2026年9月から10月にかけて、不正アクセスによる情報漏えいの公表が、相次ぎました。「自分が使っているサービスは、入っているだろうか」と、気になる人も多いはずです。
各社の公式発表をまとめた一覧です。件数や内容は、続報で変わることがあります。かならず、各社の最新のお知らせを、あわせて確認してください。
広告
一覧(公式発表をまとめた72件)
横にスクロールすると、すべての列を見られます。「公表日」は、確認した公式発表の日付です(最新の報)。
| 会社・サービス | 公表日(報) | 件数・対象 | 漏えい(おそれ)の主な情報 | 含まれないと公表されたもの | 公式発表 |
|---|---|---|---|---|---|
| 佐川急便 お荷物問い合わせサービス | 10/23(第5報) | 最大約5,323万件(重複を含む。人数ではない) | 送り状データ(2026年6月21日〜9月30日)の依頼主・届け先の氏名・住所・電話番号。運賃契約者の顧客リスト(氏名・住所・電話番号)。「スマートクラブ」会員の氏名・住所・電話・メール・会員ID | クレジットカード情報、パスワード。手書きの送り状の情報 | お知らせ(第5報) |
| パーク24 タイムズカーWebシステム | 10/23(第5報) | Webシステムから6,628,007件。本人確認書類の画像は、外部送信の痕跡が約146万件 | 氏名、住所など個人情報、本人確認情報(運転免許証などの画像は暗号化)。タイムズクラブでは連携サービスIDなど | クレジットカード番号の全桁とセキュリティコード(保持していない) | お知らせ(第5報) |
| ソニーネットワークコミュニケーションズ So-net | 10/27(10/29更新) | So-net会員2,141,986件(現会員1,869,771、元会員272,215)。plala(Sコース)443,495件 | 氏名、電話番号、メールアドレス、ユーザーID、生年月日、性別、インターネット接続用ID。一部のメールのアドレスとパスワード。口座情報16件、通知書7件 | 会員情報のパスワード、クレジットカード情報。NUROなどほかのサービス | お知らせ |
| 楽天グループ 楽天トラベル | 10/26 | 海外ホテル予約サイトの一部:予約者最大約4万件(うち支払情報最大約3.6万件)、ログインされた利用者最大約260万件。多言語予約サイト:最大約86万件、宿泊施設の従業員最大約4万件 | 氏名、メール、電話番号、居住国、予約情報(施設名・金額など)。支払情報はカードの発行者識別番号・下4桁・名義・有効期限・国際ブランド。多言語サイトはメールと社内用の識別番号など | カードの番号全桁・セキュリティコード、パスワード、パスポートなどの身分証明書情報、住所(海外ホテル予約サイト) | お知らせ |
| カプコン CAPCOM ID | 10/22・10/23 | 11,774,247件(世界の合計)。パスワードが不正に変更されたのは196アカウント | メールアドレスと、アカウント作成日時・最終ログインの日時・ログイン回数・IPアドレスなど。生年月日・性別・国と地域・ニックネームは43件。196アカウントのうち19アカウントは、e-Capcomのアカウントページにアクセスされ、氏名・住所・電話番号・購入履歴などが対象(日本の19件) | クレジットカード情報。利用者が自分で設定したパスワードの漏えいは、確認されていない | お知らせ(英語・10/22) / 更新(10/23) |
| 日本航空・日本トランスオーシャン航空 (委託先アマデウス社のシステム) | 10/30 | 約92,000名(予約記録が外部から参照された形跡。期間は2023年8月10日〜2026年9月23日) | 約90,000名:予約番号・氏名・搭乗日・搭乗区間・搭乗クラス。約2,000名は、さらにメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空券番号・座席番号など | クレジットカード番号、各種パスワード。運航への影響はなし | お知らせ |
| 全日本空輸(ANA) (委託先アマデウス社のシステム) | 10/29 | 調査中 | 当社便の予約情報の一部で、個人情報が参照された形跡(影響範囲は特定中)。10月30日に更新の公式発表があり、報道では約37,800名とされていますが、更新後の本文は確認できていません | (調査中。確認でき次第、対象の顧客に案内) | お知らせ |
| ユミルリンク メール配信「Cuenote」(Cuenote FC・BASE) | 10/26(第二報) | Cuenote FCの49システムで、延べ51,628,280件(調査中が16システム。増える可能性)。Cuenote BASEは190件 | 配信先のメールアドレスや、氏名・都道府県・生年月日などの付属情報(利用企業ごとに異なる)。配信記録、Webアクセス記録、サービスを使う企業担当者の氏名・メール・住所・電話番号 | Cuenote SR-S、SMS、Auth、Survey、Push、安否確認サービスは、影響なし | お知らせ(第二報) |
| ヤマト運輸 クロネコ代金後払いサービス | 10/16(第4報) | お客さま情報 約526万件(メールアドレスを含むのは約49万件)、お届け先情報 約5万件、加盟店情報 約4,100件 | 氏名、住所、電話番号、メールアドレス、商品明細、申込番号・受注日・与信番号など。お届け先の氏名・住所・電話番号・送り状番号。加盟店名・加盟店コード | クレジットカード情報、パスワード情報。「クロネコメンバーズ」など他のサービスからの持ち出しは、確認されていない。サービスは10月9日に再開 | お知らせ(第4報) |
