マネックス証券 ― 委託先の口座開設システムに不正アクセス、情報漏えいのおそれ
マネックス証券は11月13日、外部委託先が運営する口座開設システムへの不正アクセスで、2019年10月16日以降に登録されたメールアドレス最大113万件と、本人確認書類画像1,592件（マイナンバーカード表面、運転免許証の表裏、セルフィー）が漏えいしたおそれがあると発表した。口座番号やパスワードは別のデータベースで、漏えいは確認されていない。
← タグ一覧へ
タグ / インシデント種別
個人情報漏えい
すべての面から121件。公開日の新しい順。（本人確認書類・履歴書・要配慮個人情報・パスワードハッシュ のタグが付いた記事を含みます）キーワードと組み合わせて探す →
paiza ― 検証環境が固定パスワードのまま外部から接続できる状態だった
paizaは11月13日、開発用ステージング環境のベーシック認証などを固定文字列のまま2013年から運用し、退職者などがアクセスし得る状態だったと発表した。本番データを一部マスクして複製しており、最大902,576件の個人データが対象。外部への流出は確認されていない。
ヤマダデンキ ― リフォーム管理システムに不正アクセス
ヤマダデンキは11月13日、リフォーム管理システムが第三者からの不正アクセスを受けたと発表した。11月12日に確認して外部からのアクセスを遮断。氏名・住所・電話番号やリフォーム実施履歴・見積データなど最大350万件が影響を受けた可能性があり、外部への流出は調査中。
サイバーセキュリティクラウド ― GitHubに不正アクセス、顧客情報漏えいの恐れ
WAFなどを提供するサイバーセキュリティクラウドは11月12日、従業員のGitHub認証情報1件が外部に流出し、それを使ったとみられる不審なアクセスを11月5日に確認したと発表した。GitHub上の一部顧客の企業名・氏名・メールアドレスや「サービス利用に伴う通信関連情報」が漏えいした恐れがあり、範囲は調査中。
甲賀市 ― 音声放送システムのサーバーがランサムウェア被害
滋賀県甲賀市は11月12日、各家庭や屋外拡声器に緊急情報などを流す音声放送システムのサーバーがランサムウェア攻撃を受け、11日早朝から放送が止まっていると発表した。報道によると端末機設置者の氏名・事業所名など約2万5千件が流出した可能性があり、11日のJアラートのテスト放送も中止した。
Qoo10 ― 不正アクセスで会員の個人情報が閲覧された
ECモール「Qoo10」は11月12日、11月6日に外部の第三者がシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した。氏名・連絡先・住所に加え、住所の地理座標や任意入力の身体的特徴なども含まれる可能性がある。認証トークンを無効化し強制ログアウトを実施した。件数は公表していない。
USMH「Scan＆Go ignica」 ― 不正アクセスで会員情報流出の可能性
マルエツなどを傘下に持つユナイテッド・スーパーマーケット・ホールディングスは11月12日、アプリ「Scan＆Go ignica」のシステムが不正アクセスを受け、約240万アカウントのうち64,003アカウントの新規登録時の氏名とメールアドレスを含むファイルが取得された可能性があると発表した。
Yeny ― API接続設定の不備で会員の電話番号が漏えい
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
電通デジタル「TONARIWA」 ― 管理アカウントに不正アクセス、情報漏えいの可能性
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
オープンロジ ― 不正アクセスで出荷データのお届け先情報が持ち出された
物流サービスのオープンロジのシステムに11月8〜9日、不正アクセスがあり、4月8日〜11月8日の出荷データに含まれるお届け先の氏名・住所・電話番号・メールアドレス・商品情報が持ち出された。件数は調査中で、HUMAN MADE、SKIYAKI（Bitfan）、マイネット、アデリアなど荷主が相次いで公表した。11月12日にはビームス（Setinn・BEAMS公式TikTok Shop）やユナイテッドアローズ（海外向けEC）も公表した。
セブン銀行 ― 在留カード提出サイトなどに不正アクセス、券面情報流出の恐れ
セブン銀行の在留外国人向け「在留カード提出サイト」と「口座解約受付サイト」に11月9日、不正アクセスの形跡が見つかり、提出サイトが保有していた最大150件程度の在留カード券面情報が流出した恐れがある。不正な送金や口座解約、改ざんは確認されていない。
SMBC日興証券 ― 持株会管理システムに不正アクセス、会員情報が漏えい
SMBC日興証券が持株会事務の受託業務で使うシステムに11月9日、不正アクセスがあり、持株会の会員最大56,487名の氏名・住所・投資銘柄・持分残高・配当金・振替先口座情報などが漏えいした。電話番号とメールアドレスはシステムに登録がなく対象外。
靖國神社 ― 授与品の通販サイトに不正アクセス、会員情報が漏えい
靖國神社のオンライン授与品・頒布品サイトが10月28日に不正アクセスを受け、登録者約14,500件の氏名・メールアドレス・パスワードのハッシュ値と生成用の補助情報などが漏えいした。カード情報、住所、電話番号、購入履歴の漏えいは確認されていない。
ビックカメラ ― 法人向け問い合わせフォームの設定不備で取引先情報が漏えい
「法人専用ビックカメラ・ドットコム」の法人顧客向け問い合わせフォームの潜在的な設定不備を突かれ、11月5〜6日に企業名・部署名・担当者氏名・メールアドレスの全部またはいずれかを含む計133,039件が漏えいした。11月6日14時15分にフォームを閉鎖し設定を直した。
日本商工会議所 ― ネット試験管理システムに不正ファイル、受験者情報漏えいの可能性
簿記など8種類のネット試験で使う外部サーバー（試験管理システム）に11月1日に不正なプログラムが置かれ、2022年4月〜2026年11月4日の受験者最大約98万人分（約197万件）の氏名・生年月日・合否結果・得点などが漏えいした可能性がある。漏えいや不正利用は確認されていない。
NEAR AI ― SGLangの脆弱性を突かれ推論サーバーに侵入された
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
ソフト99 ― 問い合わせフォームから不正ファイルを置かれ情報漏えいの可能性
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
DigiCert ― 外部公開された社内システムから顧客情報が閲覧された
認証局のDigiCertは、2025年2月の基盤移行でVPNの内側から外に出た社内システムに、多要素認証のない自己登録アカウントが作られ、2026年6月27日〜7月2日に顧客担当者の連絡先と一部の本人確認書類が閲覧されたとMozillaのBugzillaで報告した。証明書の発行や検証には影響していない。
技研製作所 ― 業務用サーバーにランサムウェアを含む不正アクセス
圧入機メーカーの技研製作所は、業務用サーバー1台がランサムウェアを含む不正アクセスを受け、ユーザー・指定工場の担当者（海外含む）とグループ従業員の約3,200名分の氏名・連絡先や、顧客支援システムのログインID・暗号化したパスワードが漏えいしたおそれがあると発表した。外部送信の痕跡は確認されていない。
ニトリ ― 管理システムへの不正アクセスで個人情報流出の可能性
ニトリホールディングスが管理するシステムに不正アクセスがあり、個人会員・購入者・法人会員の情報とニトリネットやECモール公式ショップの注文データなど最大3,762万件が流出した可能性がある。11月6日に判明し、10月中旬〜下旬にもアクセスされた可能性がある。カード情報とログインパスワードは対象外。
NTTデータ・住友生命 ― Vitality申込システムから利用者情報が漏えい
