトに数千の診療所の患者情報が集まると、漏えいはそのソフトを使う診療所全体に及ぶ。もっとも深刻だったのは、「事務的なコメント」という軽そうな名前の自由記述欄だった。患者はなりすましと脅しの連絡に備える。診療所は自由記述欄の使い方と、医師ごとのアカウントの普段と違う動きに誰が気づく仕組みかを確かめる。
韓国のEV充電アプリCHAEVIの個人情報流出（29.8万件）：何が漏れ、利用者は何をすればいいか
CHAEVI（채비）の2026年7月26日・30日の告知によれば、7月23日の外部からの不法なハッキング攻撃で個人情報計298,333件が流出した。内訳はメールアドレスのみ164,858件、メール＋パスワード（暗号化）131,411件、メール＋氏名・連絡先（暗号化）＋性別・生年月日など1,235件、さらにパスワード（暗号化）まで含む829件。住民登録番号・旅券番号・カード番号・口座番号は収集・保有しておらず流出していないという。2025年1月ごろの別の流出も確認され、調査中。告知の流出項目に充電履歴や位置情報はない。詐欺に使われやすいのは、全件で暗号化されずに流出したメールアドレスと「EV充電アプリの会員」という事実。充電料金・未払い・補償を名乗るメールやSMSは基本的に無視し、同じパスワードを使う他のサービスから変える。
米DentaQuestの情報漏えい：多要素認証のコードをだまし取られた事案と、会員がやること
米国で歯科・眼科の給付を運営するDentaQuestは、2026年5月17日から20日にかけて、同社ネットワーク上のデータに第三者がアクセスしたと公表した。ワシントン州司法長官への届出によれば、ソーシャルエンジニアリング（人をだます手口）で従業員1名がだまされ、認証情報と多要素認証（MFA）のコードを渡したことが原因。流出したのは氏名、住所、生年月日、社会保障番号（SSN）、会員番号・保険番号、Medicaid・Medicare番号、歯科・眼科の診療情報。対象項目は人によって異なる。同社は2026年8月3日、全米で2,740万人超を把握していると届け出た。SSNは変えられないので、会員は信用情報の凍結（3社すべて）、IRSのIP PIN、給付明細の確認で守る。組織にとっての教訓は、人が読み上げたり入力したりできる認証要素は、人がだまされれば渡せてしまうということ。これを防ぐのは、フィッシング耐性のあるMFA（パスキー、FIDO2セキュリティキー）と、電話してきた相手の本人確認をきちんと行うヘルプデスクだ。
スペインの電力会社Endesaの情報漏えい（身分証番号・口座番号）：契約内容を知っている詐欺電話への対処
スペインの電力会社Endesa Energíaは2026年1月12日ごろ、悪意ある第三者が同社の営業用プラットフォームに不正アクセスし、基本的な本人情報、連絡先、国民身分証（DNI）番号、電力契約の情報、場合によってはIBAN（銀行口座番号）を持ち出した可能性があると顧客に通知した。パスワードは影響を受けていない。同社はスペインのデータ保護機関（AEPD）に報告しており、影響を受けた人数は公表していない。この情報は、以前からある電力会社をかたる電話詐欺（『料金プランの変更』『供給停止』）を信じ込ませる材料そのもの。DNIや契約内容を言い当てる電話は本物らしく聞こえるが、相手がそれを知っていても本物の電力会社である証拠にはならない。電話はいったん切り、公式番号に自分からかけ直す。IBANは口座引き落としに悪用され得るので明細を確認する。承認していない引き落としは13か月以内なら返金を求められる。
ANTS（France Titres）情報漏えい（2026）｜対象者の対処
