年間公表1,590件・100万件超が49事案。2026年に日本のセキュリティで何が起きたのか
「まさか、あのインフラ企業まで抜かれるとは」
2026年の秋、企業の情報システム部門や経営層のあいだで、そんな言葉が何度交わされたことでしょうか。毎日のように届く「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」のリリースに、感覚が麻痺しそうになった担当者も少なくないはずです。
公式発表ベースで2026年1月から10月23日までに国内の企業・官公庁・自治体・大学・医療機関が公表した情報漏洩・不正アクセス・ランサムウェア事案を集計すると、総数は実に1,590件（1〜3月の主要公表46件＋4〜10月の網羅集計1,544件）に達します。特に10月はわずか3週間あまりで1,123件もの公表が集中し、10月12日〜18日の1週間だけで635件が発表されるという前代未聞の事態となりました。
東京商工リサーチの過去統計と比較すると、その異常さがさらに際立ちます。2012年から2025年までの14年間で、1,000万人規模の超大規模な情報漏洩は累計3回しか起きていませんでした。ところが2026年は、1,000万件超のメガブリーチだけで10事案（物理媒体紛失を含めれば11事案）に達し、100万件以上の大規模漏洩は49事案、10万件以上の事案は108事案にのぼっています。
なぜこれほど爆発的に被害が連鎖したのでしょうか。全1,590件のデータを解剖すると、外部攻撃1,470件のうち実に74.5%（1,095件）が「委託先や共通クラウドサービス経由のサプライチェーン被害」であったという決定的な事実が浮かび上がります。
本稿では、2026年に公表された国内企業・団体の情報漏洩事案「全1,590件（個別・主要事案686件＋共通基盤の連鎖公表904件）」を1件残らず完全網羅し、ページ内で自在にキーワード検索・月別絞り込みができるデータベースとしてまとめました。さらに、攻撃者が突いた構造的死角と、AIをセキュリティ監査官として活用する実践プロンプトまで体系的に解説します。
2026 MASTER STATISTICAL OVERVIEW数字で見る2026年 情報漏洩・不正アクセス 全1,590件の構造実態
TOTAL ANNOUNCEMENTS (JAN–OCT)1,590件2026年1月〜10月23日に国内の企業・自治体・大学・病院が公表した全事案（全1,590件を下の検索台帳に完全収録）
MEGA & LARGE BREACHES (1M+)49事案 (1,000万超: 10件)100万件超の大規模事案が49件、10万件超は108件に達し、過去最多を大幅に更新
SUPPLY-CHAIN CASCADE RATIO74.5% (20ハブ・1,031組織)外部攻撃1,470件のうち1,095件が委託先・共通SaaS経由。わずか20サービスの侵害で1,031組織が連鎖公表
MONTHLY ANNOUNCEMENT VOLUME (2026年1月〜10月23日 公表件数推移)最多週：10月12日〜10月18日（週間635件公表）
1〜3月 (Q1)
46件
ランサムウェア・EC改ざん・病院VPN侵害4月
42件
2りんかん317万名・穴吹ハウジング21万件5月
33件
ユニバーサルミュージック310万件・アクサ損保6月
49件
KDDI ISPメール1,223万名・アフラック438万名7月
54件
EPARK 2,218万件・ムラウチ771万件・ニチレイ8月
89件
ショップサーブ2,335万名・イエローハット179万名9月
154件
佐川急便5,323万件・Gyazo 2,362万件・タイムズ662万件10月 (〜23日)
1,123件
ソースネクスト2,251万件・skyticket 1,464万件・連鎖爆発 PROMPT / ADVICE : 自社や取引先がリストに含まれていないか今すぐ検索しよう下のインタラクティブ台帳の検索窓に、自社が利用しているSaaS名（ブラストメール、Cuenote、Studio、ショップサーブ、IDCFなど）や取引先・自治体名を入力すると、全1,590件から瞬時に照合できます。
2026年 情報漏洩・不正アクセス公表企業 完全網羅データベース（全1,590件収録）
2026年1月から10月23日までに公式発表された全1,590件を、被害規模・公表月・原因分類・キーワードで自在に検索・フィルタリングできるマスターデータベースです。「全件すべて（1,590件）」のほか、共通システムの同文公表を除いた「個別・主要事案（686件）」や「共通基盤の連鎖公表（904件）」へワンクリックで切り替えられます。
2026 MASTER CORPORATE BREACH DATABASE (ALL 1,590 CASES)2026年 情報漏洩・不正アクセス公表企業 完全網羅データベース（全1,590件 収録・検索）
組織種別:
漏洩項目:
規模・内訳:
公表月:
原因分類:
該当件数：1,590件（現在 80件を表示中）
| # / 公表日 | 企業・団体 ／ 対象サービス | 公表規模・確認状況 | 分類・侵入経路 | 漏洩・対象情報項目 |
|---|---|---|---|---|
#1 2026-09-30 | 民間企業・団体 佐川急便 「お荷物問い合わせサービス」（インターネット貨物システム） | 最大約5,323万件（重複を含む件数。対象者の実人数ではない） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 9月30日から遡り約100日間の荷物の送り主・届け先、運賃契約顧客の氏名（法人名・担当者名）、住所、電話番号。スマートクラブ登録者はメールアドレス、会員idも |
#2 2026-09-16 | 民間企業・団体 Helpfeel／Gyazo | ユーザーデータ約2,362万件（匿名約1,801万件、メール登録あり約562万件）、画像メタデータ約4.9億件＋240万件＋削除済み約1.74億件。件数は画像ファイル流出数・実人数ではない。特定ユーザー133名が所有する画像ファイル432件（10/21第三報）。 漏洩確認 | 外部攻撃 ｜ ユーザー情報・画像メタデータ漏えい確認／特定ユーザー133名の画像ファイル432件の閲覧・取得確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報医療・要配慮・機微情報 名前・メール・パスワードハッシュ・id・セッションid等。画像メタデータは画像id、ip、ocrテキスト、位置情報（存在する場合）等 |
#3 2026-08-01 | 民間企業・団体 Eストアー ショップサーブ | 約23,356,000人（うちカード情報の一部を含む 約2,096,900人）、対象店舗 7,858店 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：脆弱性の悪用 | クレジットカード情報 氏名、住所、電話番号、fax番号、メールアドレス、勤務先、任意入力情報。カード名義・カード番号の一部は8/1時点で調査中 |
#4 2026-10-15 | 民間企業・団体 ソースネクスト 会員情報管理システム | 22,519,960件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、fax番号、生年月日、会社名、役職名、部署名、システム固有の識別情報 |
#5 2026-07-31 | 民間企業・団体 EPARKリラク&エステ PeakManager | 約2,218万レコード（名寄せ後。正確な人数への置き換えは困難） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワード |
#6 2026-10-08 | 民間企業・団体 アドベンチャー 旅行予約サイト「skyticket」 | (1)約1,464万件（うちハッシュ化パスワード約413万件） (2)17,780件（重複含む・一部調査中） (3)予約 約12,000件 ほかにskyticketプレミアム利用者のカード情報 最大6,140名 漏洩確認 | 外部攻撃 ｜ 漏えい確認・漏えいのおそれ ｜ 攻撃経路：脆弱性の悪用 | 口座・金融・決済情報マイナンバー・本人確認書類ID・パスワード・認証情報 (1)氏名（パスポート表記含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込依頼人名義、ハッシュ化パスワード (2)氏名、電話番号、返金先口座情報 (3)予約者氏名（カナ）、年齢、性別、メールアドレス、電話番号、会員id、乗車便情報、同行者情報 |
#7 2026-06-23 | 民間企業・団体 KDDI（KDDI ISP向けメールシステム事案） ISP事業者向けメールシステム | メールアドレス12,231,954名（うちパスワード7,616,173名） 漏洩確認 | 外部攻撃（第三者製ソフトウェアのゼロデイ脆弱性悪用） ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報 メールアドレス、パスワード |
#8 2026-10-22 | 民間企業・団体 カプコン オンライン会員サービス「CAPCOM ID」 | 11,774,247件（全世界合計、10月22日時点）。うち19件（日本国内）は「イーカプコン」の会員情報も漏えい（10月23日の第二報） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | メールアドレス、システム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントip）、43件は生年月日・性別・国・地域・ニックネーム |
#9 2026-10-15 | 民間企業・団体 ビーケー・ジャパン バーガーキング公式アプリ | 約1,118万件（公式アプリ会員情報） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 会員id、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無 |
#10 2026-10-05 | 民間企業・団体 物語コーポレーション／焼肉きんぐ公式アプリ | 10,788,963件（登録10,808,784件のうち） 漏洩確認 | 外部攻撃 ｜ 漏えい確認／原因調査継続 ｜ 攻撃経路：調査中 | ID・パスワード・認証情報 会員番号・氏名（アプリ登録名）・メールアドレス・電話番号。ログインパスワード・生年月日・性別・郵便番号・店舗利用履歴は漏えいなし |
#11 2026-10-19 | 民間企業・団体 ユミルリンク メール配信サービス「Cuenote FC」 | メールアドレスを含む情報 延べ約900万件（同社試算） 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：脆弱性の悪用／アカウント・認証情報の悪用 | メールアドレスを含む情報（詳細は調査中） |
