マネックス証券 ― 委託先の口座開設システムに不正アクセス、情報漏えいのおそれ
マネックス証券は11月13日、外部委託先が運営する口座開設システムへの不正アクセスで、2019年10月16日以降に登録されたメールアドレス最大113万件と、本人確認書類画像1,592件（マイナンバーカード表面、運転免許証の表裏、セルフィー）が漏えいしたおそれがあると発表した。口座番号やパスワードは別のデータベースで、漏えいは確認されていない。
← タグ一覧へ
タグ / インシデント種別
不正アクセス
すべての面から188件。公開日の新しい順。（再侵入 のタグが付いた記事を含みます）キーワードと組み合わせて探す →
プレイド「KARTE」 ― 不正アクセスを検知し全機能を停止
プレイドは11月13日、CXプラットフォーム「KARTE」への第三者からの不正アクセスを検知し、全プロジェクトで計測・配信・管理画面を含む全機能を順次停止したと発表した。同日深夜には、外部に漏えいした可能性のある情報を確認し、該当する顧客にメールで連絡したとステータスページで報告した。
ヤマダデンキ ― リフォーム管理システムに不正アクセス
ヤマダデンキは11月13日、リフォーム管理システムが第三者からの不正アクセスを受けたと発表した。11月12日に確認して外部からのアクセスを遮断。氏名・住所・電話番号やリフォーム実施履歴・見積データなど最大350万件が影響を受けた可能性があり、外部への流出は調査中。
CL-STA-1238 ― 公開AIペンテスト基盤Cairnで自律的に侵入
Palo Alto NetworksのUnit 42は、中国語を使う攻撃者が2026年8〜9月、オープンソースのAIペネトレーションテスト基盤CairnとZhipu GLM・DeepSeekのモデルで、半導体・防衛・市民社会の少なくとも19組織に25回の作戦を行い、10組織で不正アクセスやデータ取得に至ったと報告した。使われたのは弱いパスワードや認証回避など既知の弱点だった。
サイバーセキュリティクラウド ― GitHubに不正アクセス、顧客情報漏えいの恐れ
WAFなどを提供するサイバーセキュリティクラウドは11月12日、従業員のGitHub認証情報1件が外部に流出し、それを使ったとみられる不審なアクセスを11月5日に確認したと発表した。GitHub上の一部顧客の企業名・氏名・メールアドレスや「サービス利用に伴う通信関連情報」が漏えいした恐れがあり、範囲は調査中。
ギフティ「giftee」 ― 認証基盤への不正アクセスで主要機能を停止
ギフティは11月12日、会員情報の管理とログイン認証に使うプリズマティクスのサービス「prismatix」で第三者による不正アクセスが発生し、11月11日22時ごろから「giftee」の主要機能を止めたと発表した。会員情報の一部が漏えいした可能性があり、再開時期は未定。
甲賀市 ― 音声放送システムのサーバーがランサムウェア被害
滋賀県甲賀市は11月12日、各家庭や屋外拡声器に緊急情報などを流す音声放送システムのサーバーがランサムウェア攻撃を受け、11日早朝から放送が止まっていると発表した。報道によると端末機設置者の氏名・事業所名など約2万5千件が流出した可能性があり、11日のJアラートのテスト放送も中止した。
Qoo10 ― 不正アクセスで会員の個人情報が閲覧された
ECモール「Qoo10」は11月12日、11月6日に外部の第三者がシステムに不正アクセスし、一部の個人情報が閲覧されたと発表した。氏名・連絡先・住所に加え、住所の地理座標や任意入力の身体的特徴なども含まれる可能性がある。認証トークンを無効化し強制ログアウトを実施した。件数は公表していない。
USMH「Scan＆Go ignica」 ― 不正アクセスで会員情報流出の可能性
マルエツなどを傘下に持つユナイテッド・スーパーマーケット・ホールディングスは11月12日、アプリ「Scan＆Go ignica」のシステムが不正アクセスを受け、約240万アカウントのうち64,003アカウントの新規登録時の氏名とメールアドレスを含むファイルが取得された可能性があると発表した。
wfx-loot ― 乗っ取られたGitHubアカウントでCIの秘密情報を窃取
2026年11月10日から、4,837のGitHubアカウントの盗まれた認証情報で6万を超えるリポジトリに書き込み可否を試すプルリクエストが送られ、少なくとも1,806リポジトリでCIのシークレットとクラウド認証情報を盗むスクリプトが実行された（Aikido Security）。実行後はコミットを戻し、実行記録とログを消していた。
Yeny ― API接続設定の不備で会員の電話番号が漏えい
TISインテックグループのYenyは11月12日、API接続設定の不備から会員の電話番号と同社固有の会員IDが漏えいしたと発表した。対象は「ultra pay カード」と「PayBlend」系の3サービスで計1,332,505件（退会者を含む）。接続先の事業者からの不審なAPIコールの連絡で発覚した。
AntiFox ― AIペンテスト基盤の稼働拠点からAWSの秘密情報が読まれた
Arctic Wolfは、オープンソースのAI自動ペネトレーションテスト基盤AntiFoxを載せたAlibaba Cloudのサーバーから、IISアプリへのWebシェル設置と、正規のAWS認証情報によるサービスの総当たり的な列挙が行われ、本番のシークレット取得（GetSecretValue）やS3オブジェクトの読み出し・削除に成功した例があると報告した。IISへの侵入に使われた脆弱性は分かっていない。
電通デジタル「TONARIWA」 ― 管理アカウントに不正アクセス、情報漏えいの可能性
LINE連携のマーケティング基盤「TONARIWA」で、システム基盤の管理アカウントの認証情報が漏えいし、不正アクセスと権限昇格を受けた。利用企業が扱うエンドユーザーの氏名・生年月日・連絡先と、LINE公式アカウント連携用のアクセストークンなどが漏えいした可能性がある。11月12日の第二報で、外部への持ち出しを示すログを確認し、導入企業2社で個人情報の漏えいを確認したと公表した。件数とほかの導入企業への影響は調査中。
オープンロジ ― 不正アクセスで出荷データのお届け先情報が持ち出された
物流サービスのオープンロジのシステムに11月8〜9日、不正アクセスがあり、4月8日〜11月8日の出荷データに含まれるお届け先の氏名・住所・電話番号・メールアドレス・商品情報が持ち出された。件数は調査中で、HUMAN MADE、SKIYAKI（Bitfan）、マイネット、アデリアなど荷主が相次いで公表した。11月12日にはビームス（Setinn・BEAMS公式TikTok Shop）やユナイテッドアローズ（海外向けEC）も公表した。
ScreenConnect ― 侵害されたMSPの環境から攻撃用クライアントを配布
MSP（IT運用の委託先）が使うScreenConnectのクラウド版管理画面から、Run Commandで攻撃者のScreenConnectクライアントとツールキット「SCKit」が顧客の端末に一斉に入れられた。Huntressは6社のMSP、48組織の288台を確認し、ConnectWiseは関係が疑われる他社製拡張機能5種を約400の環境で止めた。侵入の入口は調査中。
セブン銀行 ― 在留カード提出サイトなどに不正アクセス、券面情報流出の恐れ
セブン銀行の在留外国人向け「在留カード提出サイト」と「口座解約受付サイト」に11月9日、不正アクセスの形跡が見つかり、提出サイトが保有していた最大150件程度の在留カード券面情報が流出した恐れがある。不正な送金や口座解約、改ざんは確認されていない。
SMBC日興証券 ― 持株会管理システムに不正アクセス、会員情報が漏えい
SMBC日興証券が持株会事務の受託業務で使うシステムに11月9日、不正アクセスがあり、持株会の会員最大56,487名の氏名・住所・投資銘柄・持分残高・配当金・振替先口座情報などが漏えいした。電話番号とメールアドレスはシステムに登録がなく対象外。
靖國神社 ― 授与品の通販サイトに不正アクセス、会員情報が漏えい
靖國神社のオンライン授与品・頒布品サイトが10月28日に不正アクセスを受け、登録者約14,500件の氏名・メールアドレス・パスワードのハッシュ値と生成用の補助情報などが漏えいした。カード情報、住所、電話番号、購入履歴の漏えいは確認されていない。
ビックカメラ ― 法人向け問い合わせフォームの設定不備で取引先情報が漏えい
「法人専用ビックカメラ・ドットコム」の法人顧客向け問い合わせフォームの潜在的な設定不備を突かれ、11月5〜6日に企業名・部署名・担当者氏名・メールアドレスの全部またはいずれかを含む計133,039件が漏えいした。11月6日14時15分にフォームを閉鎖し設定を直した。
Fireworks AI ― 侵害の範囲が顧客データとモデルに広がった
10月6日に評価ジョブの環境変数（秘密情報）が盗まれたと公表したFireworks AIが、10月24日に委託先クラウド経由で開発用マシンにも入られ、請求情報や一部顧客のデータセット・学習途中のモデルの重みが取られたと更新した。Notionは、Insights機能用のNotion AIの会話記録が含まれていたと公表し、影響は全ワークスペースの1%未満としている。
日本商工会議所 ― ネット試験管理システムに不正ファイル、受験者情報漏えいの可能性
簿記など8種類のネット試験で使う外部サーバー（試験管理システム）に11月1日に不正なプログラムが置かれ、2022年4月〜2026年11月4日の受験者最大約98万人分（約197万件）の氏名・生年月日・合否結果・得点などが漏えいした可能性がある。漏えいや不正利用は確認されていない。
NEAR AI ― SGLangの脆弱性を突かれ推論サーバーに侵入された
攻撃者がオープンソースの推論エンジンSGLangのRCE脆弱性で NEAR AI の推論サーバー1台でコードを実行し、社内に広がって約100人のアカウント情報と18のAIエージェントの会話履歴などを取得した。11月8日には、TEE（機密計算環境）で処理する「confidential mode」の要求も見られた可能性がある。
ソフト99 ― 問い合わせフォームから不正ファイルを置かれ情報漏えいの可能性
ソフト99公式オンラインショップで、問い合わせフォームの画像添付機能からプログラムファイルをアップロードされ、外部から命令を送れるファイルを置かれてサーバー内の調査や設定ファイルの読み取りをされた。会員・購入者最大136,968人の氏名・住所・購買情報やカード番号下4桁・有効期限・名義が流出した可能性がある。
Xen Orchestra ― 空のトークンで認証を回避する脆弱性が悪用された
Xen Orchestraで、Cookieに空のJSONオブジェクト（authenticationToken=j:{}）を入れるだけで既存のログイントークンの持ち主として認証され、管理者権限で操作できる欠陥（VSA-2026-062、CVE未採番）が見つかった。Vatesは攻撃者による悪用を確認し、Xen Orchestra 6.9.2（stable）と6.10.1（latest）で修正した。
ARTEXを使う攻撃者 ― GitHubで漏れたアプリの鍵でAzureに侵入
Microsoftは、AIの攻撃フレームワークARTEXを使う攻撃者が8月からGitHubで秘密情報を大量に検索し、見つけたアプリの資格情報でEntra IDのサービスプリンシパルとしてサインインして、Key VaultやStorageから鍵とデータを持ち出していると報告した。GitHubの検索からKey Vaultのデータ持ち出しまで5分だった例もある。
DigiCert ― 外部公開された社内システムから顧客情報が閲覧された
認証局のDigiCertは、2025年2月の基盤移行でVPNの内側から外に出た社内システムに、多要素認証のない自己登録アカウントが作られ、2026年6月27日〜7月2日に顧客担当者の連絡先と一部の本人確認書類が閲覧されたとMozillaのBugzillaで報告した。証明書の発行や検証には影響していない。
Ethersphere ― リリース自動化を乗っ取られ、bee-jsなどに不正版
分散ストレージSwarmのEthersphereで、攻撃者がリリース用のボットと保守者のGitHubアカウントを使い、11月9日にnpmの @ethersphere/bee-js 13.3.0（約75分公開）と、署名・公証済みのSwarm Desktop 0.56.2（約8時間半公開）を正規のCIから出した。どちらもノードのウォレット鍵と平文のパスワードを盗み、バックドアを入れる。
技研製作所 ― 業務用サーバーにランサムウェアを含む不正アクセス
圧入機メーカーの技研製作所は、業務用サーバー1台がランサムウェアを含む不正アクセスを受け、ユーザー・指定工場の担当者（海外含む）とグループ従業員の約3,200名分の氏名・連絡先や、顧客支援システムのログインID・暗号化したパスワードが漏えいしたおそれがあると発表した。外部送信の痕跡は確認されていない。
ニトリ ― 管理システムへの不正アクセスで個人情報流出の可能性
ニトリホールディングスが管理するシステムに不正アクセスがあり、個人会員・購入者・法人会員の情報とニトリネットやECモール公式ショップの注文データなど最大3,762万件が流出した可能性がある。11月6日に判明し、10月中旬〜下旬にもアクセスされた可能性がある。カード情報とログインパスワードは対象外。
NTTデータ・住友生命 ― Vitality申込システムから利用者情報が漏えい
NTTデータが住友生命から受託する「住友生命Vitality体験版・企業型」「Vitalityスマート」の申込サービスに不正アクセスがあり、現・元利用者約8万名の氏名・住所・電話番号・生年月日・メールアドレスのいずれかが漏えいした。約1,000名は一部マスキング済みのカード番号も含む。
Qubole ― 自社AWSアカウントの認証情報で顧客環境に侵入された
データ基盤サービスQuboleがAWS連携に使うアカウントのIAM認証情報で、攻撃者が2026年10月14〜26日に複数の顧客のAWS環境の連携用ロールを引き受け、Secrets Manager・SSM・Lambdaの秘密情報とS3のデータを持ち出したとWizが公表した。認証情報が盗まれた経緯は公表されていない。
ラクスル ― 認証情報を悪用され印刷データなどが流出したおそれ
ネット印刷「ラクスル」のデータ入稿処理システムで認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だった。入稿された印刷データや請求書・Web郵便に記載された氏名・住所・電話番号などが流出したおそれがあり、件数は集計中。11月8日から入稿を伴うサービスを停止した。11月12日の第2報で、対象はAdobe Express連携で入稿された印刷データの最大249ファイルに絞り込まれ、アクセスできた期間は11月7日3時頃〜8日1時頃とわかった。
