システムを「つくる」会社が
考えるセキュリティ対策

1. 012024年2月小売（スーパー）イズミ（ゆめタウン）VPN経由ランサムで77日障害、会員778万件に閲覧可能性外部接続機器運用

   CASE 01

   イズミ、VPN装置経由のランサムウェア被害で発注に支障

   小売（スーパー）公表：2024年2月

   2024年2月15日、グループの一部サーバーがランサムウェアで暗号化され、食品の品薄や決算発表の延期が生じました。5月には、漏えいは確認されていないものの、会員情報最大約778万件について閲覧の可能性を否定できないと公表しました。

   原因

   外部専門機関の調査で、外部通信の受け口であるVPN装置を狙ってグループのサーバーに直接侵入されたと報告された。会社はサイバーリスクの評価・対応不足を認めたが、具体的な手口は公表されていない。

   閲覧の可能性を否定できない情報・毀損された情報

   • ゆめカード会員情報 最大7,782,009件（氏名・住所・電話番号・生年月日等）
   • イズミテクノのパート・アルバイト応募者情報 最大2,990件
   • 上記2件は漏えい未確認だが閲覧の可能性を否定できず、個別通知の対象
   • グループ共通メールサーバーのメール履歴は暗号化により毀損

   影響

   商品供給

   発注システムの支障で食品売場の一部が品薄に。利益影響は約3億円（24年2月期）、約29億円（25年2月期1Q）

   サービス

   ゆめオンライン等が休止。メール停止で外部との連絡は電話・FAX・郵送に限定

   決算・開示

   決算発表を4月9日予定から6月27日へ延期。有価証券報告書の提出期限も延長

   財務・統制

   障害対応費用1,039百万円（連結）を特別損失に計上。内部統制に開示すべき重要な不備

   KEY FACTS被害の規模（公表ベース）

   最大7,782,009件

   閲覧の可能性を否定できない会員情報（漏えい未確認）

   77日間

   障害発生から主要システム復旧・主なサービス再開まで

   約29億円

   2025年2月期1Qのランサム被害による利益影響（会社説明）

   if secureの視点

   この事例のリスク領域外部接続機器運用

   • VPN等の外部接続機器を棚卸しし、更新適用・多要素認証・接続元制限を徹底
   • バックアップは本番ネットワークから分離して保管し、復元手順を定期的に訓練
   • サイバーリスクを経営課題として評価し、発注・決算の代替手順を事前に整備

   出典：株式会社イズミ「当社システムに対する外部攻撃に伴う個人情報に関するお知らせとお詫び」（2024年5月9日） ／ 株式会社イズミ「財務報告に係る内部統制の開示すべき重要な不備に関するお知らせ」（2024年7月31日） ／ 株式会社イズミ 2025年2月期 決算説明会資料（2026年10月9日時点の公表情報に基づく）

2. 022024年5月暗号資産交換業DMM Bitcoin外部ウォレット経由で約482億円相当のBTCが流出委託先権限・認証運用

   CASE 02

   DMM Bitcoin、約482億円相当のBTCが不正流出

   暗号資産交換業公表：2024年5月

   2024年5月31日、DMM Bitcoinが管理するウォレットから4,502.9BTC（約482億円相当）が不正流出しました。同社は顧客資産の全額保証を表明し、口座と預り資産はSBI VCトレードへ移管されることになりました。

   原因

   警察庁はFBI等とともに北朝鮮を背景とするTraderTraitorの犯行と特定。採用試験を装ってウォレットソフト提供元Gincoの社員を侵害し、なりすましで正規の取引リクエストを改ざんした。

   主な問題点

   • 秘密鍵を一括で管理し、署名作業も単独で実施（牽制が働かない）
   • 外部ウォレット導入時に、移転時の流出リスクを議論していなかった
   • システム担当役員が不在で、管理権限が一部の者に集中
   • 内部監査の体制不備、証拠保全用ログの保存期間も未検討

   影響

   顧客資産

   流出相当分のBTCをグループの支援で調達し、全額保証すると表明

   行政処分

   2024年9月26日、関東財務局が業務改善命令（資金決済法）

   事業継続

   2024年12月、口座と預り資産をSBI VCトレードへ移管すると発表

   KEY FACTS被害の規模（公表ベース）

   4,502.9BTC

   不正流出した顧客預かり資産（ビットコイン）

   約482億円相当

   窃取された暗号資産の額（警察庁発表）

   if secureの視点

   この事例のリスク領域委託先権限・認証運用

   • 外部ウォレット等の導入時は流出リスクと提供元のセキュリティ管理を評価する
   • 秘密鍵の署名は複数人承認とし、鍵とウォレットを分散管理する
   • 業務端末での外部コード実行を禁じ、なりすましアクセスを認証ログで監視する

   出典：関東財務局「株式会社DMM Bitcoinに対する行政処分について」（2024年9月26日） ／ 警察庁 報道発表資料（TraderTraitorによる暗号資産窃取の特定、2024年12月24日） ／ SBI VCトレード お知らせ（DMM Bitcoinからの口座・預り資産移管、2024年12月2日）（2026年10月9日時点の公表情報に基づく）

3. 032024年5月情報処理・印刷発送イセトー委託先経由で再委託元含む約100団体の個人データ漏えい委託先外部接続機器運用

   CASE 03

   印刷・発送の委託先がランサムウェア被害、307万人超の個人データ漏えい

   情報処理・印刷発送公表：2024年5月

   2024年5月26日、金融機関や自治体等の通知書印刷・発送を受託するイセトーがランサムウェア被害を受けました。委託元の個人データが窃取されてダークウェブ上に一時公開され、本人数は計3,076,477人に上ります。

   原因

   VPN機器経由で基幹系ネットワークに侵入された。手口の詳細はログ不足で未確認だが、2021年4月以降のVPN未更新と2017年2月から不変の管理者パスワードが原因の可能性が高いとされる。

   主な問題点

   • VPN機器を約3年間アップデートせず、認証関連の脆弱性が未対応
   • 管理者パスワードを約7年間変更せず、英小文字11桁・多要素認証なし
   • 56部署中3部署が保管ルールに反し個人データを基幹系サーバへコピー
   • 保管ルールが明文化されず、監査・点検やログ取得も不十分

   影響

   漏えい規模

   計3,076,477人分（民間委託分2,509,886人、行政機関等委託分566,561人）

   影響団体

   委託元41団体、再委託元を含めると約100団体

   漏えい項目

   主に氏名・住所。通知書により税額、確定拠出年金・ローン残高等も。要配慮個人情報を含む本人は13,150人

   認証停止

   ISO27001等が一時停止（2025年2月10日に解除を公表）、Pマークも一時停止（2025年3月25日再開）

   KEY FACTS被害の規模（公表ベース）

   計3,076,477人分

   漏えいした個人データの本人数（委託分）

   約100団体

   影響を受けた団体数（委託元41団体＋再委託元）

   約7年間

   管理者パスワードが変更されなかった期間

   if secureの視点

   この事例のリスク領域委託先外部接続機器運用

   • 委託先評価で、VPN機器のパッチ適用状況と多要素認証の有無を確認する
   • 委託データの保管場所と削除期限を契約に明記し、削除を定期的に検証する
   • 管理者アカウントは長期同一パスワードを禁止し、多要素認証を必須にする

   出典：個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」（2025年3月19日） ／ 株式会社イセトー「不正アクセスによる個人情報漏えいに関するお詫びとご報告」（2024年10月4日） ／ 株式会社イセトー「ランサムウェア被害の発生について」（2024年5月29日）（2026年10月9日時点の公表情報に基づく）

4. 042024年5月損害保険大手損保4社代理店・出向者経由の漏えい等約268万件、業務改善命令委託先運用人的要因

   CASE 04

   大手損保4社、乗合代理店・出向者経由で顧客情報が漏えい

   損害保険公表：2024年5月

   2024年5月、乗合代理店を介して契約者情報が本人の同意なく他の損保へ共有されていた問題が公表され、その後の調査で出向者による情報送付も判明しました。金融庁は2025年3月24日、4社に業務改善命令を出しました。

   原因

   乗合代理店が複数損保の契約者データを混在させたファイルを各社担当者に一斉送信する等の慣習があり、損保側も他社分を受領していた。一部の出向者は出向先代理店に無断で顧客情報を出向元へ送付していた。

   主な問題点

   • 本人同意のない第三者提供と他社情報の取得（個情委が個情法違反と指摘）
   • 委託先である代理店への監督が不十分（個情委が指摘）
   • 出向元が出向者を人事評価し、自社業績への貢献を求めていた構造
   • 第1〜3線の各層で情報管理態勢が不十分で、長期間看過（金融庁指摘）

   影響

   行政処分

   2025年3月24日、金融庁が保険業法に基づき4社に業務改善命令

   個情委指導

   2025年4月30日、個人情報保護委員会が個情法147条に基づき4社を指導

   漏えい情報

   契約者氏名、証券番号、保険料、契約した損保会社名等

   継続期間

   代理店事案は4社とも2014年度以前から2024年度まで継続

   KEY FACTS被害の規模（公表ベース）

   約268万件

   4社合計の漏えい等件数（日経集計）

   約234万件

   うち乗合代理店経由（代理店事案）

   約34万件

   うち出向者経由（出向者事案）

   if secureの視点

   この事例のリスク領域委託先運用人的要因

   • 委託先とのメール授受は自社分データに限定し、宛先・CCの混在をDLPで検知する
   • 出向者・常駐者による出向元への情報送付ルールを明文化し、送信ログを監査する
   • 業界慣行も含め委託先の個人データ取扱いを定期監査し、契約で監督範囲を定める

   出典：金融庁「損害保険会社４社に対する行政処分について」（2025年3月24日） ／ 個人情報保護委員会「損害保険会社及び保険代理店に対する個人情報の保護に関する法律に基づく行政上の対応について」（2025年4月30日） ／ 東京海上日動火災保険「保険代理店および保険会社間のメール連絡に伴う情報漏えいに関するお詫び」（2024年5月23日）（2026年10月9日時点の公表情報に基づく）

5. 052024年5月住宅・建設積水ハウス使われていない旧ページを突かれ会員・従業員等の情報漏えい運用脆弱性

   CASE 05

   会員サイトの未使用ページの不備を突かれ、顧客・従業員等の情報が漏えい

   住宅・建設公表：2024年5月

   積水ハウスは2024年5月24日、住宅オーナー向け会員制サイト「積水ハウス Net オーナーズクラブ」がサイバー攻撃を受け、顧客や従業員等のメールアドレス・パスワードなどが漏えいしたと公表しました。

   原因

   2008〜2011年に使い、現在は運用していないページの設定不備を突かれ、「データベースを操作するための言語を用いたサイバー攻撃」を受けた。同社広報は未使用のためメンテナンスしていなかったと説明（日経クロステック）。

   漏えいした情報（可能性を含む）

   • 顧客のメールアドレス・ログインID・パスワード
   • 現在・過去に在籍したグループ従業員・協力会社スタッフのメールアドレス
   • 従業員等が積水ハウスのシステムへのログイン時に使用するパスワード
   • 顧客の住所・電話番号・クレジットカード情報等は漏えいしていない（同社FAQ）

   影響

   サイト閉鎖

   5月23日午前に運用停止し、その後閉鎖。Web・LINEでの点検予約等が一時利用不可に

   二次被害対策

   顧客に順次連絡を開始し、他社サイトで同じパスワードを使う場合は変更するよう要請

   当局対応

   個人情報保護委員会へ報告し、警察に相談

   追加調査

   その後の調査で「漏洩リスクが低い」と通知した顧客の漏えいは確認できず（同社FAQ）

   KEY FACTS被害の規模（公表ベース）

   108,331人

   顧客情報の漏えい（確認）

   183,590人

   従業員・協力会社スタッフ等の漏えい（確認）

   464,053人

   顧客の漏えいの可能性を否定できない人数（5/24発表時点）

   if secureの視点

   この事例のリスク領域運用脆弱性

   • 運用を終えたページは公開停止し、プログラムとDB接続の撤去までを廃止手順に組み込む
   • 公開中の全URLを棚卸しし、旧ページも含めて定期的に脆弱性診断する
   • 外部公開サイトのDBに自社システムのログイン用パスワードを置かず、多要素認証で悪用を防ぐ

   出典：積水ハウス「住宅オーナー様等向けの会員制サイトにサイバー攻撃を受けたことによるお客様情報等の外部漏えいについて」（2024年5月24日） ／ 積水ハウス「お客様情報等の外部漏えいに関するご質問」（2024年10月31日更新） ／ 日経クロステック「積水ハウスが29万人超の個人情報漏洩、過去のページでセキュリティー設定に不備」（2024年5月27日）（2026年10月9日時点の公表情報に基づく）

6. 062024年6月出版・WebサービスKADOKAWA・ドワンゴID窃取（推測）からランサム、ニコニコ停止・約25万人分漏洩権限・認証

   CASE 06

   KADOKAWAにランサムウェア攻撃、ニコニコ停止・約25万人分漏洩

   出版・Webサービス公表：2024年6月

   2024年6月8日、KADOKAWAグループのデータセンター内サーバーへのランサムウェアを含むサイバー攻撃が発覚し、ニコニコが停止しました。8月5日に254,241人分の個人情報の外部漏洩を確認したと公表（ニコニコユーザーのカード情報等の漏洩は未確認）。

   原因

   外部の大手セキュリティ専門企業の調査では、フィッシング等で従業員のアカウント情報が窃取されたことが根本原因と推測され、社内ネットワークへの侵入とランサムウェア実行に至った。経路・方法は不明とされる。

   外部漏洩を確認した主な情報

   • ドワンゴ全従業員の個人情報（住所・口座・人事情報など）
   • 一部取引先（クリエイター等を含む）の氏名・住所・口座情報など
   • N中等部・N高・S高の在校生・保護者・出願者等の一部情報
   • 取引先との一部契約書、法務関連などの社内文書

   影響

   ニコニコ

   6月8日からサービス全般が停止し、8月5日から動画・生放送などを順次再開

   出版事業

   受注・製造・物流システムが停止し、6月の既刊出荷部数は平常時の3分の1程度

   業績

   2025年3月期に売上高▲83億円・営業利益▲47億円の減収減益影響（会社公表）

   二次被害

   攻撃者とされる組織が公開した情報がSNS等で拡散。ドワンゴ関連で悪質な拡散896件（8月2日時点）

   KEY FACTS被害の規模（公表ベース）

   254,241人分

   外部漏洩を確認した個人情報（2024年8月5日公表）

   24億円

   サイバー攻撃に係る特別損失（2025年3月期）

   83億円

   サイバー攻撃による売上高への影響（2025年3月期・会社公表）

   if secureの視点

   この事例のリスク領域権限・認証

   • 社内ネットワークやリモート接続にフィッシング耐性のある多要素認証を必須化する
   • 管理者・特権アカウントを最小化・分離し、1アカウント侵害時の被害範囲を限定する
   • サービス基盤と基幹・業務システムのネットワークを分離し、オフラインバックアップを確保する

   出典：KADOKAWA「ランサムウェア攻撃による情報漏洩に関するお知らせ」（2024年8月5日） ／ ドワンゴ「当社サービスへのサイバー攻撃に関するご報告とお詫び」（2024年6月14日） ／ KADOKAWA「KADOKAWA、2025年3月期 通期決算を発表」（2025年5月8日）（2026年10月9日時点の公表情報に基づく）

7. 072024年10月電子機器メーカーカシオ計算機対策の一部不備でランサム被害、8,478人分流出運用

   CASE 07

   カシオにランサムウェア攻撃、8,478人分の個人情報流出を確認

   電子機器メーカー公表：2024年10月

   2024年10月5日、サーバーがランサムウェア攻撃を受けシステムが使用不能になり、8日に不正アクセスを、11日にランサムウェア被害を公表しました。2025年1月の調査結果で計8,478人分の個人情報の流出を確認しています（カード情報は含まれず）。

   原因

   海外からの不正アクセスによるランサムウェア攻撃である。同社はフィッシングメール対策及び海外拠点を含むグローバルでのネットワークセキュリティ体制の一部不備を原因とした。具体的な侵入経路は公表されていない。

   流出が確認された情報

   • 従業員等の個人情報6,456人（氏名・社員番号・人事情報等）
   • 取引先担当者・採用面接応募者の個人情報1,931人
   • 配送設置製品を購入した顧客の個人情報91人
   • 取引先との請求書・契約書、会議資料、社内システムのデータ

   影響

   業務停止

   部品の調達・生産・出荷等がシステム復旧まで一定期間停止

   業績影響

   3Qの販売機会損失で売上約130億円・営業利益約40億円の影響を想定

   決算遅延

   会計関連システムへのアクセス遮断措置で決算が遅延、半期報告書の提出期限を延長

   二次被害

   従業員から関連をうかがわせる迷惑メールの報告。取引先・顧客への二次被害の連絡はなし（2025年1月時点）

   KEY FACTS被害の規模（公表ベース）

   計8,478人分

   流出を確認した個人情報（従業員・取引先・顧客の合計）

   約130億円

   3Q販売機会損失の売上影響（2024年11月公表）

   約40億円

   同・営業利益への影響（2024年11月公表）

   if secureの視点

   この事例のリスク領域運用

   • フィッシングメール対策は訓練に加え、多要素認証と端末監視で多層化する
   • 海外拠点も本社と同一の基準で管理し、ネットワーク構成を定期的に点検・是正する
   • 基幹サーバー遮断時も調達・出荷・決算を続ける手順と、隔離バックアップを備える

   出典：カシオ計算機「ランサムウェア攻撃による情報漏えい等調査結果について」（2025年1月7日） ／ カシオ計算機「2025年3月期 第2四半期 決算概要」（2024年11月27日） ／ カシオ計算機「当社ネットワークへの不正アクセスによるシステム障害について」（2024年10月8日）（2026年10月9日時点の公表情報に基づく）

8. 082025年1月複合カフェ・フィットネス快活フロンティア会員情報約729万件に漏えいの可能性、AI悪用と報道非公表

   CASE 08

   快活CLUB等の会員情報約729万件に漏えいの可能性

   複合カフェ・フィットネス公表：2025年1月

   快活CLUBの運営会社は2025年1月、不正アクセスで会員情報7,290,087件に漏えいの可能性があると公表しました（会社は漏えいの事実は未確認としています）。警視庁は不正アクセス禁止法違反等の疑いで当時高校生らを逮捕しました（報道）。

   原因

   会員アカウントを管理するシステムへの不正アクセスの形跡が確認された。会社は要因を特定し改修したとするが、具体的な脆弱性・侵入経路は非公表。報道では、公式アプリのサーバーに不正な指令が大量送信されたとされる。

   漏えいの可能性がある情報

   • 姓名・カナ姓名・性別・郵便番号・住所・電話番号・生年月日
   • 会員番号・会員種別・保有ポイント・店舗コード・最終会計日時・バーコード等
   • 対象は快活CLUB会員・仮会員、FiT24会員等の一部
   • 身分証・クレジットカード情報・メールアドレス・アプリのパスワードは含まれず