#12 2026-10-08 | 民間企業・団体 株式会社第一興商 | 約8,724,000件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：マルウェア感染／委託先経由 | 会員等の氏名・性別・生年月日・メール・電話 |
#13 2026-07-24 | 民間企業・団体 ムラウチドットコム 社内システム | 7,716,811件（9/15第二報。報道値、公式PDF本文は未照合） 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：Webシステムの一部に存在していた脆弱性を悪用 | 氏名、住所、電話番号、メールアドレス、生年月日、性別 |
#14 2026-09-25 | 民間企業・団体 タイムズモビリティ／タイムズカー | 6,628,007件（タイムズカーWebシステム。うち暗号化された本人確認書類画像の外部送信の痕跡1,464,800件、アクセスのみの痕跡891,602件）。タイムズクラブWebシステムでも連携サービスID135,436件、タイムズクラブカード番号19,510件などが外部送信 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | マイナンバー・本人確認書類ID・パスワード・認証情報 氏名・住所・生年月日・電話・メール、所属部署、免許情報、本人確認書類画像、復元できない形式のパスワード、連携サービスid等。対象ごとに異なる |
#15 2026-10-08 | 民間企業・団体 ライドオンエクスプレスホールディングス（IDCFクラウド障害） 子会社ライドオンエクスプレス「銀のさら・釜寅・すし上等」公式サイト／アプリ | 最大約650万件（漏えいの可能性がある総件数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | 資料に明記なし（調査中） |
#16 2026-10-09 | 民間企業・団体 ブックオフグループホールディングス | 6,383,279人（会員データ6,427,735件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：子会社の会員管理システムへの第三者による不正アクセス（脆弱性を是正） | ID・パスワード・認証情報 氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、住所、パスワードのハッシュ値、ポイントカード番号、会員番号 |
#17 2026-10-23 | 民間企業・団体 グリーンモンスター FXデモトレードアプリ「FXなび」 | 約619万件（個人情報に該当しないものを含む。メールアドレスは6万6003件） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 メールアドレス（6万6003件）、ニックネーム、性別、年代、職業分類、xのid（6434件）、自己紹介、アイコン画像のurl、初回アンケートの回答（480万9631件）、端末固有のid、ログイン用の認証情報、引き継ぎコード（5120件）、プッシュ通知用の識別子、広告id、ipアドレス、利用データ |
#18 2026-09-29 | 民間企業・団体 ヤマトホールディングス／ヤマト運輸 クロネコ代金後払いサービス | 約526万件（利用者情報。うちメールアドレスを含む約49万件）、お届け先情報 約5万件、加盟店情報 約4,100件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 口座・金融・決済情報 一部利用者の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細、一部加盟店の加盟店名・加盟店コード、担当社員の氏名 |
#19 2026-06-23 | 民間企業・団体 ビッグローブ（KDDI ISP向けメールシステム事案） BIGLOBE メール | 5,016,432人（うちパスワード4,631,775人） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 biglobeメールアドレス、biglobe id、パスワード |
#20 2026-10-19 | 民間企業・団体 トラストバンク ふるさと納税総合サイト「ふるさとチョイス」 | 4,454,097件（2026年10月20日時点。今後の調査で変動の可能性） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額 |
#21 2026-09-28 | 民間企業・団体 手間いらず 宿泊予約サイト管理システム「TEMAIRAZUシリーズ」 | 最大約445万人（閲覧・取得された可能性） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 宿泊者情報の一部（項目は資料に明記なし） |
#22 2026-06-30 | 民間企業・団体 アフラック生命保険 アフラック よりそうネット ほか | 顧客 約438万人（うち保険料振替口座情報を含む 約23万人） 代理店 約4万店 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：調査中 | 口座・金融・決済情報 氏名、生年月日、性別、住所、電話番号、証券番号、保障内容、保険料振替口座（金融機関名、支店名、預金種類、口座番号、口座名義等）、代理店代表者氏名・住所・電話番号 |
#23 2026-10-15 | 民間企業・団体 NTTソルマーレ 電子書籍ストア「コミックシーモア」 | 会員データベース上の登録情報319件、システムログファイル上の情報 最大約420万件（同一顧客の重複を含む可能性あり） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。購入履歴の流出、my本棚の流出・消失・欠損は確認されていない |
#24 2026-10-09 | 民間企業・団体 株式会社ビューカード VIEW’s NET | メールアドレス対象件数 約403万件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | メールアドレス |
#25 2026-10-09 | 民間企業・団体 ディップ株式会社 バイトル／バイトルNEXT | 最大3,885,771件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | メールアドレスのみ |
#26 2026-10-21 | 民間企業・団体 リクルート 中古車情報サイト『カーセンサーnet』（アプリ版を含む）、中古車販売店向け業務支援サービス『C-MATCH』 | 最大3,709,551件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 口座・金融・決済情報ID・パスワード・認証情報 『カーセンサーnet』で中古車販売店へ問い合わせた利用者（3,210,421件）の氏名・住所（原則として市区町村名まで）、一部は問い合わせ内容・年代・性別・電話番号・fax番号・メールアドレス／口コミ投稿者（5,289件）の氏名、一部はメールアドレス／『c-match』登録販売店（483,168件）の代表者・担当者の氏名・電話番号、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインid（個人事業主は事業所・窓口の住所、郵便番号、電話番号、fax番号、引落口座情報も）／従業員（退職者含む）・業務委託先・販売代理店の従業員等（10,673件）の氏名・メールアドレス・ログインid。全件に社内の管理用idを含む |
#27 2026-04-23 | 民間企業・団体 2りんかんイエローハット ２りんかんアプリ | 3,179,454名（公式ページ最終更新 2026/06/19 時点） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アプリの仕組み（API）を悪用した不正アクセス | 口座・金融・決済情報ID・パスワード・認証情報 氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーid、アプリパスワード、ポイント残高、車両情報 |
#28 2026-10-23 | 民間企業・団体 リンツ＆シュプルングリージャパン（futureshop不正アクセス） オンラインショップ・Lindt公式アプリの共通会員アカウント | 3,147,469件（2026/10/18 0時16分時点で退会済みの会員は含まない） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 会員id、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化）、フリガナ・会員登録日時・最終ログイン日時など |
#29 2026-10-23 | 民間企業・団体 フューチャーショップ SaaS型ECプラットフォーム「futureshop」のサーバー（利用店舗1店舗の会員情報） | 3,147,469件（1店舗） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報 会員id、氏名、メールアドレス、住所、生年月日、電話番号、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化）など |
#30 2026-10-13 | 民間企業・団体 アルカディア（SpeeCAN RAIDEN不正アクセス） 自治体向け情報配信サービス「SpeeCAN RAIDEN」 | 推定 メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（SpeeCAN RAIDEN） NET119・119RAIDEN：最大 約13,000件、メールアドレス約97,000件、電話番号約17,000件、FAX番号約400件（10/14時点） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 登録されている連絡先・担当者・契約者情報、配信履歴にある本文 |
#31 2026-05-18 | 民間企業・団体 ユニバーサル ミュージック合同会社 UNIVERSAL MUSIC STORE / THE BEATLES STORE ほか | 3,105,585件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 氏名、住所、電話番号、メールアドレス、購入履歴に含まれる配送先・請求先情報（生年月日、性別を含む） |
