公表された漏えい事案を、発表日・原因・被害範囲の順に整理しています。
全68件
2026年11月9日、ニトリホールディングスは管理するシステムへの不正アクセスを発表しました。11月6日に不正アクセスを確認し、個人会員・商品購入者の氏名、住所、電話番号、生年月日、メールアドレスや法人会員情報など最大3,762万件が流出した可能性があります。ログインパスワードとクレジットカード情報は含まれないとしています。11月6日以前にも不正アクセスがあった可能性があり、調査中です。
2026年11月9日、NTTデータは住友生命保険から受託したシステムへの不正アクセスを発表しました。11月2日に申し込み用システムで確認し、3日に外部からのアクセスを遮断してサービスを一時停止しました。「住友生命Vitality体験版・企業型」と「Vitalityスマート」の利用者約8万人の氏名、住所、電話番号、生年月日、メールアドレスなどが対象です。一部を非表示にしたカード番号は約1000人分です。
2026年11月9日、ラクスルは不正アクセスを受けたと発表しました。8日午前0時20分ごろに発見し、第三者がシステムの認証情報を不正に取得したことを確認したとしています。入稿データの一部が対象で、名刺やはがきに記載された氏名、会社名、住所、電話番号、メールアドレスなどが含まれる可能性があります。件数と期間は調査中です。クレジットカード情報、ログインID、パスワードは漏えいしていないとしています。
2026年11月6日、ロート製薬は通販の顧客の個人データが漏えいしたと発表しました。電話システムのアカウント情報を第三者に不正利用され、顧客管理システムの情報も取得されたとしています。対象は2,797,545人で、氏名、住所、電話番号などが含まれます。通話音声にカード番号と有効期限が含まれる顧客は9,715人です。警察と個人情報保護委員会に届け出て、対象者へ個別に案内するとしています。
2026年11月6日、日本ネットワークセキュリティ協会（JNSA）は「情報セキュリティ理解度チェックサービス」への不正アクセスを発表しました。11月4日に確認し、10月30日夜ごろから行われた可能性があるとしています。利用者の個人情報最大15,128件が漏えいした可能性があり、管理者の氏名、企業名、メールアドレス、利用者のIDとハッシュ化されたパスワードなどが含まれます。サービスを停止し、11月6日に個人情報保護委員会へ報告予定としています。対象者には特定後に個別に連絡する予定です。
2026年11月6日、セレスと子会社マーキュリーは個人情報の流出を発表しました。セレスは10月29日に開発環境への不正アクセスを検知し、「ポイントインカム」の会員情報約11,100名分が第三者に閲覧された可能性があるとしています。ニックネーム、メールアドレス、暗号化されたパスワード、生年月日などが対象です。暗号資産の「CoinTrade」では、委託先が利用するアララのメール配信システムからメールアドレス88,289件が流出しました。対象者へ個別に連絡するとしています。
2026年11月5日、九州電力送配電はシステムへの不正アクセスを発表しました。10月30日に不自然なエラーを検知して調査し、一部の情報が社外に漏えいした可能性が判明したとしています。対象は顧客の電力量情報の一部4,139件で、使用電力量、供給地点特定番号、売電電力量、受電地点特定番号です。システムを緊急停止し、「電力量・料金照会サービス」を停止しています。11月中旬をめどに対象者へ個別に連絡する予定です。
2026年11月5日、NTTドコモは「ドコモオンラインショップ」と「My docomo」への不正アクセスを公表し、6日の第三報で顧客情報の流出を発表しました。11月4日に不正なアクセスを確認し、5日午前1時5分頃から各種手続きを停止しています。最大約30万件で、氏名、生年月日、住所、電話番号、メールアドレス、本人確認書類の番号、契約内容などが対象です。一部は口座番号なども含みます。原因と侵入経路は調査中で、復旧は未定です。
