要点
発表された事実
- サンケイリビング新聞社は、2026年10月16日に同社が運営するWebサイトで第三者による不正アクセスを確認し、直ちに遮断したうえで調査した結果、サーバーに保管している利用者の個人情報が外部へ漏えいした可能性があることが判明したと発表した（サンケイリビング新聞社 第一報）。
- 対象は、Web会員サービス（リビングWeb、シティリビングWeb、まちっと等）の登録者（退会者を含む）や、同社のアンケートシステムの利用者などの、氏名や連絡先といった個人情報。登録内容は人によって異なる。クレジットカード情報は預かっていない。件数は調査中（同）。
- 10月21日時点で二次被害は確認されていない。個人情報保護委員会に速報を出し、外部の専門機関による調査を進めている。安全が確認できるまで一部のWebサービスを停止し、閲覧・会員登録・ログイン・応募・アンケート回答ができない（同）。
- 広島県は10月23日、広報誌「ひろしま県民だより」の企画・編集を委託する広島リビング新聞社が使うサーバーへの不正アクセスで、夏号・秋号のプレゼント応募者延べ1,470人の氏名、住所、電話番号などが漏えいした可能性があると発表した。不正アクセスの判明は10月16日、県への報告は6日後の22日で、県は報告が遅れた理由の説明を求める（テレビ新広島／FNN）。
- 島根県は10月23日、「歴史・文化を活用した情報発信業務」の委託先であるサンケイリビング新聞社への不正アクセスで、10月3日開催の「歴史・文化オンラインセミナー」応募者335件の氏名、メールアドレス、住所、電話番号が流出した可能性があると発表した（島根県）。
- 三重県は10月22日に報告を受け、委託した移住セミナーの申込者延べ156人と参加者アンケート延べ75人分が対象になると公表した（三重県）。
- 宮城県登米市は、結婚支援事業を委託している仙台リビング新聞社の親会社であるサンケイリビング新聞社への不正アクセスで、申込者39人の氏名・住所・生年月日・電話番号・勤務先または業種・メールアドレスが漏えいした可能性があると10月23日に公表したと伝えられている（情報漏えい.jp）。
- 東京都国立市も、シティプロモーション事業の受託事業者としてサンケイリビング新聞社への不正アクセスを知らせ、パスワードを使い回している場合の変更を呼びかけている（国立市）。福島リビング新聞社も「リビングWeb」の停止を案内している（福島リビング新聞社）。
わかったこと
- 【2026-10-31追記】サンケイリビング新聞社は10月30日、別の事案として、メール配信の委託先ユミルリンクの「Cuenote FC」への不正アクセスで、同社が預けていたアドレス帳データの一部が漏えいした可能性があると公表した。ユミルリンクからは10月20日に「漏えいはない」と連絡を受けていたが、10月26日に漏えいの可能性があるとの報告を受けた。件数と項目は確定していない。同社は10月21日に公表した自社システムへの不正アクセスとは発生経路が異なると認識しているが、関連性は確認中としている。自社システムの調査は続いており、続報を準備中としている（サンケイリビング新聞社 10月30日、ユミルリンク側の経緯はユミルリンクの記事）。
- 【2026-11-10追記】サンケイリビング新聞社は11月9日の第二報で、外部へ漏えいした可能性のある個人情報は最大約172万件（複数サービスの重複や退会者を含み、人数ではない）と判明したと公表した。項目は氏名・住所・電話番号・生年月日・性別・メールアドレス・ハッシュ化されたパスワードなどで、業務を受託した団体・企業の事業に関する個人情報も含む。カード情報は預かっていない。11月9日時点で二次被害は確認されていない（サンケイリビング新聞社 第二報）。
- 【2026-11-10追記】一部のWebサービスの停止は続いており、代替システムで再開したサービスもある。外部の専門機関と詳細調査を続け、原因の究明と再発防止策を検討している（同）。
わかっていないこと
- 不正アクセスの手口と侵入経路（Webサイトのどの部分か）
- 漏えいの可能性がある人数の総数と、「可能性」ではなく実際に持ち出されたかどうか（【2026-11-10追記】第二報で最大約172万件（重複を含む）と判明。実人数と実際の持ち出しの有無は未公表）
- パスワード（ハッシュを含む）が対象に含まれるか（【2026-11-10追記】第二報で、ハッシュ化されたパスワードが対象に含まれると判明）
- 地域のリビング新聞社や受託事業で集めた応募データが、なぜ同じサーバーに置かれていたのか、保存期間はどうだったか
- 停止中のサービスの再開時期（【2026-11-10追記】一部は代替システムで再開。残りは未定）
関係しそうな既知の手口
- （考察）自治体が広報・イベントの申し込みを事業者に委託し、その事業者の共通のWeb基盤に応募データが集まっていたため、1社の侵害が複数の自治体の事業に広がった。委託先経由で自治体の公表が相次ぐ形は、10月のブラストメールやSpeeCAN RAIDENの事例と同じ型に見える。
概要
- 生活情報紙のサンケイリビング新聞社のサーバーが不正アクセスを受け、Web会員やアンケート回答者の氏名・連絡先が漏えいした可能性がある。
- 同社や地域のリビング新聞社は、自治体の広報誌のプレゼント応募、セミナー、結婚支援などの申し込みも受け付けており、委託元の自治体が相次いで影響を発表している。