#32 2026-10-05 | 民間企業・団体 GMOリサーチ＆AI（infoQ） | 894,082件（外部持ち出しの確定値、10月14日時点）；ポイント不正交換611件・2,869,500円 漏洩のおそれ・調査中 | 外部攻撃 ｜ 個人情報の外部持ち出し確認／ポイント不正交換確認／調査継続 ｜ 攻撃経路：サイトで使用していたソフトウェアの脆弱性を悪用して侵入 | ID・パスワード・認証情報 氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化パスワード、会員id、その他の会員登録情報（ニックネーム、保有ポイント数、最終回答日等） |
#33 2026-10-23 | 民間企業・団体 アンドエスティHD 業務サーバー（お客さま・お取引先さま・従業員の情報） | お客さま約250万件、お取引先さま約1万件、従業員は該当範囲確認中 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 お客さまの氏名・生年月日・性別・住所・電話番号・メールアドレス・会員id、お取引先さまの会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス、従業員情報（範囲確認中） |
#34 2026-06-23 | 民間企業・団体 JCOM（KDDI ISP向けメールシステム事案） J:COM NET、ケーブルテレビ事業者向けメール | J:COM NET 2,473,191件、ケーブルテレビ事業者向け118,752件（うちパスワード1,257件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | ID・パスワード・認証情報 メールアドレス、パスワード（一部） |
#35 2026-06-23 | 民間企業・団体 ニフティ（KDDI ISP向けメールシステム事案） @nifty メール | メールアドレス2,248,708件（うちパスワード1,862,462件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 メールアドレス、メールパスワード |
#36 2026-10-08 | 民間企業・団体 株式会社ローソン | ローソンID2,155,345件、アプリ予約26件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アプリ上で本人に情報を表示するセキュリティ機構への不正アクセス | クレジットカード情報 氏名・メール、一部住所・電話等。予約ではカード番号一部 |
#37 2026-10-09 | 民間企業・団体 Peach Aviation 旅程表等のメール配信システム | 約189万件（対象メール配信システムの情報件数） 漏洩なし・記載なし | 外部攻撃 ｜ 漏えいのおそれ・調査中 ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | メールアドレス、氏名（英字）、電話番号、予約番号、旅程 |
#38 2026-10-16 | 民間企業・団体 日本経済新聞社 システム開発に利用するクラウドサービス | 約183万件（うち氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含む個人情報約15万件、識別子のみ約168万件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アカウント・認証情報の悪用 | 氏名、メールアドレス（約12万件）、住所、電話番号、生年月日、単体では個人を特定できない識別子 |
#39 2026-08-28 | 民間企業・団体 株式会社イエローハット | 1,797,124人（確定） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：WEB作業予約システムに対する不正プログラムによる攻撃 | 氏名・電話・メール・会員番号 |
#40 2026-10-06 | 民間企業・団体 株式会社ミスターマックス | 最大1,735,154人（2026年10月3日時点の登録情報） 漏洩確認 | 外部攻撃 ｜ 一部流出確認／対象範囲調査 ｜ 攻撃経路：本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入 | ID・パスワード・認証情報 会員id・氏名・メール・電話 |
#41 2026-10-09 | 民間企業・団体 東日本旅客鉄道（JR東日本） | えきねっと最大約167万件、大人の休日倶楽部最大約39万件（人数ではなく件数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性・調査中 ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | クレジットカード情報 メールログ閲覧・取得の可能性を否定できない。えきねっとはメールアドレス（ビジネス会員除外）、大人の休日はメール・会員番号・カード有効期限・生年月日 |
#42 2026-09-25 | 民間企業・団体 株式会社ファインズ | 1,536,322件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 不正アクセス確認／漏えい影響調査 ｜ 攻撃経路：予約システムへの第三者からの不正アクセス | 予約者氏名・電話・メール・予約店舗・メニュー・日時等 |
#43 2026-10-23 | 民間企業・団体 バリューデザイン（ペイクラウドホールディングス子会社） ハウス電子マネー発行サービス「Value Card」のサーバー | 1,424,748件（発行済ID 569,224件、未発行ID 855,524件。個人情報は該当なし） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | 口座・金融・決済情報 id番号、pin番号、残高情報 |
#44 2026-08-17 | 民間企業・団体 さくらインターネット さくらのレンタルサーバ・販売管理システム | レンタルサーバ 951アカウント、販売管理システムの会員情報 1,360,563アカウント（閲覧・取得の可能性） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：不正ログイン／マルウェア感染 | ID・パスワード・認証情報 顧客領域内に保存された情報、利用者識別子、会員情報、一部顧客のハッシュ化されたパスワード |
#45 2026-10-09 | 民間企業・団体 九州旅客鉄道（JR九州） JR九州 Web会員向けメールマガジン | JR 九州 Web 会員：約130万件（最大） 漏洩なし・記載なし | 外部攻撃 ｜ 漏えいの記載なし ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | 電子メールアドレス |
#46 2026-10-19 | 民間企業・団体 阪急阪神百貨店（エイチ・ツー・オー リテイリング） 阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order | H2O ID 約126万件 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報 h2o id、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、利用サービス項目。e-stores・remo order は注文履歴、カード情報の一部（種別・下4桁・名義・有効期限）、ポイントカード情報の一部、アドレス帳（漏えいの有無を調査中） |
#47 2026-06-23 | 民間企業・団体 KDDIウェブコミュニケーションズ（KDDI ISP向けメールシステム事案） レンタルサーバー「CPI」のメール | 1,250,543名 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | メールアドレス |
#48 2026-08-12 | 民間企業・団体 ホワイトエッセンス 予約サイト・基幹システム（審美歯科チェーン） | 約105万アカウント（顧客のほか加盟院関係者・本部社員等を含む全体数） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | 利用者の登録情報（氏名、連絡先、予約履歴等。8/12時点の記載） |
#49 2026-08-10 | 民間企業・団体 REXT Holdings／REXT 社内ネットワーク | 漏えいのおそれ 1,044,906件（リークサイトで310ファイルの公開を確認） 漏洩確認 | 外部攻撃（ランサムウェア） ｜ 漏えい確認（一部公開） ｜ 攻撃経路：ランサムウェア | 採用応募者・従業員の個人情報（27名）、買取・会員等の顧客情報 |
#50 2026-10-14 | 民間企業・団体 株式会社アエナ ECアプリ 会員マイページ | 最大817,215人 漏洩のおそれ・調査中 | 外部攻撃 ｜ 閲覧された可能性 ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報 氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報、お気に入り店舗、メール配信設定、クレジットカード下4桁・有効期限・名義 |
#51 2026-10-15 | 民間企業・団体 ビューティガレージ ECサイト「ビューティガレージ」「アイラッシュガレージ」 | 775,725件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 会社名、サロン名、お客様名、営業形態、サロンurl、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値 |
#52 2026-04-09 | 民間企業・団体 メディカ出版 | 合計641,000人（5/13精査値、重複の可能性あり。第3報では77.2万件） 漏洩のおそれ・調査中 | 外部攻撃（ランサムウェア） ｜ 漏えいのおそれ ｜ 攻撃経路：アカウント・認証情報の悪用／ランサムウェア | 口座・金融・決済情報マイナンバー・本人確認書類医療・要配慮・機微情報 メディカid登録者のid、氏名、メールアドレス、住所、電話番号／一般顧客の氏名、勤務先、連絡先／執筆者等の銀行口座番号、マイナンバー／委託企業の預託情報（パスポート、在留カード、健康診断結果 等）／従業員・応募者の人事評価、履歴書記載内容 |