2026年11月5日、SMBCコンシューマーファイナンスは保証システムへの不正アクセスを発表しました。11月2日に検知し、同日中にアクセスを遮断しましたが、外部へのデータ送信を確認したとしています。原因は調査中です。対象は最大320,118名で、氏名、生年月日、住所、電話番号、運転免許証番号、勤務先情報、契約情報などが含まれます。対象者を特定後、保証提携先と相談のうえメールやSMSで個別に案内する予定です。
2026年11月5日、東京海上ダイレクト損害保険は契約者向け「マイページ」などへの不正アクセスを発表しました。11月4日に不審なアクセスを検知し、調査で不正アクセスの形跡と個人情報の漏えいが判明したとしています。11月9日の更新時点で、対象となる契約等の数は71件、漏えいが確認された人数は関係者を含み93人です。氏名、住所、電話番号、契約車両、補償内容、事故関連情報などが対象です。経路を遮断し、Webサイトでの手続きを一時停止しています。対象者へ順次個別に連絡しています。
2026年11月3日、セブン‐イレブン・ジャパンは宅配サービス「7NOW」の利用者情報の漏えいを発表しました。配達を委託するCBcloudの「ピックゴー」への不正アクセスが原因です。11月1日に同社の調査で不正アクセスが判明し、3日に7NOWの情報の取得が確認されたとしています。注文者の名前（カナ）16万4180件のほか、住所や電話番号を含む情報が対象です。クレジットカード情報とID・パスワードは漏えいしていないとしています。出前館も同日、約800件の顧客情報の漏えいを発表しました。
2026年11月3日、デニーズジャパンはデニーズアプリへの不正アクセスを発表しました。旧アプリから新アプリへの移行に関する処理で、第三者が認証情報を不正に作成し、一部顧客のアカウントにアクセスできる状態だったとしています。10月30日に判明しました。旧アプリ利用者の一部の会員コード、メールアドレス、生年月日、性別、都道府県などが漏えいした可能性があります。対象人数は調査中で、特定でき次第、個別に連絡するとしています。
2026年11月3日、アソビューは会員情報の流出を発表しました。メール配信に使っていたアララのサービスが不正アクセスを受けたことが原因で、11月2日に報告を受けたとしています。対象は1582万1184件で、メールアドレス、氏名、会員ID、性別、郵便番号、チケット購入日時、利用施設名などが含まれます。パスワードとクレジットカード情報は預けておらず、流出していないとしています。対象会員には個別に連絡する予定です。
2026年11月2日、GMOペイメントゲートウェイは顧客情報の一部が窃取された可能性を発表しました。10月30日、ライフカードに提供するイシュイングサポートサービスで不正なユーザーによる行為が発生したとしています。プリペイドカード「Vプリカ」の利用者計69件で、氏名、メールアドレス、電話番号、住所の一部が63件、カード番号、セキュリティコード、有効期限、氏名が3件などです。ライフカードが対象者に個別連絡します。
2026年11月2日、ノジマは「ノジマオンライン」と中古スマホ買取サイトの会員情報が漏えいしたと発表しました。11月1日に会員管理システムへの不正アクセスを検知し、同日に漏えいを確認したとしています。対象は退会者を除く約700万件で、氏名、生年月日、性別、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレスが含まれます。両サイトを一時休止し、警察に相談しています。
2026年11月2日、アイスタイルは運営する「@cosme」への不正アクセスを発表しました。第三者による不正アクセスがあり、10月28日に漏えいを確認したとしています。@cosme共通IDに登録した約300万人の会員情報の一部が対象で、ユーザーID、ニックネーム、名前、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質が含まれます。
2026年10月31日、クラブツーリズムはサーバーの一部への不正アクセスを発表しました。10月30日5時45分に外部からの不正なアクセスを検知したとしています。インターネット会員約432万件の氏名、国籍、性別、生年月日、住所、電話番号、メールアドレス、会員ID、緊急連絡先が漏えいした可能性があります。パスワード、旅券情報、クレジットカード情報は含まれません。ホームページを停止し、個人情報保護委員会へ報告済みです。
