2026年9〜10月は、不正アクセスによる情報漏えいの公表が国内で相次ぎ、複数の公的機関が注意喚起を出しました。この記事は2026年10月21日時点で公表されている情報をもとにしています。公表内容は調査の進み具合で更新されるため、各社の最新の発表をご確認ください。公式発表を読めた事案を並べると、委託先、クラウドの認証情報、アプリの裏側のAPI、メール配信基盤といった入口が浮かびます。「うちのサイトやメールは大丈夫か」と感じた中小企業の経営者・Web担当者に向けて、事案の一覧と確認事項を整理します。
注意喚起の内容そのものは、別の記事で詳しく解説しています。IPAの発表と6か条はIPA注意喚起（2026年10月）の解説記事をご覧ください。
2026年9〜10月に公表された不正アクセス・情報漏えいの一覧
下の表は、各社・各団体の公式発表を確認できた10件です。件数は公式発表に書かれている数字のみで、報道やまとめサイトの数字は使っていません。「可能性」とあるものは、漏えいが確認されたわけではない点にご注意ください。いずれも被害に遭った側の組織で、批判を目的とした一覧ではありません。
| 公表日 | 組織 | 公表されている概要 | 公表された件数 | 公式発表 |
|---|---|---|---|---|
| 9/25（第1報） | タイムズカー | タイムズカーWebシステムへの不正アクセス。氏名・住所・免許情報などが漏えいした可能性 | 約660万件（9/28第2報）、本人確認書類は約160万件（9/29第3報） | 第2報 |
| 10/5 | 物語コーポレーション（焼肉きんぐ公式アプリ） | 会員管理システムへの不正アクセス。会員番号・氏名・メールアドレス・電話番号が漏えい | 10,788,963件（登録数10,808,784件のうち） | お詫び |
| 10/6 | ミスターマックス | MrMaxアプリ・オンラインストアのサーバーへの不正アクセス。会員ID・氏名・メールアドレス・電話番号が流出の可能性 | 最大1,735,154人 | お詫び |
| 10/7（第1報） | IDCフロンティア | IDCFクラウドの一部システムへの不正アクセスで障害が発生。10/14の第5報で、外部へのデータ流出はなかったと判断 | 影響を受けた企業・自治体495社 | 第5報 |
| 10/8 | 第一興商 | 個人情報の取扱いを委託する日本コロムビアグループの従業員のPCがマルウェアに感染。漏えいの事実は未確認 | 約872万4千件（顧客約863万1千件・従業員約9万3千件） | 公式発表（英語版） |
| 10/14 | ピーチ・ジョン | メールマガジン配信事業者が利用するIDCフロンティアで不正アクセス。メールアドレスが漏えいした可能性 | 「一部のお客様」とのみ記載 | お知らせ |
| 10/14 | マウスコンピューター | メールマガジン配信の一部を担う外部データセンターのクラウド基盤で不正アクセス。漏えいの事実は未確認 | メールアドレス約42万件 | お知らせ |
| 10/15 | ソースネクスト | 会員情報取得APIが不正に利用され、会員情報が流出した可能性 | 22,519,960件 | お詫び |
| 10/16 | 日本経済新聞社 | システム開発に使うクラウドサービスへの不正アクセス。クラウドの認証情報が窃取された | 約183万件（個人情報は約15万件、残りは識別子のみ） | お知らせ |
| 10/16（第4報） | ヤマト運輸（クロネコ代金後払い） | サービスへの不正アクセスで一部の情報が持ち出された。クレジットカード情報・パスワードは含まれない | 購入者約526万件・お届け先約5万件・加盟店約4,100件 | 第4報 |
公式発表の本文を確認できなかった事案は載せていません。一覧にない組織で被害がなかったという意味ではなく、確認できた範囲の一覧です。
主な事案の要点（公表されている範囲）
ここでは、特に件数が大きい、または原因の書き方が特徴的な2件を取り上げます。いずれも、原因については公表されている範囲だけを書きます。
焼肉きんぐ公式アプリ（物語コーポレーション）
2026年10月5日の発表では、公式アプリの会員管理システムへの第三者の不正アクセスが10月2日に確認され、会員番号・氏名・メールアドレス・電話番号が漏えいしたとされています。ログインパスワード、生年月日、性別、郵便番号、ポイントや店舗利用履歴は漏えいしていないとされ、クレジットカード等の決済情報は保持していないと説明されています。原因と不正アクセスが可能になった経緯は、詳細を調査中と書かれています。
日本経済新聞社とソースネクスト
日本経済新聞社は10月16日、システム開発に使うクラウドサービスへのアクセスに使う認証情報が何らかの手段で窃取され、10月7日未明から朝にかけて不正アクセスを受けたと公表しました。不正に使われた認証情報はすでに無効にしたとされています。ソースネクストは10月15日、10月9日頃から会員情報取得APIが不正に利用されたと公表し、パスワードを含む会員情報が流出した可能性があるとしています。どちらも、詳しい原因は調査中です。
公表から見える共通点：入口は「委託先」「認証情報」「アプリの裏側」
侵入の入口は一つではありませんが、外部に任せている部分や外から見えにくい部分が入口になる例が目立ちます。原因が調査中のものも多いため、公表されている事実だけを分類します。
