10月下旬の情報漏えい19件まとめ。ショップサーブ・NP後払いなど

2026年10月に公表された情報漏えい・不正アクセスのうち、19件を、1つにまとめました。表は公表日の順で、公式発表をまとめた4件は、後半で詳しく紹介します。

全体の一覧(公式72件・報道28件)は、2026年10月の情報漏えい一覧にあります。この記事の19件も、その一覧に載せています。

各社の発表を報じた記事をもとにしています。数字や範囲は、調査が進むと変わります。自分が使っているサービスがあれば、各社の公式発表で最新の状況を確認してください。

まず、全体を見る

15件の一覧(詳細は後半に載せた4件を除く)

横にスクロールすると、すべての列を見られます。

会社・サービス	公表日(2026年)	対象	件数	内容
ミスターマックス	10/6	MrMaxアプリ・オンラインストアの会員	最大173万5,154人	サービスを構成するソフトの機能を悪用され侵入。アプリとストアを一時停止
リゾートトラスト	10/9	ウェブサイトの会員	約2万6,000件	10/5夜の異常な作動を翌日認知し、10/7に漏えい判明。アクセスを遮断
楽天モバイル	10/13	my 楽天モバイルの支払い証明書	閲覧の可能性	脆弱性診断で判明。特殊な操作で第三者が閲覧できる可能性があった
エムスリー「MR君」	10/15	医師会員の一部(全体の1割未満)と製薬企業の担当者(数百名規模)	—	氏名、勤務先、一部のメールアドレスなど
丸木医科器械	10/15	基幹システム(発注・仕入・入出庫)	—	攻撃で全面停止。注文受付と出荷を一時停止し、FAXで受付
Studio	10/16	クラウド環境のデータ	調査中	9/30〜10/1に機能の脆弱性を悪用。10/13に確認し、10/14までに修正。復号に必要な鍵も読み出された
エンタッチ	10/19	医療従事者、管理者、ディテーリング担当者など	調査中	ランサムウェア攻撃グループを名乗る第三者。氏名、所属医療機関、メールアドレス、面談予約の情報など
フジテレビ	10/20	番組宣伝システムに登録のメディア関係者	最大730件	氏名、会社名、メールアドレスなど。10/19夜に不正アクセス
メドレー「@link」	10/20	医療機関業務支援システムと患者向けアプリ	調査中	10/14深夜から提供を一時停止。個人情報への影響を調査中
リンクステーション「GETTIIS」	10/20	チケット購入サービスの会員	会員ID 317,971件ほか	氏名309,759件、電話番号309,668件、メール311,426件、カード関連(先頭4桁・末尾4桁、名義、有効期限の暗号化)29,515件。ハッシュ化パスワード311,451件
JFEケミカル	10/21	IT環境のデータ	調査中	10/19に不正取得が判明。対策本部を設置
ネットプロテクションズ「NP後払い」	10/22	請求書再発行システムの取引	28,884件	氏名、住所(法人は会社名・部署名も)。機械的で連続的なリクエストで判明(10/14)
ヤマダデンキ	10/23	「ヤマダビデオ」「スマホゴールド会員」の手続き画面	調査中	10/22夕方からサービスを一時停止
パナソニックオペレーショナルエクセレンス	10/23	グループ従業員、元従業員、家族	—	禁止されていた外部の生成AIに、人事システム導入のデータをプロジェクトメンバーが規則に反してアップロード
GMOインターネット「お名前.com デスクトップクラウド」	10/27(第12報)	一部顧客のサーバ環境	調査中	取引口座のログイン情報などが取得・悪用された可能性。公開された顧客に上限300万円の特別見舞金

詳しく見る4件

ショップサーブ(Eストアー)。約2,335万6,000人(最終報・10/16)

2026年5月21日〜8月1日、サーバー上のアプリケーションの脆弱性を悪用され、データベースの情報が外部へ送信されました。8月1日に認知して遮断し、10月16日に調査完了の最終報を公表しています。カード情報の一部を含む方は約209万6,900人、対象店舗は7,858店です。

区分	項目
購入者	氏名、住所、電話番号、FAX番号、メールアドレス、勤務先、任意入力情報(配送先を含む)
会員	会員ID、暗号化されたパスワード
カード情報の一部	カード名義、番号の先頭6桁と下4桁、有効期限
店舗・アフィリエイター	管理画面のログインID・パスワード、コンビニ払込票の店舗情報、アフィリエイト登録者のメールアドレス・パスワード

完全なカード番号とセキュリティコードは保持しておらず、対象外です。Eストアーは、カード情報の再入力や再決済を求めません。問い合わせは公式フォームかsupport@estore.co.jp、店舗はEストアーデスク(03-6434-0946、平日10〜18時)です。

阪急・阪神百貨店予約サイト。H2O ID約126万件(10/19)

10月16日に顧客管理システムへの不正アクセスを確認し、予約サイトを停止。17日にはHANKYU HANSHIN E-STORESとRemo Orderでも確認し、停止しました。ほぼすべてのH2O ID会員の情報の一部が漏えいしています。

項目は、H2O ID、氏名(漢字・カナ)、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDでの利用サービス項目です。ほかの2サイトは漏えいの可能性を調査中で、再開は安全確認のあとの予定です。

ニフティ。最大542,513件(10/19・第一報)

10月19日10時20分ごろ、回線申込・受付管理システム(社内の管理用ツール)への不正アクセスを確認し、遮断しました。対象は2019年以降に@nifty光、@nifty MAX光、@nifty auひかりプラスを申し込んだ人(同社Webサイト経由を除く)です。会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレスが含まれます。口座・カードの情報は、このシステムに保有していません。専用ダイヤルは0120-924-719(10〜18時)です。

Gunosy。取引先25名と役職員など107名(10/26)

10月21日、不正に入手された社内業務用アカウントのIDとパスワードでログインされ、監視システムが検知して同日中に停止しました。取引先25名は氏名、メールアドレス、署名欄の会社名・所属・役職・連絡先、役員・従業員・退職者107名は氏名とメールアドレスです。「グノシー」などのサービス利用者の情報は、流出が確認されていません。再発防止として、共有アカウントの廃止、多要素認証の徹底、権限の見直しを実施しています。

共通して見えること

委託先や管理用の仕組みが入口になる:請求書再発行(NP後払い)、管理画面、クラウド環境など、利用者が直接見ない部分が狙われています
停止中のサービスが多い:ミスターマックス、メドレー、ヤマダデンキ、丸木医科器械などは、一時停止や代替の受付になっています
AIの使い方も原因になる:パナソニックの件は、禁止されていた外部の生成AIに個人情報を入れたことが発端です。入力してよい情報の線引きが大切です
流出後の便乗に注意:氏名、住所、電話番号、メールがそろうと、サービス名を装う偽メール・SMSが届きやすくなります

対象かもしれない人が、すぐにすること

該当するサービスを使っていたら、公式発表で、対象かどうかと問い合わせ窓口を確認する
同じパスワードを使い回していないか見直し、重要なサービスから順に変更する
メール・SMSのリンクは開かず、公式アプリやブックマークから確認する
カード情報が含まれる場合は、明細を確認し、必要ならカード会社へ連絡する

会社別に詳しく読みたい方は、2026年10月の情報漏えい一覧へ。一般的な対応は、自分の情報が漏れたかも?不安なときの状況別・早見ガイドをご覧ください。

まとめ

件数が大きいものだけでなく、数百〜数万件の事例も、住所や電話番号があれば悪用の入口になります。パスワードの使い回しをやめ、不審な連絡のリンクを開かない、という基本が、どの事例にも効きます。