2026年10月30日、良品計画は「MUJIアプリ」で顧客情報の一部が外部に流出した可能性を発表しました。対象は退会者を含む最大約2,726万件のメールアドレス、生年月日、性別などです。11月4日の第二報で、ネットストア利用者も対象で一部は氏名、住所、電話番号を含むこと、「MUJI Card」のカード番号全桁が最大約109万件含まれることを公表しました。11月9日にはリスト型攻撃で約27万件が漏えいした可能性も公表し、ネットストアの再開を延期しています。
2026年10月30日、ワールドは連結子会社ティンパンアレイへの不正アクセスを発表しました。10月17日14時51分頃に外部から業務サーバーへ侵入され、データを抽出する操作が行われたとしています。10月28日に検知し、同日中に経路を遮断しました。会員の氏名、住所、電話番号、生年月日、性別、メールアドレス延べ約120万件が流出した可能性があります。準備が整い次第、会員へメールで個別に連絡する予定です。
2026年10月30日、イープラスは「FESアプリ」の管理システムへの不正アクセスを発表しました。第三者が管理画面へ総当たり攻撃を行い侵入したことが原因としています。10月11日に不正アクセスが発生し、13日に流出を確認しました。音楽フェス「ポルノ超特急2021」の前方指定観覧エリアに申し込んだ顧客3,571件の氏名、電話番号、メールアドレスなどが対象です。管理システム内の個人情報を全件削除し、対象者へメールで連絡しています。
2026年10月30日、DIRIGIOはモバイルオーダーサービス「PICKS」への不正アクセスを発表しました。10月27日12時30分頃に確認し、第三者がAPIを経由して侵入し顧客情報を持ち出したとしています。対象は注文9,992件、顧客8,312人で、氏名、メールアドレス、電話番号、生年月日、住所、注文内容などです。同日午後3時に全サービスを停止し、29日午前10時から順次再開しました。「SHOGUN BURGER公式アプリ」でも漏えいが公表されています。
2026年10月30日、Vookは不正アクセスによる情報漏えいの可能性を発表しました。社内で使うデータ分析ツールの脆弱性を第三者が悪用し、データベースに不正にアクセスしたとしています。10月14日に見覚えのないアカウントを発見し、22日にデータ取得の可能性を確認しました。会員、イベント申込者、問い合わせ者、取引先担当者の氏名、メールアドレス、電話番号、住所、生年月日、ログイン情報などが対象です。件数は記事では示されていません。
2026年10月30日、コアデはオンラインくじサイト「はにくじランド」への不正アクセスを発表しました。9月に問い合わせフォームの不具合をきっかけに調査を始め、第三者による不正なコマンド実行と認証情報の不正利用の形跡を確認したとしています。登録・利用した顧客最大7,622名の氏名、住所、電話番号、メールアドレス、購入履歴などが対象で、精査中です。不正アクセスの遮断と脆弱性の改修を行っています。
2026年10月30日、松屋フーズホールディングスは松屋公式アプリの管理システムへの不正アクセスを発表しました。10月28日に判明し、原因は調査中としています。松弁ネット・モバイルオーダー・松弁デリバリー利用者の会員ID、届け先住所、氏名、電話番号など2,377,127件と、アプリ会員の生年月日やメールアドレスなど2,000件（最大3,000件の可能性）が漏えいしました。クレジットカード情報は保持していないとしています。
2026年10月30日、ソニー銀行はデジタル証券の外部委託先Securitize Japanへの不正アクセスによる情報漏えいを発表しました。10月29日に委託先が異常を検知し、同日中に不正アクセスと特定したとしています。617名の氏名が漏えいし、4名は氏名、住所、生年月日、口座番号が対象です。対象者へ個別に連絡し、デジタル証券の取引を停止しています。不正取引や情報の公開は確認されていないとしています。