   影響

   アプリ制限

   会員アプリを「会員証の表示」のみに制限し、2月19日〜28日に順次再開

   刑事事件

   警視庁が25年12月に高2男子を再逮捕、26年7月8日に18歳男を逮捕（報道）

   不正取得

   警視庁は約725万件が不正取得されたとみる（2025年12月報道）

   生成AI悪用

   警視庁は攻撃プログラムがChatGPTで自作されたとみる（報道）

   KEY FACTS被害の規模（公表ベース）

   7,290,087件

   漏えいの可能性がある個人情報（会社公表）

   約725万件

   警視庁が不正取得とみる会員情報（2025年12月報道）

   if secureの視点

   この事例のリスク領域非公表

   • 会員情報を返すアプリAPIは認可と取得件数・頻度の上限を設計段階で検証する
   • 障害を伴う大量リクエストは、DDoSだけでなく情報の持ち出しも並行して調べる
   • 生成AIで攻撃の敷居が下がる前提で、公開アプリ・APIの診断を定期化する

   出典：快活フロンティア「不正アクセスの発生及び個人情報漏えいの可能性に関するお知らせ（第五報）」（2025年3月17日） ／ 快活フロンティア「本年１月に発生した当社サーバーへの不正アクセスに関する容疑者逮捕の件について」（2025年12月4日） ／ 時事通信「新たに１８歳男逮捕　「快活ＣＬＵＢ」へのサイバー攻撃―小学生も参加か・警視庁」（2026年7月9日）（2026年10月9日時点の公表情報に基づく）

9. 092025年4月通信・ISPIIJActive! mail脆弱性悪用、586契約で漏えい確認脆弱性委託先

   CASE 09

   IIJセキュアMX、未知の脆弱性悪用で586契約の情報漏えい

   通信・ISP公表：2025年4月

   IIJは2025年4月15日、法人向けメールセキュリティサービス「IIJセキュアMXサービス」が不正アクセスを受け情報漏えいの可能性があると公表し、4月22日の第二報で586契約の漏えい確認を報告しました。

   原因

   外部接続サーバで利用していた第三者製ソフトウェア「Active! mail」の、当時未発見の脆弱性（JVN#22348866）を悪用された。設備上で不正プログラムが実行されていた。攻撃者は公表されていない。

   漏えいを確認した情報（第二報）

   • メールアカウント等：132契約・311,288件で漏えい確認（一部はアカウントのみ）
   • 送受信メールの本文・ヘッダ情報：6契約で漏えいを確認
   • 連携する他社クラウドサービスの認証情報：488契約で漏えいを確認
   • 初報の可能性範囲は全契約（最大6,493契約・4,072,650アカウント）

   影響

   行政指導

   総務省が2025年7月18日、通信の秘密の漏えいを認め文書で行政指導

   利用企業へ波及

   日本取引所グループが漏えい可能性を公表（4月23日の続報で流出なしと確認）

   脆弱性公開

   2025年4月18日、JVNが緊急の脆弱性として公開し修正版を案内

   再発防止

   振る舞い検知強化を6月26日完了、WAF多層化を予定・社長直轄PJ発足

   KEY FACTS被害の規模（公表ベース）

   311,288件

   漏えいを確認したメールアカウント（132契約分）

   586契約

   漏えいを確認した契約数（重複除外）

   最大4,072,650件

   初報で漏えい可能性としたアカウント

   if secureの視点

   この事例のリスク領域脆弱性委託先

   • Webメール等の外部公開機能は攻撃面として棚卸しし、WAF等で多層防御する
   • 未知の脆弱性を前提に、振る舞い検知とログ監視で侵入の早期発見を図る
   • メール等の委託先は事故時の影響範囲の特定方法と連絡体制を事前に確認する

   出典：株式会社インターネットイニシアティブ「IIJセキュアMXサービスにおけるお客様情報の漏えいについてのお詫びとご報告」（2025年4月22日） ／ 総務省「株式会社インターネットイニシアティブに対する通信の秘密の保護に係る措置（指導）」（2025年7月18日） ／ IIJ「IIJセキュアMXサービスにおけるお客様情報の漏えいについて」（2025年4月15日）（2026年10月9日時点の公表情報に基づく）

10. 102025年5月プレスリリース配信PR TIMES経緯不明の許可IPと共有アカウントで管理者画面に侵入権限・認証運用

    CASE 10

    PR TIMESに不正アクセス、個人情報最大約90万件漏えいの可能性

    プレスリリース配信公表：2025年5月

    PR TIMESは2025年5月7日、4月24日〜25日に管理者画面へ第三者の不正アクセスがあり、個人情報最大90万1603件と発表前のプレスリリース1682件が漏えいした可能性があると公表しました（不正利用は未確認）。

    原因

    コロナ禍のリモート移行時に許可IPを増やしたが、追加経緯が不明なIPが存在し侵入経路に使われた。認証には普段使われない社内管理の共有アカウントが使われ（認証情報の入手経路は非公表）、バックドアも設置された。

    主な問題点

    • リモート移行時に許可IPを拡大、追加経緯が不明なIPが存在し侵入経路に
    • 普段使われていない社内管理の共有アカウントが認証に使われた
    • 初動遮断後も攻撃者が設置したプロセス経由で再攻撃を受けた
    • 具体的なログがなく漏えいは断定できないが、一定容量のデータ転送を確認

    影響

    顧客対応

    全ユーザーへ説明し、パスワード変更を依頼。対象顧客へ個別連絡

    利用企業へ波及

    配信業務の委託元の一社リクルートHDも、預けた配信先情報の漏えい可能性を公表

    当局対応

    個人情報保護委員会へ速報・確報。警察が事件相談として受理

    再発防止

    二段階認証・IP制限・旧管理者画面廃止等。2026年3月、2025年6月発表の再発防止策の完了を公表

    KEY FACTS被害の規模（公表ベース）

    最大901,603件

    漏えいの可能性がある個人情報

    1,682件

    漏えいの可能性がある発表前リリース（1,182社分）

    最大20,514件

    漏えいの可能性があるメディアリスト

    if secureの視点

    この事例のリスク領域権限・認証運用

    • 許可IPやVPN等の接続許可は定期的に棚卸しし、追加理由と承認者を記録する
    • 共有アカウントを廃止し、管理画面は個人ID＋多要素認証で操作者を特定可能に
    • 管理画面の操作・通信ログを保全し、漏えい範囲を事後に特定できる状態にする

    出典：PR TIMES「PR TIMES、不正アクセスによる情報漏えいの可能性に関するお詫びとご報告」（2025年5月7日） ／ PR TIMES「セキュリティ強化のためのログイン関連機能追加のお知らせ」（2026年3月16日） ／ リクルートホールディングス「他社で発生した不正アクセスに伴うお預かり情報の漏えい可能性について」（2025年5月28日）（2026年10月9日時点の公表情報に基づく）

11. 112025年8月テーマパークハウステンボスリモートアクセス機器経由で侵入、約150万人分漏えいの可能性外部接続機器非公表

    CASE 11

    リモートアクセス機器経由で侵入、顧客約150万人分に漏えいの可能性

    テーマパーク公表：2025年8月

    2025年8月29日、業務管理システム等のサーバー内ファイルの一部が暗号化される不正アクセスが判明しました。12月12日、個人情報の一部が外部に漏えいした可能性があると公表しましたが、被害の発生は確認されていないとしています。

    原因

    外部専門家の調査で、同社が利用するリモートアクセス機器を経由して第三者がネットワークに侵入し、複数のサーバーと一部のPCのデータを暗号化したと判明。脆弱性悪用か認証情報の悪用かなど具体的な手口は非公表。

    漏えいした可能性がある個人情報

    • 顧客：氏名・生年月日・性別・住所・電話番号・メールアドレスなど
    • 役職員（退職者含む）・家族：マイナンバー情報、健康診断結果、障がいに関する情報など
    • 取引先：氏名・社名・住所・電話番号・メールアドレス・マイナンバー情報など
    • クレジットカード情報は保有しておらず漏えいなし

    影響

    システム停止

    サーバー・関連システムを停止しネットワークを遮断。複数サーバー・一部PCが暗号化

    サービス影響

    公式アプリの待ち時間表示休止、一部発注システムの利用制限。10月1日までに復旧

    機微情報

    役職員・家族のマイナンバー・健康診断結果、取引先のマイナンバー等に漏えいの可能性

    二次被害

    2025年12月12日時点で被害の発生は確認されていない

    KEY FACTS被害の規模（公表ベース）

    約1,499,300人分

    顧客情報（漏えいの可能性）

    約37,300人分

    役職員（退職者含む）・家族（漏えいの可能性）

    約9,400人分

    取引先関係者（漏えいの可能性）

    if secureの視点

    この事例のリスク領域外部接続機器非公表

    • リモートアクセス機器を台帳管理し、脆弱性対応とMFA・アカウント棚卸しを徹底する
    • マイナンバー・健康診断結果は保管先を限定・暗号化し、アクセス権限を最小化する
    • 暗号化被害を前提に、オフライン・不変バックアップからの復旧を定期訓練する

    出典：ハウステンボス株式会社「不正アクセス事案に関する調査結果のご報告とお詫び」（2025年12月12日） ／ ハウステンボス株式会社「不正アクセス事案発生のお知らせ」（2025年8月29日） ／ ITmedia NEWS「ハウステンボス、大規模漏えいの可能性　顧客150万人の個人情報、役職員・取引先のマイナンバー情報など」（2025年12月12日）（2026年10月9日時点の公表情報に基づく）

12. 122025年9月酒類・飲料・食品アサヒGHD拠点機器経由で侵入し管理者権限を奪取、ランサム実行外部接続機器権限・認証運用

    CASE 12

    アサヒGHD、ランサムウェア被害で国内の受注・出荷が停止

    酒類・飲料・食品公表：2025年9月

    2025年9月29日、サイバー攻撃によるシステム障害で国内グループ各社の受注・出荷業務が停止しました。サーバー等がランサムウェアで暗号化され、従業員・取引先等の個人情報の漏えいも確認されています。

    原因

    障害発生の約10日前、攻撃者がグループ内拠点のネットワーク機器を経由して侵入。パスワードの脆弱性をついて管理者権限を奪取し、主に業務時間外に偵察を繰り返したとみられ、9月29日にランサムウェアが一斉実行された。

    主な問題点

    • 拠点のネットワーク機器を経由してデータセンターへ侵入された
    • パスワードの脆弱性をつかれ、管理者権限を奪取された（とみられる）
    • 奪取アカウントで主に業務時間外に侵入・偵察を繰り返されたとみられる
    • 規程に基づく権限管理を含む運用管理が一部で不十分だった

    影響

    業務停止

    国内グループ各社の受注・出荷業務、お客様相談室等のコールセンター業務が停止

    復旧

    EOS受注再開は2025年12月2〜3日、配送リードタイムは2026年2月までに通常化

    情報流出

    従業員5,117件・取引先等110,396件の漏えいを確認（2026年2月18日時点）

    決算・業績

    決算発表を延期（2026年7月8日開示）。棚卸資産廃棄減・復旧人件費等の一時費用△170億円（概算）

    KEY FACTS被害の規模（公表ベース）

    約229万件

    漏えいのおそれがある個人情報（5区分の計・報道集計）

    115,513件

    漏えいを確認した個人情報（2区分の計・26年2月時点）

    約10日

    拠点経由の侵入からシステム障害発生まで

    if secureの視点

    この事例のリスク領域外部接続機器権限・認証運用

    • 拠点のネットワーク機器やリモート接続装置を棚卸しし、外部からの接続点を最小化する
    • 管理者アカウントは強固なパスワードと多要素認証を必須にし、権限を最小化・定期点検
    • 規程と実運用の差を定期点検し、業務時間外の管理者ログインや横展開を常時監視する

    出典：アサヒグループHD「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日） ／ アサヒグループHD「サイバー攻撃に係る漏えいのおそれがある個人情報について」（2026年7月17日） ／ アサヒグループHD「財務報告に係る内部統制の開示すべき重要な不備に関するお知らせ」（2026年7月27日）（2026年10月9日時点の公表情報に基づく）

13. 132025年10月EC・物流アスクル委託先向け管理者IDの悪用を起点にランサム、出荷全面停止権限・認証委託先運用

    CASE 13

    アスクル、ランサムウェアで物流停止 委託先向け管理者IDが不正利用

    EC・物流公表：2025年10月

    2025年10月19日、ランサムウェア攻撃で物流システム等が暗号化され、ASKUL・LOHACO等の受注・出荷を停止しました。顧客・取引先等の情報流出も確認され、物流委託元の企業の通販にも影響しました。

    原因

    例外的にMFAを適用していなかった業務委託先向け管理者アカウントのIDとパスワードが何らかの方法で漏洩し不正利用された。侵入後はEDR等を無効化して横展開し、バックアップも暗号化。ログ削除で完全な究明は困難とされる。

    主な問題点

    • 委託先に付与した管理者アカウントにMFAを例外的に未適用
    • 侵害されたデータセンターのサーバにEDR未導入、24時間監視なし
    • ランサムウェア攻撃を想定したバックアップ環境が未構築
    • 一部ログが失われ、閲覧された可能性のある範囲の完全な特定が困難

    影響

    受注・出荷停止

    ASKUL・LOHACO等の受注・出荷を停止。主要サービス水準の回復は2026年2月

    他社ECへ波及

    グループ外の物流受託を一時停止。無印良品・ロフトのネット通販も受注停止

    売上急減

    障害直後の11月度、ASKUL事業売上は前年同月度比94.5%減

    行政指導

    2026年7月16日、個人情報保護委員会から安全管理措置について行政指導（同社公表）

    KEY FACTS被害の規模（公表ベース）

    約59万件

    流出を確認した事業所向けサービスの顧客情報

    約60万件

    追加特定の漏えいのおそれのある個人情報（漏えい未確認）

    5,108百万円

    特別損失のシステム障害対応費用（26年5月期）

    if secureの視点

    この事例のリスク領域権限・認証委託先運用

    • 委託先に付与する管理者アカウントも例外なくMFA必須とし、定期的に棚卸しする
    • データセンター内サーバまでEDRを展開し、24時間365日の監視・即応体制を整える
    • バックアップをネットワーク分離・改ざん不可で保持し、復旧を定期訓練する

    出典：アスクル「ランサムウェア攻撃の影響調査結果および安全性強化に向けた取り組みのご報告（第13報）」（2025年12月12日） ／ アスクル「ランサムウェア攻撃に伴う情報漏えいのおそれに関する本人通知の追加実施について（第19報）」（2026年7月30日） ／ アスクル「2026年５月期 決算短信〔日本基準〕(連結)」（2026年7月3日）（2026年10月9日時点の公表情報に基づく）

14. 142025年11月新聞・メディア日本経済新聞社個人PC感染起因か、Slack不正ログインで1.7万人分流出疑い権限・認証運用

    CASE 14

    個人PC感染起点か、Slack不正ログインで1万7368人分流出の疑い

    新聞・メディア公表：2025年11月

    2025年11月4日、日本経済新聞社は業務で使うSlackに外部から不正ログインがあり、社員や取引先など1万7368人分の氏名・メールアドレス・チャット履歴などが流出した疑いがあると公表しました。

    原因

    社員の個人保有PCがウイルスに感染してSlackの認証情報が流出し、これを用いて社員アカウントに不正ログインされたとみられる。感染経緯や多要素認証の有無は公表されていない。

    流出した可能性のある情報

    • Slackに登録されていた氏名・メールアドレス・チャット履歴など
    • 対象は社員や取引先など1万7368人分（流出の疑い）
    • 取材先や取材に関する情報の漏えいは確認されていない

    影響

    発覚・初動

    2025年9月に被害を把握し、パスワード変更などの対策を実施

    当局報告

    報道・著述目的は報告義務外とした上で、個人情報保護委員会に任意で報告

    公表・方針

    2025年11月4日に公表。個人情報の管理強化と再発防止の徹底を表明

    KEY FACTS被害の規模（公表ベース）

    17,368人分

    流出した可能性のある情報の対象人数

    9月

    被害を把握した時期（2025年。公表は11月4日）

    if secureの視点

    この事例のリスク領域権限・認証運用

    • 業務SaaSは多要素認証を必須化し、ID・パスワードだけでは入れない構成にする
    • 私物端末からの業務SaaS接続は、条件付きアクセス等で管理端末に限定する
    • 新規端末や不審な場所からのログインを検知し、即時にセッションを失効させる手順を整える

    出典：日本経済新聞社「業務用チャット「スラック」への不正ログインと情報流出について」（2025年11月4日） ／ ITmedia NEWS「日本経済新聞社、社内チャット「Slack」に不正ログイン　社員の個人PCのウイルス感染が原因」（2025年11月4日）（2026年10月9日時点の公表情報に基づく）

15. 152026年4月自治体・企業向けITYCC情報システム委託先ランサムで山形の自治体等の個人情報に漏えいのおそれ委託先権限・認証運用

    CASE 15

    委託先へのランサム攻撃で山形県・山形市などの個人情報に漏えいのおそれ

    自治体・企業向けIT公表：2026年4月

    2026年4月2日早朝、自治体などからシステム構築・運用を受託するYCC情報システムがランサムウェア攻撃を受け、ファイルが暗号化されました。同社に保管されていた山形県・山形市など委託元の個人情報に漏えいのおそれがあります。

    原因

    外部専門機関の調査で、ネットワーク機器の管理者アカウントの認証情報が攻撃者の認証試行等により推測または取得され、それを用いて内部ネットワークに侵入されたと推定されている（第五報）。

    主な問題点

    • ネットワーク機器の管理者アカウントの認証情報が推測・取得されたと推定（外部専門機関）
    • 契約終了分を含む委託元の個人情報が保管され、山形県は「本来処分されるべき」として厳重注意
    • 1社への攻撃で県・市・大学・企業など多数の委託元に漏えいのおそれが波及
    • マイナンバーや健康診断結果など機微な個人情報も対象

    影響

    データ暗号化

    ファイルサーバー内のファイルが暗号化され、アクセスできない状態に

    委託元へ波及

    山形県・山形市など委託元が相次いで漏えいのおそれを公表

    行政対応

    山形市は対象者へ通知し、個人情報保護委員会・総務省へ報告

    流出状況

    外部送信の明確な痕跡や犯行声明は未確認（第五報時点）だが、漏えいの可能性は否定されていない

    KEY FACTS被害の規模（公表ベース）

    31,766人

    山形市・健康情報システム（漏えいのおそれ・通知対象者）

    6,167人

    山形市・人事給与（マイナンバー等、漏えいのおそれ）

    100万件超

    委託元公表の漏えいのおそれ延べ件数（日経集計・26年6月）

    if secureの視点

    この事例のリスク領域委託先権限・認証運用

    • ネットワーク機器の管理者アカウントにMFAと接続元制限を適用し、認証試行を監視する
    • 委託契約に終了時のデータ返却・削除と証跡提出を明記し、実施を確認する
    • 委託先が保管する自組織データの所在と範囲を定期的に棚卸しする

    出典：株式会社YCC情報システム「【重要】ランサムウェア攻撃に関するお知らせ（第五報）」（2026年5月20日） ／ 山形市「株式会社YCC情報システムに対するサイバー攻撃に係る山形市保有個人情報の漏えいのおそれがある事案について」（2026年7月30日更新） ／ 日経クロステック「YCC情報システム、個人情報100万件に漏洩のおそれ 契約後20年超のデータも」（2026年6月9日）（2026年10月9日時点の公表情報に基づく）

