のべ1億件・50社超、わずか2か月で相次ぐ情報漏えい・不正アクセス事例｜いま何が起こっているのか？

2026年8月9日から10月9日までの約2か月間、国内企業や官公庁による情報漏えい・不正アクセス事案の公表が相次ぎました。旅行、交通、小売、外食、人材、出版、金融、医療、ITサービス、官公庁など、業種を問わず発生しています。

本記事では、事案本体と波及先を区別しながら掲載しました。今回は、この約2か月間に何が起きたのかを事例と数字から振り返ります。

公表規模が明らかな主要事例を単純集計すると、のべ1億件を超えます。一方、件数非公表・調査中の案件や、組織数のみが公表された案件もあります。

集計

同期間に公表された主要事例と重要な続報を整理したところ、影響を公表した企業・団体や利用組織は50社を超え、公表された対象規模はのべ1億件を超えました。

ただし、この数字は「実際に漏えいが確認された人数」ではありません。閲覧・取得された可能性がある情報、漏えいのおそれがある情報、調査中の事案を含み、公表単位も「件」「人」「会員」「アカウント」「レコード」などで異なります。本記事では、各社が公表した対象規模を「のべ値」として集計しています。 また、CommuneやIDCFクラウドのような共通基盤への攻撃では、利用企業が個別に影響を公表しています。本記事では、事案本体と波及先を区別しながら掲載しました。

• 集計期間：2026年8月9日〜10月9日
• 影響を公表した企業・団体等：50社超
• 公表対象規模：のべ1億件超
• 特記事項：IDCFクラウド事案は495組織に影響

以下は、集計対象とした本体事案・波及事例です。共通基盤や委託先の事案では、影響を公表した利用企業・組織を個別に整理しているため、対象主体は50社・組織を超えます。

※件数は各社の公表表現に合わせています。「漏えいを確認」「第三者が取得」「閲覧・取得された可能性」「漏えいのおそれ」「調査中」では確定度が異なります。同一人物、複数サービス、アカウント数と人数の重複を含む可能性があります。

1．業種を問わず発生している

小売・外食、交通・物流、人材、出版、金融、医療、クラウド、官公庁まで幅広い業種で公表されました。

2．一つの事案が数百万・数千万件へ広がる

Gyazo、skyticket、焼肉きんぐ公式アプリの3事例だけでも、公表対象規模は約5,000万件に達します。

3．共通基盤・委託先を起点に影響が連鎖する

IDCFクラウドへのランサムウェア攻撃では495組織に影響が及び、JR東日本、JR九州、Peach Aviationなどが関連する影響を公表しました。Commune事案でもヤマハ、スズキなど利用企業側へ影響が波及しています。

かつて情報漏えいといえば、自社サーバーや社内システムへの侵入によって発生するケースが中心でした。しかし今回の事例を見ると、被害の発生源と影響を受ける企業が一致しないケースが数多く確認されています。

例えば、IDCFクラウドへのランサムウェア攻撃では、影響が495組織に及んだと公表されました。利用企業側では、JR東日本、JR九州、Peach Aviationなども関連する影響を公表しています。1社への攻撃が、多数の利用企業へ波及した代表的な事例といえるでしょう。

また、Communeへの不正アクセスでは、同サービスを利用していたヤマハやスズキにも影響が波及しました。さらに、TEMAIRAZU、i-ask（スカラコミュニケーションズ）、委託先が起点となった第一興商や大和証券の事例なども含めると、「自社が直接攻撃を受けなくても被害を受ける」ケースが目立っています。

背景にあるのは、企業システムの分業化とクラウド利用の拡大です。現在、多くの企業は顧客管理、会員管理、問い合わせ管理、予約管理、マーケティング、メール配信、分析基盤などを外部サービスに依存しています。また、システム開発、保守運用、コールセンター運営、データ処理などを外部委託しているケースも少なくありません。

その結果、自社のセキュリティ対策だけではリスクを管理しきれなくなっています。仮に自社システムが侵害されていなくても、利用しているクラウドサービス事業者、会員管理や予約管理を担うSaaS、個人情報を取り扱う委託先、認証基盤やメール配信基盤が侵害されれば、自社や顧客にも影響が及ぶ可能性があります。

今回の事例群が示しているのは、「守るべき対象」が自社システムだけではなくなったということです。企業には、自社のサーバーやネットワークを守るだけでなく、利用中のSaaSやクラウドサービスの把握、委託先のセキュリティ対策の確認、有事の連絡体制と責任分担の明確化、サプライチェーン全体のリスクの継続的な見直しが求められています。

「自社は攻撃されなかったから問題ない」という考え方は、すでに通用しなくなりつつあります。今回の50社超の公表事例は、情報漏えい対策がIT部門だけの課題ではなく、委託先管理やサプライチェーン管理を含めた経営課題へ変化していることを示しているのではないでしょうか。

2026年10月8日、JPCERT/CCは「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公開し、10月9日に情報を更新しました。確認されている攻撃類型として、既知脆弱性の探索、API経由の不正操作、MetabaseのSQLインジェクション脆弱性の悪用、アプリケーションサーバーへのWebシェル設置などを挙げています。

注意喚起で示された主な対策は、次のとおりです。

• APIへのアクセス件数を制限し、短時間の反復アクセスや大量実行を防ぐ
• ログイン、パスワードリセット、SMS送信、検索など、悪用リスクが高い機能に個別の回数制限を設ける
• 非公開APIを含む各エンドポイントでアクセス制御を行い、API利用者やトークンの権限を必要最小限にする
• APIトークンに有効期限を設定し、不要または漏えいが疑われるトークンを速やかに無効化する
• 既知の脆弱性を修正したアップデートを適用する
• Webサーバー侵害後の横展開対策、不正アクセス検知体制、検知時の初動対応を見直す
• 不要な管理機能やサービスがインターネットに公開されている場合は公開を停止する
• 保存期間を過ぎたデータや、利用目的を終えたデータを残さない

また、一般利用者向けアプリだけでなく、BIツールや従業員向け管理システムなど、通常は不特定多数からのアクセスを想定していない管理・運用側のシステムについても、同様の点検を行うよう促しています。

JPCERT/CCは、侵害原因や攻撃手法に関する新たな情報が判明した場合には、注意喚起ページを更新するとしています。公開時点で把握されている情報は限定的かつ断片的であり、すべての事案で同じ攻撃手法が使われたことを示すものではありません。企業のセキュリティ担当者は、現時点の対策を実施するとともに、同ページの更新履歴や今後の続報を継続的に確認する必要があります。

※参考文献：JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」
https://www.jpcert.or.jp/at/2026/at260030.html

今回の一覧が示しているのは、情報漏えいが特定の業種や大企業だけの問題ではないという事実です。問われるのは「自社が直接狙われるか」だけではありません。利用中のクラウド、SaaS、委託先が侵害されたとき、自社のどの業務や情報へ影響が及ぶかを把握しているかが重要です。

技術的な防御に加えて、インシデント発生時の連絡体制、初動判断、委託先との責任分担、顧客への告知、経営層への報告まで含め、平時から対応手順を確認しておく必要があります。

2026年8月9日から10月9日までの約2か月間で、影響を公表した企業・団体や利用組織は50社を超え、公表規模はのべ1億件を超えました。

この数字は被害者の実人数ではありません。それでも、短期間に多様な業界で大規模事案が表面化し、共通基盤への攻撃が多数の利用組織へ波及した事実は重く受け止める必要があります。

重要なのは、「自社は大丈夫か」ではなく、「自社または利用中のサービスで明日起きたら、事実を把握し、説明し、対応できるか」を確認することです。