プレイド「KARTE」 ― 不正アクセスを検知し全機能を停止
プレイドは11月13日、CXプラットフォーム「KARTE」への第三者からの不正アクセスを検知し、全プロジェクトで計測・配信・管理画面を含む全機能を順次停止したと発表した。同日深夜には、外部に漏えいした可能性のある情報を確認し、該当する顧客にメールで連絡したとステータスページで報告した。
← タグ一覧へ
タグ / インシデント種別
情報漏えい
すべての面から32件。公開日の新しい順。（取引先情報・人事情報 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
wfx-loot ― 乗っ取られたGitHubアカウントでCIの秘密情報を窃取
2026年11月10日から、4,837のGitHubアカウントの盗まれた認証情報で6万を超えるリポジトリに書き込み可否を試すプルリクエストが送られ、少なくとも1,806リポジトリでCIのシークレットとクラウド認証情報を盗むスクリプトが実行された（Aikido Security）。実行後はコミットを戻し、実行記録とログを消していた。
AntiFox ― AIペンテスト基盤の稼働拠点からAWSの秘密情報が読まれた
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
ビックカメラ ― 法人向け問い合わせフォームの設定不備で取引先情報が漏えい
「法人専用ビックカメラ・ドットコム」の法人顧客向け問い合わせフォームの潜在的な設定不備を突かれ、11月5〜6日に企業名・部署名・担当者氏名・メールアドレスの全部またはいずれかを含む計133,039件が漏えいした。11月6日14時15分にフォームを閉鎖し設定を直した。
Fireworks AI ― 侵害の範囲が顧客データとモデルに広がった
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
ARTEXを使う攻撃者 ― GitHubで漏れたアプリの鍵でAzureに侵入
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
Claude Code ― 承認したコマンドの秘密情報が公開リポジトリに残る
Claude Codeで「Yes, and don't ask again」を選ぶと、承認したコマンドがそのまま .claude/settings.local.json に保存され、コマンドに含まれたパスワードやトークンも平文で残る。Apiiroは公開GitHub上の10万4185個のこのファイルのうち1,122個に計1,379件の秘密情報を確認し、うち3分の1以上がデータベースの認証情報だった。
技研製作所 ― 業務用サーバーにランサムウェアを含む不正アクセス
圧入機メーカーの技研製作所は、業務用サーバー1台がランサムウェアを含む不正アクセスを受け、ユーザー・指定工場の担当者（海外含む）とグループ従業員の約3,200名分の氏名・連絡先や、顧客支援システムのログインID・暗号化したパスワードが漏えいしたおそれがあると発表した。外部送信の痕跡は確認されていない。
ニトリ ― 管理システムへの不正アクセスで個人情報流出の可能性
ニトリホールディングスが管理するシステムに不正アクセスがあり、個人会員・購入者・法人会員の情報とニトリネットやECモール公式ショップの注文データなど最大3,762万件が流出した可能性がある。11月6日に判明し、10月中旬〜下旬にもアクセスされた可能性がある。カード情報とログインパスワードは対象外。
Qubole ― 自社AWSアカウントの認証情報で顧客環境に侵入された
データ基盤サービスQuboleがAWS連携に使うアカウントのIAM認証情報で、攻撃者が2026年10月14〜26日に複数の顧客のAWS環境の連携用ロールを引き受け、Secrets Manager・SSM・Lambdaの秘密情報とS3のデータを持ち出したとWizが公表した。認証情報が盗まれた経緯は公表されていない。
シェアフル ― 社内管理システムに不正アクセス、利用者情報流出の可能性
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
九州電力送配電 ― 不正アクセスで電力量情報が漏えいした可能性
九州電力送配電は2026年11月5日、一部システムへの不正アクセスにより、使用電力量や地点特定番号など4,139件が社外に漏えいした可能性があると公表した。10月30日に不自然なエラーを検知して当該システムを停止し、電力量・料金照会サービスを止めている。お客さま名や住所、口座情報は含まれない。電力の安定供給に支障はないとしている。
国税庁「e-Tax」 ― 不審な通信で停止、プログラムの一部が流出
国税庁は2026年11月4日、外部からの不審な通信を検知して電子申告・納税システム「e-Tax」を止め、5日午前11時に再開した。報道によると、e-Taxを動かすプログラムの一部がコピーされ外部に流出したが、納税者情報やシステム上の機微な情報の流出はないと同庁は説明している。
サントリー ― 外部クラウドサービスからファイルがダウンロードされ個人情報漏えい