16. 162026年4月クラウドファンディングCAMPFIREGitHub認証情報流出から22万件超に漏えいのおそれ権限・認証人的要因運用

    CASE 16

    GitHub認証情報の流出を起点に、22万件超に漏えいのおそれ

    クラウドファンディング公表：2026年4月

    2026年4月3日にGitHubアカウントへの不正アクセスを公表。社内業務用クラウドの一部管理領域への侵入も判明し、6月2日の調査結果で対象ユーザー225,846件（重複除外）に漏えいのおそれがあると報告しました（外部転送の痕跡は未確認）。

    原因

    従業員が発行したGitHub認証情報が個人開発で利用するサーバー上に意図せずアップロードされ、不正利用された。攻撃者はそこから社内業務用クラウドの認証情報を探索・取得し、一部管理領域へ不正アクセスしたと同社は判断。

    主な問題点

    • 従業員発行のGitHub認証情報が、個人開発で利用するサーバー上に意図せずアップロード
    • GitHub上の情報から社内業務用クラウドの認証情報を探索・取得された
    • 認証情報の管理・権限設計の仕組みや運用ルールが不十分（同社見解）
    • 一部ログ未取得で操作内容を直接確認できない領域が残り、閲覧の可能性を否定できない

    影響

    利用者等の情報

    225,846件（重複除外）に漏えいのおそれ。項目は区分により氏名・住所・電話番号・メール・口座情報

    開発者情報

    開発業務従事者413件の氏名・メールアドレスがGitHub上で閲覧可能だった

    確認された事実

    認証情報・APIキー等の取得と、個人情報を含む1件のクエリ出力を確認。外部転送の痕跡は未確認

    サービス

    サービス提供基盤は別環境で改ざん等は未確認。カード情報は対象外

    KEY FACTS被害の規模（公表ベース）

    225,846件

    漏えいのおそれがある対象ユーザー（重複除外）

    53,869件

    うち口座情報を含むプロジェクトオーナー等

    413件

    GitHub上で閲覧可能だった開発業務従事者の情報

    if secureの視点

    この事例のリスク領域権限・認証人的要因運用

    • 業務用トークンは短命・最小権限で発行し、個人環境への持ち出しを禁止・検知する
    • リポジトリやCI/CDに認証情報を置かず、シークレットスキャンを常時運用する
    • クラウド監査ログを全領域で取得・保管し、侵入時に閲覧有無を判定可能にする

    出典：株式会社CAMPFIRE「不正アクセス事案にかかる調査結果について」（2026年6月2日） ／ 株式会社CAMPFIRE「【続報】不正アクセスによる情報漏えい可能性の範囲について」（2026年4月27日） ／ 株式会社CAMPFIRE「GitHubアカウントへの不正アクセス発生に関するお知らせとお詫び」（2026年4月3日）（2026年10月9日時点の公表情報に基づく）

17. 172026年6月電力（送配電）九州電力送配電無施錠・暗号化なしのバックアップSSDが所在不明運用委託先

    CASE 17

    顧客情報1,354万件入りバックアップSSDが所在不明

    電力（送配電）公表：2026年6月

    2026年5月26日、託送システム等のバックアップ用SSDがサーバ室の無施錠キャビネットから所在不明と判明し、6月8日に公表しました。対象は精査後1,354万件で漏えいのおそれがありますが、同社は流出を確認していないとしています。

    原因

    サーバ容量逼迫を受け暫定的にSSDへバックアップ。作業は委託先作業員2名が社員の立会いなく行い、SSDは暗号化・パスワード保護なしで無施錠のキャビネットに保管されていた。所在不明に至った経緯は公表されていない。

    主な問題点

    • SSDへの退避を技術的対処として扱い、リスクに応じた統制・承認を経ず
    • 入室管理された区域への安心から、キャビネットの施錠を委託先に明示せず
    • 媒体自体の暗号化・パスワード保護をしていなかった
    • 作業は委託先作業員2名のみで社員の立会いがなく、施錠有無を確認できず

    影響

    対象情報

    需要者名・住所・使用電力量・電話番号（一部）等。口座・カード・メール情報は含まず

    流出状況

    6月4日に警察へ被害届を提出し、捜索を継続。同社は現時点で流出・二次被害の事実は確認していないとしている

    行政対応

    経産省が6月8日に報告徴収、7月8日に再発防止の徹底を指導

    顧客対応

    8月上旬以降、対象の顧客へ順次個別に通知

    KEY FACTS被害の規模（公表ベース）

    1,354万件

    SSDに保存されていた顧客情報（精査後）

    1,003万件

    うち個人の情報

    最大1,090万口分

    6月8日の初報時点の口数

    if secureの視点

    この事例のリスク領域運用委託先

    • 外部媒体への退避は例外とし、リスク評価と責任者承認を必須にする
    • 媒体は暗号化した上で施錠保管し、所在を台帳で定期的に棚卸しする
    • 委託仕様書に保管・施錠手順を明記し、作業後の状態を自社で確認する

    出典：九州電力送配電「お客さま情報を保存した外部記憶媒体の所在不明について」（2026年6月8日） ／ 九州電力送配電「お客さま情報を保存した外部記憶媒体の所在不明に係る報告徴収への報告について」（2026年7月8日） ／ 経済産業省「九州電力送配電株式会社から報告徴収命令に対する回答を受領し、同社に対して指導を行いました」（2026年7月8日）（2026年10月9日時点の公表情報に基づく）

18. 182026年6月通信KDDI第三者製ソフトの未知の脆弱性悪用、平文パスワード漏えい脆弱性権限・認証

    CASE 18

    ISP向けメール基盤に不正アクセス、1,223万人分のアドレス漏えい

    通信公表：2026年6月

    KDDIは2026年6月23日、ISP6社向けに提供するメールシステムへの不正アクセスを公表しました。7月6日の報告（7月21日訂正）で、メールアドレス12,231,954名分、うちパスワード7,616,173名分の漏えいを確認したとしています。

    原因

    本システムの一部として導入していた第三者製ソフトウェアの脆弱性（6月17日時点でベンダーも未認識）を悪用された。不正アクセスは一部ISPで5月16日から発生。総務省は、脆弱性悪用に加え複数の問題点が重なったと指摘。

    主な問題点

    • 第三者製ソフトウェアのベンダー未認識の脆弱性を悪用された
    • 761万6,173人分のパスワードが平文で保存（一部ISP側の事情に起因、個人情報保護委員会）
    • 侵入後の横展開を防ぐアクセス制御等が不十分（個人情報保護委員会が指摘）
    • ISP1社の第一報から公表まで22日間を要した（総務省が指摘）

    影響

    影響範囲

    BIGLOBE、@nifty、J:COM NET、コミュファ光など対象6社のメールサービス利用者

    通信の秘密

    約762万人のメールボックス内の情報が第三者に閲覧可能な状態に（総務省は通信の秘密の漏えいと認定）

    行政指導

    総務省（7月29日）と個人情報保護委員会（8月19日）が指導。同委員会は一部ISPにも指導

    利用者対応

    ISP事業者と連携してパスワード変更を推進（強制変更はISP側で実施）

    KEY FACTS被害の規模（公表ベース）

    約1,223万人

    メールアドレスの漏えいを確認（12,231,954名）

    約762万人

    パスワードの漏えいを確認（内数、7,616,173名）

    22日間

    ISP1社の第一報から公表までの期間（総務省指摘）

    if secureの視点

    この事例のリスク領域脆弱性権限・認証

    • パスワードは平文で保存せず、ソルト付きハッシュ等で保管する
    • 侵入を前提にサーバー間のアクセス制御・分離で横展開を防ぐ
    • 外部提供の基盤も含め、認証情報の保管方式を契約・監査で確認する

    出典：KDDI「ISP事業者向けメールシステムに対する不正アクセスについてのお詫びとご報告」（2026年7月6日・7月21日更新） ／ 総務省「KDDI株式会社に対する通信の秘密の保護に係る措置（指導）」（2026年7月29日） ／ 個人情報保護委員会「KDDI株式会社及びインターネットサービスプロバイダに対する個人情報の保護に関する法律に基づく行政上の対応…」（2026年8月19日）（2026年10月9日時点の公表情報に基づく）

19. 192026年6月生命保険アフラック生命照会制御・大量照会監視の不備で顧客約440万人分漏えい権限・認証運用

    CASE 19

    アフラック生命、不正アクセスで顧客約440万人分の情報漏えい

    生命保険公表：2026年6月

    2026年6月25日、「オンライン相談」と「アフラック よりそうネット」への不正アクセスによる情報漏えいが判明。6月10日〜25日の不正アクセスで顧客約440万人と代理店約4万店の情報が漏えいしました（不正利用は未確認）。

    原因

    対象システムで、攻撃に使われたアクセスとデータ照会の手口に対する制御が不十分であった（具体的な手口・攻撃者は非公表）。通常利用と同形式のアクセスで直ちに検知できず、短時間の大量照会を監視・制御する機能も不足していた。

    主な問題点

    • 攻撃に使われたアクセスとデータ照会の手口に対する制御が不十分
    • 検知・遮断機能はあったが、通常利用と同形式のアクセスを直ちに検知できず
    • 短時間に大量のデータ照会があった場合の監視・制御機能が不足
    • 設計時のセキュリティレビューやリリース前の侵入テストで今回の手口を想定できず

    影響

    漏えい項目

    氏名・住所・電話番号、証券番号、保障内容、保険料振替口座（約22万人分）等。マイナンバー等は含まず

    システム停止

    6月25日に関連システムを停止。よりそうネットは9月28日に一部を除き再開

    行政対応

    6月30日に金融庁から報告徴求命令。7月31日に調査結果と再発防止策を報告

    経営責任

    会長・社長ら役員4名が月額報酬の20〜30%を1カ月分自主返納

    KEY FACTS被害の規模（公表ベース）

    約440万人

    漏えいした顧客数（契約者数）

    約22万人

    うち保険料振替口座情報を含む顧客数

    約4万店

    情報が漏えいした代理店数（過去の委託先を含む）

    if secureの視点

    この事例のリスク領域権限・認証運用

    • ログイン認証に加え、データ照会ごとに対象データへの認可を検証する
    • 利用者・接続元単位の照会件数に上限を設け、大量取得を検知・遮断する
    • 侵入テストに、通常利用と同形式の短時間大量照会や照会時の認可検証を含める

    出典：アフラック生命保険「当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について」（2026年7月31日） ／ アフラック生命保険「当社システムに対する不正アクセスの発生および情報漏えいに関するお詫びとお知らせ（第二報）」（2026年7月13日） ／ アフラック生命保険「金融庁による報告徴求命令の受領について」（2026年7月1日）（2026年10月9日時点の公表情報に基づく）

20. 202026年8月EC構築・運営支援EストアーEC基盤への不正アクセスで利用店舗の顧客情報が延べ885万件委託先非公表

    CASE 20

    Eストアー「ショップサーブ」に不正アクセス、延べ約885万件が漏えい

    EC構築・運営支援公表：2026年8月

    2026年8月1日、EC構築サービス「ショップサーブ」への不正アクセスが公表されました。5月21日〜8月1日に不正プログラムで購入者情報が外部送信され、延べ8,853,839件が漏えいしたとされています。

    原因

    外部からの不正アクセスにより、第三者が同社サーバー上で不正なプログラムを実行し購入者情報を外部送信した。侵入経路や脆弱性の有無など原因の詳細は「調査中」とされ、公表されていない。

    漏えいした情報（同社公表）

    • 購入者の氏名・住所・電話番号・メールアドレス・勤務先等（配送先含む）
    • 会員ID・パスワード（暗号化して管理、メルマガ会員含む）
    • カード名義・番号の一部（先頭6桁・下4桁）・有効期限。CVVは対象外
    • 店舗の管理画面・メール・FTPのID/パスワード、振込先口座情報

    影響

    期間

    第1報は8月1日9:09〜11:06頃、第2報で5月21日〜8月1日に拡大

    店舗側

    利用店舗の管理画面等の認証情報も漏えい。PW変更を要請し二段階認証を推奨

    利用店舗

    利用店舗による個別の公表・お詫びが9月以降も続いた（例：キングジム）

    二次被害

    8月2日時点で具体的な二次被害の報告は確認されていない

    KEY FACTS被害の規模（公表ベース）

    延べ8,853,839件

    公表件数（同一人物の重複を含む可能性）

    5/21–8/1

    不正なプログラムが実行された期間（2026年、第2報）

    if secureの視点

    この事例のリスク領域委託先非公表

    • 委託先SaaSの事故時の報告期限・ログ保全・顧客特定の支援を契約で定める
    • 管理画面・FTP等の店舗認証情報は流出前提で即時変更し、多要素認証を必須化
    • サービス移行・解約時に過去顧客データの削除・返却を取り決め、完了を確認

    出典：株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（第2報）」（2026年8月2日） ／ 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて」（2026年8月1日） ／ 株式会社キングジム「Eストアー「ショップサーブ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年9月4日）（2026年10月9日時点の公表情報に基づく）

21. 212024年3月電力（送配電）東京電力パワーグリッド等分社化時の権限不備で顧客情報をグループ会社が閲覧・利用権限・認証運用人的要因

    CASE 21

    東京電力PG、分社化時の権限設定不備でグループ会社が顧客情報を閲覧

    電力（送配電）公表：2024年3月

    2024年3月28日、東京電力パワーグリッドは顧客情報を扱う2システムの権限設定不備で、持株会社など3社から非公開情報を閲覧できる状態だったと公表しました。6月に個人情報の漏えいを確認したとし、二次被害の報告はないとしています。

    原因

    個人情報保護委員会によると、旧東京電力の分社化（2015〜16年）時に持株会社等のアクセス権限を適切に制御できず、2020年の法的分離や2021年の総点検でも是正されなかった。両システムの内部監査も発覚まで未実施だった。

    主な問題点

    • 持株会社・発電会社・小売会社にアクセス権限が誤って設定されたままだった
    • 2016年4月から2024年1〜2月まで閲覧可能な状態が続いた（東電RPは19年10月以降）
    • 東電PG・EPの一部従業者は漏えい又はそのおそれを認識しながら是正できなかった（個情委）
    • 持株会社・発電会社の従業者に、個人データを業務上・業務外の目的で利用した者がいた（個情委）

    影響

    業務改善勧告

    2024年6月20日、電取委が体制整備義務違反等で東電PGに業務改善勧告。東電RPにも業務改善指導

    個情委が指導

    2024年6月27日、個人情報保護委員会が東電PG・HD・RPの3社を個人情報保護法に基づき指導

    役員処分

    東電PG社長を減俸（月額報酬30％、1ヶ月）、副社長2人も減俸（同20％、1ヶ月）

    システム分離

    CRMDB経由で連携する13システムの共用状態を2025年度末までに解消する計画（24年7月）

    KEY FACTS被害の規模（公表ベース）

    66件

    漏えい確認件数・接点サポートシステム（22年4月〜24年1月）

    165件

    漏えい確認件数・要請応対システム（22年4月〜24年2月）

    2016–2024年

    閲覧可能な状態が続いた期間（16年4月〜24年2月）

    if secureの視点

    この事例のリスク領域権限・認証運用人的要因

    • 分社化・組織再編のたびに全システムの権限を会社単位で棚卸しし、再設計する
    • アクセス権限とログを定期点検・内部監査し、外部の目も入れて設定漏れを検証する
    • 「見えてはいけない情報が見える」と気づいた社員が報告・是正できる仕組みを整える

    出典：東京電力パワーグリッド「システムのアクセス権限設定不備（体制整備の不備）における報告徴収の受領について」（2024年3月28日） ／ 東京電力パワーグリッド「システムのアクセス権限設定不備に伴う個人情報の取扱いに係る個人情報保護委員会からの指導及び報告等の求めの受領について」（2024年6月27日） ／ 個人情報保護委員会「一般送配電事業者及び関係小売電気事業者等における顧客情報の不適切な取扱事案に対する個人情報の保護に関する法律に基づく行政上の対応について」（2024年6月27日）（2026年10月10日時点の公表情報に基づく）

22. 222024年4月光学・医療機器HOYAサイバー攻撃で生産・受注システム停止、個人情報の漏洩も判明非公表

    CASE 22

    HOYA、サイバー攻撃で生産・受注システム停止 個人情報の漏洩も判明

    光学・医療機器公表：2024年4月

    2024年3月30日、サイバー攻撃で生産工場内や受注のシステムが停止し、メガネレンズの受注・発送も止まりました。2025年4月、内視鏡受診者や従業員等の個人情報の外部漏洩判明を公表しましたが、悪用の報告は受けていないとしています。

    原因

    同社は、本件が「害意ある第三者によるサイバー攻撃」であり、犯人が特定のサーバーにアクセスしファイルの一部を窃取したことを確認した。障害は本社や国内外の事業所に及んだが、侵入経路や攻撃手法は公表されていない。

    外部漏洩が判明した個人情報

    • 内視鏡検査受診者の氏名・性別・年齢（2016〜22年、広域関東圏の4医院等）約1,000名
    • PENTAXライフケア事業部に送られた履歴書等の採用関連情報 約500名
    • 同事業部の取引先の会社名・代表者氏名・住所・電話番号・銀行口座 約2,000名
    • 従業員・退職者・家族の氏名、社員番号、銀行口座、身分証明書、給与情報等 約3,000名

    影響

    生産・受注停止

    生産工場内や受注のシステムが停止し、レンズの受注・発送も停止。在庫出荷は手作業で対応

    財務影響

    障害で売上減、販促費も投じライフケアの1Q利益率は12.9%と目標20%前後を大きく下回る（同社）

    業界へ波及

    眼鏡販売店に影響が及び、他社レンズメーカーへの注文集中で納期遅れが波及（報道）

    二次被害

    公表時点で悪用の報告は受けておらず、カード情報の流出も確認されていない（同社）

    KEY FACTS被害の規模（公表ベース）

    3/30–4/23

    障害発生からシステムの概ね復旧を公表するまで（2024年）

    約3,000名

    外部漏洩が判明した従業員・退職者・家族の雇用関連情報

    約2,000名

    外部漏洩が判明した取引先の情報（銀行口座を含む）

    if secureの視点

    この事例のリスク領域非公表

    • 海外拠点を含む全拠点で監視を統一し、異常検知時の隔離手順を定めておく
    • 生産・受注システムの停止を想定し、手作業で出荷を続ける手順を整え訓練する
    • 事業部サーバー上の個人情報を棚卸し・最小化し、流出時の範囲特定を迅速化する

    出典：HOYA「当社グループにおけるシステム障害について（続報）」（2024年4月23日） ／ HOYA「サイバー攻撃による個人情報の外部流出について」（2025年4月14日） ／ HOYA「2025年３月期 第１四半期決算短信〔ＩＦＲＳ〕（連結）」（2024年8月1日）（2026年10月10日時点の公表情報に基づく）

23. 232024年6月精密モータ・機器製造ニデックインスツルメンツ管理者ID不正取得とみられるランサム、個人情報漏えいの可能性権限・認証委託先

    CASE 23

    ニデック子会社にランサム、管理者ID不正取得か 個人情報漏えいの可能性

    精密モータ・機器製造公表：2024年6月

    2024年5月26日、ランサムウェア攻撃で同社と国内グループ会社、一部海外現地法人のサーバー等の一部データが暗号化されました。取引先・顧客・従業員等の個人データに漏えい等のおそれがあり、二次被害は確認されていないとしています。