NTTデータが住友生命から受託する「住友生命Vitality体験版・企業型」「Vitalityスマート」の申込サービスに不正アクセスがあり、現・元利用者約8万名の氏名・住所・電話番号・生年月日・メールアドレスのいずれかが漏えいした。約1,000名は一部マスキング済みのカード番号も含む。
ラクスル ― 認証情報を悪用され印刷データなどが流出したおそれ
ネット印刷「ラクスル」のデータ入稿処理システムで認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だった。入稿された印刷データや請求書・Web郵便に記載された氏名・住所・電話番号などが流出したおそれがあり、件数は集計中。11月8日から入稿を伴うサービスを停止した。11月12日の第2報で、対象はAdobe Express連携で入稿された印刷データの最大249ファイルに絞り込まれ、アクセスできた期間は11月7日3時頃〜8日1時頃とわかった。
シェアフル ― 社内管理システムに不正アクセス、利用者情報流出の可能性
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
早稲田大学 ― MyWasedaのユーザー管理システムに侵入され情報取得
早稲田大学は、学内ポータル「MyWaseda」のログイン用ユーザー情報を管理するシステムが8月31日に不正アクセスを受け、教職員番号・氏名・Wasedaメールアドレス・暗号化したパスワードなど計3,342件が取得されたと発表した。PHPの脆弱性への対応で学内システムを点検する中で痕跡を見つけた。
よーじや ― 会員情報取得APIを不正利用され会員情報が流出
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
teket ― 不正アクセスで会員情報が流出、全サービス停止
電子チケット販売サービス「teket」は2026年11月8日、会員情報などを管理するシステムへの不正アクセスで、全会員の氏名・メールアドレスと、登録・購入状況に応じて生年月日・住所・電話番号・チケットの発券用コードなどが流出したと発表した。11月5日20時30分から全サービスを止めており、再開時期と件数は未定。
シグナルトーク「Maru-Jan」 ― 不正アクセスで会員情報が流出
シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで全会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。管理システムの機能が悪用され、11月4日15時頃までにデータが外部へダウンロードされていた。悪用箇所への対策後、同日16時にサービスを再開した。
ステップゴルフ ― 業務システムからDBのバックアップが漏えいした可能性
インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、会員・無料体験申込者の氏名・住所・銀行口座情報・レッスンカルテ・顔写真など最大21.5万件が漏えいした可能性が極めて高いと発表した。口座情報は暗号化せずに保管していた。
使えるねっと ― 契約管理ポータルへの不正アクセスで顧客情報が漏えい
使えるねっとは2026年11月7日、第三者の不正アクセスで契約管理・購入ポータル「使えるポータル」の顧客情報漏えいが判明したと速報した。漏えい項目と件数は調査中。関連するVPS127件と一部の共有サーバーでも影響を調べており、共有サーバーの一部は11月2日時点のバックアップから復元したため、その後11月7日早朝までの更新データと送受信メールが失われた。
エディオン ― ECサイトのログファイルに不正アクセス
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
JNSA ― セキュリティ理解度チェックから個人情報漏えいの恐れ
日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、運営する「情報セキュリティ理解度チェックサービス」が不正アクセスを受け、最大15,128件の利用者情報が漏えいした可能性があると発表した。管理者の氏名・企業名・メールアドレスや、利用者のIDとハッシュ化パスワードなどが含まれる。サービスは停止中。
三井ダイレクト損保 ― Webサイトへの不正アクセスで顧客情報が漏えい
三井ダイレクト損害保険は2026年11月6日、自社Webサイトへの第三者の不正アクセスで、見積もりや契約をした顧客の情報約23.4万件が漏えいしたと発表した。氏名・住所・連絡先のほか車両情報や契約条件を含む。カード情報、口座情報、マイページのログインパスワードは含まれない。Webサイトとアプリの手続きは11月4日から停止中。
三井住友海上・あいおいニッセイ同和 ― 契約者専用ページから情報漏えい
MS&ADグループの三井住友海上火災保険とあいおいニッセイ同和損害保険は2026年11月6日、「ご契約者さま専用ページ」への不正アクセスで顧客情報が漏えいしたと発表した。11月6日9時時点であいおい約44.4万件、三井住友海上約3.7万件。専用ページに生命保険契約を表示する設定をしていた三井住友海上あいおい生命の顧客約5,300件も対象になった。
ロート製薬 ― 通販の電話システム経由で顧客情報が漏えい
ロート製薬は2026年11月6日、通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム経由で最大2,797,545人分の氏名・住所・電話番号が漏えいしたと公表した。一部の通話音声にはクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードは含まれない。
チームスピリット ― 開発用サーバーへの不正アクセスで情報が流出
チームスピリットは2026年11月6日、開発用サーバーへの不正ログインで認証情報を使われ、クラウド環境からデータが取得されたと発表した。流出は重複除き28,824件で、要配慮個人情報35件を含む。契約企業の担当者情報や勤怠記録の一部、従業員情報などが対象。本番の勤怠・工数データへの不正アクセスは確認されていない。
WebMoney ― 不正アクセスで決済情報漏えいの可能性
電子マネーWebMoneyは2026年11月6日、システムへの第三者による不正アクセスを確認し、決済情報等の一部が漏えいした可能性があると公表した。不正利用の懸念がある一部のプリペイド番号は一時利用制限し、さらなる不正アクセス防止のため一部サービスを一時停止している。漏えいの有無を含む事実関係は調査中。
クラブネッツ ― CNポイントのサテライトシステムに不正アクセス
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
電通総研「FACERE」 ― 権限設定の不備で利用企業の環境に不正アクセス
電通総研は2026年11月4日、同社が提供する「FACERE」の特定の利用企業の環境で、同社のアクセス権限設定の不備により外部から閲覧できる状態になっており、9月10日に第三者からアクセスされていたと公表した。10月29日に判明し、設定変更で経路を遮断した。企業名・件数・情報の項目は公表されていない。
Getchu.com ― 会員管理システムに不正アクセス、会員情報が流出
通販サイト「Getchu.com」を運営するゲインズは2026年11月4日、会員管理システムへの不正アクセスで、10月28日17時30分までに登録した会員の会員ID・メールアドレス・パスワード・氏名・住所・電話番号などが流出したと公表した。クレジットカード情報は含まれず、パスワードは強制的にリセットされた。件数と原因は公表されていない。
アイリスプラザ ― 外部クラウドへの不正アクセスで顧客情報漏えいの可能性
アイリスプラザは2026年11月5日の第2報で、利用する外部クラウドサービスへの不正アクセスにより、会員約580万人・非会員約190万人の計約770万人分の個人情報が閲覧または取得された可能性があると公表した。会員データには暗号化されたパスワードなども含まれる。クレジットカード情報は当該クラウドに保存されておらず影響なし。