#53 2026-10-23 | 民間企業・団体 トレジャー・ファクトリー 「出張買取」「トレファク引越」の案件管理システム | お客様情報746,277件、取引先業者・従業員等750件、端末情報1,000件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | お客様のメールアドレス（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名・メールアドレス、端末を使う取引先業者・従業員等の氏名・端末識別情報 |
#54 2026-06-23 | 民間企業・団体 中部テレコミュニケーション（KDDI ISP向けメールシステム事案） コミュファ光・ビジネスコミュファのメール | 727,176名（うちパスワード724,344名） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | ID・パスワード・認証情報 メールアドレス、メールパスワード |
#55 2026-10-06 | 民間企業・団体 スカラコミュニケーションズ（i-ask・共通事案） | 最大713,126件（最大5社・問い合わせ延べ件数、人数名寄せ中） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性・調査中 ｜ 攻撃経路：i-ask（スカラコミュニケーションズ）経由 | 氏名、メールアドレス、問い合わせ内容等（利用企業別に異なる） |
#56 2026-10-02 | 民間企業・団体 ムーンスター オンラインストア | 最大59万3千人 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：不正ログイン | オンラインストア利用者の氏名、住所、電話番号、メールアドレス、過去の注文情報 |
#57 2026-08-06 | 民間企業・団体 アンビションDXホールディングス ファイルサーバー | 持ち出しを確認したファイル約14万件、漏えいのおそれがある個人情報約58万件 漏洩確認 | 外部攻撃（ランサムウェア） ｜ 漏えい確認 ｜ 攻撃経路：ランサムウェア | 顧客、賃貸管理物件のオーナー、入居者、取引先、同社役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性 |
#58 2026-09-29 | 民間企業・団体 セイコーマート 「セイコーマートアプリ」 | 574,647人（10月5日の第四報） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ（閲覧） ｜ 攻撃経路：公式資料に記載なし | セイコーマートクラブ会員の姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカード入会・退会年月日 |
#59 2026-10-19 | 民間企業・団体 ニフティ 回線申込・受付管理システム（＠nifty光、＠nifty MAX光、＠nifty auひかりプラス） | 最大18,000件（10月21日の第二報。第一報では3サービス累計で最大542,513件としていた） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 会員id、氏名、性別、生年月日、住所、電話番号 |
#60 2026-10-06 | 民間企業・団体 旭化成セラピューティクス 医療関係者向けサイト「Pharma DIGITAL」 | 医療従事者 最大約51万4,000名、従業員 約700名 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性 ｜ 攻撃経路：委託先経由 | 医療・要配慮・機微情報 医療従事者の氏名、所属施設名、施設住所、職種、診療科（うち約4万4,000名はメールアドレス等も）、従業員の氏名、メールアドレス、写真 |
#61 2026-10-21 | 民間企業・団体 オトトイ 音楽配信サービス「OTOTOY」 | 最大約48万件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 内部ユーザーid、メールアドレス、ユーザー登録日時 |
#62 2026-10-20 | 民間企業・団体 KDDI au PAYの加盟店検索サイト「au PAYの使えるお店」 | 個人事業主 最大458,508名（うち個人氏名と推測される名称が店舗名に掲載されていた人数 最大4,417名） 漏洩なし・記載なし | その他 ｜ 漏えいの記載なし（本人が明確に認識しないまま店舗情報を掲載） | 店舗名、連絡先、所在地など |
#63 2026-06-23 | 民間企業・団体 STNet（KDDI ISP向けメールシステム事案） ピカラ光サービス、ピカラモバイルサービス、お仕事ピカラサービスのメール | 397,152名（メールアドレス・パスワード456,159件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | ID・パスワード・認証情報 メールアドレス、メールアドレスのパスワード |
#64 2026-09-27 | 民間企業・団体 スターツ出版 「オズモール」 | メールアドレス最大447,610名分（9/27初報）。10/01第2報の数値は報道で最大442,779人（公式本文は未照合） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：脆弱性の悪用 | 退会者を含む会員のメールアドレス、一部会員の氏名、住所の都道府県 |
#65 2026-10-16 | 民間企業・団体 アテニア ECサイト | 441,162件（417,312名） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 対象項目は公式資料にて精査・調査中 |
#66 2026-09-15 | 民間企業・団体 LEAN BODY 社内のデータ分析ツール「Metabase」 | 約44万アカウント（退会者を含む） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | クレジットカード情報ID・パスワード・認証情報 メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重などサービス内で入力した情報、登録日時・利用状況、暗号化されたパスワード、決済サービス上の識別番号・請求返金の記録・カード番号の下4桁（法人の福利厚生経由の一部利用者は氏名、所属法人名、従業員番号） |
#67 2026-10-19 | 民間企業・団体 クリプトン・フューチャー・メディア SONICWIRE、D2R | SONICWIRE会員 最大約42万件、D2R登録店舗 件数非公表 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名、メールアドレス、ハッシュ化パスワード、住所（請求書・見積書の発行時に入力した場合）、登録日などの識別情報。d2r は氏名、店舗名、ログインid、ハッシュ化パスワード |
#68 2026-10-14 | 民間企業・団体 マウスコンピューター（IDCFクラウド障害） メールマガジン配信 | メールアドレス約42万件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | メールアドレス、2026/09/05〜10/06 の配信記録 |
#69 2026-10-14 | 民間企業・団体 株式会社イズミ（IDCFクラウド障害） ゆめオンライン・ゆめデリバリーのメールマガジン | 最大約40万件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：ランサムウェア／IDCFクラウドへの攻撃／委託先経由 | 氏名、メールアドレス |
#70 2026-10-16 | 民間企業・団体 ファンケル ECサイト | 393,785件（368,184名） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 対象項目は公式資料にて精査・調査中 |
#71 2026-09-09 | 民間企業・団体 きちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」 | 約39万人（うちApplyNow Sign利用者約3万人。外部機関の調査結果で確定予定） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用／ApplyNow経由 | サービス利用企業および応募者の個人データ |
#72 2026-08-13 | 民間企業・団体 株式会社チャーム | 約39万件（漏えい確認約37万件、漏えいのおそれ約2万件。9/2訂正後）＋退会済み顧客約2.5万件（10/7第4報）。不正ログイン確認239名。初報（8/13）は約23万件の漏えいのおそれ。 漏洩確認 | 外部攻撃 ｜ 漏えい確認／一部は漏えいのおそれ ｜ 攻撃経路：不正ログイン | ID・パスワード・認証情報 届け先・氏名・住所・連絡先・生年月日・性別・ポイント・対応記録・パスワードハッシュ |
#73 2026-05-11 | 民間企業・団体 エネサンスホールディングス | 顧客 約36.5万件、グループ従業員等 約2千件 漏洩確認 | 外部攻撃（ランサムウェア） ｜ 漏えい確認 ｜ 攻撃経路：ランサムウェア | 氏名、住所、電話番号、メールアドレス等 |
#74 2026-10-08 | 民間企業・団体 ユーザベース 「NewsPicks」 | メールアドレス最大32.3万件、氏名5.9万件、クレジットカード情報の一部36.2万件ほか、取引先窓口122件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：脆弱性の悪用 | クレジットカード情報 メールアドレス、氏名、生年月日、配送先住所・宛名、所属（勤務先）、所属先電話番号、役職分類、クレジットカード名義・番号下3桁または下4桁、法人サービス運営担当者の氏名・メールアドレス |
#75 2026-05-15 | 民間企業・団体 アクサ損害保険 ペット保険システム | ペット保険既契約者・被保険者 約14.3万件、見積もり・資料請求者 約33.5万件、自動車保険契約者・見積もり者 約6.4万件 ほか 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 口座・金融・決済情報 住所、氏名、性別、生年月日、電話番号、メールアドレス、証券番号、保険金給付情報、交渉履歴、金融機関口座情報（区分により異なる） |
