マネックス証券 ― 委託先の口座開設システムに不正アクセス、情報漏えいのおそれ
マネックス証券は11月13日、外部委託先が運営する口座開設システムへの不正アクセスで、2019年10月16日以降に登録されたメールアドレス最大113万件と、本人確認書類画像1,592件（マイナンバーカード表面、運転免許証の表裏、セルフィー）が漏えいしたおそれがあると発表した。口座番号やパスワードは別のデータベースで、漏えいは確認されていない。
← タグ一覧へ
タグ / インシデント種別
委託先経由
すべての面から46件。公開日の新しい順。（委託先・海外子会社 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
ギフティ「giftee」 ― 認証基盤への不正アクセスで主要機能を停止
ギフティは11月12日、会員情報の管理とログイン認証に使うプリズマティクスのサービス「prismatix」で第三者による不正アクセスが発生し、11月11日22時ごろから「giftee」の主要機能を止めたと発表した。会員情報の一部が漏えいした可能性があり、再開時期は未定。
電通デジタル「TONARIWA」 ― 管理アカウントに不正アクセス、情報漏えいの可能性
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
オープンロジ ― 不正アクセスで出荷データのお届け先情報が持ち出された
物流サービスのオープンロジのシステムに11月8〜9日、不正アクセスがあり、4月8日〜11月8日の出荷データに含まれるお届け先の氏名・住所・電話番号・メールアドレス・商品情報が持ち出された。件数は調査中で、HUMAN MADE、SKIYAKI（Bitfan）、マイネット、アデリアなど荷主が相次いで公表した。11月12日にはビームス（Setinn・BEAMS公式TikTok Shop）やユナイテッドアローズ（海外向けEC）も公表した。
ScreenConnect ― 侵害されたMSPの環境から攻撃用クライアントを配布
MSP（IT運用の委託先）が使うScreenConnectのクラウド版管理画面から、Run Commandで攻撃者のScreenConnectクライアントとツールキット「SCKit」が顧客の端末に一斉に入れられた。Huntressは6社のMSP、48組織の288台を確認し、ConnectWiseは関係が疑われる他社製拡張機能5種を約400の環境で止めた。侵入の入口は調査中。
Fireworks AI ― 侵害の範囲が顧客データとモデルに広がった
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
NTTデータ・住友生命 ― Vitality申込システムから利用者情報が漏えい
NTTデータが住友生命から受託する「住友生命Vitality体験版・企業型」「Vitalityスマート」の申込サービスに不正アクセスがあり、現・元利用者約8万名の氏名・住所・電話番号・生年月日・メールアドレスのいずれかが漏えいした。約1,000名は一部マスキング済みのカード番号も含む。
Qubole ― 自社AWSアカウントの認証情報で顧客環境に侵入された
データ基盤サービスQuboleがAWS連携に使うアカウントのIAM認証情報で、攻撃者が2026年10月14〜26日に複数の顧客のAWS環境の連携用ロールを引き受け、Secrets Manager・SSM・Lambdaの秘密情報とS3のデータを持ち出したとWizが公表した。認証情報が盗まれた経緯は公表されていない。
Crédit Mutuel Arkéa ― 委託先経由で銀行自身の口座から不正送金
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
電通総研「FACERE」 ― 権限設定の不備で利用企業の環境に不正アクセス
電通総研は2026年11月4日、同社が提供する「FACERE」の特定の利用企業の環境で、同社のアクセス権限設定の不備により外部から閲覧できる状態になっており、9月10日に第三者からアクセスされていたと公表した。10月29日に判明し、設定変更で経路を遮断した。企業名・件数・情報の項目は公表されていない。
消防庁「安否情報システム」 ― 委託先が不正アクセスを確認、停止
消防庁は2026年11月5日、武力攻撃事態等における安否情報収集・提供システムで、運用保守を受託する富士ソフトから第三者による不正アクセスを確認したと報告を受け、サービスを停止して外部からのアクセスを遮断したと発表した。消防庁は個人情報の漏えいは確認されていないとし、富士ソフトは漏えいはないことを確認したとしている。