NTTドコモ ― オンラインショップ等への不正アクセスで顧客情報流出
NTTドコモは2026年11月5日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスにより最大約30万件の顧客情報が流出したと公表した。11月6日の第三報で、全員分に氏名・住所・生年月日・連絡先・本人確認書類の番号・契約情報・料金プラン等が含まれ、一部には代理人情報・勤務先・口座情報・子育て応援プログラム情報が含まれると詳細化した。11月8日には予防的に止めていたahamoサイトを再開したが、オンラインショップとMy docomoは同日13時時点でもメンテナンス中。11月9日の報道では、対象の内訳は個人20万4,157件・法人9万682件で、ドコモは利用者への見舞金の支払いを検討しているという。11月9日の第四報で、不正アクセスの経路に対策したとして、My docomoの手続きを一部を除き15時ごろから再開した。
SMBCコンシューマーファイナンス ― 保証システムから顧客情報が漏えい
SMBCコンシューマーファイナンスは2026年11月5日、カードローン等の保証業務システムへの不正アクセスで、最大320,118名の氏名・住所・運転免許証番号・年収・保証額などが外部送信されたと公表した。11月2日に検知して遮断し、保証システムは一時停止中。本人確認書類の画像は含まれない。
ユニコレ ― プログラムの不備を突かれ会員情報が漏えい
飲食店向けユニフォーム通販「ユニコレ」を運営するティーエッチエスは2026年11月5日、10月18日にサイトのプログラムの不備を突いた不正アクセスで、会員最大19,468名の氏名・メールアドレス・住所・勤務先名などが漏えいしたと公表した。パスワードとクレジットカード情報は漏えいしていない。10月22日に遮断し、11月5日にサイトを再開した。
ヤクルト本社 ― ホームページへの不正アクセスで個人情報漏えい
ヤクルト本社は2026年11月4日の第3報で、10月26日に確認したホームページへの不正アクセスにより漏えいした個人情報が計39,505件だったと公表した。問い合わせフォーム利用者31,781件、給食サイト「たのしい給食」会員5,698件（暗号化されたパスワードを含む）などで、化粧品キャンペーン応募者354件も新たに判明した。原因は公表されていない。
CBcloud「ピックゴー」 ― 不正アクセスで7NOW・出前館の顧客情報が取得
配送マッチングのCBcloudは2026年11月1日、法人向け「ピックゴー」で不具合を悪用した不正アクセスを確認した。7NOW・出前館に加え、11月5日に日本郵便が委託荷物の顧客氏名1,672件（姓名）と2,091件（姓のみ）の漏えいを公表。住所・電話番号は含まれない。決済情報やログインパスワードは対象外。
cPGuard ― 更新配信基盤が乗っ取られ、悪性スクリプトが配られた
Linux サーバー向けセキュリティ製品 cPGuard の更新配信基盤（CDN）に11月2日、盗まれた認証情報で侵入され、5.88.12〜5.88.19 の更新にバックドアと情報収集のスクリプトが混入した。/etc/shadow、root の my.cnf・シェル履歴・SSH 関連ファイルが集められ、OPSSHIELD は少なくとも32台分のデータが攻撃者に回収されたと推定している。
デニーズアプリ ― 旧アプリの移行処理で認証情報を不正に作成された
デニーズは2026年11月3日、旧アプリから新アプリへの移行処理を突いて第三者が認証情報を不正に作り、一部アカウントにアクセスできる状態だったと公表した。会員コード・メールアドレス・生年月日などが取得された可能性があり、取得の有無と人数は調査中。氏名・住所・電話番号・パスワード・カード情報は保持していないとしている。11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいしたのは3,298名と確定した。
Shippio ― 社内ツールの認証情報を悪用され顧客情報が漏えい
貿易業務プラットフォーム「Shippio Platform」を運営するShippioは、2026年11月1〜2日に社内業務ツールに保存されていた認証情報を使った不正アクセスを受け、全顧客の会社名・住所などや書類約1,300件のダウンロードなどを確認したと公表した。11月2日からサービスを停止し、11月5日に再開。パスワードは外部認証サービス管理で取得されていない。
サントリー ― 外部クラウドサービスからファイルがダウンロードされ個人情報漏えい
サントリーホールディングスとサントリービバレッジ＆フードは2026年11月2日、業務で使う外部クラウドサービスに不正アクセスがあり、ファイルがダウンロードされたと公表した。グループ・パートナー企業の従業員約9万人の氏名・メールアドレスや、新卒採用の応募者7,173人分などの個人情報が含まれていた。決済情報は含まれず、不正利用は確認されていない。
ウィルズ「ネットマイル」 ― 不正アクセスで会員情報漏えいの可能性、サイト停止
ウィルズは2026年11月2日、ポイントサービス「ネットマイル」のシステム環境に第三者の不正アクセスがあり、退会者を含む最大約549万人の氏名・メールアドレス・特典交換に関する情報が漏えいした可能性があると公表した。「ネットマイル」「すぐたま」のサイトを停止している。公開や悪用は確認されていない。
GMOペイメントゲートウェイ ― ライフカード向け機能でVプリカ利用者情報が窃取
GMOペイメントゲートウェイは2026年11月2日、ライフカードに提供するイシュイングサポートサービスの個別機能で10月30日に不正なユーザーによる行為があり、Vプリカ利用者69アカウントの情報が窃取された可能性があると発表した。うち3件はVプリカ番号・専用セキュリティコード・有効期限・氏名がそろっていた。
アイスタイル ― 不正アクセスで「@cosme共通ID」の会員情報が漏えい
アイスタイルは2026年11月2日、化粧品口コミサイト「@cosme」への不正アクセスで、「@cosme共通ID」の会員約300万人分の氏名・住所・電話番号・メールアドレス・生年月日・肌質・髪質などが漏えいしたと発表した。漏えいの確認は10月28日。パスワードとカード情報は含まれていないとしている。
ノジマ ― ECサイトの会員管理システムから会員情報が漏えい
ノジマは2026年11月2日、ECサイト「ノジマオンライン」の会員管理システムへの不正アクセスで、同サイトと中古スマホ買取サイトの会員情報約700万件が漏えいしたと発表した。氏名・住所・生年月日・電話番号・メールアドレスに加え、ログインIDと暗号化されたパスワードを含む。カード情報は保持していない。2サイトは休止中。
プレステージ・インターナショナル ― ロードサービス受付システムから情報持ち出し
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
GMOトラスト・ログイン ― 設定不備で顧客企業の社員情報が取得された
GMOグローバルサインは2026年10月30日、ID管理・SSOサービス「GMOトラスト・ログイン」でロゴ配信用の公開ストレージに一括操作の一時ファイルなどを置いていたため、2,492社・45,030人分の氏名・メールアドレス・社員番号・連携アプリ名などが第三者に取得されたと公表した。2017年11月から2026年9月まで取得できる状態で、取得を記録で確認できたのは2021年6月以降。
iDA「MyBRANDS」 ― 委託先のクラウド鍵が悪用され会員データが送信
iDAは2026年10月30日、求人サイト「MyBRANDS」で委託先が使うクラウドの管理用アクセスキーが10月21〜22日に不正利用され、複製したデータベースから外部へデータが送られた記録があったと公表した。中身を確認できないため、求職者と企業担当者の最大約13万5,000アカウント分の氏名・連絡先・職歴・変換済みパスワードなどすべてを対象としている。暗号化していた項目の鍵も取得されたおそれがある。