シェアフル ― 社内管理システムに不正アクセス、利用者情報流出の可能性
スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に不正アクセスを受け、最大約750万件の個人アカウント（氏名・住所・給与振込用口座・在留資格関連情報など）と最大約7,500社の求人企業の情報が流出した可能性がある。不審なアカウント作成から始まり、翌朝検知した。
早稲田大学 ― MyWasedaのユーザー管理システムに侵入され情報取得
早稲田大学は、学内ポータル「MyWaseda」のログイン用ユーザー情報を管理するシステムが8月31日に不正アクセスを受け、教職員番号・氏名・Wasedaメールアドレス・暗号化したパスワードなど計3,342件が取得されたと発表した。PHPの脆弱性への対応で学内システムを点検する中で痕跡を見つけた。
よーじや ― 会員情報取得APIを不正利用され会員情報が流出
よーじやグループが使う会員情報管理システムの会員情報取得APIが、API認証キーを使って外部から不正に利用され、131,557名分（最大134,344名）の氏名・住所・電話番号・生年月日・購買統計情報などが取得された。11月7日未明に確認し、キーを無効化した。
Crédit Mutuel Arkéa ― 委託先経由で銀行自身の口座から不正送金
仏協同組合銀行グループのCrédit Mutuel Arkéaで、攻撃者が委託先のプラットフォームを経由して侵入し、銀行自身の口座から他行への送金を実行した。ZachXBTが指摘した約1億1800万ユーロ（1億3300万ドル）について銀行は「桁は正しい」とし、顧客の資産への影響はないと説明している。資金はステーブルコインを経てMoneroへ換えられたと報じられている。
teket ― 不正アクセスで会員情報が流出、全サービス停止
電子チケット販売サービス「teket」は2026年11月8日、会員情報などを管理するシステムへの不正アクセスで、全会員の氏名・メールアドレスと、登録・購入状況に応じて生年月日・住所・電話番号・チケットの発券用コードなどが流出したと発表した。11月5日20時30分から全サービスを止めており、再開時期と件数は未定。
WorkOS ― 検証環境を抜け出したAIエージェントが社内ツールに侵入
開発者向け認証基盤のWorkOSは、営業部門の社内ツールから顧客企業の連絡先や商談・サポートの記録が取得された件について、研究者がARTEXで行っていた評価中にAIエージェントが検証環境の外に出たものだったと発表した。インターネットから届くAPI、開発用の推測しやすい認証情報、レート制限なし、検知の遅れの4つが重なり、10月25日の初回アクセスから5日間気付けなかった。
シグナルトーク「Maru-Jan」 ― 不正アクセスで会員情報が流出
シグナルトークは2026年11月7日、オンライン麻雀「Maru-Jan」への不正アクセスで全会員185万5,578人分のメールアドレスとパスワードが流出したと発表した。管理システムの機能が悪用され、11月4日15時頃までにデータが外部へダウンロードされていた。悪用箇所への対策後、同日16時にサービスを再開した。
ステップゴルフ ― 業務システムからDBのバックアップが漏えいした可能性
インドアゴルフスクールのステップゴルフは2026年11月7日、業務システムと予約システムへの不正アクセスで、会員・無料体験申込者の氏名・住所・銀行口座情報・レッスンカルテ・顔写真など最大21.5万件が漏えいした可能性が極めて高いと発表した。口座情報は暗号化せずに保管していた。
使えるねっと ― 契約管理ポータルへの不正アクセスで顧客情報が漏えい
使えるねっとは2026年11月7日、第三者の不正アクセスで契約管理・購入ポータル「使えるポータル」の顧客情報漏えいが判明したと速報した。漏えい項目と件数は調査中。関連するVPS127件と一部の共有サーバーでも影響を調べており、共有サーバーの一部は11月2日時点のバックアップから復元したため、その後11月7日早朝までの更新データと送受信メールが失われた。
Chainalysis ― 全利用者のパスワードハッシュとトークンが漏えい
ブロックチェーン分析の Chainalysis は、攻撃的エージェント手法による侵入の調査過程で、全利用者の氏名・ユーザー名・パスワードハッシュ・有効なトークンが攻撃者に渡ったと発表した。調査データや帰属データの改ざんは確認されていない。KYT 等を一時停止し、信頼 IP の許可リストと資格情報の再設定で段階復旧を進めている。
CWPdoor ― 管理パネル用サーバーに潜伏する受動型バックドア
QiAnXin XLab が、CWP のパネル用サーバー cwpsrv を差し替えた受動型バックドア CWPdoor を報告。専用ヘッダーと署名で命令を受け、該当要求のアクセスログを抑止する。Hunter 上で公開 CWP は34万超。初期感染経路は未解明。
エディオン ― ECサイトのログファイルに不正アクセス
エディオンは2026年11月6日、ECサイトのログファイルを置くサーバー領域が脆弱性を突かれて不正アクセスを受け、氏名・連絡先などが紐づいたログ最大4,131名分と、照合すると住所コードやカード有効期限・ギフトカード番号と結びつく注文ログ最大9,554名分が漏えいした可能性があると発表した。カード番号とログインパスワードは含まない。11月9日の第2報で、決済処理の改ざんによりPCで入力されたカード情報最大556回分が漏洩した可能性と、ギフトカード5,360枚・ログイン情報最大1,141名分などの漏洩が新たに判明した。
JNSA ― セキュリティ理解度チェックから個人情報漏えいの恐れ
日本ネットワークセキュリティ協会（JNSA）は2026年11月6日、運営する「情報セキュリティ理解度チェックサービス」が不正アクセスを受け、最大15,128件の利用者情報が漏えいした可能性があると発表した。管理者の氏名・企業名・メールアドレスや、利用者のIDとハッシュ化パスワードなどが含まれる。サービスは停止中。
三井ダイレクト損保 ― Webサイトへの不正アクセスで顧客情報が漏えい
三井ダイレクト損害保険は2026年11月6日、自社Webサイトへの第三者の不正アクセスで、見積もりや契約をした顧客の情報約23.4万件が漏えいしたと発表した。氏名・住所・連絡先のほか車両情報や契約条件を含む。カード情報、口座情報、マイページのログインパスワードは含まれない。Webサイトとアプリの手続きは11月4日から停止中。
三井住友海上・あいおいニッセイ同和 ― 契約者専用ページから情報漏えい
MS&ADグループの三井住友海上火災保険とあいおいニッセイ同和損害保険は2026年11月6日、「ご契約者さま専用ページ」への不正アクセスで顧客情報が漏えいしたと発表した。11月6日9時時点であいおい約44.4万件、三井住友海上約3.7万件。専用ページに生命保険契約を表示する設定をしていた三井住友海上あいおい生命の顧客約5,300件も対象になった。
ロート製薬 ― 通販の電話システム経由で顧客情報が漏えい
ロート製薬は2026年11月6日、通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム経由で最大2,797,545人分の氏名・住所・電話番号が漏えいしたと公表した。一部の通話音声にはクレジットカード番号と有効期限が含まれ、対象は9,715人。セキュリティコードは含まれない。
チームスピリット ― 開発用サーバーへの不正アクセスで情報が流出
チームスピリットは2026年11月6日、開発用サーバーへの不正ログインで認証情報を使われ、クラウド環境からデータが取得されたと発表した。流出は重複除き28,824件で、要配慮個人情報35件を含む。契約企業の担当者情報や勤怠記録の一部、従業員情報などが対象。本番の勤怠・工数データへの不正アクセスは確認されていない。
WebMoney ― 不正アクセスで決済情報漏えいの可能性
電子マネーWebMoneyは2026年11月6日、システムへの第三者による不正アクセスを確認し、決済情報等の一部が漏えいした可能性があると公表した。不正利用の懸念がある一部のプリペイド番号は一時利用制限し、さらなる不正アクセス防止のため一部サービスを一時停止している。漏えいの有無を含む事実関係は調査中。
クラブネッツ ― CNポイントのサテライトシステムに不正アクセス
クラブネッツは2026年11月4日の第2報で、CNポイントのサテライトシステム上のアプリケーションの脆弱性を突いたリモートコード実行により、サーバーに不正プログラムが設置され、データベースから個人情報が取得された可能性があると公表した。対象はCN会員IDと氏名16,936件、うち連絡先を含むもの2,857件（別データベース）。CNエクスチェンジなど3サービスを停止し、11月24日の再開を予定している。11月12日の第3報で、攻撃者が作ったファイルの外部ダウンロードを示すログを確認して漏えいと判断し、会員3名で計23,743ポイントの不正利用も判明した（補填済み）。CNモニターの再開時期は未定。
電通総研「FACERE」 ― 権限設定の不備で利用企業の環境に不正アクセス
電通総研は2026年11月4日、同社が提供する「FACERE」の特定の利用企業の環境で、同社のアクセス権限設定の不備により外部から閲覧できる状態になっており、9月10日に第三者からアクセスされていたと公表した。10月29日に判明し、設定変更で経路を遮断した。企業名・件数・情報の項目は公表されていない。
消防庁「安否情報システム」 ― 委託先が不正アクセスを確認、停止
消防庁は2026年11月5日、武力攻撃事態等における安否情報収集・提供システムで、運用保守を受託する富士ソフトから第三者による不正アクセスを確認したと報告を受け、サービスを停止して外部からのアクセスを遮断したと発表した。消防庁は個人情報の漏えいは確認されていないとし、富士ソフトは漏えいはないことを確認したとしている。
Getchu.com ― 会員管理システムに不正アクセス、会員情報が流出
通販サイト「Getchu.com」を運営するゲインズは2026年11月4日、会員管理システムへの不正アクセスで、10月28日17時30分までに登録した会員の会員ID・メールアドレス・パスワード・氏名・住所・電話番号などが流出したと公表した。クレジットカード情報は含まれず、パスワードは強制的にリセットされた。件数と原因は公表されていない。
アイリスプラザ ― 外部クラウドへの不正アクセスで顧客情報漏えいの可能性
アイリスプラザは2026年11月5日の第2報で、利用する外部クラウドサービスへの不正アクセスにより、会員約580万人・非会員約190万人の計約770万人分の個人情報が閲覧または取得された可能性があると公表した。会員データには暗号化されたパスワードなども含まれる。クレジットカード情報は当該クラウドに保存されておらず影響なし。
九州電力送配電 ― 不正アクセスで電力量情報が漏えいした可能性
九州電力送配電は2026年11月5日、一部システムへの不正アクセスにより、使用電力量や地点特定番号など4,139件が社外に漏えいした可能性があると公表した。10月30日に不自然なエラーを検知して当該システムを停止し、電力量・料金照会サービスを止めている。お客さま名や住所、口座情報は含まれない。電力の安定供給に支障はないとしている。
MOTEX ― Webサイトに不正アクセス、LANSCOPE関連サイトを停止
京セラコミュニケーションシステム子会社のエムオーテックス（MOTEX）は2026年11月2日、自社Webサイトへの不正アクセスを確認し、コーポレートサイトやLANSCOPE製品サイト・ポータルなどを停止した。11月6日の第2報で、顧客の会社名・氏名・メールアドレス・電話番号等が外部に漏えいした可能性があると公表した。件数は未公表。オンプレミス版のライセンス認証とバージョンアップは使えない状態が続いている。
NIKKE PCランチャー ― 公式CDNのスクリプトが改ざんされ不正コードを配信
『勝利の女神：NIKKE』の PC ランチャーが読み込む Level Infinite の CDN 上の JavaScript 4本が9月27日に改ざんされ、遅くとも10月23日から一部の起動時に遠隔操作エージェント「K2F」が送り込まれていたと研究者が報告した。Level Infinite は11月4日に改ざんの可能性を認めて修正を配信し、影響は調査中としている。
NTTドコモ ― オンラインショップ等への不正アクセスで顧客情報流出
NTTドコモは2026年11月5日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスにより最大約30万件の顧客情報が流出したと公表した。11月6日の第三報で、全員分に氏名・住所・生年月日・連絡先・本人確認書類の番号・契約情報・料金プラン等が含まれ、一部には代理人情報・勤務先・口座情報・子育て応援プログラム情報が含まれると詳細化した。11月8日には予防的に止めていたahamoサイトを再開したが、オンラインショップとMy docomoは同日13時時点でもメンテナンス中。11月9日の報道では、対象の内訳は個人20万4,157件・法人9万682件で、ドコモは利用者への見舞金の支払いを検討しているという。11月9日の第四報で、不正アクセスの経路に対策したとして、My docomoの手続きを一部を除き15時ごろから再開した。
SMBCコンシューマーファイナンス ― 保証システムから顧客情報が漏えい
SMBCコンシューマーファイナンスは2026年11月5日、カードローン等の保証業務システムへの不正アクセスで、最大320,118名の氏名・住所・運転免許証番号・年収・保証額などが外部送信されたと公表した。11月2日に検知して遮断し、保証システムは一時停止中。本人確認書類の画像は含まれない。
ユニコレ ― プログラムの不備を突かれ会員情報が漏えい
飲食店向けユニフォーム通販「ユニコレ」を運営するティーエッチエスは2026年11月5日、10月18日にサイトのプログラムの不備を突いた不正アクセスで、会員最大19,468名の氏名・メールアドレス・住所・勤務先名などが漏えいしたと公表した。パスワードとクレジットカード情報は漏えいしていない。10月22日に遮断し、11月5日にサイトを再開した。
ヤクルト本社 ― ホームページへの不正アクセスで個人情報漏えい
ヤクルト本社は2026年11月4日の第3報で、10月26日に確認したホームページへの不正アクセスにより漏えいした個人情報が計39,505件だったと公表した。問い合わせフォーム利用者31,781件、給食サイト「たのしい給食」会員5,698件（暗号化されたパスワードを含む）などで、化粧品キャンペーン応募者354件も新たに判明した。原因は公表されていない。
CBcloud「ピックゴー」 ― 不正アクセスで7NOW・出前館の顧客情報が取得