    原因

    攻撃者がシステムの管理者アカウントのIDとパスワードを何らかの形で不正に取得し、業務システム内にアクセスしたことが原因と考えられる（同社）。認証情報の取得方法や侵入経路は公表されていない。

    被害の内容

    • 同社・国内グループ会社と一部の海外現地法人のサーバー等で一部データが暗号化
    • 6月18日、リークサイトに同社グループ関連と思われるDLリンク掲載を確認（19日以降はDL不可）
    • 取引先・顧客・従業員等の個人データに漏えい等のおそれ。従業員等はマイナンバー等を含む
    • 別のネットワーク構成の9社やニデック本体のシステムには被害が及んでいない（同社）

    影響

    業務障害

    「社内業務に著しい障害」（同社）。5月27日、バックアップから最低限の対外的業務継続体制を構築

    委託元へ波及

    ニデックが取扱いを委託した株主優待当選者482名の個人データも漏えい等のおそれ

    身代金要求

    攻撃者から親会社ニデックに身代金要求があったが、支払いは一切していない（同社）

    二次被害

    7月25日時点で不正利用等の二次被害は確認されず（同社）。クレジットカード情報等は含まれない

    KEY FACTS被害の規模（公表ベース）

    318,151件

    漏えい等のおそれ：取引先等の個人データ（延べ）

    71,089件

    漏えい等のおそれ：オルゴール購入者・イベント参加者（延べ）

    13,290件

    漏えい等のおそれ：従業員・元従業員・家族等（延べ）

    if secureの視点

    この事例のリスク領域権限・認証委託先

    • 管理者アカウントは多要素認証を必須とし、不要なアカウントを定期的に棚卸し・削除する
    • ネットワークを分離し、侵害時の被害範囲を限定する（別構成の9社は影響なし）
    • グループ会社への委託でも、預けた個人データの保管場所・期間を把握し不要分を削除させる

    出典：ニデックインスツルメンツ「弊社の不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ（第3報）」（2024年7月25日） ／ ニデック「当社グループ会社におけるセキュリティインシデントの発生について（第二報）」（2024年6月27日） ／ ニデック・ニデックインスツルメンツ「ランサムウェア感染に関するお詫びとご報告」（2024年7月19日）（2026年10月10日時点の公表情報に基づく）

24. 242024年8月製薬サノフィ委託先の個人用PC感染を起点にDB不正アクセス、流出の可能性委託先権限・認証人的要因

    CASE 24

    サノフィ、委託先の個人用PC感染で医療従事者情報に流出の可能性

    製薬公表：2024年8月

    2024年8月28日、海外の業務委託コンサルタントの個人用PCがマルウェアに感染し、7月10〜14日にDBの一部へ不正アクセスされたと公表しました。医療従事者733,820人分等に流出の可能性があり、二次被害は未確認としています。

    原因

    海外の業務委託コンサルタントが同社のITセキュリティポリシーに違反し、個人用ノートPCにDBへのアクセスID等を保存していた。同PCが2024年7月10日にマルウェアに感染し、外部からDBの一部にアクセス可能となった。

    不正アクセスの対象となった個人情報

    • 医療従事者733,820人分：氏名、性別、生年月日、メールアドレス
    • 医療従事者の医療機関名・住所、役職（院長、教授等）、職種、診療科
    • 従業員1,390人（派遣社員・業務委託先社員を含む）：氏名
    • クレジットカード情報や銀行口座情報等は含まれていない（同社）

    影響

    二次被害

    個人情報の公開や不正使用などの二次被害は確認されていない（公表時点）

    委託契約解除

    当該業務委託先との契約を即時解除し、アカウントを停止

    公表時期

    7月に発覚。事実関係を一定確認した後の8月28日に公表

    再発防止策

    パスワード変更、社外ネットワークからのアクセス禁止・IP制限、アカウント有効期限設定等

    KEY FACTS被害の規模（公表ベース）

    733,820人分

    不正アクセスの対象となった医療従事者（流出の可能性）

    1,390人

    対象となった従業員（派遣・委託先社員含む、氏名のみ）

    7/10–7/14

    外部第三者がDBの一部にアクセスした期間（2024年）

    if secureの視点

    この事例のリスク領域委託先権限・認証人的要因

    • 委託先にも個人用端末での業務・ID保存を禁じ、管理端末の利用を契約と技術で担保する
    • 重要DBへの接続は社内網・許可IPに限り、IDが漏れても外部から使えない構成にする
    • 委託先アカウントに有効期限を設けて棚卸しし、不要時・契約終了時は即時停止する

    出典：サノフィ「サイバー攻撃による個人情報流出の可能性について（お詫び）」（2024年8月28日）（2026年10月10日時点の公表情報に基づく）

25. 252024年9月EC物流代行・WMS関通外部接続口から侵入されランサム、入出庫停止が委託元へ波及外部接続機器脆弱性委託先

    CASE 25

    関通、ランサムウェアで入出庫システム停止 委託元のEC出荷に波及

    EC物流代行・WMS公表：2024年9月

    2024年9月12日、ランサムウェア感染で入出庫システムが停止し、同社と利用取引先の入出庫が停止・遅延、EC事業者の出荷にも波及しました。個人情報漏洩の可能性を公表しましたが、その後漏洩の事実は確認されていないと報告しています。

    原因

    同社は、外部ネットワークとの接続口から複数のサーバへ侵入され、暗号化されたと公表している。社長の講演を伝えた報道では、VPN機器の脆弱性を突かれて侵入されたとされる。同社の事案公表文にVPNの記載はない。

    被害の内容

    • 入出庫に関わる複数のシステムが停止し、同社と利用取引先の入出庫が停止・遅延
    • クラウドトーマス等を使うEC企業から漏えいの可能性、出荷遅延、サイト停止等の発表が相次ぐ（報道）
    • 発送委託先が関通にWMS開発保守を委託していたEC事業者にも影響が連鎖（報道）
    • 郵便番号・住所・氏名・電話番号・注文情報が漏洩した可能性。後に漏洩の事実は未確認と報告

    影響

    業務停止

    生産・出荷業務が一部停止し段階的に復旧。10月21日の公表時点で多くの顧客が一次復旧

    取引先へ波及

    WMS利用取引先でも入出庫が停止・遅延。クラウドトーマスでは解約も発生（同社）

    損害賠償

    出荷遅延等の顧客への損害賠償金を25・26年2月期に計上。ほぼ全て保険でカバー（同社）

    財務影響

    25年2月期、サイバー攻撃関連中心に特別損失1,231百万円を計上し当期純損失848百万円

    KEY FACTS被害の規模（公表ベース）

    約50日

    通常業務を停止した期間（社長講演の報道）

    713,024千円

    特別損失の情報セキュリティ対策費（25年2月期）

    358,570千円

    出荷遅延等の顧客への損害賠償金（25年2月期分）

    if secureの視点

    この事例のリスク領域外部接続機器脆弱性委託先

    • VPN等の外部接続口を棚卸しし、機器の脆弱性対応と監視を常時行う
    • 委託先・再委託先の停止を想定し、代替出荷手段と連絡経路を契約で定める
    • 全面再構築も想定した復旧計画と保険を備え、復旧時間を目標管理する

    出典：関通「【第3報】当社におけるサイバー攻撃によるシステムの停止事案発生のお知らせ」（2024年9月28日） ／ 関通「個人情報漏洩の可能性に関する確報」（2024年10月18日） ／ 関通ホールディングス「有価証券報告書」（第40期、2026年5月29日）（2026年10月10日時点の公表情報に基づく）

26. 262024年9月人材・転職サービスパーソルキャリア（doda）代理店向けシステム不備で採用担当者情報が閲覧可能に権限・認証委託先運用

    CASE 26

    パーソルキャリア、代理店向けシステム不備で採用担当者情報が閲覧可能に

    人材・転職サービス公表：2024年9月

    2024年9月17日、dodaの販売代理店向けシステムの不備で、採用担当者549,195名の個人情報が代理店等1,164社から閲覧できる状態だったと公表しました。発覚の契機の1件以外の閲覧・利用は現時点で未検知としています。

    原因

    システム開発時の仕様検討とプライバシー観点の確認・検証が不十分で、法人顧客情報を管理する社内基幹DBの採用担当者情報が代理店向けシステムに連携されていた（同社）。取引のない代理店から営業を受けた顧客の連絡で発覚した。

    主な問題点

    • 代理店業務で閲覧の必要がない採用担当者情報が、基幹DBから代理店向けシステムに連携
    • 代理店の委託先を含む計1,164社が、氏名・メールアドレス等を閲覧できる状態だった
    • 開発時の仕様検討とプライバシー観点の確認・検証が不十分だった（同社）
    • 2018年5月31日から2024年8月30日の改修まで閲覧可能で、発覚は法人顧客からの連絡

    影響

    営業に利用

    取引のない代理店が採用担当者に営業し、情報は同システムから得たと回答（発覚の契機）

    調査結果

    代理店への調査で、発覚契機の1件以外の閲覧・利用は現時点で検知せず（同社）

    システム改修

    2024年8月30日に改修し閲覧できない状態に。今後の影響拡大の可能性はないとする

    対象者へ連絡

    2024年9月17日から対象者に連絡を開始。連絡先を保有しない対象者には公表をもって代えた

    KEY FACTS被害の規模（公表ベース）

    549,195名

    代理店等から閲覧できる状態だった採用担当者数

    1,164社

    閲覧可能だった代理店および代理店の委託先の合計

    2018–2024年

    対象期間（2018年5月31日〜2024年8月30日）

    if secureの視点

    この事例のリスク領域権限・認証委託先運用

    • 外部向けシステムへのデータ連携は必要な項目に限定し、閲覧範囲を最小化する
    • 開発・改修時にプライバシー影響を事前審査し、外部から見える項目を検証する
    • 代理店とその委託先の閲覧権限・利用状況を定期的に棚卸しし、目的外利用を監視する

    出典：パーソルキャリア「「doda」求人広告の販売代理店向けシステムにおける不備に関するお詫び」（2024年9月17日）（2026年10月10日時点の公表情報に基づく）

27. 272024年12月航空日本航空（JAL）社内外を結ぶルーターにDDoS、遅延・欠航と販売停止外部接続機器

    CASE 27

    JAL、DDoS攻撃でネットワーク機器に障害 運航遅延・航空券販売停止

    航空公表：2024年12月

    2024年12月26日朝、社内外をつなぐネットワーク機器に障害が発生し、国内線・国際線に遅延や欠航が出たほか、当日分の航空券販売も一時停止しました。顧客データ流出やウイルス被害は生じていないと同社は説明しています。

    原因

    同社によると、社内外のネットワークをつなぐルーターに社外から大量のデータを送り付けられたことが要因（報道）。国交省の資料はDDoS攻撃によるものとし、社外システムと通信する飛行計画システム等で不具合が生じたとしている。

    障害の経過（12月26日・報道）

    • 7時24分、社内外をつなぐネットワーク機器で障害が発生
    • 8時56分、障害の原因となっていたルーターを一時的に遮断
    • 13時20分にシステムが復旧し、14時に復旧を発表
    • 同社広報は、攻撃がやんだのではなく不具合に対処して復旧させたと説明

    影響

    運航

    朝方の遅延が、同じ機材を使う後続便の遅れにも波及（報道）

    販売停止

    当日出発の国内線・国際線の航空券販売を停止し、14時30分に再開を発表（報道）

    相次ぐ攻撃

    年末年始に航空・金融・通信事業者等へDDoS攻撃が相次ぎ、NISCが2025年2月に注意喚起

    KEY FACTS被害の規模（公表ベース）

    60便

    遅延が発生した国内線（最大1時間26分）

    11便

    遅延が発生した国際線（最大4時間2分）

    5便

    欠航した国内線

    if secureの視点

    この事例のリスク領域外部接続機器

    • 社外と通信する重要システムは他系統と分離し、回線・機器を冗長化する
    • 平常時のトラフィックを把握し、異常な通信を早期に検知・通知できるようにする
    • 回線事業者等のDDoS対策サービスと、発生時の代替手段・周知手順を備える

    出典：国土交通省「サイバーセキュリティに関する政府・国土交通省の取組」（2025年12月10日） ／ 日経クロステック「JALのシステム障害復旧、国際線は最大4時間2分遅延」（2024年12月26日） ／ Aviation Wire「JAL、システム復旧 航空券販売も再開 DDoS攻撃で障害」（2024年12月26日）（2026年10月10日時点の公表情報に基づく）

28. 282025年2月保険代理店保険見直し本舗グループネットワーク装置から侵入か、約510万件に漏えい等のおそれ外部接続機器委託先

    CASE 28

    保険見直し本舗グループにランサム被害、約510万件に漏えい等のおそれ

    保険代理店公表：2025年2月

    2025年2月16日にランサムウェア被害を確認し、25日に公表しました。データサーバ等が暗号化され一部店舗が臨時休業し、約510万件の顧客情報に漏えい等のおそれが生じましたが、8月の調査で情報漏えいの痕跡は確認されていません。

    原因

    外部専門機関によれば、グループ内で使っていた一部のネットワーク装置を侵入経路とする不正アクセスの可能性が高い。社内ネットワークを通じ複数の端末・サーバが攻撃されファイルが暗号化された。装置の種類や手口は公表されていない。

    漏えい等のおそれがある情報

    • 保険申込者の情報：契約者・被保険者の氏名・生年月日・電話番号等、保険契約概要
    • 協業先企業から預かった顧客の情報：氏名・住所・電話番号等
    • 保険相談をした顧客の情報：氏名・住所・電話番号等
    • マイナンバーや決済情報（銀行口座・クレジットカード情報）は含まれないと同社

    影響

    店舗休業

    全端末点検のため直営店343店中258店を2月25〜28日に臨時休業（報道）

    委託元へ波及

    対象の生損保等を第2報別紙に列挙。アクサ生命・損保は「委託先保険代理店」の被害と公表

    行政対応

    警察に被害相談、関係省庁へ報告済み（報道）。金融庁等の要請・指示に対応と同社

    調査結果

    フォレンジック調査で情報漏えいの痕跡は見つからず、流出・公開の事実も未確認（8月29日時点）

    KEY FACTS被害の規模（公表ベース）

    約510万件

    漏えい等のおそれがある顧客情報（グループ計・4月25日時点）

    約170万件

    うち株式会社保険見直し本舗分（同時点）

    258店舗

    2/25–2/28に臨時休業とした直営店（343店中・報道）

    if secureの視点

    この事例のリスク領域外部接続機器委託先

    • 外部との接点となるネットワーク装置を棚卸しし、設定と稼働状態を定期点検する
    • 侵入後の横展開を早期に捉えるため、端末・サーバを24時間体制で監視する
    • 委託元は、顧客情報を預ける代理店・委託先のセキュリティ体制を定期的に確認する

    出典：保険見直し本舗グループ「当社グループにおけるランサムウェア被害についての調査と再発防止策のご報告」（2025年8月29日） ／ 保険見直し本舗グループ「当社グループにおけるランサムウェア被害に関しまして（第2報）」（2025年4月30日） ／ 日経クロステック「保険見直し本舗がランサムウエア被害、258店舗を臨時休業」（2025年2月26日）（2026年10月10日時点の公表情報に基づく）

29. 292025年3月証券（ネット取引）ネット証券各社偽サイト等で窃取されたIDで不正取引1万件超（暫定値）権限・認証人的要因運用

    CASE 29

    ネット証券口座の乗っ取り・不正取引が多発 偽サイト等でID窃取

    証券（ネット取引）公表：2025年3月

    2025年、偽サイト等で盗まれたID・パスワード等で証券口座への不正アクセスが多発し、不正取引は26年9月までに10,642件（金融庁、暫定値）に上りました。楽天証券・SBI証券は自社からの漏えいは確認されていないとしています。

    原因

    実在する証券会社を装った偽サイト等で窃取されたログインID・パスワード等による不正アクセスである（金融庁）。日証協はマルウェアも挙げる。楽天証券・SBI証券は多要素認証を提供していたが必須化は2025年5〜6月だった。

    主な問題点

    • 偽サイト等で窃取されたID・パスワード等で、第三者がログインし売買できた
    • 多要素認証等を提供しつつ、顧客への「必須化」までは実施していなかった（SBI証券）
    • 追加認証の重要性・利用を十分に周知できていなかったと楽天証券が反省
    • 多くは口座内の株式等を売却し、その代金で国内外の小型株等を買い付ける手口（金融庁）

    影響

    被害拡大

    ピークの25年4月は不正取引3,033件。5月は16社で発生し、26年9月も不正アクセス37件

    補償

    25年5月、10社が約款等に関わらず一定の補償方針を申し合わせ。楽天・SBIは被害額の50%が基本

    規制強化

    25年10月15日、金融庁・日証協が指針を改正し、重要操作時のフィッシング耐性MFA必須化を規定

    取引制限

    楽天証券は不正取引に関与した可能性のある香港株582銘柄の買い注文受付を一時停止

    KEY FACTS被害の規模（公表ベース）

    19,252件

    不正アクセス件数（25年1月〜26年9月・暫定値）

    10,642件

    うち不正取引まで行われた件数（同期間）

    約4,372億円

    不正取引の売却金額合計（顧客の損失額とは一致しない）

    if secureの視点

    この事例のリスク領域権限・認証人的要因運用

    • ログイン・出金等の重要操作にパスキー等のフィッシング耐性MFAを必須で適用する
    • 任意のセキュリティ機能は周知頼みにせず初期設定で有効化し、利用率を管理する
    • 振る舞い検知とログイン・取引通知で不審な操作を早期に捉え、即時に止める

    出典：金融庁「インターネット取引サービスでの不正アクセス・不正取引の被害状況」（2026年10月9日更新） ／ 楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」（2025年7月25日、2026年2月18日更新） ／ SBI証券「不正アクセス等による被害に対する当社における補償方針について」（2025年7月25日、2025年11月20日更新）（2026年10月10日時点の公表情報に基づく）

30. 302025年4月国際物流・フォワーダー近鉄エクスプレスランサムでサーバー障害、業務の一部に支障（漏えい未確認）非公表

    CASE 30

    近鉄エクスプレス、ランサムウェアで大規模サーバー障害 業務の一部に支障

    国際物流・フォワーダー公表：2025年4月

    2025年4月23日、大規模なサーバー障害を公表し、28日に原因はランサムウェアによる第三者からの不正アクセスと発表しました。30日に「ほぼ復旧」と公表しました。情報漏えいは28日時点で確認されていないとしています。

    原因

    同社は調査の結果、ランサムウェアによる第三者からの不正アクセスが原因と判明したと公表した。同社広報によれば業務に使うデータが暗号化された（報道）。侵入経路や調査結果の詳細は公表されていない。

    被害の内容

    • 大規模なサーバー障害でシステムが利用できない状態に（4月23日12時公表）
    • 報道によれば23日朝から国内全域で同社取扱貨物全般の輸送が停止
    • 「ほぼ復旧」後も全面復旧の時期は「未定」と同社広報（5月1日報道）
    • 4月28日時点で情報漏えいは未確認。顧客DBへの影響確認時は個別連絡と公表