フランスの国立安全証書庁ANTS（France Titres）は2026年4月15日、申請ポータル ants.gouv.fr の個人・事業者アカウントのデータが流出した可能性のある事案を検知した。内務省は4月21日、約1170万アカウントが対象になり得ると発表。5月13日公表の国民議会答弁では、個人・事業者1167万アカウントからのデータの抜き取りを説明した。含まれるのはログインID、敬称、氏名、メールアドレス、生年月日、アカウント固有ID、一部のアカウントでは住所・出生地・電話番号で、申請時に提出した添付書類や生体情報は含まれないとしている。政府は、パスワードを次回ログイン時に変更し、ANTSを装う不審なSMS・電話・メールに最大限の注意を払うよう呼びかけた。ANTSは4月24日から申請ページを保守のため停止し、4月29日から二段階の認証を導入したと説明している。漏れたのは身分証そのものではなく、「この人は身分証や免許の手続きをしている（したことがある）」という事実であり、それこそがANTSや『permis de conduire』（運転免許）を名乗る詐欺の材料になる。身分証を作り直す必要はなく、届いた連絡のリンクを開かずに自分で ants.gouv.fr を開く習慣が最も有効だ。
2026年の政府機関の個人情報漏えい4件（米国防総省・イリノイ州・ラトビア・フランス税務当局）：市民にできること
2026年、米国・ラトビア・フランスで、政府機関が持つ市民の個人情報が相次いで外に出た。各機関の説明を並べると、情報が外に出た原因は3通りあった：公開設定の誤り（イリノイ州福祉局の地図）、脆弱性のあるシステム（国防総省DMDCのファイル共有システム、ラトビアCSDDのWebアプリ）、なりすまされた職員・委託先の認証情報（フランスDGFiP）。民間のサービスなら退会や解約という手があるが、税や福祉などの行政サービスは利用をやめられない。だから市民は、漏れた後にできる4つの対策に集中する。公式窓口で通知を確かめる、税・給付のオンラインアカウントのログインを強化する、機関を名乗る連絡には自分で調べた番号でかけ直す、開示請求で何が漏れたかを自分で確かめる。
Canvas（Instructure）の情報漏えい：履修情報とメッセージの流出で学生・教員・学校がやること
学習管理システム（LMS）Canvasの運営会社Instructureによれば、2026年4月29日に不正な活動を検知し、ユーザー名、メールアドレス、コース名、履修情報、メッセージが持ち出された。同社は、パスワード、生年月日、健康情報、社会保障番号、金融情報、成績、懲戒記録を保存する項目は含まれないとしている。5月7日には同じ攻撃者が別の脆弱性でログイン後の画面を書き換えた。持ち出された項目は一見重要でなさそうでも、誰がどの授業を取っているかとメールアドレスがそろうと、学校を名乗る本物らしい詐欺メールが作れる。そしてメッセージは自由記述なので、そこに書いたものは何でも対象になり得る。届いた連絡は、学校の公式サイトや普段使っているCanvasなど、公式の窓口だけで確かめる。学校のIT担当者は、通知先の登録、ログの確認、管理者の多要素認証、授業データのバックアップ（Canvasの外への保存）を進める。
英マンチェスター空港グループの情報漏えい（約870万人）：駐車場・ラウンジの予約情報が漏れたときの詐欺対策
英国のManchester Airports Group（MAG）は2026年8月27日付の声明で、2026年8月に権限のない第三者によるサイバーセキュリティ事案があり、マンチェスター、ロンドン・スタンステッド、イーストミッドランズの3空港での駐車場・ラウンジ・Fast Track（保安検査の優先レーン）の予約と、空港内Wi-Fiの登録に関わる顧客データが取得されたと公表した。対象はメールアドレス、電話番号、車両登録番号（ナンバー）、郵便番号。MAGも侵入されたシステムも銀行やカードの情報は保持していないとしている。MAGは、通知を受けた人のデータは公開された状態になったと説明している。報道によれば、影響を受けたのは約870万人（MAGの広報担当者の説明）。空港の運用システムは関係せず、運航への影響はない。連絡先にナンバーや郵便番号が組み合わされると、偽の連絡が本物らしくなるおそれがある。ナンバーや予約に触れた『返金』『予約に問題』『駐車違反』の連絡でも、リンクは開かず、自分で空港の公式サイトの予約管理を開けばよい。本物の変更・取り消しはそこで無料でできるとMAGは案内している。
数学学習サービスMathspaceの情報漏えい（生徒・保護者など約108万人）：保護者・学校がやること