- 件数と原因はまだ公表されていない。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-16（金） | 運営するWebサイトで第三者による不正アクセスを確認、遮断（サンケイリビング新聞社）。広島県によると広島リビング新聞社が使うサーバーへの不正アクセスが判明した日 |
| 10-21（水）時点 | 二次被害は確認されていない（同社第一報） |
| 10-21〜22 | 同社が第一報を公表し、一部Webサービスを停止 |
| 10-22（木） | 三重県・登米市・広島県が委託先から報告を受ける。広島リビング新聞社はプレゼントフォームを停止 |
| 10-23（金） | 広島県・島根県・登米市が公表 |
| 10-30（金） | 委託先ユミルリンクのCuenote FCへの不正アクセスで、アドレス帳データの一部が漏えいした可能性を別途公表。10月26日に報告を受けた（サンケイリビング新聞社） |
| 11-09（月） | 第二報。漏えいの可能性がある個人情報は最大約172万件（重複を含む）で、ハッシュ化されたパスワードも対象と公表 |
発表内容の整理
事実（サンケイリビング新聞社の第一報）
| 項目 | 内容 |
|---|---|
| 検知 | 2026年10月16日、運営するWebサイトへの第三者による不正アクセスを確認 |
| 対象者 | リビングWeb、シティリビングWeb、まちっと等の会員（退会者を含む）、アンケートシステムの利用者など |
| 対象情報 | 氏名や連絡先などの個人情報（登録内容は人により異なる）。カード情報は預かっていない |
| 件数 | 調査中 |
| 対応 | 遮断、個人情報保護委員会への速報、外部専門機関による調査、一部Webサービスの停止 |
事実（委託元の発表・報道）
| 委託元 | 事業 | 対象 |
|---|---|---|
| 広島県 | 「ひろしま県民だより」夏号・秋号のプレゼント応募（広島リビング新聞社） | 延べ1,470人、氏名・住所・電話番号など |
| 島根県 | 歴史・文化オンラインセミナー（10月3日開催） | 335件、氏名・メールアドレス・住所・電話番号 |
| 三重県 | 移住セミナー | 申込者延べ156人、アンケート延べ75人分 |
| 登米市 | 結婚支援事業（仙台リビング新聞社） | 39人、氏名・住所・生年月日・電話番号・勤務先または業種・メールアドレス |
| 国立市 | シティプロモーション事業 | 件数の記載なし |
考察
広島県の発表では、県への報告は不正アクセスの判明から6日後だった。同社の第一報が出たのも検知から数日後で、その間に委託元の自治体へ連絡が届いていなかったことになる。委託契約で事故時の報告期限をどう決めていたかが、自治体側の課題として残る（考察）。
第一報は対象を「氏名やご連絡先」とまとめ、退会者も含むとしている。ログイン機能のある会員サービスが対象なので、パスワードが含まれるかどうかが利用者にとって重要だが、第一報は触れていない。国立市がパスワードの使い回しの変更を呼びかけているのは、その可能性を考えた予防策と読める（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは2026年10月、国内組織で相次ぐ不正アクセスについて注意喚起を出している（JPCERT/CC）。
- 10月には、自治体が使う防災メール配信基盤「SpeeCAN RAIDEN」（記事）やメール配信サービス「ブラストメール」（記事）でも、委託先・利用先の自治体による公表が相次いだ。
考察
自治体の広報誌のプレゼント応募やセミナー申し込みは、委託先の既存の会員・応募システムでまとめて受けることが多い。事業が終わった後も応募データが委託先に残り続けると、今回のように過去の事業まで影響範囲に入る（考察）。
利用者・運用者がいまできること
- リビングWebなどの会員や、自治体の事業で応募・申し込みをした人は、同社や自治体を名乗る不審なメール・電話・郵便物に注意する。同じパスワードを他のサービスで使っている場合は変更する。
- 事業を委託している自治体・企業は、委託先に残っている応募データの有無と保存期間、事故時の報告期限を確認する。
参考リンク
- サンケイリビング新聞社「当社サーバーへの不正アクセスによる個人情報漏えいの可能性とサービスの一時停止に関するお詫びとお知らせ（第一報）」
- 広報誌「ひろしま県民だより」のプレゼント応募者の個人情報漏えいか（テレビ新広島／FNN、2026年10月23日）
- 島根県「『歴史・文化を活用した情報発信業務』委託事業者への不正アクセスによる個人情報漏洩の可能性について」（2026年10月23日）
- 三重県「三重県移住セミナー運営事業者のサーバーへの不正アクセスについて」
- 情報漏えい.jp（登米市の公表のまとめ）
- 国立市のお知らせ
- 福島リビング新聞社のお知らせ
- サンケイリビング新聞社「業務委託先への不正アクセスによる当社お客様情報の漏えいに関するお知らせとお詫び」（2026年10月30日）
- サンケイリビング新聞社「当社サーバーへの不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ（第二報）」（2026年11月9日）