公式発表で確認した主な事案
10月15日の公表・続報は10月16日、10月14日の公表・続報は10月15日、ライドオンエクスプレスとIDAREは10月14日、それ以前の行は10月12日に確認しました。 2026年9〜10月の公表・続報から、会員情報・顧客情報の保管と点検を考える主な事案を掲載します。公表日・続報日の新しい順で、続報は同じ組織の行にまとめました。情報の項目は主なものです。各社の公式発表へのリンクから、対象条件と案内を確認してください。
表は横にスクロールできます。確認日を含む右側の列もご覧ください。
| 公表日 | 組織・公表された事案（公式URL） | 対象情報と規模 | 確認日 |
|---|---|---|---|
| 2026-10-15 | ソースネクスト：会員情報取得APIの不正利用によるお客様情報の流出 | 流出した可能性のあるお客様情報は22,519,960件。メールアドレス、パスワード、氏名、住所、連絡先、生年月日、加入サービス等の識別情報など。登録状況により対象項目は異なる。クレジットカード情報は対象外 | 2026-10-16 |
| 2026-10-15（第二報、初報8/28） | イエローハット：WEB作業予約システムへの不正侵入による顧客データの流出を確認 | 1,797,124名様分（会員）。初報の最大1,801,499名様分から特定。氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、パスワード（復元できない状態）。クレジットカード情報の漏えいはないと説明 | 2026-10-16 |
| 2026-10-13（10/14 17:12まで続報・訂正） | アルカディア／SpeeCAN RAIDEN・NET119・119RAIDEN：不正アクセスによる漏えいの可能性。10月14日にNET119・119RAIDENへの影響を追加。同日16:00に119RAIDENの対象の一部を除外し、17:12に映像通報は現時点で漏えいの可能性なしと説明 | SpeeCAN RAIDENの推定最大値：メールアドレス 約3,136,000件、電話番号 約105,000件、FAX番号 約15,000件。連絡先・担当者・契約情報、配信履歴の本文等。NET119の最大件数：約13,000件（氏名、生年月日、住所、連絡先等）。119RAIDENの最大件数：メールアドレス 約97,000件、電話番号 約17,000件、FAX番号 約400件（連絡先・担当者・契約情報、履歴の本文等）。いずれも漏えいの可能性がある件数で、サービス・項目別に合算しない。対象条件は公式本文で確認 | 2026-10-15 |
| 2026-10-14（第2報） | GMOリサーチ＆AI／infoQ：不正アクセスで外部に持ち出された個人情報の件数を確定 | 89万4,082件（第1報の最大94万8,498件から確定）。氏名、生年月日、連絡先、暗号化されたパスワード、会員ID等 | 2026-10-15 |
| 2026-10-14 | アエナ：ECアプリの会員マイページへの不正閲覧 | 閲覧された可能性のある会員数は最大817,215人。氏名、住所、連絡先、お届け先情報、カード番号の下4桁・有効期限・名義等。カード番号全桁・セキュリティコード・ログインパスワードは対象外と説明 | 2026-10-15 |
| 2026-10-14（第3報） | ユニリタ：不正アクセスに関連して公開された情報に自社情報が含まれることを確認 | 漏えいしたファイルを特定し、内容を解析・整理中。参照した発表に件数の記載なし | 2026-10-15 |
| 2026-10-13（第3報） | ライドオンエクスプレス／銀のさら・釜寅・すし上等：登録情報の保管先サーバーへのサイバー攻撃 | 漏えいした可能性のある情報は最大 約650万件。漏えい確定の件数ではなく、明確な痕跡・事実・範囲は未特定。氏名、住所、連絡先、パスワードのハッシュ値、注文履歴等。登録した家族・届け先の情報も可能性の対象に含む | 2026-10-14 |
| 2026-10-13 | IDARE：業務用の外部ソフトウェアの脆弱性を悪用した不正アクセスにより、データベース情報の外部漏えいを確認 | 2026年9月27日までの登録者（退会済みを含む）129,659人。電話番号、メールアドレス、生年月日、残高情報、取引履歴等。一部に本人確認時の申請内容・カード番号の一部等。対象項目は利用状況により異なる。本人確認資料の画像・ログインパスワードは対象外 | 2026-10-14 |