| リクルート カーセンサーnet・C-MATCH | 10/21 | 最大3,709,551件(問い合わせをした利用者3,210,421件、口コミ投稿者5,289件、C-MATCH登録の販売店483,168件、従業員・委託先など10,673件) | 氏名、住所(原則は市区町村まで。町名・番地などまで含む可能性のある件数は最大447,670件)。問い合わせ内容、電話番号、メールアドレスなど。販売店の代表者・担当者の氏名・電話番号、古物商許認可番号、ログインID。個人事業主は、住所と引落口座情報も | クレジットカードなどの決済情報、ログインパスワード | お知らせ |
| ローソン ローソンID・ローソンアプリ予約 | 10/8(10/26更新) | ローソンID 215万5,345件。ローソンアプリ予約 26件 | ローソンID:氏名、生年月日、性別、電話番号、住所(入力している場合)。アプリ予約:氏名、電話番号、クレジットカード番号の一部 | メールアドレスとメルマガ取得情報の漏えいは確認されていない(10月24日に訂正)。予約機能は10月19日に再開 | お知らせ |
| 物語コーポレーション 「焼肉きんぐ」公式アプリ | 10/5 | 登録数10,808,784件のうち、10,788,963件 | 会員番号、氏名(アプリ登録名)、メールアドレス、電話番号 | ログインパスワード、生年月日、性別、郵便番号、ポイントを含む店舗利用履歴。決済情報は保持していない | お知らせ |
| ソニー生命保険 (メディケア生命の保険契約) | 10/28 | 約38.5万件 | メディケア生命の保険契約の、契約者・被保険者の氏名、生年月日、性別、住所、電話番号、証券番号、ご契約内容 | マイナンバー、クレジットカード情報、保険料振替口座情報。「お客さまWEBサービス」などは一時停止 | お知らせ(PDF) |
| 花キューピット インターネット花キューピット・ビジネス花キューピット | 10/28 | 4,238,242件 | ユーザーID(ログインID)、暗号化されたパスワード(そのままでは使用できないもの)、PC用・携帯用のメールアドレス。不正アクセスは10月14〜15日、漏えいの確認は10月19日 | 氏名、性別、生年月日、住所、電話番号、クレジットカード番号、社名、部署名、お届け先情報など。公式ECサイトでメールアドレスを登録した利用者(退会済みの人を含む)が対象。10月28日から個別にメールで連絡。個人情報相談窓口:0120-805-666(外部モール経由・電話注文・加盟店での購入は対象外) | お知らせ |
| ヤクルト本社 公式ホームページ(お問い合わせ・給食サイト会員登録など) | 10/30(第2報) | 約4万件(今後、対象件数・期間などを順次公表) | ①メールお問い合わせフォームの利用者:氏名、性別、年齢層、住所、電話番号、メールアドレス、お問い合わせ内容。②給食サイト「たのしい給食」の会員:氏名、業態、勤務先、所属部署、勤務先の住所・電話番号、メールアドレス、暗号化されたパスワードなど。③報道関係者向けフォームの利用者:氏名、職業、媒体名、会社名、住所、電話、メールなど。④問い合わせに対応した社員:氏名 | クレジットカード情報と銀行口座情報は、預かっていない。10月26日にホームページの機能を停止し、個人情報保護委員会へ第一報、警察へ相談 | お知らせ |
| ギフティ eギフトの発行システム | 10/25〜26 | eギフトが不正に発行された(損失額は適時開示で確認) | お客さまの個人情報の漏えいは確認されていない。お客さまが持つeギフトが不正使用されたり、残高が減ったりしたことも確認されていない | — | お知らせ |
| 松屋フーズホールディングス 松屋公式アプリ(松弁ネット・モバイルオーダー・松弁デリバリー) | 10/29(停止)・10/30(漏えいの発表) | 約238万件(2,379,127件。アプリ会員2,000件(最大3,000件)+松弁ネット等の利用者2,377,127件) | アプリ会員:会員ID、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイント。松弁ネット等の利用者:会員ID、氏名、電話番号、お届け先の住所、松屋ポイント | クレジットカード情報(保持していない)。アプリ会員には、サービス停止期間中の補償を予定 | 公式サイトのお知らせ (漏えいの詳細は公式のPDFに掲載。件数・項目は、ITmedia NEWSの報道で確認) |
| アララ 「アララ メッセージ」 | 10/29 | ご利用企業が保有するメールアドレス約301万件 | メールアドレス | 記載なし(確認された流出情報は、メールアドレス) | お知らせ |
| MICIN クロンオンライン診療 | 10/27 | 医療機関5施設の6アカウント、患者14アカウント。患者73名分が閲覧された | 医療従事者の氏名・メール。患者の氏名・メール・電話・生年月日・住所・性別・カルテ番号・診察券番号・受診状況・医師のメモ。一部は処方箋画像・診察記録 | 本人確認書類、パスワード、クレジットカード情報 | お知らせ |
| 阪和興業 インドネシア子会社(HSSI) | 10/28 | 記載なし | 取引先から提供された業務関連情報と、HSSIの社内情報のファイル(外部流出の確証は得られていない) | 記載なし | お知らせ(PDF) |
| Gunosy 社内業務用アカウント | 10/26 | 取引先25名、役員・従業員・退職者107名 | 取引先の氏名・メール・署名欄の会社名・所属・役職・連絡先、一部メール本文。役職員などの氏名・メール | 「グノシー」などサービス利用者の情報 | お知らせ |
| ニフティ 回線申込・受付管理システム | 10/19(第一報) | 最大542,513件(2019年以降の回線申込者) | 会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス | 口座・クレジットカード情報(このシステムに保有なし) | お知らせ(第一報) |
