- News
- 共通
相次ぐ個人情報漏洩、サイバー攻撃は委託先や顧客基盤、社内システムまで
脆弱性を探索するAI技術の悪用に備えて基本対策の見直しを
2026年7月以降、国内の企業や行政機関で、不正アクセスやマルウェア感染による個人情報漏洩の公表が相次いでいる。その入口は、多数の企業が利用する外部サービスや委託先から、顧客向けの会員基盤・アプリケーション、社内の開発環境まで幅広い。攻撃者は脆弱性の探索やアプリの解析にAI（人工知能）技術を取り込み始めており、内閣官房国家サイバー統括室などは基本対策の徹底や見直しを求めている。主な事案を整理し、企業が見直すべき基本対策をまとめる。
2026年7月以降、国内企業で不正アクセスによる個人情報漏洩の公表が広範囲に相次いで発生している。半導体・セキュリティ商社のマクニカの集計では、10月中旬までに漏洩した情報の延べ件数は、1億6500万人分を超えているとNHKが10月16日に報じている（参考：NHKニュース）。
自社を守るだけでは防げない漏洩が広がっている
2026年7月以降に第1報が出た主な事案を攻撃対象で分類すると、（1）外部サービス・委託先、（2）会員基盤・アプリケーション、（3）社内システム・開発環境、の3つに大きく分けられる。以下、カッコ内の日付は第1報の公表日（リンク先は第1報）で、件数は10月20日時点の最新報による。続報がある場合は［最新］に記した。件数は漏洩の「おそれ」「可能性」のあるものを含む。
外部サービス・委託先：1カ所への侵入が多数の利用企業に連鎖
企業・組織が多数利用する外部サービスや委託先は、1カ所への侵入が利用側に波及する。例えば、Eストアーが運営するEC（電子商取引）サイト構築・運営支援サービス「ショップサーブ」では、同社10月16日の最終報によると、第三者が5月21日から8月1日まで、サーバー上のアプリケーションの脆弱性を突いて不正なプログラムを動かし、データベースの情報を外部に送り続けたという。
漏洩対象のうち約209万6900人分は、クレジットカードの名義や番号の一部、有効期限を含む。影響はサービスを利用したEC事業者にも及んでいる。
行政機関でも、デジタル庁が運用し各府省庁が共用する「ガバメントソリューションサービス（GSS）」で、第三者がVPN（Virtual Private Network）機器の脆弱性を突いて侵入したとされる。
●EPARKリラク＆エステ（7月31日） ：加盟店が顧客情報を管理する予約管理・顧客管理サービス「PeakManager」の顧客情報＝約2218万レコード［最新：9月24日・第二報］
●Eストアー（8月1日） ：「ショップサーブ」の購入者・会員情報など＝約2335万6000人分（対象7858店）［最新：10月16日・最終報］
●デジタル庁（9月11日） ：「ガバメントソリューションサービス（GSS）」の職員・事業者などの個人情報＝約24.6万件
●PFU（9月18日） ：ショップサーブ経由の「PFUダイレクト本店」の注文データ＝最大16万9355件
●ファインズ（9月25日） ：提供する予約システムの予約者情報（氏名、電話番号、メールアドレス、予約店舗・メニュー・日時など）＝153万6322件
●手間いらず（9月28日） ：宿泊施設向け予約管理システム「TEMAIRAZU」の宿泊予約情報＝最大約445万人分［最新：10月9日・適時開示］
●ヤマトホールディングス（9月29日） ：傘下のヤマト運輸の「クロネコ代金後払いサービス」の利用者情報＝約526万件［最新：10月16日・第4報］
●IDCフロンティア（10月7日） ：クラウドサービス「IDCFクラウド」の一部システム＝495の企業・自治体に障害の影響［最新：10月18日・第6報］
●第一興商（10月8日） ：委託先（日本コロムビアグループ）のマルウェア感染による顧客・従業員の個人情報＝約872万4000件
会員基盤・アプリケーション：顧客接点のデジタルサービスが標的に
会員基盤・アプリケーションは、顧客接点のデジタルサービスそのものであり、10月には1000万件を超える事案が相次いだ。例えばソースネクストでは、第三者が10月9日から会員情報取得用のAPI（Application Programming Interface）を不正に使い、顧客情報を引き出したとされる。
●さくらインターネット（8月17日） ：販売管理システムに保存されていた会員情報＝136万563アカウント（不正アクセスは2023年4月〜2026年3月）［最新：9月10日・第三報］
●イエローハット（8月28日） ：「イエローハットWEB作業予約システム」の会員情報＝179万7124人分［最新：10月15日・第二報］
●タイムズモビリティ（9月25日） ：「タイムズカー」の会員・退会者などのアカウント情報＝約660万件（うち運転免許証画像などの本人確認書類は約160万件）［最新：10月16日・第4報］
●セイコーマート（9月29日） ：アプリ登録者の会員情報＝57万2022人分［最新：9月30日・第三報］
●物語コーポレーション（10月5日） ：焼肉チェーン「焼肉きんぐ」公式アプリの会員管理システム＝1078万8963件
●ローソン（10月8日） ：「ローソンID」の会員情報＝215万5345件（ほか「ローソンアプリ予約」26件）
●ブックオフグループホールディングス（10月9日） ：子会社の会員管理システムの会員情報＝638万3279人分［最新：10月13日・第2報］
●ソースネクスト（10月15日） ：会員情報を管理するシステム＝2251万9960件
●ファンケル（10月16日） ：ファンケルと子会社アテニアのECサイトの会員情報＝計78万5496人分
●NTTソルマーレ（10月15日） ：電子書籍サービス「コミックシーモア」の会員情報＝件数精査中［最新：10月18日・第3報］
社内システム・開発環境：顧客向けサービスの裏側も侵入口に
社内システムや開発環境は、従業員の情報や開発用のデータを抱える箇所への侵入になる。例えば日本経済新聞社では、何者かがシステム開発に使うクラウドサービスの認証情報を盗み、不正にアクセスしたとされる。
●ニチレイ（7月13日） ：攻撃を受けたサーバーに保管していた従業員・取引先・配送先顧客の個人情報＝計5万3866件［最新：9月18日・第7報］
●ムラウチドットコム（7月24日） ：社内の一部システムの顧客情報＝771万6811件［最新：9月15日・第二報］
●日本経済新聞社（10月16日） ：システム開発に使うクラウドサービス上の個人情報＝約183万件（うち氏名やメールアドレスなどを含むものは約15万件）