#76 2026-10-19 | 民間企業・団体 リンクステーション チケット購入サービス「GETTIIS」（主催者向け公演登録サービス「Gettii-Lite」のサーバー） | 会員ID 317,971件（項目別件数。合計人数ではない） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | クレジットカード情報ID・パスワード・認証情報 会員id 317,971件、ハッシュ化されたパスワード 311,451件、クレジットカード関連情報（カード番号の先頭4桁・末尾4桁、名義、有効期限を暗号化した情報）29,515件、氏名 309,759件、性別 5,900件、生年月日 5,192件、郵便番号 489件、電話番号 309,668件、メールアドレス 311,426件 |
#77 2026-10-05 | 民間企業・団体 i-plug 新卒オファー型就活サービス「OfferBox」 | 最大314,009人（理論上の最大値） 漏洩のおそれ・調査中 | 設定不備 ｜ 漏えいのおそれ | 利用学生の氏名（文字コードで表示）、メールアドレス |
#78 2026-10-22 | 民間企業・団体 新潟日報社（ブラストメール不正アクセス） 「新潟日報パスポート」会員・「にいがた鮭プロジェクト」会員へのメール配信（ニュースレター・記者セレクト・健活メール・速報メール） | 最大約253,000人（新潟日報パスポート全会員）。にいがた鮭プロジェクト会員約7,000人は対象に含まれていなかった（10月23日の第3報） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | 氏名（カタカナ）、都道府県名、市町村名、メールアドレス、性別、年代、購読商品名、購読するメルマガサービス名 |
#79 2026-09-11 | 公的機関・自治体 デジタル庁 GSS | 約24.6万件（人数ではない） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性 ｜ 攻撃経路：ネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入 | gss職員・業務関係者の氏名、メールアドレス、電話番号、住所等 |
#80 2026-10-15 | 民間企業・団体 ACCESS（台湾子会社 ACCESS AP TAIWAN） EC事業者向け業務支援サービス「CROS」 | お客様ID 155,280件、受注ID 231,998件、クレジットカード延べ1,671件（1,305アカウント） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報口座・金融・決済情報 氏名、電話番号、住所、メールアドレス、受注情報（台湾・香港・マカオ・シンガポール）、クレジットカード番号・有効期限・氏名（セキュリティコードを含むもの4件）、決済サービスのアカウント情報 |
1つの侵害が数百組織へ波及した「20大サプライチェーン連鎖ハブ」全1,031組織
2026年のセキュリティ事案を読み解くうえで絶対に外せないのが、「1つの共通システムが破られたことで、それを利用していた数百の自治体・ホテル・企業が連鎖的に情報漏洩を公表した」という構造です。
わずか20種類の製品・サービスの侵害だけで、合計1,031もの組織が被害公表に追い込まれました。代表的な連鎖ハブの内訳は以下の通りです。
- SpeeCAN RAIDEN（アルカディア／自治体向け情報配信サービス）：10月13日〜22日の10日間で全国の427組織（横須賀市、岡山市、金沢市、さいたま市、千葉市、静岡市など425行政機関ほか）が一斉に公表し、推定約313万6,000件のメールアドレス等が対象となりました。
- TEMAIRAZU（手間いらず／宿泊予約サイト管理システム）：全国のホテル・旅館・リゾート運営会社150組織が連鎖公表し、最大約445万人分の宿泊予約情報が対象となりました。
- Studio（ノーコードWeb制作プラットフォーム）：クラウド環境の脆弱性悪用により、デジタル庁、ラクスル、Luup、埼玉県、ユーザベースなど導入110組織がフォーム送信情報やアカウント情報の流出可能性を公表しました。
- ブラストメール（ラクスライトクラウド／メール配信システム）：新潟日報社（約25.3万人）、HRビジョン『日本の人事部』（約21.2万件）、名鉄観光サービス（約13万人）、東北電力フロンティア（約10万件）、オカムラ、埼玉県、京都市など87組織が連鎖公表しました。
- IDCFクラウド（IDCフロンティア／クラウド基盤）：ライドオンエクスプレスHD「銀のさら等」（最大約650万件）、JR東日本「えきねっと・大人の休日倶楽部」（計約206万件）、ビューカード（約403万件）、マウスコンピューター（約42万件）、イズミ「ゆめオンライン」（約40万件）など62組織に波及しました。
- コミューン（Commune／コミュニティ基盤）：約30.7万人の会員情報が対象となり、カルビー、森永乳業、スズキ、ヤマハ、ウイングアーク1st、青森県など29組織が公表しました。
- 発車オーライネット（工房／高速バス予約システム）：神奈川中央交通、名鉄バス、奈良交通、北陸鉄道、WILLER MARKETINGなど全国のバス事業者29組織が連鎖公表しました。
- その他の主要な連鎖ハブ：自治体の防災メール配信システム（28組織）、Eストアー「ショップサーブ」（個別公表22組織・全体影響1,599店舗）、産婦人科予約システム「アットリンク」（全国の病院・クリニック21組織）、ソースネクスト提携サービス（全国のケーブルテレビ局等19組織）、KDDI ISP向けメールシステム（ビッグローブ、JCOM、ニフティ、CPI、STNet等8組織）、新日本検定協会ランサムウェア事案（東京海上日動、三井住友海上、損保ジャパン、あいおいニッセイ同和損保等7組織）、スカラコミュニケーションズ「i-ask」（大和証券、シチズン時計、損保ジャパン、東武鉄道、オリックス生命等6組織）、YCC情報システム（山形県等6組織）、採用管理「ApplyNow」（入間市、魚沼市、ワンダーテーブル、ナカバヤシ等5組織）、両毛システムズ（4組織）、ユミルリンク「Cuenote FC」（野村證券、大日本印刷、埼玉県等4組織＋導入多数）、ファインズ（4組織）、チケット販売「GETTIIS」（3組織）。
以下のインタラクティブ図解では、20の製品・サービスごとに公表した全1,031組織の名称と公表日をすべて検索・展開して確認できます。
20 SUPPLY-CHAIN CASCADE HUBS (1,031 ORGANIZATIONS)1つの侵害が数百組織に連鎖した「20大共通サービス・委託先事案」全1,031組織リスト
自治体配信システム・宿泊サイトコントローラー・ノーコードWeb制作基盤・メール配信SaaS・クラウド基盤の侵害から、利用企業や自治体が連鎖的に公表した20事案（計1,031組織）の製品別まとめです。
1. SpeeCAN RAIDEN（自治体向け情報配信サービス）
427組織2026/10/13から2026/10/22までの10日間に、この製品・サービスを使っていた427組織が公表した。組織の種別は行政機関425、企業・団体1、教育機関1。確認状況は漏洩のおそれ・調査中405、漏洩なし・記載なし21、漏洩確認1。最初に公表したのはアルカディア。
10/13アルカディア10/13美馬市10/13下関市10/13湖南市10/13横須賀市10/13岡山市10/13佐世保市10/13あわら市10/13池田町（福井県）10/13越前市
2. TEMAIRAZU（宿泊予約サイト管理システム）
150組織2026/09/23から2026/10/14までの22日間に、この製品・サービスを使っていた150組織が公表した。組織の種別は企業・団体150。確認状況は漏洩のおそれ・調査中146、漏洩なし・記載なし4。最初に公表したのはホテルプリヴェ静岡。
09/23ホテルプリヴェ静岡09/24ファーストキャビン09/25ホテル メイプルイン幕張09/27春蘭の宿さかえや09/27ニューグロリアリゾートグループ09/28手間いらず09/28SPICE MOTEL OKINAWA09/28HOTEL RINGS KYOTO09/28COMMONS. inc.09/28穴吹エンタープライズ
3. Studio
110組織2026/10/16から2026/10/22までの7日間に、この製品・サービスを使っていた110組織が公表した。組織の種別は企業・団体88、行政機関21、医療機関1。確認状況は漏洩のおそれ・調査中109、漏洩確認1。最初に公表したのはLink-Uグループ。
10/16Link-Uグループ10/16ラクスル株式会社10/16埼玉県10/16Luup10/16フラー10/16シンプルフォーム10/16Fukuoka Growth Next10/16南日本放送10/16京都市10/16Finatextホールディングス
4. ブラストメール
87組織2026/10/21から2026/10/23までの3日間に、この製品・サービスを使っていた87組織が公表した。組織の種別は企業・団体58、行政機関27、教育機関2。確認状況は漏洩のおそれ・調査中65、漏洩なし・記載なし14、漏洩確認8。最初に公表したのは石油資源開発（JAPEX）。
10/21石油資源開発（JAPEX）10/21大分県10/21香美市10/21山梨市10/21湯沢市10/21日本BS放送（BS11）10/21ソーシャルインテリア10/21学校法人先端教育機構10/21サステナ・メディア・ラボ10/21古紙ジャーナル社
5. IDCFクラウド
62組織2026/10/07から2026/10/14までの8日間に、この製品・サービスを使っていた62組織が公表した。組織の種別は企業・団体55、行政機関5、教育機関2。確認状況は漏洩なし・記載なし41、漏洩のおそれ・調査中20、漏洩確認1。最初に公表したのはクロスランゲージ。
10/07クロスランゲージ10/07ソリトンシステムズ10/07メディアリンク10/07ポピンズ10/07湖西市10/07焼津市10/07ダイショー10/07COLORFULLY10/07SKE10/07NMB48
6. コミューン（Commune）
29組織2026/10/08から2026/10/14までの7日間に、この製品・サービスを使っていた29組織が公表した。組織の種別は企業・団体28、行政機関1。確認状況は漏洩のおそれ・調査中17、漏洩確認10、漏洩なし・記載なし2。最初に公表したのは青森県（青森びいき）。
10/08青森県（青森びいき）10/08VALX10/08ウイングアーク1st10/09ヤマハ（ヤマハネットワークエンジニア会）10/09スズキ（スズキヴィレッジ）10/09コミューン10/09カルビー10/09森永乳業10/09CHITOSE BIO EVOLUTION10/09ZENB JAPAN
7. 発車オーライネット
29組織2026/10/15から2026/10/17までの3日間に、この製品・サービスを使っていた29組織が公表した。組織の種別は企業・団体29。確認状況は漏洩のおそれ・調査中17、漏洩確認12。最初に公表したのは工房。