CBcloud「ピックゴー」 ― 不正アクセスで7NOW・出前館の顧客情報が取得
配送マッチングのCBcloudは2026年11月1日、法人向け「ピックゴー」で不具合を悪用した不正アクセスを確認した。7NOW・出前館に加え、11月5日に日本郵便が委託荷物の顧客氏名1,672件（姓名）と2,091件（姓のみ）の漏えいを公表。住所・電話番号は含まれない。決済情報やログインパスワードは対象外。
GMOペイメントゲートウェイ ― ライフカード向け機能でVプリカ利用者情報が窃取
GMOペイメントゲートウェイは2026年11月2日、ライフカードに提供するイシュイングサポートサービスの個別機能で10月30日に不正なユーザーによる行為があり、Vプリカ利用者69アカウントの情報が窃取された可能性があると発表した。うち3件はVプリカ番号・専用セキュリティコード・有効期限・氏名がそろっていた。
プレステージ・インターナショナル ― ロードサービス受付システムから情報持ち出し
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
iDA「MyBRANDS」 ― 委託先のクラウド鍵が悪用され会員データが送信
iDAは2026年10月30日、求人サイト「MyBRANDS」で委託先が使うクラウドの管理用アクセスキーが10月21〜22日に不正利用され、複製したデータベースから外部へデータが送られた記録があったと公表した。中身を確認できないため、求職者と企業担当者の最大約13万5,000アカウント分の氏名・連絡先・職歴・変換済みパスワードなどすべてを対象としている。暗号化していた項目の鍵も取得されたおそれがある。
Japanticket ― 外部分析ツール経由で予約者情報が漏えい
予約サービスJapanticketは2026年10月30日、利用していた外部の分析ツールが不正アクセスを受け、最大約26.4万件の予約者情報（氏名、メール、電話番号、予約内容など）が漏えいしたと公表した。連携サイト経由の予約も含まれ、山梨県は富士山吉田ルートの2024年度予約データが含まれるか確認している。
NTTデータ委託先 ― デジタル証券基盤から社債購入者情報が流出した可能性
NTTデータは2026年10月31日、デジタル特典付き社債の特典を支える「STdirectServices」の委託先SaaSが不正アクセスを受け、個人情報が流出した可能性があるとして同サービスを停止した。楽天証券（延べ362件）、近鉄GHD（2,678人）、MUFGモルガン・スタンレー証券（95人）などが顧客への影響を公表した。11月2日の第2報で、委託先はSecuritize Japanで、認証機能の脆弱性を悪用して管理者権限が奪われ、情報が持ち出されたことがわかった。
Polymarket ― 外部の計測スクリプトが資金抜き取りコードに
10月29日（UTC）、Polymarket が読み込んでいた DebugBear の表示速度計測スクリプトが、Polymarket 専用の資金抜き取りコードに差し替えられた。ログイン中の利用者のセッションと Polymarket 自身の取引クライアント・中継サーバーを使って資金とポジションを移し、Polymarket は合計390万ドルを返金するとしている。DebugBear 側の侵害の原因は公表されていない。
DIRIGIO「PICKS」 ― モバイルオーダーのAPIに不正アクセス
モバイルオーダー基盤「PICKS」を提供するDIRIGIOで2026年10月27日にシステムAPIへの不正アクセスが検知され、全サービスが緊急停止した。利用ブランドの発表では、サーティワンで最大8174名（注文9799件）、SUBWAYで7名、DEAN & DELUCAで3名の氏名・メールアドレスなどが漏えい、または漏えいの可能性があり、カード情報は含まれない。
ドン・キホーテなど4社 ― 時計修理の委託先がランサムウェア被害
ドン・キホーテ、長崎屋、橘百貨店、UDリテールは2026年10月28日、時計修理の委託先コックス（東京都台東区）のサーバーが9月15日にランサムウェアで暗号化され、2025年9月以降に時計修理を依頼した顧客の氏名・住所（一部）・電話番号（一部）が漏えいした可能性があると公表した。人数は示しておらず、漏えいの事実は確認されていない。
電力・ガス取引監視等委員会 ― 「デントリネット」に不正アクセス
経済産業省の電力・ガス取引監視等委員会は2026年10月28日、小売電気事業者やガス小売事業者が取引報を提出するウェブサイト「デントリネット」に10月27日未明に不正アクセスがあったと公表し、運用を停止した。情報流出の有無は確認中で、復旧までは電子メールで報告を受け付ける。
資さんうどん ― 委託先サーバーの設定不備で従業員情報が閲覧可能に