数学の学習サービスMathspaceは2026年9月5日付（9月8日更新）の公式ブログで、同社が自社で運用する社内の集計（レポート）システムの脆弱性を突かれ、生徒、保護者、学校の教職員、同社の従業員の情報が取得されたと公表した。影響はオーストラリアとニュージーランドの1,079,819人。対象はユーザーID、ユーザー名、氏名、メールアドレス、国、タイムゾーン、ユーザーの種別、メール確認の状態、最終利用日、最終ログイン日、登録日。パスワード（保存用に変換した値＝ハッシュを含む）、認証トークン、SSO（シングルサインオン）の認証情報、学習記録や成績は含まれないとしている。同社の説明では、ソフトウェアの開発元が8月6日に重大な脆弱性の修正を公開したが、同社の脆弱性の通知の仕組みはこれを拾えず、8月10日からの不正アクセスと8月27日のデータのダウンロードが後に確認された。当サイトの結論：漏れたのは子どものアカウントを含む利用者の名簿で、学校や学習サービスを名乗る本物らしい偽の連絡に使われるおそれがある。家庭では、連絡に書かれたリンクからログインしないこと、確認コードを人に教えないことを子どもと確認する。運営側は、社内向けだからと後回しにされがちな集計ツールも本番システムと同じ速さで更新し、更新後に侵入の痕跡がないかまで確かめる。
メディカ出版のランサムウェア被害（約64万人）：医療職の読者・著者・出版社がやること
株式会社メディカ出版の発表によれば、2026年3月13日にシステム障害を検知し、ランサムウェアによる不正アクセスと判明した。5月13日の調査結果報告では、第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことが起点で、個人情報が外部に持ち出されたことを直接示す確定的な証拠は確認されていないが、可能性を完全には否定できないとして、約641,000人分（重複を含む可能性）を『漏えいのおそれ』として扱っている。対象には読者の氏名・連絡先・メールアドレス、著者の銀行口座番号、従業員の人事情報などが含まれる。クレジットカード情報は同社が保持しない仕組み。同社を装う偽メールも確認されている。当サイトの結論：専門出版社の顧客名簿からは、医療職であることや勤務先が分かる。そのため、教材・セミナー・学会・原稿料を名乗る連絡は、メールのリンクからではなく、自分で開いた公式サイトで確かめる。著者は、口座番号を知っていることを示したうえで暗証番号やネットバンキングの情報を聞き出そうとする連絡に注意する。
米Medtronicの情報漏えい（約383万人）：医療機器を使う患者が確認すること
米医療機器大手Medtronicは2026年4月24日、第三者が同社の社内ITシステム（corporate IT）のデータにアクセスしたと公表した。対象者への通知文によれば、アクセスは2026年4月13日から19日。インディアナ州司法長官の一覧では全米で3,834,294人が対象で、通知は6月29日。対象の情報は氏名、連絡先、生年月日、社会保障番号（SSN）、健康関連情報。同社は、製品のセキュリティや患者の安全、機器が安全に動作し治療を行う能力への影響は確認していないとしている。当サイトの結論：医療機器メーカーは、安全情報や回収の連絡を患者に届けるために患者の情報を持っている。そのため、機器の使用をやめたり登録を取り消したりはしない。SSNは信用情報の凍結とIRS（米内国歳入庁）のIP PIN（税の申告で本人確認に使う番号）で悪用を防ぐ。機器の名前を出してくる電話は、いったん切り、通知文や患者IDカードに書かれた番号にかけ直して確かめる。
オランダの通信会社Odidoの情報漏えい（約639万人）：身分証の番号が漏れたときにやること
オランダの通信会社Odidoは2026年2月12日、同社が使う顧客対応システムからの顧客情報の流出を公表した。広報担当者は約620万アカウントと説明し、のちに同社のFAQは影響を受けた人を約639万人（Odidoと傘下ブランドBenの現・元顧客）としている。人によって、氏名、住所、携帯番号、顧客番号、メールアドレス、IBAN（銀行口座番号）、生年月日、身分証の番号と有効期限などが含まれ、パスワードや通話記録、身分証のスキャン画像は含まれていない。当サイトの結論：身分証の番号は、それだけで契約や手続きができるものではなく、本人を特定する手がかりにとどまる。オランダの身元詐欺窓口（CMI）は、この情報だけでは融資・口座開設・通信契約・新しい身分証の申請はできないとしており、旅券や免許証の作り直しも口座番号の変更も求められていない。本当に危ないのは、漏れた番号を示して本物を装う相手からの連絡だ。またこの事案は、本人確認のために事業者が集めた番号が、その事業者から漏れることがあると示している。
