2026年 国内の情報漏えい・サイバー攻撃一覧【毎日更新】6月〜10月の362件

2026年6月以降に国内で公表された個人情報の漏えいと、サイバー攻撃によるシステム障害・業務停止を、公表日ごとに一覧にしました。「自分が使っているサービスや会社が入っていないか」を確かめるためのページです。件数や「漏えい」「おそれ」などの表現は各組織の公表どおりに書き、続報が出たら更新します。

最終更新：2026年10月29日（2026年10月29日までの公表分を掲載）。会社名やサービス名は、ブラウザの「ページ内検索」（スマホはメニューの「ページ内を検索」）で探せます。

この一覧の掲載基準

• 日付は組織が公表した日です（発生日・検知日ではありません）。初報と続報がある事案は原則1行にまとめ、概要に経緯を書いています
• 件数は公表どおりです。「確認」「おそれ」「可能性」「最大」「延べ」の区別もそのまま残し、項目別の件数を足したもの（重複あり）はその旨を書いています
• 国内の組織の事案を載せています。海外子会社の事案は、日本の親会社などが公表したものを含めます
• 攻撃者の主張だけで、組織が認めていない件数や被害は載せていません
• IDCFクラウド障害の影響は、自社で影響を公表した組織だけを載せています
• すべての事案を網羅したものではありません。報道や公表資料で確認できた主な事案を集めています。月によって調べた量に差があるため、月別の件数は傾向の目安です

表の「タグ」は、委託先経由（委託先・共通基盤からの波及）、IDCF経由（IDCFクラウド障害の影響）、ランサムウェア、停止（業務・サービスの停止を伴ったもの）、内部要因（紛失・盗難・誤送付・設定ミス・内部不正など）、続報（以前の事案の調査結果や件数訂正）を表します。

大型（100万件以上）の事案

公表された件数が100万件以上の事案は51件です（新しい順）。「公式発表」は各組織のお知らせ、「対象か確認する→」はsatimo.orgの解説記事です。

公表日	組織	件数	漏れた主な情報・概要	リンク
10/28	アララ（メール配信サービス「アララ メッセージ」）	約301万件（メールアドレスの流出を確認）	メール配信サービスへの第三者による不正アクセスを確認し、対象環境（bvam001）のサービスを一時停止。同日の続報で、エンドユーザーリストに登録されたメールアドレス約301万件の流出を確認したと公表（メールアドレス以外の情報の流出は確認されていない）。対象環境の各社における流出対象のメールアドレスは調査中で、サービス再開時期は未定	公式発表
10/28	花キューピット（インターネット花キューピット・ビジネス花キューピット）	423万8,242件（該当する可能性のあるお客様・漏えいを確認）	10月14日〜15日に管理システムへ第三者の不正アクセスがあり、10月19日の調査で会員情報の漏えいを確認。漏えいした項目はユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの）、PC用メールアドレス、携帯用メールアドレス。氏名・性別・生年月日・住所・電話番号・クレジットカード番号・社名・部署名・お届け先情報等は漏えいしていない。公式ECサイトでメールアドレスを登録した顧客のみが対象で、外部ショッピングモールでの注文・電話注文などでメールアドレスを登録していない顧客、加盟店で購入した顧客は該当しない。10月28日から対象者の登録メールアドレスへ順次連絡	公式発表 対象か確認する→
10/27	ソニーネットワークコミュニケーションズ（So-net）／NTTドコモ（ドコモ光「plala(Sコース)」）	So-net会員 214万1,986件＋plala(Sコース) 44万3,495件（漏洩を確認・合計 2,585,481 は当サイトで合算。So-netのFAQは「最大 258.6 万件」）	10月19日にSo-net会員データベースが外部から不正アクセスを受け、10月23日に確認して対象サーバーを停止、10月24日に漏洩した項目と件数を把握。So-net会員（現会員 186万9,771件・2026年3月以降の退会者 27万2,215件）の氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用IDが漏洩（パスワードの漏洩はなし）。一部のメールサービス（メールサービス(G) 2万4,655・A-Box 1万7,672・ソネットVAIOメール 7,005・PostPetメールアカウント 5,069アドレス）ではメールアドレスとメールアドレスパスワードの漏洩も確認。NTTドコモが委託するドコモ光「plala(Sコース)」の利用者と過去6か月以内の解約者 44万3,495件（現会員 42万2,365・2026年3月以降の元会員 2万1,130）も同じ項目が流出（ドコモは10月26日に報告を受けて確認）。「plala(ドコモ光)」など他のコースは対象外。対象者には個別に連絡するとしている。 このほか口座情報16件（plala(Sコース)は対象外）と会員様通知書情報7件の漏洩も公表。2026年2月末日までの退会者は対象外。	公式発表 対象か確認する→
10/26	楽天グループ（楽天トラベル）	最大約260万件（海外ホテル予約サイトの一部ページでログイン）。ほかに多言語予約サイトでログイン最大約86万件・宿泊施設従業員最大約4万件。予約者最大約4万件のうち最大約3万6千件は支払情報も対象	楽天トラベルの海外ホテル予約サイトのうち子会社 Rakuten Travel Xchange が管理・運営する一部のページ（9/10 検知・9/16 改修完了）と、多言語予約サイト（10/20 検知・10/21 改修完了）に社外の第三者が不正アクセス。①ログイン最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号、予約者最大約4万件の居住国・予約情報・同伴者の氏名等、うち最大約3万6千件はカードの発行者識別番号と下4桁・名義・有効期限・国際ブランド区分（番号全桁・セキュリティコード・パスワード・住所は含まれない）。②ログイン最大約86万件のメールアドレス・社内用の識別番号と、宿泊施設従業員最大約4万件のアカウント名等。対象者には順次個別に連絡。個人情報保護委員会と国外の各関係当局へ報告	公式発表 対象か確認する→
10/24	カカオピッコマ（「ピッコマ」メールマガジン／外部サービス ブラストメール）	100万2,404件（メールアドレスが外部に流出）	メールマガジン配信に利用している「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、メールマガジン1回分の配信の宛先となっていたメールアドレス1,002,404件が外部に流出したことが、10月24日に同社からの報告で判明。流出したのはメールアドレスのみで、パスワード流出の可能性はなく、ピッコマのアプリ・Webサービスや同社システムへの不正アクセスではないとしている。ピッコマや出版社を装った不審なメール・SMSへの注意を呼びかけている。10月28日の第2報で、流出したのは10月14日18時に配信したメールマガジンの宛先1,002,404件で、この配信における件数はこれ以上増えないとの報告を受けたこと、流出した情報がメールアドレスのみであることに変更はないことを公表。対象者にはアプリ・Web内のメッセージとメールで順次連絡する（開始時期はお知らせページで案内・メールにはリンクを記載しない）（第2報まで）。	公式発表 対象か確認する→
10/23	グリーンモンスター（FXデモトレードアプリ「FXなび」）	約619万件（取得されたおそれ・個人情報に該当しないものを含む）	10月17日に「FXなび」への不正アクセスを確認し調査したところ、別の IP アドレスの第三者により4月27日20時26分頃〜30日14時26分頃にアプリの API 機能を通じてユーザー情報等が継続的に取得されていたおそれが判明（第一報）。主な項目と件数はメールアドレス 6万6,003件・性別 14万2,578件・年代 13万9,293件・職業分類 14万9,137件・X の ID 6,434件・初回アンケートの回答 480万9,631件・引き継ぎコード 5,120件のほか、ニックネーム・端末ID・広告ID・IP アドレス等。氏名・住所・電話番号・生年月日・クレジットカード・銀行口座・マイナンバーは登録項目に含まれない。二次被害は確認されていない。	公式発表
10/23	リンツ＆シュプルングリージャパン（オンラインショップ・Lindt 公式アプリ／委託先 フューチャーショップ）	3,147,469件（漏えいを確認）	オンラインショップのシステム提供と会員情報の管理を委託している ECプラットフォーム「futureshop」（フューチャーショップ）のサーバーが、ソフトウェアの脆弱性を悪用した不正アクセスを受け（10月17日23時02分〜18日0時16分）、会員情報が取得された。項目は会員ID・氏名・メールアドレス・住所・電話番号・生年月日・性別・メルマガ受信設定・登録店舗情報・ログインパスワード（ハッシュ化）など。クレジットカード情報は含まれない（退会済み会員は含まない）。10月21日16時からオンラインショップを停止、10月26日に対象者のログインパスワードを強制リセット（再開時に再設定が必要）・公式アプリのストア公開を一時停止。対象者には10月27日から順次メールで連絡（10月26日の追記で変更）。フューチャーショップ側は「futureshop 利用の1店舗・3,147,469件」と公表。	公式発表 対象か確認する→
10/23	ペイクラウドHD／バリューデザイン（ハウス電子マネー発行サービス「Value Card」）	流出 142万4,748件（発行済ID 56万9,224件・未発行ID 85万5,524件）	子会社バリューデザインが発行会社に提供する「Value Card」のサーバーへの不正アクセスで、ID番号・PIN番号・残高情報が外部へ流出（10月19日確認）。個人情報は該当なし。発行済IDは不正利用のおそれがあったが対処済み（不正利用による実被害はない）。原因は一部環境の Web サーバーの脆弱性の悪用。導入企業のうちモスフードサービスは別行で公表。	公式発表 対象か確認する→
10/23	モスフードサービス（プリペイドカード「モスカード」／委託先 バリューデザイン）	流出 113万3,070件（発行総数 約380万件のうち）	モスカードのサーバー運用・保守を委託しているバリューデザイン社のシステムへの外部プログラムを用いた不正アクセスにより、モスカード番号（16桁）・PIN番号（6桁）・残高情報の流出を確認。内訳は流通済みカード約57万件・未流通カード約56万件。氏名・住所・電話番号・クレジットカード情報等の個人情報は含まれていない。流出したカード番号に紐づくPIN番号を強制的に変更（Web残高照会・アプリ新規登録・ネット注文のゲスト購入ができない場合は専用窓口へ）。利用履歴の確認を呼びかけ。委託先側の公表は「ペイクラウドHD（Value Card）」の行。	公式発表 対象か確認する→
10/23	アンドエスティHD（業務サーバー）	顧客 約250万件（流出の可能性）・取引先 約1万件	10月22日7時30分頃から外部の不正アクセスにより複数サーバーへのログイン試行・侵入・データ抽出が行われ、10時頃に検知して隔離、17時までに経路を遮断し社内業務システムを停止。流出の可能性がある個人情報は、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）、取引先約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）、従業員は範囲確認中。クレジットカード情報などの決済情報と顧客が設定したパスワードは含まれない。店舗とWEBストアは利用できるが、会員ポイントは利用できない状態。警察に相談し個人情報保護委員会に報告。	公式発表 対象か確認する→
10/22	カプコン（CAPCOM ID）	1,177万4,247件（全世界合計・メールアドレスとシステム固有の識別情報）。第二報で196件のうち19件（日本国内）はイーカプコンの氏名・住所等も漏えい	オンライン会員サービス「CAPCOM ID」への第三者の不正アクセス。メールアドレス・アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIP が漏えい。うち43件は生年月日・性別・国・地域・ニックネームも。196件でログインパスワードが不正に変更（利用者設定のパスワードの漏えいは未確認・該当アカウントはリセット済み）。クレジットカード情報は対象外。10/19 痕跡発見・10/21 警察と個人情報保護委員会へ報告。専用窓口 0120-801-271（10:00〜20:00）。ゲームのプレイに影響なし。10/23 の第二報で、パスワードを不正に変更された196件のうち19件（日本国内）は、第三者がイーカプコンのマイページに不正にアクセスし、氏名・氏名（カナ）・電話番号・郵便番号・住所・性別・生年月日・購入履歴・問い合わせ履歴・会員アドレス帳が漏えい。その他のアカウントはパスワードの不正な変更による漏えいは確認されず、影響範囲の調査は完了。	公式発表 対象か確認する→
10/20	トラストバンク（ふるさとチョイス 会員情報）	445万4,097件（外部流出を確認・10/20時点）	10月19日に通常と異なるアクセス傾向を把握して確認したところ、10月17日に不正アクセスがあり、会員の個人情報が外部に流出したことが判明。流出が確認された情報は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額で、件数・内容は今後の調査により変動する可能性がある。10月19日15時50分に「ふるさとチョイス」関連サービスを停止（再開時期は未定）。10月20日に個人情報保護委員会へ報告、10月21日に所轄警察署へ被害申告の予定。親会社チェンジホールディングスも適時開示。10/5 公表の Amazon Pay 寄付手続きの表示不具合（254件）とは別の事案。10/23 第2報で、前回公表のうち5名にポイント履歴（5名）・寄附履歴（2名）・クレジットカード情報の下4桁・名義・有効期限（2名。同社システムには保存されておらず、この情報のみでは決済できない）・生年月日（2名）・送付先（1名）・住所の一部削除(県名)（1名）の追加流出が判明し個別連絡。会員には10/21から流出の有無と項目を個別メールで通知。 10/26 第3報で、自治体・事業者向けの寄附管理システムを同日から順次運用再開（新たな寄附の受付ではない。寄附者向けサイトは再開時期未定）。 10/28 第4報で、提携先サイト内で寄附の申し込みから決済まで完結するサービスの連携システムを同日から運用再開（これらのサイトを利用した寄附に関する個人情報の流出は確認されていない。各提携先サイトの寄附受付は順次再開）。	公式発表 対象か確認する→
10/19	ユミルリンク（メール配信サービス）	延べ5,162万8,280件（Cuenote FC 49システムで情報漏洩・第二報）	10月16日、メール配信サービスの一部サーバシステムへの不正アクセスを確認。プログラム（ライブラリ）の脆弱性によりサポート・品質管理担当者の認証情報が取得され、不正プログラムでデータベースからデータが出力された。10月26日の第二報で、メール配信サービス「Cuenote FC」の単一企業向け78システムのうち49システムで情報漏洩の痕跡を確認し、漏洩の恐れがある件数は延べ5,162万8,280件と公表（第一報の試算は延べ約900万件）。16システムは件数調査中で、延べ件数は増加する可能性がある。アドレス帳（配信先メールアドレスと氏名・都道府県・生年月日などの付属情報。利用企業ごとに異なる）・配信記録・Webアクセス記録・利用企業担当者情報が登録されている。顧客管理システム「Cuenote BASE」でも契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態だった。SR-S・SMS・Auth・Survey・Push・安否確認サービスは影響なし。	公式発表
10/19	エイチ・ツー・オー リテイリング／阪急阪神百貨店（予約サイト・HANKYU HANSHIN E-STORES・Remo Order）	約126万件（H2O ID 会員の個人情報の一部が漏えい）	10月16日に「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認し同サイトを停止、17日に「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認し両サイトを停止。19日、顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明（ほぼ全ての H2O ID 会員が対象）。項目は H2O ID、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、利用サービス項目。E-STORES・Remo Order が保持する注文履歴・クレジットカード情報の一部（カード番号の下4桁など）・ポイントカード情報の一部・アドレス帳は漏えいの可能性を調査中。ログインパスワードの漏えいは確認されていない。10/19 14時に E-STORES を再開したが、10/24 から緊急メンテナンスで休止中（理由の記載なし）。阪急阪神百貨店アプリも10/24 緊急メンテナンス。10/20 に「H2O ID」を騙る詐欺メールへの注意喚起。	公式発表 対象か確認する→
10/17	Joshin（ジョーシン 会員情報・「ジョーシンのサブスク」ほか）	最大約600万件（会員情報データベース・漏洩した可能性）。ほかサブスク最大約23万件・リフォーム写真アップロードシステム最大約800件	10月16日にネットワークの異常を検知し、不正アクセスの形跡を確認。10月17日に第1報（システム障害）を公表し、一部サービスが利用できない状態。10月26日の第2報で、会員情報データベースサーバー（氏名・住所・電話番号・会員番号）最大約600万件、ジョーシンのサブスク（会員番号・電話番号＋手書きサイン・ログインID 初期パスワード・請求履歴・契約番号/デバイスID・有効化コード）最大約23万件、リフォーム写真アップロードシステム（免許証画像2件・マイナンバーカード1件・口座番号5件ほか工事写真）最大約800件が漏洩した可能性があると公表。件数は漏洩の可能性のある総件数で確定件数ではないとしている。クレジットカード情報は保持していない。窓口 06-6631-1323。	公式発表 対象か確認する→
10/17	リクルート（カーセンサーnet・C-match など関連サービス）	最大370万9,551件（漏えいした可能性）	10月17日に「カーセンサーnet」関連システムへの外部からの不審なアクセスを検知し、同日17時頃から「カーセンサーnet」、アプリ版「カーセンサー」、「C-MATCH」など関連サービスを一時停止。10月21日、第三者からの不正なアクセスにより最大3,709,551件の個人情報が漏えいした可能性があると公表。内訳は中古車販売店へ問い合わせた利用者 3,210,421件（主に氏名・住所。住所は原則市区町村名までだが最大447,670件は番地等を含む可能性）、口コミ投稿者 5,289件、C-MATCH 登録の中古車販売店 483,168件（代表者・担当者の氏名、電話番号、古物商許認可番号等。個人事業主は住所・引落口座情報も）、従業員等 10,673件。クレジットカードなどの決済情報・ログインパスワードは含まれない。10月21日時点で二次被害は確認されていない。10月22日13時頃から「カーセンサーnet」などのサービスを順次再開。	公式発表 対象か確認する→
10/16	NTTソルマーレ（電子書籍ストア「コミックシーモア」）	会員データベース319件・システムログ最大約420万件（重複を含む可能性）	10月15日、コミックシーモアのサーバーに外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止（読み放題・レビュー・シーモア島を含む全機能。本棚アプリにダウンロード済みの作品は閲覧可能）。10月16日、会員情報を管理するシステムへの不正アクセスで、会員情報が第三者へ流出したことを確認したと公表。流出した項目はメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームで、クレジットカード情報は対象システムで保有しておらず流出していない。購入履歴の流出、MY本棚の流出・消失・欠損は現時点で確認されていない。サービス再開時に全会員にパスワードの再設定を求める予定。10/18 第3報で原因を特定、10/21 第4報で件数確定＝①会員DB 319件（メールアドレス・ハッシュ化パスワード・ニックネーム・生年月日・性別）②システムログ 最大約420万件（メールアドレス・ニックネーム・生年月日・性別）。該当者にメールで連絡。窓口はコミックシーモア サポートセンター（info@nttsolmare.com）。再開時期は未定（購入済み作品のWEB閲覧・読み放題閲覧を最優先）。月額は停止期間中基本的に引き落としなし、失効ポイントの再付与とお詫びを検討。 10月29日の第5報で、10月15日から停止していたサービスを一部機能に限定して再開（購入済み作品・読み放題のWEBブラウザでの閲覧、会員情報の変更、月額メニュー・読み放題の解約申請。利用にはパスワードの再発行が必要）。本棚アプリ（近日再開予定）、作品・ポイントの購入（決済手段ごとに順次再開予定）、新刊自動購入、サイト退会などは未再開。	公式発表 対象か確認する→
10/16	日本経済新聞社（システム開発用クラウドサービス）	約183万件（うち氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むもの約15万件）	システム開発に利用するクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏洩したと公表。認証情報が何らかの手段で窃取され、7日未明から朝にかけて不正アクセスを受けた。氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むもの約12万件）、単体では個人を特定できない識別子のみが約168万件。クレジットカード情報は含まれない。11日に個人情報保護委員会へ報告。10月4日公表の別件（20261004 の行）とは対象システム・時期が異なる。	公式発表
10/15	ビーケー・ジャパン（バーガーキング公式アプリ）	約1,118万件	公式アプリの会員情報を管理するシステムに10月2日から7日にかけて第三者による不正アクセスがあり、会員情報が漏えいしたことが10月13日に判明。漏えいした項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は保持しておらず漏えいなし、ログインパスワードの漏えいは現在確認されていない。	公式発表 対象か確認する→
10/15	ソースネクスト	2,251万9,960件（流出した可能性）	第三者が10月9日10時頃から会員情報取得APIを不正に利用し、会員情報を取得したことが判明（10月13日に確認し同日13時36分までに封じ込め）。流出した可能性がある項目はメールアドレス、パスワード、氏名・氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名など。クレジットカード情報は対象システムに保存されておらず対象外。FAQ の更新で、対象会員のパスワードは「無効化」、10月16日に第三者調査を開始し所轄警察署へ相談と記載。	公式発表 対象か確認する→
10/13	ライドオンエクスプレスHD（銀のさら・釜寅・すし上等）	最大約650万件（漏えいした可能性のある総件数・確定ではない）	10/5以降、利用するサーバーへの第三者による不正アクセスを検知。10/7にサーバー運営会社がランサムウェア攻撃を受け、公式サイト・アプリを停止（10/7第1報・10/8第2報）。10/13第3報で、氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員IDなどが漏えいした可能性。漏えいの明確な痕跡や範囲の特定には至っていない。クレジットカード情報は保有していないとしている	公式発表 対象か確認する→
10/13	アルカディア（SpeeCAN RAIDEN・ライデン・スクール）	メールアドレス最大約313万6,000件・電話番号約10万5,000件・FAX番号約1万5,000件（推定値・漏洩の可能性）	自治体・企業向けの一斉配信システムに第三者による不正アクセス（10/11に不審な挙動を確認）。登録された連絡先の名前・メールアドレス・電話/FAX番号と、配信履歴の本文が対象。10/13に侵入経路が判明し、SpeeCAN RAIDEN（raiden3）とライデン・スクール（s2）を緊急停止。決済情報は取り扱っていないとしている。利用自治体の公表は宮崎県・横須賀市・綾瀬市の各行を参照。10/14 に NET119・119RAIDEN でも漏洩の可能性を追加（2サービス計で約13000件・メールアドレス約97000件ほか・推定）。10/19 の経過説明（第12報）で、添付ファイル公開用メディアサーバーのディレクトリパストラバーサルにより設定ファイル内のサービス間ログイン用シークレットキーが取得されたこと、データベースの改ざん、不正なプログラムから外部へ配信されたメールの総数が1,423,428（多くはクレジットカード会社からの残高確認のような内容でフィッシング詐欺が疑われる）であることを公表。10/15 15時10分に全サービス復旧。個人情報漏洩の可能性の調査と具体的な数値の特定にはなお時間を要する見通し。10/16 の第11報で NET119 は「9,020件のメールアドレスに紐づく上記個人情報」と公表（要配慮個人情報の漏洩はないことを確認）。10/21 の第17報で、不正メール1,423,428通のうち少なくとも869,575通は同社が保有するメールアドレスへの配信ではないと公表し、外部機関でダークウェブ調査を行うとした。10/22 の第19報で外部システムからのAPI連携機能を停止（10/24 時点で解除の告知なし）、第20・22報でログイン時2段階認証の利用を求めた。10/23 の報告書で、影響範囲を「全サービスが漏えい可能性の対象（NET119・119RAIDEN・社内会計サブシステムのDBにも痕跡）」とし、10/12 15:20 に個人情報保護委員会へ速報したとした。	公式発表 対象か確認する→
10/9	アドベンチャー（skyticket）	約1,464万件（第2報でカード情報 最大6,140名の流出が判明）	サーバーへの不正アクセス（10/2〜4）で氏名・生年月日・住所・電話・メール・ハッシュ化パスワード（約413万件）など。別途、業務管理システムの返金先口座情報1万7,780件（流出または流出のおそれ）、バス予約情報約1.2万件（閲覧または閲覧のおそれ）。10/16の第2報で、2017年2月〜2018年6月に「skyticketプレミアム」会費をカードで支払った最大6,140名のカード番号・名義・有効期限（一部は番号のみ、セキュリティコードは含まず）が、サーバーに残っていた旧決済ログから流出したと公表し、第1報の「カード番号は流出した情報に含まれていない」を訂正。会員特典ベネフィット・ステーションの会員ID・氏名・パスワード（暗号化済みだが読み取られるおそれ）も流出。会費以外の旧決済のカード情報の残存は確認中。パスポート画像は対象外	公式発表 対象か確認する→
10/9	JR九州（JR九州 Web会員）	最大約130万件（可能性）→10月15日の続報で漏えいの事実は確認されず	IDCフロンティアで発生した不正アクセスに伴い、電子メールアドレスを含むメールログデータが閲覧・取得された可能性。氏名・住所・電話番号・クレジットカード番号等は漏えいの可能性なし。JR九州メールマガジンは配信できない状態。10月15日の続報で、10月14日に IDCフロンティア社の調査の結果として個人情報漏えいの事実は確認されなかった旨の報告を受けたと公表。漏えいの可能性があった利用者には、漏えいの事実は確認されなかった旨のメールを順次送るとしている。メールマガジンは配信できない状況が続いている（10月15日時点）。IDCF は10/14 第5報で「外部へのデータの流出はなかったと判断」、10/18 第6報でバックアップサービスを再開。JR九州の最新の公表は10/15の続報（10/25 確認時点で続報なし）。	公式発表 対象か確認する→
10/9	JR東日本（えきねっと・大人の休日倶楽部・ビューカードなど）	えきねっと約167万件（最大）・大人の休日倶楽部約39万件（最大）・VIEW’s NET 約403万件（公式は合計を公表せず）（10/9 公表時の件数・10/15 に漏えいなしの報告）	IDCフロンティアで発生した不正アクセスに伴い、会員向けメール配信用の外部サービスからメールアドレス等が漏えいした可能性（経路の詳細は公式発表に記載なし）。えきねっと約167万件（メールアドレス）、大人の休日倶楽部約39万件（メール・会員番号・生年月日・カード有効期限）、ビューカード VIEW’s NET 約403万件（メールアドレス・別発表）。メール配信の一部も停止。10/15、JR東日本・ビューカードとも、メール配信用外部サービス会社から「漏えいがなかったと判断した」との報告を受けたと更新（えきねっと・大人の休日倶楽部の個人情報、VIEW’s NET のメールアドレス）。IDCF も 10/14 第5報で外部へのデータの流出はなかったと判断。	公式発表 対象か確認する→
10/9	ディップ（バイトル・バイトルNEXT）	最大388万5,771件（可能性）	Webサイトの一部機能の仕様の不備を突いた海外からの不正アクセス（10/6確認）。漏えいした可能性があるのはメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報等は含まれない	公式発表 対象か確認する→
10/9	ブックオフグループHD	会員番号ベース642万7,735件・638万3,279人（外部への送信を確認・退会会員21万2,371人を含む）	子会社の会員管理システムへの不正アクセス。10/9第1報は最大約643万件（可能性）、10/13第2報で10/4〜6に外部から取得されたことを確認し件数を確定。対象はアプリ・オンラインストア・Web会員（会員カードのみは対象外）。氏名・生年月日・性別・職業・ニックネーム・住所・電話・メール・ハッシュ化パスワード・ポイントカード番号・会員番号。決済情報・口座・本人確認書類は含まれないとしている。10/15から個別メール。10/16 の訂正で漏えい項目に職業・ニックネームを追加（件数は変更なし）。個別メール（送信元 bookoff@2902.net）は10/22に送信完了。10/22に専用フリーダイヤル0120-300-663（10:00〜18:30・年中無休）を開設し、10/23に会員サイトのWEB照会機能を追加。	公式発表 対象か確認する→
10/8	ユーザベース（NewsPicks）	項目別最大の合算 約117万件（公式に合計の記載なし・重複あり）	業務用管理ツールへの不正アクセス。10/9第2報で内訳公表：カード名義・下3〜4桁約36.2万件、メールアドレス約32.3万件、役職約27.3万件、勤務先約6.5万件、氏名約5.9万件など（重複あり）。パスワードの漏えいはなし	公式発表
10/8	ローソン	215万5,345件	「ローソンID」（9/12〜9/14）と「ローソンアプリ予約」（9/17）への不正アクセス。ローソンID 215万5,345件（氏名・生年月日・性別・電話番号・住所〔プレゼント応募などで入力した場合〕）・アプリ予約26件（氏名・電話番号・クレジットカード番号の一部）。漏えいを確認（可能性ではない）。10/24 追記で、詳細調査の結果「メールアドレス」「メルマガ取得情報」は漏えいしておらず「生年月日」が漏えいの可能性と訂正。アプリ予約の機能を停止し、10/19 に再開。10/13 更新で案内メールの送信元アドレスを追記。10/26 の追記で、ローソンアプリ予約の店舗検索サービスを運営する委託先で不正アクセスを検知し店舗検索機能を停止（新規の店舗選択での予約は不可・MY店舗登録済みは予約可・当社のシステムやお客様情報への影響はないとしている）。	公式発表 対象か確認する→
10/8	第一興商	約872万4,000件（漏えいのおそれ・速報値・従業員約9.3万件を含む）	委託先・日本コロムビアグループの従業員端末がマルウェア感染。ビッグエコーなどの顧客情報。10/26 の追記で、影響を受けた可能性のある顧客へ SMS 等で個別連絡を順次実施（送信元 05036052572〔ドコモ・au・楽天〕／247473〔ソフトバンク〕・SMS 送信は新たな漏えいの確認を意味しない・実際の外部への漏えいと不正利用は確認されていない）。	公式発表 対象か確認する→
10/6	ミスターマックス	最大173万5,154人（流出の可能性がある最大数）	アプリ・オンラインストアのサーバーへの不正アクセスで会員情報が流出した可能性	公式発表
10/5	物語コーポレーション（焼肉きんぐ）	1,078万8,963件	公式アプリ会員管理システムへの不正アクセス。アプリ登録者のほぼ全員の会員番号・氏名・メール・電話番号。10月20日の続報で、攻撃は10月2日朝9時から断続的に受けたこと、警察へ届け出済みであること、グループ11アプリを氏名・電話番号を持たない仕組みへ移行予定（2027年上半期）と公表。	公式発表 対象か確認する→
10/5	ホワイトエッセンス	約105万アカウント	予約サイトの脆弱性を悪用され基幹システムにも不正アクセス	公式発表
10/2	ヤマト運輸	約526万件（利用者の情報・うちメールアドレスを含むもの約49万件）／お届け先の情報 約5万件／加盟店の情報 約4,100件	「クロネコ代金後払いサービス」が9月28日に第三者による不正アクセスを受け、同日22時28分にサービスを停止（10月9日13時に再開）。10月16日の第4報で、調査の結果、一部の情報が不正に持ち出されたことが判明したと公表。利用者の情報 約526万件（2018年10月1日〜2026年9月28日・氏名、住所、電話番号、メールアドレス、商品明細、申込番号・受注日・与信番号などの社内管理用情報。メールアドレスを含むものは約49万件）、お届け先の情報 約5万件（2021年2月5日〜・氏名、住所、電話番号、送り状番号）、加盟店の情報 約4,100件（加盟店名・加盟店コード）。クレジットカード情報・パスワード情報は含まれない。第2報で挙げた「請求金額」「債権残高」「当社社員の氏名」は不正な持ち出しは確認されなかった。対象者には順次個別に連絡するとしている。個人情報保護委員会へ報告済み。	公式発表 対象か確認する→
10/1	佐川急便	最大約5,323万件（流出した可能性・重複を含む件数・実人数ではない）	「お荷物問い合わせサービス」への不正アクセス（9/30確認）。10月23日の第5報で、流出した可能性のある個人情報を、重複を一定程度整理したうえで現時点で最大約5,323万件（重複を含む件数で、対象となる方の実人数を示すものではない）と公表。対象は①送り状データ（2026年6月21日〜9月30日の約100日間）のご依頼主・お届け先の氏名・住所・電話番号、②運賃契約を締結している顧客の契約者情報（氏名・住所・電話番号）、③「スマートクラブ」会員情報（氏名・住所・電話番号・メールアドレス・会員ID）。手書きの送り状の荷物は対象外。クレジットカード情報・パスワードは含まれない。区分別件数は非公表。二次被害は現時点で確認されていない。同日「お荷物問い合わせサービス」を再開（飛脚宅配便受付など一部サービスは停止継続）。	公式発表 対象か確認する→
9/28	手間いらず（TEMAIRAZU）	最大で約445万人（閲覧または取得の可能性）	宿泊施設向け予約管理システムへの不正アクセス。9/21に予約者宛ての不審メッセージの連絡で判明し、9/28に公表。10/9の適時開示で、予約者の氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金等を含む宿泊予約情報が第三者に閲覧または取得された可能性を確認と公表。クレジットカード情報は保有していないとしている	公式発表 対象か確認する→
9/28	パーク24（タイムズカー）	662万8,007件（外部送信の痕跡を確認・本人確認書類画像は146万4,800件）	タイムズカーのWebシステムへの不正アクセス（9/25検知）。10月23日、フォレンジック調査の完了を受けて調査結果を公表（第5報）。原因はWebシステムに存在した脆弱性の悪用。攻撃者によりアクセスされ外部送信された痕跡が確認されたものは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報が6,628,007件。暗号化された本人確認書類の画像は、外部送信の痕跡が確認されたもの1,464,800件、アクセスされたが外部送信の痕跡が確認されなかったもの891,602件（計2,356,402件。従来は約160万件に漏えいのおそれと公表）。ハッシュ化されたパスワード4件、連携サービスIDは4件（従来の9件から訂正・WESTER IDは0件）。タイムズクラブWebシステムへの不正アクセスも確認（タイムズクラブカード番号19,510件、連携サービスID 135,436件など）。クレジットカード番号全桁とセキュリティコードは保持していない。本人確認書類画像の外部送信の痕跡が確認された顧客に3,000円相当の現金または金券のお見舞い（方法は検討中）、保有する本人確認書類画像は2026年10月末までに削除。特別損失55億円を計上する見込み。	公式発表 対象か確認する→
9/25	ファインズ	153万6,322件	予約システムへの不正アクセス	公式発表
9/24	EPARK リラク＆エステ	約2,218万レコード	予約・顧客管理基盤「PeakManager」への不正アクセス（7/31第1報）。第2報で約2,218万レコードの外部転送を確認、備考欄に健康状態など要配慮個人情報を含む	公式発表
9/16	Helpfeel（Gyazo）	約2,362万件	画像アップロードサーバーの脆弱性悪用。データ約2,362万件（アカウント数）・画像メタデータ約4.9億件（9/16第一報）、削除済み画像のメタデータ約1.74億件（9/25第二報）。9/27にサービス再開。10/21 第三報（最終報告）で、133名のユーザーが保存していた一部の画像432件が第三者に閲覧・取得されたと判明（対象者へ個別連絡済み）。原因は動画等の変換処理の脆弱性でサプライチェーン攻撃ではないと説明。案内メールは9/20から順次送付、削除済み画像メタデータの対象約5.7万アカウントへ順次メール。京都府警察に相談。	公式発表 対象か確認する→
9/15	ムラウチドットコム	771万6,811件	Webシステムの脆弱性から侵入され顧客情報を外部へ持ち出し（第2報）	公式発表
8/28	イエローハット	179万7,124名様分	WEB作業予約システムへの不正プログラムによる攻撃。8月28日の第一報は最大180万1,499名様分の漏えいの可能性だったが、10月15日の第二報で、第三者調査機関のフォレンジック調査により179万7,124名様分の顧客データが外部へ流出したことを確認したと公表。漏えい項目は氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、パスワード（復元できない状態）で、住所・生年月日・性別・ログインID・パスワードは第一報以降に追加で確認された。クレジットカード情報は当システムで保持しておらず漏えいなし。	公式発表
8/24	KDDIウェブコミュニケーションズ	125万543件	法人向けCPIメールサービスのアカウント情報が漏えい、一部はハッシュ化パスワードも（最終報）	公式発表
8/19	さくらインターネット	136万563アカウント	レンタルサーバー環境への不正アクセスが販売管理システムに波及（8/17第1報、8/19第2報）。約3年間侵入が続き初期パスワードの平文保存も判明	公式発表
8/10	REXT Holdings（WonderGOO・新星堂など）	104万4,906件（漏えいのおそれ）＋公開を確認したファイル310件	ランサムウェアによるサイバー攻撃。8/9未明〜朝に本部・店舗のサーバー等で暗号化を確認し、POS・会計システムが停止して一部店舗の営業に影響（現在は全店で営業再開）。10/9第5報で、掲載を確認したファイル310件（約54MB・採用応募者のエントリーシート、会員登録情報、取引先の請求書等）を漏えい確認とし、暗号化されたサーバー上の従業員・REXT会員・WonderGOO/新星堂の予約・WonderREXの買取・APORITO事業の情報1,044,906件（会員コード・氏名・生年月日・住所・電話番号・メールアドレス等）を漏えいのおそれとして公表。クレジットカード情報は含まれない	公式発表 対象か確認する→
8/1	Eストアー「ショップサーブ」	約2,335万6,000人（対象7,858店）	EC構築サービス「ショップサーブ」のサーバー上のアプリケーションの脆弱性を悪用され、5月21日〜8月1日に不正プログラムでDBの情報が外部送信された。8/1公表時は「最大で延べ885万3,839件」。10/16の最終報で、漏えい対象者は名寄せ後の概数で約2,335万6,000人（うち約209万6,900人はカード名義・カード番号の一部〔先頭6桁と下4桁〕・有効期限を含む。完全なカード番号・セキュリティコードは保持しておらず対象外）、対象店舗は過去の利用店舗を含む7,858店と公表。第2報で挙げた店舗メール・FTPのID/パスワードと振込先口座は対象に含まれないことを確認。キングジム・PFUなど利用店舗に波及	公式発表 対象か確認する→
7/17	アサヒグループHD	区分別の合計 約228.9万件（公式は合計を未記載・漏えいのおそれ）	2025年9月のサイバー攻撃の追加発表。取引先役員・従業員ら約37.8万件を追加	公式発表
6/30	アフラック生命保険	約440万人（7/13第二報。6/30第一報は約438万人）	不正アクセスで顧客の契約情報などが漏えい、うち約22万人は口座情報も（7/13規模訂正、8/24口座情報を金融機関へ提供）	公式発表
6/24	KDDI	メールアドレス1,223万1,954名（うちパスワード761万6,173名）	ISP向けメール基盤への不正アクセス。総務省が電気通信事業法に基づく報告徴収（7/29に指導）。KDDI 7/6公表・7/21に件数訂正	公式発表
6/19	2りんかんイエローハット	317万9,454名	API悪用により会員情報を取得される（最終報）	公式発表
6/12	日本テレネット	区分別の合計 約104.1万件（公式は合計を未記載）	ランサムウェア被害で受託業務関連情報などに漏えいのおそれ（セシールなど委託元に波及）	公式発表