10/15工房10/15中国バス10/15奈良交通10/15防長交通10/16WILLER MARKETING10/16北陸鉄道10/16神奈川中央交通10/16名鉄バス10/16両備バス10/16北海道中央バス
8. 自治体の防災メール配信システム
28組織2026/10/13に、この製品・サービスを使っていた28組織が公表した。組織の種別は行政機関28。確認状況は漏洩のおそれ・調査中23、漏洩なし・記載なし5。最初に公表したのは南房総市。
10/13南房総市10/13大分県10/13佐賀市10/13台東区10/13福井市10/13鯖江市10/13敦賀市10/13北茨城市10/13牧之原市10/13栗山町
9. ショップサーブ
22組織2026/08/02から2026/09/30までの60日間に、この製品・サービスを使っていた22組織が公表した。組織の種別は企業・団体22。確認状況は漏洩確認19、漏洩のおそれ・調査中3。最初に公表したのは平宗 柿の葉ずし 平宗 オンラインショップ（ショップサーブ）。
08/02平宗 柿の葉ずし 平宗 オンラインショップ（ショップサーブ）08/03デザインフィル08/03珈琲香坊 ネットショップ（ショップサーブ）08/03七味家本舗 オンラインショップ（ショップサーブ）08/03メディアナビ メディアナビ・ダイレクト（ショップサーブ）08/03ノフル 通販サイト（ショップサーブ）08/03レメディコム（ショップサーブ）08/03マルキユー08/04ソフトウェア・トゥー オンラインストア（ショップサーブ）08/04大倉陶園 公式オンラインショップ（ショップサーブ）
10. アットリンク
21組織2026/10/14から2026/10/15までの2日間に、この製品・サービスを使っていた21組織が公表した。組織の種別は医療機関20、企業・団体1。確認状況は漏洩のおそれ・調査中20、漏洩確認1。最初に公表したのはまつしま病院。
10/14まつしま病院10/14つくばみらい遠藤レディースクリニック10/14産婦人科クリニックさくら10/14ツキリズムマタニティクリニック10/14あらかわレディースクリニック10/14つかさクリニック堺東10/14スズキ記念病院10/14ENAレディースクリニック梅田院10/14久保みずきレディースクリニック 菅原記念診療所10/14三宅医院
11. ソースネクスト
19組織2026/10/15から2026/10/19までの5日間に、この製品・サービスを使っていた19組織が公表した。組織の種別は企業・団体19。確認状況は漏洩確認11、漏洩のおそれ・調査中8。最初に公表したのは秋田ケーブルテレビ。
10/15秋田ケーブルテレビ10/16イッツ・コミュニケーションズ10/16伊豆急ケーブルネットワーク10/16アドバンスコープ10/16日本ネットワークサービス10/16ケーブルワン10/16伊万里ケーブルテレビジョン10/16ケーブルネット29610/16金沢ケーブル10/16佐賀シティビジョン
12. KDDI ISP向けメールシステム
8組織2026/06/23から2026/10/20までの120日間に、この製品・サービスを使っていた8組織が公表した。組織の種別は企業・団体8。確認状況は漏洩確認7、漏洩なし・記載なし1。最初に公表したのはKDDI。
06/23KDDI06/23STNet06/23KDDIウェブコミュニケーションズ06/23JCOM06/23中部テレコミュニケーション06/23ニフティ06/23ビッグローブ10/20KDDI
13. 新日本検定協会（ランサムウェア）
7組織2026/05/11から2026/05/12までの2日間に、この製品・サービスを使っていた7組織が公表した。組織の種別は企業・団体7。確認状況は漏洩のおそれ・調査中5、漏洩確認2。最初に公表したのは新日本検定協会。
05/11新日本検定協会05/11東京海上日動火災保険05/11三井住友海上火災保険05/11損害保険ジャパン05/11あいおいニッセイ同和損害保険05/11楽天損害保険05/12共栄火災海上保険
14. YCC情報システム
6組織2026/04/14から2026/07/30までの108日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は行政機関5、企業・団体1。確認状況は漏洩のおそれ・調査中5、漏洩なし・記載なし1。最初に公表したのはYCC情報システム。
04/14YCC情報システム04/17山形県04/17庄内町04/17幸手市04/20高畠町07/30山形市
15. i-ask（スカラコミュニケーションズ）
6組織2026/10/05から2026/10/08までの4日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は企業・団体6。確認状況は漏洩のおそれ・調査中6。最初に公表したのは大和証券 インターネット問い合わせ管理（委託先 スカラコミュニケーションズ）。
10/05大和証券 インターネット問い合わせ管理（委託先 スカラコミュニケーションズ）10/06シチズン時計（i-ask）10/06スカラコミュニケーションズ10/07損害保険ジャパン10/07東武鉄道株式会社 お客さまセンター「お問い合わせ」フォーム10/08オリックス生命保険
16. ApplyNow
5組織2026/09/09から2026/10/09までの31日間に、この製品・サービスを使っていた5組織が公表した。組織の種別は企業・団体3、行政機関2。確認状況は漏洩確認3、漏洩のおそれ・調査中2。最初に公表したのはきちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」。
09/09きちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」09/17入間市10/02ワンダーテーブル10/06ナカバヤシ 新卒採用（ApplyNow利用分）10/09魚沼市 職員採用試験録画面接サービス「ApplyNow」
17. 両毛システムズ
4組織2026/08/15から2026/09/30までの47日間に、この製品・サービスを使っていた4組織が公表した。組織の種別は企業・団体3、行政機関1。確認状況は漏洩のおそれ・調査中4。最初に公表したのは両毛システムズ。
08/15両毛システムズ09/28伊勢崎市09/28長野都市ガス09/30名張近鉄ガス
18. Cuenote FC
4組織2026/10/20から2026/10/23までの4日間に、この製品・サービスを使っていた4組織が公表した。組織の種別は企業・団体3、行政機関1。確認状況は漏洩のおそれ・調査中4。最初に公表したのはNTTPC。
10/20NTTPC10/20埼玉県10/21大日本印刷10/23野村證券
19. ファインズ
4組織2026/10/17から2026/10/20までの4日間に、この製品・サービスを使っていた4組織が公表した。組織の種別は企業・団体3、医療機関1。確認状況は漏洩確認3、漏洩のおそれ・調査中1。最初に公表したのは猫カフェ 猫ちゃんといっしょ。
10/17猫カフェ 猫ちゃんといっしょ10/17海の公園どうぶつ病院10/19バナナキッズ10/20四谷メディカルキューブ
20. GETTIIS
3組織2026/10/19から2026/10/20までの2日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体2、行政機関1。確認状況は漏洩のおそれ・調査中2、漏洩確認1。最初に公表したのは島根県民会館。
10/19島根県民会館10/20中央区10/20熊本日日新聞社
歴代最悪を更新した「1,000万件超」のメガ・ブリーチ全11事案
続いて、単一事案で1,000万件以上のデータ流出（または流出のおそれ・媒体紛失）が発表された11の超大規模事案を、発生原因と流出項目とともに詳しく見ていきます。
1. 佐川急便（最大約5,323万件）：荷物問い合わせサービスへの不正アクセス
2026年9月30日に第一報が出され、10月23日の第5報で最大約5,323万件（同一顧客の重複を含む約100日分の配送データ）という国内過去最多規模の流出可能性が公表された事案です。
標的は「お荷物問い合わせサービス（インターネット貨物システム）」のサーバーでした。送り主と届け先の氏名、住所、電話番号、荷物個数などが外部から参照された可能性があり、生活インフラの中核を担う物流システムのWeb公開インターフェースがいかに執拗に狙われているかを象徴する出来事となりました。
2. Helpfeel「Gyazo」（約2,362万件）：画像共有基盤の脆弱性悪用
2026年9月16日に第一報、10月21日に続報が公表されたスクリーンショット共有サービス「Gyazo」における不正アクセス事案です。
脆弱性の悪用により、ユーザーデータ約2,362万件（匿名ユーザー約1,801万件、メールアドレス登録ユーザー約562万件の氏名、メール、パスワードハッシュ、セッションID等）および画像メタデータが漏洩し、特定ユーザー133名の画像ファイル432件が閲覧・取得されたことが確認されました。
3. Eストアー「ショップサーブ」（約2,335.6万人）：EC共通基盤の脆弱性悪用
2026年8月1日に第一報、10月16日に詳細が公表されたEC構築プラットフォームの事案です。被害の広がりは桁違いでした。
アプリケーションの脆弱性が悪用され、同基盤を利用する1,599店舗・約2,335万6,000人の購入者情報や店舗運営者情報が漏洩しました。さらに約209万6,900人分にはクレジットカード名義や番号の一部、有効期限、セキュリティコード等が含まれており、EC共通基盤が破られた際の破壊力を見せつけました。
4. ソースネクスト（22,519,960件）：会員情報取得APIの悪用と鍵への接近
2026年10月15日に公表された、約2,252万件におよぶ会員情報管理システムの漏洩確認事案です。
社内システムの定期処理にも使われていた会員情報取得APIが悪用され、メールアドレス、パスワード、氏名、住所、性別、電話番号、生年月日などが漏洩しました。さらに暗号化パスワードの復号鍵領域へアクセスされた可能性が判明したほか、全国のケーブルテレビ局など提携19組織のサービスにも影響が波及しました。
5. EPARKリラク＆エステ「PeakManager」（約2,218万レコード）：DB転送と消去
サロン向け予約・顧客管理システム「PeakManager」において、2026年7月31日に第一報、9月24日に名寄せ後の精査結果として約2,218万レコードの漏洩が確定した事案です。
攻撃者はデータベースから個人情報を外部へ転送したあと、元のデータベース内のデータを削除しました。しかも流出項目には、氏名や連絡先に加えて店舗スタッフが入力した「顧客の備考欄（健康状態などの要配慮個人情報）」まで含まれており、自由記述欄に機微情報を残す運用の危うさが露呈しました。
6. アドベンチャー「skyticket」（約1,464万件）：航空券・旅行予約サイトの脆弱性悪用