日本交通 ― 7月の不正アクセスで従業員・応募者などの情報漏えいの可能性
日本交通は2026年10月30日、7月11日の社内システムへの不正アクセス（マルウェア感染）について第6報を出し、乗務員・職員、採用応募者、従業員の家族、事故の相手方など6区分・合計約29万人分の個人情報が漏えいした可能性があると公表した。一部にマイナンバーや健康診断結果、事故時のけがの状況を含む。乗客の配車・乗車情報は対象外。
NTTスマイルエナジー「エコめがね」 ― 不正アクセスでサービス全面停止
NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視「エコめがね」のWebサーバーへの不正アクセスで全サーバー通信を遮断し、顧客情報漏えいの可能性を公表した。11月6日の2報で、関連の『スマイルeポイント』で管理番号・交換URL等が読み取られ約1.4万件（800万ポイント）が不正交換されたと判明。個人情報の外部漏えいは現時点で未確認。発電は続くがアラートメールは止まっている。
クラブツーリズム ― 不正アクセスでネット会員情報が流出した可能性
旅行会社クラブツーリズムは2026年10月31日、インターネット予約システムへの不正アクセスで、ネット会員約432万人分の氏名・住所・生年月日・国籍・緊急連絡先などが流出した可能性があると公表した。パスワード、旅券情報、カード情報、口座番号は含まれないとしている。11月7日の第2信で、対策と安全性の確認が終わったとして、一部のページを除きホームページを再開した。
ドトールコーヒー ― 不正アクセスで従業員・退職者の情報が流出した可能性
ドトールコーヒーは2026年10月26日、10月20日に確認した不正アクセスで都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性があると公表した。11月6日の更新版で、従業員番号・性別・国籍・雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（一部）が追加項目として漏えいの可能性があると示した。顧客情報への不正アクセスは確認されていない（別件の通販サイト事案は新規記事の対象）。
Japanticket ― 外部分析ツール経由で予約者情報が漏えい
予約サービスJapanticketは2026年10月30日、利用していた外部の分析ツールが不正アクセスを受け、最大約26.4万件の予約者情報（氏名、メール、電話番号、予約内容など）が漏えいしたと公表した。連携サイト経由の予約も含まれ、山梨県は富士山吉田ルートの2024年度予約データが含まれるか確認している。
NTTデータ委託先 ― デジタル証券基盤から社債購入者情報が流出した可能性
NTTデータは2026年10月31日、デジタル特典付き社債の特典を支える「STdirectServices」の委託先SaaSが不正アクセスを受け、個人情報が流出した可能性があるとして同サービスを停止した。楽天証券（延べ362件）、近鉄GHD（2,678人）、MUFGモルガン・スタンレー証券（95人）などが顧客への影響を公表した。11月2日の第2報で、委託先はSecuritize Japanで、認証機能の脆弱性を悪用して管理者権限が奪われ、情報が持ち出されたことがわかった。
佐賀大学 ― ランサムウェア被害で個人情報と患者情報が流出した可能性
佐賀大学は2026年10月30日、9月24日に事務系NASで確認したランサムウェア被害について、学生・教職員など約8万人分の氏名・住所・パスワードなどと、附属病院の患者の傷病名などの要配慮個人情報が流出した可能性を否定できないと公表した。患者の人数は調査中。
DHC ― オンラインショップで会員情報が書き換えられた
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
松屋フーズ ― 公式アプリの管理システムに不正アクセス
松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが不正アクセスを受け、10月28日に情報漏えいが判明したと公表した。配達・注文の利用者2,377,127件（氏名・届け先住所・電話番号など）と、アプリ会員2,000件（最大3,000件、生年月日・メールアドレス・暗号化されたパスワードなど）が漏えいした。
良品計画 ― MUJIアプリへの不正アクセスで顧客情報流出の可能性
良品計画は2026年10月30日、無印良品の公式アプリ「MUJIアプリ」への外部からの不正アクセスを検知し、退会者を含む最大約2,726万件のメールアドレス・生年月日・性別が流出した可能性があると公表した。氏名・住所・電話番号・カード情報は含まれず、侵入経路や検知日は示していない。11月4日の第二報で、対象に無印良品ネットストア会員も含まれ、一部は氏名・住所・電話番号も対象、2021年7月以前に入会したMUJI Cardのカード番号全桁など約109万件にもアクセスされた可能性があるとわかった。11月9日の第四報では、ネットストアへのリスト型攻撃による不正ログインの可能性と代引き受取先の情報への不正アクセスが判明し、11月6日から停止中のネットストアの再開を延期した。11月12日の社長会見では、原因を「システムの一部の脆弱性」と認め、運用変更後も破棄すべきMUJI Cardの番号を残していたことを謝罪した。
Vook ― データ分析ツールの脆弱性を突かれDBに不正アクセス
映像クリエイター向けサービスのVookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を突かれ、ツール経由でデータベースに不正アクセスされたと公表した。会員やイベント申込者、取引先担当者などの氏名・連絡先・職歴の一部などが取得された可能性がある。ツールの名前は明かしていない。11月12日の第二報で、退会済みの「Vook求人」応募者や、自由記述に含まれた健康状態の記述なども対象とわかった。最初の不正ログインの検出は8月9日。
ワールド子会社ティンパンアレイ ― 業務サーバーに不正アクセス
ワールドは2026年10月30日、リユース店「RAGTAG」を運営する子会社ティンパンアレイの業務サーバーが10月17日から外部の不正アクセスを受け、延べ約120万件の会員情報（氏名・住所・電話番号・生年月日・性別・メールアドレス）が流出したと開示した。検知は10月28日で、侵入から11日後だった。
DIRIGIO「PICKS」 ― モバイルオーダーのAPIに不正アクセス
モバイルオーダー基盤「PICKS」を提供するDIRIGIOで2026年10月27日にシステムAPIへの不正アクセスが検知され、全サービスが緊急停止した。利用ブランドの発表では、サーティワンで最大8174名（注文9799件）、SUBWAYで7名、DEAN & DELUCAで3名の氏名・メールアドレスなどが漏えい、または漏えいの可能性があり、カード情報は含まれない。
ドン・キホーテなど4社 ― 時計修理の委託先がランサムウェア被害
ドン・キホーテ、長崎屋、橘百貨店、UDリテールは2026年10月28日、時計修理の委託先コックス（東京都台東区）のサーバーが9月15日にランサムウェアで暗号化され、2025年9月以降に時計修理を依頼した顧客の氏名・住所（一部）・電話番号（一部）が漏えいした可能性があると公表した。人数は示しておらず、漏えいの事実は確認されていない。
クロンオンライン診療 ― 不正ログインで患者情報が閲覧
MICINは2026年10月27日、オンライン診療サービス「クロンオンライン診療」で10月23日にリスト型攻撃とみられる不正ログインがあり、5医療機関6アカウントと患者14アカウントが使われ、3医療機関の患者73名分の氏名・住所・カルテ番号・受診状況・医師のメモなどが閲覧されたと公表した。サーバーやデータベースへの侵入の形跡はないとしている。
資さんうどん ― 委託先サーバーの設定不備で従業員情報が閲覧可能に