月別の一覧（新しい順）

2026年10月（29日まで）：275件

公表日	組織	件数	概要	タグ
10/29	NEL（推しとブランドを繋げるプラットフォーム「osina」） 対象か確認する→	23万5,329人（個人情報保護委員会への速報時点・流出を確認）	利用していたデータ分析ツールの脆弱性を悪用した不正アクセスにより、個人情報が外部に流出したことを確認したと公表（10月14日に発見）。対象者数は10月17日に個人情報保護委員会へ提出した速報で235,329人。osina会員は氏名・住所・電話番号・生年月日・銀行口座情報（口座名義を含む）・報酬額・SNSアカウント名・SNS連携用の認証情報・ログイン用の外部サービスID（LINE・Apple）・利用履歴（該当項目は登録状況により異なり、外部サービスID・利用履歴のみの人も含む）。取引先担当者は氏名・メールアドレス・ハッシュ化済みパスワード、問い合わせ者は氏名・メールアドレス・電話番号・会社名・役職・問い合わせ内容、提携候補のクリエイターは活動名・年齢・性別・居住地・SNSのURL等。会員のメールアドレス・パスワード、クレジットカード情報は保有しておらず対象外。対象者には10月29日にアプリ内のお知らせ・プッシュ通知・メール等で連絡。SNS連携の確認・解除や、口座情報の確認を求める連絡への注意を呼びかけている。	―
10/29	鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（「Payどん」メール通知システム／委託先 アララ）	件数記載なし（漏えいした可能性）	Payどんのメール送信を委託しているアララへの不正アクセスを10月28日に確認し、同日17時23分にアララがPayどんアプリのメール通知機能（決済・送金完了メール、チャージに関するメール、地域振興券購入完了メール、メールアドレスの変更等）とPayどんの新規登録を停止。メール送信された個人情報の一部が外部に漏えいした可能性があると公表。漏えいの可能性がある情報は、Payどんユーザ・加盟店のメールアドレスと決済情報（日時、店舗名、お支払い金額）。二次被害の報告はない。窓口は鹿児島銀行 デジタルサポートプラザ（0120-947-230、平日9時〜17時）。アララ メッセージの件は別行。	委託先経由／停止
10/29	アイリスプラザ（アイリスオーヤマ公式通販サイト「アイリスプラザ」）	件数記載なし（情報漏えい等の可能性を調査中）	当社ECサイトで不正アクセスを確認し、情報漏えい等の可能性を含めて調査するとともに、サイトを一時停止していると公表。現時点の調査ではクレジットカード情報の漏えいは確認されておらず、その他の情報は調査を続けている。不審なメールや通知の開封・リンク先へのアクセスをしないよう呼びかけている。窓口はアイリスプラザ コンタクトセンター（0120-108-824、平日・土 9:30〜17:00）。	停止
10/28	ペルソナ（エイチ・ツー・オー リテイリング子会社／メール配信 ユミルリンク「Cuenote FC」）	メールアドレス2万8,052件（外部に不正に取得された可能性が高い）	メールマガジン等の配信に利用する「Cuenote FC」で発生した不正アクセスに関連し、ユミルリンクから一部データが外部に不正に取得された可能性が高いとの連絡があったと公表。漏えいした可能性があるのはニュースやイベントの案内をメールで受け取っている人のメールアドレスで、その他の個人情報は含まれない。対象は2024年11月から2026年2月に入会した会員のうち28,052件。10月18日に検知の連絡を受けて配信を停止し、20日に再開したが、26日の連絡を受けて再び停止。対象者には個別にメールで連絡し、10月28日に個人情報保護委員会へ報告。	委託先経由
10/28	ゲームトレード（RMT・アカウントデータ売買サービス「ゲームトレード」）	件数調査中（漏えいの可能性）	10月27日に不正アクセスを検知し、10月28日に登録されている顧客情報の一部が漏えいした可能性があることが判明したと公表（個人情報保護委員会へ報告・警察へ相談）。10月29日の第2報で、Webシステムの脆弱性が悪用され、攻撃者が取得した情報でデータベースとファイル領域にアクセスしていたことを確認したとし、漏洩内容をメールアドレス・電話番号・銀行口座・生年月日・住所・ハッシュ化したパスワード・取引上のメッセージ・デジタルギフトコードと公表（第1報では氏名・性別も漏えいの可能性がある情報に挙げていた）。件数は調査中。クレジットカード番号、本人確認書類・マイナンバーは流出していない。ログイン状態を解除し、パスキー認証の登録と、同じメールアドレスとパスワードを使う他サービスのパスワード変更を呼びかけている。	―
10/28	九州大学（九州大学校友会のメール配信「ブラストメール」／九州大学病院の治験管理システム「QLIFICAモニタリングシステム」）	校友会：登録情報最大9,999件（実際の漏えい件数は確認中）・職員9名（漏えいのおそれ）	利用する外部サービスへの不正アクセスで個人情報の漏えい又は漏えいのおそれがある事案が2件発生したと公表。①九州大学校友会ウェブサイトの同窓生向け配信に、運用委託先QTmediaを通じて利用していた「ブラストメール」への不正アクセスで、同窓生等の氏名及びメールアドレスの漏えいが確認された。登録情報は最大9,999件で、実際に漏えいした対象者数・件数は確認中。②九州大学病院ARO次世代医療センターがSOLUMINAとの契約で利用する「QLIFICAモニタリングシステム（治験管理システム）」への不正アクセスで、職員9名の氏名・所属・メールアドレス・ログインID・パスワード等のハッシュ値に漏えいのおそれ。患者・被験者情報、要配慮個人情報及び業務データの持出しは確認されていない。個人情報保護委員会へ報告。	委託先経由
10/28	経済産業省 電力・ガス取引監視等委員会（デントリネット）	件数記載なし（情報流出の有無は確認中）	小売電気事業者・ガス小売事業者などから電力取引報・ガス取引報の提出を受けるウェブサイト「デントリネット」に10月27日未明に不正アクセスがあったことを確認し、運用を停止。復旧までは電子メールで報告を受け付ける。情報流出の有無は確認中	停止
10/28	ドン・キホーテ・長崎屋・橘百貨店・UDリテール（時計修理の委託先 コックス）	件数記載なし（2025年9月以降に時計の修理を依頼した顧客・漏えいの可能性）	時計の修理業務の委託先コックスのサーバーが不正アクセスを受け、ランサムウェアで暗号化された（9月15日に委託先が検知・9月25日にグループへ報告）。対象は2025年9月以降にグループ店舗で時計の修理を依頼した顧客で、項目は氏名、住所（一部）、電話番号（一部）。専門機関の調査で漏えいの事実は確認されていないが、可能性が完全に否定できないとして公表。個人情報保護委員会へ報告	委託先経由／ランサムウェア
10/28	ジェネリック製薬・STORiiY（配送委託先が利用する倉庫管理システム）	件数記載なし（10月23日以前に発送を手配した全顧客・漏えいした可能性が高い）	配送委託先が商品発送に利用する倉庫管理システムが第三者の不正アクセスを受け、10月23日に提供事業者から連絡を受けて自動連携を停止。10月25日、10月23日以前に発送を手配したすべての顧客の氏名・フリガナ・性別・電話番号・メールアドレス・FAX番号・住所、顧客番号、支払方法・金額・ポイント、購入明細、定期情報、後払いの取引ID等（後払い利用者は請求書に印字される情報、一部は生年月日も）が外部に漏えいした可能性が高いと確認。ログインパスワード・クレジットカード番号は確認されていない。両社が同じ内容を公表	委託先経由
10/28	アニメイト（アニメイト通販・ポケドラのメールマガジン／委託先 ユミルリンク「Cuenote FC」）	件数はユミルリンクにて調査中（漏えいを確認）	メール配信に利用するユミルリンクの「Cuenote FC」への不正アクセスに関連し、アニメイト通販またはポケットドラマCD（ポケドラ）のメールマガジン登録者のメールアドレス、性別、居住都道府県、アニメイト会員コードが漏えい。氏名・住所・年齢・電話番号・クレジットカード情報・パスワードは漏えいしていない。10月20日にはユミルリンクから影響はないと報告を受けていたが、10月27日に第三者に閲覧または取得されたとの連絡があった	委託先経由
10/28	WATAMI FAST CASUAL MANAGEMENT（SUBWAY公式モバイルオーダー／システム提供元 DIRIGIO「PICKS」）	7名（流出した可能性）	モバイルオーダーのシステム提供元DIRIGIO（「PICKS」運営）が10月27日12時30分頃にシステムAPIへの不正アクセスを検知し、同日15時にモバイルオーダーの全サービスを緊急停止。3店舗・注文7件／7名の氏名、メールアドレス、電話番号、生年月日、性別、注文内容が流出した可能性。カード情報、会員ID、配送先情報は対象に含まれないことを確認。対象者には個別に連絡	委託先経由／停止
10/28	ベネフィット・ワン（クレディセゾン会員向け「トク買」／委託先 フォレステック）	2万9,465人（漏えいを確認・退会済み会員を一部含む）	業務委託先フォレステックが運用するシステムが10月14日〜20日に断続的な不正アクセスを受け、一部会員の個人情報が外部にダウンロードされた。項目は氏名、フリガナ、生年月日、性別、郵便番号、メールアドレス、お客様番号、入退会情報、会費徴収の決済処理に使う管理番号（クレジットカード番号ではない）。別に決済システムとの連携に使う認証関連情報の一部が漏えいしたおそれがあり、10月26日に変更（不正な決済処理は確認されていない）。カード情報は保有しておらず漏えいはない。対象サービスは一時停止。クレディセゾンが管理するシステムからの漏えいではない	委託先経由
10/28	日本航空・日本トランスオーシャン航空（旅客サービスシステム／委託先 Amadeus）	合計 約92,000名（予約情報の一部が外部から参照された形跡）	10月23日、予約・発券・搭乗手続きなどを処理する旅客サービスシステムの委託先 Amadeus IT Group から、同社システムへの不正アクセスにより予約情報の一部が外部から参照された形跡があったと報告を受けた。対象は2023年8月10日〜2026年9月23日の予約記録の一部で、約90,000名は予約番号・氏名・搭乗日・搭乗区間・搭乗クラス、約2,000名はこれに加えてメールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空券番号・座席番号など。クレジットカード番号・各種パスワードの漏えいはない。対象者には個別に連絡し、専用窓口（0120-25-6050／03-4332-7280・10月29日開設）を設置	委託先経由
10/28	ライフカード（メール配信／委託先 ユミルリンク「Cuenote FC」）	33万9,610契約（漏えいした可能性）	メール配信に利用するユミルリンクの「Cuenote FC」への不正アクセスにより、10月26日に同社から顧客情報の一部が外部に漏えいした可能性があるとの連絡を受けた。対象情報は氏名、メールアドレス、カード名称、ETCカード番号の一部（60件）等。ライフカードが管理するカード会員情報システムへの不正アクセスは確認されていない。漏えいした情報を使った不審なメール・SMSへの注意を呼びかけている	委託先経由
10/28	ソニー生命保険（代理店として扱ったメディケア生命の保険契約情報） 対象か確認する→	約38.5万件（漏えいが判明）	ご契約者さま専用サイト「お客さまWEBサービス」などのシステムが第三者の不正アクセスを受け、10月27日に判明。ソニー生命が保険代理店として取り扱ったメディケア生命保険の契約に関する契約者・被保険者の氏名、生年月日、性別、住所、電話番号、証券番号、契約内容が漏えい（マイナンバー・クレジットカード情報・保険料振替口座情報は含まれない）。10月28日8時からお客さまWEBサービス、ソニー生命 アプリ、ダイレクト請求サービス、申込内容控WEB、書類確認WEB、為替レート照会システムを停止（復旧時期は未定）。金融庁へ報告済みで、対象者には順次連絡。臨時フリーダイヤル 0120-833-344。メディケア生命は「ソニー生命保険株式会社による募集契約以外のお客さま情報につきましては、情報漏えいの事実はございません」としている（メディケア生命の窓口 0120-315-056）	停止
10/28	アララ（メール配信サービス「アララ メッセージ」）	約301万件（メールアドレスの流出を確認）	メール配信サービスへの第三者による不正アクセスを確認し、対象環境（bvam001）のサービスを一時停止。同日の続報で、エンドユーザーリストに登録されたメールアドレス約301万件の流出を確認したと公表（メールアドレス以外の情報の流出は確認されていない）。対象環境の各社における流出対象のメールアドレスは調査中で、サービス再開時期は未定	停止
10/28	花キューピット（インターネット花キューピット・ビジネス花キューピット） 対象か確認する→	423万8,242件（該当する可能性のあるお客様・漏えいを確認）	10月14日〜15日に管理システムへ第三者の不正アクセスがあり、10月19日の調査で会員情報の漏えいを確認。漏えいした項目はユーザーID（ログインID）、パスワード（そのままでは使用できない暗号化されたもの）、PC用メールアドレス、携帯用メールアドレス。氏名・性別・生年月日・住所・電話番号・クレジットカード番号・社名・部署名・お届け先情報等は漏えいしていない。公式ECサイトでメールアドレスを登録した顧客のみが対象で、外部ショッピングモールでの注文・電話注文などでメールアドレスを登録していない顧客、加盟店で購入した顧客は該当しない。10月28日から対象者の登録メールアドレスへ順次連絡	―
10/27	インプレス（メールマガジン「DIGITAL X News」／委託先 ユミルリンク「Cuenote」）	約5万8,000件（漏えいを確認）	メールマガジン配信に利用する「Cuenote」（ユミルリンク）への不正アクセスについて10月27日に第一報。10月28日の第二報で、「DIGITAL X News」登録者の情報が漏えいの対象に含まれるとユミルリンクから報告を受けたと公表。全会員の会員ID（自動で振られるランダムな文字列）・メールアドレス・登録日、一部会員の氏名・会社名・都道府県・業種・職種・役職区分で、対象は約58,000件。生年月日・勤務先住所（市区町村名以下）・電話番号・パスワード・決済情報などは含まれない。対象者にはメールで個別に連絡予定で、個人情報保護委員会へ報告。メールマガジンの配信は順次再開。	委託先経由
10/27	MICIN（オンライン診療サービス「クロンオンライン診療」）	患者73名分が閲覧（5医療機関6アカウント・患者14アカウントに不正ログイン）	10月23日、一部の医療機関と患者のアカウントに第三者による不正ログインが発生したことを確認したと公表。外部から取得したIDとパスワードの組み合わせによる「リスト型攻撃」とみられ、サーバーやデータベースへの侵入の形跡は確認されていない。不正ログインは5医療機関6アカウントで、うち3医療機関で患者73名分の情報が閲覧され、患者アカウント14件にも不正ログイン。閲覧された可能性がある情報は、医療機関アカウント経由で患者の氏名・メールアドレス・電話番号・生年月日・住所・性別・カルテ番号・診察券番号・受診状況・医師によるメモ、患者アカウント経由で氏名・メールアドレス・電話番号・生年月日・住所・性別・受診者コード（一部は処方箋画像・診察記録・利用履歴も）。本人確認書類・パスワード・クレジットカード情報は含まれない。二要素認証未設定アカウント等のパスワードを初期化し、対象者に個別連絡、個人情報保護委員会へ報告。サービスは継続。	―
10/27	東京消防庁（採用試験論文の採点委託先 レベルエンター）	論文答案の画像・添削結果198件（漏えいのおそれ・うち1件に職員の氏名）	採用試験論文の採点を委託しているレベルエンターの自社サーバーが不正アクセスを受けたことが10月21日に判明し、翌日に報告を受けたと公表。論文添削サービスの導入試験のために提出していた過去の採用試験の論文答案の画像及び添削結果198件が外部に漏えいしたおそれがある。198件のうち1件に当庁職員の氏名が記載され、その他は個人情報の記載はない。実際の採用試験の合否への影響はない。委託先からは当庁の情報が不正に持ち出された事実は確認できていないが漏えいしたおそれがあるとの報告で、悪用の事実も確認されていない。	委託先経由
10/27	ブシロード（『バンドリ！アワーノーツ』／開発業務の委託先）	計1万3,304名（CBT応募者1万194名・関係者71名・アンケート5名・サポート利用者3,034名の当サイト合算・漏えいが判明）	開発業務の委託先のシステムへの第三者の不正アクセスにより、6月のクローズドβテスト（CBT）応募者1万194名のメールアドレス・IPアドレス・応募日時・端末の種類、関係者71名の情報、CBTアンケートで個人情報を記載した5名分、9月24日〜10月14日にカスタマーサポートへ問い合わせた3,034名の問い合わせ内容（項目は人により異なり、端末情報2,832件・プレイヤーID2,820件・メールアドレス311件・氏名257件・電話番号11件・住所6件）が漏えい。CBT応募者の氏名・住所・電話番号・パスワード・カード情報の漏えいは確認されていない。委託先の管理上の不備は是正済み	委託先経由
10/27	資さん（資さんうどん 従業員・退職者／委託先 カホエンタープライズ）	件数記載なし（2021年10月〜2026年10月に在籍した従業員・退職者・外部から閲覧可能だった可能性）	サーバーの管理・運用の委託先カホエンタープライズのサーバー設定に不備があり、従業員・退職者の個人情報が外部から閲覧可能となっていた可能性が判明。対象は2021年10月〜2026年10月に在籍実績のある人で、氏名、生年月日、性別、電話番号、入社日・退社日、賃金履歴、勤怠実績、退職理由、社会保険加入履歴（入退社日・退職理由・社会保険加入履歴は一部の人のみ）。外部から閲覧できないよう設定を変更し、個人情報保護委員会へ報告。不正利用や二次被害は確認されていない	委託先経由
10/27	UPSIDER（コミュニティ「Breakthrough GRID」）	件数記載なし（会員・退会者の情報が持ち出されたとみなして対応）	10月27日に「Breakthrough GRID」の会員向けサービスサイトへ第三者の不正アクセスがあり、保存されていた情報が持ち出された。会員・退会者の氏名・メールアドレスなど、所属企業名・部署、イベントに関する情報、ディスカッションの議事録などが漏えいした可能性があるとして対応。法人カード「UPSIDER」「PRESIDENT CARD」など他サービスの会員情報・カード情報・利用明細・決済情報を管理するシステムからの流出はないことを確認。会員向けサイトは全機能を停止し、再開時期は未定。対象者には個別にメールで連絡。	停止
10/27	日本貿易振興機構（ジェトロ）ビジネスマッチングシステム「e-Venue」	最大133件（漏えいした可能性）	ビジネスマッチングサービスで利用しているシステム「e-Venue」（外部のシステム環境上で委託先が構築・運用・保守）に9月24日・25日・10月14日に不正アクセスが行われ、本来公開を想定していない情報が取得されたと考えられ、氏名・メールアドレス・電話番号・携帯番号・FAX番号の最大133件が漏えいした可能性。e-Venueは停止中。10月19日公表のウェブサイトへの不正アクセス（743件・別行）とは別の公表。	委託先経由／停止
10/27	スマートシェア（SNSキャンペーンツール「OWNLY」・モスバーガーのキャンペーン）	1万4,034件（漏洩が判明）	SNSキャンペーンツール「OWNLY」への第三者の不正アクセスにより、モスバーガーの3キャンペーン（モスのレシートチャレンジ 2,995件・モスでハロウィン プレゼントキャンペーン 1万1,001件・VALX×モスバーガーコラボ レシートキャンペーン 38件）の参加者情報（XまたはLINEのユーザー名・ユーザーID、エントリー日時、抽選・クーポンの取得状況など）が閲覧・ダウンロードされた形跡を確認。氏名・住所・電話番号・メールアドレス・クレジットカード情報・SNSのパスワード等は対象外。モスカードの流出（別行）とは別の公表。	委託先経由
10/27	じげん（ミナオシ／外部サービス ブラストメール）	4万26件（漏えいが判明・配信停止済みの人を含む）	「ミナオシ」のメールマガジン配信に利用していた「ブラストメール」への不正アクセスにより、資料請求やウェビナー・カンファレンス等の申込みで登録された氏名・メールアドレス・会社名などが漏えい。10月23日に配信委託先から報告を受けた。クレジットカード情報など決済に関する情報は含まれない。その他のサービスへの影響はない。	委託先経由
10/27	バンダイナムコエンターテインメント・BANDAI SPIRITS（THE GUNDAM BASE MEMBERS／委託先 ユミルリンク） 対象か確認する→	34万6,247件（漏えいが判明）	「バンダイナムコID」のメールサービスの委託先ユミルリンクへの不正アクセスにより、「THE GUNDAM BASE MEMBERS」に登録した顧客のメールアドレスとバンダイナムコID管理用の内部識別子が漏えい。10月26日にユミルリンクから、同サービスの利用環境に不正アクセスとメールアドレス等の取得の形跡があったと報告を受けた。ログインパスワードとクレジットカード情報は含まれない。ユミルリンクに委託しているその他の利用環境への影響は確認中。	委託先経由
10/27	ソニーネットワークコミュニケーションズ（So-net）／NTTドコモ（ドコモ光「plala(Sコース)」） 対象か確認する→	So-net会員 214万1,986件＋plala(Sコース) 44万3,495件（漏洩を確認・合計 2,585,481 は当サイトで合算。So-netのFAQは「最大 258.6 万件」）	10月19日にSo-net会員データベースが外部から不正アクセスを受け、10月23日に確認して対象サーバーを停止、10月24日に漏洩した項目と件数を把握。So-net会員（現会員 186万9,771件・2026年3月以降の退会者 27万2,215件）の氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用IDが漏洩（パスワードの漏洩はなし）。一部のメールサービス（メールサービス(G) 2万4,655・A-Box 1万7,672・ソネットVAIOメール 7,005・PostPetメールアカウント 5,069アドレス）ではメールアドレスとメールアドレスパスワードの漏洩も確認。NTTドコモが委託するドコモ光「plala(Sコース)」の利用者と過去6か月以内の解約者 44万3,495件（現会員 42万2,365・2026年3月以降の元会員 2万1,130）も同じ項目が流出（ドコモは10月26日に報告を受けて確認）。「plala(ドコモ光)」など他のコースは対象外。対象者には個別に連絡するとしている。 このほか口座情報16件（plala(Sコース)は対象外）と会員様通知書情報7件の漏洩も公表。2026年2月末日までの退会者は対象外。	委託先経由
10/26	朝日新聞社（メール配信／委託先 ユミルリンク「Cuenote FC」）	件数確認中（アドレス帳が外部に出力された形跡）	利用するメール配信サービス「Cuenote FC」について、ユミルリンクから、第三者の不正アクセスにより当社が利用している環境からデータが外部に出力された形跡が確認されたとの連絡を10月26日に受けたと公表。対象データはCuenoteに登録されていたアドレス帳で、不正取得は10月16日午後とみられる。件数や、メールアドレス・氏名など実際に出力された情報の詳細は確認中。10月27日の追記で、情報漏えいのおそれがあるのは同社が実施したイベントなどに関連して登録された顧客の情報が中心で、大半はメールアドレスだけと説明。クレジットカード情報やログインパスワード等は含まれない。	委託先経由
10/26	トラベルジップ（自治体観光サイトの受託運用／TAITOおでかけナビ・飛騨高山 旅ガイド・あたみニュースほか）	7,050件（重複を除くと6,782件・流出を確認）	制作・運用を受託する複数の自治体観光公式サイトを格納したサーバーに、管理画面の画像アップロード機能の脆弱性を悪用して不正なプログラムが設置され、各サイトのデータベースとバックアップファイルが取得された（10月23日判明・対象サイトは閉鎖）。台東区観光公式サイト、飛騨高山観光公式サイト、熱海のサイト、閉鎖済みのサイトの4サイトで、氏名・メールアドレス・住所・電話番号・問い合わせ内容などの流出を確認（第2報・10月26日17時30分更新の数値。件数はデータ件数で、人数はこれより少ない）。10月21日公表のPHPの脆弱性とは関係がないとしている	委託先経由
10/26	Gunosy（取引先担当者・役職員等）	132名（流出が判明・取引先25名＋役職員等107名）	10月21日午後、第三者が不正に入手した社内業務用アカウントの認証情報（ID・パスワード）でログインし、取引先の担当者25名と役職員等107名の氏名・メールアドレス等が流出したことが判明。「グノシー」「ニュースライト」「auサービスToday」「IR Hub」などのサービス利用者の情報の流出は確認されていない。	―
10/26	ドトールコーヒー（従業員・退職者）	951名（流出した可能性）	10月20日に自社システムへの不正アクセスを検知し、同システムに保存されていた4店舗（西武大泉学園駅店・国立大学通り店・東京駅八重洲中央口店・石神井公園駅前店）に勤務していた従業員・退職者計951名の氏名・生年月日・住所・メールアドレス・電話番号・銀行口座番号が第三者に閲覧され、外部へ流出した可能性。顧客情報への不正アクセスは確認されていない。	―
10/26	読宣（読宣WEST四国支社「ヨミポスト」）	少なくとも1,700人分（流出したおそれ）	10月14日に四国支社（高松市）のウェブサイトが正常に表示されない不具合が発生し、不正アクセスの痕跡を確認。「ヨミポスト」にウェブ経由で申し込んだ人・退会手続きをした人の住所・氏名・年齢・性別・電話番号・メールアドレスが少なくとも1,700人分、外部に流出した可能性。クレジットカードやマイナンバーカードなどの情報は含まれない。サイトは閉鎖し、対象者には個別にメールで連絡するとしている。	―
10/26	静岡ガス（会員サイト「Webエネリア」／外部サービス ブラストメール）	9万5,412件（漏えい・10/26 17時時点）	「Webエネリア」のメール配信で利用しているラクスライトクラウドのサービスへの不正アクセスにより、登録顧客のメールアドレスの一部が漏えい。10月26日17時に同社から持ち出しを確認したと報告を受けた。氏名・住所・電話番号・銀行口座情報・クレジットカード情報・支払い情報は含まれない。メール配信は停止中で、自社の情報システムへの影響はない。	委託先経由
10/26	cotta（製菓材料・ラッピングの通販「cotta」）	件数記載なし（流出の有無を含めて調査中）	オンラインショップで外部からの不正アクセスの可能性が確認され、外部専門機関が調査中。個人情報やクレジットカード情報の流出の有無を含めて確定した事実はないとしている。予防措置として10月26日9時からクレジットカード決済（Yahoo!ウォレット含む）と一部のWEB機能を停止（再開時期未定）。過去にカード決済を利用した人には利用明細の確認を呼びかけている。	停止
10/26	古河電工パワーシステムズ（防災製品部の出荷管理用Webシステム）	件数精査中（閲覧または取得された可能性）	10月14日に防災製品部の出荷管理用Webシステムの異常を検知し、外部からの不正アクセスが疑われる事象を確認。同日中にシステムと関連サーバーを停止。発注者として登録された方の会社名・氏名・住所・電話番号と、製品送付先として登録された取引先その他関係者の送付先会社名・担当者氏名・住所・電話番号が閲覧または取得された可能性がある。対象者・件数は精査中。クレジットカード情報・口座情報は取り扱っていない。製品の受注・出荷は通常どおり。	―
10/26	丸木医科器械（基幹システム）	件数記載なし（情報流出の有無を確認中）	10月15日10時頃に基幹システム（発注・仕入・入出庫管理）に障害が発生し、その後サーバーへの外部からの不正アクセスを確認。10月26日の続報時点でもシステム障害の影響が続き、注文は各支店・営業所宛てのFAXで受け付けている。顧客・取引先の情報への影響と外部への流出の有無は確認が完了していない。10月15日以降、ホームページの問い合わせフォームの送信内容を確認できない状態。個人情報保護委員会へ速報済み。	停止
10/26	GoWebクラウド（入居申込サービス「GoWeb」）	対象の範囲・人数は調査中（対象となった可能性）	10月15日、システム開発・保守会社からの報告で、入居申込サービス「GoWeb」へのSQLインジェクションによる不正アクセスを確認。複数の利用会社（不動産仲介会社）の環境が影響を受けた可能性があり、入居申込者・同居人・緊急連絡先等の氏名・生年月日・性別・住所・電話番号・メールアドレス・続柄（入力がある場合）と仲介会社のアカウント情報が対象となった可能性がある。運転免許証・健康保険証などの本人確認書類の画像には不正なアクセスがなかったことを確認。外部へ持ち出されたかどうか・人数は調査中。10月26日に利用会社に代わり個人情報保護委員会へ報告。	委託先経由
10/26	バンダイロジパル（BANDAI SPIRITS「一番くじ ONLINE」の配送情報）	件数調査中（漏洩した可能性）	バンダイナムコグループの物流子会社バンダイロジパルが管理するシステムへの不正アクセスが10月21日に発覚。BANDAI SPIRITS が配送業務を委託する「一番くじ ONLINE」の配送情報（氏名・住所・電話番号）が漏洩した可能性がある。クレジットカード情報は含まれず、不正使用等は確認されていない。当該出荷システムを10月24日に停止し、10月26日に警察・個人情報保護委員会へ報告。件数は調査中。	委託先経由／停止
10/26	JR東海・JR西日本・JR九州（「エクスプレス予約」「スマートEX」のメール配信／委託先 ユミルリンク「Cuenote FC」）	件数はユミルリンクにて確認中（第三者に閲覧または取得された）	ユミルリンクのメール配信サービス「Cuenote FC」への不正アクセスにより、販売促進メールや熊本地震の影響による発車時刻変更のお知らせメールなどを配信した会員の、メールアドレス・会員ID・氏名（カタカナ）・会員種別が外部に漏えい。10月16日時点では影響がないと報告を受けていたが、10月26日に第三者に閲覧または取得されたとの連絡を受けた。漢字氏名・生年月日・住所・電話番号・クレジットカード番号等は漏えいの可能性はないとしている。JR東海が保有するシステムからの漏えいは確認されていない。当該メール配信サービスの使用を停止し、対象者には個別に連絡する。	委託先経由
10/26	楽天グループ（楽天トラベル） 対象か確認する→	最大約260万件（海外ホテル予約サイトの一部ページでログイン）。ほかに多言語予約サイトでログイン最大約86万件・宿泊施設従業員最大約4万件。予約者最大約4万件のうち最大約3万6千件は支払情報も対象	楽天トラベルの海外ホテル予約サイトのうち子会社 Rakuten Travel Xchange が管理・運営する一部のページ（9/10 検知・9/16 改修完了）と、多言語予約サイト（10/20 検知・10/21 改修完了）に社外の第三者が不正アクセス。①ログイン最大約260万件の氏名・メールアドレス・電話番号・社内用の識別番号、予約者最大約4万件の居住国・予約情報・同伴者の氏名等、うち最大約3万6千件はカードの発行者識別番号と下4桁・名義・有効期限・国際ブランド区分（番号全桁・セキュリティコード・パスワード・住所は含まれない）。②ログイン最大約86万件のメールアドレス・社内用の識別番号と、宿泊施設従業員最大約4万件のアカウント名等。対象者には順次個別に連絡。個人情報保護委員会と国外の各関係当局へ報告	―
10/24	eJudo（ニュースレター配信先／外部サービス ブラストメール）	件数記載なし（メール配信先リストの全件が漏洩）	利用していたメール配信サービス「ブラストメール」への不正アクセスにより、登録していたメール配信先リスト（読者データ）の全件が漏洩したとサービス提供元から報告を受けた。対象は eJudo 会員（過去の会員を含む）のメールアドレス。名前・クレジットカード情報は登録していないため漏洩もないとしている。ブラストメールとの連携を停止し、ニュースレターの配信を休止。	委託先経由
10/24	チャリ・ロト（競輪・オートレース投票サービス「チャリロト」アプリ）	373名（第三者に不正に取得された情報を特定）	10月21日9時30分頃〜13時00分頃、脆弱性を悪用した第三者による不正アクセスが発生。10月22日に不審なログを発見してアプリサービスを停止し、10月23日に脆弱性修正を反映して再開。10月24日、チャリカ会員373名分の情報が不正に取得されたことを特定した。対象は会員情報（氏名、生年月日、住所、電話番号、メールアドレス等）、銀行口座情報（銀行名、支店名、口座種別、口座番号、名義）、クレジットカード情報（名義、番号下4桁、有効期限、ブランド）、チャリカの残高・入出金履歴、投票履歴。ログインパスワード、カード番号の全桁、セキュリティコードの漏えいはないとしている。二次被害は確認されていない。個人情報保護委員会へ速報済み。	停止
10/24	カカオピッコマ（「ピッコマ」メールマガジン／外部サービス ブラストメール） 対象か確認する→	100万2,404件（メールアドレスが外部に流出）	メールマガジン配信に利用している「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、メールマガジン1回分の配信の宛先となっていたメールアドレス1,002,404件が外部に流出したことが、10月24日に同社からの報告で判明。流出したのはメールアドレスのみで、パスワード流出の可能性はなく、ピッコマのアプリ・Webサービスや同社システムへの不正アクセスではないとしている。ピッコマや出版社を装った不審なメール・SMSへの注意を呼びかけている。10月28日の第2報で、流出したのは10月14日18時に配信したメールマガジンの宛先1,002,404件で、この配信における件数はこれ以上増えないとの報告を受けたこと、流出した情報がメールアドレスのみであることに変更はないことを公表。対象者にはアプリ・Web内のメッセージとメールで順次連絡する（開始時期はお知らせページで案内・メールにはリンクを記載しない）（第2報まで）。	委託先経由
10/23	ブロードリーフ（「ものづくりドットコム」メールマガジン／外部サービス ブラストメール）	件数記載なし（メール送付先リストの持ち出しを確認）	「ものづくりドットコム」のメールマガジン配信等に利用する「ブラストメール」への不正アクセスで、同サイトのメール送付先リストが不正に持ち出されたとラクスライトクラウドから連絡を受けたと10月23日15時に公表。リストに含まれる情報の具体的な項目や対象者は確認中で、対象データの抽出を依頼している。不審なメールのURLや添付ファイルを開かないよう呼びかけている。窓口はものづくりドットコム事務局（info@monodukuri.com）。	委託先経由
