2026年は、国内の情報漏えいのニュースが本当に途切れない年になっています。ISP向けのメール基盤、カーシェア、画像共有サービス、ECのカートシステムと、普段なにげなく使っているサービスの名前が次々と出てきて、正直「またか……」と思った方も多いのではないでしょうか。今回は2026年1月〜10月上旬に公表された事案のうち、特に規模が大きかったものや注目度の高かったものを中心に、公表時期の順にざっと整理してみました。件数の大小だけでなく、侵入経路や「どこまで確定しているか」にも注目して読んでいただけるとうれしいです。
この記事の読み方と、件数の数え方について
先に一つだけお断りしておきます。情報漏えいの件数は、会社によって「件」「人」「アカウント」とバラバラです。同じ人が複数アカウントを持っていれば重複しますし、退会者や匿名ユーザーを含むケースもあります。なので、この記事に出てくる数字を横並びにして「どっちが大きい事件か」を比べるのは、あまり意味がないと思ってください。あくまで規模感の目安です。
もう一つ大事なのが、「漏えいを確認」と「漏えいのおそれ（可能性）」の違いです。初報では「最大〇〇万件の可能性」と出て、続報で件数が精査されて減ったり、逆に増えたりすることもよくあります。この記事では、できるだけ最新の続報の数字を使い、まだ調査中のものは調査中と書き分けています。並びは発生日ではなく、主に公表時期の順です。
2026年2月〜4月：ランサムウェアと委託先経由の被害が目立った時期
あなぶきハウジングサービス・村田製作所
年明けの大きな話題になったのが、あなぶきハウジングサービスのランサムウェア被害です。2月3日にグループで被害を確認し、その後の調査で、個人情報が漏えいした可能性のある範囲が明らかになりました。グループ会社のネットワーク機器の脆弱性が侵入の起点とされていて、「グループのどこか一か所の穴から全体に広がる」典型的なパターンでした。続報のたびに件数が更新されているので、最新の数字は同社の公表資料で確認するのが確実です。
3月には村田製作所が不正アクセスを公表しました。社外関係者の情報などが読み出された可能性があるとされ、製造業の大手でもこういう事案が起きるんだな、という印象を受けた方も多かったはずです。製造業では取引先など社外関係者の情報を扱う場面も多く、影響範囲が自社の外まで広がりやすい点には注意が必要ですね。
日本テレネット・メディカ出版・YCC情報システム
3月〜4月はランサムウェア被害が続きました。日本テレネットは3月にシステム障害を検知し、6月12日の調査結果で、最大約106.6万件に漏えいのおそれがあると公表しています。ただしデータの外部転送を示す痕跡は検出されていない、という書き方になっていました。メディカ出版も3月にランサムウェア被害を受け、委託元の大学などにまで影響が波及しています。
4月に入ると、YCC情報システムへのランサムウェア攻撃が明らかになりました。この会社は自治体や大学、交通事業者などのシステムを受託していたため、複数の委託元へ一気に影響が広がりました。山形市の分では健康情報など延べ約55.8万件（重複を含む件数で、人数ではありません）のデータが漏えいのおそれのある対象とされ、人事給与情報や児童相談に関わる情報まで含まれていたと報じられています。その後の外部専門機関の調査では、実際の情報漏えいを裏付ける痕跡は確認されなかったとされています。とはいえ「自分は直接使っていないサービス」が影響範囲に入るのが、受託事業者経由の怖いところです。
いえらぶGROUP・2りんかん・CAMPFIRE
4月8日には、不動産業界向けクラウドサービスを提供するいえらぶGROUPが、第三者による不正アクセスを公表しました。同じく4月には、バイク用品チェーンの2りんかんで、アプリのAPIを悪用した不正アクセスが発覚しています。第二報では最大3,455,754名分とされていましたが、6月19日の最終報で、3,179,454名分の会員データが取得されたことが確認されています。APIは「正しく呼べばデータが返ってくる」仕組みなので、一般論として、認証・認可が適切に実装されていないとこうした不正アクセスにつながる場合があるんですよね。