| Eストアー ショップサーブ | 10/16(最終報) | 約2,335万6,000人(うちカード情報の一部を含む約209万6,900人)。店舗7,858店 | 購入者の氏名・住所・電話・FAX・メール・勤務先、会員ID・暗号化パスワード、カード名義・番号の先頭6桁と下4桁・有効期限(一部)、店舗管理画面のID・パスワードなど | 完全なカード番号、セキュリティコード | お知らせ(最終報) |
| 阪急阪神百貨店(H2O) 予約サイト | 10/19 | H2O ID約126万件 | H2O ID、氏名(漢字・カナ)、性別、メール、郵便番号、住所、携帯電話・電話、年齢、生年月日、H2O IDでの利用サービス項目 | クレジットカード番号全桁・セキュリティコード(保持なし)、ログインパスワード | お知らせ(PDF) |
| ドトールコーヒー 従業員・退職者の社内システム | 10/26 | 951名(4店舗の従業員・退職者) | 氏名、生年月日、住所、メールアドレス、電話番号、銀行口座番号 | 顧客情報(お客様情報への不正アクセスは確認されていない) | お知らせ |
| 両備システムズ 健診予約システム「AITEL」 | 10/30 | 4団体・778件 | 氏名・カナ氏名、性別、生年月日、メールアドレス(任意登録)。5件は電話番号・郵便番号・住所・予約情報も | 既往歴・健診結果などの医療情報、パスワード(漏えいの形跡なし) | お知らせ |
| 医薬品医療機器総合機構(PMDA) 医療機器WEB申請プラットフォーム(DWAP) | 10/29 | 漏えいは認められていない | 不正アクセスとみられる痕跡(10/23〜10/26)。運用を当面停止 | 情報漏えい、データの改ざん・破壊(現時点で認められていない) | お知らせ |
| 十文字学園女子大学 | 9/19に攻撃を確認(10/28掲載) | 調査中 | ドメイン名を含む組織情報が、外部のサイトに掲載されていた(影響範囲は特定中) | 漏えいは現時点で確認されていない | お知らせ |
| 料理王国 「料理王国ウェブマガジン」 | 10/29 | 約8,000件(延べ) | 氏名、会社名、ID、メールアドレス、住所、電話番号、暗号化(ハッシュ化)されたパスワード | クレジットカード情報(保持なし) | お知らせ(PDF) |
| ブシロード 『バンドリ!アワーノーツ』(開発委託先のシステム) | 10/27 | 13,304名(CBT応募者10,194名、関係者71名、アンケート回答5名、サポート問い合わせ3,034名) | CBT応募者:メールアドレス、IPアドレス、応募日時、端末情報。関係者:氏名または電話番号。サポート:問い合わせ本文、端末情報、プレイヤーID、メールアドレス311件、氏名257件、電話番号11件、住所・郵便番号6件 | 氏名・住所・電話・パスワード・カード情報(CBT応募者の分)。プレイヤーIDだけでは、ログインや乗っ取りはできない | お知らせ(PDF) |
| ソニックムーブ 「COMSBI エンタープライズ基盤」 | 10/26 | 導入企業の一部(件数は記載なし) | 管理画面の利用者情報(氏名・メール・暗号化パスワード)、LINE公式アカウントの設定情報、導入企業が保有する利用者の情報(氏名・メールなど。項目は企業ごとに異なる) | クレジットカード情報(保持なし)。SaaS版の利用者には影響なし | お知らせ |
| ELESTYLE 「OneQR」「elepay」の管理システム | 10/29 | 加盟店の登録情報7,162件 | ユーザー名(企業名・氏名を登録している場合も含む)、メールアドレス、システム内部識別子など | ログインパスワード、エンドユーザー情報、カード・口座・取引情報、本人確認書類。決済処理への影響なし | お知らせ |
| NEL 「osina」(データ分析ツールの脆弱性) | 10/29 | 235,329人(10/17の速報時点) | osina会員の氏名・住所・電話・生年月日・銀行口座情報・報酬額・SNSアカウント名・SNS連携の認証情報・LINE/Appleのログイン用ID・利用履歴。取引先担当者の氏名・メール・ハッシュ化パスワード。問い合わせ者・提携候補クリエイターの情報 | 会員のメールアドレスとパスワード(保有なし)、クレジットカード情報(取り扱いなし) | お知らせ |
| サーティワン 「31モバイルオーダー」(DIRIGIOのシステム) | 10/28 | 最大8,174名(注文9,799件、190店舗) | メールアドレス、電話番号、氏名、31Club会員ID。1名は配送先住所も | クレジットカード情報、パスワード。「31Club」アプリは別のシステム | お知らせ |
| SUBWAY 「公式モバイルオーダー」(DIRIGIOのシステム) | 10/28(10/29更新) | 3店舗・注文7件(7名) | 氏名、メールアドレス、電話番号、生年月日、性別、注文内容 | カード情報(決済は外部の決済代行に委託)、会員ID、配送先情報。10/29から注文受付を順次再開 | お知らせ |
| 日本郵便 国際郵便マイページ会員向けメルマガの配信委託先 | 10/29 | 配信を希望した会員の一部(件数は記載なし) | メールアドレスのみ(委託先に提供していたのはこの情報だけ) | 氏名・住所・電話・発送情報などの会員情報の漏えいは確認されていない。マイページ自体は不正アクセスを受けていない | お知らせ |
| ベネフィット・ワン 「トク買」(委託先フォレステックのシステム) | 10/28 | 29,465人(退会済みを一部含む) | 氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費決済の管理番号。決済連携の認証関連情報の一部も漏えいのおそれ(10/26に変更済み) | クレジットカード情報(保有なし)。本件に起因する不正な決済処理は確認されていない | お知らせ(PDF) |