2026年10月29日、クラブネッツはCNポイントのサテライトシステムへの不正アクセスを発表しました。外部からの不正アクセスにより、一部顧客の個人情報が流出した可能性があるとしています。CN会員IDと氏名が16,936件、これに加えてメールアドレス、電話番号、住所を含むものが2,857件です。CNエクスチェンジ、CNコンテンツ、CNモニターを10月29日に停止しました。11月4日の第2報で、アプリケーションの脆弱性を悪用した攻撃が原因と公表し、11月24日の復旧を予定しています。
2026年10月29日、アララはメール配信サービス「アララメッセージ」への不正アクセスを発表し、11月2日に第2報を出しました。Webサーバーの脆弱性などが原因で、契約企業のサーバー97台（最大約380社）からメールアドレス約77百万件と、氏名などの会員情報が持ち出されたとしています。10月31日にサービスを全面停止し、再開は未定です。ビックカメラ、モスフードサービス、ワークマン、IIJなど利用企業の公表が相次いでいます。
2026年10月29日、JFLAホールディングスは運営する「料理王国」への不正アクセスを発表しました。10月19日に不正アクセスの疑いが発生し、22日に外部からサーバー内のデータを取得できる状態だったと判明したとしています。「料理王国ウェブマガジン」の有料・無料会員と問い合わせフォーム利用者の延べ約8,000件で、氏名、会社名、ID、メールアドレス、住所、電話番号、ハッシュ化されたパスワードが漏えいしました。対象者へ順次連絡する予定です。
2026年10月28日、ソニー生命保険は「お客さまWEBサービス」などへの不正アクセスと情報漏えいを発表しました。10月27日に判明し、同社が代理店として扱うメディケア生命保険の契約者・被保険者約38.5万件の氏名、生年月日、住所、電話番号、証券番号などが漏えいしました。11月9日の第二報で、同社の保険契約の証券番号、氏名、住所、電話番号など約290万件、代理店募集人約780件、従業員約12,500件の漏えいも新たに確認したと公表しました。
2026年10月28日、日本航空は委託先Amadeus社の旅客サービスシステムへの不正アクセスを発表しました。10月23日に同社から報告を受けたとしています。2023年8月10日〜2026年9月23日の予約記録の一部、約92,000名分が外部から参照された形跡があります。約90,000名は予約番号、氏名、搭乗日など、約2,000名はメールアドレス、電話番号、パスポート番号なども含みます。対象者へ個別に連絡するとしています。ANAも10月29日に同じ委託先経由の不正アクセスを発表しました。
2026年10月28日、花キューピットは「インターネット花キューピット」「ビジネス花キューピット」への不正アクセスを発表しました。10月14日から15日に管理システムへ不正アクセスがあり、19日に漏えいを確認したとしています。ユーザーID、パスワード（ハッシュ値）、メールアドレスが漏えいし、該当する可能性のある会員は4,238,242件です。対象者へメールで順次連絡しています。金銭的な補填や返金は予定していないとしています。
2026年10月27日、ソニーネットワークコミュニケーションズは「So-net」の会員データベースへの不正アクセスを発表しました。10月19日に外部から不正アクセスがあり、23日に確認したとしています。退会者27万2215件を含むSo-net会員214万1986件と、plala（Sコース）会員44万3495件の氏名、電話番号、生年月日、メールアドレス、ユーザーIDなどが漏えいしました。メール関連4サービスでは5万4401件のメールアドレスとパスワード、16件の銀行口座情報も漏えいしています。
2026年10月27日、スマートシェアはSNSキャンペーンツール「OWNLY」への不正アクセスを発表しました。10月16日未明、ファイルアップロード機能の不備を経路とした不正アクセスを検知し、同日中に遮断したとしています。モスバーガー関連の3つのキャンペーン参加者、合計14,034件が対象です。XやLINEのユーザー名、ユーザーID、エントリー日時などで、氏名、住所、電話番号、メールアドレスは収集しておらず含まれません。