    影響

    業務停止

    4/25時点で稼働は一部の国と地域。4/30に「ほぼ復旧」し、サービス提供を順次再開

    荷主へ波及

    報道では、ある製造業者が輸入通関業務を他社に依頼して滞留を解消しつつあった

    業績影響

    近鉄GHDは26年3月期、国際物流業の減収要因の一つに「前年４月のシステム障害の影響」を挙げた

    再発防止

    全端末への監視機器取り付け等に注力し、「ネットワーク集約化による被害拡大の防止」等を定めた

    KEY FACTS被害の規模（公表ベース）

    4/23–4/30

    障害公表から「ほぼ復旧」公表まで（2025年）

    約800件

    都内の製造業者1社で滞った輸入通関（4/25時点・報道）

    4/28

    原因はランサムウェアによる不正アクセスと公表（2025年）

    if secureの視点

    この事例のリスク領域非公表

    • 基幹システム停止時も通関・輸送を継続できる代替手順をBCPに定め、訓練する
    • 全端末の常時監視と即時隔離で、暗号化被害の拡大を早期に食い止める
    • 障害時の荷主連絡と代替手配の手順を平時から取り決めておく

    出典：近鉄エクスプレス「弊社システムに対するランサムウェア攻撃について」（2025年4月28日） ／ 近鉄エクスプレス「弊社システムに対するランサムウェア攻撃について – 2025/04/30更新 –」（2025年4月30日） ／ 近鉄エクスプレス「KWE Group Report 2025」（2025年12月16日）（2026年10月10日時点の公表情報に基づく）

31. 312025年4月損害保険損保ジャパン社内Webに不正アクセス、顧客・代理店データに漏えいの可能性非公表

    CASE 31

    損保ジャパンの社内Webに不正アクセス、顧客データ等に漏えいの可能性

    損害保険公表：2025年4月

    2025年4月21日、社内Webシステムへの不正アクセスを確認しました。17〜21日に第三者が顧客情報にアクセスできる状態だったと推測され、顧客・代理店データに漏えいの可能性があります。漏えい・不正利用の事実は確認されていません。

    原因

    各種指標管理を主とした社内Webシステム（独立稼働で他システムに影響なしとされる）が第三者に不正アクセスされ、2025年4月17〜21日に顧客情報にアクセスできる状態だったと推測される。侵入経路・手口は公表されていない。

    閲覧のおそれ・漏えいの可能性があるデータ

    • 顧客関連：氏名・連絡先・証券番号を含む約337万件、氏名と証券番号の約187万件ほか
    • 代理店関連データ約178万件：保険募集人氏名、募集人ID、生年月日（9,366件）
    • 顧客の金融機関口座情報1,638件を含む。マイナンバーカード・クレジットカード情報は含まず
    • 証券番号・事故番号のみのデータ約844万件（同社DBと照合しないと個人特定不可）

    影響

    行政対応

    2025年6月12日、金融庁から保険業法・個人情報保護法に基づく報告徴求命令を受領

    個別通知

    漏えいの可能性がある顧客へ2025年7月末以降順次個別に連絡。専用窓口を設置

    提携先へ波及

    同社が幹事保険会社の住宅金融支援機構特約火災保険等の利用者情報も漏えいの可能性（機構公表）

    二次被害

    不正利用・外部への漏えいの事実は確認されていない（同社、2025年7月25日時点）

    KEY FACTS被害の規模（公表ベース）

    最大約1,750万件

    閲覧のおそれ・漏えいの可能性があるデータ（合計は報道値）

    約337万件

    氏名・連絡先・証券番号が記載された顧客データ

    4/17–4/21

    顧客情報にアクセスできる状態と推測される期間（2025年）

    if secureの視点

    この事例のリスク領域非公表

    • 指標管理等の周辺システムに顧客データを過剰に持たせず、最小化・マスキングする
    • 外部から到達可能な社内Webシステムを棚卸しし、不要な外部公開をなくす
    • 顧客データへの異常なアクセスを常時監視し、早期に検知・遮断できる体制を整える

    出典：損害保険ジャパン「当社システムに対する不正アクセスの発生及び情報漏えいの可能性について（第２報）」（2025年6月11日） ／ 損害保険ジャパン「報告徴求命令の受領（当社システムに対する不正アクセスの発生及び情報漏えいの可能性）」（2025年6月13日） ／ 損害保険ジャパン「【一覧】当社システムに対する不正アクセスの発生及び情報漏えいの可能性について」（2025年7月25日）（2026年10月10日時点の公表情報に基づく）

32. 322025年7月生命保険日本生命出向者が出向先の内部情報を無断持ち出し、7代理店600件内部不正運用委託先

    CASE 32

    日本生命、出向者が出向先の内部情報を無断持ち出し 7代理店600件

    生命保険公表：2025年7月

    2025年7月の報道を受け、日本生命は銀行への出向者が出向先の内部情報を無断で持ち出していたと公表しました。調査で7代理店・600件の不適切な情報取得が判明しましたが、顧客情報の取得は現時点で確認されていないとしています。

    原因

    銀行等の代理店への出向者が出向先の内部情報を無断で私用スマホのメッセージアプリや郵送等で持ち出し、日本生命側と共有した。同社は双方が不適切と認識しつつ情報に頼ったことと、第1.5線・第2線の教育・検知不足を主因とする。

    主な問題点

    • 出向者が出向先の内部情報を私用スマホのメッセージアプリや郵送等で上司等の許可なく持ち出し
    • 受領した担当者が画像を加工・転記、または「逆流厳禁」と付すなどして資料化し部門内に広く共有
    • 銀行との情報取扱いの具体的ルールを出向者に十分示せず、法令・倫理観の教育も不足
    • 第1.5線は提供プロセスへの想像力を欠き異常事象を早期検知できず、第2・第3線の牽制等も不十分

    影響

    行政対応

    2025年7月18日、金融庁から保険業法第128条第1項に基づく報告徴求命令を受領（同社公表）

    役員処分

    2025年11月、副社長ら役員2人を報酬減額。社長・会長・特別顧問は報酬月額30%を1ヵ月自主返納

    出向見直し

    銀行等の営業フロント・営業企画・支援職務への出向を2026年4月目途に行わない予定（同社）

    業界でも判明

    金融庁によると、各生保の調査で多くの生保において代理店内部情報の持ち出しを確認（26年8月）

    KEY FACTS被害の規模（公表ベース）

    600件

    不適切な手段での情報取得（2025年11月18日更新）

    7代理店

    情報取得が判明した銀行等の代理店

    2019–2025年

    発生時期（2019年5月〜2025年3月）

    if secureの視点

    この事例のリスク領域内部不正運用委託先

    • 出向者・常駐者に開示する情報を職務上必要な範囲に絞り、持ち出し禁止を明文化する
    • 私用スマホのメッセージアプリや郵送による業務情報の持ち出しを禁じ、点検で遵守を確認
    • 他社から受け取った情報の入手経路を確認する仕組みを、受領部門と第2線に設ける

    出典：日本生命「当社出向者による不適切な手段での情報取得事案に係る金融庁への報告について」（2025年9月12日初掲、11月18日更新） ／ 日本生命「当社出向者による不適切な手段での情報取得事案に係る役員の処分等について」（2025年11月25日） ／ 金融庁「2026年 保険モニタリングレポート」（2026年8月6日）（2026年10月10日時点の公表情報に基づく）

33. 332025年8月EC（中古・新品通販）駿河屋監視ツール脆弱性で決済ページ改ざん、カード情報漏えいの疑い脆弱性

    CASE 33

    駿河屋、監視ツールの脆弱性で決済ページ改ざん カード情報漏えいの疑い

    EC（中古・新品通販）公表：2025年8月

    2025年8月8日、「駿河屋.JP」の改ざんで決済時の入力情報が流出する状態だったと公表しました。12月4日の続報ではカード情報30,431件等に漏えいの疑いがあり、決済ページ以外での個人情報持ち出しの証跡は現時点で未確認です。

    原因

    監視ツールの脆弱性を突いた不正アクセスで決済ページ用JavaScriptが改ざんされ、入力情報が外部流出する状態だった。7月23日に不正アクセスを検知したが、改ざんの検知は8月4日、外部からの問い合わせが起点だった。

    漏えいした可能性のある情報

    • カード情報：カード名義人名、カード番号、有効期限、セキュリティコード、カードブランド
    • 個人情報：氏名、住所、郵便番号、電話番号、メールアドレス、領収書の宛名、但し書き
    • 対象：2025年7月23日12時50分〜8月8日に駿河屋.JPでカード決済した顧客

    影響

    カード決済停止

    2025年8月8日から駿河屋.JPのカード決済を停止。再開は対策実装と外部確認の完了後とした

    行政対応

    8月8日、個人情報保護委員会へ報告し、所轄の静岡中央警察署へ相談

    本人通知

    8月25〜31日に対象者へメール送信。調査結果を受け追加対象者にも個別連絡するとした

    二次被害対策

    カード会社等と不正利用を監視。再発行手数料を顧客負担としないようカード会社に依頼

    KEY FACTS被害の規模（公表ベース）

    30,431件

    漏えいの疑いがあるカード情報（2025年12月4日公表）

    29,932名

    漏えいの疑いがある顧客情報（同上）

    7/23–8/8

    漏えい対象期間（2025年、開始は7/23 12時50分）

    if secureの視点

    この事例のリスク領域脆弱性

    • 監視ツール等の管理用ソフトも脆弱性管理とアクセス制限の対象に含める
    • カード情報非保持でも、決済ページのスクリプト改ざんを常時検知する
    • 不正アクセス検知時は、決済画面の改ざん有無まで即時に点検する

    出典：駿河屋「第三者不正アクセスに関するフォレンジック調査完了および判明事項についてのお知らせ」（2025年12月4日） ／ 駿河屋「第三者不正アクセスによる個人情報漏えいとクレジットカード決済停止に関するお詫びとお知らせ」（2025年8月8日） ／ 駿河屋「第三者不正アクセスによる個人情報漏えいに関するよくあるお問い合わせをまとめました」（2025年12月4日更新）（2026年10月10日時点の公表情報に基づく）

34. 342025年8月ボイラー製造三浦工業海外グループ会社経由の不正アクセスで障害、情報流出の可能性権限・認証

    CASE 34

    三浦工業、海外グループ会社経由の不正アクセスで障害 情報流出の可能性

    ボイラー製造公表：2025年8月

    2025年8月14日、海外グループ会社を通じた不正アクセスを確認し、システム障害で一部サービスが停止しました。最終報では社員等の情報最大5,021件に流出またはその可能性があるとし、二次被害は確認されていないとしています。

    原因

    最終報によれば、第三者が同社ネットワークに不正にアクセスしてアカウント情報を窃取したうえで不正侵入した。初報では海外グループ会社を通じて不正アクセスを受けたとしている。窃取の手口など詳細な侵入経路は公表されていない。

    被害の内容

    • 社員等の氏名・業務用連絡先・システム利用時のパスワード等 最大5,021件に流出またはその可能性
    • 輸出管理の顧客情報最大4,577件・取引情報最大161,383件に流出の可能性（続報時点）
    • 製品配送先の法人顧客最大20,112件・個人顧客最大5,537件に流出の可能性（続報時点）
    • クレジットカード情報・口座情報は含まれていない（同社）

    影響

    サービス停止

    システム障害で顧客向けの一部サービスを提供できなくなり、2025年8月16日に復旧

    社内NW障害

    社内業務用ネットワークにも障害が発生し、2025年8月21日に一部を除き復旧

    二次被害

    最終報時点で、当該個人情報を利用した二次被害の発生は確認されていない（同社）

    報告・通知

    警察と個人情報保護委員会に報告。対象者へ個別に連絡し、困難な場合は公表で代替

    KEY FACTS被害の規模（公表ベース）

    最大5,021件

    流出またはその可能性のある社員等の情報（26年5月最終報）

    最大161,383件

    流出の可能性のある輸出管理の取引情報（25年8月続報）

    8/14–8/16

    不正アクセス確認〜顧客向け一部サービス復旧（2025年）

    if secureの視点

    この事例のリスク領域権限・認証

    • 海外を含むグループ会社との接続経路を棚卸しし、境界で通信を制限・常時監視する
    • 社内ネットワークへのアクセスに多要素認証を必須とし、窃取IDの悪用を防ぐ
    • 認証情報や個人情報を含むDBの所在を平時に把握し、流出範囲を迅速に特定する

    出典：三浦工業「当社ネットワークへの不正アクセスによるシステム障害について」（2025年8月15日） ／ 三浦工業「当社ネットワークへの不正アクセスによるシステム障害について（続報）」（2025年8月26日） ／ 三浦工業「当社ネットワークへの不正アクセスによるシステム障害について（最終報）」（2026年5月18日）（2026年10月10日時点の公表情報に基づく）

35. 352026年4月カー・二輪用品販売イエローハット（２りんかん）アプリのAPI悪用で会員317万9,454名分が漏えい権限・認証

    CASE 35

    イエローハット子会社、API悪用で会員317万9,454名分が漏えい

    カー・二輪用品販売公表：2026年4月

    2026年4月20日夕刻に不正アクセスを検知しました。アプリ内の情報窃取を経たAPI呼び出しで、２りんかん会員3,179,454名分の氏名・住所・アプリパスワード等が漏えいしました。クレジットカード情報の漏えいはないとしています。

    原因

    同社によると、攻撃者がアプリ内の情報を窃取した結果、4月20日4:54からアプリを使わず個人情報を取得できるAPIが呼び出され、顧客WEBサーバーから顧客データが取得された。サーバーへの不審な侵入痕跡は確認されていない。

    主な問題点

    • アプリを使用せずに個人情報を取得可能なAPIが存在した
    • 攻撃者がアプリ内の情報を窃取した結果、APIの呼び出しが行われた
    • API呼び出しは4月20日4:54に始まり、不正アクセスの検知は同日夕刻
    • 取得された項目にアプリのユーザーIDとパスワードが含まれる

    影響

    アプリ停止

    ２りんかんアプリを一部停止し利用制限。2026年10月を目途に再開予定（6月19日時点）

    顧客対応

    電話・メール・SMS・書面等で個別通知。再開時は全アプリ会員を一斉ログアウトし新パスワード設定へ

    行政・警察

    個人情報保護委員会へ確報を提出。警察に被害届を出し捜査に協力（同社）

    財務影響

    対応・対策費用は連結業績に重要な影響を及ぼす見込みはないと同社（6月19日）

    KEY FACTS被害の規模（公表ベース）

    3,179,454名分

    漏えいを特定した会員データ（2026年6月19日 第三報）

    最大3,455,754名分

    第二報（5月1日）時点の漏えいの可能性（後に下方修正）

    4/20

    2026年：4:54にAPI呼び出し開始、夕刻に不正アクセス検知

    if secureの視点

    この事例のリスク領域権限・認証

    • アプリ内の情報は漏れる前提で、個人情報APIには利用者ごとの認証・認可を必須にする
    • APIからの大量取得や異常な呼び出しを即時に検知・自動遮断する監視を整える
    • 公開APIを棚卸しし、返す個人情報を必要最小限に絞って定期的に診断する

    出典：イエローハット「連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ【第三報】」（2026年6月19日） ／ イエローハット「連結子会社における不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ【第二報】」（2026年5月1日） ／ イエローハット「連結子会社における不正アクセスによる個人情報漏えいの可能性に関するお詫びとお知らせ」（2026年4月23日）（2026年10月10日時点の公表情報に基づく）

36. 362026年7月食品・低温物流ニチレイ倉庫入出庫・冷食出荷が停止、個人情報5.3万件の漏えい確認非公表委託先

    CASE 36

    ニチレイにサイバー攻撃、冷蔵倉庫・冷食出荷が停止し個人情報も漏えい

    食品・低温物流公表：2026年7月

    2026年7月13日、サイバー攻撃による障害でシステムを遮断し、冷蔵倉庫の入出庫と冷凍食品出荷が停止しました（24日全拠点で通常稼働）。9月18日に従業員等の個人情報漏えいを確認したと公表。二次被害は確認されていないとしています。

    原因

    サーバの一部がサイバー攻撃（不正アクセス）を受け、2026年7月13日にシステム障害が発生した。同社は被害拡大防止や警察等との連携を理由に攻撃の詳細を開示しておらず、侵入経路は公表されていない。原因分析を継続中である。

    漏えいを確認した情報

    • 従業員（2021年以降の退職者含む）・家族・求職者の氏名、給与賞与、在留資格等 43,709件
    • 取引先役職員の会社名、氏名、住所、電話番号、メールアドレス等 6,849件
    • グループ各社が受託した配送業務の配送先顧客の氏名、住所、電話番号 3,308件
    • クレジットカード情報は含まれず、全件に全項目が含まれるわけではない（同社）

    影響

    業務停止

    冷蔵倉庫の入出庫・冷凍食品出荷が停止。7/17受発注を一部制限し部分稼働、7/24全拠点で通常稼働

    取引先影響

    同社は約10日間顧客に迷惑をかけたと説明。低温物流の年間顧客は約5,000社（同社サイト・報道）

    財務影響

    売上高最大50億円減・営業利益8億円減・特別損失10億円を通期予想に織り込み（26年8月7日時点）

    報告・二次被害

    9月11日に個人情報保護委員会へ報告。不正利用等の二次被害は確認されていない（同社）

    KEY FACTS被害の規模（公表ベース）

    53,866件

    漏えいを確認した個人情報（報道集計、9/18時点）

    最大50億円

    システム障害による売上高への影響見込み（26年8月時点）

    7/13–7/24

    システム遮断から全拠点で通常稼働に移行するまで（2026年）

    if secureの視点

    この事例のリスク領域非公表委託先

    • システム遮断を前提に、入出庫・出荷を続ける代替手順と復旧訓練を平時から整える
    • 物流委託先の停止や漏えいを想定し、委託元も代替手段と預けるデータを管理する
    • 退職者・応募者を含む人事情報など保有データを棚卸しし、保存期間を見直す

    出典：ニチレイ「当社グループでのシステム障害発生について（第7報）」（2026年9月18日） ／ ニチレイ「当社グループでのシステム障害発生について（第5報）」（2026年7月24日） ／ ニチレイ「２０２６年１２月期 第１四半期決算説明会資料」（2026年8月7日）（2026年10月10日時点の公表情報に基づく）

37. 372026年7月タクシー・ハイヤー日本交通マルウェア感染で電話配車停止、保有ファイルの一部が流出非公表

    CASE 37

    日本交通、マルウェア感染で電話配車停止 保有ファイルの一部が外部流出

    タクシー・ハイヤー公表：2026年7月

    2026年7月11日未明、不正アクセス（マルウェア感染）を受けシステムを遮断、電話でのタクシー配車等が停止しました。8月19日に保有ファイルの一部の外部流出判明を公表（内容は未公表）。電話配車は10月6日再開予定と告知されました。

    原因

    外部からの不正アクセス（マルウェア感染）を受けた。侵入経路やマルウェアの種類は公表されていない。同社は検知後直ちにシステムを遮断し社内ネットワークを隔離、外部のセキュリティ専門機関と原因究明・ログ解析を開始した。