2026年10月8日に公表された、総合旅行予約サイト「skyticket」における大規模漏洩事案です。
脆弱性を突いた不正アクセスにより、約1,464万件の顧客情報（氏名、パスポート表記氏名、生年月日、メールアドレス、電話番号、およびハッシュ化パスワード約413万件）が漏洩した可能性が発表されました。さらに17,780件の予約情報や、プレミアム会員最大6,140名分のクレジットカード情報漏洩懸念も報告されています。
7. KDDI（12,231,954名）：ISP向けメール基盤のゼロデイ脆弱性悪用
2026年6月23日〜7月6日に公表された、KDDIが提供するISP（インターネットサービスプロバイダー）向け共通メールシステムの不正アクセス事案です。
第三者製ソフトウェアのゼロデイ脆弱性が悪用され、au one netをはじめ、ビッグローブ（約501.6万人）、JCOM（約259万件）、ニフティ（約224.8万件）、KDDIウェブコミュニケーションズ「CPI」（約125万名）、中部テレコミュニケーション（約72.7万名）、STNet（約39.7万名）など計1,223万1,954名分のメールアドレス（うちパスワード761万6,173名分）が漏洩しました。
8. カプコン「CAPCOM ID」（11,774,247件）：オンライン共通会員基盤の侵害
2026年10月22日・23日に公表された、カプコンのオンライン共通アカウント「CAPCOM ID」への不正アクセス事案です。
全世界合計で1,177万4,247件のメールアドレスやシステム識別情報（作成日時、最終ログイン日時、IPアドレス等）が漏洩しました。さらに196件でパスワードが不正変更され、日本国内の19件では公式通販「イーカプコン」のマイページ情報（氏名、住所、電話番号等）が閲覧されたことが確認されました。
9. ビーケー・ジャパン「バーガーキング公式アプリ」（約1,118万件）：会員情報の漏洩
2026年10月15日に公表された、バーガーキング公式アプリの会員情報漏洩事案です。
外部からの不正アクセスにより、公式アプリ会員約1,118万件分の会員ID、メールアドレス、都道府県、性別、生年月日、氏名、電話番号、住所、パスワード（ハッシュ化）、注文履歴などが漏洩したことが確認されました。外食チェーンのモバイルオーダーアプリが巨大な個人情報データベースになっている現実を突きつけました。
10. 物語コーポレーション「焼肉きんぐ公式アプリ」（10,788,963件）＆ 九州電力送配電（延べ約1,090万件）
外食アプリではもう1件、物語コーポレーションが10月5日に「焼肉きんぐ公式アプリ」の登録会員約1,078万8,963件分の会員番号、氏名、メールアドレス、電話番号、生年月日等の漏洩確認を公表しました。
また、サイバー攻撃とは別の物理事案として、九州電力送配電が6月8日（続報7月8日）に過去の顧客情報延べ約1,090万件分を保存した外付けSSDの紛失・誤廃棄を公表しています。
100万〜900万件規模で続発した主要企業39事案の全貌
1,000万件超の事案に続き、100万件〜900万件規模の大型事案も39件に達しました。業界別に主要な事案を整理します。
1. EC・小売・アパレル・外食・エンタメ（500万〜900万件級）
- ユミルリンク「Cuenote FC」（10月19日公表・延べ約900万件）：メール配信サービスの脆弱性悪用と認証情報窃取により、配信先メールアドレス等延べ約900万件が漏洩。
- 第一興商（10月8日公表・約872.4万件）：業務委託先（日本コロムビアグループ）従業員PCのマルウェア感染により、ビッグエコー等の顧客情報約863.1万件と従業員情報約9.3万件に漏洩のおそれ。
- ムラウチドットコム（7月24日初報・9月15日続報・7,716,811件）：Webシステムの脆弱性を突いた不正アクセスにより、約771.6万件の氏名、住所、電話番号、メールアドレス、生年月日等が漏洩。
- ライドオンエクスプレスHD（10月8日公表・最大約650万件）：IDCFクラウド障害・不正アクセス事案に関連し、「銀のさら」「釜寅」「すし上等」の顧客データ最大約650万件に漏洩のおそれ。
- ブックオフグループHD（10月9日公表・6,383,279人）：子会社の会員管理システムへの不正アクセスにより、約638万人（642.7万件）の氏名、生年月日、電話番号、住所、メールアドレス等が漏洩確認。
2. 金融・決済・モビリティ・物流（400万〜660万件級）
- タイムズモビリティ「タイムズカー」（9月25日初報・10月23日続報・6,628,007件）：Webシステムの脆弱性悪用により約662.8万件の会員情報が漏洩確認。特に暗号化された本人確認書類（運転免許証等）の画像データ約29.1万件〜146万件が外部送信された事実が判明し、本人確認画像の保有廃止へと社会全体を動かす契機となりました。
- グリーンモンスター「FXなび」（10月23日公表・約619万件）：FXデモトレードアプリにおいて約619万件の利用データ（うちメールアドレス66,003件、アンケート回答約480.9万件等）に漏洩のおそれ。
- ヤマト運輸「クロネコ代金後払いサービス」（9月29日初報・10月16日続報・約526万件）：利用者情報約526万件（うちメールアドレス含む約49万件）、お届け先情報約5万件、加盟店情報等の漏洩を確認。
- トラストバンク「ふるさとチョイス」（10月19日公表・4,454,097件）：ふるさと納税総合サイトへの不正アクセスにより、約445.4万件の氏名、住所、電話番号、ハッシュ化パスワード、寄附控除試算額等が漏洩確認。
- アフラック生命保険（6月30日初報・7月31日続報・約438万人）：「よりそうネット」等への不正アクセスにより、顧客約438万人（うち保険料振替口座情報を含む約23万人）および代理店約4万店の情報が漏洩確認。
- ビューカード「VIEW's NET」（10月9日公表・約403万件）：IDCFクラウドへの攻撃に関連し、メールアドレス約403万件に漏洩のおそれ。
3. メディア・人材・小売・インフラ（100万〜420万件級）
- NTTソルマーレ「コミックシーモア」（10月15日公表・最大約420万件）：システムログファイル上の情報最大約420万件および会員DB登録情報319件の漏洩確認。
- ディップ「バイトル／バイトルNEXT」（10月9日公表・最大3,885,771件）：メールアドレス最大約388.5万件の漏洩確認。
- リクルート「カーセンサーnet／C-MATCH」（10月21日公表・最大3,709,551件）：中古車問い合わせ利用者の氏名・住所等（約321万件）および販売店口座情報等に漏洩のおそれ。
- 2りんかんイエローハット（4月23日公表・3,179,454名）＆ イエローハット本体（8月28日公表・1,797,124人）：グループ合計で約497.6万人分の会員・予約顧客情報が漏洩確認。
- リンツ＆シュプルングリージャパン／フューチャーショップ「futureshop」（10月23日公表・3,147,469件）：SaaS型ECプラットフォーム「futureshop」のサーバー不正アクセスにより、リンツ公式通販・アプリの共通会員314.7万件の氏名、住所、電話番号、メール、生年月日等が漏洩確認。
- ユニバーサル ミュージック（5月18日公表・3,105,585件）：「UNIVERSAL MUSIC STORE」等の会員・購入者情報約310.5万件が漏洩確認。
- GMOリサーチ＆AI「infoQ」（10月5日公表・確定894,082件／不正交換286.9万pt）：アンケートモニター約89.4万件の外部持ち出し確認とポイント不正交換被害。
- アンドエスティHD（旧アダストリア、10月23日公表・約251万件）：業務サーバーへの不正アクセスにより、顧客約250万件・取引先約1万件の氏名、住所、電話、メールアドレス等に漏洩のおそれ。
- ローソン（10月8日公表・2,155,345件）：「ローソンID」約215.5万件の氏名、住所、電話番号、メールアドレス等が漏洩確認（アプリ予約26件はカード情報一部含む）。
- 100万〜200万件台の主要事案：Peach Aviation（約189万件）、日本経済新聞社（クラウド開発環境から約183万件、うち個人情報約35万件漏洩確認）、ミスターマックス（最大173.5万人漏洩確認）、JR東日本「えきねっと・大人の休日倶楽部」（最大計約206万件）、ファインズ（153.6万件）、バリューデザイン「Value Card」（142.4万件漏洩確認）、さくらインターネット（販売管理システム会員136万アカウント）、JR九州（Web会員約130万件）、阪急阪神百貨店「H2O ID」（約126万件漏洩確認）、ホワイトエッセンス（約105万アカウント漏洩確認）、REXT Holdings（ワンダーレックス等、約104.4万件・リークサイト公開確認）。
10万〜99万件規模および医療・大学・自治体の重要事案
10万〜99万件クラスにも、業界を代表する企業や医療機関・大学・官公庁の事案が59件ひしめいています。
- 小売・EC・ライフスタイル（30万〜80万件級）：アエナ（ECアプリ最大81.7万人）、ビューティガレージ（ECサイト77.5万件漏洩確認）、メディカ出版（77.2万件）、トレジャー・ファクトリー（出張買取・引越管理システム74.6万件漏洩確認）、ムーンスター（公式通販最大59.3万人）、アンビションDXホールディングス（ファイルサーバー約58万件漏洩確認）、セイコーマート（アプリ会員57.4万人）、オトトイ「OTOTOY」（最大約48万件）、スターツ出版「オズモール」（最大44.7万名）、アテニア（ECサイト44.1万件漏洩確認）、LEAN BODY（社内分析ツールMetabase経由で約44万アカウント漏洩確認）、クリプトン・フューチャー・メディア「SONICWIRE」（最大約42万件）、ファンケル（ECサイト39.3万件漏洩確認）、チャーム（ECサイト約39万件漏洩確認）、エネサンスHD（顧客約36.5万件漏洩確認）。
- メディア・金融・IT・人材（10万〜36万件級）：ユーザベース「NewsPicks」（クレカ情報一部最大36.2万件、メール最大32.3万件、氏名5.9万件）、アクサ損害保険（ペット保険見積・契約者等約33.5万件）、リンクステーション「GETTIIS」（会員ID 31.7万件漏洩確認）、i-plug「OfferBox」（新卒就活生最大31.4万人）、きちりHD子会社「ApplyNow」（採用管理・録画面接サービス約39万人漏洩確認）、ACCESS台湾子会社「CROS」（受注ID 23.1万件・クレカ1,671件漏洩確認）、CAMPFIRE（GitHubアカウント侵害により22.5万名）、あなぶきハウジングサービス（ランサムウェアにより分譲マンション・公営住宅入居者20.7万件漏洩確認）、TOPPAN／損害保険ジャパン（誤送付17.7万名）、大起水産（17.4万人）、VOISING（BIツールから約17万件漏洩確認）、加賀ソルネット（最大約17万件）、PFU「PFUダイレクト本店」（旧ショップサーブ利用、最大16.9万件漏洩確認）、ソフツー（電話番号15.9万件）、ゼビオHD「GALLERY・2」（Commerble不正アクセスで最大15.8万件）、タカラトミー（デュエル・マスターズアプリ最大15.5万名）、H.I.S.ホテルHD（メルマガ約14万人）、小松製作所（13.9万人）、カインドオル（13.6万人漏洩確認）、Fivot「IDARE」（12.9万人漏洩確認）、マイナビ（外部クラウド不正アクセスで11.1万件）、スマレジ外部連携アプリ「書類上手」（約11万〜13万件漏洩確認）、村田製作所（社内ネットワーク不正アクセスで従業員・取引先約8.8万件漏洩確認）、ニチレイグループ（ランサムウェアで冷蔵物流停止＋約5万件漏洩確認）。