| クラブネッツ CNポイントのサテライトシステム | 10/29(第1報) | 16,936件と2,857件(別々のデータベース。合算していない) | 16,936件:CN会員ID・氏名。2,857件:CN会員ID・氏名・メールアドレス・電話番号・住所 | パスワード情報の流出は確認されていない。CNエクスチェンジ・CNコンテンツ・CNモニターは停止中 | お知らせ(第1報) |
| ゲームトレード アカウント売買サイト | 10/28(第1報) | 調査中 | 電話番号、メールアドレス、氏名、生年月日、性別、住所、ハッシュ化されたパスワード | 本ページに対象外の記載なし。10/27に検知し、同日遮断 | お知らせ(第1報) |
| STORiiY 配送委託先の倉庫管理システム | 10/28 | 10/23以前に発送を手配した全顧客(人数の記載なし) | 氏名、フリガナ、性別、電話番号、メール、FAX番号、住所、顧客番号、支払方法・金額、ポイント、購入明細、定期情報、後払い取引ID、請求書の印字情報。一部は生年月日 | ログインパスワード、クレジットカード番号(確認されていない)。10/24以降の初回利用者は対象外 | お知らせ |
| チャリ・ロト 「チャリロト」アプリ(チャリカ会員) | 10/24 | 373名 | 会員ID、氏名、生年月日、性別、住所、メール、電話番号、会員ランク、チャリカ残高、銀行口座(銀行名・支店・口座番号・カナ名義)、カードの名義・下4桁・有効期限、入出金・精算履歴、投票履歴 | ログインパスワード、カード番号の全桁、セキュリティコード | お知らせ |
| 読宣WEST 四国支社「ヨミポスト」のサイト | 10/26 | 少なくとも1,700人分(ウェブから申し込んだ人・退会手続きをした人) | 住所、氏名、年齢、性別、電話番号、メールアドレス | クレジットカード情報、マイナンバーカード情報 | お知らせ |
| ディアケア 看護情報サイト | 10/26(第一報)・10/28(第二報) | 流出した事実は確認されていない(調査継続中) | プログラムの一部に不適切な変更が加えられていたことを確認。10/24 22時から全サービスを停止中 | 個人情報の流出(確認されていない) | お知らせ |
| イグレックス メール配信「ワイメール」 | 10/24〜10/31(随時更新) | 個人情報の持ち出しは未確認。1メルマガあたり最大30件のメールアドレスが閲覧された可能性 | セットアップ用スクリプト、決済代行会社との接続情報(変更済み)、アプリの設定ファイルなど。一部顧客の環境から、フィッシングメールが送信されたおそれ | クレジットカード情報。顧客の配信環境は11/4ごろから順次再開の見込み | お知らせ |
| スマートシェア SNSキャンペーンツール「OWNLY」(モスフードサービスの案件) | 10/27 | 14,034件(LINE 2,995件・X 11,001件・X 38件) | XまたはLINEのユーザー名・ユーザーID、エントリー日時、抽選・クーポンの取得状況 | 氏名、住所、電話番号、メールアドレス、クレジットカード情報、SNSのパスワード | お知らせ |
| NTTスマイルエナジー 「エコめがね」 | 10/30(第一報は10/29) | 件数は精査中 | 氏名または企業名、住所、電話番号、メールアドレス、サービスのログインID・パスワード | 発表に対象外の記載なし。発電・売電は止まっていないが、異常通知メールが届かない | お知らせ(PR TIMES掲載) |
| 古河電工パワーシステムズ 防災製品部の出荷管理Webシステム | 10/26 | 精査中(件数の記載なし) | 発注者:会社名・氏名・住所・電話番号。製品送付先:会社名・担当者名・住所・電話番号 | クレジットカード情報・口座情報(取り扱いなし)。本システム以外への影響なし。10/14にシステムを停止 | お知らせ |
| 千葉県教育委員会 県立高校7校の学校用メールアカウント | 10/27 | 教職員1件・生徒6件の計7アカウント。迷惑メール48万5,446件(送信先28万7,251件) | アカウントが不正に使われ、迷惑メールが大量に送信された | 個人情報の漏えいは認められていない。10/16に判明し、停止 | 県の発表 |
| 福岡県 地域おこし協力隊サポーターズConeru(Studioの不正アクセスによる) | 10/13確認(10/23更新) | 記載なし | メールフォームに入力した氏名、メールアドレス、電話番号、地域(市町村名)、所属、相談内容 | 現時点で流出は確認されていない。漏えいの有無と範囲は調査中 | 県の注意喚起 |
| アイリスプラザ アイリスオーヤマの公式通販サイト | 10/29 | 調査中(件数の記載なし) | 不正アクセスを確認。サイトを一時停止して、情報漏えいの可能性を調査中 | クレジットカード情報の漏えいは確認されていない | お知らせ |
| ドン・キホーテ・長崎屋・橘百貨店・UDリテール 時計修理の委託先(コックス) | 10/28 | 件数の記載なし(2025年9月以降に時計の修理を依頼した人) | 氏名、住所(一部)、電話番号(一部)。委託先のサーバがランサムウェアで暗号化された | 漏えいの事実は確認されていないが、可能性は否定できない。二次被害は確認されていない | お知らせ(PDF) |
| モイ 「ツイキャス」 | 10/28(第1報)・10/29(第2報) | 個人情報7件にアクセスの痕跡(大規模な流出は確認されていない) | カード有効期限・暗号化された名義情報1件、メールアドレス・活動履歴など6件。サーバーのログデータ(アカウントID・メール)のアクセスも調査中 | クレジットカード番号・セキュリティコード(保持なし)。ログデータに氏名・住所は含まれない。全サービスを停止中 | 適時開示(第2報・PDF) |