資さんうどんを運営する資さんは2026年10月27日、サーバー管理を委託するカホエンタープライズの設定不備で、2021年10月〜2026年10月に在籍した従業員・退職者の氏名・生年月日・賃金履歴・勤怠実績などが外部から閲覧可能だった可能性があると公表した。10月29日の第2報では、格納領域には別途認証が必要で、実際の漏えいや改ざんの痕跡はないとした。
アララ メッセージ ― 不正アクセスで配信リストのメールアドレスが流出
メール配信「アララ メッセージ」への不正アクセス。11月6日の第3報で、別クラウド環境Bからメールアドレス324万9492件の持ち出しが追加判明し、重複除外で81,329,467件（約8100万件）と更新。対象企業は最大約380社（精査中）。サービスは10月31日から全停止・再開未定。
ベネフィット・ワン「トク買」 ― 委託先への不正アクセスで会員情報が漏えい
ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けサービス「トク買」の業務委託先フォレステックが運用するシステムに10月14〜20日に断続的な不正アクセスがあり、会員2万9465人の氏名・生年月日・メールアドレスなどが外部にダウンロードされたと公表した。決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費決済の不正処理が可能だったが、10月26日の変更で塞いだ。カード情報の漏えいはない。11月9日の第二報で、再委託先のクラウドサービスから「選べるゴールド優待」の利用者198,660人分（うち氏名などを含むのは2,622人）が漏えいしたことも判明した。
JAL・JTA ― 委託先アマデウスへの不正アクセスで予約情報が参照された
日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先Amadeusのシステムへの不正アクセスで、2023年8月10日〜2026年9月23日の予約記録の一部が外部から参照された形跡があると公表した。対象は約9万2000名で、うち約2000名はメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号なども含む。カード番号とパスワードは含まれない。
ソニー生命 ― 不正アクセスで代理店扱いの他社契約者情報が漏えい
ソニー生命は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、同社が保険代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件（氏名・生年月日・住所・電話番号・証券番号・契約内容）が漏えいしたと公表した。10月27日に判明し、10月28日8時から同サービスやアプリなど6つのサービスを止めている。11月9日の第二報で、ソニー生命自身の保険契約約290万件と、代理店募集人・従業員の情報の漏えいも新たに確認した。
スマートシェア「OWNLY」 ― ファイルアップロードの不備から参加者情報流出
SNSキャンペーンツール「OWNLY」を提供するスマートシェアは2026年10月27日、ファイルアップロード機能の不備を突かれ、モスバーガーのLINE・Xキャンペーン3件の参加者1万4034件分のSNSユーザー名・ID・エントリー日時・抽選状況などが閲覧・ダウンロードされたと公表した。氏名や住所、パスワードは収集しておらず、侵入経路は10月16日に塞いだ。
So-net ― 会員データベースに不正アクセス、会員情報が漏えい
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
バンダイロジパル ― 物流システムに不正アクセス、配送情報漏えいの可能性
バンダイナムコホールディングス、BANDAI SPIRITS、物流子会社のバンダイロジパルは2026年10月26日、ロジパルが管理する物流システムへの不正アクセス（10月21日発覚）を公表した。同社アカウントの不正利用による操作が確認され、BANDAI SPIRITSが配送を委託する「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）に漏えいの可能性がある。件数は調査中で、カード情報は含まれない。ロジパルは安全が確認できるまで出荷システムを止めている。物流システムへの不正アクセスで「一番くじ ONLINE」の配送情報に漏えいの可能性、出荷システムを一時停止。
台東区「ささえ～る」 ― 委託先で不正な管理者が作られ情報流出