10/23	エックスサーバー（ニュース・キャンペーン配信／外部サービス ブラストメール） 対象か確認する→	メールアドレス45万9,679件（漏洩を確認）	利用する外部メール配信サービス「ブラストメール」（ラクスライトクラウド提供）への不正アクセスで、同サービスに登録していたメール配信先リスト（読者データ）の全件が漏洩したとの報告を受けたと10月23日に公表。対象はニュース・キャンペーン情報の配信を希望し、ブラストメールに登録されていた現在・過去の利用者で、全利用者が対象ではない。自社のサーバーや管理画面への不正アクセスではない。10月29日20時30分の追記で、メールアドレス459,679件の漏洩と、付随して漏洩した情報（XServerアカウントID 692件、氏名・氏名フリガナ 380,384件、会社名・会社名フリガナ 115,702件、利用サービス名 316,453件、XServerアカウントの登録日 431,076件、個人・法人の区分 431,076件、配信希望状況 429,382件。顧客によって異なる）を公表。ログインパスワード・住所・電話番号・クレジットカード情報などの決済情報は含まれない。対象者には個別にメールで案内する。	委託先経由
10/23	クラウドサーカス（MAツール「BowNow」の旧メール配信機能／外部サービス ブラストメール）	件数確認中（BowNow利用者14社で流出が判明）	「BowNow」の旧メール配信機能として利用していた「ブラストメール」への不正アクセスにより、旧メール配信機能を利用していた顧客の会社名・担当者名・メールアドレス等と、配信先として登録されていた人の氏名・メールアドレス等が流出した可能性。10月23日13時55分の追記で、BowNow利用者14社の顧客とその登録個人情報の流出が判明したと公表（流出の有無・範囲・件数は確認中）。パスワード・クレジットカード情報は対象外で、旧メール配信機能以外のBowNowは通常どおり利用可能。	委託先経由
10/23	アルク（メールマガジン「ALC News +」／外部サービス ブラストメール）	約31万件（漏えいを確認・第1報）	メールマガジン配信に利用していた「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、「ALC News +」登録者のメールアドレスと、一部の顧客についてシステム内部の管理用番号が漏えい。10月21日に運営会社から連絡を受け、10月22日に対象に含まれることを確認。氏名・住所・電話番号・パスワード・クレジットカード情報はブラストメールに登録しておらず対象外。	委託先経由
10/23	コメ兵ホールディングス（グループのECサイト注文者／外部サービス WASABI SWITCH）	473件（漏洩）	グループ会社が利用するワサビのEC一元管理システム「WASABI SWITCH」への不正アクセス（10月14日）により、2026年10月3日〜10月16日にグループのECサイト（コメ兵・K-ブランドオフ・アールケイエンタープライズ・名流國際名品・KOMEHYO BRAND OFF ASIA）で注文した客の氏名・住所・電話番号・メールアドレス・注文内容等 473件が漏洩したことが判明。当該システムの利用店舗の購入者に注文情報を使った不審メールが届いていることも確認。K-ブランドオフ等は10月16日19時から直営ECサイト・ECモールの運用を停止。クレジットカード情報は対象外。	委託先経由／停止
10/23	Headline Japan（IVS2025公式サイトのフォーム／外部サービス Studio）	計約4,200件（流出した可能性）	IVS2025公式サイトの構築に使っていたWeb制作サービス「Studio」への不正アクセス（9月30日〜10月1日）により、同サイトの全てのフォーム回答（氏名・メールアドレス・会社名・役職など）計約4,200件が流出した可能性がある。IVS2026公式サイトは別サービスのため対象外。個人情報保護委員会への報告はStudio社が連名で行い、対象者全員に個別に連絡する。	委託先経由
10/23	日本成令（「AI Lab 225」）	会員 約380名＋登録途中 約1万9,250件（漏えいしたおそれ）	10月22日にサーバーへの不正アクセスを確認し経路を遮断。9月13日ごろから侵入されていたほか、2022年1月ごろにも不正なプログラムが設置されていた。会員（退会者含む約380名）のニックネーム・氏名・メールアドレス・生年月日・性別・都道府県・Facebook 連携情報・ログインパスワード、登録途中の方約1万9,250件のメールアドレス・ログインパスワード、問い合わせ者の氏名・メールアドレス・内容が漏えいしたおそれ。パスワードを暗号化せずに保存していたため、同じパスワードを使う他サービスの変更を呼びかけている。全会員のパスワードを無効化。	―
10/23	NEXCO東日本（高速道路情報サイト「ドラとら」）	件数記載なし（一部の登録情報が閲覧された可能性）	高速道路情報サイト「ドラとら」（ドライブトラフィック）が第三者による不正アクセスを受け、一部の利用者の登録情報（メールアドレス、パスワード、性別、都道府県、生年）が閲覧された可能性があることが判明。対象者には登録メールアドレスへ個別に連絡する。同じメールアドレスとパスワードの組み合わせを他サイトで使っている場合は変更を呼びかけている。10月21日から「ドラとら」と「マイルート」は緊急メンテナンスで一時停止（マイルートメールも配信停止）。	停止
10/23	NHK出版（「みんなの趣味の園芸」メール配信／外部サービス ブラストメール）	約12万7,000件（漏えいが判明・件数は見込み）	「みんなの趣味の園芸」サイトがメール配信に利用している「ブラストメール」への不正アクセスにより、メールマガジン配信に登録した会員の個人情報が漏えいしたことが判明。漏えい件数は約12万7,000件とみられる。10月23日、ラクスライトクラウドからメール送付先リスト（全件）の漏えいが確認されたとの報告があった。漏えいした可能性のある情報はメールアドレス、ニックネーム、性別、お住まいの都道府県。メール配信サービスは停止中で復旧時期は未定。	委託先経由
10/23	HRビジョン（「日本の人事部」メールマガジン／外部サービス ブラストメール）	登録メールアドレス 21万2,243件（漏えいを確認・正確な件数はラクスライトクラウドの報告待ち）	メールマガジン（毎週火曜日配信）に利用していた「ブラストメール」への不正アクセスで、会員のメールアドレスが外部に漏えいしたことを確認。対象は10月20日23時55分までにメールマガジンに登録した人のメールアドレスのみで、同時点でブラストメールに登録していたのは212,243件（会員約42万人のうちメルマガ登録者）。実際に漏えいした正確な件数はラクスライトクラウドからの報告待ち。氏名・勤務先・電話番号・パスワードなどはブラストメールに共有しておらず影響はないとしている。個人情報保護委員会への速報・報告手続き、JIPDEC 等への報告を実施。	委託先経由
10/23	日本ピザハット（国内向けオンライン注文サービス） 対象か確認する→	件数記載なし（外部に漏えいしたことを確認）	10月19日、第三者が国内向けオンライン注文サービスに関連する決済API（システム間で決済関連情報をやり取りする仕組み）に不正アクセスし、顧客情報等を含むデータベースから一部の情報を取得したことを確認。外部への漏えいが確認された情報はお客様ID、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録。クレジットカード情報は含まれていない。攻撃元IPのブロックや脆弱性への対応、個人情報保護委員会への速報を実施。二次被害は確認されていない。原因・影響範囲は調査中。	―
10/23	ヤマダデンキ（「ヤマダビデオ」「スマホゴールド会員」の各種手続き画面）	調査中（サービス一時停止）	「ヤマダビデオ」と「スマホゴールド会員」の各種手続き画面で外部からの不正アクセスを確認し、10月22日午後4時13分頃からサービスを一時停止。個人情報への影響は調査中。	停止
10/23	グッドスマイルカンパニー（ECサイト「グッドスマイルカンパニー公式ショップ」）	件数記載なし（会員の個人情報等が不正に閲覧されたことを確認）	10月19日15時過ぎ頃から22日22時頃にかけて、公式ショップの管理情報に複数回の不正アクセスによる閲覧があったことが判明し、サイトを閉鎖。閲覧された可能性のある情報は、氏名・読み仮名・性別・住所・電話番号・メールアドレス、注文情報（注文日・商品名・数量・金額・お届け先・決済方法等）、クレジットカードのブランド・番号下4桁・有効期限（名義・全桁・セキュリティコードは含まない）。原因は脆弱性による不正アクセスと認識。個人情報保護委員会へ報告。対象となる可能性のある会員には順次個別メールで連絡予定。	―
10/23	ゼビオHD（子会社 GALLERY・2 の ECサイト／ECプラットフォーム Commerble）	購入者情報 最大約12.8万件（漏えいした可能性・ほか住所情報 最大約12.2万件など）	子会社 GALLERY・2 が利用する ECプラットフォーム「Commerble」で、10月16日に運営会社側のシステム管理用認証情報が不正に取得され、17日に管理用クラウド環境を経由して顧客データベースへの不正アクセス（顧客情報を表示する操作）が行われた。18日に支払入力画面の改ざんを確認し EC サイトを停止。漏えいした可能性があるのは①購入者情報 最大約12.8万件（氏名・メールアドレス）②住所情報 最大約12.2万件（購入者住所・配送先住所・電話番号）③メール送信履歴 最大約15.8万件（各区分に重複あり）。外部への持ち出しは確認されていない。クレジットカード番号・ログインパスワードは含まれない。	委託先経由
10/23	トレジャー・ファクトリー（「出張買取」「トレファク引越」の案件管理システム）	お客様情報 74万6,277件（不正取得を確認・うち11件は氏名・住所を含む）	10月20日未明から朝にかけて、案件管理システムの脆弱性を悪用した不正アクセスでお客様情報等が不正に取得されたことを確認。お客様情報 746,277件はメールアドレス（うち11件は氏名・住所を含む）。ほかに取引先業者・従業員等の氏名・メールアドレス 750件、端末に関する情報（氏名・端末識別情報）1,000件。クレジットカード番号等の決済情報は含まれない。店舗・アプリで管理する情報は対象外。PHP の脆弱性との関連はないとしている。システムと申込フォームは10月28日を目途に再開予定。8月の子会社カインドオルの事案（別行）とは原因・経路が異なる。	―
10/23	グリーンモンスター（FXデモトレードアプリ「FXなび」）	約619万件（取得されたおそれ・個人情報に該当しないものを含む）	10月17日に「FXなび」への不正アクセスを確認し調査したところ、別の IP アドレスの第三者により4月27日20時26分頃〜30日14時26分頃にアプリの API 機能を通じてユーザー情報等が継続的に取得されていたおそれが判明（第一報）。主な項目と件数はメールアドレス 6万6,003件・性別 14万2,578件・年代 13万9,293件・職業分類 14万9,137件・X の ID 6,434件・初回アンケートの回答 480万9,631件・引き継ぎコード 5,120件のほか、ニックネーム・端末ID・広告ID・IP アドレス等。氏名・住所・電話番号・生年月日・クレジットカード・銀行口座・マイナンバーは登録項目に含まれない。二次被害は確認されていない。	―
10/23	リンツ＆シュプルングリージャパン（オンラインショップ・Lindt 公式アプリ／委託先 フューチャーショップ） 対象か確認する→	3,147,469件（漏えいを確認）	オンラインショップのシステム提供と会員情報の管理を委託している ECプラットフォーム「futureshop」（フューチャーショップ）のサーバーが、ソフトウェアの脆弱性を悪用した不正アクセスを受け（10月17日23時02分〜18日0時16分）、会員情報が取得された。項目は会員ID・氏名・メールアドレス・住所・電話番号・生年月日・性別・メルマガ受信設定・登録店舗情報・ログインパスワード（ハッシュ化）など。クレジットカード情報は含まれない（退会済み会員は含まない）。10月21日16時からオンラインショップを停止、10月26日に対象者のログインパスワードを強制リセット（再開時に再設定が必要）・公式アプリのストア公開を一時停止。対象者には10月27日から順次メールで連絡（10月26日の追記で変更）。フューチャーショップ側は「futureshop 利用の1店舗・3,147,469件」と公表。	委託先経由
10/23	ペイクラウドHD／バリューデザイン（ハウス電子マネー発行サービス「Value Card」） 対象か確認する→	流出 142万4,748件（発行済ID 56万9,224件・未発行ID 85万5,524件）	子会社バリューデザインが発行会社に提供する「Value Card」のサーバーへの不正アクセスで、ID番号・PIN番号・残高情報が外部へ流出（10月19日確認）。個人情報は該当なし。発行済IDは不正利用のおそれがあったが対処済み（不正利用による実被害はない）。原因は一部環境の Web サーバーの脆弱性の悪用。導入企業のうちモスフードサービスは別行で公表。	委託先経由
10/23	モスフードサービス（プリペイドカード「モスカード」／委託先 バリューデザイン） 対象か確認する→	流出 113万3,070件（発行総数 約380万件のうち）	モスカードのサーバー運用・保守を委託しているバリューデザイン社のシステムへの外部プログラムを用いた不正アクセスにより、モスカード番号（16桁）・PIN番号（6桁）・残高情報の流出を確認。内訳は流通済みカード約57万件・未流通カード約56万件。氏名・住所・電話番号・クレジットカード情報等の個人情報は含まれていない。流出したカード番号に紐づくPIN番号を強制的に変更（Web残高照会・アプリ新規登録・ネット注文のゲスト購入ができない場合は専用窓口へ）。利用履歴の確認を呼びかけ。委託先側の公表は「ペイクラウドHD（Value Card）」の行。	委託先経由
10/23	ジーイエット（「マックハウス」メールマガジン／外部サービス ブラストメール）	件数精査中（漏えいした可能性）	「マックハウス」のメールマガジン配信に利用している外部メール配信サービス「ブラストメール」への第三者による不正アクセスにより、配信先として登録していた個人情報が漏えいした可能性。対象は氏名・メールアドレス・生年月日・性別・地域（仮会員登録はメールアドレスのみ）。対象件数は精査中。メール配信は停止中で、連結業績への影響は軽微としている。	委託先経由
10/23	山日YBSグループ（山日YBS企業ガイダンス・山日わーく／外部サービス ブラストメール）	計5,040人分（漏えいした事実が判明）	メール配信サービス「ブラストメール」（ラクスライトクラウド）への不正アクセスについて10月23日に連絡を受け、計5,040人分の個人情報の漏えいが判明。内訳は「山日YBS企業ガイダンス」4,433人分（氏名・メールアドレス）、「山日わーく」607人分（メールアドレス・生まれた年・性別）。電話番号とクレジットカード情報は含まれない。両サービスのメール配信は安全が確認できるまで停止。	委託先経由
10/23	東京都（東京都農林水産振興財団 東京広域援農ボランティア事業／外部サービス ブラストメール）	最大約1万6,000件（漏えいの可能性）	東京都農林水産振興財団が実施する東京広域援農ボランティア事業で利用しているメール配信サービス「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、生産者とボランティア参加者の氏名・メールアドレス・属性が漏えいした可能性。財団はサービスの利用とメール配信を停止し、事業者に詳細な報告を求めている。	委託先経由
10/23	野村證券（ポートフォリオ管理ツール「i-Port」のメール配信／委託先 ユミルリンク）	件数記載なし（メールアドレス等が漏えいした可能性）	金融機関等向けポートフォリオ管理ツール「i-Port」の加入者向けメール配信業務の委託先ユミルリンクから、同社システムへの不正アクセスにより保存されていた顧客のメールアドレス等が外部に漏えいした可能性があると10月22日に報告を受けた。ポートフォリオに関する情報や証券取引口座に関する情報は含まれない。対象の金融機関等には個別に案内。現時点で不正利用や同社システムへの不正アクセスは確認されていない（ユミルリンク本体は別行）。	委託先経由
10/23	アンドエスティHD（業務サーバー） 対象か確認する→	顧客 約250万件（流出の可能性）・取引先 約1万件	10月22日7時30分頃から外部の不正アクセスにより複数サーバーへのログイン試行・侵入・データ抽出が行われ、10時頃に検知して隔離、17時までに経路を遮断し社内業務システムを停止。流出の可能性がある個人情報は、顧客約250万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID）、取引先約1万件（会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス）、従業員は範囲確認中。クレジットカード情報などの決済情報と顧客が設定したパスワードは含まれない。店舗とWEBストアは利用できるが、会員ポイントは利用できない状態。警察に相談し個人情報保護委員会に報告。	停止
10/22	佐久総合病院（佐久医療センターの元職員による電子カルテ情報の不正利用）	件数記載なし（元職員による不正利用の疑い）	佐久医療センターに勤務していた看護師が窃盗容疑で逮捕され、捜査の過程で電子カルテの患者情報を業務上の必要なく閲覧し、不正に利用した疑いがあることが判明。2026年9月9日付で懲戒解雇し、個人情報保護委員会へ報告。電子カルテのアクセス監査体制の強化などに取り組むとしている。	内部要因
10/22	サンケイリビング新聞社（リビングWeb・シティリビングWeb・まちっと等）	件数調査中（漏えいした可能性）	10月16日、運営するWebサイトで第三者による不正アクセスを確認し、サーバーに保管している顧客の個人情報が外部へ漏えいした可能性があることが判明（第一報）。対象はWeb会員サービス（リビングWeb、シティリビングWeb、まちっと等・退会者を含む）の登録者やアンケートシステムの利用者などの氏名・連絡先等で、件数は調査中。クレジットカード情報は預かっていない。安全性が確認できるまで一部のWebサービスを停止。委託元の自治体も個別に公表しており、広島県（ひろしま県民だよりのプレゼント申込 計1,470件）、三重県（移住セミナー申込者のべ156人・アンケートのべ75人）、島根県（セミナー申込者136名ほか）、登米市（結婚支援事業の申込者39人）が漏えいの可能性を公表している。	委託先経由／停止
10/22	システムファイブ（オンラインショップ system5.jp の連携システム）	最大1万5,671名（不正取得された可能性・10/27 調査結果）	10月22日にオンラインショップ連携システムへの不正アクセスを公表。10月24日の続報で、一部顧客の個人情報が第三者に不正取得されたことが判明し、取得された可能性があるのは登録顧客のうち最大約15,000名（氏名・メールアドレス・ポイント情報・商品レビュー関連情報）。クレジットカード情報とパスワード情報は保有しておらず流出のおそれはない。10月24日19時頃にオンラインショップを再開（ログインはメールの6桁認証コード方式に変更）、ポイント・レビュー・帳票発行は停止中。 10月27日の調査結果の報告で、対象は最大15,671名（氏名・メールアドレス・顧客ID・ポイント・商品レビュー関連情報）と公表。クレジットカード情報・パスワード・電話番号・住所は対象外。	続報
10/22	岡崎市（防犯情報メールマガジン・市営住宅の募集情報メール／外部サービス ブラストメール）	メールアドレス 約2万6,000件（漏えいした可能性・ほか市営住宅メールは件数確認中）	情報配信システムの提供元ラクスライトクラウドのシステムへの不正アクセスで、登録されている情報が漏えいした可能性が判明。岡崎市防犯情報メールマガジンのメールアドレス約26,000件、市営住宅の募集情報メール配信サービスのメールアドレス（件数確認中）（10月22日15時時点）。対象者には提供元から順次連絡予定。	委託先経由
10/22	新潟日報社（「新潟日報パスポート」会員／外部サービス ブラストメール）	最大約25万3,000人（漏えいが判明・ほか約7,000人は調査中）	メール配信に利用する「ブラストメール」（ラクスライトクラウド）への不正アクセスで、「新潟日報パスポート」全会員分の個人情報が漏えいしたことが判明（最大約25万3,000人）。項目は氏名（カタカナ）・都道府県名・市町村名・メールアドレス・性別・年代・購読商品名・購読するメルマガサービス名。クレジットカード情報・電話番号・生年月日・口座番号・パスワード等は含まれない。「にいがた鮭プロジェクト会員」約7,000人も漏えいの可能性があり調査中（10月23日の第2報）。	委託先経由／続報
10/22	周南市（周南市ファンクラブメールマガジン／外部サービス ブラストメール）	302件（現状把握可能な件数・漏えいの可能性）	周南市ファンクラブメールマガジンの配信に利用しているメール配信サービス「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、登録者の個人情報が漏えいした可能性。現状把握可能な件数は302件で、項目は氏名・住所・電話番号・メールアドレス（ほかの項目が含まれるかは確認中）。	委託先経由
10/22	JR四国（ＪＲ四国ツアーWeb メールマガジン／外部サービス ブラストメール）	最大約3万件（漏えいした可能性・調査中）	メールマガジンの配信ツールとして利用しているラクスライトクラウドの「blastmail」への第三者による不正アクセスにより、一部の顧客の個人情報が閲覧または取得された可能性が否定できない状況。対象はＪＲ四国ツアーWeb メールマガジンの登録者で最大約3万件、項目は登録時に入力した氏名・生年月日・住所・電子メールアドレス。漏えいの可能性と範囲は調査中。メールマガジンは配信できない状態。	委託先経由
10/22	SmartHR グループ5社（問い合わせフォーム／外部サービス Studio）	2,012名（流出した可能性・10/22時点）	Studio社のクラウド環境への不正アクセス（2026年9月30日〜10月1日・脆弱性は10月14日に修正）に伴い、SmartHR・Smart相談室・AIRVISA・BYARD・Looper の各サイトの問い合わせフォームに入力された情報が流出した可能性。項目は氏名・会社名・電話番号・メールアドレス・お問い合わせ内容など。「SmartHR」など各社クラウドサービス上のデータは対象外。二次被害は現時点で確認されていない。	委託先経由
10/22	長野県（産業労働部の3事業の委託先サイト／外部サービス Studio）	341件（漏えいの可能性・報道ベース）	（報道ベース）県事業の委託先が利用するクラウドサービス「Studio」への不正アクセスにより、「デジタル化一貫支援」「賃上げ環境整備支援」「就職活動理解促進・スカウト型マッチング」の3事業で取得した企業名、氏名、電話番号、メールアドレス、問い合わせ内容などが漏えいした可能性があると県が発表したと報じられている。複数事業に重複して登録した人を含む延べ件数とされる。県の公式発表は未確認。	委託先経由
10/22	バルテック（MOT シリーズなど業務クラウドサービス）	件数記載なし（顧客情報が流出したとみなされる事実を確認・調査中）	第三者による不正アクセスを受け、保有する顧客情報が流出したとみなされる事実を確認したと公表。影響範囲は調査中。MOT/Cloud、MOT/Hotel、勤怠・経費精算・シフト・文書管理・SFA、POSシステム、各種予約システムなど20以上のサービスで全部または一部の機能を停止して緊急メンテナンスを実施し、復旧は最短で10月26日中の見込み（遅れる可能性あり）。第一報で原因とした「PHPの脆弱性を標的としたサイバー攻撃」は誤りで、同社サービス自体の脆弱性が悪用されたと訂正している。	停止
10/22	フジッコ（キャンペーンの非会員向け応募フォーム／委託先） 対象か確認する→	延べ約1万5,500件（漏えいした可能性・複数回応募を含む）	2026年5月以降に実施した「カスピ海ヨーグルトシリーズ『もっと！とろぉ～もっちキャンペーン 第2弾』」と「フジッコ大感謝祭キャンペーン」の非会員向け応募フォームの受付業務を委託している会社のサーバーが第三者による不正アクセスを受け、応募者の個人情報が漏えいした可能性が10月21日に判明。項目は氏名、年齢、性別、職業、婚姻状況、家族構成、電話番号、メールアドレス、住所、アンケート情報。免許証、クレジットカード、口座番号などは含まれない。情報が第三者に取得されたものとみなして対応し、該当する応募受付を一時停止。不特定多数への公開や不正利用は確認されていない。	委託先経由
10/22	デジタル庁（ホームページのお問合せフォーム等／外部サービス Studio）	最大1万3,323件（外部に漏えいした可能性・ほかStudioアカウント情報35件）	ホームページ運営の一部に利用していた Studio 株式会社のクラウド環境への不正アクセスについて、10月16日に同社から報告を受け、2021年5月から2023年3月までに送信された問い合わせ等の個人情報が外部に漏えいした可能性があると公表。内訳は一般的な意見・要望 最大8,833件、採用に関する問い合わせ 最大250件、接種証明書アプリに関する問い合わせ 最大3,661件、着ぐるみ貸出の問い合わせ 最大117件、ワークショップ等のイベント参加 最大462件で、氏名、メールアドレス、問い合わせ内容など（一部で電話番号・所属・住所）。ほかに職員・業務委託者の Studio アカウント情報（氏名・メールアドレス）35件。二次被害は確認されていない。	委託先経由
10/22	ヌーラボ（顧客のメールアドレス等／外部サービス ブラストメール） 対象か確認する→	件数記載なし（第二報: 現時点の調査では対象に含まれていない旨の報告・調査継続）	10月21日、ラクスライトクラウドから、同社が提供するメール配信サービス「ブラストメール」への第三者による不正アクセスで一部の契約者の配信先リストが外部に持ち出されたとの連絡を受けた。ヌーラボのサービスを利用する顧客のメールアドレスと、一部の顧客ではスペースID、スペースキー、組織名、お客様番号（オンプレミスの場合のみ）が対象となり得る。流出の有無、対象範囲、件数は確認中。Backlog、Cacoo、Nulab Flowbase、Nulab Pass など同社サービスへの不正アクセスは確認されていない。10月23日の第二報で、ラクスライトクラウドから「現時点の調査では、当社が同サービスに登録しているお客様の情報流出が対象に含まれていない旨の報告」を受けたと公表（第三者機関による調査は継続中で、結果を受けて改めて知らせるとしている）。	委託先経由／続報
10/22	南城市（尚巴志ハーフマラソン／外部サービス ブラストメール）	1万1,117件（情報漏洩の可能性・メールアドレスのみ）	委託先の沖縄広告が利用するメール配信サービス「ブラストメール」（ラクスライトクラウド）への不正アクセスにより、過去5年間に尚巴志ハーフマラソンへ登録されたメールアドレス1万1,117件が漏洩した可能性。氏名や住所は漏洩していないとしている。不審なメールやログイン・本人確認を求めるお詫びを装ったメールへの注意を呼びかけている。	委託先経由
10/22	横浜市（GREEN×EXPO 2027 市出展エリアのボランティア応募者／外部サービス ブラストメール）	6,334人（漏えいした可能性）	市出展エリアで活動するボランティア応募者へのメール一斉送信に使うメール配信サービス「ブラストメール」への第三者による不審なアクセスにより、メールマガジン登録者の個人情報が漏えいした可能性。10月21日1時頃、運営業務の受託事業者を通じて、サービス停止と配信先リスト等の一部で漏えいが確認されているとの報告があった。対象情報は氏名とメールアドレス。2027年国際園芸博覧会協会のボランティア向けメール（ボランティア受付番号・活動番号・メールアドレス）も同じサービスを利用しており、同協会が別途公表している。	委託先経由
10/22	東北電力フロンティア（eポイントモール のメールマガジン／外部サービス ブラストメール） 対象か確認する→	最大約10万件（漏洩した可能性・実際の件数は調査中）	eポイントモールのメールマガジン配信を委託するADDIX社が利用するメール配信サービス「ブラストメール」への不正アクセスについて、10月21日にADDIX社から連絡を受けた。対象となり得る情報はメールアドレスとeポイントモール会員の内部管理IDで、最大約10万件の可能性があるが実際の漏洩件数は調査中。現時点で会員の情報が漏洩対象に含まれているかは確認できておらず、漏洩した可能性があるものとして対応。氏名、住所、電話番号、パスワード、クレジットカード情報、銀行口座情報、契約情報は対象外。	委託先経由
10/22	カプコン（CAPCOM ID） 対象か確認する→	1,177万4,247件（全世界合計・メールアドレスとシステム固有の識別情報）。第二報で196件のうち19件（日本国内）はイーカプコンの氏名・住所等も漏えい	オンライン会員サービス「CAPCOM ID」への第三者の不正アクセス。メールアドレス・アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のクライアントIP が漏えい。うち43件は生年月日・性別・国・地域・ニックネームも。196件でログインパスワードが不正に変更（利用者設定のパスワードの漏えいは未確認・該当アカウントはリセット済み）。クレジットカード情報は対象外。10/19 痕跡発見・10/21 警察と個人情報保護委員会へ報告。専用窓口 0120-801-271（10:00〜20:00）。ゲームのプレイに影響なし。10/23 の第二報で、パスワードを不正に変更された196件のうち19件（日本国内）は、第三者がイーカプコンのマイページに不正にアクセスし、氏名・氏名（カナ）・電話番号・郵便番号・住所・性別・生年月日・購入履歴・問い合わせ履歴・会員アドレス帳が漏えい。その他のアカウントはパスワードの不正な変更による漏えいは確認されず、影響範囲の調査は完了。	続報
10/21	JFEケミカル（社内IT環境）	最大約23万件（不正に取得された、またはそのおそれ・重複算入を含む）	10月14日に不正アクセスの可能性を認識し、10月19日に当社IT環境への不正なアクセスでデータが不正に取得されたことが判明したと10月21日に第一報。10月28日の第二報で、不正に取得されたデータに取引先・社外関係者・当社・当社社員に関する個人情報を含む情報が含まれることを確認し、10月27日時点で第三者に不正に取得された、またはそのおそれのある個人情報は最大約23万件と公表。氏名、所属先、電話番号、メールアドレス等のいずれか又は複数を含み、同一個人の重複算入や単独では個人を特定できないデータを含むため精査中。取引先・社外関係者の個人のクレジットカード番号や銀行口座情報が漏洩した事実はない。データの公開や二次被害は確認されていない。窓口は総務部（03-5820-6500）。	―
10/21	モニタス（アンケートサイト「Qzoo」） 対象か確認する→	約40万件（保有する全件・漏えいした可能性・調査中）	10月17日、アンケートサイト「Qzoo」のサーバーへの第三者からの不正アクセスを確認。脆弱性を悪用したSQLインジェクションでデータベースの閲覧・更新が行われ、同日からサービスを停止。影響を受けた可能性のあるデータベースには、基本情報（氏名・生年月日・住所・電話番号・メールアドレス等）、会員認証情報（会員ID・パスワード等）、金融関連情報（口座番号・支店名・口座名義等）、アンケート回答情報（年収・職業等）が保管されており、特定を進めている。件数は約40万件（10月17日時点の保有全件）。クレジットカード情報とマイナンバーは保有していない。	停止
10/21	バリュエンスジャパン（「なんぼや」のオンライン買取システム）	最大1,165名（漏えいした可能性）	10月18日にオンライン買取システムへの不正アクセスを検知。2026年9月14日〜10月18日午前9時の対象者最大1,165名の電話番号、うち最大439名の氏名・住所・生年月日・性別・職業・メールアドレス・銀行口座情報等、うち10名の本人確認書類の画像が漏えいした可能性がある（項目ごとに重複あり）。従業員の情報も対象。経路を遮断しオンライン買取は復旧済み。店頭・出張・宅配買取は影響なし。対象者へ個別に案内する。	―
10/21	青森県（関係人口創出・拡大イベント開催業務／委託先 デーリー東北新聞社・外部サービス Studio）	206件（流出した可能性）	県発注業務の受託者デーリー東北新聞社が利用していたクラウドサービス「Studio」への第三者による不正アクセスで、イベント参加申込者の個人情報 206件が流出した可能性。個人情報が実際に第三者に取得された事実は確認されていない。	委託先経由
10/21	ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）	件数記載なし（全契約者の販売管理情報の持ち出しを確認・契約者情報以外の漏えい確認 345契約）	運営元ラクスライトクラウドのAPI用サーバー2台が外部の第三者に侵害されてコマンドが実行され、販売管理システムとサービスのデータベースからデータが外部に持ち出されたことを確認。すべての契約者の会社名、担当者名、電話番号、メールアドレス（請求先を含む）、契約・支払いの履歴が持ち出され、一部の契約者については配信先リストなどメール配信に関する情報の漏えいも確認。クレジットカード番号は保持していない。10月21日0時30分から管理画面・API、1時頃からメール配信を停止し、再開日時は未定。10月24日13時20分の更新で、契約者情報以外の情報漏えいが確認された契約は344件（個別連絡は344件完了・外部機関の調査継続中で変動の可能性・次回報告は10月25日10時頃）。配信先リストが含まれた可能性を利用企業・自治体が個別に公表している（東北電力フロンティア・横浜市・南城市・ヌーラボなどは別行）。 10月25日10時の更新では新たに報告できる確定情報や進展はなく、344件の数値も変わらず（次回報告は10月26日10時頃）。 10月26日17時の更新で新たに1件の情報漏えいが判明し、契約者情報以外の漏えいが確認された契約は345件（個別連絡完了345件・次回報告は10月27日12時頃）。 10月27日12時30分の更新では前回の報告以降に新たに漏えいが判明した顧客はなく、345件（個別連絡完了345件）は変わらず（次回報告は10月28日12時頃）。 10月28日12時の更新では新たに漏えいが判明した顧客はなく345件のまま。11月11日頃のサービス再開を目指して対応中（日程は前後する可能性・OEM版は再開目途未定。次回報告は10月29日12時頃）。 10月29日12時の更新でも新たに漏えいが判明した顧客はなく345件のまま。経緯（10月20日21時52分のアラート検知から21日17時25分の公表まで）と、個人情報保護委員会・JIPDEC・総務省関東総合通信局への報告、警視庁への通報を追記し、利用企業向けに同社との連名報告（行政機関・地方公共団体は代行報告）の手続きを案内（次回報告は10月30日12時頃）。	停止／続報