クラウドファンディングのCAMPFIREも、225,846ユーザーが対象となる不正アクセスを公表しました。従業員がGitHubの個人用アクセストークン（PAT）を個人の開発環境に保存していたことが起点となり、業務用クラウド環境へ侵害が広がったと報じられています。開発者としてはドキッとする話で、トークンの置き場所ひとつで業務環境まで侵害が広がりうる、というのは他人事ではありません。
2026年5月〜6月：通信・金融の大型事案が続いた時期
静岡県警のPDF黒塗り不備
5月には少し毛色の違う事案として、静岡県警の件がありました。情報公開請求で出したPDFの黒塗り処理に不備があり、14,239人分の氏名や電話番号が約8か月間閲覧できる状態になっていたというものです。黒い四角を上に乗せただけで、下のテキストデータが残っていた、という類のミスですね。サイバー攻撃ではなく、PDFの扱い方という地味なところから漏れるケースもある、という良い（悪い？）例です。
KDDIのISP向けメールシステム
2026年前半でいちばん規模が大きかったのが、KDDIがISP事業者向けに提供していたメールシステムへの不正アクセスです。一部のISPでは5月16日から不正アクセスが発生しており、KDDIが確認したのは6月17日。6月23日の第一報では最大1,422万件の可能性とされていましたが、7月6日の続報で、メールアドレス1,223万3,087名分、うちパスワード761万6,173名分の漏えいが確認されました。
原因は、システムの一部として導入していた第三者製ソフトウェアに存在した脆弱性とされています（INTERNET Watchの報道によると、6月17日時点ではベンダーが発表していない脆弱性だったとのことです）。BIGLOBE、@nifty、J:COMなど複数のISPのメールサービスに影響し、7月末には総務省が文書による行政指導を行いました。自分で選んだプロバイダーの裏側で、別の会社のシステムが動いている、というのを改めて意識させられる事案でした。
アフラック生命・加賀ソルネット「アカデミコナビ」
同じ時期には、アフラック生命保険で約440万人規模の顧客情報漏えいも報じられ、一部には保険料の振替口座情報も含まれていました。通信と金融で大型事案が続いたことで、金融庁・総務省の行政対応にまで発展しています。
6月22日には、学生向けPC販売サイト「アカデミコナビ」（加賀ソルネット）で不正アクセスが発生しました。当初は最大約17万件の可能性とされていましたが、フォレンジック調査の結果、2021年12月〜2026年4月に登録した合計165,587名分の氏名・住所・電話番号・メールアドレスなどの漏えいが確認されています。最終調査の時点では、漏えいしたファイルにマイページのパスワードは含まれていなかったとのことです。
2026年7月〜8月：ECとクラウドの「基盤」が狙われた時期
ショップサーブ・楽天ドライブ
夏場の大きな事案が、Eストアーが提供するECカートシステム「ショップサーブ」の件です。5月21日〜8月1日に不正プログラムが実行され、対象は8,853,839件にのぼりました。購入者情報だけでなく、店舗側の管理画面・メール・FTPの認証情報や振込先口座情報まで対象に含まれていたのが深刻なポイントです（すべての店舗ですべての情報が漏れたという意味ではありません）。EC業界に関わっている身としては、カートASPが侵害されると、その上で動いているすべての店舗が巻き込まれるという構造の怖さを痛感します。
7月30日には、楽天ドライブで外部事業者のプッシュ通知配信システムへの不正アクセスが判明しました。一部ユーザーのメールアドレスと固有IDが閲覧された可能性があり、不正なアプリ通知が送られるという被害も出ています。なお楽天ドライブでは、10月6日に別の不正アクセスも公表され、保存した写真や文書などのデータが1万5,382アカウント分対象になりました。この7月の件とは別事案として見る必要があります。
さくらインターネット・イエローハット・ホワイトエッセンス（初報）
8月19日には、さくらインターネットが販売管理システムへの不正アクセスで、最大約136万アカウントの契約情報が閲覧された可能性を公表しました。サーバー屋さんの販売管理側が狙われた、というのはエンジニア界隈でもかなり話題になりましたね。