2026年10月26日、ドトールコーヒーはシステムへの不正アクセスを発表しました。10月20日に検知し、4店舗の従業員と退職者計951名の氏名、生年月日、住所、電話番号、銀行口座番号などが流出した可能性があります。11月6日には、通販サイト「ドトール オンラインショップ」の管理画面に10月24日から25日にかけて第三者が不正アクセスし、会員情報24,762件と届け先情報9件が流出した可能性があると発表しました。いずれも個人情報保護委員会へ報告しています。
2026年10月26日、Gunosyは不正アクセスによる個人情報の流出を発表しました。10月21日、第三者が不正に入手した社内業務用アカウントの認証情報でログインしたことを監視システムで検知し、同日中に停止したとしています。取引先担当者25名と役員・従業員・退職者等107名の計132名で、氏名、メールアドレス、会社名、所属などが対象です。サービス利用者の情報流出は確認されていないとしています。
2026年10月26日、楽天グループは「楽天トラベル」の海外ホテル予約サイトの一部ページと多言語予約サイトへの不正アクセスを発表しました。9月10日と10月20日に検知したとしています。海外ホテル予約ページで予約した顧客最大約4万件（うち支払情報最大約3万6千件）、ログインした顧客最大約260万件、多言語予約サイトにログインした顧客最大約86万件が対象です。氏名、メールアドレス、電話番号などで、カード番号の全桁やパスワードは対象外としています。
ヤクルト本社は、2026年10月26日に確認したホームページへの不正アクセスについて、11月4日に第3報を発表しました。漏えいは39,505件で、問い合わせフォーム利用者31,781件、給食サイト「たのしい給食」の会員5,698件、報道関係者向けフォーム利用者1,613件、化粧品キャンペーン応募者354件、対応した社員59件です。氏名、住所、電話番号、メールアドレス、問い合わせ内容などが対象です。個人情報保護委員会へ報告し、対象者へメールで順次連絡しています。
ユミルリンクは2026年10月19日に公表したメール配信サービスへの不正アクセスについて、10月26日に第二報、11月11日に第三報を発表しました。10月16日に不正アクセスを確認し、プログラムの脆弱性が原因としています。「Cuenote FC」の49システムの漏えい件数は、第二報の延べ51,628,280件から、第三報で延べ47,864,147件に修正されました。「Cuenote BASE」は190件です。メールアドレス、氏名、生年月日などが含まれます。最終報は後日公表予定です。
2026年10月24日、チャリ・ロトは競輪・オートレースの投票サービス「チャリロト」への不正アクセスを発表しました。10月21日9時30分頃から13時頃に脆弱性を悪用した不正アクセスがあり、22日の点検で不審なログを発見したとしています。アプリユーザーの一部373名の氏名、生年月日、住所、電話番号、銀行口座情報、カード名義と下四桁、投票履歴などが漏えいしました。個人情報保護委員会へ速報し、対象者へ個別に連絡しています。
2026年10月23日、東日本高速道路（NEXCO東日本）は高速道路情報サイト「ドラとら」への不正アクセスを発表しました。第三者による不正アクセスを受け、一部の利用者の登録情報が閲覧された可能性があるとしています。対象はメールアドレス、パスワード、性別、都道府県、生年です。件数は発表では示されていません。対象者へメールで個別に連絡し、同じパスワードを他サイトで使っている場合は変更するよう呼びかけています。
2026年10月23日、グッドスマイルカンパニーは「グッドスマイルカンパニー公式ショップ」への不正アクセスを発表しました。システムの脆弱性が悪用され、管理者権限が不正に取得されたとしています。10月29日の第3報で、決済ページに不正なプログラムが設置され、最大2,800人のカード名義、番号、有効期限、セキュリティコードが漏えいした可能性があると公表しました。登録済みカード最大402,466枚の下4桁と有効期限、注文情報5,356人分も対象の可能性があります。サイトは閉鎖中です。
2026年10月22日、カプコンはオンライン会員サービス「CAPCOM ID」への不正アクセスを発表しました。10月19日に不正アクセスの疑いのある痕跡を発見し、遮断と調査を行ったとしています。全世界合計1,177万4,247件のアカウントでメールアドレスなどが漏えいしました。196件でパスワードが不正に変更され、うち19件は通販サイト「イーカプコン」にアクセスされています。10月21日に個人情報保護委員会へ報告しています。