10/21	テリロジーホールディングス（子会社クレシードの採用サイト／外部サービス Studio）	39件（漏えいした可能性・送信記録）	子会社クレシードが採用サイトの制作・運用に利用する外部サービス Studio への不正アクセス（9月30日〜10月1日）に伴い、2024年4月1日以降に受け付けたフォーム回答39件（お問い合わせ14件・求人応募25件）が漏えいした可能性。氏名・メールアドレス・電話番号等のほか、求人応募フォームでは生年月日・住所・学歴・就業状況・経歴・志望動機等を含む。第三者による実際の取得は確認されておらず調査中	委託先経由
10/21	デジタルアーツ（クラウドサービス「i-FILTER@Cloud」ほか）	件数記載なし（一部のお客様の情報が閲覧された可能性）	10月9日に実施した社内環境の総点検で、クラウドサービスの運用環境と社内環境への不正アクセスの痕跡を発見（2025年7月頃にさかのぼるものを含む）。運用に用いる認証情報が第三者に不正に取得され、サービス運用環境に侵入されたことが判明し、i-FILTER@Cloud・m-FILTER@Cloud（Modern Edition）・m-FILTER MailAdviser Microsoft 365 対応版・FINAL CODE@Cloud・z-FILTER・Desk を利用する一部のお客様の情報が閲覧された可能性。10月21日正午時点で外部への持ち出しや二次被害は確認されていない。対象クラウドサービスの全利用者に管理者用・利用者用パスワードの変更を依頼（ソフトウェア版は対象外）	―
10/21	GMOインターネットグループ（お名前.com デスクトップクラウド） 対象か確認する→	影響の可能性 2万6,739サーバー（第4報で顧客情報の外部持ち出しを確認・取引口座の身に覚えのない取引の報告）	10月20日、一部の顧客のサーバー環境に第三者による不正なプログラムが設置されたことを確認。影響の可能性のあるサーバー数は26,739件（対象となり得る数で、不正アクセスや情報取得が確認された件数ではない）。被害拡大防止のため10月21日4時以降、全プランのサーバーを順次停止。10月22日の第2報で、取引口座で第三者による不正な操作が行われたとの報告を受けていると公表し、サーバー以外の端末からのパスワード変更、全セッションの切断、取引履歴・残高の確認、二段階認証の設定を呼びかけている。決済情報はサーバーに保持していない。10月24日の第4報で、本サービスの環境への不正なアクセスと、顧客の情報が外部に持ち出された事実を確認したと公表。現在の利用者全員に見舞金として一律5,000円を支払うほか（案内は10月30日23時59分までにメールで）、不正アクセスに起因すると同社が認めた不正取引による実現損失を補償（申請方法等は11月6日までに案内）。現行基盤は再開せず、独立したクラウド基盤の代替サービスを6か月間無償で提供する。攻撃者からの要求には応じない方針で、警察へ証拠を提出している。10月24日〜27日の第5報〜第9報で、接続した端末のフルスキャンとバックアップ、PCのネットワーク切断・電源断を呼びかけ、協力者の端末の解析を進めている。10月27日の第10報で、攻撃者とみられる者が情報と称するものを公開したことを確認し、アクセスや拡散をしないよう求めた。公開情報に含まれる顧客には個別に連絡し、別のお見舞金を検討するとしている。10月27日の第12報で、犯人の要求には応じない方針を改めて示したうえで、公開された情報に本人の情報が含まれることを確認した顧客に「GMO特別お見舞金」（情報の区分ごとに1万円・1万5,000円・2万5,000円、1公開につき上限300万円。第4報の一律5,000円・損失の補償とは別）を支払うと公表し、総額100万米ドルを上限とする「GMOサイバー犯罪撲滅・懸賞金」（10月28日12時から受付）を創設。公開されたと称する情報にはアクセスしないよう求めている。10月28日の第13報で、日本時間同日午前4時頃に情報が掲載されていたサイト（ミラーを含む）のドメインが停止されたことを確認したと公表し、新たなサイトが開設されても掲載情報の投稿・転載・拡散をしないよう求めた。同日の第14報で、懸賞金サイトの開設から5時間で113件の情報提供があったこと、預かった端末の解析ではマルウェア感染やランサムウェア攻撃の痕跡は確認されていないことを公表。10月29日の第15報で、懸賞金サイトへの情報提供が270件（同日11時30分時点）となり、グループのホワイトハッカーチームの調査とあわせて犯人の特定につながると考えられる情報を入手し、同日警察および関係各所へ提出すると公表。同日の第16報で、情報提供件数は累計321件（10月29日18時時点）とし、今後は平日18時に件数を追記するとした（第16報まで）。	停止／続報
10/20	国土交通省（「住宅省エネ2024キャンペーン」事務局 博報堂のシステム）	2万3,918名（1万6,950事業者・速報値・漏洩した可能性）	「住宅省エネ2024キャンペーン」の事務局（博報堂）が運営する補助金申請受付システムで外部からの不正操作があり、登録事業者の情報（法人代表者の氏名・肩書、個人事業主の氏名・住所、補助金担当者の氏名・部署・役職・業務用の住所・電話番号・メールアドレス）2万3,918名（1万6,950事業者・速報値）が漏洩した可能性がある。補助事業を利用した消費者の個人情報の漏洩は確認されていない。全てのシステム機能を停止中。相談窓口 0570-062-065。	委託先経由／停止
10/20	富士急ハイランド（公式アプリ・会員サイト「CLUB フジQ」）	159名（不正ログイン・会員情報が閲覧された可能性）	2026年9月4日〜7日、外部で入手されたメールアドレスとパスワードの一覧を用いたリスト型攻撃により159名の会員アカウントに不正ログイン。閲覧された可能性のある情報は氏名・メールアドレス・生年月日・性別・電話番号・郵便番号・都道府県・会員番号で、一部の顧客は購入履歴、クレジットカード関連情報の一部（番号の一部・有効期限・名義のみ）、チケット情報も対象。サーバーやデータベースへの侵入、会員データの一括流出は確認されていない。二次被害は現時点で確認されていない。対象アカウントのパスワードを初期化。	―
10/20	アンビションDXホールディングス（グループ会社含む）	個人情報 約58万件（漏えいのおそれ）・持ち出し確認 ファイル約14万件	2026年8月6日未明に第三者がネットワーク機器を経由して侵入し、業務文書を外部に持ち出したうえでランサムウェア攻撃を行ったと推定（8/6 第1報〜8/28 第3報）。10月20日の最終報で、攻撃者による持ち出しが確認された情報はファイル約14万件、流出した可能性のある個人情報は約58万件と公表。特定された情報には、ホープ少額短期保険の保険金支払い情報（金融機関の口座番号等を含む）833件・保険契約情報363件・解約契約情報465件、アンビション・エージェンシーの契約書・入居審査資料449件など。クレジットカード情報とマイナンバーはこれまでの精査で確認されていない（適時開示）。	ランサムウェア／続報
10/20	フジテレビジョン 対象か確認する→	543人分（漏えいを確認・10/23 第2報。第1報は最大730件の可能性）	番組宣伝システムへの第三者による不正アクセス（公表日の前夜に発生を確認）。登録されていたメディア関係者の氏名・会社名・メールアドレス等が外部に漏えいした可能性。視聴者の個人情報は登録されていない。確認後にシステムの利用を停止し、原因究明と再発防止策を検討中。登録資料を含む影響範囲は確認中。10/23 第2報で、登録されていたメディア関係者の個人情報の外部への漏えいを確認（543人分の氏名、会社名、メールアドレスなど）。番組宣伝資料は現時点で外部への漏えいを示す事実なし。視聴者の個人情報は登録されていない。不正利用は現時点で確認なし。フィッシングメールへの注意と利用者向け問い合わせフォームを案内。	続報
10/20	日本電気（NEC／委託先経由・顧客のシステム）	件数調査中（個人情報を含むファイルの漏えいを確認）	システム開発・保守の委託先が9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されて、NECの顧客のシステム環境に委託先の端末から不正アクセスが行われた。サーバー内のファイルが暗号化され各種システムが利用できない状態となったほか、関係者間の情報共有に利用していたクラウドストレージ内のファイル（顧客の保有する個人情報やシステム関連情報などを含む）の漏えいを確認。影響のあった複数の顧客には個別に連絡済みで、漏えいした個人情報の詳細は判明次第顧客に報告するとしている。	委託先経由／停止
10/20	Globee（英語学習サービス「abceed」）	1万834アカウント（漏えいした可能性）	10月17日に関連システムへの不正アクセスを検知し、システムの設定等を悪用した不正アクセスを確認。漏えいした可能性があるのはメールアドレスおよびハッシュ化されたパスワード1万834アカウント（うちユーザー名を含むもの90アカウント・実人数は未確認）。不正アクセス経路の遮断と該当機能の停止を行い、個人情報保護委員会へ報告、対象者にメールで個別連絡を進めている（適時開示）。	―
10/20	ネオキャリア（転職サービス「X-Tech Agent」・求人データベース「Bee」）	件数調査中（外部に流出した可能性）	サイト運営に利用しているWebサイト作成サービス「Studio」（Studio株式会社）のクラウド環境に第三者による不正アクセス（2026年9月30日〜10月1日）があり、10月16日に同社から連絡を受けた。両サイトのフォームから登録・問い合わせをした人の氏名、メールアドレス、電話番号、お問い合わせ内容等が外部に流出した可能性がある。第三者に情報が取得された事実は現時点で確認されておらず、流出の有無と対象範囲を調査中（第1報）。	委託先経由
10/20	PingCAP（分散データベース「TiDB Cloud」）	最大約5万件（日本国内・漏洩）	2026年9月9日から10月7日（米国時間）にかけて、第三者が不正取得したアカウントの認証情報を使用して社内システムにアクセスし、データの複製を取得。日本国内で最大約5万件の個人情報が漏洩したことが判明。影響が確認されたデータはTiDB Cloudアカウント情報（ユーザー名、メールアドレス等）、取引関連情報（氏名、メールアドレス、企業名、電話番号、契約条件）、APIキーのPublic Key部分（Private Key部分は流出していない）。TiDB Cloud への不正アクセス、クレジットカード情報の流出は確認されていないとしている。	―
10/20	トラストバンク（ふるさとチョイス 会員情報） 対象か確認する→	445万4,097件（外部流出を確認・10/20時点）	10月19日に通常と異なるアクセス傾向を把握して確認したところ、10月17日に不正アクセスがあり、会員の個人情報が外部に流出したことが判明。流出が確認された情報は氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額で、件数・内容は今後の調査により変動する可能性がある。10月19日15時50分に「ふるさとチョイス」関連サービスを停止（再開時期は未定）。10月20日に個人情報保護委員会へ報告、10月21日に所轄警察署へ被害申告の予定。親会社チェンジホールディングスも適時開示。10/5 公表の Amazon Pay 寄付手続きの表示不具合（254件）とは別の事案。10/23 第2報で、前回公表のうち5名にポイント履歴（5名）・寄附履歴（2名）・クレジットカード情報の下4桁・名義・有効期限（2名。同社システムには保存されておらず、この情報のみでは決済できない）・生年月日（2名）・送付先（1名）・住所の一部削除(県名)（1名）の追加流出が判明し個別連絡。会員には10/21から流出の有無と項目を個別メールで通知。 10/26 第3報で、自治体・事業者向けの寄附管理システムを同日から順次運用再開（新たな寄附の受付ではない。寄附者向けサイトは再開時期未定）。 10/28 第4報で、提携先サイト内で寄附の申し込みから決済まで完結するサービスの連携システムを同日から運用再開（これらのサイトを利用した寄附に関する個人情報の流出は確認されていない。各提携先サイトの寄附受付は順次再開）。	停止／続報
10/19	岐阜県（GIFU新事業共創チャレンジプログラムのイベント告知サイト／外部サービス Studio）	2件（漏えいした可能性）	令和7年度のイベント告知ホームページの作成に利用した外部サービス（Studio 株式会社）への不正アクセスで、問い合わせにより取得した個人情報等 2件（会社名・所属・氏名・メールアドレス・問い合わせ本文・送信日時）が漏えいした可能性。	委託先経由
10/19	パピレス（電子書籍販売サイト「Renta!」）	調査中（サービス一時停止）	10月18日に「Renta!」のサーバーへの外部からの不正なアクセスの可能性を把握し、サービスを一時停止して緊急メンテナンスを実施。公表時点で不正アクセスの詳細は調査中で、再開時期は未定	停止
10/19	hokan（保険代理店向けクラウドサービス「hokan出納」）	件数記載なし（保険代理店2社の情報が漏えい）	認証基盤として利用しているシステムのアカウント登録機能を通じて「hokan出納」に第三者からの不正アクセスが発生（海外のIPアドレスを使用）。アクセス記録の追加調査で、10月14日に外部の第三者がデータを取得していた情報漏えいの事実が判明。影響が確認されている利用企業は2社で、個別に報告済み。契約者のクレジットカード番号、銀行口座番号、病歴等を格納する項目からの漏えいは確認されていない。「hokan CRM」「hokan People」への不正アクセスは確認されていない（第一報）。	―
10/19	楽待（不動産投資サイト「楽待」）	最大3,450名分（閲覧・取得）	2026年10月9日から11日にかけて、外部から取得したメールアドレスとパスワードの組み合わせによる不正ログイン（リスト型攻撃と推測）が発生。不正ログインされたのは会員最大160名と加盟店7社で、加盟店4社のアカウントから、物件の問い合わせや売却査定・一括見積もりを依頼した最大3,450名分の氏名、メールアドレス、電話番号、住所、年齢、職業、年収・自己資金・保有不動産などの資産情報、問い合わせ内容等が閲覧・取得された。サーバーやデータベースへの侵入の事実は確認されていない。クレジットカード情報は保有しておらず、証明書類は取得されていないことを確認。	―
10/19	スカイマーク（新卒・既卒採用お問い合わせフォーム）	488名（閲覧可能な状態）	採用お問い合わせの管理画面にアクセス制限が適切に設定されておらず、2016年3月から2020年2月までにフォームから問い合わせた488名の氏名、氏名のカナ、メールアドレス、学校名・学部学科名または勤務先・部署名、お問い合わせの内容が、2016年3月から2026年10月16日まで閲覧可能な状態だった。現時点で第三者による閲覧や情報の流出、二次被害は確認されていない（2025年6月9日より前はアクセス記録がなく確認できない）。住所、電話番号、クレジットカード情報は含まれない。	内部要因
10/19	ハノワ（歯科医療人材マッチングサービス「ハノワ」） 対象か確認する→	最大4万9,309名（重複除き・漏えいのおそれ）	クラウド上の保存領域で閲覧を制限する設定が適切に行われておらず、一部の個人情報と提出書類の画像が、2019年6月以降はログインした他の利用者から、2020年6月18日以降はログインしていない第三者からも閲覧できる状態だった（2026年10月16日まで）。閲覧の記録が残っておらず第三者による閲覧の有無を確認できないため、漏えいのおそれとして公表。内訳は氏名・ニックネーム・メールアドレス・医院名が最大4万7,683名分、本人確認書類・免許証の画像と口座確認書類の画像が最大1万311名分、旧チャット機能のメッセージ・添付ファイルが最大1万5,482名分。パスワードとクレジットカード情報は含まれない。信用情報機関への本人申告費用と運転免許証の再交付手数料は実費負担（2027/1/31 必着・申請は FAQ Q15 の申込フォーム）。	内部要因／続報
10/19	東邦ホールディングス（子会社エンタッチ・リモートディテーリング事業）	件数調査中（漏洩を確認）	10月13日16時頃、非連結子会社エンタッチが管理するデータベースからリモートディテーリング事業に関するデータが外部に漏洩していることが発覚。ランサムウェア攻撃を行う第三者による不正アクセスが原因で、データベース内の情報が外部に流出したことを確認。漏洩が確認された情報は、サービスを利用した医療従事者の氏名・所属医療機関・所在地都道府県、プラットフォーム利用者の氏名・メールアドレス、予約時の連絡先（電話番号・メールアドレス）、製品名・製薬企業名、予約作成日時・面談日時・面談ステータス。件数と詳細な範囲は調査中。グループの他システムへの影響はない。	ランサムウェア
10/19	日本貿易振興機構（ジェトロ）	743件（漏洩を確認・10/19時点）	10月14日から一部ウェブサイトへの不正アクセスが行われたことを確認し、10月17日からウェブサイトの利用を一時停止（臨時ウェブサイトを開設）。現時点で企業名、企業の担当者のメールアドレスなど743件の個人情報の漏洩を確認し、対象企業には通知済み。お客様情報の登録・確認・変更、貿易投資相談オンライン申込みなど一部サービスは通常どおり利用可能。	停止
10/19	LIXIL（業務支援アプリ「L-ポケット」「L-ポケットLite版」）	3,379名（漏えいを確認・うち従業員・退職者375名）	10月13日にリフォーム事業者向け業務支援アプリケーション「L-ポケット」「L-ポケットLite版」のシステムへの不正アクセスを検知し、外部からのアクセスを遮断、サービス・アプリ運用とアプリストアでの公開を一時停止。登録会員と LIXIL・グループ会社の従業員（退職者を含む）3,379名の氏名、フリガナ、メールアドレス、生年月日、性別、会員番号または登録コード、事業者情報（会社名・住所・電話番号・部署名・業種分類）が漏えい。決済情報への影響はない。10月19日から対象者へメールで個別に通知。	停止
10/19	ジグザグ（越境EC「WorldShopping」）	301名（漏えいを確認・海外の利用者・10/19時点）	10月15日から16日にかけて「WorldShopping」のシステムの一部に第三者による不正アクセスがあり、海外（台湾・香港・米国・韓国・中国ほか）の利用者301名のメールアドレス、氏名、住所、電話番号、注文に関する情報が漏えいしたことを確認（項目は利用者により異なる）。クレジットカード情報とパスワードは含まれない。メール配信システムと入力フォームの不備を修正。WorldShopping BIZ 導入事業者から預かる情報は現時点の調査では対象外。	―
10/19	リンクステーション（チケット販売サービス「GETTIIS」） 対象か確認する→	会員ID 31万7,971件（漏えい・項目別件数）	主催者向け公演登録サービス「Gettii-Lite」のプログラムの脆弱性が10月18日未明に悪用され、購入者向けサービス「GETTIIS」の会員情報が外部に流出したことを確認（第一報）。流出した、または流出したおそれのある情報は会員ID、氏名、電話番号、メールアドレス、郵便番号、性別、生年月日、ハッシュ化されたパスワード、クレジットカード番号の一部（先頭4桁・末尾4桁）、名義、有効期限を暗号化した情報。完全なカード番号とセキュリティコードは保存していない。「Gettii」「Gettii-EC」への影響は確認されていない。 10月20日の第二報で、漏えいした情報と件数を会員ID 317,971件、ハッシュ化されたパスワード 311,451件、クレジットカード関連情報 29,515件、氏名 309,759件、電話番号 309,668件、メールアドレス 311,426件、性別 5,900件、生年月日 5,192件、郵便番号 489件と公表（各情報項目の件数で合計人数ではない）。不正取得は10月18日午前0時頃から7時頃。対象者には個別にメールで連絡済み。	続報
10/19	クリプトン・フューチャー・メディア（SONICWIRE・D2R）	最大約42万件（閲覧・取得された可能性・SONICWIRE 会員）	10月17日20時頃に「SONICWIRE」「D2R」への不正アクセスの可能性を確認し、同日23時39分頃にサーバーを停止（SONICWIRE 関連 EC ストアも停止・再開時期は未定）。SONICWIRE 会員（ニュースレター購読者含む）最大約42万件の氏名、メールアドレス、ハッシュ化されたパスワード、住所（請求書・見積書発行時に入力した場合）など、D2R 登録店舗の氏名・店舗名・ログインID・ハッシュ化されたパスワードが参照・取得された可能性。クレジットカード情報はシステムに保存しておらず、現時点で漏えいの事実は確認されていない。全会員のパスワードを無効化。	停止
10/19	ユミルリンク（メール配信サービス）	延べ5,162万8,280件（Cuenote FC 49システムで情報漏洩・第二報）	10月16日、メール配信サービスの一部サーバシステムへの不正アクセスを確認。プログラム（ライブラリ）の脆弱性によりサポート・品質管理担当者の認証情報が取得され、不正プログラムでデータベースからデータが出力された。10月26日の第二報で、メール配信サービス「Cuenote FC」の単一企業向け78システムのうち49システムで情報漏洩の痕跡を確認し、漏洩の恐れがある件数は延べ5,162万8,280件と公表（第一報の試算は延べ約900万件）。16システムは件数調査中で、延べ件数は増加する可能性がある。アドレス帳（配信先メールアドレスと氏名・都道府県・生年月日などの付属情報。利用企業ごとに異なる）・配信記録・Webアクセス記録・利用企業担当者情報が登録されている。顧客管理システム「Cuenote BASE」でも契約者情報190件（企業名・氏名・電話・メールアドレス）が閲覧可能な状態だった。SR-S・SMS・Auth・Survey・Push・安否確認サービスは影響なし。	続報
10/19	ニフティ（回線申込・受付管理システム） 対象か確認する→	最大1万8,000件（影響を受けた可能性・10/21 第二報。第一報は3サービス累計で最大54万2,513件）	10月19日10時20分頃、当社側で情報登録をする管理用の回線申込・受付管理システムへの外部からの不正アクセスを確認し、通信元を遮断。対象は2019年以降に @nifty光・@nifty MAX光・@nifty auひかりプラスを申し込んだ顧客（当社Webサイトからの申込を除く）で、項目は会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス（漏えいした可能性のある全項目・漏えい情報は調査中）。口座・クレジットカード情報は保有しておらず対象外。10/21 第二報で、対象サービスは＠nifty光のみ（MAX光・auひかりプラスは対象外）に絞り込まれ、アクセスログ等の精査で最大18,000件と判明。メールアドレスは漏えい対象でないと確認。パスワード・銀行口座・クレジットカード情報は本システムに保有しておらず対象外。	続報
10/19	エイチ・ツー・オー リテイリング／阪急阪神百貨店（予約サイト・HANKYU HANSHIN E-STORES・Remo Order） 対象か確認する→	約126万件（H2O ID 会員の個人情報の一部が漏えい）	10月16日に「阪急百貨店・阪神百貨店予約サイト」を経由した顧客管理システムへの不正アクセスを確認し同サイトを停止、17日に「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認し両サイトを停止。19日、顧客管理システムで管理する「H2O ID」のうち約126万件の個人情報の一部が漏えいしたことが判明（ほぼ全ての H2O ID 会員が対象）。項目は H2O ID、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、利用サービス項目。E-STORES・Remo Order が保持する注文履歴・クレジットカード情報の一部（カード番号の下4桁など）・ポイントカード情報の一部・アドレス帳は漏えいの可能性を調査中。ログインパスワードの漏えいは確認されていない。10/19 14時に E-STORES を再開したが、10/24 から緊急メンテナンスで休止中（理由の記載なし）。阪急阪神百貨店アプリも10/24 緊急メンテナンス。10/20 に「H2O ID」を騙る詐欺メールへの注意喚起。	停止／続報
10/18	日本サッカー協会（公式アプリ「JFA Passport」）	個人情報の漏えいは確認されず（第2報）	10月17日3時25分頃から19時頃まで、公式アプリ「JFA Passport」に不正なアクセスを試みる攻撃が発生し、一部のシステム連携・アプリの一部機能を停止。10月21日の第2報で、調査の結果、本件に起因する個人情報の漏えいは確認されず、JFA が利用する関連システムにも情報漏えいや不正利用等の影響は確認されなかったと公表。改修と安全性の確認を行ったうえでサービスを順次再開するとしている	停止／続報
10/17	Joshin（ジョーシン 会員情報・「ジョーシンのサブスク」ほか） 対象か確認する→	最大約600万件（会員情報データベース・漏洩した可能性）。ほかサブスク最大約23万件・リフォーム写真アップロードシステム最大約800件	10月16日にネットワークの異常を検知し、不正アクセスの形跡を確認。10月17日に第1報（システム障害）を公表し、一部サービスが利用できない状態。10月26日の第2報で、会員情報データベースサーバー（氏名・住所・電話番号・会員番号）最大約600万件、ジョーシンのサブスク（会員番号・電話番号＋手書きサイン・ログインID 初期パスワード・請求履歴・契約番号/デバイスID・有効化コード）最大約23万件、リフォーム写真アップロードシステム（免許証画像2件・マイナンバーカード1件・口座番号5件ほか工事写真）最大約800件が漏洩した可能性があると公表。件数は漏洩の可能性のある総件数で確定件数ではないとしている。クレジットカード情報は保持していない。窓口 06-6631-1323。	停止
10/17	ハッピーキャット（猫カフェ「猫ちゃんといっしょ」旧予約システム／ファインズ）	件数調査中（漏えいを確認）	以前利用していた予約システムの提供元ファインズへの不正アクセス（9月21〜22日）により、2020年1月8日〜2025年1月31日の予約データのうち氏名・電話番号・メールアドレス・予約内容（日時・店舗名・メニュー・料金）等の漏えいを確認。住所・生年月日・性別・マイページのログイン情報・顧客メモは漏えいのおそれ。クレジットカード番号・マイナンバーの漏えいは確認されていない	委託先経由
10/17	リクルート（カーセンサーnet・C-match など関連サービス） 対象か確認する→	最大370万9,551件（漏えいした可能性）	10月17日に「カーセンサーnet」関連システムへの外部からの不審なアクセスを検知し、同日17時頃から「カーセンサーnet」、アプリ版「カーセンサー」、「C-MATCH」など関連サービスを一時停止。10月21日、第三者からの不正なアクセスにより最大3,709,551件の個人情報が漏えいした可能性があると公表。内訳は中古車販売店へ問い合わせた利用者 3,210,421件（主に氏名・住所。住所は原則市区町村名までだが最大447,670件は番地等を含む可能性）、口コミ投稿者 5,289件、C-MATCH 登録の中古車販売店 483,168件（代表者・担当者の氏名、電話番号、古物商許認可番号等。個人事業主は住所・引落口座情報も）、従業員等 10,673件。クレジットカードなどの決済情報・ログインパスワードは含まれない。10月21日時点で二次被害は確認されていない。10月22日13時頃から「カーセンサーnet」などのサービスを順次再開。	停止／続報
10/16	マンション管理センター／日建学院（事前確認講習システム）	3,597名（外部へ流出した可能性）	マンション管理センターが実施する事前確認講習に関連し、日建学院が運営する事前確認講習システムで第三者による不正アクセスを確認。受講者3,597名のマンション管理士登録番号、氏名、ふりがな、生年月日、住所、電話番号、メールアドレス、ログインID、受講番号、合格日、受講状況、合否情報、入金確認情報が外部へ流出した可能性がある。クレジットカード情報、銀行口座情報は含まれない。対象者には随時個別にメールで報告。	―
10/16	ゴルフダイジェスト・オンライン（GDO）	1,789件（従業員・退職者・委託先等・流出を確認）／会員55件（照会された可能性）	10月13日にセキュリティ監視ツールが不正アクセスの兆候を検知し、該当サーバーの通信を遮断。攻撃者により一部のファイルがダウンロードされ、従業員・退職者・委託先・パートナー企業の方の氏名（一部フリガナ）と社用メールアドレス1,789件の流出を確認。別のサーバー1台を経由して会員情報が照会されたことも判明し、照会された会員情報は合計55件（識別子IDのみ51件、個人情報を含むもの4件＝氏名、性別、生年月日、電話番号、メールアドレス、住所、ログインID、保有ポイントなどの可能性）。パスワード、クレジットカード番号などの決済情報の流出は現時点で確認されていない（10/16時点）。	―
10/16	STANDS（UI/UX改善サービス「Onboarding」）	件数記載なし（担当者情報が閲覧された可能性が高い）	10月14日、「Onboarding」の管理画面で第三者による不正アクセスを確認。第三者が管理者権限を利用し、複数の顧客の利用環境で設定情報の取得と一部設定の不正変更を行っていた（一部レポート情報の不正な取得操作、AIチャット機能の接続情報の取得と設定の不正変更）。管理画面に登録された担当者の氏名、メールアドレス、権限情報が閲覧された可能性が高いが、実際に取得・保存されたかは確認できていない。管理画面と AI 機能を一時停止（ガイド機能は稼働）。	停止
10/16	埼玉県警察（安否確認システム／アルカディア）	約1万3,000人（漏えいの可能性・報道ベース）	災害時の職員安否確認に利用しているシステムの運用委託先アルカディアへの不正アクセスにより、警察官・職員約1万3,000人分の氏名、所属、私用メールアドレスなどが漏えいした可能性があると報じられた（報道ベース）。	委託先経由
10/16	徳島県警察（災害時の緊急連絡システム／アルカディア）	約1,900人（漏えいの可能性・報道ベース）	（報道ベース）災害時の安否・参集確認に使っていた緊急連絡システムで、アルカディアへの不正アクセスに伴い、警察官・職員約1,900人分の氏名・所属・メールアドレスが漏えいした可能性があると四国放送が報じた。県警はシステムの利用を停止。報道時点で不正利用は確認されていない。	委託先経由
10/16	CREAVE（写真販売サービス「Snapmart」） 対象か確認する→	件数記載なし（本人確認書類画像が第三者に閲覧できる可能性）	2019年3月頃から2026年10月8日まで、クリエイターが提出した本人確認書類（運転免許証・パスポート・健康保険証・マイナンバーカード等）の画像が、保存先の設定不備により URL の直接指定で認証なしに表示できる状態だった（画像の自動削除は2021年2月に導入。それより前に提出された一部の画像は2021年2月の一括削除まで残っていたと10月20日に追記）。10月7日に確認し対応済み。2020年5月以降のアクセスログでは第三者による取得を示す記録は確認されていないが、2019年3月〜2020年5月はログがなく確認できない。メールアドレス・パスワード・口座情報などは対象外。対象者には個別メール、専用フォームを設置。	―
10/16	ジャパン・アーツ（社員の Google アカウント）	計5,376件（氏名・メールアドレスの流出を確認）	社員がフィッシングメールのリンクで認証情報を入力したことから Google アカウントに不正アクセスされ、10月13日にアカウント内の連絡先データがダウンロードされた。10月14日に社員を装ったなりすましメールが社内外へ送信されていることを検知し、同日遮断。対象は連絡先に登録されていた、または過去にやり取りのあった氏名・メールアドレス。クレジットカード情報などは対象外で、オンラインチケット会員の情報漏えいは確認されていない。	―
10/16	Astemo（データー共有クラウド環境／業務委託会社のアカウント経由）	約350名分（流出を確認・精査中）	データー共有クラウド環境へのアクセス権限を持つ業務委託会社従業員のシステムアカウントが第三者に侵害され、そのアカウントを通じた不正アクセスで同社が保有するデーターの一部が外部に流出したことを確認。流出データーには従業員・仕入先関係者・外部協力会社関係者等の個人情報約350名分（氏名・メールアドレス・電話番号・所属等の業務上の連絡先情報等）が含まれ、顧客関係者と消費者の個人情報は含まれていなかったとしている。9月17日にデーター公開を示唆する連絡があり調査。社内ネットワークへの侵害やランサムウェア感染を示す証跡は確認されていない。	委託先経由
10/16	ワサビ（EC一元管理サービス「WASABI SWITCH」）	件数調査中（利用店舗の注文情報などの流出が判明・10月17日の注文データの一部も抜き取り）	10月14日に WASABI SWITCH のシステムへ第三者による不正アクセスがあり、利用店舗の注文情報などが外部に流出したことが判明したと公表（10月15日に利用店舗から、実際の注文情報を記載し「返金手続き」を装って LINE アカウントへ誘導する不審メールが購入者に届いているとの連絡があり調査）。不審メールは流出した情報が悪用されたものと考えているとしている。10月16日午前4時頃にも別の原因による不正アクセスを確認。流出した情報の範囲は外部の専門会社と調査中。 第三報（10月17日）では、10月14日とは別の経路として、流出した管理者パスワードで一部店舗の管理画面に不正ログインし不正なプログラムを設置、10月17日の注文データの一部と、登録されたメールアカウントの情報が抜き取られ店舗の正式なメールアドレスから不審メールが送信されたことを確認。第四報（10月18日）で受注・買取・顧客情報を一時削除（保存のうえ後日返却）、第五報（10月18日）でテンプレートエンジンの PHP 機能が悪用されていたとして利用を停止し、全アカウントのパスワード強制変更と2段階認証を導入。	続報
10/16	南日本放送（イベント等のサイトのフォーム／外部サービス Studio）	計38件（外部へ流出した可能性）	ウェブサイト制作に使う外部サービス Studio のクラウド環境への不正アクセスに伴い、イベント等のサイトから送信された申込み・問い合わせデータが流出した可能性。「動き出す浮世絵展」(2024) ワークショップ応募29件、「デジタルの日 2026 in 鹿児島 DAY2」問い合わせ5件、「VISION GATE」問い合わせ2件、「MBCラジオスペシャルウィーク2026」メッセージ2件。項目は氏名、メールアドレス、電話番号、メッセージなど。二次被害は確認されていない。	委託先経由