委託先・配信基盤を経由するケース
第一興商は、個人情報の取扱いを委託している会社の従業員のPCがマルウェアに感染した件を公表しています。ピーチ・ジョンとマウスコンピューターは、メールマガジン配信を委託する事業者が利用するIDCフロンティアの基盤で不正アクセスがあったと公表しました。自社のサーバーは無事でも、データを預けた先が被害を受ければ、自社の顧客に影響が及びます。制作の現場でも、メール配信や予約システムなど、外部に顧客データを預けている中小企業は多くあります。
クラウドの認証情報が使われるケース
日本経済新聞社の発表では、クラウドへのアクセスに使う認証情報が窃取されたとされています。IDとパスワードだけで入れる状態だと、一度漏れた認証情報がそのまま入口になります。この点は後述のチェックリストの「アカウント」の項目に直結します。
アプリの裏側（API・サーバー側の機能）が使われるケース
ソースネクストは会員情報取得APIの不正利用、ミスターマックスは「サービスを構成するソフトウェアの機能」の不正利用を公表しています。NICTの注意喚起によると、攻撃者は公開されているAndroidアプリを解析し、アプリが接続するサーバーの仕組みを調べてから攻撃する、と説明されています。画面からは操作できない機能でも、外から呼び出せる状態だと狙われるという点がポイントです。
各機関の注意喚起の要点
10月7日から13日にかけて、複数の機関が注意喚起を出しました。国家サイバー統括室が10月14日に、関係機関の注意喚起をまとめたページを公開しています。確認できた範囲を整理します。
| 公表日 | 機関 | 確認できた内容 |
|---|---|---|
| 10/7 | 個人情報保護委員会 | 「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を個人情報取扱事業者向けに公表 |
| 10/8（10/9更新） | JPCERT/CC | 国内組織で不正アクセスによる漏えいが相次いでいるとして、確認された攻撃手法と対策を掲載 |
| 10/9 | 総務省 | 脆弱性への対応、認証機能の強化、不正利用の防止などを求め、経営者の関与も呼びかけ |
| 10/9 | IPA | 外部公開アプリ・外部サービスの点検、保有データの見直しを求める |
| 10/13 | NICT | 公開Androidアプリを解析してバックエンドサーバーを狙う「A2B攻撃（App-to-Backend Attack）」を注意喚起 |
| 10/14 | 国家サイバー統括室 | 各機関の注意喚起をまとめて掲載（警察庁、金融庁、経済産業省なども含む） |
JPCERT/CCの注意喚起では、確認された攻撃手法として、既知の脆弱性の探索、公開アプリを解析したAPI経由の不正操作、Metabaseの脆弱性（同ページにはCVE-2026-72898と記載）の悪用、Webシェルの設置などが挙げられています。BIツールや従業員向けの管理システムも被害に遭っている、という指摘もあります。推奨される対策としては、APIのアクセス回数の制限、必要最小限の権限、不要な管理機能の公開停止、既知の脆弱性がある版の更新、保存期間を過ぎたデータの削除などが示されています。
中小企業が自社で確認すること（チェックリスト）
大企業の事案でも、確認する観点は中小企業のホームページやメールと共通しています。全体像を表にまとめ、項目ごとに補足します。分かるところから順に確認すれば十分です。
| 分野 | 確認すること | 目安 |
|---|---|---|
| ホームページ・WordPress | 本体・テーマ・プラグイン・PHPの更新、使っていないプラグインの削除、管理画面のログイン対策 | 管理画面の更新画面で確認 |
| メール | SPF・DKIM・DMARCの設定、不審なメールの有無 | 送信ドメイン認証の記事を参照 |
| 委託先・外部サービス | 顧客データを預けている先の洗い出し、連絡先の確認 | 契約書・請求書から拾う |
| アカウント | 二段階認証、退職者・外注先のアカウント、共有IDの整理 | ログイン履歴も確認 |
| バックアップ | 取得頻度、保存先、実際に戻せるか | 年1回は復元を試す |
ホームページ・WordPressの更新とログイン対策
WordPressの管理画面の「更新」で、本体・プラグイン・テーマに未適用の更新がないかを見ます。使っていないプラグインは停止だけでなく削除まで行うと、狙われる面が減ります。管理画面のログインには二段階認証を設定し、管理者権限のユーザーが必要以上に増えていないかも確認してください。公開を終えたはずのキャンペーンページやテスト用サブドメインが残っていないかも、見落としやすい点です。
独自ドメインメールの送信ドメイン認証
今回の事案では、漏えいした情報をもとに、企業を装ったメールが届くことへの注意が各社から呼びかけられています。自社のドメインが同じように装われる側にならないよう、SPF・DKIM・DMARCの設定を確認しておくと安心です。設定手順はSPF・DKIM・DMARCの設定記事で解説しています。
委託先・外部サービスの洗い出し
メール配信、予約、決済、会員管理、フォームなど、顧客データを預けているサービスを書き出します。委託先で何かあったときの連絡先と、どんな情報を預けているかを分かるようにしておくと、ニュースが出たときに自社の影響を判断しやすくなります。