資さんうどんを運営する資さんは2026年10月27日、サーバー管理を委託するカホエンタープライズの設定不備で、2021年10月〜2026年10月に在籍した従業員・退職者の氏名・生年月日・賃金履歴・勤怠実績などが外部から閲覧可能だった可能性があると公表した。10月29日の第2報では、格納領域には別途認証が必要で、実際の漏えいや改ざんの痕跡はないとした。
アララ メッセージ ― 不正アクセスで配信リストのメールアドレスが流出
メール配信「アララ メッセージ」への不正アクセス。11月6日の第3報で、別クラウド環境Bからメールアドレス324万9492件の持ち出しが追加判明し、重複除外で81,329,467件（約8100万件）と更新。対象企業は最大約380社（精査中）。サービスは10月31日から全停止・再開未定。
ベネフィット・ワン「トク買」 ― 委託先への不正アクセスで会員情報が漏えい
ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けサービス「トク買」の業務委託先フォレステックが運用するシステムに10月14〜20日に断続的な不正アクセスがあり、会員2万9465人の氏名・生年月日・メールアドレスなどが外部にダウンロードされたと公表した。決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費決済の不正処理が可能だったが、10月26日の変更で塞いだ。カード情報の漏えいはない。11月9日の第二報で、再委託先のクラウドサービスから「選べるゴールド優待」の利用者198,660人分（うち氏名などを含むのは2,622人）が漏えいしたことも判明した。
花キューピット ― 管理システムへの不正アクセスで会員情報が漏えい
花キューピットは2026年10月28日、「インターネット花キューピット」「ビジネス花キューピット」の管理システムに10月14〜15日に不正アクセスがあり、公式ECサイトでメールアドレスを登録した会員423万8242件のユーザーID、ハッシュ化パスワード、PC用・携帯用メールアドレスが漏えいしたと公表した。氏名・住所・電話番号・カード情報・お届け先は含まれない。
JAL・JTA ― 委託先アマデウスへの不正アクセスで予約情報が参照された
日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先Amadeusのシステムへの不正アクセスで、2023年8月10日〜2026年9月23日の予約記録の一部が外部から参照された形跡があると公表した。対象は約9万2000名で、うち約2000名はメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号なども含む。カード番号とパスワードは含まれない。
ソニー生命 ― 不正アクセスで代理店扱いの他社契約者情報が漏えい
ソニー生命は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、同社が保険代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件（氏名・生年月日・住所・電話番号・証券番号・契約内容）が漏えいしたと公表した。10月27日に判明し、10月28日8時から同サービスやアプリなど6つのサービスを止めている。11月9日の第二報で、ソニー生命自身の保険契約約290万件と、代理店募集人・従業員の情報の漏えいも新たに確認した。
Convertr ― 分析スクリプト改ざんで決済画面にスキマー
ブラジルのECプラットフォーム Convertr が自前で運用する Plausible 分析サーバーのトラッカーにスキマーが追記され、10月24日から全加盟店の決済画面でカード番号・有効期限・CVV・名義・CPF（納税者番号）が 1x0.is に送られていた（Sansec）。侵入口は Plausible CE 3.0〜3.2.0 の未認証 RCE（CVE-2026-8467）とみられるが未確認で、Convertr は27日にスキマーを削除し Plausible を更新した。
Keystone ― 公式サイト侵害で端末の真正性確認鍵が流出
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
スマートシェア「OWNLY」 ― ファイルアップロードの不備から参加者情報流出
SNSキャンペーンツール「OWNLY」を提供するスマートシェアは2026年10月27日、ファイルアップロード機能の不備を突かれ、モスバーガーのLINE・Xキャンペーン3件の参加者1万4034件分のSNSユーザー名・ID・エントリー日時・抽選状況などが閲覧・ダウンロードされたと公表した。氏名や住所、パスワードは収集しておらず、侵入経路は10月16日に塞いだ。
So-net ― 会員データベースに不正アクセス、会員情報が漏えい
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
ツクツク!!! ― 決済画面の改ざんでカード情報漏えいの可能性
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
UPSIDER「Breakthrough GRID」 ― 会員サイトから情報を持ち出された
UPSIDERは2026年10月27日、経営幹部・事業責任者向けの会員制交流サービス「Breakthrough GRID」の会員サイトが同日に不正アクセスを受け、会員と退会者の氏名・メールアドレス・所属企業や部署、イベント情報、ディスカッションの議事録などが持ち出されたと公表した。報道では187社544人分で、法人カードなど他サービスへの影響はなく、会員サイトは全機能を停止している。11月12日の続報で、会員サイトは再開せずに閉鎖し、オフラインのイベントを11月19日に再開すると発表した。
Joshin ― ネットワークに不正アクセス、会員情報漏えいの可能性
家電量販店「ジョーシン」を運営するJoshinは2026年10月26日、10月16日に検知したネットワークへの不正アクセスについて第2報を出し、会員情報データベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、「ジョーシンのサブスク」の最大約23万件（ログインIDと初期パスワード、手書きサインなど）、リフォーム写真アップロードシステムの最大約800件（免許証画像2件・マイナンバーカード1件・口座番号5件を含む）に漏えいの可能性があると発表した。件数は可能性のある最大値で、漏えいは確定していない。一部サービスの停止が続いている。11月6日の決算会見で社長が謝罪し、リフォーム写真の本人確認書類などは本来削除されるはずの外部サーバーの一時保存領域に残っていたと説明した。
楽天トラベル ― 海外ホテル予約ページなどに不正アクセス
楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理する一部ページ（9月10日に異常検知）と、多言語予約サイト（10月20日に検知）への不正アクセスを公表した。ログイン利用者最大約260万件の氏名・メール・電話番号、予約者最大約4万件の予約情報、そのうち最大約3.6万件のカードの発行者識別番号と下4桁・名義・有効期限などが対象となった。多言語サイトではログイン利用者最大約86万件と宿泊施設従業員最大約4万件のメールアドレスなども対象。いずれも改修済みで、二次被害は確認されていない。
台東区「ささえ～る」 ― 委託先で不正な管理者が作られ情報流出
東京都台東区は2026年10月26日、障害者支援アプリ「ささえ～る」の運営委託事業者である株式会社ミラボのシステムで、不正に管理者アカウントが作成され、会員登録情報がダウンロードされたと公表した。アカウント登録と権限管理の仕組みに設計段階で想定していなかった不備があり、本来付与されないはずの管理者権限が不正アカウントに付いた。流出が確認されたのは208人分で、メールアドレス208件、障害児者との関係195件、障害のカテゴリー158件。不正アカウントは削除され、システムは修正済みで、新規会員登録を一時停止している。台東区障害者支援アプリ「ささえ～る」。委託先ミラボのシステムで不正に管理者アカウントが作られ、208人のメールアドレスと障害のカテゴリーなどがダウンロードされた。