東京都台東区は2026年10月26日、障害者支援アプリ「ささえ～る」の運営委託事業者である株式会社ミラボのシステムで、不正に管理者アカウントが作成され、会員登録情報がダウンロードされたと公表した。アカウント登録と権限管理の仕組みに設計段階で想定していなかった不備があり、本来付与されないはずの管理者権限が不正アカウントに付いた。流出が確認されたのは208人分で、メールアドレス208件、障害児者との関係195件、障害のカテゴリー158件。不正アカウントは削除され、システムは修正済みで、新規会員登録を一時停止している。台東区障害者支援アプリ「ささえ～る」。委託先ミラボのシステムで不正に管理者アカウントが作られ、208人のメールアドレスと障害のカテゴリーなどがダウンロードされた。
ワイメール ― ポータルから持ち出されたスクリプトでフィッシング配信
メール配信サービス「ワイメール」を運営するイグレックスは2026年10月24日未明、ポータルサイトのサーバーで攻撃を検知した。持ち出された「お客様環境のセットアップ用スクリプト」などの認証情報で一部の利用者の配信環境に侵入され、双葉町や南魚沼市、かたしな高原などのメルマガ登録者に、宛名入りのカード会社を装うフィッシングメールが送られた。同社は全配信環境の管理者ログイン情報を更新し、DKIM鍵の再作成とDMARCのreject化を進めている。送信件数と個人情報の漏えいの有無は調査中。ワイメール（イグレックス）。メール配信サービスのポータルサーバーから「顧客環境のセットアップ用スクリプト」が持ち出され、自治体・企業のメルマガ配信環境からカード会社を装うフィッシングメール。
サンケイリビング新聞社 ― サーバーに不正アクセス、会員情報漏えいの可能性
サンケイリビング新聞社は2026年10月16日、運営するWebサイトへの第三者による不正アクセスを確認し、リビングWeb・シティリビングWeb・まちっと等の会員（退会者を含む）やアンケートシステムの利用者の氏名・連絡先などが漏えいした可能性があると第一報で公表した。件数は調査中。同社や地域のリビング新聞社に事業を委託していた広島県（延べ1,470人）、島根県（335件）、三重県（延べ156人）、登米市（39人）、国立市などが相次いで影響を発表している。「リビングWeb」などのサーバーに不正アクセス、会員・アンケート回答者の個人情報に漏えいの可能性、広島県・島根県・三重県など受託先の自治体事業にも広がる。11月9日の第二報で、漏えいの可能性がある個人情報は最大約172万件（重複を含む）と判明した。
モスカード／Value Card ― 電子マネー基盤からカード番号・PINが流出
ペイクラウドホールディングスは2026年10月23日、子会社バリューデザインのハウス電子マネー発行サービス「Value Card」のサーバーが不正アクセスを受け、ID番号・PIN番号・残高情報1,424,748件（発行済56万9224件、未発行85万5524件）が流出したと発表した。原因は一部環境のWebサーバーの脆弱性の悪用。同日、モスフードサービスは運用・保守の委託先であるバリューデザインのシステムからモスカード番号・PIN・残高113万3070件が流出したと公表し、該当カードのPINを強制的に変更した。氏名などの個人情報は含まれない。モスカード／バリューデザイン「Value Card」。ハウス電子マネーの発行基盤に不正アクセス、カード番号・PIN・残高の142万件が流出、うちモスカードは113万件でPINを強制変更。
ブラストメール ― APIサーバーに侵入され契約者情報が流出
ラクスの子会社ラクスライトクラウドのメール配信サービス「ブラストメール」で、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出した。全契約者の会社名・担当者名・連絡先・契約と支払いの履歴が持ち出され、一部の契約者では配信先リストの漏えいも確認された。サービスは10月21日0時30分から停止中で、再開は未定。新潟日報（最大約25万3000人）、名鉄観光サービス（約13万人）、JR四国（約3万件）、岡崎市（約2万6000件）など、利用する企業・自治体の公表が続いている。ブラストメール（ラクスライトクラウド）。API用サーバー2台に侵入され、全契約者の情報と一部の配信先リストが持ち出された、新潟日報25万人・名鉄観光13万人など利用組織の公表が相次ぐ。
岩井コスモ証券 ― 委託先の設定不備で情報漏洩と不正な売買注文
岩井コスモ証券のインターネット取引システムを運用・保守するトレードワークスのシステムに10月14日、不正アクセスがあった。管理機能の設定不備が悪用され、顧客4,975名の氏名・メールアドレスなどが漏洩した。同じ日に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、うち5口座で約定した。取引は元に戻され、顧客の負担はないとしている。