| 2026-10-09 | ブックオフグループ：子会社の会員管理システムへの不正アクセス、会員情報の外部流出を確認 | 漏えい可能性のある会員データ数は最大 約643万件。会員番号の件数で、実人数ではない。氏名、生年月日、連絡先、パスワードのハッシュ値、会員番号等 | 2026-10-12 |
| 2026-10-09 | アドベンチャー／skyticket：サーバーへの不正アクセス | 約1,464万件（このうち、会員のログインパスワードを含むもの 約413万件）。氏名、生年月日、連絡先等。パスワードはハッシュ化した状態 | 2026-10-12 |
| 2026-10-09 | アドベンチャー／skyticket：業務管理システムへの不正アクセス（別経路） | 17,780件（重複を含み、このほか件数を調査中のものあり）。氏名、電話番号、返金先の口座情報等が流出した、または流出したおそれ | 2026-10-12 |
| 2026-10-09 | アドベンチャー／skyticket：バス予約サービスの予約情報閲覧（別経路） | ご予約 約12,000件。同行者を含む人数はこれより多い。予約者・同行者の情報や予約内容等が閲覧された、または閲覧されたおそれ | 2026-10-12 |
| 2026-10-09 | JR東日本：メール配信用外部サービスから閲覧・取得された可能性 | 対象件数（最大）はえきねっと会員 約167万件、大人の休日倶楽部会員 約39万件。前者はメールアドレス、後者はメールアドレス・会員番号・クレジットカード有効期限・生年月日。カード番号とは異なる | 2026-10-12 |
| 2026-10-09 | Sansan：外部クラウド上のSansan User Forum。Sansan等の各サービスとは別システム | 漏えいが確認された対象人数：1325名（メールアドレス、表示名、自己紹介、画像、グループ所属情報）。漏えいの可能性がある対象人数：8687名（表示名、自己紹介、画像、グループ所属情報） | 2026-10-12 |
| 2026-10-09 | パナソニック：運営委託先への不正アクセスにより会員情報が漏えいしたとの報告を受領 | LUMIXコミュニティ 約2,000名、ヘアサプ by Panasonic Beauty 約3,000名。メールアドレスを含む会員情報。両コミュニティを合算しない | 2026-10-12 |
| 2026-10-09 | 日本酒類販売：東京酒粋の外部メールマガジン配信サービスで漏えいのおそれ | 氏名、メールアドレス、誕生月。参照した発表に件数の記載なし。対象となる配信期間は調査中。ECサイトの注文・ログインは別サーバー | 2026-10-12 |
| 2026-10-08 | ローソン：ローソンIDへの不正アクセス | 215万5,345件。メールアドレス・氏名、一部に性別・電話番号・住所・メルマガ取得情報。公式の「対象人数」欄も単位は「件」 | 2026-10-12 |
| 2026-10-08 | ローソン：ローソンアプリ予約への不正アクセス | 26件。氏名、電話番号、クレジットカード番号の一部。IDの件数と合算しない | 2026-10-12 |
| 2026-10-08 | 第一興商：委託先従業員の端末のマルウェア感染。一時保存された情報が対象 | 約8,724,000件について漏えいのおそれ。氏名、性別、生年月日、メールアドレス、電話番号。公表表では顧客情報と従業員情報を含む。参照した発表では実際の漏えいは未確認 | 2026-10-12 |
| 2026-10-07 | エイチ・アイ・エス（HIS）：タイ子会社のファイルサーバーへの不正アクセス。検知は2025-12-11 | 流出した可能性のある情報は、公式PDF1頁「2．今回流出した可能性のあるお客様情報」の表現で「最大627名のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）およびアレルギー情報」。アレルギー情報の対象人数を独自に補わない | 2026-10-12 |
| 2026-10-06 | ミスターマックス：MrMaxアプリ・オンラインストアのサーバーへの不正アクセス | 情報流出の可能性がある対象は最大 1,735,154人（2026年10月3日時点の会員）。会員ID、氏名、メールアドレス、電話番号。登録状況により対象項目は異なる | 2026-10-12 |
| 2026-10-05 | 物語コーポレーション／焼肉きんぐ：公式アプリの会員管理システムへの不正アクセス | 漏えいした件数は10,788,963件。会員番号、氏名、メールアドレス、電話番号。原因・不正アクセスが可能となった経緯は調査中 | 2026-10-12 |