サントリーホールディングスとサントリービバレッジ＆フードは2026年11月2日、業務で使う外部クラウドサービスに不正アクセスがあり、ファイルがダウンロードされたと公表した。グループ・パートナー企業の従業員約9万人の氏名・メールアドレスや、新卒採用の応募者7,173人分などの個人情報が含まれていた。決済情報は含まれず、不正利用は確認されていない。
GMOトラスト・ログイン ― 設定不備で顧客企業の社員情報が取得された
GMOグローバルサインは2026年10月30日、ID管理・SSOサービス「GMOトラスト・ログイン」でロゴ配信用の公開ストレージに一括操作の一時ファイルなどを置いていたため、2,492社・45,030人分の氏名・メールアドレス・社員番号・連携アプリ名などが第三者に取得されたと公表した。2017年11月から2026年9月まで取得できる状態で、取得を記録で確認できたのは2021年6月以降。
日本交通 ― 7月の不正アクセスで従業員・応募者などの情報漏えいの可能性
日本交通は2026年10月30日、7月11日の社内システムへの不正アクセス（マルウェア感染）について第6報を出し、乗務員・職員、採用応募者、従業員の家族、事故の相手方など6区分・合計約29万人分の個人情報が漏えいした可能性があると公表した。一部にマイナンバーや健康診断結果、事故時のけがの状況を含む。乗客の配車・乗車情報は対象外。
ドトールコーヒー ― 不正アクセスで従業員・退職者の情報が流出した可能性
ドトールコーヒーは2026年10月26日、10月20日に確認した不正アクセスで都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性があると公表した。11月6日の更新版で、従業員番号・性別・国籍・雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（一部）が追加項目として漏えいの可能性があると示した。顧客情報への不正アクセスは確認されていない（別件の通販サイト事案は新規記事の対象）。
n0nランサムウェア ― 公開状態の作業サーバーから手口が判明
SOCRadar は10月28日、ランサムウェア n0n の運営者がインターネットから読める状態で置いていた作業サーバー（1,719ファイル）を分析したと公表した。14か国23組織への侵入や試行が記録されていたが、入口はすべて FortiGate SSL-VPN への認証情報の総当たり、漏れた AWS キー、弱い RDP のパスワードなどの認証情報で、脆弱性は使われていなかった。攻撃用スクリプトは AI コーディングエージェント OpenCode で書かれ、AI の利用料は10月22日までに7,216ドルを超えていた。
Northflank ― 侵害を受け顧客のAIキーが不正利用される
開発者向けクラウド基盤の Northflank は10月30日（UTC）、Wiz の警告を受けて侵害を公表し、顧客の環境変数はすべて復号されたものとして秘密情報を入れ替えるよう求めた。複数の顧客が AI の API キーの不正利用を報告している。侵入経路と影響範囲は未公表。Wiz は10月に同様の事案が AI 開発者向け基盤で少なくとも9件あったとまとめている。
Cursor拡張マーケット ― 改ざん版Claude Code拡張が配布
10月29日、Cursor の VS Code 拡張マーケットプレイスで Anthropic.claude-code の改ざん版 2.1.312・2.1.313（Windows・macOS）が約11時間配布された。端末情報を送り、authorized_keys に攻撃者の SSH 鍵を足し、逆向き SSH トンネルを常駐させようとする。Cursor によると最大約5,000人が入れた可能性があり、どう公開されたかはまだ説明されていない。
資さんうどん ― 委託先サーバーの設定不備で従業員情報が閲覧可能に
資さんうどんを運営する資さんは2026年10月27日、サーバー管理を委託するカホエンタープライズの設定不備で、2021年10月〜2026年10月に在籍した従業員・退職者の氏名・生年月日・賃金履歴・勤怠実績などが外部から閲覧可能だった可能性があると公表した。10月29日の第2報では、格納領域には別途認証が必要で、実際の漏えいや改ざんの痕跡はないとした。
ベーシック「ferret One」 ― 内部管理機能に不正アカウントを作成された
ベーシックは2026年10月27日、マーケティング基盤「ferret One」の内部管理機能の不備を突かれ、10月14日に第三者が不正なアカウントを作成していたと公表した。導入企業のログイン用メールアドレスが閲覧・取得された可能性があり、同社と顧客の計6アカウントで不正ログインを確認したため、2段階認証を必須化した。
UPSIDER「Breakthrough GRID」 ― 会員サイトから情報を持ち出された
UPSIDERは2026年10月27日、経営幹部・事業責任者向けの会員制交流サービス「Breakthrough GRID」の会員サイトが同日に不正アクセスを受け、会員と退会者の氏名・メールアドレス・所属企業や部署、イベント情報、ディスカッションの議事録などが持ち出されたと公表した。報道では187社544人分で、法人カードなど他サービスへの影響はなく、会員サイトは全機能を停止している。11月12日の続報で、会員サイトは再開せずに閉鎖し、オフラインのイベントを11月19日に再開すると発表した。