| 東急不動産 「GREEN CROSS PARK」など | 10/30 | 4,082件(GREEN CROSS PARK 4,079件、GREENUP Cooldown Project 3件) | 会員登録情報(会社名・部署名・氏名・メール・電話・関心のあるプロジェクトなど)、問い合わせフォームの入力内容 | 流出の有無は特定が難しい。二次被害の報告なし | お知らせ(PDF) |
| グッズ 旧通販サイト(goods-co.net) | 10/29 | 旧サイトの会員登録者 約19,000名(会員登録なしの注文者は調査中) | 氏名、フリガナ、住所、電話、FAX、メール、性別、職業、生年月日(会員のみ)、購入履歴、旧サイトのログインパスワード(変換した形) | クレジットカード情報(預かっていない) | お知らせ |
| ソースネクスト 顧客システム | 10/15 | 最大22,519,960件 | メールアドレス、パスワード、氏名・カナ、住所、性別、電話・FAX、生年月日、会社名・役職・部署、加入サービス・登録日・ログイン日など(全員が全項目ではない) | クレジットカード情報(保存していない) | お知らせ |
| トラストバンク 「ふるさとチョイス」 | 10/20 | 4,454,097件 | 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除の試算額 | 記載なし。サービスは停止中 | お知らせ |
| 大和証券 委託先スカラコミュニケーションズのサーバー | 10/5 | 約11万名(問い合わせ等を合わせて約22万件) | 氏名、メールアドレス、口座番号などの情報(問い合わせ履歴) | 漏えいした情報では、証券口座へのアクセスや取引はできない。大和証券のシステムへの不正アクセスは確認されていない | お知らせ(PDF) |
| アルカディア 「SpeeCAN RAIDEN」「NET119」など | 10/19 | NET119は9,020件のメールアドレスに紐づく個人情報(ほかは調査中)。不正に配信されたメールは総数1,423,428通 | 不正アクセスでデータベースが書き換えられ、フィッシングとみられるメールが外部へ配信された | サービスは10/15までに復旧。ソースコードの改ざんは確認されていない | お知らせ(PDF) |
| 大起水産 「大起水産公式アプリ」 | 10/5(10/6更新) | 174,933人(2024年11月〜2026年9月に登録。退会者を含む) | 氏名、電話番号、メールアドレス、性別、郵便番号、住所、生年月日(住所・生年月日は端末により任意登録) | パスワード(別のサーバーで管理)。実際の漏えいは確認されていない | お知らせ(PDF) |
| アイラッシュガレージ ECサイト | 10/15 | 49,191件 | 会社名、サロン名、お客様名、営業形態、サロンURL、電話、メール、パスワードと再設定用の質問・回答のハッシュ値 | 住所・配送先、購入履歴、決済情報(漏えいは未確認) | お知らせ |
| アエナ 「ECアプリ」 | 10/14 | 最大817,215人 | 氏名、フリガナ、住所、電話、メール、生年月日、性別、職業、お届け先、お気に入り店舗、カード情報の一部(下4桁・有効期限・名義) | カード番号の全桁・セキュリティコード、ログインパスワード。情報の改ざん・退会・購入の確定はされていない | お知らせ |
| エンタッチ(東邦ホールディングスの子会社) リモートディテーリング事業のデータベース | 10/19 | 調査中(件数の記載なし) | 医療従事者の氏名・所属医療機関・都道府県、ユーザー(管理者等)の氏名・メール、予約時の電話・メール、製品名・製薬企業名、予約・面談の日時とステータス | コンテンツのファイル本体、録画・音声データ。ランサムウェア攻撃を名乗る第三者による不正アクセス | お知らせ(PDF) |
| エムスリー 製薬企業向け「MR君」 | 10/15 | 医師会員の一部(全体の1割未満)と製薬企業の担当者(数百名規模) | 氏名、勤務先、一部の方のメールアドレスなど | ログインパスワード、m3ポイントなど | お知らせ(PDF) |
| 日本経済新聞社 システム開発に使うクラウドサービス | 10/16 | 約183万件(氏名・メール・住所・電話・生年月日のいずれかを含む約15万件、識別子のみ約168万件)。日経BPのサービス利用者は約80万件(10/21) | 氏名、メールアドレス、住所、電話番号、生年月日のいずれか。単体では個人を特定できない識別子 | クレジットカード情報。二次被害・システム停止・改ざんは確認されていない | お知らせ |
| アンドエスティHD 業務サーバー | 10/23 | お客さま約250万件、お取引先約1万件(従業員は確認中) | お客さま:氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID。お取引先:会社名・住所・担当者氏名・電話・メール | クレジットカード情報などの決済情報、お客さま自身が設定したパスワード。会員ポイントは一時利用不可 | お知らせ |
| ファンケル・アテニア ECサイトの会員情報 | 10/16 | ファンケル393,785件(368,184名)、アテニア441,162件(417,312名) | メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、ハッシュ化された2次パスワード、本人認証の質問項目(回答は含まない)など | クレジットカードなどの決済情報、メインのパスワード | お知らせ(PDF) |