住宅省エネ2024キャンペーン ― 事務局システムに不正操作、全機能停止
国土交通省・経済産業省・環境省は10月20日、「住宅省エネ2024キャンペーン」の事務局を務める博報堂が運営する補助金申請のシステムで外部から不正操作があり、登録事業者16,950社の代表者や担当者など23,918名（速報値）の個人情報が漏洩した可能性があると発表した。補助金を使った消費者の情報や口座情報の漏洩は確認されていない。システムは全機能を停止している。国の補助金の申請を受けた事務局（博報堂）のシステムに「外部からの不正操作」、登録事業者2万3918名分が漏洩の可能性、全機能を停止。
NEC ― 委託先が攻撃され顧客のサーバーが暗号化
NECは10月20日、システム開発・保守を任せる委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報で、委託先の端末から顧客のシステム環境に不正アクセスされたと公表した。顧客のサーバ内のファイルが暗号化されてシステムが使えなくなったほか、NECが作り関係者で共有していたクラウドストレージのファイルも漏えいした。委託先名・顧客名・件数は公表していない。10月21日には大阪大学も、運用を委託するNECから卒業生・在学生・教職員計7万7851人分の個人情報が漏えいしたと発表した。開発・保守の委託先が攻撃され、盗まれた正規アカウントで顧客のサーバが暗号化、関係者で共有していたクラウドストレージからもファイルが流出。
ユミルリンク「Cuenote FC」 ― サポート担当者の認証情報を窃取され漏洩
メール配信サービス「Cuenote」を提供するユミルリンク（東証グロース）は10月19日、「Cuenote FC」の一部サーバーが不正アクセスを受け、個人情報が外部に持ち出されたと公表した。10月16日未明に担当者が気づき、ログからはプログラムの脆弱性を突いてサポート・品質管理担当者の認証情報を取得し、不正プログラムでデータベースからデータを出力、さらにその認証情報で他のシステムへの認証を試みていたことがわかった。対象は「Cuenote FC 専用ASPプラン」の5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。利用企業の山陽新聞社は10月18日午後からメール配信を止めている。10月26日の第二報では、新たに45システムで不正プログラムを介したデータ参照やセッション情報を使った不正ログインを確認し、情報漏洩が起きたCuenote FCのシステムは49、件数は延べ51,628,280件（16システムは調査中）に増えた。同日、JR東海・JR西日本・JR九州が「エクスプレス予約」「スマートEX」の会員のメールアドレス等の漏えいを発表した。メール配信基盤の脆弱性からサポート担当者の認証情報を奪われ、第二報で漏洩は49システム・延べ約5163万件に拡大。
足利市斎場予約システム ― 委託先のシステムに不正アクセス
栃木県足利市は10月18日、市が運用する「足利市斎場予約システム」に第三者による不正アクセスがあったことが10月15日に委託先の調査で判明したと公表した。提供元のビジネステックは、データベースへの不正な照会と、システムのお知らせ欄への不正なデータ追加を確認したとしている。2022年12月以降の利用分約8,800件（故人の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号）と、登録葬祭事業者56社の情報に漏えいのおそれがある。システムは全面停止し、予約は電話受付に切り替えた。朝日新聞によると、同じ斎場予約システムを茨城・栃木・埼玉・群馬・新潟の計20の自治体と一部事務組合が使っており、ビジネステックは全システムを一時停止した。
ライドオンエクスプレス ― サーバー運営会社がランサムウェア被害
ライドオンエクスプレスホールディングスは10月13日、子会社が運営する『銀のさら・釜寅・すし上等』の公式サイト・公式アプリの登録者情報を保管していたサーバーがサイバー攻撃を受け、最大約650万件の個人情報が漏えいした可能性があると公表した。10月5日以降に不正アクセスを検知し、10月7日早朝にサーバー障害が発生、サーバーの運営会社からランサムウェア攻撃を受けたとの報告を受けてシステムを停止した。預けていたデータは取り出しや復元が困難との報告を受けている。漏えいの明確な痕跡や範囲は特定できていないが、対象の可能性がある利用者に案内するとした。項目は氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員IDで、家族やお届け先の情報も含みうる。クレジットカード情報は保有していない。公式サイト・アプリからの注文は停止が続き、再開の見通しは立っていない。運営会社の名前と侵入経路は公表されていない。ライドオンエクスプレス「銀のさら・釜寅・すし上等」。登録者情報を預けていたサーバー運営会社がランサムウェア被害、漏えいの痕跡は未特定のまま最大約650万件を公表。