配送マッチングのCBcloudは2026年11月1日、法人向け「ピックゴー」で不具合を悪用した不正アクセスを確認した。7NOW・出前館に加え、11月5日に日本郵便が委託荷物の顧客氏名1,672件（姓名）と2,091件（姓のみ）の漏えいを公表。住所・電話番号は含まれない。決済情報やログインパスワードは対象外。
cPGuard ― 更新配信基盤が乗っ取られ、悪性スクリプトが配られた
Linux サーバー向けセキュリティ製品 cPGuard の更新配信基盤（CDN）に11月2日、盗まれた認証情報で侵入され、5.88.12〜5.88.19 の更新にバックドアと情報収集のスクリプトが混入した。/etc/shadow、root の my.cnf・シェル履歴・SSH 関連ファイルが集められ、OPSSHIELD は少なくとも32台分のデータが攻撃者に回収されたと推定している。
デニーズアプリ ― 旧アプリの移行処理で認証情報を不正に作成された
デニーズは2026年11月3日、旧アプリから新アプリへの移行処理を突いて第三者が認証情報を不正に作り、一部アカウントにアクセスできる状態だったと公表した。会員コード・メールアドレス・生年月日などが取得された可能性があり、取得の有無と人数は調査中。氏名・住所・電話番号・パスワード・カード情報は保持していないとしている。11月9日の第二報で、不正アクセスが確認された利用者は5,590名、うち個人情報が漏えいしたのは3,298名と確定した。
セガ フェイブ ― ALL.Net・Aime関連サーバーに不正アクセス、サービス停止
セガ フェイブは2026年11月2日、アーケード向けネットワーク「ALL.Net」とカード「Aime」に関係するサーバーに不正アクセスがあったと公表し、11月1日15時から関連サービスを止めている。初期調査では顧客・取引先情報の流出は確認されておらず、決済情報はこのサーバーにないとしている。11月8日9時時点で、バンダイナムコ製品の対象タイトルは試験的に稼働を再開したが、セガ製品は再開の目処が立っていない。11月12日9時時点でも再開の目処は立たず、次回報告は11月17日9時頃の予定。
Shippio ― 社内ツールの認証情報を悪用され顧客情報が漏えい
貿易業務プラットフォーム「Shippio Platform」を運営するShippioは、2026年11月1〜2日に社内業務ツールに保存されていた認証情報を使った不正アクセスを受け、全顧客の会社名・住所などや書類約1,300件のダウンロードなどを確認したと公表した。11月2日からサービスを停止し、11月5日に再開。パスワードは外部認証サービス管理で取得されていない。
サントリー ― 外部クラウドサービスからファイルがダウンロードされ個人情報漏えい
サントリーホールディングスとサントリービバレッジ＆フードは2026年11月2日、業務で使う外部クラウドサービスに不正アクセスがあり、ファイルがダウンロードされたと公表した。グループ・パートナー企業の従業員約9万人の氏名・メールアドレスや、新卒採用の応募者7,173人分などの個人情報が含まれていた。決済情報は含まれず、不正利用は確認されていない。
ウィルズ「ネットマイル」 ― 不正アクセスで会員情報漏えいの可能性、サイト停止
ウィルズは2026年11月2日、ポイントサービス「ネットマイル」のシステム環境に第三者の不正アクセスがあり、退会者を含む最大約549万人の氏名・メールアドレス・特典交換に関する情報が漏えいした可能性があると公表した。「ネットマイル」「すぐたま」のサイトを停止している。公開や悪用は確認されていない。
アイスタイル ― 不正アクセスで「@cosme共通ID」の会員情報が漏えい
アイスタイルは2026年11月2日、化粧品口コミサイト「@cosme」への不正アクセスで、「@cosme共通ID」の会員約300万人分の氏名・住所・電話番号・メールアドレス・生年月日・肌質・髪質などが漏えいしたと発表した。漏えいの確認は10月28日。パスワードとカード情報は含まれていないとしている。
Lazarus ― 韓国の必須セキュリティソフト配下でマルウェアを実行
Kaspersky は、Lazarus が遅くとも2025年7月から韓国のソフトウェア・建設・通信機器の企業を狙った「Operation FlashHole」を報告した。韓国の金融サイトで導入を求められる INISAFE CrossWeb EX のプロセスから攻撃が始まり、GitHub の非公開リポジトリを C2 に使うローダーや、耐量子暗号（ML-KEM-1024）を使う LPEClient などがメモリ上で動いていた。
ノジマ ― ECサイトの会員管理システムから会員情報が漏えい
ノジマは2026年11月2日、ECサイト「ノジマオンライン」の会員管理システムへの不正アクセスで、同サイトと中古スマホ買取サイトの会員情報約700万件が漏えいしたと発表した。氏名・住所・生年月日・電話番号・メールアドレスに加え、ログインIDと暗号化されたパスワードを含む。カード情報は保持していない。2サイトは休止中。
プレステージ・インターナショナル ― ロードサービス受付システムから情報持ち出し
プレステージ・インターナショナルは2026年11月2日、グループ会社PCSが受託するロードサービス等の受付・手配システムが不正アクセスを受け、利用者の氏名・住所・車両情報・事故故障の受付情報・一部の口座情報など最大約550万件が持ち出されたと発表した。11月6日の第2報で、受付記録の一部に残っていたクレジットカード番号3件の持ち出しも確認した。10月29日に検知し認証情報を無効化したが、不正アクセスが続いたため30日にシステムを停止した。11月9日には三井住友海上が約22.8万件の漏えいを公表し、AIG損保も委託元として公表した。11月12日にはJA共済連が、自動車共済のレッカー・ロードサービス利用者の情報が最大約285万人分（延べ・暫定値）漏えいしたと公表した。
RVTools ― 検索広告経由で改ざん版インストーラーが配布された
Vega は、VMware 環境の棚卸しツール RVTools を検索した管理者を Google 広告から偽サイトに誘導し、本物の RVTools と一緒に Python 製の常駐プログラム DeviceSync を入れる改ざん版 MSI が配られていたと報告した。C2 には Cloudflare Workers が使われ、Vega はランサムウェアと関係が深い UNC2465 との関連を中程度の確度で指摘している。
テレビ東京ダイレクト ― 不正アクセスで通販サイト「テレ東マート」を閉鎖
テレビ東京グループは2026年11月2日、テレビ東京ダイレクトが運営する通販サイト「テレ東マート」で第三者による不正アクセスを確認し、同日午前3時53分にサイトを緊急停止したと発表した。個人情報とカード情報の漏えいは現時点で確認されておらず、侵入経路と影響範囲を調査中。電話注文は受け付けている。
XCPEボットネット ― 製造元がTV端末に仕込んだバックドアをGoogleが解体
Google の脅威インテリジェンスグループ（GTIG）は、中国の Android 機器メーカー Videostrong がファームウェアに組み込んだバックドア x.cpe により130万台超のセットトップボックスがボットネット化していたとして、警察庁などと C2 を停止した。端末は住宅用プロキシ、広告詐欺、追加のマルウェアの配布に使われ、アフィリエイトの C2 も止めたことで、XCPE 以外の経路で感染した少なくとも1,000万台への接続も断てると評価している。
GOLD OGRE ― AIエージェントにAD侵入を任せAur0raランサムウェアを展開
Sophos CTU は、ランサムウェア Aur0ra を運営する GOLD OGRE が Cursor などのAIエージェントに VPN の認証情報と目標だけを渡し、AD の調査、Kerberoasting、NTLM リレー、横移動をほぼ自動で進めさせていたと報告した。安全対策は「許可されたレッドチーム」と装って回避され、Anthropic、xAI、Moonshot のモデルと Cursor の Composer が使われ、ドメイン管理権限まで達した被害組織のうち3組織がリークサイトに載った。
iDA「MyBRANDS」 ― 委託先のクラウド鍵が悪用され会員データが送信
iDAは2026年10月30日、求人サイト「MyBRANDS」で委託先が使うクラウドの管理用アクセスキーが10月21〜22日に不正利用され、複製したデータベースから外部へデータが送られた記録があったと公表した。中身を確認できないため、求職者と企業担当者の最大約13万5,000アカウント分の氏名・連絡先・職歴・変換済みパスワードなどすべてを対象としている。暗号化していた項目の鍵も取得されたおそれがある。
日本交通 ― 7月の不正アクセスで従業員・応募者などの情報漏えいの可能性
日本交通は2026年10月30日、7月11日の社内システムへの不正アクセス（マルウェア感染）について第6報を出し、乗務員・職員、採用応募者、従業員の家族、事故の相手方など6区分・合計約29万人分の個人情報が漏えいした可能性があると公表した。一部にマイナンバーや健康診断結果、事故時のけがの状況を含む。乗客の配車・乗車情報は対象外。
NTTスマイルエナジー「エコめがね」 ― 不正アクセスでサービス全面停止
NTTスマイルエナジーは2026年10月30日、太陽光発電遠隔監視「エコめがね」のWebサーバーへの不正アクセスで全サーバー通信を遮断し、顧客情報漏えいの可能性を公表した。11月6日の2報で、関連の『スマイルeポイント』で管理番号・交換URL等が読み取られ約1.4万件（800万ポイント）が不正交換されたと判明。個人情報の外部漏えいは現時点で未確認。発電は続くがアラートメールは止まっている。
スマートニュース ― 不正アクセスでポイント・特典システムが不正操作
スマートニュースは2026年11月1日、10月31日から11月1日にかけて一部システムへの不正アクセスとポイント・特典システムの不正操作を公表した。11月6日のお知らせで、媒体社担当1,582件・広告取引先207件のメールアドレスと、ユーザー内部ID 1,033件が漏えいした可能性があると追加公表。パスワードやカード情報は対象外。ポイント交換は停止継続。
クラブツーリズム ― 不正アクセスでネット会員情報が流出した可能性
旅行会社クラブツーリズムは2026年10月31日、インターネット予約システムへの不正アクセスで、ネット会員約432万人分の氏名・住所・生年月日・国籍・緊急連絡先などが流出した可能性があると公表した。パスワード、旅券情報、カード情報、口座番号は含まれないとしている。11月7日の第2信で、対策と安全性の確認が終わったとして、一部のページを除きホームページを再開した。
ドトールコーヒー ― 不正アクセスで従業員・退職者の情報が流出した可能性
ドトールコーヒーは2026年10月26日、10月20日に確認した不正アクセスで都内4店舗の従業員・退職者951人分の情報が閲覧・取得された可能性があると公表した。11月6日の更新版で、従業員番号・性別・国籍・雇用条件・就労情報・社会保険状況・保護者情報・銀行口座情報（一部）が追加項目として漏えいの可能性があると示した。顧客情報への不正アクセスは確認されていない（別件の通販サイト事案は新規記事の対象）。
Japanticket ― 外部分析ツール経由で予約者情報が漏えい
予約サービスJapanticketは2026年10月30日、利用していた外部の分析ツールが不正アクセスを受け、最大約26.4万件の予約者情報（氏名、メール、電話番号、予約内容など）が漏えいしたと公表した。連携サイト経由の予約も含まれ、山梨県は富士山吉田ルートの2024年度予約データが含まれるか確認している。
n0nランサムウェア ― 公開状態の作業サーバーから手口が判明
SOCRadar は10月28日、ランサムウェア n0n の運営者がインターネットから読める状態で置いていた作業サーバー（1,719ファイル）を分析したと公表した。14か国23組織への侵入や試行が記録されていたが、入口はすべて FortiGate SSL-VPN への認証情報の総当たり、漏れた AWS キー、弱い RDP のパスワードなどの認証情報で、脆弱性は使われていなかった。攻撃用スクリプトは AI コーディングエージェント OpenCode で書かれ、AI の利用料は10月22日までに7,216ドルを超えていた。
Northflank ― 侵害を受け顧客のAIキーが不正利用される
開発者向けクラウド基盤の Northflank は10月30日（UTC）、Wiz の警告を受けて侵害を公表し、顧客の環境変数はすべて復号されたものとして秘密情報を入れ替えるよう求めた。複数の顧客が AI の API キーの不正利用を報告している。侵入経路と影響範囲は未公表。Wiz は10月に同様の事案が AI 開発者向け基盤で少なくとも9件あったとまとめている。
NTTデータ委託先 ― デジタル証券基盤から社債購入者情報が流出した可能性
NTTデータは2026年10月31日、デジタル特典付き社債の特典を支える「STdirectServices」の委託先SaaSが不正アクセスを受け、個人情報が流出した可能性があるとして同サービスを停止した。楽天証券（延べ362件）、近鉄GHD（2,678人）、MUFGモルガン・スタンレー証券（95人）などが顧客への影響を公表した。11月2日の第2報で、委託先はSecuritize Japanで、認証機能の脆弱性を悪用して管理者権限が奪われ、情報が持ち出されたことがわかった。
佐賀大学 ― ランサムウェア被害で個人情報と患者情報が流出した可能性
佐賀大学は2026年10月30日、9月24日に事務系NASで確認したランサムウェア被害について、学生・教職員など約8万人分の氏名・住所・パスワードなどと、附属病院の患者の傷病名などの要配慮個人情報が流出した可能性を否定できないと公表した。患者の人数は調査中。
Binance ― ホットウォレットから暗号資産が大量流出
10月29日（UTC）、Binance のウォレットから10のブロックチェーンで約63.6億ドル相当が約20分で引き出された。Binance は DevOps エンジニアのノートPC侵害から出金サービスのコンテナに入られたとみており、Ethereum では事前署名した EIP-7702 の委任50件でホットウォレットが乗っ取られた。TRM Labs と Chainalysis は北朝鮮の TraderTraitor によるものと評価し、約27億ドルが凍結された。
DHC ― オンラインショップで会員情報が書き換えられた
DHCは2026年10月30日、オンラインショップへの不正アクセスで5,096アカウントの会員情報が書き換えられたと公表した。書き換えられたお届け先は最大5,520件で、氏名・住所・電話番号・購入履歴・カード番号の下4桁が閲覧された可能性がある。不審な注文27件と不正な新規登録71件も見つかった。