| スターツ出版 「オズモール」 | 10/1(第2報) | 最大442,779名 | 会員・一部の退会者のメールアドレス。一部の氏名と住所(都道府県まで) | 電話番号、番地を含む詳細な住所(閲覧の形跡なし)。クレジットカード情報(外部決済) | お知らせ |
| NTTソルマーレ 「コミックシーモア」 | 10/18(第3報) | 第3報では精査中。10/21の発表では最大約420万件(報道:ITmedia NEWS 10/22) | メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム(会員データベース)。システムログも取得された | クレジットカード情報(保有なし)。購入履歴・MY本棚の流出は確認されていない | お知らせ(第3報) |
| JOGMEC(エネルギー・金属鉱物資源機構) 情報システム | 10/2 | 約8,500件(機構役職員のメールアドレス約1,100件、機構以外約7,400件) | メールアドレス | 情報の公開・不正利用は確認されていない。9/9に外部機関の情報提供で判明 | お知らせ |
| サミー 「777CON-PASS」 | 10/2 | 調査中(件数の記載なし) | 電話番号(店頭予約の利用者)、性別、生年月日、ユーザーID・ニックネーム、プロフィール写真、お気に入りホール、行動エリア | 認証用の顔画像、ログイン用のメールアドレス、パスワード、氏名 | お知らせ |
| Z会 「Z-ID」システム | 10/19(第一報) | 13アカウント(パスワードが不正に変更された) | 氏名、メールアドレス、Z-ID | 上記以外が閲覧された形跡は確認されていない。直接の侵入や情報流出の形跡もない | お知らせ |
| パピレス 電子書籍「Renta!」 | 10/19 | 件数の記載なし(漏えいの有無は調査中) | 不正アクセスの可能性を把握し、サービスを一時停止。再開時期は未定 | 記載なし | 適時開示(PDF) |
報道で確認できた事例(28件)
報道機関の記事をもとにまとめた事例です。媒体と日付は、右端に記載しています。ScanNetSecurityの記事で確認した分は、10月下旬の情報漏えい19件まとめでも紹介しています。最新の情報は、各社の公式発表で確認してください。
| 会社・サービス | 公表日 | 件数・対象 | 漏えい(おそれ)の主な情報 | 含まれないと報じられたもの | 報道(媒体・日付) |
|---|---|---|---|---|---|
| バンダイナムコ系 バンダイロジパル(「一番くじONLINE」の配送) | 10/26 | 件数は調査中 | 氏名、住所、電話番号(配送情報) | クレジットカード情報。不正使用は確認されていない | ITmedia NEWS 10/27 |
| 外務省 外部とやりとりできるネットワーク | 10/30 | 約3,600件(うち約900件は外務省員以外) | 氏名、メールアドレスなど | 機密性の高い情報。旅券・「たびレジ」の領事システムは別のシステム。二次被害は確認されていない | INTERNET Watch 10/30 共同通信 10/30 |
| 近鉄グループホールディングス 社債の特典申し込みの外部サービス(NTTデータの再委託先) | 10/31 | 2,678人分(100万円以上の社債を購入した投資家) | 氏名、社債の購入金額 | 証券口座番号、パスワードなどの金融取引の情報 | 共同通信 10/31 |
| TBSグロウディア 「TBSショッピング」(メール配信の委託先) | 10/28 | 最大約5万人分 | メールアドレスなど | 氏名、住所、電話番号、クレジットカード情報。不正利用は確認されていない | TBS NEWS DIG 10/28 |
| JapanTicket 外部の分析ツール(富士山の通行予約を受託) | 10/30(山梨県の発表) | 最大26万4,000件(うち2024年度の富士山の予約者は約7万人分の可能性) | 氏名、メールアドレス、電話番号など | クレジットカード番号。県は漏えいの有無を確認中 | YBS山梨放送 10/30 |
| 熊本市 2024年度「AR式デジタルスタンプラリー」(委託先の再委託先のシステム) | 10/30 | 1,084人 | メールアドレス、ユーザーネーム、年代など | 二次被害は確認されていない(10/30時点)。PHPの脆弱性を悪用したものではない | RKK熊本放送 10/30 |
| H2INT PCゲームキーの販売「DIRECT GAMES」 | 10/28 | 記載なし | 会員ID(メールアドレス)、暗号化されたパスワード、生年月日、氏名(漢字・カナ)、注文履歴 | クレジットカード番号(保持なし)。全会員にパスワード再設定を案内 | Game*Spark 10/28 |
| 岡谷鋼機 社員のメールアカウント | 10/30 | 数百通の不審なメールが送られた | 社員のメールアカウントが不正アクセスを受けた | 金銭被害はなし(情報流出の有無は未確認) | 中日BIZナビ 10/30(本文は会員限定) |
| 経済産業省 会員制交流スペース「ベツナナ」の予約管理システム | 10/31 | 約1,100人分(漏えいの可能性) | 予約管理システムが第三者の不正アクセスを受けた(項目は未確認) | 記載なし | 読売新聞 10/31(冒頭のみ) |
| 良品計画 「MUJIアプリ」 | 10/30 | 最大約2,726万件 | メールアドレス、生年月日、性別 | クレジットカード情報、氏名、住所など | 共同通信 10/30 |
| 日本交通 ハイヤー・採用などの情報 | 10/30 | 約29万人(ハイヤー利用客約1万3千人、乗務員・職員約6万人、採用応募者約10万8千人、事故の相手方約7万2千人) | 氏名、住所、電話番号、マイナンバーなど。不正アクセスは7月 | タクシー利用者の情報 | 共同通信 10/30 |