| 2026-09-29 | セイコーマート：アプリサーバーを経由した会員情報への不正アクセス、第三者による閲覧の可能性 | 不正アクセスを受けた可能性のあるユーザーID数は約57万アカウント。氏名、住所、連絡先、生年月日、入退会年月日等。人数に置き換えない | 2026-10-12 |
| 2026-09-26 | 京王電鉄グループ：ランサムウェアによるシステム障害 | 参照した発表では情報漏えいの事実は確認できず、影響範囲を調査中。件数・項目は未公表。漏えい確定の事案としては扱わない | 2026-10-12 |
| 2026-09-25（9/28・29続報、10/1更新） | タイムズカー：Webシステムへの不正アクセス。第1報・第2報・第3報 | 漏えいしたアカウント数 約660万件。退会者・入会未完了者等を含み、氏名、住所、連絡先、運転免許情報等。本人確認書類（運転免許証画像等）が漏えいしたアカウント数は約160万件。画像枚数や実人数には置き換えない | 2026-10-12 |
HISはパスポート情報だけの事案ではなく、アレルギー情報も流出した可能性のある情報に含めています。上表は公式PDFの対象情報・人数の表現を保っていますが、「最大627名」をアレルギー情報の人数にも当てはめた記載ではありません。
タイムズカーの本人確認書類の数字は、画像の枚数ではなくアカウント数です。現在の会員だけでなく退会者等も含まれます。自社の保管情報を調べる際も、現在の利用者数だけで範囲を判断しないようにします。
対象サービスを利用している方が確認すること
自分や業務で使うアカウントが対象か、表の公式発表から対象サービス・登録情報と案内を確認してください。ソースネクストの「件」とイエローハットの「名様分」は合算せず、全員の全項目が漏えいしたとも読み替えません。
- ソースネクストの会員：公式発表の「お客様へのお願い」を確認し、公式サイトのログイン画面の案内に従ってパスワードを再設定します。同じメールアドレスとパスワードの組み合わせを他のサービスでも使っている場合は、そのサービスのパスワードも変更してください。
- イエローハットWEB作業予約システムの利用者：第二報の1頁で対象情報を確認します。初報から住所、生年月日、性別、ログインID、パスワード（復元できない状態）が追加されています。不明な点は第二報に記載された専用相談窓口で確認してください。
- 両社の利用者：身に覚えのないメール・SMSのリンクや添付ファイルを開かず、不審なサイトに個人情報やパスワードを入力しないでください。ソースネクストは電話・郵便物等にも注意を呼びかけています。案内の確認は、届いた連絡のリンクからではなく、表の公式発表や普段使う公式サイトから行います。
上記はソースネクストの「3．お客様へのお願い」と、イエローハット第二報2頁の案内をもとにした確認事項です。両社でパスワードの状態や利用者への依頼が異なるため、各社の案内を分けて確認します。
原因を一括りにできない理由
アプリや会員管理システムへの不正アクセス、委託先の端末、メール配信サービス、会員コミュニティ、ランサムウェアによる障害は、公表された経路や状況が異なります。HISのように検知日と公表日が大きく離れる事案もあり、公表が集中したことは、同じ時期・原因の攻撃だったことを意味しません。
JPCERT/CCの注意喚起は2026年10月8日公開・9日更新で、全事案が同一の攻撃手法によるものとはしていません。管理用API、従業員向け管理システム、BIツールも点検対象としています。IPAの10月9日の注意喚起も、特定製品・サービスの脆弱性を狙った攻撃とは断定していません。
この一覧から、各社の責任や対応の良し悪し、共通する攻撃者、AIの関与、対策の効果は判断できません。外部サービスの事案についても、複数の公表が同じ提供元に関係するかを推測して結び付けません。
NICTの10月13日の注意喚起は、公開Androidアプリの解析で得た情報を使い、接続先サーバを狙う「A2B攻撃」を、相次ぐ漏えいの原因の一つとして示しています。iOSアプリやWebサービスの接続先APIでも同様の問題が起きる可能性に触れていますが、この記事の各事案がこの手口によるものとは判断できません。AIによる解析・脆弱性探索の効率化への注意と、個別事案でAIが使われたという確認も分けて読みます。