チャリロト ― 投票アプリの脆弱性で会員の口座情報などが取得された
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
サンケイリビング新聞社 ― サーバーに不正アクセス、会員情報漏えいの可能性
サンケイリビング新聞社は2026年10月16日、運営するWebサイトへの第三者による不正アクセスを確認し、リビングWeb・シティリビングWeb・まちっと等の会員（退会者を含む）やアンケートシステムの利用者の氏名・連絡先などが漏えいした可能性があると第一報で公表した。件数は調査中。同社や地域のリビング新聞社に事業を委託していた広島県（延べ1,470人）、島根県（335件）、三重県（延べ156人）、登米市（39人）、国立市などが相次いで影響を発表している。「リビングWeb」などのサーバーに不正アクセス、会員・アンケート回答者の個人情報に漏えいの可能性、広島県・島根県・三重県など受託先の自治体事業にも広がる。11月9日の第二報で、漏えいの可能性がある個人情報は最大約172万件（重複を含む）と判明した。
グッドスマイルカンパニー ― 公式ショップに不正アクセス、サイト閉鎖
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
グリーンモンスター「FXなび」 ― アプリのAPIから情報取得のおそれ
グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」で10月17日に第三者の不正アクセスを確認し、調査の過程で、2026年4月27日20時26分頃から30日14時26分頃にかけて別のIPアドレスの第三者がユーザー情報等を継続的に取得していたおそれが判明したと発表した（第一報）。対象は約619万件で、メールアドレス6万6003件、初回アンケートの回答480万9631件、ログイン用の認証情報や引き継ぎコードなど。原因は「本アプリのAPIの機能」で、APIを修正し、修正前の認証情報をすべて無効化した。10月の不正アクセスの調査で、半年前の4月に別のIPから約619万件のユーザー情報が継続取得されたおそれが判明、原因は「アプリのAPIの機能」。
パナソニック ― 禁止の生成AIに従業員の個人情報をアップロード
パナソニック ホールディングス傘下のパナソニック オペレーショナルエクセレンスは2026年10月23日、子会社パナソニック デジタルと進める人事情報システム導入プロジェクトで、メンバーが社内で利用を禁止している外部の生成AIサービスに、従業員約7万5千人・元従業員約17万8千人の社員番号・住所・電話番号・メールアドレスと、家族約8万1千人の氏名・連絡先を含むデータをアップロードしたと発表した。外部からの攻撃ではなくルール違反で、AI学習機能は無効、データは削除済みで、事業者側の保持も10月25日以降なくなるとしている。パナソニック オペレーショナルエクセレンス。人事情報システム導入プロジェクトのメンバーが、社内で禁止の外部生成AIに従業員・元従業員・家族約33万4千人分の個人情報をアップロード。
アンドエスティHD ― サーバーに侵入され顧客情報漏えいのおそれ
アンドエスティHDは2026年10月23日、10月22日朝に複数のサーバーへ順にログイン試行・侵入・データの持ち出しが行われる不正アクセスがあり、顧客約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）、取引先約1万件、従業員情報が漏えいしたおそれがあると発表した。決済情報と利用者が設定したパスワードは含まれない。社内業務システムを止めたため、店舗・Webストアで会員ポイントが使えない。
日本ピザハット ― 決済APIに不正アクセス、顧客情報が漏えい
日本ピザハットは2026年10月23日、国内向けオンライン注文サービスに関連する決済APIに10月19日に第三者が不正アクセスし、お客様情報を含むデータベースから一部の情報を取得したと発表した。漏えいが確認されたのはお客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれない。件数は公式発表にはなく、報道では最大約448万件とされている。
佐川急便 ― お荷物問い合わせサービスで送り状データ流出の可能性
佐川急便は2026年10月23日の第5報で、Webサイトの「お荷物問い合わせサービス（インターネット貨物システム）」への第三者による不正アクセスにより、流出した可能性がある個人情報が現時点で最大約5323万件（重複を含む）になると発表した。2026年6月21日〜9月30日の約100日分の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約者情報、スマートクラブ会員情報が対象。同日、お荷物問い合わせサービスを再開したが、APIや集荷受付など8つのサービスは停止が続く。侵入経路は公表されていない。
トレジャー・ファクトリー ― 案件管理システムに不正アクセス
トレジャー・ファクトリーは2026年10月23日、「出張買取」「トレファク引越」の申込受付などに使う案件管理システムが10月20日未明から朝にかけて脆弱性を悪用した不正アクセスを受け、顧客のメールアドレス74万6277件（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、端末に関する氏名・端末識別情報1000件を取得されたと発表した。原因はデータベースへのアクセスに関する脆弱性で、直近のPHPの脆弱性とは関係ないとしている。システムと申込フォームは10月28日をめどに再開する予定。
カプコン「CAPCOM ID」 ― メールアドレスなどが漏えい、パスワード変更被害も
カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への第三者による不正アクセスで、全世界1177万4247件のメールアドレスとアカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIPが漏えいしたと発表した。うち43件は生年月日などのプロフィールも漏えいし、196件ではログインパスワードが不正に変更されていた。利用者が設定したパスワードの漏えいとクレジットカード情報の漏えいは確認されていない。侵入経路は公表されていない。全世界1177万4247件のメールアドレスとログイン履歴情報が漏えい、196件はパスワードを不正に変更されていた。
GETTIIS ― 公演登録サービスの脆弱性でチケットサイト会員情報流出
チケット販売サービスを運営するリンクステーションは、主催者向けの公演登録サービス「Gettii-Lite」のサーバーが2026年10月18日の午前0時頃から7時頃にかけて、プログラムの脆弱性を悪用されて不正アクセスを受け、購入者向けサイト「GETTIIS」の会員情報が流出したと発表した。会員ID 31万7971件、ハッシュ化されたパスワード31万1451件、氏名・電話番号・メールアドレス各約31万件、クレジットカード関連情報（先頭4桁・末尾4桁、名義、有効期限を暗号化したもの）2万9515件。脆弱性の詳細は公表されていない。GETTIIS（リンクステーション）。主催者向け公演登録サービス「Gettii-Lite」の脆弱性を突かれ、チケット購入サイトの会員情報31万7971件が7時間で流出。
ブラストメール ― APIサーバーに侵入され契約者情報が流出