2026年10月22日、デジタル庁はホームページ運営の一部で利用していたStudioへの不正アクセスを発表しました。第三者がStudioのクラウド環境に不正にアクセスし、データを外部から取得できる状態にしていたと、10月16日に報告を受けたとしています。2021年5月〜2023年3月の問い合わせフォームの入力内容が対象で、一般的な意見・要望が最大8,833件、接種証明書アプリ関連が最大3,661件などです。氏名、メールアドレス、問い合わせ内容が含まれます。
2026年10月22日、フジッコはキャンペーンの応募受付業務の委託先への不正アクセスを発表しました。委託先のサーバーに第三者から不正アクセスがあり、10月21日に漏えいの可能性が判明したとしています。2026年5月以降の2つのキャンペーンで、非会員向け応募フォームに入力された延べ約15,500件が対象です。氏名、年齢、性別、職業、家族構成、電話番号、メールアドレス、住所などが含まれます。
2026年10月22日、ネットプロテクションズは通販向け決済「NP後払い」への不正アクセスを発表しました。請求書再発行システムに対し、第三者から機械的かつ連続的なリクエストが行われ、10月14日に個人情報の一部へのアクセスが判明したとしています。対象は「NP後払い」を利用した一部の取引28,884件の氏名と住所です。法人利用の場合は会社名と部署名も含まれます。
2026年10月22日、厚生労働省は委託事業での個人情報漏えいを発表しました。福島第一原発の廃炉作業に関する事業を受託するテクノヒルが運営するサイト「1FEdu」が、第三者からサイバー攻撃を受けたとしています。6名のメールアドレスとパスワードの漏えいを確認し、教育受講者最大595名の氏名、所属、電話番号などが漏えいした可能性があります。サービスを停止し、対象者へ個別に連絡しています。原因は調査中です。
2026年10月21日、リクルートは「カーセンサーnet」などへの不正アクセスを発表しました。17日に不審なアクセスを検知し、調査中としています。問い合わせ者の氏名・住所や中古車販売店情報など最大370万9551件が漏えいした可能性があります。関連サービスを停止し、個人情報保護委員会へ報告済みで、対象者へ順次連絡するとしています。
トラストバンクは2026年10月20日、「ふるさとチョイス」への不正アクセスを発表しました。17日に侵害され、19日に異常なアクセスを検知したとしています。氏名・住所・電話番号・メールアドレスなど会員情報445万4097件が漏えいした可能性があります。関連サービスを停止し調査を進めていますが、再開時期は未定です。
ヤマト運輸は、クロネコ代金後払いサービスへのサイバー攻撃を発表しました。2026年9月28日に侵害を確認したとしています。2018年10月以降の利用者の氏名・住所・電話番号・商品明細など約526万件、届け先情報約5万件、加盟店情報約4100件が漏えいした可能性があります。請求金額や社員氏名の窃取は確認されておらず、対象者へ順次連絡しています。
2026年10月20日、国土交通省は「住宅省エネ2024キャンペーン」の事務局で、登録事業者の情報が漏えいした可能性があると発表しました。事務局の博報堂が運営するシステムに対し、外部から不正な操作があったとしています。現時点で判明している対象は23,918名（16,950事業者）の速報値です。法人の代表者氏名、個人事業主の氏名と住所、補助金担当者の氏名、電話番号、メールアドレスなどが含まれます。消費者の情報の漏えいは確認されておらず、原因と被害状況は調査中です。
2026年10月20日、フジテレビは番組宣伝システムへの不正アクセスを発表しました。19日夜に第三者の不正アクセスを受け、原因を究明中としています。メディア関係者の氏名・会社名・メールアドレスなど最大730件が漏えいした可能性があります。視聴者情報の登録はないとし、システムを停止して再発防止策を検討しています。