豪Quest Apartment Hotelsの情報漏えい（約199万人）：カード・旅券番号が漏れた宿泊者がやること
オーストラリアのサービスアパートメント・ホテルチェーンQuest Apartment Hotelsは、2026年8月17日に第三者のサービス提供事業者の脆弱性を通じたデータベースへの不正アクセスを確認し、8月19日に公表した。9月16日の発表では、約1,991,613人の顧客の情報（2025年6月より前の記録）が影響を受け、CVV付きのクレジットカード番号46,727件、CVVなしのカード番号297,739件（いずれも期限切れを含む）、旅券・運転免許証番号104,268件、車両登録番号225,300件、NDIS番号271件、メディケア番号46件などが含まれていた。当サイトの結論：CVV（カード裏面などにある3〜4桁の確認コード）付きのカード番号が通知された人は、カード会社に連絡して再発行を相談する。カード業界のセキュリティ基準PCI DSSは、CVVを取引の承認後に保存することを認めていない。なぜ記録に残っていたかは公表されておらず、当サイトは基準に準拠していたかどうかを判断しない。ただ、ホテルの予約記録にCVVが残っている場合があることは、宿泊者が知っておくべき事実である。
APORITOオンラインストア（RIZAP）のカード情報流出のおそれ：利用者とEC事業者がやること
RIZAP株式会社の発表によれば、同社が運営する「APORITOオンラインストア」に第三者が悪意ある不正スクリプトを設置し、2026年5月1日〜8月5日に注文または情報を入力した人の氏名・住所・電話番号・メールアドレスと、クレジットカード番号・有効期限・セキュリティコードが外部へ流出した可能性がある。同社は8月5日に不審な外部送信プログラムを発見して同日サイトを閉鎖し、8月18日時点でも閉鎖と調査を継続している。不正利用や実際の漏えいは確認されていないとしている。当サイトの結論：流出した可能性がある項目にセキュリティコードまで含まれる以上、明細を確認するだけでなく、カード会社に相談してカードを再発行し、番号を変えるのが確実。EC事業者にとっての教訓は、カード情報を自社のサーバーに保存しない「非保持化」だけでは、入力画面に不正なプログラムを仕込まれる被害は防げないこと。日本のクレジットカード・セキュリティガイドラインが求める脆弱性対策5項目に加えて、決済ページの変更を検知する仕組みを持つことを勧める。
香港・信興集団の情報漏えい（約92万人）：家電の修理・保証の連絡を装う詐欺への対処
香港の個人資料私隠専員公署（PCPD）は2026年3月23日に信興集団（Shun Hing Group）から情報漏えいの通報を受け、調査を始めた。PCPDは7月2日、同社が提供した最新情報として、92万1,000人超の個人情報が流出した可能性があり、うち約92万人の顧客の氏名・敬称、住所、電話番号、メールアドレスと、約1,000人の従業員・サービス/製品/仕入先の担当者の身分証明書番号、銀行口座番号、給与などが含まれるとした。約105万人分の個人情報は悪意をもって暗号化された可能性がある。信興集団は7月9日の告知で、当時は情報が悪用された証拠はなく、PanaClubのシステムは停止していると説明した。当サイトの結論：流出した可能性があるのは、家電の配送・設置・保証登録・修理のために顧客が伝えた連絡先。相手が住所や買った家電を知っていても本物の連絡とは限らない。PanaClubの再設定を求めるメッセージのリンクは開かず、自分で公式サイトを開き最新の案内を確かめる。
南アフリカStandard Bankの情報漏えい：身分証番号・口座番号を知っている詐欺電話への対処