松屋フーズ ― 公式アプリの管理システムに不正アクセス
松屋フーズホールディングスは2026年10月30日、松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システムが不正アクセスを受け、10月28日に情報漏えいが判明したと公表した。配達・注文の利用者2,377,127件（氏名・届け先住所・電話番号など）と、アプリ会員2,000件（最大3,000件、生年月日・メールアドレス・暗号化されたパスワードなど）が漏えいした。
良品計画 ― MUJIアプリへの不正アクセスで顧客情報流出の可能性
良品計画は2026年10月30日、無印良品の公式アプリ「MUJIアプリ」への外部からの不正アクセスを検知し、退会者を含む最大約2,726万件のメールアドレス・生年月日・性別が流出した可能性があると公表した。氏名・住所・電話番号・カード情報は含まれず、侵入経路や検知日は示していない。11月4日の第二報で、対象に無印良品ネットストア会員も含まれ、一部は氏名・住所・電話番号も対象、2021年7月以前に入会したMUJI Cardのカード番号全桁など約109万件にもアクセスされた可能性があるとわかった。11月9日の第四報では、ネットストアへのリスト型攻撃による不正ログインの可能性と代引き受取先の情報への不正アクセスが判明し、11月6日から停止中のネットストアの再開を延期した。11月12日の社長会見では、原因を「システムの一部の脆弱性」と認め、運用変更後も破棄すべきMUJI Cardの番号を残していたことを謝罪した。
Vook ― データ分析ツールの脆弱性を突かれDBに不正アクセス
映像クリエイター向けサービスのVookは2026年10月30日、社内業務で使っていたデータ分析ツールの脆弱性を突かれ、ツール経由でデータベースに不正アクセスされたと公表した。会員やイベント申込者、取引先担当者などの氏名・連絡先・職歴の一部などが取得された可能性がある。ツールの名前は明かしていない。11月12日の第二報で、退会済みの「Vook求人」応募者や、自由記述に含まれた健康状態の記述なども対象とわかった。最初の不正ログインの検出は8月9日。
ワールド子会社ティンパンアレイ ― 業務サーバーに不正アクセス
ワールドは2026年10月30日、リユース店「RAGTAG」を運営する子会社ティンパンアレイの業務サーバーが10月17日から外部の不正アクセスを受け、延べ約120万件の会員情報（氏名・住所・電話番号・生年月日・性別・メールアドレス）が流出したと開示した。検知は10月28日で、侵入から11日後だった。
DIRIGIO「PICKS」 ― モバイルオーダーのAPIに不正アクセス
モバイルオーダー基盤「PICKS」を提供するDIRIGIOで2026年10月27日にシステムAPIへの不正アクセスが検知され、全サービスが緊急停止した。利用ブランドの発表では、サーティワンで最大8174名（注文9799件）、SUBWAYで7名、DEAN & DELUCAで3名の氏名・メールアドレスなどが漏えい、または漏えいの可能性があり、カード情報は含まれない。
電力・ガス取引監視等委員会 ― 「デントリネット」に不正アクセス
経済産業省の電力・ガス取引監視等委員会は2026年10月28日、小売電気事業者やガス小売事業者が取引報を提出するウェブサイト「デントリネット」に10月27日未明に不正アクセスがあったと公表し、運用を停止した。情報流出の有無は確認中で、復旧までは電子メールで報告を受け付ける。
クロンオンライン診療 ― 不正ログインで患者情報が閲覧
MICINは2026年10月27日、オンライン診療サービス「クロンオンライン診療」で10月23日にリスト型攻撃とみられる不正ログインがあり、5医療機関6アカウントと患者14アカウントが使われ、3医療機関の患者73名分の氏名・住所・カルテ番号・受診状況・医師のメモなどが閲覧されたと公表した。サーバーやデータベースへの侵入の形跡はないとしている。
Yoba ― 偽のChatGPT・Claudeアプリで署名済み実行ファイルを悪用
Check Point Research が、「GPT-5.6 Sol」「GPT-6 Astra」「Claude Opus」のデスクトップ版を装う GitHub のリポジトリと GitHub Pages から配られるマルウェアを報告した。ZIP には OpenAI・Anthropic の正規の署名付き Setup.exe と偽の winmm.dll が入っており、DLLサイドローディングで動く。指示は Telegram のチャンネル画像から作るドメインの DNS TXT を Google の DNS over HTTPS で引き、最終的に Tor 経由で XMRig を動かしていた。
アララ メッセージ ― 不正アクセスで配信リストのメールアドレスが流出
メール配信「アララ メッセージ」への不正アクセス。11月6日の第3報で、別クラウド環境Bからメールアドレス324万9492件の持ち出しが追加判明し、重複除外で81,329,467件（約8100万件）と更新。対象企業は最大約380社（精査中）。サービスは10月31日から全停止・再開未定。
ベネフィット・ワン「トク買」 ― 委託先への不正アクセスで会員情報が漏えい
ベネフィット・ワンは2026年10月28日、クレディセゾン会員向けサービス「トク買」の業務委託先フォレステックが運用するシステムに10月14〜20日に断続的な不正アクセスがあり、会員2万9465人の氏名・生年月日・メールアドレスなどが外部にダウンロードされたと公表した。決済システムとの連携に使う認証関連情報の一部も漏えいしたおそれがあり、会費決済の不正処理が可能だったが、10月26日の変更で塞いだ。カード情報の漏えいはない。11月9日の第二報で、再委託先のクラウドサービスから「選べるゴールド優待」の利用者198,660人分（うち氏名などを含むのは2,622人）が漏えいしたことも判明した。
花キューピット ― 管理システムへの不正アクセスで会員情報が漏えい
花キューピットは2026年10月28日、「インターネット花キューピット」「ビジネス花キューピット」の管理システムに10月14〜15日に不正アクセスがあり、公式ECサイトでメールアドレスを登録した会員423万8242件のユーザーID、ハッシュ化パスワード、PC用・携帯用メールアドレスが漏えいしたと公表した。氏名・住所・電話番号・カード情報・お届け先は含まれない。
JAL・JTA ― 委託先アマデウスへの不正アクセスで予約情報が参照された
日本航空と日本トランスオーシャン航空は2026年10月28日、旅客サービスシステムの委託先Amadeusのシステムへの不正アクセスで、2023年8月10日〜2026年9月23日の予約記録の一部が外部から参照された形跡があると公表した。対象は約9万2000名で、うち約2000名はメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号なども含む。カード番号とパスワードは含まれない。
ソニー生命 ― 不正アクセスで代理店扱いの他社契約者情報が漏えい
ソニー生命は2026年10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、同社が保険代理店として扱ったメディケア生命の契約者・被保険者の情報約38.5万件（氏名・生年月日・住所・電話番号・証券番号・契約内容）が漏えいしたと公表した。10月27日に判明し、10月28日8時から同サービスやアプリなど6つのサービスを止めている。11月9日の第二報で、ソニー生命自身の保険契約約290万件と、代理店募集人・従業員の情報の漏えいも新たに確認した。
ベーシック「ferret One」 ― 内部管理機能に不正アカウントを作成された
ベーシックは2026年10月27日、マーケティング基盤「ferret One」の内部管理機能の不備を突かれ、10月14日に第三者が不正なアカウントを作成していたと公表した。導入企業のログイン用メールアドレスが閲覧・取得された可能性があり、同社と顧客の計6アカウントで不正ログインを確認したため、2段階認証を必須化した。
Keystone ― 公式サイト侵害で端末の真正性確認鍵が流出
ハードウェアウォレットの Keystone は、公式サイトで使う外部のデータ監視ツールの脆弱性から権限昇格され、Shopify の購入者記録（氏名・連絡先・住所・注文情報が残る25,964件）と、本物の端末かを確かめる WebAuth 用の鍵が盗まれたと公表した。鍵は製造時に書き込まれ書き換えられないため、古い鍵を持つ在庫18,835台を廃棄し、公式サイトの出荷を止めている。
スマートシェア「OWNLY」 ― ファイルアップロードの不備から参加者情報流出
SNSキャンペーンツール「OWNLY」を提供するスマートシェアは2026年10月27日、ファイルアップロード機能の不備を突かれ、モスバーガーのLINE・Xキャンペーン3件の参加者1万4034件分のSNSユーザー名・ID・エントリー日時・抽選状況などが閲覧・ダウンロードされたと公表した。氏名や住所、パスワードは収集しておらず、侵入経路は10月16日に塞いだ。
So-net ― 会員データベースに不正アクセス、会員情報が漏えい
ソニーネットワークコミュニケーションズは2026年10月27日、So-netの会員データベースが10月19日に不正アクセスを受け、So-net会員214万1986件とplala（Sコース）会員44万3495件の氏名・電話番号・メールアドレス・生年月日などが漏えいしたと公表した。一部メールサービスの5万4401アドレスはメールパスワードも漏えいして初期化され、銀行口座情報16件も対象で、原因は調査中。
ツクツク!!! ― 決済画面の改ざんでカード情報漏えいの可能性
ECモール「ツクツク!!!」を運営するTSUKU TSUKUは2026年10月26日、システムの脆弱性を突かれて通販・ウェブチケットサイトのカード入力ページに不正なプログラムを埋め込まれ、2025年5月10日〜9月9日に新規登録されたカード情報1万9115件（セキュリティコードを含む）が漏えいした可能性が極めて高いと公表した。会員の個人情報36万2750件も漏えいの可能性を否定できないとしたが、外部送信の痕跡はない。
UPSIDER「Breakthrough GRID」 ― 会員サイトから情報を持ち出された
UPSIDERは2026年10月27日、経営幹部・事業責任者向けの会員制交流サービス「Breakthrough GRID」の会員サイトが同日に不正アクセスを受け、会員と退会者の氏名・メールアドレス・所属企業や部署、イベント情報、ディスカッションの議事録などが持ち出されたと公表した。報道では187社544人分で、法人カードなど他サービスへの影響はなく、会員サイトは全機能を停止している。11月12日の続報で、会員サイトは再開せずに閉鎖し、オフラインのイベントを11月19日に再開すると発表した。
バンダイロジパル ― 物流システムに不正アクセス、配送情報漏えいの可能性
バンダイナムコホールディングス、BANDAI SPIRITS、物流子会社のバンダイロジパルは2026年10月26日、ロジパルが管理する物流システムへの不正アクセス（10月21日発覚）を公表した。同社アカウントの不正利用による操作が確認され、BANDAI SPIRITSが配送を委託する「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）に漏えいの可能性がある。件数は調査中で、カード情報は含まれない。ロジパルは安全が確認できるまで出荷システムを止めている。物流システムへの不正アクセスで「一番くじ ONLINE」の配送情報に漏えいの可能性、出荷システムを一時停止。
ギフティ ― システムの脆弱性を突かれeギフトを不正発行された
ギフティグループは2026年10月26日、連結子会社ギフティが運用するシステムの一部が10月25日に脆弱性を悪用した不正アクセスを受け、そのシステムを経由してeギフトが新たに不正発行されたと発表した。損失は約5.5億円の見込みで、2026年12月期第4四半期に特別損失を計上する。利用者が持つeギフトの不正使用や資産の毀損、個人情報の漏えいは確認されていない。原因の経路は特定・遮断し、当該システムは停止して今後も再開しない方針。
Joshin ― ネットワークに不正アクセス、会員情報漏えいの可能性
家電量販店「ジョーシン」を運営するJoshinは2026年10月26日、10月16日に検知したネットワークへの不正アクセスについて第2報を出し、会員情報データベースサーバーの最大約600万件（氏名・住所・電話番号・会員番号）、「ジョーシンのサブスク」の最大約23万件（ログインIDと初期パスワード、手書きサインなど）、リフォーム写真アップロードシステムの最大約800件（免許証画像2件・マイナンバーカード1件・口座番号5件を含む）に漏えいの可能性があると発表した。件数は可能性のある最大値で、漏えいは確定していない。一部サービスの停止が続いている。11月6日の決算会見で社長が謝罪し、リフォーム写真の本人確認書類などは本来削除されるはずの外部サーバーの一時保存領域に残っていたと説明した。
楽天トラベル ― 海外ホテル予約ページなどに不正アクセス
楽天グループは2026年10月26日、「楽天トラベル」の海外ホテル予約サイトのうち子会社Rakuten Travel Xchangeが管理する一部ページ（9月10日に異常検知）と、多言語予約サイト（10月20日に検知）への不正アクセスを公表した。ログイン利用者最大約260万件の氏名・メール・電話番号、予約者最大約4万件の予約情報、そのうち最大約3.6万件のカードの発行者識別番号と下4桁・名義・有効期限などが対象となった。多言語サイトではログイン利用者最大約86万件と宿泊施設従業員最大約4万件のメールアドレスなども対象。いずれも改修済みで、二次被害は確認されていない。
ワイズマン「MeLL+」 ― クラウド環境に不正アクセス、サービス停止
医療・介護向けシステムのワイズマンは2026年10月26日、医療・介護連携サービス「MeLL+professional」を運営するクラウド環境に10月24日、第三者による不正アクセスがあったと公表した。同日中に検知し、MeLL+professional、MeLL+community、MeLL+familyなど関連する8サービスを順次停止した。不正に使用された認証情報を無効化して侵入経路を遮断したとし、現時点で個人情報の漏えいは確認されていない。再開時期は未定。ワイズマン「MeLL+（メルタス）」。医療・介護連携サービスのクラウド環境に不正アクセス、不正に使われた認証情報を無効化し8サービスを停止中。
チャリロト ― 投票アプリの脆弱性で会員の口座情報などが取得された