| Joshin(上新電機) 会員情報など3つのシステム | 10/26 | 最大約600万件(会員情報)+最大約23万件(サブスク)+最大約800件(リフォーム写真)。合わせて最大約623万件 | 会員情報:氏名・住所・電話・会員番号。サブスク:電話、手書きサイン、ログインID・初期パスワードなど。リフォーム:運転免許証画像2件、マイナンバーカード1件、口座番号5件 | クレジットカード情報(保持していない) | ITmedia NEWS 10/26 |
| ワールド 子会社(ティンパンアレイなど)の会員情報 | 10/30 | のべ約120万件 | 会員の個人情報(項目は報道に記載なし) | 記載なし | NHK 10/30 |
| DHC 公式オンラインショップ | 10/30 | 5,096アカウントの会員情報が書き換えられた。不審な注文27件、不正な新規会員登録71件 | アカウントに登録された氏名、クレジットカード番号の下4桁など | 書き換えた情報の復元と、不審な注文のキャンセルを実施 | 時事通信 10/30 |
| グッドスマイルカンパニー 公式ショップ | 10/29(第3報) | カード情報:最大2,800人。登録済みカードの下4桁と有効期限:最大402,466枚。注文情報:最大7,673人 | 決済ページに不正なプログラムが置かれ、カード名義・全16桁・有効期限・セキュリティコードが漏えいの可能性。注文情報(住所・電話・メール・注文内容など) | 下4桁と有効期限の分は、名義人名とセキュリティコードは漏えいしていない。サイトは閉鎖中 | Impress Watch 10/29 |
| ミスターマックス 「MrMaxアプリ」・オンラインストア | 10/6 | 最大173万5,154人 | アプリ・オンラインストア会員の個人情報(サービスを構成するソフトの機能が不正に使われた) | 記載なし。アプリとストアを一時停止 | ScanNetSecurity 10/27 |
| リゾートトラスト ウェブサイト | 10/9 | 約2万6,000件 | ウェブサイトの会員情報(10/5夜の異常を翌日認知し、10/7に漏えいが判明) | 記載なし | ScanNetSecurity 10/27 |
| 楽天モバイル 「my 楽天モバイル」 | 10/13 | 支払い証明書が第三者に閲覧された可能性 | ダウンロードできる支払い証明書(脆弱性診断で判明) | 記載なし | ScanNetSecurity 10/27 |
| 丸木医科器械 基幹システム | 10/15 | 件数の記載なし | 攻撃で、発注・仕入・入出庫の基幹システムが全面停止(注文受付と出荷を一時停止。FAXで注文を受付) | 記載なし | ScanNetSecurity 10/29 |
| Studio クラウド環境(デジタル庁の問い合わせフォームなどに影響) | 10/16 | 調査中 | 2026年9/30〜10/1に、機能の脆弱性が悪用され、環境内のデータが取得できる状態に。復号に必要な鍵も読み出された | 記載なし。10/13に確認し、10/14までに修正 | ScanNetSecurity 10/28 |
| フジテレビ 番組宣伝システム | 10/20 | 最大730件 | メディア関係者の氏名、会社名、メールアドレスなど(10/19夜の不正アクセス) | 記載なし | ScanNetSecurity 10/29 |
| メドレー 医療機関業務支援システム「@link」 | 10/20 | 調査中 | 10/14深夜から「@link」・患者向けアプリなどを一時停止。個人情報への影響を調査中 | 記載なし | ScanNetSecurity 10/29 |
| リンクステーション チケット購入サービス「GETTIIS」 | 10/20(第2報) | 会員ID 317,971件ほか | 氏名309,759件、電話番号309,668件、メールアドレス311,426件、ハッシュ化パスワード311,451件、カード関連(先頭4桁・末尾4桁・名義・有効期限の暗号化)29,515件 | 記載なし。10/18に脆弱性を悪用された | ScanNetSecurity 10/30 |
| JFEケミカル IT環境 | 10/21 | 調査中 | IT環境へ不正アクセスがあり、データが不正に取得されたことが10/19に判明 | 記載なし | ScanNetSecurity 10/28 |
| ネットプロテクションズ 「NP後払い」 | 10/22 | 28,884件 | 氏名、住所(法人は会社名・部署名も)。請求書再発行システムへの機械的で連続的なリクエストで判明(10/14) | 記載なし | ScanNetSecurity 10/29 |
| ヤマダデンキ 「ヤマダビデオ」「スマホゴールド会員」 | 10/23 | 調査中 | 手続き画面への外部からの不正アクセス。10/22夕方からサービスを一時停止。個人情報への影響を調査中 | 記載なし | ScanNetSecurity 10/28 |
| パナソニック オペレーショナルエクセレンス 人事情報システム導入のプロジェクト | 10/23 | 件数の記載なし | グループの従業員・元従業員・家族の個人情報を、禁止されていた外部の生成AIに、プロジェクトメンバーが規則に反してアップロード | 記載なし | ScanNetSecurity 10/29 |
| GMOインターネット 「お名前.com デスクトップクラウド」 | 10/27(第12報) | 調査中(一部顧客のサーバ環境) | サーバ環境に不正プログラムが置かれ、取引口座のログイン情報などが取得され、不正に使われた可能性。情報が公開された顧客に上限300万円の特別見舞金 | 記載なし | ScanNetSecurity 10/30 |