南アフリカのStandard Bankは2026年3月23日、一部のデータへの不正アクセスを確認したと公表した。4月14日の続報では、影響を受けた情報は氏名、身分証番号または会社登記番号、連絡先（電話番号・住所・メールアドレス）、口座番号で、のちにB-BBEE区分とVAT登録番号が加わり、データは『公開されたとみられる』とした。取引系の銀行システムと基幹システムへのアクセスはなく、顧客の資金に影響はないとしている。影響人数は公表していない。当サイトの結論：危険なのは、このデータで口座にログインされることではなく、本物の身分証番号と口座番号を読み上げながらStandard Bankを名乗る電話がかかってくること。相手が番号を知っていても、本物の銀行だという証明にはならない。銀行はパスワード・PIN・OTP（ワンタイムPIN）を求めないとしている。電話は切ってカード裏の番号にかけ直し、SAFPSに登録し、信用情報を確認する。
テキサス州TPWD情報漏えい（2026）｜狩猟・釣り免許購入者の対処
米テキサス州公園野生生物局（TPWD）によれば、2026年5月13日、州のサイバー対策機関Texas Cyber Commandが、狩猟・釣り免許の販売を担うTPWDの免許システム委託先に関わるサイバーセキュリティ事案を検知した。権限のない者が、300万人を超える購入者の運転免許証情報、パスポート番号（提出した人のみ）、メールアドレス、電話番号、住所を取得した可能性がある。社会保障番号（SSN）、生年月日、クレジットカードなどの金融情報は取得されていないとしている。テキサス州司法長官の一覧では、影響を受けたテキサス州民は3,087,721人。当サイトの結論：免許は州の機関から買う公的なものだが、購入時に出した身分証の番号は、TPWDが販売を任せた委託先のシステムに保管されていた。購入者が自分で選んだ会社ではない。また免許は毎年更新するのでTPWDからの連絡は自然に見え、詐欺はそれを装いやすい。クレジットフリーズ（信用情報の凍結）をかけ、免許番号が悪用されたときの州公安局（DPS）の手順を知り、更新や支払いは自分で入力したTPWDのアドレスからだけ行うこと。
イタリアの鉄道Trenitaliaの情報漏えい：遅延の払い戻しを装う詐欺への備え
イタリアの鉄道会社Trenitaliaは、身元不明の外部の者によるサイバーセキュリティ事案で、乗車券（titoli di viaggio）に結びつく一部の個人情報に不正アクセスがあったとして、GDPR第34条にもとづく通知を顧客に送った。他社と共同でデータを管理している乗車券についての追加の通知は、これを「2026年6月26日にTrenitaliaが通知したのと同じ事案」としている。対象になり得るのは、氏名・生年月日・出生地、メールアドレス・電話番号、区間・日時・乗車券番号などの旅程、ロイヤルティカードの番号、勤務先、身分証の記載事項など。カンパニア州の共通乗車券（UnicoCampania）の通知では、納税者番号（codice fiscale）と性別も挙げられている。アカウントのログイン情報、パスワード、カード番号などの支払い情報は含まれないとしている。同社はイタリアのデータ保護機関（Garante）とCSIRT Italiaに通知し、ローマ検察に告訴した。当サイトの結論：漏れたのは、いつ、どこへ、どの列車で行くかという旅程の情報で、「列車が遅れたので払い戻します」という偽の連絡を本物らしく見せるのに使える。本物の遅延の補償は、自分で公式サイトやアプリから申請するか、地域線のデジタル乗車券なら購入時のカードに自動で戻る。SMSのリンクからカード番号を入れる払い戻しは存在しないと覚えておけば、SMSの文面が本物らしいかどうかを見極める必要はない。
韓国TVINGの個人情報流出：補償を装う詐欺メッセージと利用者がやること