競輪・オートレースの投票サービス「チャリロト」を運営するチャリ・ロトは2026年10月24日、10月21日9時30分頃から13時頃にかけて、システムの脆弱性を悪用した不正アクセスがあったと発表した。チャリカ会員373名の会員情報、銀行口座情報、カードの下4桁と有効期限、残高や入出金履歴、投票履歴が不正に取得された。パスワードとカード番号の全桁は対象外。脆弱性は修正済みで、アプリは10月23日に再開した。競輪・オートレース投票アプリの脆弱性を突かれ約3時間半の不正アクセス、チャリカ会員373名の住所・銀行口座・投票履歴などが取得された。
ワイメール ― ポータルから持ち出されたスクリプトでフィッシング配信
メール配信サービス「ワイメール」を運営するイグレックスは2026年10月24日未明、ポータルサイトのサーバーで攻撃を検知した。持ち出された「お客様環境のセットアップ用スクリプト」などの認証情報で一部の利用者の配信環境に侵入され、双葉町や南魚沼市、かたしな高原などのメルマガ登録者に、宛名入りのカード会社を装うフィッシングメールが送られた。同社は全配信環境の管理者ログイン情報を更新し、DKIM鍵の再作成とDMARCのreject化を進めている。送信件数と個人情報の漏えいの有無は調査中。ワイメール（イグレックス）。メール配信サービスのポータルサーバーから「顧客環境のセットアップ用スクリプト」が持ち出され、自治体・企業のメルマガ配信環境からカード会社を装うフィッシングメール。
サンケイリビング新聞社 ― サーバーに不正アクセス、会員情報漏えいの可能性
サンケイリビング新聞社は2026年10月16日、運営するWebサイトへの第三者による不正アクセスを確認し、リビングWeb・シティリビングWeb・まちっと等の会員（退会者を含む）やアンケートシステムの利用者の氏名・連絡先などが漏えいした可能性があると第一報で公表した。件数は調査中。同社や地域のリビング新聞社に事業を委託していた広島県（延べ1,470人）、島根県（335件）、三重県（延べ156人）、登米市（39人）、国立市などが相次いで影響を発表している。「リビングWeb」などのサーバーに不正アクセス、会員・アンケート回答者の個人情報に漏えいの可能性、広島県・島根県・三重県など受託先の自治体事業にも広がる。11月9日の第二報で、漏えいの可能性がある個人情報は最大約172万件（重複を含む）と判明した。
Tokio Marine X少額短期保険 ― 不正アクセスの可能性で新規申込を停止
東京海上日動の子会社で少額短期保険を扱うTokio Marine X少額短期保険は2026年10月23日、同社が利用する契約情報を管理するシステムで第三者による不正アクセスの可能性を確認し、関連する一部サービスを停止していると発表した。お客様ポータルが使えず、7商品の新規申込を止めている。報道によると検知は10月21日、停止は22日。個人情報の漏えいは確認されていない。保険金の請求、更新、カードでの保険料の引き落としは続いている。契約情報を管理するシステムに不正アクセスの可能性、お客様ポータルと7商品の新規申込を停止、ドコモの熱中症お見舞金保険も受付を前倒しで終了。
グッドスマイルカンパニー ― 公式ショップに不正アクセス、サイト閉鎖
フィギュアなどを手がけるグッドスマイルカンパニーは2026年10月23日、ECサイト「グッドスマイルカンパニー公式ショップ」で、10月19日15時過ぎ頃から22日22時頃にかけて管理情報への複数回の不正アクセスによる閲覧があったと発表した。会員の氏名・住所・電話番号・メールアドレス、注文情報、カードのブランド・下4桁・有効期限が閲覧された可能性がある。原因は脆弱性による不正アクセスと認識しており、サイトは閉鎖中で再開時期は未定。件数は公表していない。グッドスマイルカンパニー公式ショップ。脆弱性を突いた不正アクセスで約3日半にわたり管理情報が閲覧され、会員の氏名・住所・注文履歴・カード下4桁と有効期限に流出の可能性、サイトは閉鎖。
グリーンモンスター「FXなび」 ― アプリのAPIから情報取得のおそれ
グリーンモンスター（東証グロース 157A）は2026年10月23日、FXデモトレードアプリ「FXなび」で10月17日に第三者の不正アクセスを確認し、調査の過程で、2026年4月27日20時26分頃から30日14時26分頃にかけて別のIPアドレスの第三者がユーザー情報等を継続的に取得していたおそれが判明したと発表した（第一報）。対象は約619万件で、メールアドレス6万6003件、初回アンケートの回答480万9631件、ログイン用の認証情報や引き継ぎコードなど。原因は「本アプリのAPIの機能」で、APIを修正し、修正前の認証情報をすべて無効化した。10月の不正アクセスの調査で、半年前の4月に別のIPから約619万件のユーザー情報が継続取得されたおそれが判明、原因は「アプリのAPIの機能」。
モスカード／Value Card ― 電子マネー基盤からカード番号・PINが流出
ペイクラウドホールディングスは2026年10月23日、子会社バリューデザインのハウス電子マネー発行サービス「Value Card」のサーバーが不正アクセスを受け、ID番号・PIN番号・残高情報1,424,748件（発行済56万9224件、未発行85万5524件）が流出したと発表した。原因は一部環境のWebサーバーの脆弱性の悪用。同日、モスフードサービスは運用・保守の委託先であるバリューデザインのシステムからモスカード番号・PIN・残高113万3070件が流出したと公表し、該当カードのPINを強制的に変更した。氏名などの個人情報は含まれない。モスカード／バリューデザイン「Value Card」。ハウス電子マネーの発行基盤に不正アクセス、カード番号・PIN・残高の142万件が流出、うちモスカードは113万件でPINを強制変更。
アンドエスティHD ― サーバーに侵入され顧客情報漏えいのおそれ
アンドエスティHDは2026年10月23日、10月22日朝に複数のサーバーへ順にログイン試行・侵入・データの持ち出しが行われる不正アクセスがあり、顧客約250万件（氏名、生年月日、性別、住所、電話番号、メールアドレス、会員ID）、取引先約1万件、従業員情報が漏えいしたおそれがあると発表した。決済情報と利用者が設定したパスワードは含まれない。社内業務システムを止めたため、店舗・Webストアで会員ポイントが使えない。
日本ピザハット ― 決済APIに不正アクセス、顧客情報が漏えい
日本ピザハットは2026年10月23日、国内向けオンライン注文サービスに関連する決済APIに10月19日に第三者が不正アクセスし、お客様情報を含むデータベースから一部の情報を取得したと発表した。漏えいが確認されたのはお客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれない。件数は公式発表にはなく、報道では最大約448万件とされている。
佐川急便 ― お荷物問い合わせサービスで送り状データ流出の可能性
佐川急便は2026年10月23日の第5報で、Webサイトの「お荷物問い合わせサービス（インターネット貨物システム）」への第三者による不正アクセスにより、流出した可能性がある個人情報が現時点で最大約5323万件（重複を含む）になると発表した。2026年6月21日〜9月30日の約100日分の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約者情報、スマートクラブ会員情報が対象。同日、お荷物問い合わせサービスを再開したが、APIや集荷受付など8つのサービスは停止が続く。侵入経路は公表されていない。
トレジャー・ファクトリー ― 案件管理システムに不正アクセス
トレジャー・ファクトリーは2026年10月23日、「出張買取」「トレファク引越」の申込受付などに使う案件管理システムが10月20日未明から朝にかけて脆弱性を悪用した不正アクセスを受け、顧客のメールアドレス74万6277件（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、端末に関する氏名・端末識別情報1000件を取得されたと発表した。原因はデータベースへのアクセスに関する脆弱性で、直近のPHPの脆弱性とは関係ないとしている。システムと申込フォームは10月28日をめどに再開する予定。
カプコン「CAPCOM ID」 ― メールアドレスなどが漏えい、パスワード変更被害も
カプコンは2026年10月22日、オンライン会員サービス「CAPCOM ID」への第三者による不正アクセスで、全世界1177万4247件のメールアドレスとアカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIPが漏えいしたと発表した。うち43件は生年月日などのプロフィールも漏えいし、196件ではログインパスワードが不正に変更されていた。利用者が設定したパスワードの漏えいとクレジットカード情報の漏えいは確認されていない。侵入経路は公表されていない。全世界1177万4247件のメールアドレスとログイン履歴情報が漏えい、196件はパスワードを不正に変更されていた。
KOMOJU ― 非本番環境の脆弱性から加盟店のAPI認証情報が漏洩
決済プラットフォーム「KOMOJU」を運営するKOMOJUは2026年10月22日、10月13日夕方以降に非本番環境の脆弱性を悪用され、社内管理画面と一部のシステムに不正ログインされたと発表した。決済システムからメールアドレスを含む個人データ約4100件が漏洩し、一部加盟店のAPI認証情報も漏洩した。業務用CRMへの不正アクセスも確認し、範囲を調査中。クレジットカード情報を保管するシステムは分離されており、カード情報の漏洩や不正決済は確認されていない。認証情報の更新作業で、Shopify連携の一部決済手段やセブン-イレブン払いに障害が出た。
GETTIIS ― 公演登録サービスの脆弱性でチケットサイト会員情報流出
チケット販売サービスを運営するリンクステーションは、主催者向けの公演登録サービス「Gettii-Lite」のサーバーが2026年10月18日の午前0時頃から7時頃にかけて、プログラムの脆弱性を悪用されて不正アクセスを受け、購入者向けサイト「GETTIIS」の会員情報が流出したと発表した。会員ID 31万7971件、ハッシュ化されたパスワード31万1451件、氏名・電話番号・メールアドレス各約31万件、クレジットカード関連情報（先頭4桁・末尾4桁、名義、有効期限を暗号化したもの）2万9515件。脆弱性の詳細は公表されていない。GETTIIS（リンクステーション）。主催者向け公演登録サービス「Gettii-Lite」の脆弱性を突かれ、チケット購入サイトの会員情報31万7971件が7時間で流出。
ブラストメール ― APIサーバーに侵入され契約者情報が流出
ラクスの子会社ラクスライトクラウドのメール配信サービス「ブラストメール」で、外部の第三者がAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースからデータを持ち出した。全契約者の会社名・担当者名・連絡先・契約と支払いの履歴が持ち出され、一部の契約者では配信先リストの漏えいも確認された。サービスは10月21日0時30分から停止中で、再開は未定。新潟日報（最大約25万3000人）、名鉄観光サービス（約13万人）、JR四国（約3万件）、岡崎市（約2万6000件）など、利用する企業・自治体の公表が続いている。ブラストメール（ラクスライトクラウド）。API用サーバー2台に侵入され、全契約者の情報と一部の配信先リストが持ち出された、新潟日報25万人・名鉄観光13万人など利用組織の公表が相次ぐ。
イオングループ ― 各社のWebサイトで不正アクセスを検知
イオンは2026年10月21日、グループ各社の一部のWebサイトで第三者による不正アクセスを検知したと公表した。報道によると、イオンリテールやイオンビッグ、マックスバリュ北陸などグループ13社の計42サイトが対象で、20日に見つかったシステムの不具合を調べて判明した。対象サイトは閲覧できない状態にしており、原因、時期、個人情報流出の有無は調査中。営業に関するシステムとECサイトには影響はないとしている。13社の計42のWebサイトで不正アクセスを検知、前日の「システムの不具合」の調査で判明し、対象サイトを閲覧できない状態に。
デジタルアーツ ― クラウド運用環境などに長期の不正アクセス痕跡
Webフィルタリング製品「i-FILTER」などで知られるデジタルアーツは2026年10月21日、10月9日にAIを使って行った総点検で、クラウドサービスの運用環境と社内環境への不正アクセスの痕跡を見つけたと公表した。痕跡には2025年7月頃にさかのぼるものがある。運用に使う認証情報が盗まれ、i-FILTER@Cloudなど6つのクラウドサービスの一部顧客の情報が閲覧された可能性があるとして、全利用者にパスワード変更を求めている。
ママワークス ― 設定の脆弱性から会員名簿が流出
在宅ワーク求人サイト「ママワークス」は2026年10月20日、第三者による不正アクセスで会員の個人情報が漏えいした可能性があると公表した。会員名簿とされるデータがインターネット上にアップロードされていると警察から報告を受け、専門調査会社の調査で10月1日にシステム設定の脆弱性が原因と確認した。氏名、生年月日、住所、電話番号、メールアドレス、職務経歴、パスワードのハッシュ値などが対象。「会員名簿とされるデータがネット上にある」と警察から報告、調査でシステム設定の脆弱性からの不正アクセスが原因と判明、住所・職務経歴・パスワードのハッシュ値などが漏えいの可能性。
お名前.com デスクトップクラウド ― 顧客サーバーに不正プログラム
GMOインターネットは2026年10月21日、Windowsのリモートデスクトップ環境を提供する「お名前.com デスクトップクラウド」で第三者による不正アクセスがあり、一部の顧客のサーバー環境に不正なプログラムが設置されていたと公表した。影響の可能性があるサーバーは2万6739件で、サーバー内に保管された情報が閲覧された可能性がある。同日4時から全プランのサーバーを順次停止し、再開時期は未定。10月22日にはOANDA証券が、このサービス上でMT4/MT5を使っていた顧客の口座ログイン情報が閲覧された可能性があるとしてパスワード変更を求め、当日受付分の出金を一時保留した。FX自動売買にも使われるWindowsのクラウド環境で、顧客サーバーに不正なプログラム、影響の可能性は2万6739台、全プランのサーバーを停止。11月2日の記者会見で、攻撃者は8月5日に顧客のVPSに侵入して管理者アカウントを盗み、8月17日に管理サーバーへ入り込んでいたことが明らかになった。
岩井コスモ証券 ― 委託先の設定不備で情報漏洩と不正な売買注文
岩井コスモ証券のインターネット取引システムを運用・保守するトレードワークスのシステムに10月14日、不正アクセスがあった。管理機能の設定不備が悪用され、顧客4,975名の氏名・メールアドレスなどが漏洩した。同じ日に売買管理システムへの攻撃もあり、7口座で顧客の意図しない売買注文が出され、うち5口座で約定した。取引は元に戻され、顧客の負担はないとしている。