- 医療・製薬・大学・公的機関の重要事案：旭化成セラピューティクス「Pharma DIGITAL」（医療従事者最大約51.4万名）、デジタル庁（9月の政府共通ネットワークGSS関連約24.6万件＋10月のStudio関連約1.3万件）、日本医科大学武蔵小杉病院（2月公表、保守用VPN装置の脆弱性からナースコールサーバーが侵害され外来・入院患者約13万人＋職員・医学生約1,700名）、大阪公立大学（10月公表、教務システム関連約13万件など漏洩確認）。
なぜ2026年に被害が爆発したのか？攻撃者が突いた「3つの構造的死角」
これほど多様な業界で同時に被害が噴出した背景には、攻撃者側の「AIによる脆弱性探索の自動化」と、防御側の「3つの構造的な死角」があります。
STRUCTURAL BLIND SPOTS2026年に狙われた「3つの死角」とAI防衛アプローチVECTOR 01定期バッチ用APIを悪用した大量取得や、暗号化データと復号鍵が同一権限で置かれる設計ミス。・対策：KMSによる鍵の完全分離・AI活用：API認可・レート制限の自動コード監査➔VECTOR 02メール配信・ECカート・Web制作ツールや業務委託先PCのマルウェア感染から会員名簿が流出。・対策：外部ツール上の配信後CSV即時パージ・AI活用：委託先・利用SaaSのデータ滞留棚卸し➔VECTOR 03審査終了後もストレージに放置された運転免許証画像（146万件等）や休眠会員データが標的化。・対策：審査後の画像即時削除・ICチップ読取移行・AI活用：S3ライフサイクル自動削除ルール生成2026年の情報漏洩を引き起こした3大侵入経路とAI時代の防御シフト
1. API悪用と復号鍵の同居
2. SaaS・委託先からの連鎖
3. 本人確認画像の永久保存
死角1：API・分析ツールの露出と「暗号鍵の同居」
近年の攻撃者は正面からファイアウォールを壊しません。ソースネクストや複数のアプリ会員基盤で見られたように、システム内部で日常的に使われている「会員情報取得API」の認証・レート制限不備や、LEAN BODYやVOISINGで見られた「社内データ分析・BIツール（Metabase等）」の脆弱性を突いて、データベースを丸ごと吸い上げます。
さらに深刻なのが「パスワードや本人確認画像は暗号化して保存していたのに、復号するための鍵（Key）が同じサーバーや同一権限でアクセスできる場所に置かれていた」という設計ミスです。金庫に鍵を挿したままでは暗号化の意味がなく、侵入された瞬間にすべて平文として奪われてしまいます。
死角2：SaaS・メール配信・委託先という「裏口」の連鎖
先述の通り、2026年の外部攻撃の74.5%は委託先や共通クラウドサービス経由でした。SpeeCAN RAIDEN、TEMAIRAZU、Studio、ブラストメール、IDCFクラウド、Commune、ショップサーブ、Cuenote FC、さらには第一興商の事案における業務委託先PCのマルウェア感染など、サプライチェーンの輪の中で最も防御が薄い箇所が狙い撃ちにされています。
自社の本体サーバーをいくら要塞化しても、キャンペーン用サイトやメール配信ツールに顧客リストのCSVをアップロードしたまま放置していれば、そこが最大の弱点になります。
死角3：使い終えた「本人確認画像・休眠データ」の永久保有
タイムズカーの運転免許証画像や、ApplyNowの録画面接動画・履歴書、さらには十数年前に退会した休眠ユーザーの情報が大量に漏洩した事案が示す通り、「いつか使うかもしれないからサーバーに残しておく」というデータ保有慣行そのものが、企業の致命傷になる時代に入りました。
2026年10月9日に内閣官房国家サイバー統括室（NCO）や個人情報保護委員会、警察庁、金融庁が一斉に発出した緊急要請でも、本人確認手法を「画像データのアップロード・保存」から「マイナンバーカード等のICチップ読み取り（画像を残さない方式）」へ即時移行することが強く求められています。
PROMPT / ADVICE : データベースの「持ちすぎリスク」をAIで洗い出そう「自社のDBスキーマ定義（カラム一覧）を渡すので、個人情報保護法および2026年のNCO緊急要請の観点から、保有期間を定めて自動削除すべきカラムと、復号鍵を分離すべき項目を指摘して」とAIに依頼すると、設計上の時限爆弾を素早く特定できます。
AIを「最強のセキュリティ監査官」にする3つの実践プロンプト
攻撃者がAIエージェントを使って脆弱性探索（偵察）を自動化している現在、守る側も人間の目視チェックだけで対抗するのは不可能です。今日から現場でそのまま使える、AIを活用した3つのセキュリティ防衛プロンプトを紹介します。
実践1：APIエンドポイントと権限・鍵管理の脆弱性監査プロンプト
社内のWebシステムやAPIの設計書・ソースコードをAI（ClaudeやGemini等のセキュアな法人環境）に渡し、2026年型の不正アクセス手口に対する耐性を監査させるプロンプトです。
API・暗号鍵の脆弱性監査プロンプト：
AI PROMPT / CONFIG
あなたはシニアセキュリティアーキテクトです。以下のAPI仕様（またはソースコード）を精査し、2026年に多発した大規模情報漏洩の手口に照らして、以下の4点を重点監査してください。
1. 大量データ取得（スクレイピング・バッチAPI悪用）への耐性：
- レートリミット、ページネーション上限、異常件数取得時のアラート遮断が実装されているか。
2. 認可制御の不備（BOLA / IDOR）：
- 会員IDや連番パラメータを書き換えることで、他者の個人情報や本人確認画像を参照できないか。
3. 暗号鍵・シークレットの分離：
- データベース内の暗号化カラムを復号する鍵（KMS等）が、Webアプリケーションサーバーと同一環境・同一権限に露出していないか。
4. ログと監視の死角：
- 定期バッチ処理と不正アクセスを判別するための監査ログが記録されているか。
各項目について「危険度：高・中・低」「具体的な攻撃シナリオ」「修正コードまたは設計変更案」を出力してください。実践2：委託先・利用SaaSのサプライチェーンリスク棚卸しプロンプト
自社が利用している外部ツールや委託先を整理し、どこに個人情報（特にメールアドレス、パスワード、本人確認書類、備考欄）が滞留しているかを可視化するプロンプトです。
サプライチェーン・データ滞留棚卸しプロンプト：
AI PROMPT / CONFIG
当社の情報システム・マーケティング部門で利用している以下の外部サービス・業務委託先リストについて、2026年のサプライチェーン情報漏洩トレンドを踏まえたリスク棚卸し表を作成してください。
■ 入力データ：利用サービス・委託先一覧
（例：メール配信システム、ECカート、宿泊・サロン予約管理SaaS、ノーコードWeb制作ツール、採用管理ツール、キャンペーン事務局委託先など）
■ 出力してほしい項目
1. 各サービスに預けている個人情報の種別（特に「平文に近い認証情報」「本人確認画像・動画」「自由記述の備考欄」の有無）
2. そのサービスが侵害された場合の最大影響件数とビジネス停止リスク
3. 「データの最小化・即時削除」の観点からの運用改善アクション（例：配信完了後のリスト削除、API連携への切り替え、管理画面のIP制限・MFA強制など）
4. 委託先へ今すぐ確認すべきセキュリティ質問票（5項目）実践3：不要データ・本人確認画像の「データダイエット（自動削除）」設計プロンプト
「持たないことが最強の防御」を実現するため、データベースやクラウドストレージ（S3等）に残留している本人確認書類や休眠アカウントの自動パージ（削除・匿名化）ポリシーを策定するプロンプトです。
データ保持期間・自動削除ポリシー策定プロンプト：
AI PROMPT / CONFIG
当社のサービス（業種：[自社の業種を入力]）において、個人情報漏洩時の被害を最小化するための「データライフサイクル・自動削除ポリシー」のドラフトを作成してください。
以下の要件を必ず盛り込んでください。
1. 本人確認書類（運転免許証等の画像データ・採用録画データ）：
- 審査・選考完了後、原則として即座（または最大○日以内）にストレージから完全削除し、確認済みフラグのみを保持する運用への移行手順。
2. 休眠アカウント・退会者データ：
- 最終ログインから一定期間経過したアカウントの自動通知・論理削除・物理削除（または統計匿名化）のタイムライン。
3. 自由記述欄（スタッフ備考欄・問い合わせ履歴）：
- 要配慮個人情報やクレジットカード番号が誤って書き込まれないための入力バリデーションとマスキング処理のルール。
4. クラウドストレージ（S3等）のライフサイクルルール設定例（JSONまたはTerraform形式）。 PROMPT / ADVICE : 社内規定への落とし込みもAIで一気通貫出力されたポリシー案をそのまま「情報セキュリティ委員会向けの稟議書およびエンジニア向けの実装チケット（Markdown形式）に変換して」と追加指示することで、会議の翌日から対策を動かせます。
まとめ：「侵入される前提」でデータを残さない経営へ
どれほど有名な大企業であっても、どれほど実績のあるクラウドサービスであっても、侵入を完全に防ぎ切ることは不可能です。年間1,590件・100万件超49事案という2026年の数字は、その冷徹な現実を私たちに突きつけました。
では、被害に遭った企業の明暗を分けたのは何だったのでしょうか。答えはシンプルです。侵入されたその瞬間に、復号可能なパスワードや運転免許証の画像、数十年分の休眠リストといった「決定的な機密データ」がそこに残っていたかどうかでした。
1. 審査が終わった本人確認画像は即座に消す。
2. 外部のメール配信ツールやWebフォームに顧客データを置きっぱなしにしない。
3. 暗号化の鍵とデータベースを同じ部屋に置かない。
4. そして、人間が見落とすAPIの穴や委託先リスクを、AIを使って常時監査し続ける。
他社のインシデント一覧をただのニュースとして読み終えては意味がありません。自社のデータベースから不要な個人情報を1件でも減らすきっかけとして、本記事の1,590件データベースと監査プロンプトを現場の総点検に役立ててください。