韓国科学技術情報通信部の官民合同調査団が2026年9月3日に公表した調査結果によれば、TVINGへの侵害で、有効・休眠・退会・テスト用を合わせて3,954万アカウント（重複を含む）の情報が流出した。流出項目はID、氏名、生年月日、連携情報（CI）、重複加入確認情報（DI）、返金用口座番号（暗号化）、パスワード（一方向暗号化）など20項目（70種）で、パスワードは復号できない状態と確認された。当サイトの結論：TVINGが実際に補償の申請を受け付けているため、補償や返金を名乗る偽のSMSがいちばん本物らしく見える。補償は自分で開いた公式アプリでだけ確認し、パスワードは同じものを使っている他のサービスから変える。開発・運用側にとっての教訓は、開発者1人の接続キーで全ソースコードにアクセスでき、そのソースコードの中に本番環境の接続キーが入っていたという構造にある。
米国の医療情報漏えい（2026年）｜主な事例と通知の確認方法
2026年、米国では医療情報の漏えいが相次ぎ、その多くは患者が名前も知らない会社で起きた。HHSの公開一覧で6件を並べると、4件は医療機関などから業務を請け負う委託先（Business Associate）、1件は医療機関から検体と情報を受け取る検査会社、残る1件は医療機関本体だが、侵入のきっかけは委託先側だった可能性があると本人が説明している。当サイトの結論：知らない会社からの通知は、それだけでは詐欺の証拠にならない。通知に書かれた番号やリンクを使う前に、HHSの公開一覧と州司法長官の掲載を自分で開いて照合する。組織側は、患者データを渡した先の一覧、契約終了時の返却・廃棄の確認、フィッシングに強い多要素認証（パスキーなど、偽サイトにだまされても認証を渡してしまわない方式）の3つから始める。
タイムズカー不正アクセス（氏名・住所など6,628,007件、書類画像 約146万件に外部送信の痕跡）：マイページでの確認と、対象者・退会者がやること
タイムズモビリティ株式会社は2026年10月23日の第5報で、外部専門機関によるフォレンジック調査を終え、最終件数を公表した。タイムズカーWebシステムでは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報について6,628,007件で攻撃者によるアクセスと外部送信の痕跡が確認された。暗号化して保管していた本人確認書類の画像は、外部送信の痕跡があるものが1,464,800件（これまで「約160万件に漏えいのおそれ」としていた）、アクセスされたが外部送信の痕跡がないものが891,602件。ハッシュ化されたパスワードの外部送信は4件。関連して不正アクセスが確認されたタイムズクラブWebシステムでは、タイムズクラブカード番号19,510件、連携サービスID135,436件、クレジットカード番号の下4桁28件などに外部送信の痕跡があった（カード番号の全桁とセキュリティコードは保持していない）。原因はWebシステムの脆弱性の悪用。同社は画像の外部送信が確認された人に3,000円相当のお見舞いを渡すとし（内容と渡し方は検討中）、10月23日17時からマイページに一人ひとりの漏えい項目を載せている。当サイトの結論：まずマイページで自分の項目を確かめる。書類画像の外部送信が確認された人は信用情報機関への本人申告と信用情報の開示で備え、全員が同社を装う連絡に反応しないこと。退会者は専用フォームで照会できる。
自分のアドレスから迷惑メールが届いたとき：多くは差出人の偽装、乗っ取りかどうかの見分け方
自分のアドレスから届く迷惑メールの大半は、差出人欄を書き換えただけの詐称で、アカウントは乗っ取られていない。IPAとJC3は『自分のアドレスから送られた』ように見せる脅迫メールを注意喚起しており、IPAは支払わなかったために映像をばらまかれた事例を相談窓口で1件も確認していないとしている。当サイトの結論：差出人欄は送る側が自由に書ける。怖がる前に、送信済み・ログイン履歴・転送設定の3か所を5分で確認する。メールに書かれたパスワードを今も使っているなら、それだけは今日変える。
サブドメイン乗っ取り（dangling DNS）とは：消し忘れたDNS設定から自社ドメインが悪用される仕組み
クラウド資源を消してDNSレコードを消し忘れると『dangling DNS』になり、第三者が同じFQDNの資源を作るだけでそのサブドメインを乗っ取れる。自社サーバーは侵害されないまま、正規のサブドメインが攻撃者のコンテンツを配る。被害は見た目だけではない。多くのWebアプリはセッションCookieをワイルドカードでサブドメインと共有しており、乗っ取られたサブドメインから読める。また公式ドキュメントは、証明書があれば安全という考えを誤解だと明記している。対策は削除の順番を仕組みにすること。