10/16	京都市（京都市芸術文化協会への委託事業のサイト／外部サービス Studio）	計33件（漏洩した可能性）	委託事業「アート×ビジネス推進事業」相談サイトの問い合わせ（氏名・会社名・メールアドレス・電話番号・問合せ内容 30件）と「京の伝統文化体験事業」サイトの問い合わせ（氏名・メールアドレス・問合せ内容 3件）が、Studio のクラウド環境への不正アクセスにより漏洩した可能性。現時点で情報の流出は確認されていない。	委託先経由
10/16	埼玉県（さいたま緑の森博物館／外部サービス Studio）	計162件（漏えいの可能性を否定できない・10月16日時点）	同博物館で利用しているクラウドサービスの提供元 Studio 株式会社のクラウド環境で第三者による不正アクセスが発生したと、運営側から県に報告。博物館のウェブサイトでイベント申込・問い合わせにより取得した個人情報計162件について、漏えいの可能性を否定できない状況。漏えいの有無と範囲は確認中。	委託先経由
10/16	ラクスル（サービス案内用サイトのフォーム／外部サービス Studio）	6,412件（漏えいした可能性・フォーム送信件数）	外部クラウドサービス Studio への不正アクセスに伴い、各種サービスの案内用サイトに設置したお問い合わせ・お見積り・資料請求・セミナー申込み等のフォームに入力された情報（2024年6月3日〜2026年10月15日）が漏えいした可能性。項目は氏名、所属先組織、電話番号、メールアドレス、相談内容・予算などの入力内容。件数はフォーム送信件数で人数とは一致しない場合がある。印刷通販サイト「ラクスル」の会員情報・注文情報・支払い情報は対象外。第三者による実際の取得は確認されていない。	委託先経由
10/16	Luup（LUUP のWebサイトのフォーム／外部サービス Studio）	合計2万1,368件（流出した可能性・同じ方の複数回送信を含む）	Webサイト制作に使う Studio のクラウド環境への不正アクセスに伴い、ポート設置リクエストフォーム（2022年5月〜2024年5月）、Unimo に関するお問い合わせフォーム（2025年8月〜12月）、改正道路交通法に関するご質問フォーム（2023年3月〜2025年10月）などから送信された情報が流出した可能性。項目は氏名、連絡先（メールアドレス・電話番号）、住所、会社名・部署名など。LUUPアプリの登録情報は別システムで管理しており対象外。第三者による実際の取得は確認されていない。	委託先経由
10/16	Studio株式会社（Webサイト制作サービス「Studio」）	件数精査中（全登録顧客の情報が流出した可能性）	一部機能の脆弱性を悪用した第三者が、同社が利用するクラウド環境に不正アクセスし、環境内のデータを外部から取得できる状態にしていた（不正アクセスは9月30日〜10月1日、10月13日に確認、10月14日までに対処）。実際に取得された事実は確認できていないが、取得されたものとみなして対応。すべての登録顧客について、アカウント情報（ユーザー名・メールアドレス・ハッシュ化されたパスワードなど）、フォームに送信された内容、CMS・デザインデータ、API連携のキーやトークンなどが流出した可能性。Studio で作ったサイトのフォームを使っていた企業・自治体が個別に影響を公表している（LUUP・ラクスル・Link-Uグループ・埼玉県・京都市・南日本放送などは別行）。	―
10/16	NTTソルマーレ（電子書籍ストア「コミックシーモア」） 対象か確認する→	会員データベース319件・システムログ最大約420万件（重複を含む可能性）	10月15日、コミックシーモアのサーバーに外部からの不正なアクセスが行われた可能性が高いと判断し、午前11時35分にサービスを停止（読み放題・レビュー・シーモア島を含む全機能。本棚アプリにダウンロード済みの作品は閲覧可能）。10月16日、会員情報を管理するシステムへの不正アクセスで、会員情報が第三者へ流出したことを確認したと公表。流出した項目はメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームで、クレジットカード情報は対象システムで保有しておらず流出していない。購入履歴の流出、MY本棚の流出・消失・欠損は現時点で確認されていない。サービス再開時に全会員にパスワードの再設定を求める予定。10/18 第3報で原因を特定、10/21 第4報で件数確定＝①会員DB 319件（メールアドレス・ハッシュ化パスワード・ニックネーム・生年月日・性別）②システムログ 最大約420万件（メールアドレス・ニックネーム・生年月日・性別）。該当者にメールで連絡。窓口はコミックシーモア サポートセンター（info@nttsolmare.com）。再開時期は未定（購入済み作品のWEB閲覧・読み放題閲覧を最優先）。月額は停止期間中基本的に引き落としなし、失効ポイントの再付与とお詫びを検討。 10月29日の第5報で、10月15日から停止していたサービスを一部機能に限定して再開（購入済み作品・読み放題のWEBブラウザでの閲覧、会員情報の変更、月額メニュー・読み放題の解約申請。利用にはパスワードの再発行が必要）。本棚アプリ（近日再開予定）、作品・ポイントの購入（決済手段ごとに順次再開予定）、新刊自動購入、サイト退会などは未再開。	停止／続報
10/16	三菱ガス化学（業務委託先 T4C）	2,093名（退職者2,092名・従業員1名）	人事関連システム導入業務の委託先T4Cの従業員が、9月16日、委託業務に関する資料を他社宛ての電子メールに誤って添付し送信した。資料には2005年10月31日から2025年7月31日までに退職した全員（2,092名）と現従業員1名の氏名および社員番号が含まれていた。送信先で開封されることなく削除されたことを同日中に確認しており、二次被害は確認されていない。個人データの漏えい等が発生したおそれがあったものとして、10月15日に個人情報保護委員会へ報告。	委託先経由／内部要因
10/16	Link-Uグループ（コーポレートサイト／外部サービス Studio）	7,663件（漏えいの可能性・10月16日時点）	コーポレートサイトの制作・運用に利用している外部サービス「Studio」で不正アクセスが発生し、提供元のStudio株式会社から連絡を受けたと公表。お問い合わせフォームを通じて取得した個人情報について漏えいの可能性を否定できず、漏えいの有無と対象情報の範囲は確認中。影響は同社と連結子会社のコーポレートサイトに限られ、グループが運営する各サービスへの影響はないとしている。	委託先経由
10/16	三井住友DSアセットマネジメント（三井住友DS投信直販ネット）	件数の公表なし（マイページの一時停止）	取引委託業者のシステムで第三者による不正アクセスを検知し、予防的措置としてシステムを停止したため、10月15日19時50分頃から10月16日6時00分頃までマイページにログインできない状況が発生したと公表。現在は復旧しており、現時点で口座情報や取引への影響は確認されていないとしている。	委託先経由／停止
10/16	岩井コスモ証券（インターネット取引／委託先 トレードワークス）	4,975名（漏洩・10/20 第2報で364名追加）	インターネット取引のシステム運用・保守を委託しているトレードワークスのシステムが第三者による不正アクセスを受け、一部のインターネット取引の顧客情報（氏名、メールアドレス他）が外部へ漏洩したと公表。10月14日に不正アクセスを検知し、アクセス制限等の緊急措置を実施。トレードワークスは原因を同社システムの一部の管理機能の設定不備と説明し、管理機能を通じてパスワードが取得されたことは確認されていないとしている。対象者には個別に報告済み。 10月20日の第2報で、通信記録の再精査により新たに364名の漏洩が判明し計4,975名に（前回の不正アクセスの際に生じていたもの）。取引暗証番号は含まれない。10月14日には売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が発注（うち5口座で約定）されたが、取引前の状態に戻す措置を完了し顧客の負担は生じていないとしている。	委託先経由／続報
10/16	日本経済新聞社（システム開発用クラウドサービス）	約183万件（うち氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むもの約15万件）	システム開発に利用するクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏洩したと公表。認証情報が何らかの手段で窃取され、7日未明から朝にかけて不正アクセスを受けた。氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むもの約12万件）、単体では個人を特定できない識別子のみが約168万件。クレジットカード情報は含まれない。11日に個人情報保護委員会へ報告。10月4日公表の別件（20261004 の行）とは対象システム・時期が異なる。	―
10/16	ファンケル・アテニア（ECサイト） 対象か確認する→	計83万4,947件（ファンケル会員39万3,785件・アテニア会員44万1,162件の合計）	10月15日の内部調査で、10月3日から10月10日までの間にファンケルとアテニアのECサイトが不正アクセスを受けていたことが判明し、会員情報が漏えいしたと公表（ファンケル会員 393,785件・368,184名、アテニア会員 441,162件・417,312名。合計は2社の件数の和）。対象はメールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレスとそのパスワード（ハッシュ化されたもの）、本人認証質問項目（回答は含まない）、ポイント情報などの会員登録情報。メインのパスワードとクレジットカードなどの決済情報は対象外。	―
10/15	エムスリー（製薬企業向けサービス「MR君」）	漏えいを確認 2万5,775名＋製薬企業担当者 2,260名（第2報・10/23）	10月14日に「MR君」のシステムへの第三者による不正アクセスを確認し、10月15日に一部の医師会員と製薬企業担当者の情報の漏えいを公表。10月23日の第2報で、m3.com 会員等 25,775名（氏名・勤務先・一部の方のメールアドレス〔6名〕・一部サービスの利用に関する情報・製薬企業が登録していた担当関係等）と製薬企業の担当者 2,260名（氏名・勤務先・一部の方のメールアドレス〔264名〕）の漏えいを確認。ログインパスワード・m3ポイントは含まれず、クレジットカード番号は保持していない。不特定多数への公開・不正利用は確認されていない。	続報
10/15	日本生命病院（ニッセイ訪問看護ステーション）	計253名分（閲覧された可能性）	9月19日、訪問看護ステーションの職員がインターネット閲覧用パソコンに表示された偽の警告に従って操作し（サポート詐欺）、当該パソコンと職員個人のスマートフォンを通じて第三者に端末内の情報を閲覧された可能性を否定できない状況にあることが判明した。対象は利用者194名（氏名、お住まいの区、医療依存度・認知機能の状況・介護度・緊急時の搬送方法等）、連携機関職員14名、2018年当時の役員12名、関係職員33名。マイナンバーや金融機関口座、クレジットカード情報は含まれていない。閲覧・持ち出しの事実や不正利用は確認されておらず、当該パソコンは電子カルテ等の医療情報システムに接続されていない。	―
10/15	小田原市（防災メールなど災害情報配信システム5サービス）	約2万3,230件（防災メール約2万1,600件・電話配信約210件・FAX約50件・熱中症警戒アラート約270件・職員参集用メール約1,100件の合計・漏えいした可能性）	アルカディアが提供する「SpeeCAN RAIDEN」に不正アクセスがあり、登録者の個人情報が漏えいした可能性があるとシステム提供事業者から報告。市のシステムに不正なプログラムの設定がないことを確認したため、各サービスは通常どおり稼働	委託先経由
10/15	北海道釧路市（委託先 ポータス）	3万1,233件（令和2年・7年・8年分の児童生徒・教職員・管理者アカウントの合計）	市立小中学校の学習用端末の管理運用を委託する事業者の社内サーバーがランサムウェア攻撃を受け、児童生徒と教職員の学習用アカウント情報（学校名、氏名、アカウント名、パスワード等）と、全39校分の管理用パスワードが外部に流出した可能性を否定できないとの報告があった。住所、生年月日、成績などは含まれていない。	委託先経由／ランサムウェア
10/15	内藤証券（委託先 大和総研）	最大631名	大和総研に委託するインターネット取引システムのWebサーバーが10月14日早朝に不正アクセスを受け、ログイン中の利用者の状態を一時保持するデータベースから顧客情報が漏えいした可能性。対象は氏名、住所、電話番号、証券口座番号、勤務先、出金先口座など。	委託先経由
10/15	工房（発車オーライネット）	最大8,341件（対象人数5,614件・いずれも最終確認中）	バスチケット予約ポータルサイト「発車オーライネット」の外部取引先連携用APIサーバーが第三者の不正アクセスを受け、予約情報の一部が流出したことが判明。対象は利用日時が2026年7月16日〜11月29日の一部の予約で、カタカナ予約名、電話番号、予約バス情報が含まれる。	―
10/15	ACCESS（台湾子会社 ACCESS AP TAIWAN「CROS」）	お客様ID 15万5,280件（受注ID 23万1,998件・クレジットカード情報 1,305アカウント）	子会社が海外進出EC事業者向けに提供する業務支援サービス「CROS」に第三者が不正アクセスし、取引先が運営する通販の利用者の個人情報が外部に流出したことが判明。クレジットカード情報1,305アカウント分も漏洩し、窃取されたメール送信サービスの鍵情報を使って不正メール1万1,441件が送信された。	―
10/15	ビューティガレージ（ビューティガレージ・アイラッシュガレージ ECサイト）	77万5,725件	ECサイトのサーバーに10月10日から12日にかけて不正侵入があり、10月10日23時55分時点で保存されていたお客様情報が外部に流出（10月13日に検知し同日遮断）。漏洩が確認された主な項目は会社名、サロン名、お客様名、営業形態、サロンURL、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値。住所・配送先情報、購入履歴、クレジットカード情報を含む決済情報の漏洩は現時点で確認されていない。 10月20日のアイラッシュガレージ第2報で、第1報公表時点で不正アクセス経路の遮断と監視体制の強化を完了しており、ECサイトは通常どおり利用できると公表。	―
10/15	ビーケー・ジャパン（バーガーキング公式アプリ） 対象か確認する→	約1,118万件	公式アプリの会員情報を管理するシステムに10月2日から7日にかけて第三者による不正アクセスがあり、会員情報が漏えいしたことが10月13日に判明。漏えいした項目は会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は保持しておらず漏えいなし、ログインパスワードの漏えいは現在確認されていない。	―
10/15	ソースネクスト 対象か確認する→	2,251万9,960件（流出した可能性）	第三者が10月9日10時頃から会員情報取得APIを不正に利用し、会員情報を取得したことが判明（10月13日に確認し同日13時36分までに封じ込め）。流出した可能性がある項目はメールアドレス、パスワード、氏名・氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名など。クレジットカード情報は対象システムに保存されておらず対象外。FAQ の更新で、対象会員のパスワードは「無効化」、10月16日に第三者調査を開始し所轄警察署へ相談と記載。	―
10/14	岡崎市（おかざき防災緊急メール・学校情報メール配信システムほか／提供元 アルカディア「SpeeCAN RAIDEN」）	約3万7,000件＋保護者等 約3万人分＋約2,400件（漏えいした可能性・10/14 15時時点）	情報配信システムの提供元アルカディアのシステムへの不正アクセスで、登録情報が漏えいした可能性が判明。おかざき防災緊急メール 約37,000件（メールアドレス・電話番号・ファクス番号・氏名）、学校情報メール配信システム 市立小中学校の児童生徒約30,000人の保護者等（氏名・メールアドレス）、消防のメール指令用配信サービス 約2,400件（メールアドレス・電話番号）。提供元アルカディアの事案は別行。	委託先経由
10/14	静岡市（静岡市防災メール・認知症しずメールほか）	計4万3,030人（漏えいが判明）＋730人（漏えいの有無を確認中）	メール配信サービス等の運営委託先アルカディアへの不正アクセスで、「静岡市防災メール」（市民3万4,336人のメールアドレス・市職員6,915人の氏名・職員番号・所属名）と「静岡市認知症しずメール」（1,779人のメールアドレス）の登録者情報が漏えいしたことが判明。「静岡市電話発信サービス」（市民21人）と「清水病院緊急連絡システム」（市職員709人）も漏えいの可能性があり確認中。防災メールの送信元アドレスを悪用したなりすましメールを確認している。	委託先経由
10/14	大分市（大分市防災メールなど4区分）	件数は公表なし（防災メール・電話/FAX配信・職員参集システム・自治委員連絡メールの登録者情報が漏えいした可能性）	「大分市防災メール」等を配信するアルカディアのシステムに第三者による不正アクセスがあり、個人情報が漏えいした可能性。侵入経路をふさぐ応急措置が講じられ、市の配信システムへの影響を調査中	委託先経由
10/14	豊川市（とよかわ安心メール）	3万6,328件（市民3万2,576件・市職員3,752件の合計、令和8年10月1日時点・漏えいした可能性）	「とよかわ安心メール」（SpeeCAN RAIDEN）の運営会社アルカディアから、第三者による不正アクセスで個人情報が漏えいした可能性があると報告。運営会社が侵入経路の遮断とサービスの緊急停止を行い、影響の有無と範囲を調査中	委託先経由／停止
10/14	千葉市（ちばし安全・安心メールなど4サービス）	延べ7万5,747件（4サービスの登録者数の合計・漏えいした可能性）	情報配信システム「SpeeCAN RAIDEN」（アルカディア）への第三者による不正アクセスで、氏名・電話番号・FAX番号・メールアドレス等が漏えいした可能性。実際の漏えいと不正利用は確認されておらず、侵入経路は遮断済みのためサービスは継続	委託先経由
10/14	マツダ（CLUB MAZDA COMMUNITY／委託先 コミューン）	最大4,103名（従業員を含む）	コミュニティサイト「CLUB MAZDA COMMUNITY」の運営委託先コミューンのプラットフォーム「Commune」が不正アクセスを受け、会員と運営担当従業員の情報が外部から閲覧・取得された可能性。対象は会員ID、アカウント名、メールアドレス、性別、居住地（都道府県）、購買・利用状況履歴など。	委託先経由
10/14	株式会社ピーチ・ジョン（メールマガジン）	件数記載なし（一部のお客様のメールアドレスが漏えいした可能性）	メールマガジン配信サービス提供事業者が利用するIDCフロンティア社で発生した不正アクセスに伴い、一部の顧客のメールアドレスが漏えいした可能性があると公表。漏えいした可能性がある情報はメールアドレスのみで、氏名、住所、電話番号、クレジットカード番号等は当該サービスで利用しておらず対象外としている。サービス提供事業者で調査中。メールマガジン配信は安全性が確認されるまで停止。	委託先経由／IDCF経由／停止
10/14	株式会社日テレWands（ファンコミュニケーションサービス「FaveConnect」）	11万7,392件（閲覧された可能性のあるアカウント件数・2サービス合計）	FaveConnect管理画面への不正ログインで、2026年10月11日から13日の間に「高嶺のなでしこオフィシャルファンクラブ」「HEROINES OFFICIAL WEBSITE」の会員と退会後6ヶ月以内の元会員の情報を閲覧した形跡を確認。対象は氏名、メールアドレス、住所、電話番号、職業、生年月日、性別、ニックネーム等。DBサーバーへの直接侵入は確認されず、決済情報は含まれない。	―
10/14	株式会社マウスコンピューター（メールマガジン）	メールアドレス 約42万件（漏えいした可能性）	メールマガジン配信業務の委託先事業者から、配信機能の一部で利用している株式会社IDCフロンティアのクラウド基盤で不正アクセスが発生したとの報告を受けた。漏えいした可能性があるのはメールアドレス約42万件と、2026年9月5日から10月6日までの同アドレス宛てのメール配信記録。漏えいの事実は確認されていない。注文・決済情報は対象の基盤に保存されていない。配信は一時停止。	委託先経由／IDCF経由／停止
10/14	Lili運営事務局（マッチングサイト「Lili」）	最大約9万8,256名（流出した可能性・うち本人確認書類の画像 最大7,261名／ほかにお問い合わせフォーム利用者 最大1,364件）	サーバーが第三者の不正アクセスを受け、2026年7月11日から10月6日まで侵入され、会員のパスワードを読み取るプログラムが設置されていた。会員（退会者含む）のメールアドレス、パスワード、生年月日等のプロフィール、サイト内メッセージ、ログイン時のIPアドレス、本人確認書類の画像が流出した可能性。クレジットカード情報は対象外。	―
10/14	株式会社イズミ（ゆめオンライン・ゆめデリバリー）	約40万件（最大・漏えいの可能性）	メールマガジン配信の委託先が利用する株式会社IDCフロンティアから、同社クラウドサービスの一部システムで第三者によるランサムウェア攻撃が発生したと連絡を受けた。当該環境に、ゆめオンライン・ゆめデリバリーのメールマガジン配信に使う顧客の氏名とメールアドレスが保管されていた。漏えい・不正利用は確認されておらず、情報は暗号化されている。住所、電話番号、クレジットカード番号などは対象外。	委託先経由／IDCF経由／ランサムウェア
10/14	アエナ（ECアプリ） 対象か確認する→	最大81万7,215人（会員マイページを閲覧された可能性）	ECアプリへの第三者の不正アクセスで、10月13日5時58分にシステムログ解析から会員マイページの不正閲覧が判明。原因は機械的な連続アクセスとしている。閲覧の可能性がある項目は氏名・フリガナ・住所・電話番号・メールアドレス・生年月日・性別・職業、お届け先（第三者宛を含む）、カード下4桁・有効期限・名義、設定情報（お気に入り店舗・メール配信設定）。10月16日に退会専用ページを開設。ECアプリは10月19日正午に再開し、初回起動時にパスワードの変更（再設定）を求めている。カード番号全桁・セキュリティコード・パスワードは流出なし。LINE会員等は対象外。	―
10/13	座間市（いさまメール）	件数は公表なし（登録者数は約1万1,000人・漏洩した件数は確定しておらず調査中）	いさまメールの配信委託先であるアルカディアの配信サービスSpeeCAN RAIDENが不正アクセスを受け、委託先から個人情報が漏洩した可能性があるとの報告を受けた。漏洩したおそれのある情報は、いさまメール登録者（約11,000人）のメールアドレスと、座間市職員安否参集確認システム登録者（約900人）の氏名、所属、メールアドレス。漏洩した件数と詳細な範囲は確定しておらず、2つのサービスを停止している。個人情報保護委員会へ報告済み。	委託先経由／停止
10/13	佐世保市（防災情報メール・道路冠水情報メール）	件数は公表なし（登録者のメールアドレスが漏えいした可能性）	メール配信サービスを運営するアルカディアの「SpeeCAN RAIDEN」に第三者による不正アクセスがあり、個人情報が漏えいした可能性。事業者が詳細を調査中。10/15には、クレジットカード会社を装う不審メールが届いたとの市民からの連絡を追記	委託先経由
10/13	函館市（ANSINメール）	件数は公表なし（登録メールアドレスが漏えいした可能性・事業者が調査中）	ANSINメールの配信に使用するアルカディアのシステムに第三者による不正アクセスがあり、10/13 11時からサービスが緊急停止（その後復旧し配信再開）。登録メールアドレスが漏えいした可能性を事業者が調査中。10/16 市公表（消防本部）: 委託事業者アルカディアへの不正アクセスで、災害等メール配信システム（119RAIDEN）の氏名・メールアドレス・FAX番号、NET119緊急通報システムの氏名・メールアドレス・生年月日・性別・住所・FAX番号・電話番号が漏洩した可能性（両システムは通常に運用）	委託先経由／停止
10/13	下関市（防災メール・NET119緊急通報システム）	防災メール登録約1万5,000件（漏えいした可能性・調査中）。別途NET119登録者50人	防災メール配信システム（SpeeCAN RAIDEN）のシステム業者が不正アクセスを受け、防災メールを10/13から緊急停止（10/15再開）。消防局はNET119緊急通報システムでも業者の不正アクセスで登録者50人の個人情報が漏えいした可能性があると10/14に公表	委託先経由／停止
10/13	横須賀市（防災情報メール・よこすか防犯あんしんメールほか）	4サービス計5万8,920人（市の公表はサービス別・漏洩した可能性）	委託先アルカディアの配信システム「SpeeCAN RAIDEN」への不正アクセス（10/11）。防災情報メール47,065人と防犯あんしんメール10,848人のメールアドレス、防災FAX 996人・防災電話 11人の氏名・電話番号・FAX番号など。件数と範囲は確定しておらず、不審な迷惑メールの着信を確認。4サービスを停止	委託先経由／停止
10/13	スカパーJSAT（スカパー！メンバーズ会員向けメール）	件数記載なし（メールアドレス漏えいの可能性）	一部で利用する IDCフロンティアのクラウド基盤への不正アクセスが原因と公表。スカパー！メンバーズ会員（一部退会者含む）のメールアドレスが対象で、一部プロモーションメールが配信できない状態。氏名・住所・電話番号・カード番号は対象外としている	IDCF経由／停止
10/13	佐賀市（さがんメール）	件数は公表なし（影響範囲は調査中）	さがんメール等のサービス提供事業者が第三者による不正アクセスを受け、登録されたメールアドレスなどの個人情報が漏えいした可能性があるため、市は安全措置として、さがん電話・さがんファックスを含むさがんメール等の配信を停止した。漏えいの有無や影響範囲は調査中。アルカディア（SpeeCAN RAIDEN）への不正アクセスによる。10月15日、アルカディアが安全性が確保されたとして15時を目途にサービスを再開すると公表したことに伴い、市もさがんメール等を順次運用再開（アルカディアは調査を継続中）。（市の公表ページは2026-10-24時点で掲載終了）	委託先経由／停止
10/13	ライドオンエクスプレスHD（銀のさら・釜寅・すし上等） 対象か確認する→	最大約650万件（漏えいした可能性のある総件数・確定ではない）	10/5以降、利用するサーバーへの第三者による不正アクセスを検知。10/7にサーバー運営会社がランサムウェア攻撃を受け、公式サイト・アプリを停止（10/7第1報・10/8第2報）。10/13第3報で、氏名・住所・電話番号・メールアドレス・性別・生年月日・パスワードのハッシュ値・注文履歴・デリポイント会員IDなどが漏えいした可能性。漏えいの明確な痕跡や範囲の特定には至っていない。クレジットカード情報は保有していないとしている	委託先経由／ランサムウェア／停止
10/13	NTT ExCパートナー（LStep）	最大約9万件（メールアドレス漏えいの可能性）	10月7日、クラウド型学習管理システム「LStep」で利用するメール配信サービスに障害が発生し、提供事業者から同社が利用するIDCフロンティア社のサービス環境で第三者による不正アクセスがあったと報告を受けた。対象はメールアドレスのみで、氏名・住所・電話番号・メール本文・添付・パスワード・学習履歴は対象外。漏えいの事実は現時点で確認されていない。	委託先経由／IDCF経由
10/13	NEXT STAGE（Qualiz・ACRO5）	最大約4万件（漏えいの可能性）	社内業務で利用するMetabase社のBIツールで、不正アカウントから同社サービスのデータベースを検索できる状態にあったことが10月9日に発覚（期間は9月22日〜10月9日）。漏えいの可能性があるのは取引先と認定現場監査士の氏名・電話番号・メールアドレスで、旧GenKan-NS/TeiKan-NSは認証情報、監査士は住所・生年月日・資格・血液型も含む。カード・口座情報等は含まれない。	―
10/13	宮崎県（防災・防犯情報メール）	登録者のメールアドレス等3万8,959件（漏えいした可能性・有無と範囲は確認中）	NECネッツエスアイとの業務委託でアルカディアが運用するシステムに第三者が不正アクセス。件数は登録件数で、県利用者情報の漏えいの有無と範囲は確認中	委託先経由
10/13	唐津市（唐津市情報メール配信サービス）	件数は公表なし	唐津市情報メール配信サービスの委託先システム会社が第三者による不正アクセスを受け、登録者のメールアドレス等の個人情報が外部に流出した可能性がある。市は安全性が確認されるまでの間、10月13日17時から新規会員登録を停止した。アルカディア（SpeeCAN RAIDEN）への不正アクセスによる。	委託先経由
10/13	香川県（防災情報メール・職員安否確認システム）	約2万5,566件（防災情報メールの登録メールアドレス・令和8年10月5日時点・漏洩した可能性）	香川県防災情報システムの「防災情報メール」等を運営する事業者が第三者による不正アクセスを受け、登録メールアドレス約25,566件と、県・市町の「職員安否確認システム」の職員名・メールアドレス・職員番号・所属など（登録数は調査中）が漏洩した可能性がある。10月13日11時から配信サービスを緊急停止した。アルカディア（SpeeCAN RAIDEN）への不正アクセスによる。	委託先経由／停止
10/13	JR九州フードサービス（トイポアプリ）	約2万6,900名（会員登録約6万1,500名のうち・漏えいしたことが判明）	アプリ提供元トイポのシステムで、一部のAPIに他のユーザー情報を取得できるアクセス制御上の脆弱性があり不正アクセス（トイポは10/4に確認）。ユーザーID・電話番号のほか、任意登録の氏名・性別・メールアドレス・住所・生年月日。パスワード・決済情報・購買履歴は含まれないとしている	委託先経由
10/13	上越市（上越市安全メール）	件数は公表なし（影響範囲は調査中）	上越市安全メールの配信に使う防災情報配信サービス「SpeeCAN RAIDEN」が不正アクセスを受け、個人情報漏洩の可能性がある。対象は一般市民のメールアドレス、消防団員の氏名・メールアドレス・電話番号など、市職員の氏名・メールアドレス・職員番号・所属など。アルカディア（SpeeCAN RAIDEN）への不正アクセスによる。	委託先経由
10/13	日本郵便（JP Business Tool Box）	最大4,807件（閲覧された可能性）	アプリケーションの不具合で、送り状注文機能に登録された発注元情報（法人名・部署名・担当者名・郵便番号・お届け先住所・電話番号・メールアドレス）を他の利用者が閲覧できる状態だった。10/8夜にサービスを停止し10/9に一部再開。ダウンロードや利用の形跡は確認されていないとしている	停止／内部要因
10/13	Fivot（キャッシュレスアプリ IDARE） 対象か確認する→	12万9,659人（漏えいが判明・退会者を含む）	カスタマーサポート等のために導入していた外部ソフトウェアの脆弱性を悪用され、8/10〜9/27に複数回データベースの情報が取得された。全対象者の電話番号・メールアドレス・生年月日・残高情報・取引履歴・カード名義など、一部の対象者は氏名・住所・本人確認書類の番号などの本人確認時の申請内容も。本人確認書類の画像・パスワード・マイナンバー・カード全桁は含まれないとしている。10/21 第二報: 不正な取引は確認されず、残高の不正利用などの被害が生じた場合は補償制度に基づき損害を補償。第三者調査の取りまとめは11月下旬〜12月上旬頃の見込みで、完了時に報告書を公表。	委託先経由／続報
10/13	東日本三菱自動車販売	件数調査中（なりすましメール825件を送信）	社員の Microsoft 365 アカウントに第三者が不正にログインしたとみられ、なりすましメール825件が送信された。送信先のメールアドレスや氏名が漏えいしたほか、過去のメール内容が閲覧可能な状況となった可能性	―
10/13	DCM（マイボ／マイボフェローズ）	419人分（漏えいを確認・精査中）	会員情報を管理するシステムに第三者による不正アクセス（9/21に多数のアクセス、10/8に判明）。会員番号・メールアドレス・会員ステータス・保有ポイント数など。氏名・住所・電話番号・パスワード・カード情報は含まれないとしている。10/9からマイボアプリの全サービスを停止	停止
10/13	綾瀬市（あやせ安全・安心メール）	登録済み利用者1万1,053名（漏洩した可能性）	委託先アルカディアが運営するメール配信サービスに第三者による不正アクセス（10/11）。市民のメールアドレス・地区（自治会別）、市職員は氏名も。10/15 第2報でアルカディアから復旧の連絡があり、市は安全性を確認後に運用を再開するとしている。10/21 第3報で、危機管理・災害情報、行方不明者情報及び火災情報は市公式LINEで配信できるようになった	委託先経由／停止
10/13	アルカディア（SpeeCAN RAIDEN・ライデン・スクール） 対象か確認する→	メールアドレス最大約313万6,000件・電話番号約10万5,000件・FAX番号約1万5,000件（推定値・漏洩の可能性）	自治体・企業向けの一斉配信システムに第三者による不正アクセス（10/11に不審な挙動を確認）。登録された連絡先の名前・メールアドレス・電話/FAX番号と、配信履歴の本文が対象。10/13に侵入経路が判明し、SpeeCAN RAIDEN（raiden3）とライデン・スクール（s2）を緊急停止。決済情報は取り扱っていないとしている。利用自治体の公表は宮崎県・横須賀市・綾瀬市の各行を参照。10/14 に NET119・119RAIDEN でも漏洩の可能性を追加（2サービス計で約13000件・メールアドレス約97000件ほか・推定）。10/19 の経過説明（第12報）で、添付ファイル公開用メディアサーバーのディレクトリパストラバーサルにより設定ファイル内のサービス間ログイン用シークレットキーが取得されたこと、データベースの改ざん、不正なプログラムから外部へ配信されたメールの総数が1,423,428（多くはクレジットカード会社からの残高確認のような内容でフィッシング詐欺が疑われる）であることを公表。10/15 15時10分に全サービス復旧。個人情報漏洩の可能性の調査と具体的な数値の特定にはなお時間を要する見通し。10/16 の第11報で NET119 は「9,020件のメールアドレスに紐づく上記個人情報」と公表（要配慮個人情報の漏洩はないことを確認）。10/21 の第17報で、不正メール1,423,428通のうち少なくとも869,575通は同社が保有するメールアドレスへの配信ではないと公表し、外部機関でダークウェブ調査を行うとした。10/22 の第19報で外部システムからのAPI連携機能を停止（10/24 時点で解除の告知なし）、第20・22報でログイン時2段階認証の利用を求めた。10/23 の報告書で、影響範囲を「全サービスが漏えい可能性の対象（NET119・119RAIDEN・社内会計サブシステムのDBにも痕跡）」とし、10/12 15:20 に個人情報保護委員会へ速報したとした。	停止／続報