JPCERT/CCの10月15日の報告は、国内外のWebサービスに対する攻撃を、攻撃元サーバーの調査で確認したものです。Appendix Aの推奨対策を以下の点検に補足していますが、ソースネクストやイエローハットを含む一覧の各社の原因・AI関与をこの報告に結び付けるものではありません。
今週、担当者・保守会社と確認すること
以下は、公式の注意喚起を中小企業の確認作業に整理した手順です。保守担当者に設定や記録を確認してもらい、確認済み・対応が必要・未確認を分けて残してください。この点検だけで安全を保証するものではありません。
1．保管している情報と、外部に預けた情報を洗い出す
顧客・会員情報、退会者の情報、本人確認書類の画像、パスポート情報、アレルギー情報、問い合わせ、出力した名簿を対象にします。社内の保存場所に加え、メール配信・会員コミュニティなどの外部サービス、委託先の端末や一時保存も確認してください。
担当者に「何のために保存し、誰が管理し、いつまで残すか」を確認します。保存義務と利用目的を確かめた上で、不要な情報の削除方針を決めます。異常の調査に必要な記録まで一緒に消さないよう、保守担当者と対象を分けてください。
根拠はIPAの「保有データの再点検」、個人情報保護委員会の9頁（組織でのデータ管理）・11頁（クラウドサービス）、JPCERT/CC「III．対策」の保存期間・利用目的の確認です。
2．公開システムとAPIを、保守担当者と棚卸しする
会員アプリ、Webサイト、管理画面、従業員向けシステム、BIツール、外部サービスと保守窓口を一覧にします。APIはシステム間で情報や機能をやり取りする接続口です。画面から見えるものだけでなく、非公開・管理用のAPIも管理対象に入っているか確認します。
保守担当者には、APIの一覧、用途、管理担当、最終点検日を確認してください。使っていない公開機能、未適用の修正、業務上不要なインターネット公開があれば、対応担当と期限を決めます。
悪用が確認された製品の注意喚起が出たら、自社や保守会社が対象の製品・版を使っているかを確認します。該当する場合は、更新前に保全する記録・痕跡と、侵害の有無を調べる範囲・担当を保守担当者と決め、速やかに対応してください。更新の適用と、過去の侵害の確認は別です。
10月14日のJPCERT/CCによるSiteGuard Server Editionの注意喚起では、提供元が悪用を確認し、更新で痕跡が消える可能性があるため、痕跡を保全してからの更新を勧めています。同日のIPAによるMicrosoft製品の月例更新の注意喚起も、一部の脆弱性の悪用が確認されているとして至急の更新を呼びかけています（いずれも10月15日確認）。これらを上表の事案の原因とするものではありません。
根拠は個人情報保護委員会の12頁「APIが悪用される事例」、IPAの外部公開アプリケーション・外部サービスの点検、JPCERT/CC「III．対策」です。
3．ログインできることと、情報を取得してよいことを分ける
認証は本人確認、認可はその人がその情報にアクセスしてよいかの確認です。ログインできるだけでは、他の会員や別部署の情報を取得してよいことにはなりません。
保守担当者に、APIで情報を取得するたびに認可する仕組み、非公開APIを含むアクセス制御、不要な情報を返さない設計を確認します。管理者の多要素認証、退職者・異動者の権限、APIトークンの権限・有効期限・無効化の担当も確認してください。トークンの値そのものを点検用の一覧に記載する必要はありません。
JPCERT/CCの10月15日報告のAppendix Aを踏まえ、API認証に使う秘密鍵や有効期間の長い認証情報を、配布するアプリに埋め込んでいないかも保守担当者に確認します。アプリ内の署名処理やコードを読みにくくする難読化だけに頼らず、サーバー側で利用者を認証し、操作する情報と操作内容に応じて認可しているかを確かめてください。秘密情報の値は点検記録に残さず、確認した範囲と対応担当・期限を残します。
根拠は個人情報保護委員会の6頁（認証）・12頁（認可）と、JPCERT/CC「III．対策」のアクセス制御・最小権限・トークン管理です。
4．アクセス回数制限が、機能ごとに設定されているか確認する
保守担当者に、APIの単位時間あたりのアクセス回数制限（レートリミット）の設定状況を確認してください。ログイン、パスワード再設定、SMS送信、検索などについて、機能ごとの利用回数制限も確認します。
「対策済み」という回答だけでなく、対象機能、設定値、設定を確認した日、管理担当を残します。自社の通常業務を妨げない値は、利用状況を踏まえて保守担当者と決めます。未設定・未確認のものは担当と対応期限を記録し、一律の回数で十分とは判断しません。