2026年10月19日、エイチ・ツー・オー リテイリングは子会社の予約サイトへの不正アクセスを発表しました。16日に顧客管理システムへの不正アクセスを確認したとしています。共通会員ID「H2O ID」のほぼ全会員にあたる氏名・住所・電話番号など約126万件が漏えいした可能性があります。システムを停止し、個人情報保護委員会と警察へ報告のうえ原因究明を進めています。
ファンケルと子会社アテニアは、両社のECサイトへの不正アクセスを発表しました。2026年10月3〜10日に外部の第三者により侵害されたとしています。ファンケル36万8184人、アテニア41万7312人分の氏名・住所・生年月日・パスワードのハッシュ値などが流出しました。二次被害は確認されておらず、15日に内部調査を実施しています。
2026年10月19日、ニフティは光回線の申込・受付管理システムへの不正アクセスを発表しました。当初は、最大54万2,513件が漏えいした可能性があるとしていました。10月21日の第二報で、対象を「@nifty光」の最大18,000件に絞り込みました。2019年以降に回線を申し込んだ人が対象で、同社Webサイトからの申込は対象外です。項目は会員ID、氏名、性別、生年月日、住所、電話番号です。第一報で挙げていたメールアドレスは、対象でないと確認したとしています。パスワード、銀行口座、クレジットカードの情報は、このシステムに保有していないとしています。
2026年10月17日、家電量販店を運営するJoshinはネットワークへの不正アクセスを発表しました。16日に不正アクセスを確認し、原因を調査中としています。個人情報の流出有無は確認中ですが、可能性を否定できないとして個人情報保護委員会へ報告しました。アクセス制限や専門機関との調査を進めています。
Security NEXTが2026年10月16日、ソースネクストの発表を基に報じた。同社は2026年10月13日に会員情報管理システムが外部の第三者によりアクセスされていたことを確認し、調査の結果10月9日にAPIを通じて侵害されていたことが判明した。登録会員情報2251万9960件が流出した可能性があり、氏名、住所、電話番号、生年月日、性別、メールアドレス、パスワード、会社名、役職名、部署名、識別情報などが対象に含まれる。同社は外部協力のもと調査を継続し、全システムの点検を実施している。
2026年10月13日、「IDARE」を運営するFivotは不正アクセスを発表しました。外部ソフトウェアの脆弱性を突かれ、8〜9月に複数回データベース情報を取得されたとしています。登録者12万9659人の電話番号・メールアドレス・取引履歴などが漏えいした可能性があり、一部は氏名や口座下3桁も対象です。アクセス経路を遮断し、対象者に個別案内するとしています。
ブックオフグループホールディングスは2026年10月9日、子会社の会員情報管理システムが不正アクセスを受けたと発表した。10月6日に侵入を確認し、第2報(10月13日)で対象が会員番号ベースで642万7,735件、人数ベースで638万3,279人であることが分かった。氏名や生年月日、電話番号、パスワードのハッシュ値などが漏えいした可能性がある。決済情報は対象システムで保有していないという。
2026年10月9日、コミューンはサービス基盤への不正アクセスを発表しました。招待リンクを不正取得し、管理者になりすまして情報を取得されたとしています。コミューン分約30万7000会員のほか、ヤマハ1600人、スズキ3000人分の表示名やメールアドレスなどが漏えいした可能性があります。全コミュニティーを一時停止し、再発防止策を検討しています。
旅行予約サイト「skyticket」を運営するアドベンチャーは2026年10月9日、経路の異なる3件の不正アクセスがあったと発表した。最大の事案では10月2日から4日の間に侵入があり、約1,464万件の氏名や連絡先が対象となった。うち約413万件ではログインパスワードのハッシュ値も含まれる。別の事案では返金先の口座情報などを含む1万7,780件が対象になったという。同社は保存済みカードでの決済機能を停止するなどの対応を取った。 【その後の発表】10月16日の第2報で、同社は「カード番号は流出していない」とした説明を訂正し、最大6,140名のクレジットカード情報の流出を公表した。10月30日の第3報では、返金先の銀行口座情報32,341件の流出を公表した。