第一興商 ― 委託先PCのマルウェア感染で会員情報漏えいのおそれ
第一興商は10月8日、個人情報の取り扱いを委託している日本コロムビアグループの従業員の端末（PC1台）がマルウェアに感染し、その端末に一時的に保管されていた顧客情報などが漏えいしたおそれがあると公表した。対象はカラオケ「ビッグエコー」や飲食「DKダイニング」などで会員登録・予約をした客の氏名・性別・生年月日・メールアドレス・電話番号約863万1000件と従業員情報約9万3000件の計約872万4000件。実際の漏えいや不正利用は確認されていない。
HIS ― タイ現地法人からパスポート情報流出の可能性
エイチ・アイ・エスは10月7日、タイ現地法人H.I.S. TOURSのファイルサーバーが第三者の不正アクセスを受け、2017年・2019〜2020年・2024〜2025年にHISを利用してタイに出発した客の最大627人分のパスポート情報（氏名、生年月日、パスポート番号、有効期限など）とアレルギー情報が流出した可能性があると公表した。検知は2025年12月11日で、会計記録などが大量に混在したサーバー内の全ファイルを手作業を含めて確認したため、公表まで時間がかかったと説明している。侵入経路は公表されていない。
旭化成セラピューティクス ― 委託先の会員DBに不正アクセス
旭化成セラピューティクスは、医療関係者向けサイト「Pharma DIGITAL」の運営・情報管理を委託する医薬情報ネットの会員データベースが不正アクセスを受け、医療従事者の氏名・所属施設・診療科など最大約51万4000名分（うち一部はメールアドレスも）と自社従業員約700名分が閲覧・取得された可能性があると公表。原因と侵入経路は調査中。旭化成セラピューティクス「Pharma DIGITAL」。運営委託先の会員DBに不正アクセス、医療従事者最大約51万4000人分が閲覧・取得の可能性。
大和証券 ― 問い合わせ管理の委託先に不正アクセス
大和証券は、ネット経由の問い合わせ管理に使うサービスの提供元スカラコミュニケーションズのサーバーが10月2日20時33分頃から3日8時1分頃まで不正アクセスを受け、約11万人分の氏名・メールアドレス・口座番号等を含む約22万件の問い合わせ情報が漏えいした可能性があると公表。大和証券自身のシステムへの侵入は確認されていない。10月6日にはSC社が、FAQシステム「i-ask」の管理サイトへの不正ログインと不正プログラムの設置が原因で、同じサーバー上の最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性があると公表し、シチズン時計も約10万人分の影響を公表した。10月7日には損害保険ジャパンも、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ延べ約6万件が対象になった可能性があると公表した。同じ10月7日には東武鉄道も、お客さまセンターの問い合わせフォームにSC社のサービスを使っていたと公表したが、同社に関する情報の閲覧・取得の形跡は現時点で確認されていないとしている。10月8日にはオリックス生命保険も、公式サイトの問い合わせ管理に使うSC社のサービスで、医療情報等を含む延べ約2万6500件が漏えいした可能性があると公表した。11月2日には東武鉄道が、SC社が依頼したラックのフォレンジック調査の最終結果として、同社に関する情報の漏洩はなかったと報告を受けたと公表した。
デンマーク CPR ― 正規の照会権限が悪用され住民情報が流出
デンマークの中央住民登録（CPR）で、民間企業に認められていた正規の照会アクセスが約10日間悪用され、登録者約1100万人のうち約880万人分の氏名・住所・CPR番号が取得された。データ保護庁は、有効なCPR番号を割り出すための大量の自動照会があったと説明している。デンマーク CPR（中央住民登録）。民間企業の正規の照会権限が悪用され、約880万人分の氏名・住所・個人番号が抜かれた。
吉野家HD／ApplyNow ― 契約終了後も残った応募者データが漏えい
吉野家・はなまるが過去に委託していたApplyNowの採用管理基盤が、データ分析ツールの脆弱性を悪用した不正アクセスを受け、応募者5,366件と採用担当アカウント418件が漏えいした。契約終了後もデータが残っていた点が焦点。