全体の傾向
- 委託先・外部サービス経由の被害が多い:近鉄(NTTデータの委託先)、熊本市(再委託先)、JAL・ANA(アマデウス社)、Japanticket(外部の分析ツール)、NEL(データ分析ツール)、ジェネリック製薬・STORiiY(配送委託先の倉庫管理システム)、コックス(修理の委託先)など。
- Webサイト・CMSの弱点と、設定の不備:東急不動産(CMSの脆弱性と権限設定)、ELESTYLE(アクセス制御の不備)、料理王国(外部からデータを直接取得できる状態)、スマートシェア(ファイルアップロード機能の不備)など。
- 認証情報の窃取・不正ログイン:MICIN(他で流出したIDとパスワードを使う「リスト型攻撃」)、Gunosy、外務省、千葉県教育委員会(学校用メールアカウントから、迷惑メール485,446件を送信)など。
- ランサムウェア・金銭の窃取:阪和興業(海外子会社)、コックス、ギフティ(eギフトの不正発行)など。
流出した情報のうち、いちばん深刻なのは、パスワードや認証トークン、口座情報、カード情報の一部、パスポート番号、医療に関する情報です。件数が多くても、メールアドレスだけの件は、フィッシングへの注意が中心になります。
自分の情報が漏れたと連絡が来たときの対処や、日頃の備えは、個人情報が漏えいしたと連絡が来たら?情報別の対処と、毎日できる4つの備えにまとめています。
件数のくらべ方(おおよその目安)
佐川急便の数字は、同じ人の情報が重複して数えられていて、実際の人数ではありません。件数の「最大」は、漏えいした可能性のある、いちばん大きい見込みです。続報で、変わることがあります。
広告
この一覧から分かること
- 委託先のシステムへの攻撃が、複数の会社に広がっています(JALとANAは、同じ委託先アマデウス社の旅客サービスシステムの件)。自分が直接使っていない会社名から、お知らせが届くこともあります。
- 漏れた情報の中心は、氏名・住所・電話番号・メールアドレスです。そのため、会社を装った偽のメール・SMS・電話が、いちばんの注意点です。
- クレジットカードの全桁とセキュリティコードは、どの会社も含まれないと公表しています(楽天トラベルの支払情報は、下4桁・名義・有効期限など)。
- 運転免許証・パスポート番号など、本人確認に使う情報が含まれる件(タイムズカー、JAL・JTAの一部)は、なりすましの申し込みなどに、特に注意が要ります。
自分が対象かどうか、確かめる方法
- 会社の公式サイトのお知らせを、自分で開いて、確かめる(メールやSMSのリンクは、開かない)。
- 対象のお客さまには、個別に連絡が届くことが多い。連絡が届いたメールは、本物か確かめてから、対応する。
- 退会した人や、連絡先が変わった人には、届かないことがある。会社の問い合わせ窓口に確認する。
- タイムズカーのように、マイページで、自分の漏えい情報を確認できる会社もある。
対応の手順は、自分の情報が漏れたかも?不安なときの状況別・早見ガイド、利用中のサービスで不正アクセスの発表があったら。利用者が確認することをご覧ください。
この一覧について
- 会社の公式発表をまとめた63件を、上の表に載せています。報道機関の記事をもとにした事例は、別の表に分けました。ほかにも、公表が相次いでいます。載っていない会社は、その会社の公式サイトで確認してください。
- 数字は、公式発表の表記のままです。単位が違うものを、足し合わせていません。
- 続報で、件数や内容が変わったら、更新します。確認日は、2026年10月31日です。
まとめ
佐川急便、タイムズカー、So-net、楽天トラベル、CAPCOM ID、JAL・JTA、ANAと、身近なサービスの公表が相次いでいます。まず、自分が使っているサービスの公式のお知らせを、自分で開いて確かめましょう。そのあと届く、偽のメール・SMS・電話には、特に注意です。
関連記事
出典
- 佐川急便「お荷物問い合わせサービスの再開および個人情報の流出に関する調査状況について(第5報)」(2026年10月23日)
- パーク24「タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について(第5報)」(2026年10月23日)
- ソニーネットワークコミュニケーションズ「So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ」(2026年10月27日、29日更新)
- 楽天トラベル「海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ」(2026年10月26日)
- カプコン「Notice and Apology Regarding Customer Information Affected Through Unauthorized Access」(2026年10月22日)と、その更新(10月23日)
- 日本航空「Amadeus社が提供する旅客サービスシステムへの不正アクセスと対応について」(2026年10月30日)
- 全日本空輸「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」(2026年10月29日)
- ユミルリンク「Cuenote」第二報(2026年10月26日)、ヤマト運輸「クロネコ代金後払いサービス」第4報(2026年10月16日)、リクルート「カーセンサーnet・C-MATCH」(2026年10月21日)、ローソン「ローソンID・ローソンアプリ予約」(2026年10月8日、26日更新)、物語コーポレーション「焼肉きんぐ公式アプリ」(2026年10月5日)、ソニー生命保険(2026年10月28日)
- 各社の公式発表のリンクは、一覧の右端の列にあります(2026年10月31日に確認)。
広告