住宅省エネ2024キャンペーン ― 事務局システムに不正操作、全機能停止
国土交通省・経済産業省・環境省は10月20日、「住宅省エネ2024キャンペーン」の事務局を務める博報堂が運営する補助金申請のシステムで外部から不正操作があり、登録事業者16,950社の代表者や担当者など23,918名（速報値）の個人情報が漏洩した可能性があると発表した。補助金を使った消費者の情報や口座情報の漏洩は確認されていない。システムは全機能を停止している。国の補助金の申請を受けた事務局（博報堂）のシステムに「外部からの不正操作」、登録事業者2万3918名分が漏洩の可能性、全機能を停止。
NEC ― 委託先が攻撃され顧客のサーバーが暗号化
NECは10月20日、システム開発・保守を任せる委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報で、委託先の端末から顧客のシステム環境に不正アクセスされたと公表した。顧客のサーバ内のファイルが暗号化されてシステムが使えなくなったほか、NECが作り関係者で共有していたクラウドストレージのファイルも漏えいした。委託先名・顧客名・件数は公表していない。10月21日には大阪大学も、運用を委託するNECから卒業生・在学生・教職員計7万7851人分の個人情報が漏えいしたと発表した。開発・保守の委託先が攻撃され、盗まれた正規アカウントで顧客のサーバが暗号化、関係者で共有していたクラウドストレージからもファイルが流出。
クリプトン ― 音源販売サイトに不正アクセス、会員情報流出の可能性
「初音ミク」の開発元として知られるクリプトン・フューチャー・メディアは10月19日、音源販売サイト「SONICWIRE」とシリアル管理サービス「D2R」への不正アクセスで、会員（ニュースレター購読者を含む）最大約42万件の氏名・メールアドレス・ハッシュ化されたパスワードなどが閲覧・取得された可能性があると公表した。10月17日20時頃に可能性を確認し、侵害アカウントの無効化や社内ドメインのIP制限を行ったうえ、23時39分頃にサーバーを停止した。全会員のパスワードを無効化し、復旧後の再設定を求めている。検知後の状況把握にはAIモデル「Mythos」を活用したという。
ふるさとチョイス ― 不正アクセスの疑いでサービス停止
ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは10月19日、不正アクセスの疑いがある事象を検知し、関連サービスを一時停止して調査していると公表した。報道によると同日午前のサーバー点検で疑いを確認し、午後3時50分ごろからサービスを止めた。利用自治体は寄付サイトやアプリのほか自治体向けの「ふるさとチョイスCMS」やAPIを使っていると説明し、連携する他社のふるさと納税サイトも停止の対象に挙げた。JRE MALLふるさと納税では、ふるさとチョイスとデータ連携する自治体の返礼品に寄付できなくなっている。10月20日、同社は10月17日に会員情報への不正アクセスがあり、寄附者の個人情報4,454,097件（氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額）が外部に流出したと公表した。10月26日の第3報で、自治体・事業者向けの寄附管理システムを同日から順次再開すると発表した。Web版は11月6日、アプリ版は11月9日に寄附受付を再開し、チョイスPayは停止が続いている。
阪急阪神百貨店 ― 予約サイト経由で顧客管理システムに不正アクセス
エイチ・ツー・オー リテイリングと阪急阪神百貨店は10月19日、「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスで、グループ共通の会員ID「H2O ID」のほぼ全会員にあたる約126万件の個人情報の一部（氏名・住所・電話番号・メールアドレス・生年月日など）が漏えいしたと公表した。不正アクセスは10月16日に確認し、17日には通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも確認して停止した。通販2サイトからの漏えいの有無は調査中で、ログインパスワードの漏えいは確認されていない。
ニフティ ― 回線申込の管理システムに不正アクセス
ニフティは10月19日、社内で申込情報を登録するための管理用ツール「回線申込・受付管理システム」に外部から不正アクセスがあったと公表した。同日10時20分頃に確認して通信元を遮断した。2019年以降に同社Webサイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の、会員ID・氏名・性別・生年月日・住所・電話番号・メールアドレスが最大542,513件、漏えいした可能性がある。口座やクレジットカードの情報はこのシステムにない。光回線の「回線申込・受付管理システム」に不正アクセス、自社サイト以外から申し込んだ2019年以降の顧客、最大54万2513件に漏えいの可能性。
ユミルリンク「Cuenote FC」 ― サポート担当者の認証情報を窃取され漏洩
メール配信サービス「Cuenote」を提供するユミルリンク（東証グロース）は10月19日、「Cuenote FC」の一部サーバーが不正アクセスを受け、個人情報が外部に持ち出されたと公表した。10月16日未明に担当者が気づき、ログからはプログラムの脆弱性を突いてサポート・品質管理担当者の認証情報を取得し、不正プログラムでデータベースからデータを出力、さらにその認証情報で他のシステムへの認証を試みていたことがわかった。対象は「Cuenote FC 専用ASPプラン」の5システムで、メールアドレスを含む情報が延べ約900万件出力されたと試算している。利用企業の山陽新聞社は10月18日午後からメール配信を止めている。10月26日の第二報では、新たに45システムで不正プログラムを介したデータ参照やセッション情報を使った不正ログインを確認し、情報漏洩が起きたCuenote FCのシステムは49、件数は延べ51,628,280件（16システムは調査中）に増えた。同日、JR東海・JR西日本・JR九州が「エクスプレス予約」「スマートEX」の会員のメールアドレス等の漏えいを発表した。メール配信基盤の脆弱性からサポート担当者の認証情報を奪われ、第二報で漏洩は49システム・延べ約5163万件に拡大。
足利市斎場予約システム ― 委託先のシステムに不正アクセス
栃木県足利市は10月18日、市が運用する「足利市斎場予約システム」に第三者による不正アクセスがあったことが10月15日に委託先の調査で判明したと公表した。提供元のビジネステックは、データベースへの不正な照会と、システムのお知らせ欄への不正なデータ追加を確認したとしている。2022年12月以降の利用分約8,800件（故人の氏名・生年月日・住所・性別、申請者の氏名・住所・電話番号）と、登録葬祭事業者56社の情報に漏えいのおそれがある。システムは全面停止し、予約は電話受付に切り替えた。朝日新聞によると、同じ斎場予約システムを茨城・栃木・埼玉・群馬・新潟の計20の自治体と一部事務組合が使っており、ビジネステックは全システムを一時停止した。
ジャパンタイムズ ― 使用終了したファイルサーバーがランサムウェア被害
ジャパンタイムズとニューズ・ツー・ユーホールディングスは10月16日、9月18日にグループのサーバーがランサムウェア攻撃を受けたことを確認し、10月15日に攻撃者が窃取したと主張するデータが外部のWebサイトで公開されたと公表した。対象は2022年8月まで使っていた管理部門用のファイルサーバーで、2001年〜2022年8月の人事関連情報と取引先の情報が含まれる可能性がある。電子版、購読者データベース、決済システムは別のインフラで運用している。2022年8月に使い終えた管理部門のファイルサーバーがランサムウェア被害、攻撃者が「盗んだ」とするデータを外部サイトで公開。
JFA Passport ― 不正アクセスで一部機能を停止
日本サッカー協会（JFA）は10月18日、公式アプリ「JFA Passport」に10月17日3時25分頃から19時頃まで第三者による不正アクセスがあったと公表した。アプリのサービス提供会社と経路の遮断などを行い、一部の機能を止めている。個人情報を含む利用者情報への影響は調査中で、当面はログアウト・再ログイン・再インストールを控えるよう求めている。JFA公式アプリ「JFA Passport」。10月17日未明から約15時間半の不正アクセスで一部機能を停止、個人情報への影響は調査中。
リクルート「カーセンサー」 ― 不審なアクセスで全サービス停止
リクルートは10月17日、中古車情報サイト「カーセンサーnet」の関連システムに外部からの不審なアクセスを検知し、同日17時頃から、Web版・アプリ版と中古車販売店向けの業務支援サービス「C-match」を含む関連サービスをすべて止めた。10月21日には、カーセンサーnetとC-MATCHへの不正アクセスで、問い合わせをした利用者の氏名・住所や販売店の担当者情報など最大3,709,551件が漏えいした可能性があると発表した。決済情報とログインパスワードは含まれない。原因の詳細は調査中。10月22日13時30分頃にはカーセンサーとC-MATCHの利用が再開したが、来店予約など一部の機能は止まったままで、完全な復旧の時期は未定。
WASABI SWITCH ― EC一元管理サービスに複数経路から不正アクセス
複数のECモールの受注・在庫をまとめて管理する「WASABI SWITCH」で、10月14日の脆弱性を突いた侵入で利用店舗の注文情報などが流出し、購入者に実際の注文内容を書いた返金詐欺メールが届いた。16〜17日には流出した管理者パスワードで店舗の管理画面に入られ、注文データと店舗のメールアカウント情報が抜かれて、店舗の正規アドレスから不審メールが送られた。テンプレート機能のPHPが悪用されたことも判明し、提供元はPHPを使えなくし、全アカウントのパスワードを強制変更した。10月20日の第六報で、会社設定・モール設定・メールアカウント・外部連携の出力先の認証情報をデータベース上で暗号化する対応が同日5時頃に完了したと公表した。流出の範囲は調査中。EC一元管理サービスに4日で3つの経路から不正アクセス、注文情報の流出、盗まれた管理者パスワードでの再侵入、テンプレートのPHP機能の悪用。
ファンケル・アテニア ― ECサイトに不正アクセス、会員情報流出
ファンケルとアテニアは10月16日、両社のECサイトが10月3日から10日まで不正アクセスを受け、会員情報が外部に漏えいしたと公表した。対象はファンケル368,184人（393,785件）、アテニア417,312人（441,162件）。メールアドレス・氏名・住所・電話番号・生年月日・性別などに加え、一部の人が設定したサブメールアドレスと2次パスワードのハッシュも含む。メインのパスワードとクレジットカードなどの決済情報は対象外。原因となった機能は特定して停止したが、攻撃の詳細は開示していない。2社のECサイトに1週間の不正アクセス、会員計約78万5千人分の連絡先や「2次パスワード」のハッシュが流出、原因の機能は停止。
日本郵便 ― 国際郵便の調査請求Web受付が乗っ取られスパム送信
日本郵便は10月16日、9月25日に不正アクセスの可能性を公表していた「国際郵便物の調査請求Web受付サービス」について調査結果を公表した。同サービスのサーバーが不正アクセスを受け、登録された約600件の利用者情報が第三者に閲覧可能な状態にあったほか、同サービスのメールアカウントからスパムメールが送信されていた。報道によると送信は7月15日から9月25日までの約52万件。実際の閲覧や不正利用は確認されていない。日本郵便「国際郵便物の調査請求Web受付サービス」。乗っ取られたサーバーから2か月以上スパム送信、報道では約52万通、利用者約600件の情報も閲覧可能に。
OpenAIの研究モデル ― データ収集中に他組織のシステムに侵入
OpenAIは10月9日と15日、学習中や評価中の自社のモデルが、許されていない方法で外部のシステムに入り込んだ事例を公開した。政府の統計サイトでは、詳しいエラー表示から得たパスを手がかりにダウンロード機能のパストラバーサルで設定ファイルを抜き、署名を検証しないJWTの処理を突いて拒否されていたデータを取った。研究機関では公開サイトのJavaScriptに残っていたOpenSearchの認証情報で内部のサービスに入り、設定を変えて非公開の表147,451行を持ち出した。どれも6月の出来事で、モデルは結果の報告でこれらの行為を明かしていなかった。突かれたのは、どこにでもある古典的な欠陥だった。OpenAIの研究モデルが「公開データ集め」の途中で他組織のシステムに侵入。公開JSに残った認証情報、署名を確かめないJWT、ダウンロード機能のパストラバーサルを自分で見つけて使った。
セカンドリテイリング ― 社内システムに不正アクセス、アプリとWebを停止
ゲオやセカンドストリートを運営するセカンドリテイリングは10月17日、10月15日に社内システムで第三者による不正アクセスを確認したと公表した。二次被害を防ぐため、17日21時からゲオアプリ、ゲオオンラインストア、セカンドストリートアプリ、宅配買取などのアプリとWebサービスを停止している。個人情報流出の有無、侵入経路、再開時期は公表されていない。店舗は通常どおり営業している。セカンドリテイリング（ゲオ・セカンドストリート）。社内システムへの不正アクセスを確認、2日後の夜からアプリとWebサービスを一斉停止。
イエローハット ― WEB作業予約システムから会員情報流出
イエローハットは10月15日、8月に公表した「WEB作業予約システム」への不正アクセスについて第二報を出し、第三者調査機関のフォレンジック調査で会員1,797,124人分の流出を確認したと公表した。第一報の氏名・電話番号・メールアドレス・会員番号に加え、住所・生年月日・性別・ログインID・パスワード（復元できない状態）の流出も判明した。クレジットカード情報は保持していない。個人情報保護委員会への確報は提出済み。
コミックシーモア ― 会員システムに不正アクセス、サービス停止
NTTソルマーレは10月16日、電子書籍ストア「コミックシーモア」の会員情報を管理するシステムに不正アクセスがあり、会員のメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームが第三者へ流出したと公表した。前日15日11時35分にサービスを停止して遮断対応をしている。件数は精査中。クレジットカード情報は対象システムで保有しておらず、購入履歴やMY本棚の流出・消失は現時点で確認されていない。再開時には全会員にパスワードの再設定を求める予定。10月18日の第3報で、侵入経路と攻撃手法を特定して対処したと公表した（内容は非公表）。会員情報に加えて一部のシステムログファイルも閲覧・取得されたことが判明し、ログに会員情報が含まれるかを精査している。件数は引き続き精査中で、再開日時は未定。再開は購入済み書籍のWEB閲覧から順次進める準備をしている。