ラクスの子会社ラクスライトクラウドのメール配信サービス「ブラストメール」で、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出した。全契約者の会社名・担当者名・連絡先・契約と支払いの履歴が持ち出され、一部の契約者では配信先リストの漏えいも確認された。サービスは10月21日0時30分から停止中で、再開は未定。新潟日報（最大約25万3000人）、名鉄観光サービス（約13万人）、JR四国（約3万件）、岡崎市（約2万6000件）など、利用する企業・自治体の公表が続いている。ブラストメール（ラクスライトクラウド）。API用サーバー2台に侵入され、全契約者の情報と一部の配信先リストが持ち出された、新潟日報25万人・名鉄観光13万人など利用組織の公表が相次ぐ。
ママワークス ― 設定の脆弱性から会員名簿が流出
在宅ワーク求人サイト「ママワークス」は2026年10月20日、第三者による不正アクセスで会員の個人情報が漏えいした可能性があると公表した。会員名簿とされるデータがインターネット上にアップロードされていると警察から報告を受け、専門調査会社の調査で10月1日にシステム設定の脆弱性が原因と確認した。氏名、生年月日、住所、電話番号、メールアドレス、職務経歴、パスワードのハッシュ値などが対象。「会員名簿とされるデータがネット上にある」と警察から報告、調査でシステム設定の脆弱性からの不正アクセスが原因と判明、住所・職務経歴・パスワードのハッシュ値などが漏えいの可能性。
クリプトン ― 音源販売サイトに不正アクセス、会員情報流出の可能性
「初音ミク」の開発元として知られるクリプトン・フューチャー・メディアは10月19日、音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」への不正アクセスで、会員（ニュースレター購読者を含む）最大約42万件の氏名・メールアドレス・ハッシュ化されたパスワードなどが閲覧・取得された可能性があると公表した。10月17日20時頃に可能性を確認し、侵害アカウントの無効化や社内ドメインのIP制限を行ったうえ、23時39分頃にサーバーを停止した。全会員のパスワードを無効化し、復旧後の再設定を求めている。検知後の状況把握にはAIモデル「Mythos」を活用したという。
ファンケル・アテニア ― ECサイトに不正アクセス、会員情報流出
ファンケルとアテニアは10月16日、両社のECサイトが10月3日から10日まで不正アクセスを受け、会員情報が外部に漏えいしたと公表した。対象はファンケル368,184人（393,785件）、アテニア417,312人（441,162件）。メールアドレス・氏名・住所・電話番号・生年月日・性別などに加え、一部の人が設定したサブメールアドレスと2次パスワードのハッシュも含む。メインのパスワードとクレジットカードなどの決済情報は対象外。原因となった機能は特定して停止したが、攻撃の詳細は開示していない。2社のECサイトに1週間の不正アクセス、会員計約78万5千人分の連絡先や「2次パスワード」のハッシュが流出、原因の機能は停止。
コミックシーモア ― 会員システムに不正アクセス、サービス停止
NTTソルマーレは10月16日、電子書籍ストア「コミックシーモア」の会員情報を管理するシステムに不正アクセスがあり、会員のメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームが第三者へ流出したと公表した。前日15日11時35分にサービスを停止して遮断対応をしている。件数は精査中。クレジットカード情報は対象システムで保有しておらず、購入履歴やMY本棚の流出・消失は現時点で確認されていない。再開時には全会員にパスワードの再設定を求める予定。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したと公表した（内容は非公表）。会員情報に加えて一部のシステムログファイルも閲覧・取得されたことが判明し、ログに会員情報が含まれるかを精査している。件数は引き続き精査中で、再開日時は未定。再開は購入済み書籍のWEB閲覧から順次進める準備をしている。
ビューティガレージ ― ECサイトから顧客情報とパスワードハッシュ流出
ビューティガレージは10月15日、「ビューティガレージ」「アイラッシュガレージ」のECサイトサーバーへの不正侵入により、10月10日23時55分時点で保存されていたお客様情報775,725件が外部に流出したと公表した。期間は10月10〜12日、検知と経路遮断は10月13日。会社名・サロン名・氏名・電話・メールに加え、パスワードのハッシュ値とパスワード再設定用の質問・回答のハッシュ値が含まれる。住所・配送先・購入履歴・決済情報の漏えいは現時点で未確認。2月に公表したクレジットカード情報漏洩懸念への対策中の再発としている。10月20日の第2報では、ECサイトは通常どおり利用できるとし、セキュリティ専門会社と連携した対策の強化と、個人情報保護委員会へ報告済みであることを示したが、原因や恒久対策の中身は示していない。
バーガーキング公式アプリ ― 会員情報管理システムから情報漏えい
ビーケー・ジャパンは10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、約1,118万件の会員情報が漏えいしたと公表した。期間は10月2日から7日で、10月13日に判明。会員ID、メールアドレス、氏名、電話番号、都道府県、性別、生年月日などが含まれる。クレジットカード番号は保持しておらず漏えいなし。ログインパスワードの漏えいは現時点で未確認。二次被害も未確認としている。会員情報管理システムへの不正アクセスで約1,118万件が漏えい、クレジットカード番号は非保持。
メドレー「アットリンク」 ― 産婦人科向けシステムに不正アクセス
メドレーは10月15日、産婦人科向けの医療機関業務支援システム「@link（アットリンク）」と患者向けアプリなどが第三者の不正アクセスを受け、登録された患者等の個人情報が外部に漏えいした可能性があると適時開示した。10月11日に外部専門機関から情報提供を受けて調査し、14日深夜からサービスを一時停止。漏えいの有無・項目・対象施設は調査中で、影響し得る医療機関は最大で利用全機関の787件。個人情報保護委員会へ報告し、警察に相談している。
ソースネクスト ― 会員情報取得APIの不正利用で情報流出
ソースネクストは10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報取得APIを不正に利用されて最大22,519,960件の個人情報が流出した可能性があると公表した。不正アクセスは10月9日10時頃から始まり、10月13日9時頃に確認、同日13時36分に封じ込め。パスワードを含む13項目が対象で、クレジットカード情報は対象システムに保存されていない。全会員のパスワードは変更済み。10月19日のITmedia NEWSの取材に対し、同社はパスワードを暗号化して保存していたが、復号鍵にアクセスできるAPIに不正アクセスされ、パスワードが復号された状態で流出したと説明した。
ココナラスキルマーケット ― 遮断後に再侵入、履歴書などが流出
ココナラは10月9日、「ココナラスキルマーケット」が第三者の不正アクセスを受け、会員が登録した履歴書449件と職務経歴書関連書類1,845件が外部に漏洩したと公表した。10月8日2時5分に検知して遮断したが、13時ごろに再び不正アクセスを検知し、15時ごろに個人情報の持ち出しの形跡を確認、15時44分に攻撃経路を遮断し、21時27分までに脆弱性を修正した。脆弱性の内容、書類の登録期間、対象の人数は公表されていない。深夜に遮断したはずの不正アクセスが約11時間後に再来、会員の履歴書449件・職務経歴書関連書類1845件が流出。
ブックオフ ― 子会社の会員管理システムに不正アクセス
ブックオフグループホールディングスは10月9日、子会社が提供する会員管理システムへの第三者の不正アクセスを10月6日に確認し、会員番号ベースで最大約643万件の会員情報（氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号）が外部から取得されたと公表した。決済情報は含まれない。「脆弱性を是正した」としているが、10月13日の第2報で、取得は10月4日〜6日、対象は6,427,735件・6,383,279人（うち退会会員212,371人）と確定し、10月15日から対象者に連絡してパスワード変更を求めるとした。脆弱性の内容と侵入経路は公表を控えている。10月16日には第2報を訂正し、漏えいの対象項目に「職業」「ニックネーム」を加えた。11月6日の第3報で、原因は会員情報を扱うシステムの一部機能におけるアクセス制御上の問題の悪用と特定し、影響範囲に変更なし・二次被害未確認・再発防止策を公表した。