10/13	秋田市（防災ネットあきた）	件数は公表なし（調査中）	防災情報提供システム「防災ネットあきた」の運用管理委託業者で10月11日に第三者による不正アクセスが確認され、登録者のメールアドレスのほか、一部の登録者の電話番号・ファクス番号・住所が外部に漏えいした可能性がある。不特定多数への公開や不正利用は確認されていない。アルカディア（SpeeCAN RAIDEN）への不正アクセスによる。	委託先経由
10/13	赤武エンジニアリング	従業員125件・取引先担当者1万1,587件（漏えいのおそれ・2区分の合計）	8/10にランサムウェア被害を確認（8/13第1弾）。10/13の最終報で、攻撃者が管理者権限を不正に取得しサーバ内にランサムウェアを配布したと考えられるとした。従業員の氏名・住所・生年月日・電話番号・メールアドレス・マイナンバー（暗号化して保存）、取引先担当者の氏名・電話番号・メールアドレス。外部送信の明確な痕跡は確認されていないが、窃取の可能性は否定できないとしている	ランサムウェア／停止
10/9	ZENB JAPAN（ZENB GARDEN）	897名の漏えいを確認（最大で全会員949名）	外部サービス（コミューン）への不正アクセス。メールアドレス・性別・ニックネーム・アカウント名・自己紹介文などのプロフィール情報。氏名・住所・電話番号・決済情報は取得しておらず、パスワードの漏えいもなし	委託先経由
10/9	ヤマハ（ヤマハネットワークエンジニア会）	約1,600名分	委託先コミューンのサーバーへの不正アクセス。YNE 登録者のメールアドレス・表示名・アカウント名・自己紹介・アイコン・所属グループが漏えい	委託先経由
10/9	スズキ（スズキヴィレッジ）	約3,000名分（可能性）	委託先「Commune」への不正アクセス。メールアドレス・ニックネーム・参加日・性別・年代・居住地（都道府県）・所有車名が閲覧・取得された可能性	委託先経由
10/9	アドベンチャー（skyticket） 対象か確認する→	約1,464万件（第2報でカード情報 最大6,140名の流出が判明）	サーバーへの不正アクセス（10/2〜4）で氏名・生年月日・住所・電話・メール・ハッシュ化パスワード（約413万件）など。別途、業務管理システムの返金先口座情報1万7,780件（流出または流出のおそれ）、バス予約情報約1.2万件（閲覧または閲覧のおそれ）。10/16の第2報で、2017年2月〜2018年6月に「skyticketプレミアム」会費をカードで支払った最大6,140名のカード番号・名義・有効期限（一部は番号のみ、セキュリティコードは含まず）が、サーバーに残っていた旧決済ログから流出したと公表し、第1報の「カード番号は流出した情報に含まれていない」を訂正。会員特典ベネフィット・ステーションの会員ID・氏名・パスワード（暗号化済みだが読み取られるおそれ）も流出。会費以外の旧決済のカード情報の残存は確認中。パスポート画像は対象外	続報
10/9	Sansan（Sansan User Forum）	漏えい確認1,325名・可能性8,687名	委託先「Commune」への不正アクセス。確認分はメールアドレス・アカウント名・自己紹介・プロフィール画像・グループ所属情報、可能性分はメールアドレスを含まない。パスワードは含まれない。Sansan・Bill One・Contract One・Eight は影響なし	委託先経由
10/9	リゾートトラスト	約2万6千件＋約3万6千件（漏えいを確認）	ウェブサイトへの不正アクセス（10/5夜）。一部のグループ会員の情報約2万6千件と、ザ・カハラホテル＆リゾート 横浜の予約者の情報約3万6千件の漏えいを確認。利用履歴・医療情報・クレジットカード情報・銀行口座情報・メールアドレス・本人確認書類等は含まれない	―
10/9	Peach Aviation	―	メール配信システムのサーバーが一時停止（報道ベース・公式発表は未確認）	停止
10/9	大田区立伊豆高原学園（伊豆高原学園PFI）	69件（10/6時点判明分・閲覧または取得の可能性）	予約管理システム「手間いらず」への不正アクセス（9/21深夜）の影響。10/6に利用者から不審メールの連絡で判明。8/23〜9/21のWeb予約の氏名・電話番号・メールアドレス・宿泊予約情報（施設名・チェックイン/アウト日・宿泊金額）が第三者に閲覧または取得された可能性。口座情報・要配慮情報・区立小学校の移動教室の児童の情報は漏えいしていないとしている	委託先経由
10/9	森永乳業（マウントカフェ部）	291名（推定・可能性）	委託先システム「Commune」への不正アクセス。メールアドレス・表示名・ユーザー名・自己紹介・所属グループ・ポイント等の会員一覧情報が閲覧・取得された可能性	委託先経由
10/9	LIXIL（すまいひろば・猫壁ひろば）	件数記載なし（可能性）	委託先コミューンの「Commune」への外部からの不正アクセス（10/6ごろ確認）。登録されている場合のニックネーム・アカウント名・メールアドレス・プロフィール情報・獲得ポイント・最終ログイン日時が漏えいの可能性。住所・決済情報は保有していない	委託先経由
10/9	LINEヤフー（DS.INSIGHT の DS.LAB）	1,750名（可能性）	委託先「Commune」への不正アクセス。DS.LAB 利用者のニックネーム・アカウント名・氏名・自己紹介・メールアドレス等が閲覧・取得された可能性	委託先経由
10/9	湖池屋（湖池屋 GOGO！ランド）	最大1,800件	委託先コミューンのシステムへの不正アクセスで管理者権限が不正利用され、メールアドレス・ニックネーム・アカウント名・自己紹介・ポイント・カスタムプロフィール項目等が漏えい。カード情報・氏名・住所・電話番号は保有していない	委託先経由
10/9	どっぷり高知旅キャンペーン推進委員会（高知の知）	全会員358人分	高知県観光ファンサイト（Commune）への不正アクセス。メールアドレス・ニックネーム・アカウント名・年齢・性別・自己紹介・ポイント等	委託先経由
10/9	キッセイ商事（キッセイ薬品工業グループ）	件数記載なし（流出の可能性を否定できない・要配慮個人情報等を含む）	キッセイ薬品工業とキッセイ商事が連名で公表。10月7日21時50分頃、キッセイ商事の関係者宛てに第三者からデータ窃取と今後の連絡手段を通知するメールが送られ、不正アクセスを確認した。流出の可能性を否定できない状況で、流出した可能性のある情報には要配慮個人情報等の機微な情報が含まれるとしている。システム障害はなく業務に支障は生じていない。	―
10/9	JR九州（JR九州 Web会員） 対象か確認する→	最大約130万件（可能性）→10月15日の続報で漏えいの事実は確認されず	IDCフロンティアで発生した不正アクセスに伴い、電子メールアドレスを含むメールログデータが閲覧・取得された可能性。氏名・住所・電話番号・クレジットカード番号等は漏えいの可能性なし。JR九州メールマガジンは配信できない状態。10月15日の続報で、10月14日に IDCフロンティア社の調査の結果として個人情報漏えいの事実は確認されなかった旨の報告を受けたと公表。漏えいの可能性があった利用者には、漏えいの事実は確認されなかった旨のメールを順次送るとしている。メールマガジンは配信できない状況が続いている（10月15日時点）。IDCF は10/14 第5報で「外部へのデータの流出はなかったと判断」、10/18 第6報でバックアップサービスを再開。JR九州の最新の公表は10/15の続報（10/25 確認時点で続報なし）。	IDCF経由／停止／続報
10/9	JR東日本（えきねっと・大人の休日倶楽部・ビューカードなど） 対象か確認する→	えきねっと約167万件（最大）・大人の休日倶楽部約39万件（最大）・VIEW’s NET 約403万件（公式は合計を公表せず）（10/9 公表時の件数・10/15 に漏えいなしの報告）	IDCフロンティアで発生した不正アクセスに伴い、会員向けメール配信用の外部サービスからメールアドレス等が漏えいした可能性（経路の詳細は公式発表に記載なし）。えきねっと約167万件（メールアドレス）、大人の休日倶楽部約39万件（メール・会員番号・生年月日・カード有効期限）、ビューカード VIEW’s NET 約403万件（メールアドレス・別発表）。メール配信の一部も停止。10/15、JR東日本・ビューカードとも、メール配信用外部サービス会社から「漏えいがなかったと判断した」との報告を受けたと更新（えきねっと・大人の休日倶楽部の個人情報、VIEW’s NET のメールアドレス）。IDCF も 10/14 第5報で外部へのデータの流出はなかったと判断。	IDCF経由／停止／続報
10/9	日本能率協会マネジメントセンター（時間〈とき〉ラボ）	2,950名	コミュニティサービス「Commune」経由の不正アクセス。表示名・ユーザー名・メールアドレス・プロフィール情報（氏名・住所・年齢・電話番号を含む）の漏洩を確認。2026年5月12日のリニューアル後の登録者が対象	委託先経由
10/9	H.B.P HOTEL（大阪市住之江区）	件数記載なし（漏えいを確認）	利用を終えた宿泊管理システムの提供会社で、システム内に残っていた旧方式のログイン情報が不正に使用された（9/18夜〜9/19夕方）。2020/11/30〜2025/9/5の宿泊・予約客の氏名・メールアドレス・電話番号・住所・生年月日・国籍など。クレジットカード情報は含まれないとしている	委託先経由
10/9	ディップ（バイトル・バイトルNEXT） 対象か確認する→	最大388万5,771件（可能性）	Webサイトの一部機能の仕様の不備を突いた海外からの不正アクセス（10/6確認）。漏えいした可能性があるのはメールアドレスのみで、氏名・電話番号・パスワード・クレジットカード情報等は含まれない	―
10/9	コミューン（Commune）	約30.7万人（推計）	非公開コミュニティの招待リンクを不正取得して登録し、管理者になりすまして会員情報を閲覧・取得。内訳はメールアドレスを含む情報が約12.6万人（うち同社従業員・他社テスト用デモアカウント計約4.2万人）、含まない情報が約18.1万人	―
10/9	ココナラ（ココナラスキルマーケット）	2,294件（履歴書449件・職務経歴書関連書類1,845件・漏洩を確認）	10/8 に第三者による不正アクセスを検知・遮断したが再度アクセスされ、履歴書・職務経歴書を登録した会員の一部の個人情報が外部に漏洩した事実を確認。クレジットカード情報・各種パスワード等は対象外。不特定多数への公開や不正利用は確認されていない	―
10/9	ちとせグループ（ちとせアカデミー）	最大843名（可能性）	コミュニティシステム「Commune」への不正アクセス。氏名・フリガナ・性別・メールアドレス・プロフィール情報・サイト内の利用状況が閲覧・取得された可能性（会員ごとに項目は異なる）。ログインパスワードは閲覧・取得されていない	委託先経由
10/9	カルビー（絶品部「やめられない、とまらない」課）	件数記載なし（閲覧・取得を確認）	ファンサイトで利用する「Commune」への外部からの不正アクセス。10/5時点で登録されていたメールアドレス・表示名・ユーザー名・自己紹介・プロフィール項目・所属グループが閲覧・取得されたことが判明。パスワードの漏えいは確認されず、生年月日・住所・電話番号・カード情報は取得していない。サービス停止中	委託先経由
10/9	ブックオフグループHD 対象か確認する→	会員番号ベース642万7,735件・638万3,279人（外部への送信を確認・退会会員21万2,371人を含む）	子会社の会員管理システムへの不正アクセス。10/9第1報は最大約643万件（可能性）、10/13第2報で10/4〜6に外部から取得されたことを確認し件数を確定。対象はアプリ・オンラインストア・Web会員（会員カードのみは対象外）。氏名・生年月日・性別・職業・ニックネーム・住所・電話・メール・ハッシュ化パスワード・ポイントカード番号・会員番号。決済情報・口座・本人確認書類は含まれないとしている。10/15から個別メール。10/16 の訂正で漏えい項目に職業・ニックネームを追加（件数は変更なし）。個別メール（送信元 bookoff@2902.net）は10/22に送信完了。10/22に専用フリーダイヤル0120-300-663（10:00〜18:30・年中無休）を開設し、10/23に会員サイトのWEB照会機能を追加。	続報
10/9	バンダイナムコエクスペリエンス（湾岸ミッドナイト アーケードポータル）	件数記載なし（可能性）	システム基盤の「Commune」への外部からの不正アクセス。メールアドレス・ニックネーム・アカウント名・自己紹介・プロフィール項目・所属グループ・ポイント・最終アクティブ日時が漏洩した可能性	委託先経由
10/8	ウイングアーク1st（nest Portal）	約1,200名（現時点の推定）	ユーザー向け交流サイト（Commune）への不正アクセス。企業名・役職・氏名・フリガナ・メールアドレス・住所等の登録情報（現時点の推定・調査中）	委託先経由
10/8	VALX（FUN コミュニティ）	2,950名分（推定）	委託先「Commune」のシステム上の複数の不備を悪用し、攻撃者が管理者になりすまして会員一覧情報（会員3,813名のうち）を閲覧・取得した可能性	委託先経由
10/8	ソリトンシステムズ（Soliton SecureDesktop）	―	IDCFクラウド障害で一部のSecureDesktop Centerが停止。同じ基盤のバックアップも利用不可で別環境に再構築	IDCF経由／停止
10/8	シックス・アパート（Movable Type クラウド版）	31台	IDCFクラウド障害で管理画面と公開サイトが停止。バックアップから別クラウドへ移行中	IDCF経由／停止
10/8	滋賀県	3サイト	委託先経由で使うIDCFクラウド上の3サイトに閲覧障害	IDCF経由／停止
10/8	大手前病院	調査中	メールアカウントへの不正アクセスで職員等の個人情報が漏えいの可能性（患者情報は対象外）	―
10/8	オリックス生命保険 対象か確認する→	約2万6,500件（同一のお客さまの複数回の問い合わせを含む・可能性）	公式サイトのお問い合わせ管理に利用する委託先スカラコミュニケーションズへの不正アクセス。氏名・生年月日・住所・電話番号・メールアドレス・証券番号・お問い合わせ内容（申告された医療情報等を含む）が漏えいした可能性。マイナンバーやクレジットカード番号等は含まれない。同社システムへの不正アクセスは確認されていない	委託先経由
10/8	オフィシャル（光回線事業者）（報道ベース）	―	社員2人が競合他社の顧客マイページに不正アクセスし、契約情報を乗り換え営業に利用した疑いで逮捕	内部要因
10/8	ユーザベース（NewsPicks）	項目別最大の合算 約117万件（公式に合計の記載なし・重複あり）	業務用管理ツールへの不正アクセス。10/9第2報で内訳公表：カード名義・下3〜4桁約36.2万件、メールアドレス約32.3万件、役職約27.3万件、勤務先約6.5万件、氏名約5.9万件など（重複あり）。パスワードの漏えいはなし	―
10/8	ローソン 対象か確認する→	215万5,345件	「ローソンID」（9/12〜9/14）と「ローソンアプリ予約」（9/17）への不正アクセス。ローソンID 215万5,345件（氏名・生年月日・性別・電話番号・住所〔プレゼント応募などで入力した場合〕）・アプリ予約26件（氏名・電話番号・クレジットカード番号の一部）。漏えいを確認（可能性ではない）。10/24 追記で、詳細調査の結果「メールアドレス」「メルマガ取得情報」は漏えいしておらず「生年月日」が漏えいの可能性と訂正。アプリ予約の機能を停止し、10/19 に再開。10/13 更新で案内メールの送信元アドレスを追記。10/26 の追記で、ローソンアプリ予約の店舗検索サービスを運営する委託先で不正アクセスを検知し店舗検索機能を停止（新規の店舗選択での予約は不可・MY店舗登録済みは予約可・当社のシステムやお客様情報への影響はないとしている）。	停止／続報
10/8	小平市	調査中	HP保守委託先のクラウド基盤がランサムウェア攻撃を受け、住民情報漏えいのおそれ	委託先経由／ランサムウェア
10/8	インフォメックス松本（名古屋電機工業の連結子会社）	―（システム障害・情報流出の有無は確認中）	10月7日未明にシステム障害が発生し、受発注業務等の一部に支障が生じている。基幹システムのサービス提供事業者が利用するデータセンターが第三者によるランサムウェア攻撃を受けたことによるものと、当該事業者から報告を受けたとしている。基幹システムに保存された情報の外部流出の有無は提供会社を通じて確認中で、復旧の見通しは立っていない。親会社の名古屋電機工業も同日に同内容を公表。	委託先経由／ランサムウェア／停止
10/8	アズマ（雑貨通販 hitmart）	件数記載なし（漏えいのおそれ）	同一サーバー上に残していた使用終了済みの別サイトに、4/7の自動アップデートで不正なプログラム（バックドア）が混入（同社は「サプライチェーン攻撃」と表現）。9/29までの会員・注文客の氏名・住所・電話番号・メールアドレス・生年月日・注文履歴・暗号化パスワードなど。クレジットカード情報は含まれないとしている	―
10/8	ハイホー	3万8,509件（契約単位）	電話勧誘でログイン情報を聞き出し本人になりすまして不正ログイン	―
10/8	第一興商 対象か確認する→	約872万4,000件（漏えいのおそれ・速報値・従業員約9.3万件を含む）	委託先・日本コロムビアグループの従業員端末がマルウェア感染。ビッグエコーなどの顧客情報。10/26 の追記で、影響を受けた可能性のある顧客へ SMS 等で個別連絡を順次実施（送信元 05036052572〔ドコモ・au・楽天〕／247473〔ソフトバンク〕・SMS 送信は新たな漏えいの確認を意味しない・実際の外部への漏えいと不正利用は確認されていない）。	委託先経由
10/8	千葉西総合病院	―	看護師が夜間勤務中に患者が映る動画を撮影し、3人のグループ内で共有。動画がX上に投稿されているとの連絡で判明。個人情報が漏洩した患者の家族へ報告・謝罪（10/9第2報）。10/10第3報で、撮影・作成・投稿に関与した2人を解雇、閲覧のみの1人を厳重注意（人事指導）としたと公表	内部要因
10/8	青森県（青森びいき）	最大2,950人（想定最大人数）	管理・運営事業者コミューンのサーバーへの不正アクセスで、管理者アカウント経由で会員情報が閲覧。メールアドレス・ニックネーム・居住都道府県・年代・性別・会員ID等が閲覧された可能性（会員数15,847人）	委託先経由
10/8	八十二長野銀行	個人34名・法人627社・関係機関11機関（漏えいの可能性・第2報）	10月7日、過去に業務上の接点があった海外企業を騙るフィッシングメール（正規の認証機能を悪用する手口）を受けた職員1名が認証操作を行い、メールアカウントが第三者から不正アクセスを受けた（同日中に遮断）。第1報（10/8）は流出した可能性のあるメールアドレス35名。第2報（10/19）で漏えいの可能性がある範囲を個人34名（氏名・勤務先名・電話番号・メールアドレス）、法人取引先627社（社名・海外拠点名531社、取引に関する情報96社）、その他関係機関11機関（機関名等・メールアドレス数35）と特定。口座情報・暗証番号等の漏えいは確認されていない。	続報
10/7	戸田建設	従業員4,778名分・取引先担当者のメールアドレス最大7,200件・取引データ最大6,000件（漏洩が判明）	取引先への支払いを管理するシステム等への外部からの不正アクセスを10/5に検知し、10/1〜5に情報漏洩の形跡を確認。従業員の氏名・住所・電話番号・メールアドレス・所属部署と、取引先担当者のメールアドレス・取引データが外部に漏洩したと公表。公開・不正利用の事実は確認されていないとしている	―
10/7	損害保険ジャパン	延べ約6万件（問い合わせ単位・重複を含む・可能性）	ドラレコ「SMILING ROAD」問い合わせ対応の委託先スカラコミュニケーションズのサーバーへの不正アクセス。氏名・電話番号・住所・メールアドレス・勤務先に関する情報・ドライバーID等が漏えいした可能性。口座・クレジットカード・マイナンバーカード情報は含まれない	委託先経由
10/7	埼玉県（渋沢MIX）	約2,200名	渋沢MIXの管理システムへの不正アクセス。会員申請を受け付けた約2,200名の氏名やメールアドレス等が記載された一覧が閲覧され、うち3名はさらに詳細な情報も閲覧。登録情報の一部が改ざんされ、メールが送信されていた	―
10/7	ポピンズグループ	―	IDCFクラウド障害で一部業務システムと予約・スタッフ手配が利用不可（別基盤で一部再開）	IDCF経由／停止
10/7	セレス（ポイントインカム）	195件	不正アクセスで会員88件・従業員等107件が閲覧された可能性	―
10/7	日水物流（ニッスイグループ）	個人情報・顧客情報は含まれず	委託先の株式会社IDCフロンティアが第三者による不正アクセスを受けたことに伴うシステム障害で、日水物流の全拠点で入出荷業務ができなくなった。10月9日に一部を再開し、IDCフロンティア以外のサーバーで新たなシステムを構築中で、来週中（10月14日発表時点）に全拠点で通常稼働の見通し。被害サーバーに個人情報や顧客情報は含まれない。	IDCF経由／停止
10/7	IDCフロンティア（IDCFクラウド）	利用495社・自治体	東日本リージョン1の一部（4ゾーン）にランサムウェア攻撃（10/7未明）。「IDCFクラウド障害の影響を公表した組織」の各社のほか、仮想サーバーが停止・暗号化された。利用企業でも障害が発生し、Peach（格安航空会社）はメール配信が停止。10月27日の第7報で一連の調査が完了したと公表: 原因は「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性で、仮想サーバー内のデータの外部への流出はなかった。ポータルでは最大71社の登録情報に不正な照会があり、うち個人名や個人名を含む可能性があるメールアドレスなどが最大31社（31件）、ログインパスワードの不正変更が最大4件（リセット済み・個別連絡済み）。照会された情報の外部持ち出しの痕跡は確認されていない。ポータルは外部から遮断して停止中で、安全性を確認のうえ再開予定。影響を受けた495の企業・自治体には個別に連絡し、代替環境への移行やバックアップデータの取り出しを支援している。	委託先経由／ランサムウェア／続報
10/7	エイチ・アイ・エス	最大627名（流出した可能性）	タイ現地法人のファイルサーバーへの不正アクセス（2025/12/11検知）。パスポート情報（氏名・性別・生年月日・旅券番号・有効期限等）とアレルギー情報が流出した可能性。電話番号・住所・メールアドレス・クレジットカード情報は含まれないとしている	―
10/7	大英産業（Grand Inn Canalside）・委託先ホテリエ	7,919人（ホテリエ運営の8施設合計・流出を確認）	宿泊管理システムへの、旧運営会社からの引継ぎ時に把握されていなかったアカウントを通じた不正アクセス（9/14検知）。Grand Inn Canalside を含む8施設で、Webサイトから予約したお客様の氏名・電話番号・メールアドレス・国籍・宿泊日・施設名・宿泊料金等の予約情報の流出を確認（対象期間 2026/4/8〜9/14）。住所・クレジットカード情報・パスポート情報は含まれない	委託先経由
10/7	サイバー大学	―	IDCFクラウド障害で履修登録・授業料支払い・シラバス閲覧に障害	IDCF経由／停止
10/6	小池酸素工業	件数は公表なし（漏えいのおそれとして個人情報保護委員会へ報告）	10月5日にサイバー攻撃の可能性を認識し、10月6日に公表。10月8日の第2報で一部サーバーに不正アクセスが疑われる痕跡を確認し社内ネットワークを切断、データが漏えいしたことは認識しているが内容は確認中とした。10月15日の第3報で、流出した疑いのある情報の電子ファイルがインターネット上で公開されていることを確認（内容や範囲は調査中）、被害サーバーの一部に個人情報が保管されていたため個人情報保護委員会へ漏えいのおそれがある事案として報告。一部システムに障害が発生し、一部業務に支障が出ている。	停止
10/6	山口大学	967件	教職員メールアカウントがフィッシングで乗っ取られ、連絡先を取得される	―
10/6	気象キャスターネットワーク	最大1万5,959件	Webサイトへの不正アクセス。サイト改ざんも確認	―
10/6	スカラコミュニケーションズ（FAQシステム「i-ask」）	最大71万3,126件（問い合わせ単位・可能性）	10/2 20時30分頃〜10/3 8時頃、第三者が「i-ask」の管理サイトにログインし不正なプログラムを設置。利用企業最大5社のお問い合わせ情報（氏名・メールアドレス・お問い合わせ内容等。項目は利用企業により異なる）が漏えいした可能性。件数は問い合わせ単位で、人数は精査中。大和証券・シチズン時計・損害保険ジャパン・オリックス生命が自社の影響を公表	委託先経由
10/6	リゾーツ琉球（ホテルリゾートイン石垣島）	17,170人	宿泊管理システムへの不正アクセス。パスポート画像234人分を含む	―
10/6	楽天ドライブ	1万5,382アカウント	管理用アカウントの認証情報を不正取得され、保存データを含む情報が漏えい	―
10/6	ニモカ（nimoca）	521件（漏えいを確認）	10月4日0時頃から17時40分まで、利用履歴照会サービスへの第三者による不正アクセス（公開WEBサービスへの攻撃）により、一部の利用者の登録メールアドレス宛てに登録情報の一部を含むメールがサービスから自動送信され、個人情報521件が漏えい。項目はnimocaのカード番号、生年月日、サービスに登録されたメールアドレスで、氏名、住所、電話番号、性別、利用履歴の漏えいは確認されていない。同日17時40分から利用履歴照会サービスを停止（nimocaカードは通常どおり利用可）。不特定多数への公開や不正利用は確認されていない。	―
10/6	ミスターマックス	最大173万5,154人（流出の可能性がある最大数）	アプリ・オンラインストアのサーバーへの不正アクセスで会員情報が流出した可能性	―
10/6	シチズン時計	約10万名分（可能性）	お問い合わせ受付に利用する委託先スカラコミュニケーションズへの不正アクセス。氏名・住所・電話番号・メールアドレス等が漏えいした可能性（問い合わせ内容欄に口座情報やクレジットカード情報を記載した場合はそれらも）	委託先経由
10/6	cinra（CINRA JOB）	2万1,508人	プログラムの脆弱性悪用で認証情報を取得される（最終報）	続報
10/6	旭化成セラピューティクス（Pharma DIGITAL）	最大約51万4,000名（医療従事者）	医療関係者向けサイト「Pharma DIGITAL」に連携する会員データベースがサイバー攻撃による不正アクセスを受け、個人情報が閲覧または取得された可能性。運営・情報管理の委託先である医薬情報ネットから報告を受けた。対象は医療従事者最大約51万4,000名（うち約4万4,000名はメールアドレス等も）と従業員約700名。	委託先経由
10/6	アクティブ（冷凍食品）	最大5万4,916件	通販サイトへの攻撃で顧客・受注情報が漏えいの可能性	―
10/5	物語コーポレーション（焼肉きんぐ） 対象か確認する→	1,078万8,963件	公式アプリ会員管理システムへの不正アクセス。アプリ登録者のほぼ全員の会員番号・氏名・メール・電話番号。10月20日の続報で、攻撃は10月2日朝9時から断続的に受けたこと、警察へ届け出済みであること、グループ11アプリを氏名・電話番号を持たない仕組みへ移行予定（2027年上半期）と公表。	―
10/5	ホワイトエッセンス	約105万アカウント	予約サイトの脆弱性を悪用され基幹システムにも不正アクセス	―
10/5	大阪公立大学	調査中	ランサムウェア攻撃で約500台のサーバー停止。バックアップの多くも暗号化され、10/2〜8は全授業休講	ランサムウェア／停止
10/5	i-plug（OfferBox）	31万4,009人（理論上の最大値）	システム設定不備で学生の氏名・メールアドレスが閲覧可能な状態に	内部要因
10/5	くふうカンパニー	調査中	「くふう まちトークβ版」への不正アクセスで一部利用者の情報が漏えい	―
10/5	GMOリサーチ&AI（infoQ） 対象か確認する→	89万4,082件（外部への持ち出しを確定・10月14日時点）	アンケートサイト「infoQ」が、当社サイトで使用していたソフトウェアの脆弱性を悪用した第三者の不正アクセスを受け、会員の氏名・フリガナ・性別・生年月日・メールアドレス・住所・電話番号・パスワード（暗号化されたもの）・会員ID等が外部に持ち出された。第2報で件数を89万4,082件に確定（第1報は最大94万8,498件）。ポイントの不正交換（交換件数611件・計2,869,500円）は全額を補填。10月7日に全会員のパスワードを無効化。サービスは10月3日から停止中	続報
10/5	トラストバンク（ふるさとチョイス）	254件（別の利用者のブラウザ上で閲覧可能な状態）	システムの不具合により、Amazon Pay を利用した寄付手続き（2025年11月13日〜2026年9月7日）で、他の利用者が入力した個人情報が別の利用者の画面上に表示される可能性があった。閲覧可能な状態となった件数は254件で、氏名、住所、電話番号、メールアドレス、お礼の品の配送先情報等が漏えいした可能性。Amazon Pay による寄付受付を一時停止し、システムの修正を完了	内部要因
10/5	大和証券	約22万件（うち約11万名の個人情報・可能性）	問い合わせ管理に利用する委託先スカラコミュニケーションズのサーバーへの不正アクセス（10/2〜3）。約11万名の氏名・メールアドレス・口座番号等の情報が漏洩した可能性。個人を特定できる情報の無い問い合わせ等を合算すると約22万件。同社システムへの不正アクセスは確認されていない	委託先経由
10/5	大起水産（大起水産公式アプリ）	17万4,933人（退会者を含む・漏えいした可能性）	「大起水産公式アプリ」のシステムが第三者による不正アクセスを受け、2024年11月〜2026年9月15日の登録者の氏名・電話番号・メールアドレス・住所等が漏えいした可能性。実際の漏えいと不正利用は確認されていない	―
10/4	日経BP	26件（漏えいした恐れ）	従業員のメールアカウントへの不正アクセス（9/30判明）。日本経済新聞社社員のメールアドレスから届いたフィッシングメールで認証情報を入手された。個人名・メールアドレス26件が漏えいした恐れ	―
10/4	日本経済新聞社	1,646人分（漏洩した可能性）	社員のMicrosoft 365アカウントへの不正ログインで、9/30に社内や取材先へ悪性サイトへ誘導するなりすましメール約9,000件を送信（送信先のメールアドレスや氏名、一部メールの内容が漏洩したとみられる）。同日、別途Google Workspaceアカウントへの不正ログイン（7月下旬以降）で、社員や取引先などのメールアドレスや氏名など1,646人分が漏洩した疑いがあると公表（読者や取材先は含まないとしている）	―
10/2	ヤマト運輸 対象か確認する→	約526万件（利用者の情報・うちメールアドレスを含むもの約49万件）／お届け先の情報 約5万件／加盟店の情報 約4,100件	「クロネコ代金後払いサービス」が9月28日に第三者による不正アクセスを受け、同日22時28分にサービスを停止（10月9日13時に再開）。10月16日の第4報で、調査の結果、一部の情報が不正に持ち出されたことが判明したと公表。利用者の情報 約526万件（2018年10月1日〜2026年9月28日・氏名、住所、電話番号、メールアドレス、商品明細、申込番号・受注日・与信番号などの社内管理用情報。メールアドレスを含むものは約49万件）、お届け先の情報 約5万件（2021年2月5日〜・氏名、住所、電話番号、送り状番号）、加盟店の情報 約4,100件（加盟店名・加盟店コード）。クレジットカード情報・パスワード情報は含まれない。第2報で挙げた「請求金額」「債権残高」「当社社員の氏名」は不正な持ち出しは確認されなかった。対象者には順次個別に連絡するとしている。個人情報保護委員会へ報告済み。	停止／続報
10/2	ムーンスター	最大59万3千人（漏洩の可能性）	システムサーバーへの不正アクセスで、オンラインストア利用者の氏名・住所・電話番号・メールアドレス・過去のご注文情報が漏洩した可能性（3月に不正アクセスを認識し公表、10月2日の第2報で漏洩の可能性を公表）。10月15日の第3報で、2026年5月14日から19日にかけて漏洩した可能性が高いこと、対象が最大59万3千人で、楽天市場・Yahoo!ショッピング・Amazon（閉店）など8店舗の利用者であることを公表。クレジットカード情報とECサイトのログインパスワードはサーバーに保存されておらず対象外。一部の顧客になりすましのフィッシングメールが届いたことを確認。	続報
10/2	JOGMEC	約8,500件（役職員約1,100件・機構外約7,400件のメールアドレス・漏えいの可能性）	情報システムへの不正アクセスで役職員・外部のメールアドレスが漏えいのおそれ	―
10/2	ジャパンタイムズ	調査中	グループ会社サーバーへの不正アクセス。ランサムウェアグループEclipseが犯行声明	ランサムウェア
10/2	日本エネルギー経済研究所	調査中	所員6名のMicrosoft 365アカウントへの不正アクセス。パスポートを含む個人情報漏えいのおそれ	―
10/2	グリーンコープ生協ふくおか	3万3,526件	車上荒らしで業務用PCが盗難。端末内に個人情報を保存	内部要因
10/2	第一ライフグループ	約12万名	人事システムへの不正アクセスで従業員・退職者の情報が流出か	―
10/2	アバハウスインターナショナル	調査中	社内システムへの不正アクセス。実際の注文内容と一致する「返金」詐欺メールも確認	―
10/1	佐川急便 対象か確認する→	最大約5,323万件（流出した可能性・重複を含む件数・実人数ではない）	「お荷物問い合わせサービス」への不正アクセス（9/30確認）。10月23日の第5報で、流出した可能性のある個人情報を、重複を一定程度整理したうえで現時点で最大約5,323万件（重複を含む件数で、対象となる方の実人数を示すものではない）と公表。対象は①送り状データ（2026年6月21日〜9月30日の約100日間）のご依頼主・お届け先の氏名・住所・電話番号、②運賃契約を締結している顧客の契約者情報（氏名・住所・電話番号）、③「スマートクラブ」会員情報（氏名・住所・電話番号・メールアドレス・会員ID）。手書きの送り状の荷物は対象外。クレジットカード情報・パスワードは含まれない。区分別件数は非公表。二次被害は現時点で確認されていない。同日「お荷物問い合わせサービス」を再開（飛脚宅配便受付など一部サービスは停止継続）。	停止／続報
10/1	スターツ出版（オズモール）	最大44万2,779名	海外からの大量アクセスで会員情報漏えいのおそれ。退会者も対象（第2報）	―
10/1	日本原子力研究開発機構	175人	JRR-3外部利用者向けサイトへの不正アクセス。身分証・健康診断結果・マイナンバーを含む	―