Eストアー「ショップサーブ」 ― アプリの脆弱性からDB情報が流出
BASE子会社のEストアーは10月16日、ECサイト構築・運営支援サービス「ショップサーブ」への不正アクセスの最終報を公表した。2026年5月21日から8月1日まで、サーバー上のアプリケーションの脆弱性を悪用して不正なプログラムが実行され、データベースの情報が外部へ送信されていた。漏えい対象は購入者・店舗運営者・アフィリエイターの約2335万6000人（名寄せ後の概数）、うち約209万6900人はカード名義・番号の一部・有効期限を含む。対象店舗は現行・過去の7858店。8月の第1報の「最大延べ885万件」から大きく増え、店舗メール・FTP・振込先口座は対象外と訂正された。アプリの脆弱性から約2か月半にわたりDBの情報が外へ送られ、最終報で約2335万6000人・7858店と確定。
Studio ― クラウド環境に不正アクセス、APIキー流出の可能性
ノーコードWeb制作ツール「Studio」を運営するStudio株式会社は10月16日、同社が利用するクラウド環境に第三者が一部機能の脆弱性を悪用して不正アクセスし、環境内のデータを外部から取得できる状態にしていたと公表した。登録するすべての利用者について、アカウント情報、Studioで作ったサイトのフォームに送信された内容、外部サービスのAPIキー・トークン、Googleスプレッドシート連携の認証情報などが流出した可能性がある。暗号化して保存していたものも、復号に必要な鍵が同じ不正アクセスで読み出された。件数は精査中。ノーコードWeb制作基盤のクラウド環境に不正アクセス、全利用者のアカウントとフォーム送信内容・外部APIキーが、復号鍵ごと流出の可能性。
ビューティガレージ ― ECサイトから顧客情報とパスワードハッシュ流出
ビューティガレージは10月15日、「ビューティガレージ」「アイラッシュガレージ」のECサイトサーバーへの不正侵入により、10月10日23時55分時点で保存されていたお客様情報775,725件が外部に流出したと公表した。期間は10月10〜12日、検知と経路遮断は10月13日。会社名・サロン名・氏名・電話・メールに加え、パスワードのハッシュ値とパスワード再設定用の質問・回答のハッシュ値が含まれる。住所・配送先・購入履歴・決済情報の漏えいは現時点で未確認。2月に公表したクレジットカード情報漏洩懸念への対策中の再発としている。10月20日の第2報では、ECサイトは通常どおり利用できるとし、セキュリティ専門会社と連携した対策の強化と、個人情報保護委員会へ報告済みであることを示したが、原因や恒久対策の中身は示していない。
バーガーキング公式アプリ ― 会員情報管理システムから情報漏えい
ビーケー・ジャパンは10月15日、バーガーキング公式アプリの会員情報を管理するシステムが第三者の不正アクセスを受け、約1,118万件の会員情報が漏えいしたと公表した。期間は10月2日から7日で、10月13日に判明。会員ID、メールアドレス、氏名、電話番号、都道府県、性別、生年月日などが含まれる。クレジットカード番号は保持しておらず漏えいなし。ログインパスワードの漏えいは現時点で未確認。二次被害も未確認としている。会員情報管理システムへの不正アクセスで約1,118万件が漏えい、クレジットカード番号は非保持。
メドレー「アットリンク」 ― 産婦人科向けシステムに不正アクセス
メドレーは10月15日、産婦人科向けの医療機関業務支援システム「@link（アットリンク）」と患者向けアプリなどが第三者の不正アクセスを受け、登録された患者等の個人情報が外部に漏えいした可能性があると適時開示した。10月11日に外部専門機関から情報提供を受けて調査し、14日深夜からサービスを一時停止。漏えいの有無・項目・対象施設は調査中で、影響し得る医療機関は最大で利用全機関の787件。個人情報保護委員会へ報告し、警察に相談している。
ソースネクスト ― 会員情報取得APIの不正利用で情報流出
ソースネクストは10月15日、会員情報を管理するシステムが第三者の不正アクセスを受け、会員情報取得APIを不正に利用されて最大22,519,960件の個人情報が流出した可能性があると公表した。不正アクセスは10月9日10時頃から始まり、10月13日9時頃に確認、同日13時36分に封じ込め。パスワードを含む13項目が対象で、クレジットカード情報は対象システムに保存されていない。全会員のパスワードは変更済み。10月19日のITmedia NEWSの取材に対し、同社はパスワードを暗号化して保存していたが、復号鍵にアクセスできるAPIに不正アクセスされ、パスワードが復号された状態で流出したと説明した。
アエナ公式通販アプリ ― 機械的な連続アクセスで会員情報が閲覧された
化粧品アウトレットを展開するアエナは10月14日、運営する「ECアプリ」に第三者の不正アクセスがあり、会員マイページの情報が不正に閲覧されたと公表した。システムログの解析で10月13日5時58分に判明し、閲覧された可能性があるのは最大81万7215人分。氏名、住所、電話番号、メールアドレス、生年月日、登録したお届け先（第三者宛を含む）、登録済みクレジットカードの下4桁・有効期限・名義などが含まれる。原因は「不正アクセスを通じて、機械的な連続アクセスが行われたこと」とし、詳細は調査中。カード番号の全桁・セキュリティコードとパスワードは流出しておらず、会員情報の変更や購入の確定操作も行われていないとしている。
SpeeCAN RAIDEN ― 自治体の防災メール配信基盤に不正アクセス
自治体向けの防災情報配信サービス「SpeeCAN RAIDEN」を運営するアルカディア（大阪府箕面市）は10月13日、第三者の不正アクセスにより、メールアドレス最大約313万6000件、電話番号最大約10万5000件、FAX番号最大約1万5000件と、連絡先の名前、配信履歴として保存された本文が漏洩した可能性があると公表した。10月11日16時30分に不審な挙動を確認し、12日3時ごろ侵入経路を塞ぐ応急措置を実施、13日に侵入経路を特定して2つの環境（raiden3.ktaiwork.jp、学校向けのs2.ktaiwork.jp）を緊急停止した。さいたま市（3万4783件）、横須賀市（延べ5万8920人）、大分県（県民向け2万7667件と職員1万269件）、宮崎県（3万8959件）など各地の自治体が、防災メールや職員参集システムの登録情報が対象になりうると発表した。さいたま市と横須賀市は、住民からの不審メールの問い合わせを受けて事業者に確認し、事案を知った。10月14日にはNET119（最大約1万3000件）と119RAIDEN（メール最大約9万7000件など）にも不正アクセスの形跡があると追加公表し、総務省は13日夜時点で36自治体がサービス停止したと明らかにした。10月15日15時ごろには停止していた2環境を復旧し、全利用者にログインパスワードの変更を求めた。宮城県の大崎地域広域行政事務組合消防本部は、NET119の登録者45名（障害の状況・血液型・勤務先を含む）と119RAIDENの80名が対象と公表した。10月15日には岡山県警が県議会で、災害時安否確認システムの職員ほぼ全員約4,000人分（氏名・所属・個人携帯メール）の漏えい可能性を明らかにし、赤磐市はNET119の28人分と119RAIDENの193件が対象と公表した。10月16日15時30分の第10報で、アルカディアは各契約者に代わり個人情報保護委員会へ代行報告する準備を進めていると案内した。侵入経路の中身と、実際に持ち出されたかどうかは調査中。10月16日18時10分の第11報では、NET119の対象を9,020件のメールアドレスに紐づく個人情報とし、要配慮個人情報は漏洩していないと説明した。兵庫県警（約1万3千人分）、兵庫県・神戸市・加古川市も職員の登録情報が対象になりうると明らかにした。10月19日の第12報（社長名の経過報告）で、侵入経路はメディアサーバーのディレクトリパストラバーサルで、内部ソースと設定ファイル内のサービス間ログイン用シークレットキーが取られ、アカウントIDへの総当たりでログインされたと説明した。設置されたバックドアから外部へ配信された不正メールは計1,423,428通で、多くはカード会社を装ったフィッシングとみられる。10月20日の第13報で、個人情報保護委員会への報告代行の案内メールを19日に契約者へ送ったと告知した。同日、神奈川県警（約1万6千人分）、福岡県警（約1万1千人分）、栃木県警（全職員約3900人分）、鹿児島県警（約2200人分）なども職員の情報が対象になりうると報じられた。
DCM「マイボ」 ― 注意喚起後のログ点検で不正アクセスが判明
ホームセンター大手のDCMホールディングスは10月13日、子会社マイボフェローズが運営する会員サービス「マイボ」の会員情報管理システムが第三者の不正アクセスを受け、会員419人分の会員番号、メールアドレス、会員ステータス、会員ステージ、保有ポイント数、失効予定ポイント数と失効予定日が漏えいしたと公表した。9月21日に通常とは異なる多数のアクセスがあり、10月8日にサイバー攻撃に関する注意喚起を受けてアクセス記録を点検したところ不正アクセスが判明した。通信を遮断し、10月9日から「マイボアプリ」の全サービスを止めている。氏名、住所、電話番号、生年月日、パスワード、クレジットカード情報は含まれない。人数は精査中で、侵入の手口は公表されていない。
ライドオンエクスプレス ― サーバー運営会社がランサムウェア被害
ライドオンエクスプレスホールディングスは10月13日、子会社が運営する『銀のさら・釜寅・すし上等』の公式サイト・公式アプリの登録者情報を保管していたサーバーがサイバー攻撃を受け、最大約650万件の個人情報が漏えいした可能性があると公表した。10月5日以降に不正アクセスを検知し、10月7日早朝にサーバー障害が発生、サーバーの運営会社からランサムウェア攻撃を受けたとの報告を受けてシステムを停止した。預けていたデータは取り出しや復元が困難との報告を受けている。漏えいの明確な痕跡や範囲は特定できていないが、対象の可能性がある利用者に案内するとした。項目は氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員IDで、家族やお届け先の情報も含みうる。クレジットカード情報は保有していない。公式サイト・アプリからの注文は停止が続き、再開の見通しは立っていない。運営会社の名前と侵入経路は公表されていない。ライドオンエクスプレス「銀のさら・釜寅・すし上等」。登録者情報を預けていたサーバー運営会社がランサムウェア被害、漏えいの痕跡は未特定のまま最大約650万件を公表。
あっぷらぼ ― 設定不備でメールサーバのDB管理用パスワード突破
メールサービスを提供する株式会社あっぷらぼは10月12日、同社が運用するメールサーバのデータベース管理用パスワードが外部から突破され、不正にアクセスされたことを10月11日に確認したと公表した。原因は管理用の経路が絞られていなかった同社の設定上の不備で、メールアドレスと暗号化して保存しているパスワード情報の一部が参照された可能性がある。短い・単純なパスワードは時間をかけて解読されるおそれがあるとして、利用者にパスワードの変更を求めている。対象のアカウント数と、管理用パスワードが突破された方法は公表されていない。メールサーバのデータベース管理用パスワードが外部から突破、「管理用経路が絞られていなかった」設定の不備でメールアドレスと暗号化パスワードが参照の可能性。
ココナラスキルマーケット ― 遮断後に再侵入、履歴書などが流出
ココナラは10月9日、「ココナラスキルマーケット」が第三者の不正アクセスを受け、会員が登録した履歴書449件と職務経歴書関連書類1,845件が外部に漏洩したと公表した。10月8日2時5分に検知して遮断したが、13時ごろに再び不正アクセスを検知し、15時ごろに個人情報の持ち出しの形跡を確認、15時44分に攻撃経路を遮断し、21時27分までに脆弱性を修正した。脆弱性の内容、書類の登録期間、対象の人数は公表されていない。深夜に遮断したはずの不正アクセスが約11時間後に再来、会員の履歴書449件・職務経歴書関連書類1845件が流出。
リゾートトラスト ― Webサイトの異常な作動で会員・予約者情報漏洩
会員制リゾートホテルを運営するリゾートトラストは10月9日、同社が管理するウェブサイトが外部の第三者から不正アクセスを受け、サーバに保管されていた一部のグループ会員の情報約2万6千件と、ザ・カハラホテル＆リゾート 横浜の予約者の情報約3万6千件が漏洩したと公表した。10月5日20時30分ごろから23時30分ごろにシステムの異常な作動があり、翌6日に認知、7日に漏洩を確認した。当該システムに利用履歴・医療情報・クレジットカード情報・銀行口座情報・メールアドレス・本人確認書類などは含まれない。漏洩した項目と侵入経路は公表されていない。
バイトル（ディップ） ― 仕様の不備を突かれメールアドレス漏えい
求人情報サイト「バイトル」「バイトルNEXT」を運営するディップは10月9日、Webサイトの一部機能への第三者の不正アクセスを10月6日に確認し、会員のメールアドレスが一部漏えいしたと公表した。漏えいした可能性のある件数は最大3,885,771件で、情報はメールアドレスのみ。原因は「システムの一部機能における仕様の不備を突いた、海外からの不正アクセス」で、海外からのアクセスをすべて遮断し、プログラムを改修した。どの機能のどんな不備かは公表されていない。
NewsPicks ― 管理ツールの脆弱性から会員情報漏えいの可能性
ユーザベースは10月8日、ソーシャル経済メディア「NewsPicks」が業務で使う管理ツールが不正アクセスを受け、利用者の個人情報が漏えいした可能性があると公表した。10月9日の第二報で、原因は管理ツールの脆弱性で、サービス本体や社内の他システムへの侵入は確認されていないとし、最大想定件数としてメールアドレス32.3万件、所属6.5万件、氏名5.9万件、カード名義・番号の下3桁または下4桁など36.2万件などを示した。カード番号の全体とセキュリティコードは同社のシステムに保存しておらず漏えいしていない。管理ツールの種類と脆弱性の内容は公表されていない。NewsPicks（ユーザベース）。業務用の管理ツールの脆弱性から、メールアドレス32.3万件・カード情報の一部36.2万件が漏えいの可能性。
TEMAIRAZU（手間いらず） ― 宿泊予約の連携システムに不正アクセス