    被害の内容

    • ハイヤーWEB受注・予約管理、電話でのタクシー配車、一部社内向けシステム等が一時停止
    • 「陣痛タクシー」のWebフォーム登録（東京23区等・立川・横浜・埼玉）も一時停止
    • 7月22日、同社から流出した疑いのある情報をインターネット上で確認と公表
    • 8月19日、保有ファイルの一部の外部流出が判明と公表。流出内容は未公表

    影響

    配車停止

    電話でのタクシー配車が停止。GOアプリ経由は通常通りと報道され、同社も利用を案内

    ハイヤー受注

    ハイヤーWEB受注・予約管理システムも停止。10月5日の再開告知に記載なし

    情報流出

    保有ファイルの一部が外部流出。漏えいが確認されれば該当者へ通知するとしている

    一部再開

    外部機関の診断と再発防止策の検証で安全性を確認し、10月6日11時再開予定と告知

    KEY FACTS被害の規模（公表ベース）

    7/11–10/6

    不正アクセス発生日〜電話配車の再開予定日（2026年）

    7/22

    流出した疑いのある情報をネット上で確認と公表（第3報）

    8/19

    保有ファイルの一部の外部流出が判明と公表（第4報）

    if secureの視点

    この事例のリスク領域非公表

    • 電話受付など基幹業務の停止に備え、アプリ等の代替受付手段を整える
    • 保有データを棚卸しし、流出疑い時に対象ファイルと影響範囲を早期に特定する
    • 隔離・安全性診断・段階的再開の復旧手順を事前に定め、訓練しておく

    出典：日本交通「弊社システムへの不正アクセスによるシステム停止に関するお詫びとご報告」（2026年7月13日） ／ 日本交通「弊社システムへの不正アクセスによるシステム停止について（第4報）」（2026年8月19日） ／ 日本交通「一部サービスの復旧について」（2026年10月5日）（2026年10月10日時点の公表情報に基づく）

38. 382026年8月情報サービス両毛システムズVPNアカウント悪用でランサム、委託元情報に流出の可能性外部接続機器権限・認証委託先

    CASE 38

    両毛システムズ、VPNアカウント悪用でランサム被害 委託元に流出の可能性

    情報サービス公表：2026年8月

    2026年8月12日、VPNのアカウントを悪用した侵入を受け、14日に検知、ランサムウェア攻撃と確認されました。委託元のガス会社や伊勢崎市の顧客・児童生徒の情報に流出の可能性がありますが、二次被害は確認されていません。

    原因

    2026年8月12日、外部の第三者がVPNのアカウントを悪用し社内ネットワークへ侵入した。悪用の経緯は公表されていない。一部サーバーに不正アクセスの痕跡があり、委託元の顧客情報ファイルも保存・残存していた（委託元公表）。

    主な問題点

    • ネットワーク接続機器（VPN）のアカウントが悪用され、社内ネットワークに侵入された
    • 侵入は8月12日、検知は2日後の14日（社内死活監視で異常を検知し調査を開始）
    • 過去の業務で扱った大東ガスの顧客情報ファイルが社内ネットワーク内に残存（大東ガス公表）
    • 伊勢崎市へは8月17日に教育ネットワークの被害なしと報告、9月24日にアカウント情報を含むと報告

    影響

    社内システム停止

    被害拡大防止のためネットワークを遮断し、社内システムを停止（第2報）

    ガス会社へ波及

    大東ガス約124,000件、長野都市ガス約3,600件など委託元の顧客情報に流出の可能性（各社公表）

    自治体へ波及

    伊勢崎市は9月25日に保護者へ漏洩の可能性を謝罪・通知し、該当アカウントのパスワードを変更

    関係機関へ報告

    警察や個人情報保護委員会など関係機関へ報告・相談（第2報）

    KEY FACTS被害の規模（公表ベース）

    約124,000件

    大東ガスの顧客情報（流出の可能性、9/28公表）

    3,789件

    伊勢崎市の児童生徒アカウント情報（漏洩の可能性）

    8社

    顧客情報流出の可能性を公表したガス会社（報道集計）

    if secureの視点

    この事例のリスク領域外部接続機器権限・認証委託先

    • VPN等の外部接続機器のアカウントはMFA必須とし、不要なものを定期的に棚卸しする
    • 委託先に渡した個人情報は作業後の削除を契約で定め、残存がないか定期的に確認する
    • VPN接続ログを常時監視し、侵入当日に不審な接続を検知できる体制を整える

    出典：両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月25日） ／ 大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」（2026年9月28日） ／ 伊勢崎市「本市委託先への不正アクセスによる情報漏洩の可能性について」（2026年9月28日更新）（2026年10月10日時点の公表情報に基づく）

39. 392026年9月SaaS・画像共有Helpfeel（Gyazo）脆弱性悪用でユーザー情報約2,362万件と画像メタデータ流出脆弱性

    CASE 39

    Gyazo、脆弱性悪用でユーザー情報約2,362万件などが流出

    SaaS・画像共有公表：2026年9月

    2026年9月11日、「Gyazo」が脆弱性を悪用した不正アクセスを受け、ユーザー情報約2,362万件と画像メタデータの一部が外部に流出しました（16日公表）。決済情報は含まれず、二次被害は確認されていないとしています。

    原因

    同社によると、2026年9月11日、画像アップロードサーバーに存在した脆弱性を悪用され、第三者が同社システム上で任意のコマンドを実行。データベースにアクセスされ情報が外部に流出した。脆弱性の具体的内容は公表されていない。

    漏えいを確認した情報

    • ユーザー情報約2,362万件（メールアドレス、パスワードのハッシュ値、ログインセッションID等）
    • 画像メタデータ約4.9億件（画像ID、アップロード元IP、EXIF位置情報、OCRテキスト等）
    • 削除済み画像のメタデータ約1.74億件（主に2023年2月以前に削除。第二報で判明）
    • 非公開画像のファイル一覧の取得も確認（一部の閲覧の可能性は完全には否定できず）

    影響

    サービス停止

    9月14日に画像配信を停止。24日からサービスを一時停止し、27日に再開

    画像閲覧制限

    再開時、不正アクセス前の全画像を所有者本人のみ閲覧可に。公開再開は利用者が操作

    当局報告

    9月15日に個人情報保護委員会へ速報。総務省へも報告し、海外当局とも報告・連携中（同社）

    二次被害

    9月25日時点で、個人情報の不正利用その他の二次被害は確認されていない（同社）

    KEY FACTS被害の規模（公表ベース）

    約2,362万件

    流出を確認したユーザー情報（うちメール登録あり約562万件）

    約4.9億件

    流出を確認した画像メタデータ（総画像数の約14.4%）

    約1.74億件

    第二報で流出を新たに確認した削除済み画像のメタデータ

    if secureの視点

    この事例のリスク領域脆弱性

    • アップロード受付サーバー等は脆弱性診断とコードレビューを定期的に実施する
    • アップロードサーバーからDBへの経路と権限を最小化し、侵害時の被害範囲を限定する
    • 削除済みデータのメタデータも保持期限を定めて消去し、流出時の影響を減らす

    出典：Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び」（2026年9月16日） ／ Helpfeel「『Gyazo』への不正アクセスによる情報漏えいに関するお知らせとお詫び（第二報）」（2026年9月25日） ／ Helpfeel「『Gyazo』サービス再開のお知らせ」（2026年9月27日）（2026年10月10日時点の公表情報に基づく）

40. 402026年9月カーシェアリングパーク24（タイムズカー）不正アクセスで約660万件漏えい、免許証画像等も約160万件非公表

    CASE 40

    タイムズカー、不正アクセスで約660万件漏えい 免許証画像等も対象

    カーシェアリング公表：2026年9月

    2026年9月25日、タイムズカーのWebシステムで不正アクセスを検知しました。退会者を含む約660万アカウントの会員情報が漏えいし、約160万件では免許証画像等も漏えいしました。現時点で不正利用の事実は確認されていません。

    原因

    第三者がタイムズカーWebシステムに不正アクセスし、保存されていた会員情報の一部を取得した。原因・侵入経路はフォレンジック調査中で公表されていない。同社は退会後も氏名・住所や運転免許情報・画像を7年間保管している。

    漏えいを確認した情報

    • 氏名、住所、生年月日、電話番号、メールアドレス、法人会員の所属部署名
    • 運転免許情報、本人確認書類画像（運転免許証、現住所確認書類、学生証、家族確認書類）
    • パスワード（復元できない形式で保管）、連携サービスID（WESTER ID等、計9件）
    • 項目は対象者により異なる。クレジットカード情報は漏えいしていない（同社）

    影響

    二次被害

    公開・不正利用の事実は未確認だが、なりすまし等の可能性は否定できないと同社

    行政対応

    個人情報保護委員会と警察へ報告。外部専門機関によるフォレンジック調査を実施中（同社）

    補償・業績

    補償は調査結果を踏まえ全体方針を決定予定。業績への影響は精査中（同社）

    アクセス集中

    公表後にWebサイトへアクセスが集中し、一部利用者が9月中に退会手続きを完了できず（報道）

    KEY FACTS被害の規模（公表ベース）

    約660万件

    漏えいしたアカウント数（退会者等含む・9/28第2報）

    約160万件

    本人確認書類画像が漏えいしたアカウント数（9/29第3報）

    7年

    退会後も氏名・住所や運転免許情報・画像を保管する期間（同社）

    if secureの視点

    この事例のリスク領域非公表

    • 退会者の免許証画像など保管中の個人データは、必要性と保存期間を見直し不要分を消去する
    • 本人確認書類画像などの機微データは保存先を分離し、大量取得を即時に検知・遮断する
    • 漏えい公表後の本人通知・問い合わせ・退会手続きの急増に耐える対応体制を事前に整える

    出典：パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」（2026年9月28日） ／ パーク２４「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）」（2026年9月29日） ／ タイムズモビリティ「タイムズカーWebサイトへの不正アクセスに関するご質問と回答」（2026年10月6日最終更新）（2026年10月10日時点の公表情報に基づく）

41. 412024年3月ITサービス富士通業務PC49台がマルウェア感染、情報持ち出しのおそれ非公表

    CASE 41

    富士通の業務PCにマルウェア感染 個人情報含むファイル持ち出しのおそれ

    ITサービス公表：2024年3月

    2024年3月15日、富士通は業務パソコンのマルウェア感染と個人情報等を含む情報漏えいのおそれを公表しました。7月9日の調査結果で感染は49台と確認され、悪用の報告は受けていないとしています。

    原因

    業務パソコン1台にマルウェアが置かれ、検知を回避する高度な手法で他の業務パソコンへ感染を拡大させた。最初の侵入経路は公表されていない。

    主な問題点

    • 業務用PC1台を起点に社内49台まで感染が拡大
    • ランサムウェアと異なり検知回避の高度な手法で発見が困難
    • 一部ファイルで複製コマンドが実行され持ち出されたおそれ
    • 初期の侵入経路は公表されていない

    影響

    個別対応

    個人情報や顧客の業務関連情報を含む対象の顧客に個別に報告・対応

    行政報告

    漏えいの可能性を想定し個人情報保護委員会へ報告（同社公表）

    拡大なし

    国外の業務PCや顧客提供サービスへの影響拡大は確認されていない

    二次被害

    個人情報・顧客関連情報が悪用されたという報告は確認されていない

    KEY FACTS被害の規模（公表ベース）

    49台

    マルウェアの影響が確認された業務パソコン（国内）

    3/15

    第1報。個人情報保護委員会への報告も公表（2024年）

    7/9

    調査結果を公表。対象は当初検知の49台のみ（2024年）

    if secureの視点

    この事例のリスク領域非公表

    • 検知回避型マルウェアを想定し、端末間の異常な複製通信を監視する
    • 通信・操作ログを保全し、侵入後の挙動を追跡できる体制を整える
    • 感染端末を即時隔離・初期化できる手順を事前に訓練しておく

    出典：富士通株式会社「個人情報を含む情報漏えいのおそれについて（調査結果）」（2024年7月9日） ／ 富士通株式会社「個人情報を含む情報漏洩のおそれについて」（2024年3月15日）（2026年10月10日時点の公表情報に基づく）

42. 422024年5月医療（精神科）岡山県精神科医療センター未修正VPNと共通パスワードからランサム、最大約4万人分外部接続機器脆弱性権限・認証

    CASE 42

    岡山県精神科医療センター、未修正のVPNと共通パスワードでランサム被害

    医療（精神科）公表：2024年5月

    2024年5月19日のランサムウェア攻撃で電子カルテを含むシステムが停止し、全カルテが閲覧不能になりました。6月には県警が患者情報の流出を確認し、病名等を含む最大約4万人分に流出の可能性があると公表しました。

    原因

    調査報告書は、初期侵入を保守用VPN装置への辞書攻撃・資格情報の購入・脆弱性悪用のいずれかと推測。装置と院内の全PCで推測可能な同一の管理者パスワードが使われていたと指摘した。

    主な問題点

    • 保守用SSL-VPN装置の脆弱性が2018年設置以降未修正で放置
    • 同装置と院内全Windows PCの管理者パスワードが共通で使い回し
    • すべてのサーバー・端末ユーザーに管理者権限を付与していた
    • 侵入経路はVPNへの辞書攻撃・資格情報購入・脆弱性悪用のいずれかと推測

    影響

    診療継続

    電子カルテ停止後は紙カルテに切り替え、入院・外来の診療を継続

    システム復旧

    完全復旧までインシデントから90日、復旧工数は約65人月

    情報流出

    6月7日に県警が患者情報の流出を確認。最大約4万人分に流出の可能性

    二次被害

    リークサイトでの流出の痕跡は2025年2月時点で確認されていない

    KEY FACTS被害の規模（公表ベース）

    最大約40,000人分

    流出した可能性のある患者情報（病名等を含む）

    90日

    インシデント発生から完全復旧まで（報告書）

    約65人月

    システム復旧に要した工数（病院・ベンダー計）

    if secureの視点

    この事例のリスク領域外部接続機器脆弱性権限・認証

    • 外部接続用VPN機器も資産台帳で管理し継続的にパッチを適用する
    • 初期設定の共通・推測可能な管理者パスワードを放置せず個別に強化する
    • 一般ユーザー・端末への管理者権限の付与を避け最小権限を徹底する

    出典：地方独立行政法人岡山県精神科医療センター「ランサムウェア事案調査報告書」（2025年2月13日） ／ 地方独立行政法人岡山県精神科医療センター「患者情報等の流出について」（2024年6月11日） ／ 日経クロステック「岡山県精神科医療センターがランサムウエア報告書、他の病院の教訓が生かされず」（2025年2月17日）（2026年10月10日時点の公表情報に基づく）

43. 432024年5月短期人材サービスネクストレベル加盟企業向け管理画面経由で約49.6万件のワーカー情報流出権限・認証

    CASE 43

    ネクストレベル、加盟企業向け管理画面経由で約50万件のワーカー情報流出

    短期人材サービス公表：2024年5月

    2024年5月24日、ネクストレベルは加盟企業向け管理画面経由の不正アクセスにより、口座情報や身分証明書画像へのリンクURLを含む個人情報49万6,119件が流出したと発表しました。不正利用は確認されていません。

    原因

    同社が加盟企業に付与していた管理画面を通じ、ワーカーデータベースに不正アクセスが行われ個人情報が抜き取られた。具体的な侵入手口は公表されていない。

    主な問題点

    • 加盟企業に付与した管理画面から、ワーカーDBへ不正にアクセスされた
    • 2023年7月14日、第三者からの情報提供で初めて発覚した
    • 身分証明書写真データへのリンクURLも流出対象に含まれた（変更済み）
    • 公表は2024年5月24日。連絡先不明者への通知方法を検討していたと説明（報道）

    影響

    行政対応

    2023年11月、個人情報保護法に基づき個人情報保護委員会へ報告

    USB回収

    転得したと称する人物から警察官立会いの下USBメモリの返還を受けた

    二次被害

    現時点で個人情報の不正利用等は確認されていない

    再発防止

    2024年9月、監査強化や取引先審査厳格化等の強化策を公表

    KEY FACTS被害の規模（公表ベース）

    496,119件

    流出したワーカーの個人情報

    7/14

    第三者からの情報提供で発覚（2023年）

    5/24

    同社が公表（2024年）。PPCへの報告は2023年11月

    if secureの視点

    この事例のリスク領域権限・認証

    • 外部パートナーに付与する管理画面は参照範囲を必要最小限に絞る
    • 外部付与アカウントのアクセスログを監視し異常を早期に検知する
    • 本人への通知手段を事前に整備し公表までの遅延を防ぐ

    出典：株式会社ネクストレベル「不正アクセスによる個人情報漏えいのお知らせとお詫び」（2024年5月24日） ／ 株式会社ネクストレベル「スキマバイトプラットフォームにおけるセキュリティ強化に関するお知らせ」（2024年9月24日） ／ ITmedia NEWS「スキマバイト事業者に不正アクセス　個人情報など約50万件漏えいか　「情報転得した」と主張の人物がデータ入りUSBメモリ返還」（2024年5月28日）（2026年10月10日時点の公表情報に基づく）

44. 442024年7月ガス・エネルギー東京ガスTGES不正アクセスで委託元情報約416万人分に流出の可能性外部接続機器権限・認証委託先

    CASE 44

    東京ガス子会社TGESに不正アクセス、約416万人分に流出の可能性

    ガス・エネルギー公表：2024年7月

    2024年7月17日、東京ガスと子会社TGESは、ネットワークへの不正アクセスにより業務委託元から提供を受けた一般消費者等約416万人分の情報等に流出の可能性があると発表しました。流出の痕跡や不正利用は確認されていません。

    原因

    TGESのネットワークへの不正アクセスが原因である。報道によれば、ファイルサーバーへアクセス可能な従業員の認証情報が窃取され、侵入経路はVPN装置経由とされる。両社は侵入経路の詳細や脆弱性の有無を公表していない。

    流出の可能性のある情報

    • 取引法人等所属者の氏名・連絡先、口座番号85件、マイナンバー5件等(人数調査中)
    • 業務委託元提供の一般消費者の氏名・住所・連絡先等、約416万人分
    • TGES従業員等(退職者含む)の氏名・住所・口座番号約1,000件等、約3,000人分

    影響

    行政報告

    個人情報保護委員会へ報告し、警視庁・IPAの協力で原因調査を実施

    本人通知

    漏えいの可能性を否定できないとして、2024年9月から対象者へ通知

    委託元へ波及

    業務委託元のガス・水道事業者等51事業者に影響が及んだ（報道）

    KEY FACTS被害の規模（公表ベース）

    約416万人分

    流出の可能性がある一般消費者の個人情報(業務委託元提供分)

    約3,000人分

    流出の可能性があるTGES従業員等の個人情報(退職者含む)

    51事業者

    影響が及んだ業務委託元のガス・水道事業者等の数(報道)

    if secureの視点

    この事例のリスク領域外部接続機器権限・認証委託先

    • 従業員のID・パスワード窃取を想定し、VPN接続に多要素認証を必須にする
    • VPN等の外部接続機器は脆弱性管理とアクセス監視を徹底する
    • 委託元は、預けた個人情報の管理状況を委託先で定期的に確認する