2026年10月9日、運営元のユーザベースは業務用管理ツールへの不正アクセスを発表しました。管理ツールの脆弱性を突かれたとしています。クレジットカード情報の一部約36万2000件、メールアドレス約32万3000件など複数項目が漏えいした可能性があります。カード番号全体やセキュリティコードは対象外です。アクセス遮断とアカウント削除を実施し、再発防止策を公表予定としています。
カラオケ店などを運営する第一興商は2026年10月8日、個人情報の取扱いを委託する日本コロムビアグループの従業員PCがマルウェアに感染し、約872万4,000件の個人情報が漏えいしたおそれがあると発表した。感染は10月1日から2日に判明し、同社が報告を受けたのは10月5日。顧客約863万1,000件(ビッグエコー等)と従業員約9万3,000件が対象で、氏名や生年月日、メールアドレスなどが対象という。現時点で外部流出や不正利用は確認されていないとしている。
ローソンは2026年10月8日、会員サービス「ローソンID」とアプリ予約機能への不正アクセスにより個人情報が漏えいしたと発表した。調査の結果、9月12日から14日ごろに侵入があったことが分かり、ローソンIDで215万5,345件、アプリ予約で26件が対象になった。対象は氏名や生年月日で、登録内容によっては性別、電話番号、住所も含まれる。アプリ予約では、氏名、電話番号、クレジットカード番号の一部が対象となった。同社はアプリ予約機能を一時停止し、10月19日に再開した。 【10月24日の訂正】同社は、当初対象としていた「メールアドレス」と「メルマガ取得情報」は漏えいしておらず、「生年月日」に漏えいの可能性があると訂正した。
2026年10月7日、損害保険ジャパンは業務委託先のFAQシステムへの不正アクセスを発表しました。委託先サーバに第三者が不正ログインし、プログラムを設置したとしています。ドライブレコーダー関連の問い合わせ延べ約6万件の氏名・住所・電話番号などが漏えいした可能性があります。自社システムへの不正アクセスは確認されておらず、委託先と再発防止を検討しています。
物語コーポレーションは2026年10月5日、「焼肉きんぐ」公式アプリの会員管理システムに第三者による不正アクセスがあったと発表した。10月2日に不正アクセスを確認して通信を遮断し、3日に漏えいが判明したという。登録者1080万8,784件のうち1078万8,963件の会員番号や氏名、メールアドレス、電話番号が外部に流出した可能性がある。パスワードや決済情報は対象システムで保有していないとしている。
GMOリサーチ&AIは2026年10月5日、運営するアンケートサイト「infoQ」の脆弱性を突かれ、会員の個人情報が外部に持ち出されたと発表した。当初最大94万8,498件とされたが、10月14日の調査で持ち出しが確認されたのは89万4,082件であることが分かった。氏名や住所、暗号化されたパスワードなどが漏えいした可能性がある。一部会員のポイント611件・計286万9,500円相当が不正に交換されており、同社は全額を補填する方針を示した。
日本原子力研究開発機構は2026年10月1日、研究用原子炉「JRR-3」の利用手続きサイトに不正アクセスがあったと発表した。9月23日と25日に何者かが利用者IDを作成してログインし、登録ファイル2,419件を不正にダウンロードしたことが分かった。このうち運転免許証やパスポートの画像、健康診断結果など個人情報を含むファイルが367件(175人分)漏えいした可能性がある。機構は9月25日にサイトへの外部アクセスを停止した。
タイムズモビリティは2026年9月28日、カーシェアサービス「タイムズカー」のWebシステムに外部から不正アクセスがあったと発表した。原因は第三者による不正侵入で、同社は9月26日朝までに侵入経路を遮断したとしている。現会員・退会済み会員などを含む約660万件のアカウント情報が漏えいした可能性があり、氏名や住所、運転免許情報、パスワードなどが対象という。うち約160万件は本人確認書類の画像も含まれる。クレジットカード情報は含まれないとしている。