パナソニック ― 禁止の生成AIに従業員の個人情報をアップロード
パナソニック ホールディングス傘下のパナソニック オペレーショナルエクセレンスは2026年10月23日、子会社パナソニック デジタルと進める人事情報システム導入プロジェクトで、メンバーが社内で利用を禁止している外部の生成AIサービスに、従業員約7万5千人・元従業員約17万8千人の社員番号・住所・電話番号・メールアドレスと、家族約8万1千人の氏名・連絡先を含むデータをアップロードしたと発表した。外部からの攻撃ではなくルール違反で、AI学習機能は無効、データは削除済みで、事業者側の保持も10月25日以降なくなるとしている。パナソニック オペレーショナルエクセレンス。人事情報システム導入プロジェクトのメンバーが、社内で禁止の外部生成AIに従業員・元従業員・家族約33万4千人分の個人情報をアップロード。
ママワークス ― 設定の脆弱性から会員名簿が流出
在宅ワーク求人サイト「ママワークス」は2026年10月20日、第三者による不正アクセスで会員の個人情報が漏えいした可能性があると公表した。会員名簿とされるデータがインターネット上にアップロードされていると警察から報告を受け、専門調査会社の調査で10月1日にシステム設定の脆弱性が原因と確認した。氏名、生年月日、住所、電話番号、メールアドレス、職務経歴、パスワードのハッシュ値などが対象。「会員名簿とされるデータがネット上にある」と警察から報告、調査でシステム設定の脆弱性からの不正アクセスが原因と判明、住所・職務経歴・パスワードのハッシュ値などが漏えいの可能性。
沖縄ツーリスト ― 個人情報漏えいの可能性、予約サービスを停止
沖縄ツーリスト（OTS）は2026年10月21日、運営するサービスで顧客の個人情報が漏えいした可能性があると公表した。社外からの問い合わせを受けた初期調査で判明し、10月18日から該当サイトへの外部からのアクセスを遮断、20日16時30分からOTSレンタカー、OTS HOTEL、OTS ACTIVITIESなど個人情報を扱う5サービスの新規予約受付を止めている。対象の情報、範囲、原因は外部専門家と調査中。10月22日にはNHKが、沖縄のレンタカー事業などを行う会社から漏えいした可能性がある運転免許証の画像など（見出しでは4000件）のデータが闇サイトで販売されていると報じた。社外からの問い合わせで個人情報漏えいの可能性が判明、OTSレンタカー・ホテル・アクティビティなど5サービスの新規予約を停止。
韓国の金融機関に連続侵入 ― AI自動ペネトレーションツールを悪用
9月下旬から10月初めに、新韓銀行・KB国民銀行・ハナ銀行など韓国の金融機関7社以上で個人情報が流出した。CrowdStrikeは攻撃者のサーバーの公開ディレクトリから、ARTEXの設定とClaude Codeのセッション履歴を見つけた。狙われたのは融資仲介業者向けの照会サービスや社員向けの業務システムなど、顧客向けの本体より守りの薄いシステムだった。韓国の金融機関を襲った連続侵入。中国製のAI自動ペネトレーションツール「ARTEX」とClaude Codeで、銀行の「周辺システム」が次々に破られた。
戸田建設 ― 支払管理システムから取引先・従業員の情報が流出
戸田建設は10月7日、取引先への支払いを管理するシステムなどへの外部からの不正アクセスを10月5日に検知し、10月1日から5日にかけて情報が外部に漏洩した形跡を確認したと公表した。取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778人分の氏名・住所・電話番号・メールアドレス・所属部署が対象。侵入経路と原因は調査中。
関西国際大学 ― eポートフォリオから在籍者の記録が流出
関西国際大学は9月30日に学内システムへの不正アクセスを公表し、10月6日の第2報で、学修記録をためる「eポートフォリオシステム」の複数のファイルが外部から繰り返し取得され、2023年3月までに在籍した学生の在学中の経験や振り返りなどの文字情報が流出したと判断したと発表した。氏名・学籍番号と結び付くか、対象の範囲・件数は確認中。学内Wi-Fiを含む学内ネットワークを止めており、10月中旬以降に学内からの学習支援・教務システムの段階的な再開を目指す。eポートフォリオから2023年3月までの在籍者の記録が流出、学内ネットワークを止めて授業にも支障。
Atlassian Data Center CVE-2026-21589 ― ログインなしでファイル読み取り
Atlassianが、Jira・Confluence・Bitbucketなど自前で運用する8製品のData Center版に、認証なしでWebアプリケーションのルートディレクトリ内のファイルを読める脆弱性CVE-2026-21589（CVSS 4.0で9.3）を公表。ファイル名とパスを知っている必要があるが、全バージョンが対象で、更新できないなら外部からの接続を絞るよう求めている。ログインなしでWebルート内のファイルを読める欠陥、Jira・Confluenceなど8製品の自前運用版が対象。