    出典：東京ガス・東京ガスエンジニアリングソリューションズ「不正アクセスによるお客さま等に関する情報流出の可能性についてお詫びとお知らせ」（2024年7月17日） ／ 日経クロステック「東京ガス子会社への不正アクセスは「VPN装置経由」、個人情報約416万人分漏洩か」（2024年7月18日） ／ 同「東京ガス子会社で個人情報416万件が漏洩した可能性、業務委託元の51事業者に飛び火」（2024年10月11日）（2026年10月10日時点の公表情報に基づく）

45. 452024年9月郵政・金融日本郵政グループ同意のない非公開金融情報を勧誘に利用、投信で約775万人運用委託先人的要因

    CASE 45

    日本郵政グループ、非公開金融情報を同意なく保険・投信勧誘に利用

    郵政・金融公表：2024年9月

    2024年9月27日、郵便局で顧客の同意を得ずに貯金の非公開金融情報を保険募集の来局案内に使っていたと公表しました。その後、投資信託・国債などの勧誘でも判明し、2025年3月に金融庁から報告命令を受けました。

    原因

    郵便局が、貯金営業担当顧客システムの検索・リスト化機能を用い、事前にクロスセル同意を得ていない顧客の貯金の非公開金融情報を、保険募集等の来局案内に利用していた。

    主な問題点

    • 同意のない顧客の非公開金融情報を、来局案内（勧誘）に利用した
    • 顧客本位を浸透させないまま営業を優先し、数字での競争意識が強い組織風土
    • 委託元（かんぽ生命・ゆうちょ銀行）の日本郵便への監督が不十分
    • グループのガバナンスと日本郵政の子会社管理も不十分だったと同社

    影響

    行政対応

    2025年3月、金融庁が4社に報告命令。総務省も報告徴求命令（報道）

    経営責任

    4社の社長ら役員の月額報酬を20〜30%、2〜3か月減額

    業務停止

    アフターフォロー目的の来局案内を一時停止し、該当システム機能を閉塞

    KEY FACTS被害の規模（公表ベース）

    約775万人

    投資信託の勧誘でリスト化したと推定される顧客

    約155万人

    かんぽ生命保険の募集でリスト化と推定される顧客

    約52万人

    国債の勧誘でリスト化したと推定される顧客

    if secureの視点

    この事例のリスク領域運用委託先人的要因

    • 顧客データの利用目的をシステムで制御し目的外の検索・リスト化を防ぐ
    • 委託先への情報アクセス権限を委託元が定期点検し利用ログを監査する
    • 営業評価を数値成果に偏らせずコンプライアンス・顧客本位の観点を組み込む

    出典：日本郵政・日本郵便・ゆうちょ銀行・かんぽ生命保険「非公開金融情報の不適切な利用について」（2024年9月27日） ／ 日本郵政・日本郵便・ゆうちょ銀行・かんぽ生命保険「日本郵政グループにおける非公開金融情報の適切な取り扱いの確保に向けた取組等について」（2025年3月18日） ／ 日本経済新聞「総務省、日本郵政に報告徴求命令 顧客情報流用で」（2025年3月19日）（2026年10月10日時点の公表情報に基づく）

46. 462025年3月電気通信事業NTTコミュニケーションズ法人17,891社の契約情報等が流出の可能性非公表

    CASE 46

    NTTコムに不正アクセス、法人17,891社の情報流出の可能性

    電気通信事業公表：2025年3月

    2025年3月5日、NTTコムは社内のオーダ情報流通システムが不正アクセスを受け、法人顧客17,891社分の契約情報等が流出した可能性があると発表しました。個人向けサービスは対象外で、不正利用の事実は確認されていません。

    原因

    設備への不正アクセスを2月5日に発見し、社内の「オーダ情報流通システム」の法人顧客情報が流出した可能性を6日に確認した。15日には社内ネットワークの装置Bへの不正アクセスも特定し遮断。手口・経路は公表されていない。

    流出の可能性がある情報

    • 契約番号、契約名（お客さま名）、お客さまご担当者名
    • 電話番号、メールアドレス、住所
    • サービスの利用に係る情報

    影響

    対象外

    NTTドコモ提供の法人名義スマホ・携帯契約と個人向けサービスの情報は対象外

    二次被害

    現時点でお客さま情報の不正利用などの事実は確認されていない

    顧客対応

    対象の可能性があるお客さまへ営業担当か封書で順次案内、メールでの案内は行わない

    再発防止

    再発防止のセキュリティ対策と監視体制のさらなる強化を進めるとした

    KEY FACTS被害の規模（公表ベース）

    17,891社

    情報流出の可能性がある法人顧客数

    2/5–2/15

    不正アクセスの発見から装置Bの遮断まで（2025年）

    2/6

    情報流出の可能性を確認（公表は3月5日）

    if secureの視点

    この事例のリスク領域非公表

    • 社内ネットワークの通信ログを常時監視し、異常を早期に検知する
    • 侵入を検知したら関連する装置や経路まで調べ、被害範囲を確定する
    • 顧客への通知は書面など確かめやすい手段とし、なりすましメールに備える

    出典：NTTコミュニケーションズ株式会社「当社への不正アクセスによる情報流出の可能性について」（2025年3月5日）（2026年10月10日時点の公表情報に基づく）

47. 472025年4月物流（定温輸送）ランテックVPN機器への不正ログインでランサム、配送遅延外部接続機器権限・認証

    CASE 47

    ランテック、VPN機器への不正ログインからランサム被害 配送に遅延

    物流（定温輸送）公表：2025年4月

    2025年4月21日未明、ランサムウェアで検品システム等20数台のサーバーが暗号化され、集配が大幅に遅れました。7月には名刺・従業員情報等の最大約4万件程度に流出の可能性があると公表しました（不正利用は未確認）。

    原因

    第三者がVPN機器へ不正にログインして同社サーバーにアクセスし、システムファイルを破壊（暗号化）した。ログインを許した詳しい手口は公表されていない。

    主な問題点

    • 第三者にVPN機器への不正ログインを許し、社内サーバーへ侵入された
    • フレッシュ便検品システム等20数台のサーバーでデータを暗号化された
    • 検品システム停止で紙での検品となり、集荷・配送の遅延が拡大
    • 名刺・従業員の個人情報等の最大約4万件程度に外部流出の可能性

    影響

    集配遅延

    全国でフレッシュ便の集荷・配送が大幅に遅延し、紙の検品で対応

    情報流出

    名刺・従業員情報等の最大約4万件程度に流出の可能性（不正利用は未確認）

    被害申告

    4月22日、福岡県警察本部サイバー犯罪対策課に被害申告

    行政報告

    個人情報保護委員会へ報告を完了（同社公表）

    KEY FACTS被害の規模（公表ベース）

    20数台

    システム・データファイルが暗号化されたサーバー

    最大約4万件

    名刺・従業員情報等で流出の可能性がある件数

    4/26

    検品システム等の復旧見込み日（当初目安は約3週間）

    if secureの視点

    この事例のリスク領域外部接続機器権限・認証

    • VPN等の外部接続機器は多要素認証と接続監視で不正ログインを防ぐ
    • 改ざん耐性のあるバックアップと復旧手順を整え、業務停止に備える
    • 名刺・社員情報の保管範囲を見直し、暗号化などの保護を徹底する

    出典：株式会社ランテック「ランサムウェア攻撃によるシステム障害に伴う混乱のお詫びと各種お願いについて」（2025年4月23日） ／ 株式会社ランテック「システム復旧のお知らせ」（2025年4月25日） ／ 株式会社ランテック「【重要なお知らせ】不正アクセスによる情報流出の可能性について」（2025年7月31日）（2026年10月10日時点の公表情報に基づく）

48. 482025年5月化学・半導体材料レゾナックランサム感染で一部業務停止、重大な情報流出は確認されず非公表

    CASE 48

    レゾナック、ランサムウェア感染で業務の一部が停止 8月に終息を公表

    化学・半導体材料公表：2025年5月

    2025年5月20日未明、レゾナックおよび同社グループの一部サーバーがランサムウェアに感染しました。ネットワーク遮断で一部業務が停止しましたが、調査の範囲で情報流出等の重大な被害は確認されていません。

    原因

    外部の攻撃者が何らかの方法で当社グループのネットワークに侵入し、ランサムウェアを起動させたことが確認されている。侵入経路は公表されていない。

    再発防止策

    • 全サーバー・PCのウィルス検査とパスワード再設定を実施
    • 早期検知ツールの導入などの技術的対策を実施
    • インシデント監視体制を強化
    • 従業員向けの教育を強化

    影響

    業務停止

    ネットワーク遮断で社内システムの一部が使用不能となり、業務が停止した

    順次復旧

    5月23日から安全確認済みシステムを順次再開、7月4日時点で製品供給に支障なし

    財務影響

    財務諸表に重要な影響はなく、決算発表も8月7日に予定通り行うとされた

    情報漏えい

    調査の範囲で情報流出等の重大な被害は確認されていない

    KEY FACTS被害の規模（公表ベース）

    5/20

    未明に外部からの攻撃とランサムウェア感染を確認

    5/23

    安全を確認できたシステムから順次再開

    8/6

    最終報で終息を公表（2025年）

    if secureの視点

    この事例のリスク領域非公表

    • 早期のネットワーク遮断で被害拡大を抑える初動体制を整える
    • 侵入経路が未解明でも想定し、早期検知ツールや監視体制を導入・強化する
    • 重要アカウントのパスワード総入れ替えなど侵害後の初動対応手順を確立する

    出典：レゾナック・ホールディングス「弊社にて発生したセキュリティインシデントについて（第一報）」（2025年5月20日） ／ 同（第四報）（2025年6月3日） ／ 同（最終報）（2025年8月6日）（2026年10月10日時点の公表情報に基づく）

49. 492025年10月人材サービスマイナビ端末管理クラウドの誤設定で社員等14,762件が閲覧可能に権限・認証運用

    CASE 49

    マイナビ、端末管理クラウドの権限誤設定で社員等14,762件が閲覧可能に

    人材サービス公表：2025年10月

    2025年10月3日、社給端末を管理するクラウド環境のアクセス権限の誤設定で、社員等14,762件の情報が2022年11月から外部から閲覧できる状態だったと公表しました。不正アクセスの形跡は確認されていないとしています。

    原因

    社給端末（PC・携帯電話）を管理するクラウド環境でアクセス権限の設定を誤り、第三者がアクセス可能な状態になっていた。この状態は2022年11月26日から、発覚した2025年9月2日まで続いた。

    漏えいの可能性がある情報

    • 社員氏名
    • 社員番号・役職・所属部署名・就業場所
    • マイナビが付与したメールアドレス

    影響

    初動対応

    9月2日の発覚当日にアクセス権限を再設定し、第三者が閲覧できないよう対応

    対象範囲

    同社とグループ企業の社員（退職者含む）・派遣社員・委託先社員が対象

    二次被害

    現時点で第三者による不正アクセスの形跡は確認されていないと同社

    再発防止

    確認体制を見直し、再発防止に努めるとした（報道）

    KEY FACTS被害の規模（公表ベース）

    14,762件

    外部から閲覧できる状態だった社員等の情報

    2022–2025年

    閲覧できる状態だった期間（22年11月26日〜25年9月2日）

    9/2

    発覚日。同日中にアクセス権限を再設定（2025年）

    if secureの視点

    この事例のリスク領域権限・認証運用

    • クラウド管理画面の権限設定を定期的に棚卸しし、公開範囲を点検する
    • 設定変更時はダブルチェックし、外部からのアクセス可否を診断で確かめる
    • 社員・委託先社員の情報も、顧客情報と同じ水準で管理対象に含める

    出典：マイナビ「クラウド環境の誤設定に伴う個人情報の漏洩可能性について」（2025年10月3日） ／ Security NEXT「端末管理システムで誤設定、従業員情報が閲覧可能に - マイナビ」（2025年10月17日）（2026年10月10日時点の公表情報に基づく）

50. 502025年12月通信・ITサービスTOKAIコミュニケーションズCisco製品の脆弱性悪用でメール関連情報の漏えいを確認脆弱性委託先

    CASE 50

    TOKAIコミュニケーションズ、Cisco製品の脆弱性悪用で情報漏えい

    通信・ITサービス公表：2025年12月

    2025年12月3日に不正アクセスの疑いを検知。Cisco社製品の脆弱性を悪用され、法人向けメールサービスの隔離メールや利用者のメールアドレス等の漏えいを確認しました（2026年1月の調査完了時）。LDAP上のパスワードは漏えいしていません。

    原因

    法人向けメールサービスで使うCisco社製品の脆弱性を悪用され、不正アクセスを受けた（同社）。報道によれば、検知当時は修正プログラムのない未知の脆弱性（CVE-2025-20393）だった。

    漏えいを確認した情報

    • スパム判定で隔離されたメール1,931,902件
    • SPAM Filtering利用者のメールアドレス79,991件、ホワイトリスト等892件
    • 設定情報のメールアドレス815件、メーリングリスト名3,503件
    • ログインID（メールアドレス）：606件・155件・84件（サービス別）

    影響

    サービス停止

    スパム隔離サービスの管理画面アクセスを停止し復旧作業を継続中

    取引先に影響

    TOKAIグループなど委託元企業にも波及、ヘッダ情報流出は後に否定

    非流出確認

    LDAPのパスワードとログのメールヘッダ情報は漏えいなしと確認

    行政相談

    監督官庁に相談しつつ対応（行政指導等の発表はなし）

    KEY FACTS被害の規模（公表ベース）

    1,931,902件

    漏えいを確認した隔離メール（第三報）

    79,991件

    漏えいを確認した利用者のメールアドレス

    12/3

    不正アクセスの疑いを検知（2025年）。公表は12月19日

    if secureの視点

    この事例のリスク領域脆弱性委託先

    • 境界に置くメール等のセキュリティ機器は、脆弱性情報を常時監視し迅速に対応する
    • 委託先クラウド・ASPの侵害が自社データに及ぶ前提で契約・対応体制を整える
    • 修正プログラム公開前の攻撃に備え、機器の通信監視と緊急遮断手順を整える

    出典：TOKAIコミュニケーションズ「OneOffice メールソリューションにおける不正アクセスによる個人情報漏洩についてのお知らせとお詫び（第三報）」（2026年1月23日） ／ Security NEXT「ゼロデイ攻撃の調査結果、一部流出もPW含まず - TOKAIコミュニケーションズ」（2026年1月27日）（2026年10月10日時点の公表情報に基づく）

51. 512026年2月医療機関日医大武蔵小杉病院保守用VPNの脆弱性から侵入、患者約13万人の情報漏えい外部接続機器脆弱性運用

    CASE 51

    日医大武蔵小杉病院、保守用VPNの脆弱性から患者約13万人分が漏えい

    医療機関公表：2026年2月

    2026年2月13日、武蔵小杉病院はVPN経由のランサムウェア攻撃によるナースコール情報の漏えいを公表しました。2月27日の第5報で患者約13万人、職員等約1,700人分の漏えいが確認され、カルテ等の漏えいは確認されていません。

    原因

    2026年1月26日に医療機器保守用VPN装置の脆弱性を悪用した不正アクセスで侵入され、1月29日に病棟端末を介してナースコールサーバー内のデータベースが窃取された。データは後日攻撃者のリークサイトで公開された。

    主な問題点

    • 医療機器保守用VPN装置の脆弱性を悪用され、不正アクセスを受けた
    • ナースコールサーバーが入院歴を問わず患者基本情報を自動蓄積する仕様だった
    • 侵入は1月26日。2月9日にナースコール端末の動作不良で障害を覚知した

    影響

    救急受入制限

    電子カルテ等の緊急セキュリティ更新で救急患者受け入れを制限、2月24日午前8時に解除

    初動対応

    文科省・厚労省・個人情報保護委員会に報告し厚労省初動対応チームの派遣を受けた

    リーク公開

    窃取データとCSVファイルが攻撃者側のリークサイトで公開されたことを確認

    お詫び状送付完了

    対象患者への個別のお詫び状発送を3月19日までに完了（第6報）

    KEY FACTS被害の規模（公表ベース）

    約13万人

    漏えいを確認した外来・入院患者の個人情報

    約1,700名

    漏えいを確認した職員・臨床実習医学生の個人情報

    1/26

    保守用VPN装置を経由して侵入（2026年）

    if secureの視点

    この事例のリスク領域外部接続機器脆弱性運用

    • 保守用VPN等の外部接続機器は脆弱性情報を把握し迅速にパッチを適用する
    • システムが扱う個人情報の範囲を必要最小限に設計し不要な蓄積を避ける
    • 端末の異常など僅かな兆候からも侵害を早期に把握できる体制を整える

    出典：日本医科大学武蔵小杉病院「当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び（第1報）」（2026年2月13日） ／ 日本医科大学武蔵小杉病院「当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び（第5報)」（2026年2月27日） ／ 日本医科大学武蔵小杉病院「当院へのサイバー攻撃による個人情報漏洩に関するご報告とお詫び（第7報)」（2026年4月9日）（2026年10月10日時点の公表情報に基づく）

52. 522026年7月EC（総合通販）ムラウチドットコムWeb脆弱性起点の不正アクセスで771万件超が漏えい脆弱性

    CASE 52

    ムラウチドットコム、Web脆弱性起点の不正アクセスで771万件超が漏えい

    EC（総合通販）公表：2026年7月

    2026年7月に発覚した不正アクセスでWeb脆弱性を悪用され複数システムに侵入、9月の調査完了後に氏名・住所等771万6,811件の漏えいを確認しました。カード情報・パスワードは対象外で、二次被害も確認されていません。

    原因

    弊社が管理するWebシステムの一部に存在した脆弱性を悪用されたことを起点として不正アクセスを受け、その後複数のシステムへ不正にアクセスされたと判明したものである。侵入手法の技術的詳細は公表されていない。

    漏えいが確認された情報

    • 氏名・住所・電話番号
    • メールアドレス・生年月日・性別（対象者の一部）
    • クレジットカード情報・パスワードは対象外
    • お届け先登録情報は漏えいしていないことを確認

    影響

    二次被害

    現時点で不正利用等の二次被害は確認されていない

    行政報告

    個人情報保護委員会へ速報・確報を提出し、警察に相談

    業務

    本店は営業継続、SNS運用は一時休止（11月頃再開予定）

    通知対応

    9月15日から対象顧客へ個別通知メールを順次送信

    KEY FACTS被害の規模（公表ベース）

    7,716,811件

    漏えいが確認された個人情報（第二報）

    7/15

    未明に社内システム障害が発生（2026年）

    7/16

    復旧作業中に不正アクセスの痕跡を確認

    if secureの視点

    この事例のリスク領域脆弱性

    • 公開Webシステムの脆弱性診断とパッチ適用を定期的に徹底する
    • ログ監視を強化し不正アクセスを平時から早期検知できる体制を整える
    • 侵入後の横展開を防ぐためシステム間のアクセス権限を分離する

    出典：株式会社ムラウチドットコム「弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告（第二報）」（2026年9月15日） ／ 株式会社ムラウチドットコム「弊社における不正アクセスによるお客様情報漏えいに関するお詫びとご報告（第一報）」（2026年7月24日） ／ INTERNET Watch「ムラウチドットコム、不正アクセスにより約771万件の個人情報漏えい」（2026年9月16日）（2026年10月10日時点の公表情報に基づく）