10月15日報告のAppendix Aは、回数制限と異常なリクエストの監視を推奨しています。正規アプリ以外からのアクセスも想定しているか、どの異常を検知し、誰が通知を受けて対応するかを保守担当者に確認し、次のログの確認につなげます。
根拠はJPCERT/CC「III．対策」のAPI・機能別の利用回数制限と、個人情報保護委員会の12頁です。
5．委託先で確認できる範囲と、ログの担当を決める
外部サービス・委託先ごとに、預けた情報、保存場所、アクセス権限、作業後の削除、事故時の報告・連絡先を確認します。「委託したから自社では分からない」で終えず、契約や安全性評価資料などで確認できる範囲と、提供元に確認が必要な範囲を分けます。
ログについては、保管期間、誰がいつ確認できるか、利用者側・提供者側で見られる範囲を確認します。保守担当者に直近の記録を見てもらい、ログイン失敗やアクセス量などを平時と比較します。IPAは外部公開アプリのログを、直近1か月、その後3か月と段階的に広げて確認する例を示しています。記録が残っていない範囲を、異常なしとは扱いません。
根拠はIPAの外部公開アプリケーション・外部サービスの点検と、個人情報保護委員会の11頁です。
6．アプリの接続先サーバの侵害確認・脆弱性点検・暫定対応を分ける
アプリの画面だけでなく、ログインや会員情報の管理を行う接続先サーバも確認対象です。接続先や仕様が外部から分からないと思っていても、それを安全性の根拠にしないでください。NICT CYNEX Libraryの10月13日の注意喚起が示す3種の対策をもとに、保守担当者へ次を確認します。
- 侵害の確認：公開APIと接続先サーバを洗い出し、不審なアクセスや情報の不正取得を、どのログ・期間で確認したか。記録不足などで調べられない範囲はどこか。
- 脆弱性の点検：利用者ごとの情報取得権限、入力値の検証、サーバ側の脆弱性・設定不備を点検したか。見つかった問題、修正の担当・期限、修正後に確認する範囲は何か。
- 暫定対応：不要なAPIの停止、アクセス制限、監視の強化、認証情報の無効化・再発行が必要か。保守担当者と業務への影響を確認し、実施・解除の判断先と期限を決める。認証情報の値は点検記録に残さない。
確認の範囲や期限を残すことは、社内で進めるための整理です。暫定対応や修正を終えただけで、過去の侵害がなかったとは判断しません。侵害確認の結果と、残る未確認事項を別に記録します。個別の診断・改修は、社内の担当者や開発・運用の委託先、必要に応じて専門事業者と進めてください。
7．異常が見つかったときの連絡と判断先を決める
社内責任者、保守会社、外部サービス提供者・委託先への連絡方法を確認します。異常が見つかったら、保守担当者とログ等の記録を保全し、影響範囲の調査と初動対応につなげます。システムを更新したことと、侵害の有無を確認できたことは別に記録してください。
顧客向けの案内は、確認済みの事実と調査中の事項を分け、責任者の確認を経て準備します。事故対応では、個人情報保護委員会の現行案内で報告・本人通知の要否や期限を確認してください。ここでは個別事案の法的判断は行いません。
根拠はJPCERT/CC「III．対策」の検知体制・初動対応・二次被害防止の呼びかけです。
今週の確認を、担当と期限まで残す
打ち合わせの最後に、各項目について「確認した根拠」「残る不明点」「確認する担当」「期限」を残してください。APIの設定が分からなければ、社内担当者が推測で埋めず、保守会社に確認する項目として記録します。外部サービスのログを取得できない場合も、確認可能な担当と範囲を残します。
点検は自社情報の保管とアクセスの確認です。取引先のシステムが止まった際の代替業務と再開判断は、取引先の停止に備える記事で扱います。顧客情報をAIに入力する検討は、入力前の確認手順へ進んでください。
この時点で分からないこと
- 公式発表で調査中の原因・侵入経路、確定していない漏えい範囲や実人数。一覧の事案間・サービス間で対象者が重複するかは確認できず、数字を足して人数を求めることはできません。
- 国内の全事案と全続報。この記事は出典に示した発表・版の確認であり、確認日以降の追加公表を反映したものではありません。
- 各事案でのAIの利用や共通する攻撃者、自社にも同じ事象が起きるか、点検による被害防止の効果。公開情報から推測して断定しません。
事故件数や人数の読み方は漏えい統計の記事、AIと攻撃の関係は事実と予測を分ける記事で確認できます。全国の数字や報道の印象から自社の安全性を判断せず、手元の情報・設定・担当を確かめる材料として使ってください。