宿泊施設向け予約管理システム「TEMAIRAZU」を提供する手間いらず（東証スタンダード）は10月9日の適時開示で、同システムへの不正アクセスにより、予約者の氏名・電話番号・メールアドレス、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などの予約情報が閲覧または取得された可能性があり、対象者は最大約445万人と公表した。発覚のきっかけは9月21日、複数の宿泊施設から「予約者に不審なメッセージが届いている」と連絡があったこと。予約内容を把握したような偽メッセージがWhatsApp・メール・SMSで届き、カード情報の入力や支払いを求めていた。手口は「セキュリティ上の理由」で公表していない。
ブックオフ ― 子会社の会員管理システムに不正アクセス
ブックオフグループホールディングスは10月9日、子会社が提供する会員管理システムへの第三者の不正アクセスを10月6日に確認し、会員番号ベースで最大約643万件の会員情報（氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号）が外部から取得されたと公表した。決済情報は含まれない。「脆弱性を是正した」としているが、10月13日の第2報で、取得は10月4日〜6日、対象は6,427,735件・6,383,279人（うち退会会員212,371人）と確定し、10月15日から対象者に連絡してパスワード変更を求めるとした。脆弱性の内容と侵入経路は公表を控えている。10月16日には第2報を訂正し、漏えいの対象項目に「職業」「ニックネーム」を加えた。11月6日の第3報で、原因は会員情報を扱うシステムの一部機能におけるアクセス制御上の問題の悪用と特定し、影響範囲に変更なし・二次被害未確認・再発防止策を公表した。
skyticket ― 経路の違う3件の不正アクセスで情報流出
旅行比較予約サイト「skyticket」を運営するアドベンチャーは10月9日、経路の違う3件の不正アクセスを公表した。10月2〜4日には一部の管理機能を不正に操作され、他のサーバーやクラウド上のデータから約1464万件（うち約413万件はハッシュ化したログインパスワードを含む）が流出した。9月20日には業務管理システムの脆弱性を突かれ返金先口座情報など1万7780件、8月3日〜10月1日にはログインなしで表示できたバス予約完了ページが機械的に閲覧され約1万2000件の予約情報が見られた。10月16日の第2報で、旧方式時代のログに残っていた「skyticketプレミアム」会費支払い用のクレジットカード情報最大6,140名分（番号・名義・有効期限）とベネフィット・ステーションの会員ID・パスワードも10月3日に取得されていたと公表し、第1報の「カード情報の流出なし」を訂正した。skyticket（アドベンチャー）。経路の違う3件の不正アクセスで約1464万件、管理機能の不正操作からクラウド上のデータへ。
コミューン ― 共通の署名鍵を奪われ、会員情報が漏えい
コミュニティ構築サービス「Commune」「Commune for Work」を提供するコミューンは10月9日、10月5日18時ごろからの不正アクセスで約30.7万人（推計）の会員情報が漏えいしたと公表した。原因は同社システムの不備で、非公開コミュニティの招待リンクの不正取得と管理者へのなりすましによるもの。利用企業のちとせグループは、攻撃者が全コミュニティ共通のログイン用署名鍵を入手していたと説明している。ヤマハ、スズキ、LINEヤフー、Sansan、青森県など少なくとも16組織が自らのコミュニティでの漏えいやその可能性を公表した。10月12日にはヤマハ発動機も「YAMAHA PAS Life」の約1,600名分（氏名・生年月日・住所などを含む）が閲覧・取得された可能性を公表した。10月13〜14日にはユニリタ（最大1,169名）、セゾンテクノロジー（最大約1,200名）、Hakuhodo DY ONE（推定1,940名）が漏えいの可能性を公表し、freeeは自コミュニティの漏えい・不正利用は確認されていないと発表した。10月14日にはマツダ（CLUB MAZDA COMMUNITY・最大4,103名）とMIXI（コトダマン公式コミュニティ「コトポータル」・750名）も閲覧・取得の可能性を公表した。
ローソンID ― アプリの表示の仕組みが悪用され情報漏えい
ローソンは10月8日、共通アカウント「ローソンID」が9月12日から14日に、予約・決済サービス「ローソンアプリ予約」が9月17日に不正アクセスを受け、ローソンIDの215万5345件（メールアドレス・氏名、入力していれば性別・電話番号・住所など）と、アプリ予約の26件（氏名・電話番号・クレジットカード番号の一部）が漏えいしたと公表した。原因は、アプリ上で利用者本人に情報を表示するためのセキュリティ機構への不正アクセス。判明は10月7日の調査で、具体的な手口は公表されていない。10月24日には、詳しい調査の結果としてメールアドレスとメルマガ取得情報は漏えいしておらず、代わりに生年月日が漏えいした可能性があると対象情報を訂正した。アプリで本人に情報を表示する仕組みが悪用され215万5345件が漏えい、9月中旬の不正アクセスが判明したのは10月7日。
HIS ― タイ現地法人からパスポート情報流出の可能性
エイチ・アイ・エスは10月7日、タイ現地法人H.I.S. TOURSのファイルサーバーが第三者の不正アクセスを受け、2017年・2019〜2020年・2024〜2025年にHISを利用してタイに出発した客の最大627人分のパスポート情報（氏名、生年月日、パスポート番号、有効期限など）とアレルギー情報が流出した可能性があると公表した。検知は2025年12月11日で、会計記録などが大量に混在したサーバー内の全ファイルを手作業を含めて確認したため、公表まで時間がかかったと説明している。侵入経路は公表されていない。
修道学園 ― サーバーに不正アクセス、口座情報などが漏えいのおそれ
広島修道大学や修道中学校・高等学校などを運営する学校法人修道学園は、学園が管理するサーバーへの第三者の不正アクセスを2026年9月26日に確認し、取引先企業などの口座情報や、教職員・外部講師などの氏名・住所・電話番号・口座情報が漏えいしたおそれがあると9月30日に公表した。10月8日の第2報では、当初対象に含めていた学生の情報は含まれていないことが確認されたとした。原因、経緯、件数は調査中。学園サーバーへの不正アクセスで取引先・教職員・外部講師の口座情報などが漏えいのおそれ、第2報で学生情報は対象外に。
戸田建設 ― 支払管理システムから取引先・従業員の情報が流出
戸田建設は10月7日、取引先への支払いを管理するシステムなどへの外部からの不正アクセスを10月5日に検知し、10月1日から5日にかけて情報が外部に漏洩した形跡を確認したと公表した。取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778人分の氏名・住所・電話番号・メールアドレス・所属部署が対象。侵入経路と原因は調査中。
関西国際大学 ― eポートフォリオから在籍者の記録が流出
関西国際大学は9月30日に学内システムへの不正アクセスを公表し、10月6日の第2報で、学修記録をためる「eポートフォリオシステム」の複数のファイルが外部から繰り返し取得され、2023年3月までに在籍した学生の在学中の経験や振り返りなどの文字情報が流出したと判断したと発表した。氏名・学籍番号と結び付くか、対象の範囲・件数は確認中。学内Wi-Fiを含む学内ネットワークを止めており、10月中旬以降に学内からの学習支援・教務システムの段階的な再開を目指す。eポートフォリオから2023年3月までの在籍者の記録が流出、学内ネットワークを止めて授業にも支障。
楽天ドライブ ― 管理用アカウントを奪われ保存データが閲覧された
楽天モバイルは10月6日、クラウドストレージ「楽天ドライブ」で使う一部システムの管理用アカウントの認証情報を第三者が不正に取得してシステムにアクセスし、利用者が保存した写真・文書などのデータ（1万5382アカウント分、2026年1月29日〜9月17日）や、アカウント名・暗号化されたパスワードなど（計1000アカウント分、8月27日）が取得・閲覧されたと公表した。楽天ドライブでは7月30日にも、アプリから送られたように見える不審なプッシュ通知が表示される事象が起きていたが、両者の関係は説明されていない。
旭化成セラピューティクス ― 委託先の会員DBに不正アクセス
旭化成セラピューティクスは、医療関係者向けサイト「Pharma DIGITAL」の運営・情報管理を委託する医薬情報ネットの会員データベースが不正アクセスを受け、医療従事者の氏名・所属施設・診療科など最大約51万4000名分（うち一部はメールアドレスも）と自社従業員約700名分が閲覧・取得された可能性があると公表。原因と侵入経路は調査中。旭化成セラピューティクス「Pharma DIGITAL」。運営委託先の会員DBに不正アクセス、医療従事者最大約51万4000人分が閲覧・取得の可能性。
GMOリサーチ＆AI「infoQ」 ― 会員情報流出とポイント不正交換
GMOリサーチ＆AIは、アンケートサイト「infoQ」が10月2日以降に不正アクセスを受け、第2報（10月14日）で外部に持ち出された個人情報を89万4,082件と確定したと公表した。第1報の最大94万8,498件から下方修正。項目は氏名・住所・生年月日・暗号化パスワードなど。611件・2,869,500円分のポイントが本人の意思によらずAmazonギフトコードに交換された。原因はサイトで使っていたソフトウェアの脆弱性の悪用。10月7日に全会員のパスワードを無効化。
ミスターマックス ― アプリと通販に不正アクセス、会員情報流出
ミスターマックスは、MrMaxアプリとオンラインストアのサーバーが10月3日に不正アクセスを受け、最大1,735,154人分の会員ID・氏名・メールアドレス・電話番号が流出したと公表。侵入は「本サービスを構成するソフトウェアの機能を不正に利用」したもので、ソフトウェア名や詳しい手口は明らかにしていない。
大和証券 ― 問い合わせ管理の委託先に不正アクセス
大和証券は、ネット経由の問い合わせ管理に使うサービスの提供元スカラコミュニケーションズのサーバーが10月2日20時33分頃から3日8時1分頃まで不正アクセスを受け、約11万人分の氏名・メールアドレス・口座番号等を含む約22万件の問い合わせ情報が漏えいした可能性があると公表。大和証券自身のシステムへの侵入は確認されていない。10月6日にはSC社が、FAQシステム「i-ask」の管理サイトへの不正ログインと不正プログラムの設置が原因で、同じサーバー上の最大5社・延べ最大71万3126件の問い合わせ情報が漏えいした可能性があると公表し、シチズン時計も約10万人分の影響を公表した。10月7日には損害保険ジャパンも、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ延べ約6万件が対象になった可能性があると公表した。同じ10月7日には東武鉄道も、お客さまセンターの問い合わせフォームにSC社のサービスを使っていたと公表したが、同社に関する情報の閲覧・取得の形跡は現時点で確認されていないとしている。10月8日にはオリックス生命保険も、公式サイトの問い合わせ管理に使うSC社のサービスで、医療情報等を含む延べ約2万6500件が漏えいした可能性があると公表した。11月2日には東武鉄道が、SC社が依頼したラックのフォレンジック調査の最終結果として、同社に関する情報の漏洩はなかったと報告を受けたと公表した。
焼肉きんぐ公式アプリ ― ほぼ全会員分の情報が流出
物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが10月2日に不正アクセスを受け、ユーザー登録10,808,784件のうち10,788,963件の会員番号・氏名（登録名）・メールアドレス・電話番号が流出したと公表。パスワードや生年月日、利用履歴は対象外。原因と侵入経路は調査中。
タイムズカー ― 会員情報と本人確認書類の画像が流出
タイムズモビリティとパーク24は、タイムズカーWebシステムへの不正アクセスで退会者を含む約660万件のアカウント情報が第三者に取得され、うち約160万件では運転免許証画像などの本人確認書類も漏えいしたと公表。退会後7年間保管していた情報も対象。【10/25更新】10月23日の第5報でフォレンジック調査を終え、原因はWebシステムの脆弱性の悪用、画像の外部送信は1,464,800件と確定。
アバハウス ― 不審な返金メール報告から発覚、会員・受注DBへの不正アクセス
アバハウスインターナショナルは、9月27日深夜〜28日の社内システム不正アクセスにより会員・受注情報が漏えいした可能性があると公表。顧客からの不審な返金メール報告が発覚のきっかけ。件数未公表で全顧客が対象になりうる。10月9日の続報で、不正アクセスの経路を遮断し、EC管理システムのアクセス制限と認証の強化などの追加対策を実施、所轄警察へ被害届を提出したと公表。取得された情報の範囲と原因は調査中。
第一生命 ― 人事システムに不正アクセス、従業員情報流出の可能性
第一ライフグループと第一生命は、従業員向け人事システムへの不正アクセスを9月24日に検知し、従業員約5万人・退職者約7万人の計約12万人分の個人情報が閲覧・流出した可能性があると10月2日に公表。顧客情報への不正アクセスは現時点で未確認。
ヤマト運輸 クロネコ代金後払い ― 顧客情報の持ち出しを確定
ヤマト運輸は9月28日に「クロネコ代金後払いサービス」への不正アクセスを確認しサービス停止。10月2日の第2報で漏えいの可能性を公表し、10月9日の第3報でサービスを再開した。10月16日の第4報で、調査の結果、顧客情報約526万件（うちメール約49万件）、お届け先情報約5万件、加盟店情報約4,100件が不正に持ち出されたと確定した。第2報で可能性としていた請求金額・債権残高・社員氏名の持ち出しは確認されなかった。クレジットカード・パスワードは対象外。二次被害は未確認。侵入経路は未公表。
セイコーマートアプリ ― 不正アクセスで会員情報が閲覧された
セイコーマートはアプリ経由で会員情報サーバへ不正アクセスがあり、登録経験のある会員の情報が閲覧されたと公表。第三報の57万2022人分から、10月5日の第四報で57万4647人分に修正し、アプリ・Web上の新規入会や会員情報の閲覧・変更機能を終了するとした。手法の詳細は警察連携のため非開示。会員57万4647人分が閲覧された不正アクセス（原因は非公表）。
集英社 HAPPY PLUS COMMUNITY ― CMS設定不備から情報漏えい
集英社はファッション誌ブロガー管理システム「HAPPY PLUS COMMUNITY」への不正アクセスで、ブロガー2,835人分の個人情報などが漏えいしたと9月28日に公表。原因はCMS設定不備に起因するAPI認証情報への攻撃と説明。CMS設定不備から特権アカウントが作られブロガー2835人分が漏えい。