KADOKAWA・ニコニコ ランサムウェア事件（2024）— なぜ被害が全社に広がったか、ネットワーク分離と事業継続
侵入口は従業員を狙ったフィッシングで認証情報が盗まれたことと説明されている。そこから社内ネットに侵入されランサムウェアが実行され、ニコニコを含むグループの多くのサービスが長期停止し、約25万人分の個人情報が漏洩した。被害が全社に広がった背景としては、重要度の異なるシステムが同じネットワークに同居し、十分に『分離（セグメンテーション）』されていなかった点が報道・分析で指摘されている。あなたの環境では、ネットワークを重要度で分け、フィッシング耐性のある認証を用意し、事業継続(BCP)と復旧を備えることで守る。
AI時代に効くセキュリティ対策と効かない対策：小規模サイトでも狙われる理由
AI時代の4つの誤解を正す。①小さいから狙われない→自動化された攻撃は人間が標的を選ばない ②特別な新対策が要る→基本対策が最も効く ③製品を入れれば安心→検知より事故を起こさない設計が先 ④AI生成コードは速くて安全→脆弱性を含んだまま公開されることがあり、公開前レビューが必須。効くのは地味な基本対策を正しい順で進めること。
自分のドメインを名乗るなりすましメールが届いたとき：乗っ取りとの見分け方とSPF・DKIM・DMARCでの止め方
自分のドメインを名乗る不審メールが届いても、多くは“サーバー侵害”ではなく“差出人(From)の詐称”。SMTPはFromを自由に書けるため。ヘッダのAuthentication-Results・Received・Reply-Toを読めば侵害か詐称か見分けられる。受信箱まで届く主因はDMARC未設定。SPF→DKIM→DMARC(p=none→reject)の段階導入で止める。
フィッシングとは：手口の種類と、見分けるより確実な防御
フィッシングは、信頼できる相手になりすまして偽のログイン画面などへ誘導し、認証情報や個人情報を盗む（またはマルウェアを実行させる）詐欺。ソフトの脆弱性ではなく『人の判断』を突くのが特徴で、ランサムウェアや情報漏えいの最大の侵入経路。今は本物そっくりの偽サイトでワンタイムコードまで中継する中間者型(AiTM)があり、SMS/アプリのMFAも突破されうる。確実な防御は『見破る注意力』ではなく、ドメインに紐づくフィッシング耐性MFA(パスキー/物理キー)・リンクを踏まず公式へ直接・メール認証(SPF/DKIM/DMARC)。
ランサムウェアとは：仕組み・侵入経路・身代金を払わずに済むための防御
ランサムウェアは、ファイルを暗号化して『戻したければ身代金を払え』と要求するマルウェア。今は暗号化に加えてデータを盗み『払わなければ暴露する』と脅す二重恐喝が主流で、復号できても情報漏えいは止まらない。主な侵入口はフィッシング・弱い/MFAなしのVPN/RDP・未修正の公開脆弱性。最重要の防御は『オフライン/改ざん不能なバックアップ＋復元テスト』で、払わずに戻せる状態を作ること。侵入対策（MFA・パッチ）と被害範囲（最小権限・分離）も併せて固める。
多要素認証(MFA)の選び方：SMS・認証アプリ・パスキーの違い
MFAは異なる種類の要素を2つ以上使う認証で、2FAはそのうち2種類を使うもの。手順が二段階あるだけではMFAとは限らない。手入力のコードはフィッシング耐性がなく、SMSではSIMスワップにも注意する。重要なアカウントはフィッシング耐性のある方式を優先し、パスキーのPIN・生体認証による利用者確認、同期・復旧の条件も確かめる。
公共Wi-Fiの危険性：盗聴より注意すべき偽のアクセスポイントと証明書の警告
公共Wi-Fiの『盗聴』はHTTPS普及で大半が暗号化され、優先度は下がった。本当のリスクは①偽AP(evil twin)に自分から繋ぐ②証明書警告を無視する③同じネットワークに端末を晒す。効果の高い対策はシンプルで、スマホのテザリングを使う・HTTPSと証明書警告を信じる・知らないSSIDに自動接続しない。VPNはその次の追加策。