53. 532026年8月クラウド/ホスティングさくらインターネット長期の不正アクセスで会員情報最大136万件に閲覧可能性非公表運用

    CASE 53

    さくらインターネットで不正アクセス、会員情報最大136万件に閲覧の可能性

    クラウド/ホスティング公表：2026年8月

    2026年8月9日、レンタルサーバのメンテナンス用サーバーで異常を検知。調査で販売管理システムへの不正アクセスも判明し、会員情報最大136万563アカウントが閲覧・取得された可能性があります。外部持ち出しや二次被害は確認されていません。

    原因

    侵入経路は模倣攻撃防止等の観点から非公表である。販売管理システムへの不正アクセスは2023年4月~2026年3月の間に発生し、レンタルサーバへの不正アクセスとの関連を示す明確な根拠は確認されていない。

    閲覧・取得の可能性がある情報

    • さくらのレンタルサーバ951アカウントの利用者識別子・メールデータ等
    • 販売管理システム136万563アカウントの会員ID・氏名・住所・電話番号等
    • 上記のうち30アカウントはハッシュ化された会員IDのパスワードも対象
    • レンタルサーバ/VPSの初期パスワードはハッシュ化せず保存されていた

    影響

    機能制限

    レンタルサーバのDB更新・プラン変更・移行ツール等を一部制限

    会員影響

    販売管理システムの会員情報が最大136万563アカウントに影響の可能性

    財務影響

    対応費用等を踏まえても27年3月期連結業績への影響は限定的、現時点で予想修正なし

    二次被害

    現時点で不正利用や情報公開等の二次被害は確認されていない

    KEY FACTS被害の規模（公表ベース）

    最大1,360,563アカウント

    販売管理システムの会員情報で閲覧・取得の可能性

    951アカウント

    さくらのレンタルサーバで閲覧・取得の可能性（当初583）

    2023–2026年

    販売管理システムへの不正アクセス期間（23年4月〜26年3月）

    if secureの視点

    この事例のリスク領域非公表運用

    • 顧客向け初期パスワードはハッシュ化し、平文保存をなくす
    • 管理環境への接続経路とアクセス権限を定期的に点検・縮小する
    • ログの保管期間を見直し、長期間の侵害も遡って検知できる体制を整える

    出典：さくらインターネット株式会社「当社システムへの不正アクセスに関する調査結果および再発防止策について（第三報）」（2026年9月10日） ／ さくらインターネット株式会社「当社レンタルサーバーサービスの一部環境に対する不正なアクセスについて」（2026年8月17日） ／ さくらインターネット株式会社「当社システムへの不正アクセスに関するお知らせ（第二報）」（2026年8月19日）（2026年10月10日時点の公表情報に基づく）

54. 542026年9月中央省庁デジタル庁VPN脆弱性を悪用され職員等約24.6万件漏えいの可能性外部接続機器脆弱性運用

    CASE 54

    デジタル庁のGSSに不正アクセス、職員等約24.6万件漏えいの可能性

    中央省庁公表：2026年9月

    2026年9月11日、デジタル庁は政府共通基盤「GSS」が不正アクセスを受け、各府省庁職員や業務関係の事業者等の個人情報約24.6万件が外部に漏えいした可能性があると発表しました。二次被害は確認されていません。

    原因

    第三者がVPN機器の脆弱性（公表時点でCVSS中程度）を悪用しシステムに侵入し、保守運用担当者のアカウントで大量ファイルにアクセスした。脆弱性の具体的内容は公表されていない。

    主な問題点

    • 悪用された脆弱性は攻撃確認前に公表済みで、当初の評価はCVSS中程度
    • 深刻度の高い順に対応を進める中、パッチ適用前に悪用された（報道）
    • 6月25日、保守運用担当者のアカウントによる大量ファイルアクセスを検知
    • 7月9日に侵入経路が判明し、9月11日に公表。脆弱性の詳細は非公表

    影響

    業務影響

    侵害機器の外部通信を遮断して対応し、GSS利用業務に支障なし

    行政対応

    個人情報保護委員会へ7月15日報告（7月9日の不正アクセス判明後）

    二次被害

    9月11日時点で情報の悪用等の二次被害は確認されていない

    対象者対応

    連絡先が判明した対象者から順次個別に通知、専用窓口も設置

    KEY FACTS被害の規模（公表ベース）

    約24.6万件

    漏えいした可能性がある個人情報（2026年9月11日時点）

    約18.9万件

    GSS利用機関職員・業務に携わった公務員等の情報

    約5.7万件

    GSS利用機関の業務に携わった事業者・個人の情報

    if secureの視点

    この事例のリスク領域外部接続機器脆弱性運用

    • 脆弱性の深刻度評価だけでなく実質的リスクを踏まえ是正を迅速化する
    • VPN等外部接続機器の既知脆弱性は公表後の悪用を想定し対応を前倒しする
    • 保守運用アカウントによる大量ファイルアクセスを早期検知する仕組みを持つ

    出典：デジタル庁「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」（2026年9月11日） ／ 同Q&A（2026年9月12日更新）（2026年10月10日時点の公表情報に基づく）

55. 552026年9月物流・宅配便佐川急便不正アクセスで荷物情報等に流出のおそれ、原因は調査中非公表

    CASE 55

    佐川急便の荷物問い合わせサービスに不正アクセス、個人情報流出の可能性

    物流・宅配便公表：2026年9月

    佐川急便は2026年9月30日に「お荷物問い合わせサービス」への第三者による不正アクセスを確認し、10月1日に荷物の送り主・届け先や「スマートクラブ」会員等の情報が流出した可能性があると公表しました。件数・原因は調査中です。

    原因

    第三者による不正アクセスを確認したが、侵入経路や原因は2026年10月9日時点で公表されておらず、第三者専門機関の協力のもと調査が続けられている。

    流出した可能性のある情報

    • 荷物の送り主・届け先の氏名、住所、電話番号（9月30日から遡り約100日間）
    • 運賃契約を締結する法人・個人顧客の氏名、住所、電話番号
    • 「スマートクラブ」登録者の氏名、住所、電話番号、メールアドレス、会員ID

    影響

    サービス停止

    荷物問い合わせ・受付など9つのWebサービスを停止。再開時期は未定（10月8日時点）

    集配は継続

    荷物の集荷・輸送・配達業務は継続（同社）

    行政対応

    10月1日に個人情報保護委員会へ速報。確報は荷主と連名で準備中

    二次被害

    流出した可能性のある情報の不正利用は現時点で確認されていない

    KEY FACTS被害の規模（公表ベース）

    約100日間

    送り主・届け先情報の対象期間（9/30から遡る）

    9サービス

    停止中のWebサービス（同社FAQの一覧）

    9/30

    不正アクセスの発覚（午前7時30分、2026年）

    if secureの視点

    この事例のリスク領域非公表

    • 外部に公開するWebサービスとAPIを棚卸しし、不正アクセスを常時監視する
    • 侵害を検知したら外部からのアクセスを即時に遮断できる手順を整える
    • 荷主など委託元と連名で報告・通知する手順を平時から決めておく

    出典：佐川急便「「お荷物問い合わせサービス」への不正アクセスによる個人情報流出の可能性について（第4報）2026年10月9日」 ／ 佐川急便「よくあるご質問（FAQ）｜「お荷物問い合わせサービス」への不正アクセスについて」（2026年10月8日更新） ／ 同（第2報）（2026年10月1日）（2026年10月10日時点の公表情報に基づく）

56. 562026年10月高等教育大阪公立大学ランサムで約500台停止し全学休講、流出の有無は調査中非公表

    CASE 56

    大阪公立大学、ランサムウェア攻撃で約500台のサーバー停止 全学休講に

    高等教育公表：2026年10月

    2026年10月2日未明に情報基盤システム全般で大規模障害が発生し、大学は5日にランサムウェア攻撃によるものと判断したと公表しました。2〜8日は全学休講となり、個人情報流出の有無は調査中としています。

    原因

    仮想化基盤への侵入で関連サーバー約500台が停止し、復元用バックアップの多くも暗号化された（会見の報道）。大学の資料は仮想サーバー群の停止と一部データ改ざんの形跡を確認したとする。侵入経路は調査中。

    被害の内容

    • 仮想化基盤に侵入され、関連サーバー約500台が停止（会見の報道）
    • 復元用バックアップの多くも暗号化された（会見の報道）
    • 仮想サーバー群の停止と一部データ改ざんの形跡を確認（大学資料）
    • 在学生・卒業生・教職員ら少なくとも13万人分の個人情報を保管（報道）

    影響

    休講

    10月2〜8日、全学部・研究科で終日休講。対面授業は9日に再開

    入試対応

    出願・入学手続の一部期限を10月22日まで延長

    個人情報

    流出の有無は調査中。個人情報保護委員会へ報告（大学）

    関係機関

    文部科学省、情報セキュリティ関連団体、警察へ報告

    KEY FACTS被害の規模（公表ベース）

    約500台

    停止したサーバー（10月5日の会見・報道）

    10/2–10/8

    全学休講の期間（対面授業は10/9に再開）

    少なくとも13万人

    保管されていた個人情報（流出の有無は調査中・報道）

    if secureの視点

    この事例のリスク領域非公表

    • バックアップは本番環境から分離・オフライン化し改ざん耐性を持たせる
    • 仮想化基盤など基幹インフラを多層防御と常時監視で早期検知する
    • 学内に散在する個人情報を棚卸しし保管範囲・期間を定期的に見直す

    出典：大阪公立大学「情報基盤システムにおける障害に関する記者会見を実施」（2026年10月6日） ／ 大阪公立大学「本学情報基盤システムにおける障害の発生について【第4報】対面授業再開のお知らせ」（2026年10月8日） ／ ビジネス+IT「大阪公立大学、ランサムウェア攻撃でサーバー500台停止、13万人分の個人情報流出か」（2026年10月6日）（2026年10月10日時点の公表情報に基づく）

57. 572026年10月証券大和証券（i-ask）委託先SaaSに不正ログイン、3社で漏えいの可能性委託先権限・認証

    CASE 57

    大和証券など、委託先SaaS「i-ask」に不正アクセス、漏えいの可能性

    証券公表：2026年10月

    2026年10月5日、大和証券は問い合わせ管理の委託先スカラコミュニケーションズのサーバーが不正アクセスを受け、氏名・メール・口座番号等が漏えいした可能性があると発表しました。同社システムへの不正アクセスは確認されていません。

    原因

    第三者が「i-ask」の管理サイトに不正ログインし不正なプログラムを設置、同一サーバー上の最大5社分のデータベースから問い合わせ情報を取得した可能性がある。認証情報の入手経路は公表されていない。

    漏えいの可能性がある情報

    • 大和証券：氏名・メールアドレス・口座番号等（約11万名、特定不能分含め約22万件）
    • シチズン時計：氏名・住所・電話番号・メールアドレス等（約10万名分）
    • 損保ジャパン：氏名・電話番号・住所等、延べ約6万件（金融機関口座等は含まず）
    • 東武鉄道：同一基盤を利用も、情報の閲覧・取得の形跡は確認されず

    影響

    被害拡大

    最大5社が同一サーバを共用、シチズン時計・損保ジャパン等にも漏えいの可能性

    行政対応

    委託先とシチズン時計が個人情報保護委員会に報告し、警察に相談

    二次被害

    各社とも不正利用・ネット上への公開拡散は現時点で確認されていない

    委託先点検

    大和証券・損保ジャパン等が委託先管理の検証と強化策検討を表明

    KEY FACTS被害の規模（公表ベース）

    約11万名

    大和証券で氏名・口座番号等が漏えいした可能性

    最大713,126件

    委託先が公表した最大5社合算の延べ件数

    最大5社

    同じサーバーを共用していた利用企業

    if secureの視点

    この事例のリスク領域委託先権限・認証

    • 委託先SaaSの管理者ログインは多要素認証を必須化し定期的に点検する
    • 複数社が共用するSaaS基盤は顧客ごとにデータを分離し影響範囲を限定する
    • 委託先との初動連絡・調査協力の体制を事前に取り決め対応を迅速化する

    出典：大和証券株式会社「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日） ／ 株式会社スカラコミュニケーションズ「FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月6日） ／ シチズン時計株式会社「委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について」（2026年10月6日）（2026年10月10日時点の公表情報に基づく）

58. 582026年10月データセンター・クラウドIDCフロンティアランサム攻撃でクラウド基盤停止、495社に障害波及非公表委託先

    CASE 58

    IDCフロンティアにランサム攻撃、495の企業・自治体に障害

    データセンター・クラウド公表：2026年10月

    2026年10月7日未明、IDCフロンティアのクラウド基盤が第三者のランサムウェア攻撃を受け、495の企業・自治体に障害が発生しました。一部データは復元が困難な見通しで、侵入経路は調査中です。

    原因

    第三者による不正アクセス（ランサムウェア攻撃）が原因であるが、侵入経路や詳細な影響範囲は2026年10月9日時点で調査中であり、公表されていない。

    被害の内容

    • 東日本リージョン1の4ゾーンで仮想サーバーが停止し、再起動も不可に
    • 対象ゾーンのデータは取り出し・復元が困難な見通し（同社）
    • 二次被害防止のため、外部からアクセスできる管理コンソールも一時停止
    • 侵入経路と詳細な影響範囲は調査中（10月9日の第4報時点）

    影響

    サービス停止

    IDCFクラウドを契約する495の企業・自治体に障害

    利用企業へ

    JR東日本・ビューカードで最大約609万件のメールアドレス等に漏えいの可能性（報道）

    物流停止

    ニッスイ子会社の日水物流で全17拠点の入出荷が停止（報道）

    行政対応

    監督省庁と警視庁へ報告（同社）

    KEY FACTS被害の規模（公表ベース）

    495社・団体

    IDCFクラウドを契約し障害の影響を受けた企業・自治体

    4ゾーン

    仮想サーバーが停止した東日本リージョン1のゾーン

    10/7

    午前3時40分頃から障害が継続（2026年）

    if secureの視点

    この事例のリスク領域非公表委託先

    • クラウド等の委託先の障害が自社・顧客対応に直結するリスクを想定する
    • 委託先の障害に備え、自社側でも定期的にバックアップを保持し復旧訓練を行う
    • 外部委託サービスに保存する個人情報は必要最小限とし保存期間を短縮する

    出典：IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」（2026年10月8日） ／ ITmedia NEWS「JR東日本、「えきねっと」「ビューカード」などで漏えいか　メルアドなど最大609万件　IDCFへの不正アクセスで【追記あり】」（2026年10月9日） ／ 日本経済新聞「ソフトバンク系にランサム攻撃、障害続く　ニッスイ子会社は配送停止」（2026年10月8日）（2026年10月10日時点の公表情報に基づく）

59. 592026年10月カラオケ・外食第一興商委託先PCのマルウェア感染で約872万件漏えいのおそれ委託先非公表

    CASE 59

    第一興商、委託先PCのマルウェア感染で約872万件漏えいのおそれ

    カラオケ・外食公表：2026年10月

    2026年10月8日、個人情報の取扱いを委託する日本コロムビアグループの従業員端末がマルウェアに感染し、顧客・従業員情報約872万4,000件が漏えいしたおそれがあると発表しました。外部漏えいや不正利用の事実は確認されていません。

    原因

    委託先である日本コロムビアグループ株式会社の従業員端末（PC1台）が2026年10月1日から2日にマルウェアに感染した。感染の原因や侵入経路は公表されておらず、被害範囲は調査中である。

    漏えいのおそれがある情報

    • 氏名（登録名）・性別・生年月日・メールアドレス・電話番号が対象
    • パスワードは含まれず、この情報のみでポイント利用は不可
    • 委託先端末に当社委託業務の個人データが一時保管されていた
    • 現時点で外部への漏えいや不正利用の事実は確認されていない

    影響

    二次被害

    なりすましメールやフィッシングへの悪用に注意喚起。不正利用は未確認

    窓口開設

    10月9日に専用のフリーダイヤルを開設

    委託先管理

    委託先と外部専門機関の原因調査を確認し、委託先管理のあり方を検証へ

    自社システム

    第一興商のシステムへの影響は確認されていない

    KEY FACTS被害の規模（公表ベース）

    約8,724,000件

    漏えいのおそれがある情報の総合計（顧客・従業員計）

    約8,631,000件

    うちお客様情報の合計（重複分を除く）

    約93,000件

    うち従業員情報

    if secureの視点

    この事例のリスク領域委託先非公表

    • 委託先に保管させる個人データは、範囲と期間を必要最小限に限定する
    • 委託先の端末にも監視・検知を求め、感染時の即時報告を契約で定める
    • 委託先の管理体制を定期的に点検し、データの保管状況を把握する

    出典：株式会社第一興商「委託先における個人情報漏えいのおそれについて」（2026年10月8日） ／ 株式会社第一興商「委託先における個人情報漏えいのおそれに関するお問い合わせ窓口（フリーダイヤル）開設のお知らせ」（2026年10月9日）（2026年10月10日時点の公表情報に基づく）

60. 602026年10月コンビニエンスストアローソンローソンID等に不正アクセス、215万件超が漏えい非公表

    CASE 60

    ローソンIDに不正アクセス、個人情報215万件超が漏えい

    コンビニエンスストア公表：2026年10月

    2026年10月8日、ローソンは「ローソンID」215万5,345件、「ローソンアプリ予約」26件（氏名・電話番号・カード番号の一部を含む）の個人情報漏えいを確認したと発表しました。現時点で不正利用・二次被害は確認されていません。

    原因

    利用者本人に情報を表示するためのセキュリティ機構が第三者の不正アクセスを受け、情報が漏えいしたことを同社が確認。アプリ関連システムの不正利用によるものと考えられるとしている。手口は公表されていない。

    漏えいを確認した情報

    • ローソンID（215万5,345件）：メールアドレス、氏名
    • 同、入力時のみ：性別、電話番号、住所、メルマガ取得情報
    • ローソンアプリ予約（26件）：氏名、電話番号、カード番号の一部

    影響

    機能停止

    ローソンアプリ予約機能を停止。10月中旬の再開を予定

    個別通知

    対象者にメールで順次個別に案内

    行政対応

    個人情報保護委員会へ報告済み

    二次被害

    現時点で不正利用・二次被害の発生は確認されていない

    KEY FACTS被害の規模（公表ベース）

    2,155,345件

    「ローソンID」で漏えいを確認した件数

    9/12–9/14

    ローソンIDへの不正アクセスがあった期間（2026年）

    10/7

    社内の調査で判明（翌8日に公表）

    if secureの視点

    この事例のリスク領域非公表

    • 本人専用の情報表示機能は本人以外からのアクセスを防ぐ検証を徹底する
    • ログ監視・異常検知を強化し不正アクセスの早期発見につなげる
    • 検知後の初動対応（遮断・機能停止・通知）の体制を事前に整備する

    出典：株式会社ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日） ／ INTERNET Watch「ローソン、不正アクセスによる215万件超の個人情報漏えいが判明」（2026年10月8日） ／ ITmedia NEWS『ローソン、215万件の個人情報漏えい　「ユーザー本人に情報を表示する機構」に不正アクセス』（2026年10月9日）（2026年10月10日時点の公表情報に基づく）

※各社・各機関の公表資料と報道に基づき作成（2026年10月9日・10日時点）。件数には「漏えいのおそれ・可能性」を含みます。「主なリスク領域」は公表された原因をもとにしたif secureの分類で、原因が公表されていないものは「非公表」としています。