2026年9月：33件

公表日	組織	件数	概要	タグ
9/30	VOISING	約17万件	BIツールの既知脆弱性を悪用され漏えい（第4報）	続報
9/30	修道学園	調査中	サーバーへの不正アクセスで広島修道大学・修道中高などの個人情報・口座情報に漏えいのおそれ	―
9/30	日本トレクス	流出未確認	9/8の不正アクセスで停止していた業務を再開	停止
9/30	関西国際大学	調査中	不正アクセス後に学内ネットワークを停止、10月中旬以降の段階的再開を目指す	停止
9/30	ジー・プラン（Gポイント）	調査中	システム異常の検知後にシステムを停止、再開時期は未定	停止
9/29	TOPPAN（損保ジャパン契約者）	17万7,426名（重複を含む可能性あり）	受託する保険料控除証明書発行サービスの運用業務で、損保ジャパンの契約者情報（カナ氏名・保険料控除用証券番号・業務ID）を他の損害保険会社1社へ誤送付（手作業の誤操作）。送付先で廃棄・完全削除済み	委託先経由／内部要因
9/29	セイコーマート	57万4,647人分	スマートフォンアプリのサーバーを経由して会員情報を保有するサーバーに第三者が不正アクセス。10/5の第四報で、アプリに登録したことがあるクラブ会員のうち574,647人分が対象と公表（第一報は約57万アカウント）。	―
9/29	クオカード	調査中	LINE公式アカウントのキャンペーンシステムへの不正アクセスで表示名・当選情報が流出の可能性	―
9/29	イープラス	1,463件	スマチケ払戻し管理システムへの不正アクセス、751件は口座情報を含む	―
9/28	Lean on Me（Special Learning・Special Shift／データ分析ツール Metabase）	8万2,723人（個人データの取得を確認・確報）	利用していたデータ分析ツール「Metabase」の脆弱性を悪用した第三者の不正アクセスにより、「Special Learning」「Special Shift」の利用者・トライアル利用者・解約者の情報（所属法人・事業所・氏名・メールアドレス、ハッシュ化されたパスワード、LINE ID）と、Metabaseに連携していたSalesforce上の顧客情報（氏名・メールアドレス・電話番号・勤務先情報・商談状況・契約状況など）が対象と9月28日に公表。10月27日の確報で、取得された個人データの本人の数は82,723人と確認し、レポート機能に記載された内容の一部に要配慮個人情報が含まれていたと公表（10月26日に個人情報保護委員会へ確報を提出）。脆弱性を修正した版への更新、不正に作成されたアカウントの削除、APIキーの無効化を実施。	続報
9/28	東京メトロ「メトポ」	約5.9万件	会員向けサービスへの不正アクセスでメールアドレスが漏えいの可能性	―
9/28	手間いらず（TEMAIRAZU） 対象か確認する→	最大で約445万人（閲覧または取得の可能性）	宿泊施設向け予約管理システムへの不正アクセス。9/21に予約者宛ての不審メッセージの連絡で判明し、9/28に公表。10/9の適時開示で、予約者の氏名・電話番号・メールアドレス等の連絡先、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金等を含む宿泊予約情報が第三者に閲覧または取得された可能性を確認と公表。クレジットカード情報は保有していないとしている	委託先経由
9/28	集英社「HAPPY PLUS COMMUNITY」	2,835人	CMSの設定不備から特権アカウントを不正作成	―
9/28	パーク24（タイムズカー） 対象か確認する→	662万8,007件（外部送信の痕跡を確認・本人確認書類画像は146万4,800件）	タイムズカーのWebシステムへの不正アクセス（9/25検知）。10月23日、フォレンジック調査の完了を受けて調査結果を公表（第5報）。原因はWebシステムに存在した脆弱性の悪用。攻撃者によりアクセスされ外部送信された痕跡が確認されたものは、氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報が6,628,007件。暗号化された本人確認書類の画像は、外部送信の痕跡が確認されたもの1,464,800件、アクセスされたが外部送信の痕跡が確認されなかったもの891,602件（計2,356,402件。従来は約160万件に漏えいのおそれと公表）。ハッシュ化されたパスワード4件、連携サービスIDは4件（従来の9件から訂正・WESTER IDは0件）。タイムズクラブWebシステムへの不正アクセスも確認（タイムズクラブカード番号19,510件、連携サービスID 135,436件など）。クレジットカード番号全桁とセキュリティコードは保持していない。本人確認書類画像の外部送信の痕跡が確認された顧客に3,000円相当の現金または金券のお見舞い（方法は検討中）、保有する本人確認書類画像は2026年10月末までに削除。特別損失55億円を計上する見込み。	続報
9/27	スターツ出版（オズモール）	最大44万7,610名分	第1報。会員メールアドレスなどが漏えいの可能性（10/1第2報で最大44万2,779名に修正）	―
9/26	ニッポンレンタカー	41名（9/26 公表）＋55名（10/1 公表・別手法の不正アクセス・重複の有無は記載なし）	「ニッポンレンタカーアプリ」への不正アクセスで会員情報が閲覧されたおそれ（一部カード番号下4桁も）。10月1日、調査の過程で9月19日〜21日に異なる手法による別の不正アクセスがあったことを確認し、55名の会員情報ページへの不正なアクセスを公表。閲覧された可能性があるのは氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報で、登録者は運転免許証情報（免許証番号・住所・生年月日）、カード番号下4桁と名義人名も対象。	続報
9/26	京王グループ	調査中	グループサーバーへのランサムウェア攻撃、営業システムに障害し一部予約を停止（鉄道運行は影響なし）	ランサムウェア／停止
9/25	日本郵便（国際郵便物の調査請求Web受付サービス）	約600件（第三者による閲覧が可能な状態）	9月25日15時頃、国際郵便物の調査請求Web受付サービスで使用するサーバへの外部からの不正アクセスの可能性が発覚し、受付を一時停止した。10月16日の続報で、申請時に登録された顧客情報約600件（差出人・受取人の氏名、住所、電話番号、メールアドレス、お問い合わせ番号、郵便種別・料金、差出郵便局など）が第三者による閲覧が可能な状態にあったことが判明したと公表。実際に閲覧が行われたかは確認できておらず、不正に利用された形跡は確認されていない。同サービスのメールアカウントからスパムメールが送信されていたが、送信先に登録情報が利用されていないことは確認したとしている。	停止／続報
9/25	東洋紡せんい	―	従業員メールアカウントが乗っ取られ社内外へ約1,500件のフィッシングメール（9/30東洋紡エムシーにも拡大）	―
9/25	スマレジEC	4社の顧客環境	管理画面ログイン機能の脆弱性悪用。連携アプリ経由の漏えいも	委託先経由
9/25	佐賀大学	―	ランサムウェアで事務部門のNASが暗号化。事務用端末を停止し9/27に再開	ランサムウェア／停止
9/25	日本郵便	19人分・69件	「郵便局アプリ」への不正アクセスで顧客情報を不正取得。同日公表の国際郵便物の調査請求Web受付の件は別行	停止
9/25	ファインズ	153万6,322件	予約システムへの不正アクセス	―
9/24	池上通信機	調査中	サーバーのファイルが暗号化され、社内ネットワークの切断が継続	ランサムウェア／停止
9/24	EPARK リラク＆エステ	約2,218万レコード	予約・顧客管理基盤「PeakManager」への不正アクセス（7/31第1報）。第2報で約2,218万レコードの外部転送を確認、備考欄に健康状態など要配慮個人情報を含む	―
9/20	GMOインターネット（ConoHa WING）	426アカウント	収容ホストへの不正アクセスと不正プログラム設置（侵入は9/3から）	―
9/18	PFU	最大16万9,355件（注文データ件数・人数ではない）	Eストアー「ショップサーブ」への不正アクセスで旧ECサイトの注文データが対象	委託先経由
9/16	Helpfeel（Gyazo） 対象か確認する→	約2,362万件	画像アップロードサーバーの脆弱性悪用。データ約2,362万件（アカウント数）・画像メタデータ約4.9億件（9/16第一報）、削除済み画像のメタデータ約1.74億件（9/25第二報）。9/27にサービス再開。10/21 第三報（最終報告）で、133名のユーザーが保存していた一部の画像432件が第三者に閲覧・取得されたと判明（対象者へ個別連絡済み）。原因は動画等の変換処理の脆弱性でサプライチェーン攻撃ではないと説明。案内メールは9/20から順次送付、削除済み画像メタデータの対象約5.7万アカウントへ順次メール。京都府警察に相談。	続報
9/15	ムラウチドットコム	771万6,811件	Webシステムの脆弱性から侵入され顧客情報を外部へ持ち出し（第2報）	―
9/11	ハルメクホールディングス（HALMEK up）	個人情報が外部に流出した痕跡は発見されず	9月9日にWEBサイト「HALMEK up」管理画面への不正アクセスの痕跡を確認し、社員1名のID・パスワードが不正に利用されたものと特定してパスワードを変更、個人情報保護委員会へ報告した（9月11日公表）。9月10日から12日にかけて、サイトに設置されていた不審なプログラムを全て削除。10月15日の最終報で、フォレンジック調査の結果、6月13日・8月7日・9月2日・9月3日・9月9日の計5回の不正アクセスが確認されたが、サーバー上のファイルを閲覧・取得・外部へ転送したことを示す痕跡は確認されず、個人情報が外部に流出した痕跡は発見されなかったとしている。	続報
9/11	デジタル庁（GSS）	約24.6万件	VPN機器の脆弱性を悪用され、政府職員らの個人情報が漏えいの可能性	―
9/10	ロート製薬	調査中	通販システムへの不正アクセス（調査中・9/15続報）	―
9/4	キングジム	調査中	Eストアー「ショップサーブ」への不正アクセスで過去のEC利用者の個人情報が漏えい	委託先経由

2026年8月：19件

公表日	組織	件数	概要	タグ
8/30	まんだらけ	調査中	サーバーへの不正アクセスで通販利用者の情報が漏えいの可能性。通販・オークションサイトを停止	停止
8/28	イエローハット	179万7,124名様分	WEB作業予約システムへの不正プログラムによる攻撃。8月28日の第一報は最大180万1,499名様分の漏えいの可能性だったが、10月15日の第二報で、第三者調査機関のフォレンジック調査により179万7,124名様分の顧客データが外部へ流出したことを確認したと公表。漏えい項目は氏名、住所、生年月日、性別、電話番号、メールアドレス、会員番号、ログインID、パスワード（復元できない状態）で、住所・生年月日・性別・ログインID・パスワードは第一報以降に追加で確認された。クレジットカード情報は当システムで保持しておらず漏えいなし。	続報
8/28	T&K TOKA	―	ランサムウェアにより一部業務を停止	ランサムウェア／停止
8/28	カインドオル（トレジャー・ファクトリー子会社）	13万6,464名で確定（うち住所を含む10万9,311名）	フィッシングメールでスタッフアカウントの認証情報が窃取され、8/23に顧客情報が一括エクスポートされた（8/28第一報・9/2にダウンロードを確認）。10/13の第三報で対象者を確定。氏名・住所・電話番号・生年月日・メールアドレス・注文回数・購入金額・ポイント履歴など。クレジットカード番号・ログインパスワードは含まれないとしている	続報
8/28	コロナ	概数2万4,000名（漏えい、または漏えいした可能性・第2報）	8月24日、施工情報を管理する外部クラウドサービスについて情報提供を受け調査。インターネット上に掲載された情報が同サービスで保管していたファイルと一致し、特定アカウントの認証情報が漏えいしてデータがダウンロードされていたことを確認。10月22日の第2報で、対象は氏名・住所・電話番号・施工関連資料、本人の概数2万4,000名と公表（第1報は最大3万5,000名分）。当該アカウントは多要素認証が未設定でパスワード強度も不十分だったとしている。不正利用は確認されていない。窓口 0120-560-782。	続報
8/27	01銀行	最大100社分	システムへの不正アクセスで顧客識別情報が漏えい	―
8/24	KDDIウェブコミュニケーションズ	125万543件	法人向けCPIメールサービスのアカウント情報が漏えい、一部はハッシュ化パスワードも（最終報）	続報
8/22	虫退治ドットコム	15人	決済ページに不正プログラム設置、6人はカード情報も	―
8/21	いまでや（IMADEYA ONLINE STORE）	件数は公表なし	8月20日夜に氏名・注文番号・注文金額が正確に記載された当社を装うフィッシングメールの問い合わせが寄せられ、8月21日の第1報で注文情報が外部に流出した可能性が高いと公表（氏名・メールアドレス・注文番号・注文金額。オンラインストア購入者と実店舗で会員情報を提示して購入した客が対象に含まれる）。10月15日の第2報で、注文履歴管理用に自社構築したShopify連携アプリのアクセストークンが第三者に不正に取得・悪用され、注文情報・顧客情報が不正に取得されたことが判明したと公表。クレジットカード情報の漏洩がないことは確認済み。オンラインストアの販売と新規会員登録は12月上旬の再開予定。	停止
8/20	コタ	延べ10万9,147件（8区分の合計・閲覧された可能性を否定できない）	3/27 に確認したサイバー攻撃の続報。従業員・採用応募者・直送サービス顧客・取引先・株主（5万5,408件）などの情報について、漏えいや不正利用は確認されていないが、第三者に閲覧された可能性を完全に否定することは困難として通知。クレジットカード情報は含まれない	ランサムウェア／続報
8/19	さくらインターネット	136万563アカウント	レンタルサーバー環境への不正アクセスが販売管理システムに波及（8/17第1報、8/19第2報）。約3年間侵入が続き初期パスワードの平文保存も判明	―
8/17	ロジックベイン	約9万7,338名（漏えいが発生し、または発生した可能性・うちリークサイトでの公開確認 1万7,559名）	2025年12月発生事案の続報	続報
8/15	両毛システムズ	調査中	VPNアカウントの悪用から侵入、委託元の自治体・ガス会社に影響が波及。第2報でランサムウェアと確認	委託先経由／ランサムウェア／停止
8/13	チャーム（ペット用品通販）	約39万件（漏えい確認約37万件＋おそれ約2万件）	本店サイトへの不正アクセス。第1報（8/13）は約23万件のおそれ、9/2第3報（同日に重複を除いて件数を修正）で漏えい確認約37万件・おそれ約2万件の計約39万件と不正ログイン239名、10/7第4報で退会済みのお客様の情報約2.5万件が対象（大部分は漏えいを確認）。本店サイトは停止中	―
8/10	REXT Holdings（WonderGOO・新星堂など） 対象か確認する→	104万4,906件（漏えいのおそれ）＋公開を確認したファイル310件	ランサムウェアによるサイバー攻撃。8/9未明〜朝に本部・店舗のサーバー等で暗号化を確認し、POS・会計システムが停止して一部店舗の営業に影響（現在は全店で営業再開）。10/9第5報で、掲載を確認したファイル310件（約54MB・採用応募者のエントリーシート、会員登録情報、取引先の請求書等）を漏えい確認とし、暗号化されたサーバー上の従業員・REXT会員・WonderGOO/新星堂の予約・WonderREXの買取・APORITO事業の情報1,044,906件（会員コード・氏名・生年月日・住所・電話番号・メールアドレス等）を漏えいのおそれとして公表。クレジットカード情報は含まれない	ランサムウェア／停止／続報
8/7	デジタル庁	職員150名	作業ミスで職員150名分の個人情報を含むファイルを他府省に送付	内部要因
8/4	中部電力	約7万4,100人（関係機関・取引先など約2,400人＋グループ役職員・委託先社員など約7万1,700人・漏えいした可能性）	一部システムの資格情報が不正に利用され、役職員の電子メール約2,400件とグループの連絡先情報が不正閲覧された可能性（7/29 に第三者機関から情報提供）。氏名・メールアドレス・電話番号など。電気・ガスの顧客情報の漏えいは現時点で確認されていないとしている	―
8/3	講談社	最大3,812件	社用メールへの不正アクセスで連絡先を窃取、553件にフィッシングメール	―
8/1	Eストアー「ショップサーブ」 対象か確認する→	約2,335万6,000人（対象7,858店）	EC構築サービス「ショップサーブ」のサーバー上のアプリケーションの脆弱性を悪用され、5月21日〜8月1日に不正プログラムでDBの情報が外部送信された。8/1公表時は「最大で延べ885万3,839件」。10/16の最終報で、漏えい対象者は名寄せ後の概数で約2,335万6,000人（うち約209万6,900人はカード名義・カード番号の一部〔先頭6桁と下4桁〕・有効期限を含む。完全なカード番号・セキュリティコードは保持しておらず対象外）、対象店舗は過去の利用店舗を含む7,858店と公表。第2報で挙げた店舗メール・FTPのID/パスワードと振込先口座は対象に含まれないことを確認。キングジム・PFUなど利用店舗に波及	委託先経由／続報

2026年7月：15件

公表日	組織	件数	概要	タグ
7/29	生命保険協会	延べ3万7,929件（重複を除き2万7,407件・閲覧できる状態）	生命保険契約照会システムで、ゲストユーザー（ログインしていない利用者）に他の利用者の個人情報を参照できる権限が誤って付与され、2021年7月1日〜2026年7月27日に外部から閲覧できる状態だった（7/29 第一報は約3万7,000件）。9/14 の調査結果で、氏名・生年月日・住所・電話番号・メールアドレス・内部管理用IDが対象と確認。外部からのアクセスは確認したが、個人情報が実際に取得されたと特定するには至らず、被害申告や不正利用は確認されていない。8/20 から対象者全員に文書を発送	続報
7/28	タカラトミー	最大約15万5,000名（閲覧される可能性があった）	「デュエル・マスターズ サポートアプリ」のユーザー認証の技術的脆弱性により、2025/8/1〜2026/7/13 に特定の条件下で氏名・住所・電話番号・性別・生年月日・メールアドレスなどを第三者が閲覧できる可能性があった。改修済みで、閲覧や不正利用の事実は確認されていないとしている	―
7/24	JR東海高島屋	7,582人	アルバイトスタッフ管理システムへの不正アクセス（追加調査、外部流出の痕跡なし）	続報
7/23	OCS（ANAグループ）	調査中	「OCS FAMILY LINK SERVICE」への不正アクセスで一部個人情報が流出の可能性	―
7/19	佐川急便「スマートクラブ」	約7万人	システム不具合で顧客情報が誤表示（サイバー攻撃ではない）	内部要因
7/17	アサヒグループHD	区分別の合計 約228.9万件（公式は合計を未記載・漏えいのおそれ）	2025年9月のサイバー攻撃の追加発表。取引先役員・従業員ら約37.8万件を追加	ランサムウェア／続報
7/14	メディア4u（ファブリカHD子会社）	総レコード数9万5,412件（うち個人情報に該当し得る情報を含む可能性 2万2,928件）	6月24日、SMS配信システムへの不正アクセスを確認。契約企業のアカウント管理用に保有していた登録情報の一覧（アカウントID・企業名/営業所名・担当者名・通知用メールアドレス）が流出し、不正なSMS送信も確認。一覧の総レコード数は9万5,412件で、個人情報に該当し得る情報を含む可能性のあるレコードは2万2,928件（本人の数とは一致しない場合がある）。SMS配信先（エンドユーザー）の電話番号・氏名・送信本文等は含まれず、パスワード・APIキー・決済情報も含まれないとしている（7月17日 第2報）。	―
7/14	ファイブフォックス	調査中	ランサムウェア被害。情報流出のおそれも報じられている	ランサムウェア
7/13	日本交通	―	ランサムウェア（不正アクセスとマルウェア感染）で電話でのタクシー配車とハイヤー予約管理が一時停止	ランサムウェア／停止
7/13	ニチレイ	5万3,866件（漏えいを確認・対象別の合計）	不正アクセスで冷凍食品の出荷・冷蔵倉庫の入出庫が停止し取引先約5,000社に影響（7/24全拠点復旧）。9/18の第7報で、配送先のお客さま3,308件・取引先の役職員6,849件・従業員（2021年以降の退職者含む）とその家族・求職者4万3,709件の漏えいを確認（クレジットカード情報は含まれない）。RansomHouseが犯行声明	ランサムウェア／停止
7/11	札幌国際大学（学内メールアカウント）	件数は公表なし（個人情報の外部への流出は確認されていない）	7月9日17時30分頃より、学生と教職員がフィッシングメールのURLから偽装サイトにアクセスしてアカウント情報を入力したことで複数のメールアカウントが乗っ取られ、学内外へ不審なメールが大量に送信された（7月11日公表）。10月14日の調査結果報告で、一部のメールボックスへの不正なアクセス、SharePoint・OneDrive等への不審ファイルの設置、共有設定の変更、不正なアプリ・デバイスの登録やメール自動転送設定の痕跡が確認され、これらを排除したと公表。全学生・全教職員のパスワード一斉リセットと多要素認証の必須化を実施し、現時点で個人情報の外部への流出は確認されていないとしている。	続報
7/10	ムラタメイク	調査中	親会社・村田製作所への不正アクセスが波及、自動車保険契約者の情報	委託先経由
7/9	ネットワークジャパン（ネットワーク引越センター）	調査中	顧客管理システムへの不正アクセス（ランサムウェア）	ランサムウェア
7/1	加賀ソルネット（アカデミコナビ）	最大約17万件（流出した可能性）	学生向けPC販売サイト「アカデミコナビ」への第三者による不正アクセス（6/22に確認）。2021年10月〜2026年4月の登録者の氏名・住所・連絡先・メールアドレス・暗号化されたパスワード等が流出した可能性。サイトを一時停止	停止
7/1	朝日放送テレビ・アイネックス	373件中46件確定	グループ会社の従業員アカウントとクラウドへの不正アクセス（8/24調査結果）	―

2026年6月：20件

公表日	組織	件数	概要	タグ
6/30	武蔵野大学	―	ランサムウェア感染を確認。バックアップから復旧し運営への支障はなしとしている	ランサムウェア
6/30	農林中央金庫（JAさっぽろ）	3,176件	利用者情報を誤って提供	内部要因
6/30	アフラック生命保険	約440万人（7/13第二報。6/30第一報は約438万人）	不正アクセスで顧客の契約情報などが漏えい、うち約22万人は口座情報も（7/13規模訂正、8/24口座情報を金融機関へ提供）	―
6/26	Klue（Salesforce連携）	約24社	市場インテリジェンスSaaSのSalesforce連携を悪用したサプライチェーン攻撃、国内外の被害組織約24社	委託先経由
6/24	ニデック	調査中	台湾子会社ニデックCCIへのランサムウェア攻撃で情報流出の可能性	ランサムウェア
6/24	KDDI	メールアドレス1,223万1,954名（うちパスワード761万6,173名）	ISP向けメール基盤への不正アクセス。総務省が電気通信事業法に基づく報告徴収（7/29に指導）。KDDI 7/6公表・7/21に件数訂正	続報
6/22	函館市	―	職員が同僚のPCに不正ログインし個人情報を持ち出し	内部要因
6/19	ダイキョーニシカワ	調査中	インドネシア子会社への不正アクセスでデータの外部送信が判明	―
6/19	2りんかんイエローハット	317万9,454名	API悪用により会員情報を取得される（最終報）	続報
6/16	ミカサ	―	廃棄したPCのデータが残ったまま流通し第三者が取得	内部要因
6/12	UPSIDER	流出確認なし	4/1のシステム障害の原因は開発用OSSへの悪意あるコード混入と判明（サプライチェーン攻撃）	委託先経由／停止
6/12	REXT Holdings子会社 D&M	調査中	VPN経由の不正アクセス。漏えいのおそれのある期間は約2年間	―
6/12	日本テレネット	区分別の合計 約104.1万件（公式は合計を未記載）	ランサムウェア被害で受託業務関連情報などに漏えいのおそれ（セシールなど委託元に波及）	委託先経由／ランサムウェア
6/10	Kaizen Tech Agent	9,721件	元従業員による情報持ち出しのおそれ	内部要因
6/9	マネーフォワード（マネーフォワード ME）	顧客識別子6万449名・従業員2,300名	5/1のGitHubへの不正アクセスで漏えいのおそれ。6/23 の第四報（詳細調査の完了）で、顧客の氏名またはメールアドレス124名分、取引先28名分、従業員（退職者含む）2,300名分、単体で個人を特定できない顧客の固有識別子6万449名分と公表。流出は GitHub 上のリポジトリに含まれていたものに限定されると確認	―
6/8	九州電力送配電	―	顧客情報を保存したバックアップ用外部記憶媒体が所在不明	内部要因
6/8	北海道医療センター	実数で約17万名（回収したHDDに記録・延べ約176万件）	電子カルテ更新に伴い廃棄処理業者に破砕を委託した旧端末のハードディスクの一部が、適切に破砕されないまま外部に流通。氏名・患者番号・住所・電話番号・病名・検査結果などが保存されていた可能性。マイナンバー・口座番号・カード番号は含まれないとしている	委託先経由
6/8	はいチーズ！フォト	調査中	写真販売サービスへの不正アクセス（第2報、発生は6/4〜6/5）	―
6/4	日本大学文理学部	―	掲示板・学生ポータルへの不正アクセスとサイト改ざん（最終報）	続報
6/2	CAMPFIRE	22万5,846件（重複を除いたユニーク件数・漏えいのおそれ）	GitHub 認証情報の流出を起点とする不正アクセスの調査結果（5/30 フォレンジック完了）。氏名・住所・電話番号・メールアドレス・口座情報。データファイルが外部へ転送された痕跡は確認されなかったが、一部ログがなく閲覧の可能性は否定できないとしている。クレジットカード情報は含まれない	続報

IDCFクラウド障害の影響を公表した組織

IDCフロンティアのクラウドサービス「IDCFクラウド」で起きた障害について、自社で影響を公表した組織をまとめています（13件）。関連が報じられているだけの組織は載せていません。障害の状況はIDCフロンティアのお知らせで確認できます。

公表日	組織	影響（公表内容）	件数
10/14	株式会社ピーチ・ジョン（メールマガジン）	メールマガジン配信サービス提供事業者が利用するIDCフロンティア社で発生した不正アクセスに伴い、一部の顧客のメールアドレスが漏えいした可能性があると公表。漏えいした可能性がある情報はメールアドレスのみで、氏名、住所、電話番号、クレジットカード番号等は当該サービスで利用しておらず対象外としている。サービス提供事業者で調査中。メールマガジン配信は安全性が確認されるまで停止。	件数記載なし（一部のお客様のメールアドレスが漏えいした可能性）
10/14	株式会社マウスコンピューター（メールマガジン）	メールマガジン配信業務の委託先事業者から、配信機能の一部で利用している株式会社IDCフロンティアのクラウド基盤で不正アクセスが発生したとの報告を受けた。漏えいした可能性があるのはメールアドレス約42万件と、2026年9月5日から10月6日までの同アドレス宛てのメール配信記録。漏えいの事実は確認されていない。注文・決済情報は対象の基盤に保存されていない。配信は一時停止。	メールアドレス 約42万件（漏えいした可能性）
10/14	株式会社イズミ（ゆめオンライン・ゆめデリバリー）	メールマガジン配信の委託先が利用する株式会社IDCフロンティアから、同社クラウドサービスの一部システムで第三者によるランサムウェア攻撃が発生したと連絡を受けた。当該環境に、ゆめオンライン・ゆめデリバリーのメールマガジン配信に使う顧客の氏名とメールアドレスが保管されていた。漏えい・不正利用は確認されておらず、情報は暗号化されている。住所、電話番号、クレジットカード番号などは対象外。	約40万件（最大・漏えいの可能性）
10/13	スカパーJSAT（スカパー！メンバーズ会員向けメール）	一部で利用する IDCフロンティアのクラウド基盤への不正アクセスが原因と公表。スカパー！メンバーズ会員（一部退会者含む）のメールアドレスが対象で、一部プロモーションメールが配信できない状態。氏名・住所・電話番号・カード番号は対象外としている	件数記載なし（メールアドレス漏えいの可能性）
10/13	NTT ExCパートナー（LStep）	10月7日、クラウド型学習管理システム「LStep」で利用するメール配信サービスに障害が発生し、提供事業者から同社が利用するIDCフロンティア社のサービス環境で第三者による不正アクセスがあったと報告を受けた。対象はメールアドレスのみで、氏名・住所・電話番号・メール本文・添付・パスワード・学習履歴は対象外。漏えいの事実は現時点で確認されていない。	最大約9万件（メールアドレス漏えいの可能性）
10/9	JR九州（JR九州 Web会員） 対象か確認する→	IDCフロンティアで発生した不正アクセスに伴い、電子メールアドレスを含むメールログデータが閲覧・取得された可能性。氏名・住所・電話番号・クレジットカード番号等は漏えいの可能性なし。JR九州メールマガジンは配信できない状態。10月15日の続報で、10月14日に IDCフロンティア社の調査の結果として個人情報漏えいの事実は確認されなかった旨の報告を受けたと公表。漏えいの可能性があった利用者には、漏えいの事実は確認されなかった旨のメールを順次送るとしている。メールマガジンは配信できない状況が続いている（10月15日時点）。IDCF は10/14 第5報で「外部へのデータの流出はなかったと判断」、10/18 第6報でバックアップサービスを再開。JR九州の最新の公表は10/15の続報（10/25 確認時点で続報なし）。	最大約130万件（可能性）→10月15日の続報で漏えいの事実は確認されず
10/9	JR東日本（えきねっと・大人の休日倶楽部・ビューカードなど） 対象か確認する→	IDCフロンティアで発生した不正アクセスに伴い、会員向けメール配信用の外部サービスからメールアドレス等が漏えいした可能性（経路の詳細は公式発表に記載なし）。えきねっと約167万件（メールアドレス）、大人の休日倶楽部約39万件（メール・会員番号・生年月日・カード有効期限）、ビューカード VIEW’s NET 約403万件（メールアドレス・別発表）。メール配信の一部も停止。10/15、JR東日本・ビューカードとも、メール配信用外部サービス会社から「漏えいがなかったと判断した」との報告を受けたと更新（えきねっと・大人の休日倶楽部の個人情報、VIEW’s NET のメールアドレス）。IDCF も 10/14 第5報で外部へのデータの流出はなかったと判断。	えきねっと約167万件（最大）・大人の休日倶楽部約39万件（最大）・VIEW’s NET 約403万件（公式は合計を公表せず）（10/9 公表時の件数・10/15 に漏えいなしの報告）
10/8	ソリトンシステムズ（Soliton SecureDesktop）	IDCFクラウド障害で一部のSecureDesktop Centerが停止。同じ基盤のバックアップも利用不可で別環境に再構築	―
10/8	シックス・アパート（Movable Type クラウド版）	IDCFクラウド障害で管理画面と公開サイトが停止。バックアップから別クラウドへ移行中	31台
10/8	滋賀県	委託先経由で使うIDCFクラウド上の3サイトに閲覧障害	3サイト
10/7	ポピンズグループ	IDCFクラウド障害で一部業務システムと予約・スタッフ手配が利用不可（別基盤で一部再開）	―
10/7	日水物流（ニッスイグループ）	委託先の株式会社IDCフロンティアが第三者による不正アクセスを受けたことに伴うシステム障害で、日水物流の全拠点で入出荷業務ができなくなった。10月9日に一部を再開し、IDCフロンティア以外のサーバーで新たなシステムを構築中で、来週中（10月14日発表時点）に全拠点で通常稼働の見通し。被害サーバーに個人情報や顧客情報は含まれない。	個人情報・顧客情報は含まれず
10/7	サイバー大学	IDCFクラウド障害で履修登録・授業料支払い・シラバス閲覧に障害	―