旭化成セラピューティクス ― 委託先の会員DBに不正アクセス
旭化成セラピューティクスは、医療関係者向けサイト「Pharma DIGITAL」の運営・情報管理を委託する医薬情報ネットの会員データベースが不正アクセスを受け、医療従事者の氏名・所属施設・診療科など最大約51万4000名分（うち一部はメールアドレスも）と自社従業員約700名分が閲覧・取得された可能性があると公表。原因と侵入経路は調査中。旭化成セラピューティクス「Pharma DIGITAL」。運営委託先の会員DBに不正アクセス、医療従事者最大約51万4000人分が閲覧・取得の可能性。
GMOリサーチ＆AI「infoQ」 ― 会員情報流出とポイント不正交換
GMOリサーチ＆AIは、アンケートサイト「infoQ」が10月2日以降に不正アクセスを受け、第2報（10月14日）で外部に持ち出された個人情報を89万4,082件と確定したと公表した。第1報の最大94万8,498件から下方修正。項目は氏名・住所・生年月日・暗号化パスワードなど。611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換された。原因はサイトで使っていたソフトウェアの脆弱性の悪用。10月7日に全会員のパスワードを無効化。
ミスターマックス ― アプリと通販に不正アクセス、会員情報流出
ミスターマックスは、MrMaxアプリとオンラインストアのサーバーが10月3日に不正アクセスを受け、最大1,735,154人分の会員ID・氏名・メールアドレス・電話番号が流出したと公表。侵入は「本サービスを構成するソフトウェアの機能を不正に利用」したもので、ソフトウェア名や詳しい手口は明らかにしていない。
大和証券 ― 問い合わせ管理の委託先に不正アクセス
大和証券は、ネット経由の問い合わせ管理に使うサービスの提供元スカラコミュニケーションズのサーバーが10月2日20時33分頃から3日8時1分頃まで不正アクセスを受け、約11万人分の氏名・メールアドレス・口座番号等を含む約22万件の問い合わせ情報が漏えいした可能性があると公表。大和証券自身のシステムへの侵入は確認されていない。10月6日にはSC社が、FAQシステム「i-ask」の管理サイトへの不正ログインと不正プログラムの設置が原因で、同じサーバー上の最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性があると公表し、シチズン時計も約10万人分の影響を公表した。10月7日には損害保険ジャパンも、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ延べ約6万件が対象になった可能性があると公表した。同じ10月7日には東武鉄道も、お客さまセンターの問い合わせフォームにSC社のサービスを使っていたと公表したが、同社に関する情報の閲覧・取得の形跡は現時点で確認されていないとしている。10月8日にはオリックス生命保険も、公式サイトの問い合わせ管理に使うSC社のサービスで、医療情報等を含む延べ約2万6500件が漏えいした可能性があると公表した。11月2日には東武鉄道が、SC社が依頼したラックのフォレンジック調査の最終結果として、同社に関する情報の漏洩はなかったと報告を受けたと公表した。
デンマーク CPR ― 正規の照会権限が悪用され住民情報が流出
デンマークの中央住民登録（CPR）で、民間企業に認められていた正規の照会アクセスが約10日間悪用され、登録者約1100万人のうち約880万人分の氏名・住所・CPR番号が取得された。データ保護庁は、有効なCPR番号を割り出すための大量の自動照会があったと説明している。デンマーク CPR（中央住民登録）。民間企業の正規の照会権限が悪用され、約880万人分の氏名・住所・個人番号が抜かれた。
焼肉きんぐ公式アプリ ― ほぼ全会員分の情報が流出
物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが10月2日に不正アクセスを受け、ユーザー登録10,808,784件のうち10,788,963件の会員番号・氏名（登録名）・メールアドレス・電話番号が流出したと公表。パスワードや生年月日、利用履歴は対象外。原因と侵入経路は調査中。
タイムズカー ― 会員情報と本人確認書類の画像が流出
タイムズモビリティとパーク24は、タイムズカーWebシステムへの不正アクセスで退会者を含む約660万件のアカウント情報が第三者に取得され、うち約160万件では運転免許証画像などの本人確認書類も漏えいしたと公表。退会後7年間保管していた情報も対象。【10/25更新】10月23日の第5報でフォレンジック調査を終え、原因はWebシステムの脆弱性の悪用、画像の外部送信は1,464,800件と確定。
アバハウス ― 不審な返金メール報告から発覚、会員・受注DBへの不正アクセス
アバハウスインターナショナルは、9月27日深夜〜28日の社内システム不正アクセスにより会員・受注情報が漏えいした可能性があると公表。顧客からの不審な返金メール報告が発覚のきっかけ。件数未公表で全顧客が対象になりうる。10月9日の続報で、不正アクセスの経路を遮断し、EC管理システムのアクセス制限と認証の強化などの追加対策を実施、所轄警察へ被害届を提出したと公表。取得された情報の範囲と原因は調査中。
第一生命 ― 人事システムに不正アクセス、従業員情報流出の可能性
第一ライフグループと第一生命は、従業員向け人事システムへの不正アクセスを9月24日に検知し、従業員約5万人・退職者約7万人の計約12万人分の個人情報が閲覧・流出した可能性があると10月2日に公表。顧客情報への不正アクセスは現時点で未確認。
ヤマト運輸 クロネコ代金後払い ― 顧客情報の持ち出しを確定
ヤマト運輸は9月28日に「クロネコ代金後払いサービス」への不正アクセスを確認しサービス停止。10月2日の第2報で漏えいの可能性を公表し、10月9日の第3報でサービスを再開した。10月16日の第4報で、調査の結果、顧客情報約526万件（うちメール約49万件）、お届け先情報約5万件、加盟店情報約4,100件が不正に持ち出されたと確定した。第2報で可能性としていた請求金額・債権残高・社員氏名の持ち出しは確認されなかった。クレジットカード・パスワードは対象外。二次被害は未確認。侵入経路は未公表。
セイコーマートアプリ ― 不正アクセスで会員情報が閲覧された
セイコーマートはアプリ経由で会員情報サーバへ不正アクセスがあり、登録経験のある会員の情報が閲覧されたと公表。第三報の57万2022人分から、10月5日の第四報で57万4647人分に修正し、アプリ・Web上の新規入会や会員情報の閲覧・変更機能を終了するとした。手法の詳細は警察連携のため非開示。会員57万4647人分が閲覧された不正アクセス（原因は非公表）。
集英社 HAPPY PLUS COMMUNITY ― CMS設定不備から情報漏えい
集英社はファッション誌ブロガー管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで、ブロガー2,835人分の個人情報などが漏えいしたと9月28日に公表。原因はCMS設定不備に起因するAPI認証情報への攻撃と説明。CMS設定不備から特権アカウントが作られブロガー2835人分が漏えい。
吉野家HD／ApplyNow ― 契約終了後も残った応募者データが漏えい
吉野家・はなまるが過去に委託していたApplyNowの採用管理基盤が、データ分析ツールの脆弱性を悪用した不正アクセスを受け、応募者5,366件と採用担当アカウント418件が漏えいした。契約終了後もデータが残っていた点が焦点。