アカウントの棚卸し
サーバー・ドメイン・メール・クラウドで、二段階認証が有効か、退職者や外注先のアカウントが残っていないか、複数人で使い回している共有IDがないかを見直します。使い回しているパスワードがある場合は、その機会に変更します。
バックアップの状況
サーバーの自動バックアップがあっても、保存期間が短い、復元の手順が誰にも分からない、ということがあります。いつの時点まで戻せるか、誰が復元するかを確認しておきます。
確認を手伝ってほしい場合は、次のボタンからお気軽にご相談ください。
自社の情報が漏れていたかもしれないと思ったとき
利用しているサービスから「情報が漏えいした可能性があります」という連絡が来た場合は、落ち着いて、次の順に進めます。まず、そのサービスの公式サイトのお知らせを、メールのリンクではなくブラウザで直接開いて確認します。次に、該当サービスのパスワードを変更し、同じパスワードを使い回している他のサービスも変更します。二段階認証が使えるなら有効にします。
漏えいした情報をもとに、そのサービスを装った不審なメールやSMSが届くことがあります。公式発表でも、メールやSMSのリンクを開かない、パスワードやカード番号を聞かれても答えない、といった呼びかけが多く見られます。心当たりのない連絡は、リンクを開かずに削除してください。なりすましメールの見分け方と対策はフィッシング対策の記事にまとめています。
セキュリティのご相談について
ニュースを見て不安になった方、何から手をつければいいか分からない方は、気軽にご相談ください。まずは状況をお聞かせください。
相談できること
Web制作会社として対応できる範囲で、次のようなご相談をお受けしています。
- WordPressや使っているプラグインの更新状況の確認
- 管理画面のログイン対策（二段階認証など）
- バックアップの状況の確認
- 独自ドメインメールの送信ドメイン認証（SPF・DKIM・DMARC）の確認
- 不審なメールやログインに気づいたときの初動の相談
- ホームページを管理している制作会社と連絡が取れない場合の相談
当社で制作していないサイトでもご相談いただけます。また、ご相談したからといって、契約が必要になることはありません。
ステップ1｜お問い合わせフォームから状況を送る
下のボタンからお問い合わせフォームを開き、気になっていることをそのまま書いてください。専門用語が分からなくても、「ニュースを見て心配になった」だけでも構いません。
ステップ2｜内容を確認してご連絡
いただいた内容を確認し、担当者からご連絡します。
ステップ3｜必要な対応をご提案
状況を整理したうえで、必要な対応があればご提案します。ご提案を受けるかどうかは、内容を見てからお決めいただけます。
お問い合わせ時に書いていただくと話が早いこと
- サイトのURL
- 使っているサーバー（分かる範囲で）
- 気になっている症状（表示がおかしい、不審なメールが届く、など）
- いつから気になっているか
分からない項目は空欄のままで問題ありません。なお、すでに実際の被害が出ている場合（身に覚えのない不正ログイン、情報の流出が疑われる、など）は、当社より先に警察や公的な窓口へご連絡ください。IPAの不正アクセス特別相談窓口は、電話03-6759-5760（平日9:30〜17:30、12〜13時を除く）で、詳細はIPAの案内ページで確認できます。そのうえで、サイト側の確認などでお手伝いできることがあれば、ご相談ください。
よくある質問
Q. うちのような小さな会社も狙われますか？
A. 規模に関わらず、可能性はあります。JPCERT/CCの注意喚起には、既知の脆弱性を探す手法が挙げられており、会社の知名度と関係なく、更新されていないサイトが入口になり得ます。
Q. 制作会社に頼んでいないサイトも相談できますか？
A. はい、ご相談いただけます。他社で制作したサイトや、自社で作ったサイトでも、更新状況やログイン設定などの確認についてお話を伺います。
Q. ニュースで見た会社のサービスを使っています。何をすればよいですか？
A. その会社の公式サイトのお知らせを確認し、案内に従ってパスワードを変更します。同じパスワードを他のサービスで使っていれば、そちらも変更してください。不審なメールやSMSのリンクは開かないようにします。
Q. 自分のサイトが不正アクセスされたか、どう確認できますか？
A. 見覚えのない管理者ユーザー、知らないファイルやプラグイン、不自然な表示や転送などが手がかりです。判断が難しければ、ログを消さずに専門家へご相談ください。
Q. 相談したら、必ず契約が必要になりますか？
A. いいえ。ご相談だけで終わっても問題ありません。状況をお聞きして、必要があればご提案する流れで、受けるかどうかはお客様がお決めになります。
Q. 実際に被害が出ているときはどこに連絡すればよいですか？
A. 警察と、IPAの不正アクセス特別相談窓口（03-6759-5760、平日9:30〜17:30、12〜13時を除く）にご連絡ください。サイト側の確認が必要な場合は、そのあとでご相談いただければお手伝いできます。
THREE D PLUS は大阪の Web 制作会社です。ホームページ制作から公開後の運用・改善までまとめてご相談いただけます。お問い合わせはこちら。