自分が対象だったときにやること

使っているサービスが一覧に入っていたら、次の順で確認してください。組織ごとの具体的な案内は、各組織の公式発表を優先してください。

1. 公式発表を確認する：対象のサービス・期間・漏えいした（またはそのおそれがある）項目を確かめます。表の「公式発表」か、公式サイトを自分で開いて確認します
2. 公式サイト・アプリから直接ログインする：パスワード変更や登録情報の確認は、メールやSMSのリンクからではなく、ブックマークや公式アプリから行います
3. 同じパスワードを使っているサービスも変更する：パスワードが対象に含まれていなくても、使い回しがあればサービスごとに別のものへ変えておきます
4. 漏えいに便乗した連絡に注意する：「補償」「返金」「本人確認」をうたうメール・SMS・電話のリンクは開かず、折り返さず、公式サイトの問い合わせ先で確かめます
5. カード情報が対象なら明細を確認する：心当たりのない請求があれば、カード会社に連絡します

あわせて確認したい関連記事です。

• パスワードが流出したときに今すぐできる安全対策
• 知らない国際電話に出てしまったら？折り返し・留守電・料金の対処法
• 国際電話の着信拒否の申し込み手順とスマホでの対策
• 電話番号の桁数一覧（どこからの着信かを見分ける方法）

偽メール・偽サイトの相談先や、個人情報の取り扱いについての相談先は、警察庁「フィッシング対策」、個人情報保護委員会「個人情報保護法相談ダイヤル」で案内されています。

よくある質問

この一覧に載っていない会社やサービスは、情報漏えいしていないということですか？

A. そうとは限りません。この一覧は、報道や公表資料で確認できた主な事案を集めたもので、すべての事案を網羅したものではありません。使っているサービスが気になる場合は、そのサービスの公式サイトの「お知らせ」や「重要なお知らせ」を確認してください。

自分が対象かどうかは、どうやって確かめればよいですか？

A. 各組織の公式発表で、対象のサービス・期間・漏えいした（またはそのおそれがある）項目を確認してください。対象者に個別に連絡するとしている組織もあります。届いたメールやSMSのリンクからではなく、公式サイトやアプリを自分で開いて確認するのが安全です。

「漏えい」と「漏えいのおそれ」「可能性」は何が違いますか？

A. 「漏えい」や「確認」は、組織が情報の流出を確認したという表現です。「おそれ」「可能性」は、流出したかどうかを確認できていない、または否定できない状態を指す表現です。この一覧では、件数や表現を各組織の公表どおりに書いています。

情報漏えいについてのメールや電話が来たら、どうすればよいですか？

A. 漏えいの話題に便乗した偽のメール・SMS・電話が届くことがあります。「補償」「返金」「本人確認」などを理由にリンクを開かせたり、カード番号やパスワードを聞いたりする連絡には応じず、公式サイトに書かれた問い合わせ先に自分で連絡して確認してください。

更新履歴

• 2026年10月30日：新着13件・続報3件（エックスサーバー45.9万件・osina 23.5万件・JFEケミカル最大23万件・インプレス5.8万件ほか）（追加：エックスサーバー（ニュース・キャンペーン配信／外部サービス ブラストメール）、アイリスプラザ（アイリスオーヤマ公式通販サイト「アイリスプラザ」）、朝日新聞社（メール配信／委託先 ユミルリンク「Cuenote FC」）、九州大学（九州大学校友会のメール配信「ブラストメール」／九州大学病院の治験管理システム「QLIFICAモニタリングシステム」）、ブロードリーフ（「ものづくりドットコム」メールマガジン／外部サービス ブラストメール）、鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（「Payどん」メール通知システム／委託先 アララ）、NEL（推しとブランドを繋げるプラットフォーム「osina」）、JFEケミカル（社内IT環境）、東京消防庁（採用試験論文の採点委託先 レベルエンター）、MICIN（オンライン診療サービス「クロンオンライン診療」）、ゲームトレード（RMT・アカウントデータ売買サービス「ゲームトレード」）、インプレス（メールマガジン「DIGITAL X News」／委託先 ユミルリンク「Cuenote」）、ペルソナ（エイチ・ツー・オー リテイリング子会社／メール配信 ユミルリンク「Cuenote FC」））（更新：NTTソルマーレ（電子書籍ストア「コミックシーモア」）、GMOインターネットグループ（お名前.com デスクトップクラウド）、ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」））
• 2026年10月29日：新着14件・続報4件（花キューピット423万件・アララ301万件・ソニー生命38.5万件・ライフカード33.9万件ほか）（追加：花キューピット（インターネット花キューピット・ビジネス花キューピット）、アララ（メール配信サービス「アララ メッセージ」）、ソニー生命保険（代理店として扱ったメディケア生命の保険契約情報）、ライフカード（メール配信／委託先 ユミルリンク「Cuenote FC」）、日本航空・日本トランスオーシャン航空（旅客サービスシステム／委託先 Amadeus）、ベネフィット・ワン（クレディセゾン会員向け「トク買」／委託先 フォレステック）、資さん（資さんうどん 従業員・退職者／委託先 カホエンタープライズ）、ブシロード（『バンドリ！アワーノーツ』／開発業務の委託先）、トラベルジップ（自治体観光サイトの受託運用／TAITOおでかけナビ・飛騨高山 旅ガイド・あたみニュースほか）、WATAMI FAST CASUAL MANAGEMENT（SUBWAY公式モバイルオーダー／システム提供元 DIRIGIO「PICKS」）、アニメイト（アニメイト通販・ポケドラのメールマガジン／委託先 ユミルリンク「Cuenote FC」）、ジェネリック製薬・STORiiY（配送委託先が利用する倉庫管理システム）、ドン・キホーテ・長崎屋・橘百貨店・UDリテール（時計修理の委託先 コックス）、経済産業省 電力・ガス取引監視等委員会（デントリネット））（更新：ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、GMOインターネットグループ（お名前.com デスクトップクラウド）、カカオピッコマ（「ピッコマ」メールマガジン／外部サービス ブラストメール）、トラストバンク（ふるさとチョイス 会員情報））
• 2026年10月28日：新着13件・続報4件（So-net 214万件・ガンダムベース34万件・IDCF 第7報ほか）（追加：ソニーネットワークコミュニケーションズ（So-net）／NTTドコモ（ドコモ光「plala(Sコース)」）、バンダイナムコエンターテインメント・BANDAI SPIRITS（THE GUNDAM BASE MEMBERS／委託先 ユミルリンク）、アルク（メールマガジン「ALC News +」／外部サービス ブラストメール）、静岡ガス（会員サイト「Webエネリア」／外部サービス ブラストメール）、Lean on Me（Special Learning・Special Shift／データ分析ツール Metabase）、じげん（ミナオシ／外部サービス ブラストメール）、スマートシェア（SNSキャンペーンツール「OWNLY」・モスバーガーのキャンペーン）、読宣（読宣WEST四国支社「ヨミポスト」）、ドトールコーヒー（従業員・退職者）、日本貿易振興機構（ジェトロ）ビジネスマッチングシステム「e-Venue」、Gunosy（取引先担当者・役職員等）、UPSIDER（コミュニティ「Breakthrough GRID」）、クラウドサーカス（MAツール「BowNow」の旧メール配信機能／外部サービス ブラストメール））（更新：ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、システムファイブ（オンラインショップ system5.jp の連携システム）、GMOインターネットグループ（お名前.com デスクトップクラウド）、日本貿易振興機構（ジェトロ）、IDCフロンティア（IDCFクラウド））
• 2026年10月27日：楽天トラベル 不正アクセス（10/26 公表）を追加・記事 10634（追加：楽天グループ（楽天トラベル））
• 2026年10月27日：新着15件（Joshin 最大約600万件・モニタス Qzoo 約40万件・JR3社 スマートEX/エクスプレス予約・国交省 住宅省エネ2024 2万3,918名・AI Lab 225・バリュエンス なんぼや ほか）・ユミルリンク第二報（延べ5,162万8,280件）・コロナ第2報（概数2万4,000名）・ふるさとチョイス第3報・ブラストメール345件（追加：Joshin（ジョーシン 会員情報・「ジョーシンのサブスク」ほか）、JR東海・JR西日本・JR九州（「エクスプレス予約」「スマートEX」のメール配信／委託先 ユミルリンク「Cuenote FC」）、バンダイロジパル（BANDAI SPIRITS「一番くじ ONLINE」の配送情報）、GoWebクラウド（入居申込サービス「GoWeb」）、丸木医科器械（基幹システム）、古河電工パワーシステムズ（防災製品部の出荷管理用Webシステム）、cotta（製菓材料・ラッピングの通販「cotta」）、バリュエンスジャパン（「なんぼや」のオンライン買取システム）、eJudo（ニュースレター配信先／外部サービス ブラストメール）、日本成令（「AI Lab 225」）、佐久総合病院（佐久医療センターの元職員による電子カルテ情報の不正利用）、Headline Japan（IVS2025公式サイトのフォーム／外部サービス Studio）、モニタス（アンケートサイト「Qzoo」）、コメ兵ホールディングス（グループのECサイト注文者／外部サービス WASABI SWITCH）、国土交通省（「住宅省エネ2024キャンペーン」事務局 博報堂のシステム））（更新：ユミルリンク（メール配信サービス）、コロナ、メディア4u（ファブリカHD子会社）、トラストバンク（ふるさとチョイス 会員情報）、ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」））
• 2026年10月27日：続報反映: ローソン 10/26 店舗検索停止・第一興商 10/26 SMS 個別連絡（記事 10174・10165・10348 更新）（更新：ローソン）
• 2026年10月27日：infoQ 行に記事 10681 と第2報の補填・パスワード無効化を反映（更新：GMOリサーチ&AI（infoQ））
• 2026年10月27日：お名前.com デスクトップクラウド行に第5〜11報と記事 10687 を反映（更新：GMOインターネットグループ（お名前.com デスクトップクラウド））
• 2026年10月26日：新着7件（ピッコマ 100万2,404件・日本の人事部 21万2,243件・みんなの趣味の園芸 約12万7,000件・チャリロト 373名・日本ピザハット・ドラとら・サンケイリビング）・お名前.com デスクトップクラウド第4報（持ち出し確認・見舞金）（追加：日本ピザハット（国内向けオンライン注文サービス）、カカオピッコマ（「ピッコマ」メールマガジン／外部サービス ブラストメール）、HRビジョン（「日本の人事部」メールマガジン／外部サービス ブラストメール）、NHK出版（「みんなの趣味の園芸」メール配信／外部サービス ブラストメール）、チャリ・ロト（競輪・オートレース投票サービス「チャリロト」アプリ）、NEXCO東日本（高速道路情報サイト「ドラとら」）、サンケイリビング新聞社（リビングWeb・シティリビングWeb・まちっと等））（更新：GMOインターネットグループ（お名前.com デスクトップクラウド）、ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、ニッポンレンタカー）
• 2026年10月25日：新着15件（リンツ 314万・Value Card 142万・モスカード 113万・トレジャー・ファクトリー 74万・FXなび 約619万 ほか）・ローソン 10/24 訂正（メールアドレス→生年月日）（追加：モスフードサービス（プリペイドカード「モスカード」／委託先 バリューデザイン）、ペイクラウドHD／バリューデザイン（ハウス電子マネー発行サービス「Value Card」）、リンツ＆シュプルングリージャパン（オンラインショップ・Lindt 公式アプリ／委託先 フューチャーショップ）、エムスリー（製薬企業向けサービス「MR君」）、グリーンモンスター（FXデモトレードアプリ「FXなび」）、トレジャー・ファクトリー（「出張買取」「トレファク引越」の案件管理システム）、ゼビオHD（子会社 GALLERY・2 の ECサイト／ECプラットフォーム Commerble）、グッドスマイルカンパニー（ECサイト「グッドスマイルカンパニー公式ショップ」）、ヤマダデンキ（「ヤマダビデオ」「スマホゴールド会員」の各種手続き画面）、新潟日報社（「新潟日報パスポート」会員／外部サービス ブラストメール）、岡崎市（防犯情報メールマガジン・市営住宅の募集情報メール／外部サービス ブラストメール）、岡崎市（おかざき防災緊急メール・学校情報メール配信システムほか／提供元 アルカディア「SpeeCAN RAIDEN」）、システムファイブ（オンラインショップ system5.jp の連携システム）、青森県（関係人口創出・拡大イベント開催業務／委託先 デーリー東北新聞社・外部サービス Studio）、岐阜県（GIFU新事業共創チャレンジプログラムのイベント告知サイト／外部サービス Studio））（更新：ローソン）
• 2026年10月25日：JR九州行に IDCF 第5・6報を追記（記事 10119 改訂）（更新：JR九州（JR九州 Web会員））
• 2026年10月24日：新着9件（アンドエスティHD 顧客約250万件・野村證券 i-Port 委託先経由・SmartHR グループ 2,012名・JR四国 最大約3万件・東京都 援農ボランティア 最大約1万6,000件・山日YBS 5,040人分・マックハウス・周南市 302件・富士急ハイランド CLUB フジQ 159名）・続報3件（佐川急便 第5報 最大約5,323万件・パーク24 第5報 662万8,007件・ブラストメール 288契約）・佐賀市の掲載終了ページのリンクを外す（追加：アンドエスティHD（業務サーバー）、野村證券（ポートフォリオ管理ツール「i-Port」のメール配信／委託先 ユミルリンク）、SmartHR グループ5社（問い合わせフォーム／外部サービス Studio）、JR四国（ＪＲ四国ツアーWeb メールマガジン／外部サービス ブラストメール）、東京都（東京都農林水産振興財団 東京広域援農ボランティア事業／外部サービス ブラストメール）、山日YBSグループ（山日YBS企業ガイダンス・山日わーく／外部サービス ブラストメール）、ジーイエット（「マックハウス」メールマガジン／外部サービス ブラストメール）、周南市（周南市ファンクラブメールマガジン／外部サービス ブラストメール）、富士急ハイランド（公式アプリ・会員サイト「CLUB フジQ」））（更新：佐川急便、パーク24（タイムズカー）、ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、佐賀市（さがんメール））
• 2026年10月24日：ヌーラボ行に第二報と記事URL（10521）を反映。ブラストメール行を10/24 13:20 更新（344契約）に更新（追加：アンドエスティHD（業務サーバー）、野村證券（ポートフォリオ管理ツール「i-Port」のメール配信／委託先 ユミルリンク）、SmartHR グループ5社（問い合わせフォーム／外部サービス Studio）、JR四国（ＪＲ四国ツアーWeb メールマガジン／外部サービス ブラストメール）、東京都（東京都農林水産振興財団 東京広域援農ボランティア事業／外部サービス ブラストメール）、山日YBSグループ（山日YBS企業ガイダンス・山日わーく／外部サービス ブラストメール）、ジーイエット（「マックハウス」メールマガジン／外部サービス ブラストメール）、周南市（周南市ファンクラブメールマガジン／外部サービス ブラストメール）、富士急ハイランド（公式アプリ・会員サイト「CLUB フジQ」））（更新：佐川急便、パーク24（タイムズカー）、ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、佐賀市（さがんメール））
• 2026年10月24日：点検（第3班）反映: 手間いらず「第3報」→適時開示・Snapmart 10/20 追記・カーセンサー 10/22 再開・ソースネクスト FAQ 更新・焼肉きんぐ 10/20 続報（更新：手間いらず（TEMAIRAZU）、CREAVE（写真販売サービス「Snapmart」）、リクルート（カーセンサーnet・C-match など関連サービス）、ソースネクスト、物語コーポレーション（焼肉きんぐ））
• 2026年10月24日：点検（第1〜3班）続報反映: フジテレビ 543人分確認・ニフティ 最大1.8万件・Gyazo 133名432件・ふるさとチョイス 5名追加項目・ハノワ 申請方法・IDARE 補償・阪急阪神 E-STORES 休止・ローソン 再開・JR東 漏えいなし報告・ブックオフ/シーモア/アエナ/カプコン/RAIDEN/綾瀬市/焼肉きんぐ ほか（更新：Helpfeel（Gyazo）、ローソン、JR東日本（えきねっと・大人の休日倶楽部・ビューカードなど）、Fivot（キャッシュレスアプリ IDARE）、エイチ・ツー・オー リテイリング／阪急阪神百貨店（予約サイト・HANKYU HANSHIN E-STORES・Remo Order）、ハノワ（歯科医療人材マッチングサービス「ハノワ」）、ニフティ（回線申込・受付管理システム）、フジテレビジョン、トラストバンク（ふるさとチョイス 会員情報））
• 2026年10月23日：新着9件（ブラストメール 全契約者の販売管理情報を持ち出し・東北電力フロンティア 最大約10万件・南城市 1万1,117件・横浜市 6,334人・ヌーラボ・デジタル庁 Studio経由 最大1万3,323件・フジッコ 延べ約1万5,500件・バルテック サービス停止・長野県 341件〔報道〕）・続報1件（お名前.com デスクトップクラウド 第2報）・公式リンク1件を追加（ニモカ 521件）（追加：ラクス／ラクスライトクラウド（メール配信サービス「ブラストメール」）、東北電力フロンティア（eポイントモール のメールマガジン／外部サービス ブラストメール）、横浜市（GREEN×EXPO 2027 市出展エリアのボランティア応募者／外部サービス ブラストメール）、南城市（尚巴志ハーフマラソン／外部サービス ブラストメール）、ヌーラボ（顧客のメールアドレス等／外部サービス ブラストメール）、デジタル庁（ホームページのお問合せフォーム等／外部サービス Studio）、フジッコ（キャンペーンの非会員向け応募フォーム／委託先）、バルテック（MOT シリーズなど業務クラウドサービス）、長野県（産業労働部の3事業の委託先サイト／外部サービス Studio））（更新：GMOインターネットグループ（お名前.com デスクトップクラウド）、ニモカ（nimoca））
• 2026年10月22日：新着4件（デジタルアーツ クラウドサービス・Renta! 一時停止・クレシード Studio 経由 39件・猫ちゃんといっしょ 旧予約システム）・続報2件（カーセンサーnet 最大370万9,551件・JFA Passport 第2報 漏えい確認されず）・公式リンク1件を追加（追加：デジタルアーツ（クラウドサービス「i-FILTER@Cloud」ほか）、テリロジーホールディングス（子会社クレシードの採用サイト／外部サービス Studio）、パピレス（電子書籍販売サイト「Renta!」）、ハッピーキャット（猫カフェ「猫ちゃんといっしょ」旧予約システム／ファインズ））（更新：リクルート（カーセンサーnet・C-match など関連サービス）、日本サッカー協会（公式アプリ「JFA Passport」）、東京メトロ「メトポ」）
• 2026年10月21日：新着13件（ふるさとチョイス 445万4,097件・アンビションDX 約58万件・PingCAP 最大約5万件・ハノワ 最大4万9,309名・abceed 1万834アカウント・楽待・日建学院・GDO・スカイマーク・ネオキャリア・hokan出納・NEC 委託先経由・お名前.com デスクトップクラウド 全プラン停止）・続報3件（GETTIIS 第二報 会員ID 31万7,971件・岩井コスモ証券 第2報 4,975名・アイラッシュガレージ 第2報）・公式リンク2件を追加（追加：トラストバンク（ふるさとチョイス 会員情報）、PingCAP（分散データベース「TiDB Cloud」）、ハノワ（歯科医療人材マッチングサービス「ハノワ」）、ネオキャリア（転職サービス「X-Tech Agent」・求人データベース「Bee」）、Globee（英語学習サービス「abceed」）、ゴルフダイジェスト・オンライン（GDO）、スカイマーク（新卒・既卒採用お問い合わせフォーム）、マンション管理センター／日建学院（事前確認講習システム）、楽待（不動産投資サイト「楽待」）、hokan（保険代理店向けクラウドサービス「hokan出納」）、日本電気（NEC／委託先経由・顧客のシステム）、GMOインターネットグループ（お名前.com デスクトップクラウド）、アンビションDXホールディングス（グループ会社含む））（更新：リンクステーション（チケット販売サービス「GETTIIS」）、岩井コスモ証券（インターネット取引／委託先 トレードワークス）、ビューティガレージ（ビューティガレージ・アイラッシュガレージ ECサイト）、マネーフォワード（マネーフォワード ME）、ニチレイ）
• 2026年10月20日：新着11件（阪急阪神百貨店 H2O ID 約126万件・ユミルリンク 延べ約900万件・ニフティ 最大54万2,513件・クリプトン SONICWIRE 最大約42万件・GETTIIS・ジグザグ WorldShopping 301名・LIXIL L-ポケット 3,379名・埼玉県警〔報道〕・ジェトロ 743件・STANDS Onboarding・東邦HD 子会社エンタッチ）・続報3件（八十二長野銀行 第2報・アルカディア 第12報・生命保険協会 調査結果）・公式リンク3件を追加・差し替え（追加：エイチ・ツー・オー リテイリング／阪急阪神百貨店（予約サイト・HANKYU HANSHIN E-STORES・Remo Order）、ニフティ（回線申込・受付管理システム）、ユミルリンク（メール配信サービス）、クリプトン・フューチャー・メディア（SONICWIRE・D2R）、リンクステーション（チケット販売サービス「GETTIIS」）、ジグザグ（越境EC「WorldShopping」）、LIXIL（業務支援アプリ「L-ポケット」「L-ポケットLite版」）、埼玉県警察（安否確認システム／アルカディア）、日本貿易振興機構（ジェトロ）、STANDS（UI/UX改善サービス「Onboarding」）、東邦ホールディングス（子会社エンタッチ・リモートディテーリング事業））（更新：八十二長野銀行、アルカディア（SpeeCAN RAIDEN・ライデン・スクール）、生命保険協会、函館市（ANSINメール）、トラストバンク（ふるさとチョイス））
• 2026年10月19日：新着7件（静岡市 アルカディア経由 4万3,030人・ジャパン・アーツ 5,376件・Astemo 約350名・Snapmart 本人確認書類画像・JFA Passport・カーセンサーnet 停止・徳島県警 約1,900人〔報道〕）・続報1件（WASABI SWITCH 第三〜五報）・公式リンク4件を追加（追加：Astemo（データー共有クラウド環境／業務委託会社のアカウント経由）、ジャパン・アーツ（社員の Google アカウント）、静岡市（静岡市防災メール・認知症しずメールほか）、CREAVE（写真販売サービス「Snapmart」）、日本サッカー協会（公式アプリ「JFA Passport」）、リクルート（カーセンサーnet・C-match など関連サービス）、徳島県警察（災害時の緊急連絡システム／アルカディア））（更新：ワサビ（EC一元管理サービス「WASABI SWITCH」）、グリーンコープ生協ふくおか、JOGMEC）
• 2026年10月18日：新着8件（コミックシーモア 会員情報の流出を確認・Studio 不正アクセスと影響公表〔LUUP 2万1,368件・ラクスル 6,412件・埼玉県・京都市・南日本放送〕・WASABI SWITCH）・続報2件（ヤマト運輸 クロネコ代金後払い 約526万件の持ち出しを確認・JR九州 漏えいの事実は確認されず）・公式リンク4件を追加（追加：NTTソルマーレ（電子書籍ストア「コミックシーモア」）、Studio株式会社（Webサイト制作サービス「Studio」）、Luup（LUUP のWebサイトのフォーム／外部サービス Studio）、ラクスル（サービス案内用サイトのフォーム／外部サービス Studio）、埼玉県（さいたま緑の森博物館／外部サービス Studio）、京都市（京都市芸術文化協会への委託事業のサイト／外部サービス Studio）、南日本放送（イベント等のサイトのフォーム／外部サービス Studio）、ワサビ（EC一元管理サービス「WASABI SWITCH」））（更新：ヤマト運輸、JR九州（JR九州 Web会員）、ロジックベイン、楽天ドライブ、cinra（CINRA JOB）、アクティブ（冷凍食品））
• 2026年10月17日：新着13件（日本経済新聞社 約183万件・ファンケル／アテニア 計83万4,947件・岩井コスモ証券・三井住友DS投信直販ネット・Link-Uグループ・日本郵便 調査請求Web受付・三菱ガス化学・日本生命病院・座間市・いまでや・小池酸素工業・ハルメク・札幌国際大学）・続報2件（Eストアー最終報 約2,335万6,000人・skyticket 第2報 カード最大6,140名）・佐賀市の出典更新・公式リンク5件を追加（追加：いまでや（IMADEYA ONLINE STORE）、小池酸素工業、ファンケル・アテニア（ECサイト）、日本経済新聞社（システム開発用クラウドサービス）、岩井コスモ証券（インターネット取引／委託先 トレードワークス）、三井住友DSアセットマネジメント（三井住友DS投信直販ネット）、Link-Uグループ（コーポレートサイト／外部サービス Studio）、日本郵便（国際郵便物の調査請求Web受付サービス）、三菱ガス化学（業務委託先 T4C）、日本生命病院（ニッセイ訪問看護ステーション）、座間市（いさまメール）、ハルメクホールディングス（HALMEK up）、札幌国際大学（学内メールアカウント））（更新：Eストアー「ショップサーブ」、アドベンチャー（skyticket）、佐賀市（さがんメール）、日本経済新聞社、日本郵便、スターツ出版（オズモール）、PFU、第一ライフグループ）
• 2026年10月16日：新着15件（ソースネクスト 2,251万9,960件・バーガーキング公式アプリ 約1,118万件・ビューティガレージ 77万5,725件・ACCESS 台湾子会社CROS・釧路市〔ポータス〕・内藤証券・発車オーライネット・マツダ・アルカディア利用自治体7〔千葉市・豊川市・大分市・小田原市・下関市・函館市・佐世保市〕）・続報2件（イエローハット 179万7,124名分の流出を確認・ムーンスター 最大59万3千人）・公式リンク5件を追加（追加：ソースネクスト、ビーケー・ジャパン（バーガーキング公式アプリ）、ビューティガレージ（ビューティガレージ・アイラッシュガレージ ECサイト）、ACCESS（台湾子会社 ACCESS AP TAIWAN「CROS」）、工房（発車オーライネット）、マツダ（CLUB MAZDA COMMUNITY／委託先 コミューン）、内藤証券（委託先 大和総研）、北海道釧路市（委託先 ポータス）、千葉市（ちばし安全・安心メールなど4サービス）、豊川市（とよかわ安心メール）、大分市（大分市防災メールなど4区分）、小田原市（防災メールなど災害情報配信システム5サービス）、下関市（防災メール・NET119緊急通報システム）、函館市（ANSINメール）、佐世保市（防災情報メール・道路冠水情報メール））（更新：イエローハット、ムーンスター、セイコーマート、旭化成セラピューティクス（Pharma DIGITAL）、TOPPAN（損保ジャパン契約者）、大起水産（大起水産公式アプリ）、加賀ソルネット（アカデミコナビ））
• 2026年10月15日：新着15件（アエナ 最大81万7,215人・マウスコンピューター 約42万件・イズミ 約40万件・日テレWands FaveConnect・Lili・アルカディア利用自治体5〔秋田市・唐津市・上越市・香川県・佐賀市〕ほか）・続報2件（infoQ 89万4,082件で確定・日水物流 第3報）・公式リンク5件を追加（追加：Lili運営事務局（マッチングサイト「Lili」）、株式会社マウスコンピューター（メールマガジン）、株式会社日テレWands（ファンコミュニケーションサービス「FaveConnect」）、株式会社ピーチ・ジョン（メールマガジン）、株式会社イズミ（ゆめオンライン・ゆめデリバリー）、NTT ExCパートナー（LStep）、アエナ（ECアプリ）、NEXT STAGE（Qualiz・ACRO5）、キッセイ商事（キッセイ薬品工業グループ）、インフォメックス松本（名古屋電機工業の連結子会社）、秋田市（防災ネットあきた）、唐津市（唐津市情報メール配信サービス）、上越市（上越市安全メール）、香川県（防災情報メール・職員安否確認システム）、佐賀市（さがんメール））（更新：GMOリサーチ&AI（infoQ）、日水物流（ニッスイグループ）、CAMPFIRE、タカラトミー、コタ、中部電力、北海道医療センター）
• 2026年10月14日：新着15件（ライドオンエクスプレス 最大約650万件・アルカディア SpeeCAN RAIDEN と利用自治体〔宮崎県・横須賀市・綾瀬市〕・IDARE・カインドオルほか）・続報1件（ブックオフ 第2報で642万7,735件に確定）・公式リンク3件を追加（追加：ライドオンエクスプレスHD（銀のさら・釜寅・すし上等）、アルカディア（SpeeCAN RAIDEN・ライデン・スクール）、Fivot（キャッシュレスアプリ IDARE）、カインドオル（トレジャー・ファクトリー子会社）、横須賀市（防災情報メール・よこすか防犯あんしんメールほか）、宮崎県（防災・防犯情報メール）、JR九州フードサービス（トイポアプリ）、赤武エンジニアリング、綾瀬市（あやせ安全・安心メール）、日本郵便（JP Business Tool Box）、DCM（マイボ／マイボフェローズ）、東日本三菱自動車販売、スカパーJSAT（スカパー！メンバーズ会員向けメール）、H.B.P HOTEL（大阪市住之江区）、アズマ（雑貨通販 hitmart））（更新：ブックオフグループHD、GMOリサーチ&AI（infoQ）、i-plug（OfferBox）、デジタル庁（GSS））
• 2026年10月13日：新着2件（日経BP・大田区立伊豆高原学園〔手間いらず経由〕）・続報3件（日本経済新聞社 Google Workspace 1,646人分・千葉西総合病院 第3報・戸田建設 件数）・公式リンク4件を追加（追加：日経BP、大田区立伊豆高原学園（伊豆高原学園PFI））（更新：日本経済新聞社、千葉西総合病院、戸田建設、エイチ・アイ・エス、セレス（ポイントインカム）、ハイホー）
• 2026年10月12日：新着3件（スカラコミュニケーションズ「i-ask」最大71万件・オリックス生命・ココナラ）・続報3件（REXT 第5報 104万件・大英産業/ホテリエ・チャームの件数）・公式発表リンク4件を追加（追加：スカラコミュニケーションズ（FAQシステム「i-ask」）、オリックス生命保険、ココナラ（ココナラスキルマーケット））（更新：REXT Holdings（WonderGOO・新星堂など）、大英産業（Grand Inn Canalside）・委託先ホテリエ、チャーム（ペット用品通販）、東洋紡せんい）
• 2026年10月12日：子記事を追加（オリックス生命・手間いらず・REXT）（更新：オリックス生命保険、手間いらず（TEMAIRAZU）、REXT Holdings（WonderGOO・新星堂など））
• 2026年10月11日：新着4件（Commune 経由のバンダイナムコエクスペリエンス・カルビー・LIXIL、千葉西総合病院）・続報1件（手間いらず 最大約445万人）・公式発表リンク4件を追加（追加：バンダイナムコエクスペリエンス（湾岸ミッドナイト アーケードポータル）、カルビー（絶品部「やめられない、とまらない」課）、LIXIL（すまいひろば・猫壁ひろば）、千葉西総合病院）（更新：手間いらず（TEMAIRAZU）、大和証券、シチズン時計、損害保険ジャパン、埼玉県（渋沢MIX））
• 2026年10月10日：初版公開（2026年6月1日〜10月9日公表の139件）
• 2026年10月10日：初版公開準備。KDDI・アフラック・日本テレネット・アサヒ・Eストアー・NewsPicks の件数表記を公式発表どおりに是正／JR東日本を3件併記に
• 2026年10月10日：新着15件（ディップ「バイトル」・JR九州・リゾートトラスト、Commune 経由の12組織）・続報2件（コミューン・VALX）・公式発表リンク4件を追加（追加：ディップ（バイトル・バイトルNEXT）、JR九州（JR九州 Web会員）、リゾートトラスト、LINEヤフー（DS.INSIGHT の DS.LAB）、スズキ（スズキヴィレッジ）、Sansan（Sansan User Forum）、ヤマハ（ヤマハネットワークエンジニア会）、湖池屋（湖池屋 GOGO！ランド）、ZENB JAPAN（ZENB GARDEN）、ウイングアーク1st（nest Portal）、青森県（青森びいき）、森永乳業（マウントカフェ部）、日本能率協会マネジメントセンター（時間〈とき〉ラボ）、ちとせグループ（ちとせアカデミー）、どっぷり高知旅キャンペーン推進委員会（高知の知））（更新：コミューン（Commune）、VALX（FUN コミュニティ）、大手前病院、八十二長野銀行）
• 2026年10月10日：レビュー指摘の反映（skyticket・パーク24・ミスターマックス・第一興商・ブックオフ・JR東日本・ロート製薬・Peach の表現を公式発表の範囲に）（更新：アドベンチャー（skyticket）、パーク24（タイムズカー）、ミスターマックス、第一興商、ブックオフグループHD、JR東日本（えきねっと・大人の休日倶楽部・ビューカードなど）、ロート製薬、Peach Aviation）
• 2026年10月10日：子記事を追加（バイトル・JR九州）（更新：ディップ（バイトル・バイトルNEXT）、JR九州（JR九州 Web会員））

出典・確認に使う情報源

個別の事案の出典は、表の「公式発表」リンク（各組織のお知らせ）です。新着の確認には、次の情報源を使っています。

• IDCフロンティア「当社サービスの一部システムへの不正アクセスによる障害について」
• 内閣官房 国家サイバー統括室
• セキュリティ対策Lab「個人情報漏洩ニュース」
• ウェステリア「2026年のセキュリティインシデント一覧」
• piyolog
• SmartScope「国内の情報漏えい一覧（2026年9〜10月）」

このほか、ITmedia NEWS・INTERNET Watch・＠IT・NHK・共同通信の報道を新着の手がかりにし、各組織の公式発表で確認しています。統計は警察庁（ランサムウェア被害の件数）と東京商工リサーチ（上場企業の個人情報漏えい・紛失事故）の公表資料を参照しています。