8月28日には、イエローハット本体も、2りんかんとは別のWEB作業予約システムで最大1,801,499名分が漏えいした可能性を公表しています。また8月12日には、ホワイトエッセンスが予約サイトと基幹システムへの不正アクセス（確認は8月5日）を公表し、システムを一時停止しました。この時点では影響範囲や外部流出の有無は調査中で、結果が出たのは10月になってからです（後述）。
2026年9月：大規模・注目度の高い事案が相次いだ月
デジタル庁GSS・Gyazo
9月は、とにかく大きなニュースが集中した月でした。9月11日、デジタル庁はガバメントソリューションサービス（GSS）で、VPN機器の脆弱性が悪用され、府省庁職員などの個人情報約24.6万件が漏えいした可能性を公表しました。VPN機器の脆弱性は近年の侵入経路の定番になりつつあり、行政のインフラでも例外ではないことがはっきりした形です。
同じ9月11日に発生したのが、画像共有サービス「Gyazo」（Helpfeel）への不正アクセスです。画像アップロードサーバーの脆弱性を突かれて任意のコマンドを実行され、9月16日の第一報でユーザー関連データ約2,362万件と、画像に関するメタデータ約4.9億件の流出が公表されました。9月25日の第二報では、削除済み画像に関するメタデータ約1.74億件の流出も追加で確認されています。
メタデータにはEXIFの位置情報やOCRで抽出された文字列も含まれていて、スクショに写り込んだ情報が別の形で外に出ている可能性がある、というのがGyazoならではのポイントです。なお約2,362万件のうち約76%はメールアドレス未登録の匿名ユーザーとされています。サービスは9月27日に再開され、過去画像はいったん「所有者本人のみ閲覧可能」な状態に戻されました。開発者の方は業務の画面共有でGyazoを使っていたケースも多いと思うので、パスワードの変更と、使い回しの見直しはやっておきましょう。
@cosme・ファインズ・タイムズカー・OZmall
@cosme（アイスタイル）では、社内でのファイル受け渡しに外部のファイル転送サービスを使ったことで、登録された個人情報が20分間閲覧可能になっていた事案が公表されました。9月22日にはファインズの予約システムで異常が検知され、1,536,322件が対象に。予約した店舗・メニュー・日時まで含まれているので、生活パターンが推測されかねない種類の情報です。
そして9月25日、カーシェアの「タイムズカー」（パーク24の子会社タイムズモビリティ）がWebシステムへの不正アクセスを検知しました。続報で約660万アカウントの情報が取得されたことが確認され、9月29日の第3報では、うち約160万アカウントで運転免許証画像などの本人確認書類の漏えいが確認されています。退会後の会員も対象に含まれていたことから、「そもそもそこまで保存しておく必要があったのか」という議論も起きました。
免許証画像は顔写真・氏名・住所・生年月日がワンセットになっているので、なりすましによる口座開設などに悪用されるリスクがあります。現時点で不正利用は確認されていないとされていますが、10月に入ってからは集団訴訟に向けた動きも報じられています。本人確認書類まで含むため、2026年の大規模な情報漏えい事案の一つとして、今後の対応が注目されます。同じ9月末には、OZmallでも海外からの大量の不正アクセスが検知され、10月1日の第2報で対象は最大442,779名分に精査されています。
2026年10月：最初の10日間に大規模な公表が相次ぐ
10月上旬は、会員管理システムへの不正アクセス、委託先でのマルウェア感染、クラウドサービスへのランサムウェア攻撃と、種類の違う事案が短期間に相次いで公表されました。各社が公表した対象件数は数百万件から1,000万件超まで幅があります。ただ、実際の流出を確認したケースもあれば、おそれの段階で調査中のケース、サービス障害にとどまるケースもあり、確定度はバラバラです。
ここでは、各社の公式発表や報道をもとに、主な事案を公表日を軸にまとめています。委託先やクラウド事業者の事故については、事業者側の発表と、利用企業側で公表された影響を分けて書きました。件数の単位（件・人・アカウント・会員番号）は、各社の公表どおりです。
焼肉きんぐ・ミスターマックス・infoQ（10月5日〜6日）
10月5日、物語コーポレーションが「焼肉きんぐ」公式アプリへの不正アクセスで、会員情報1,078万8,963件の流出を確認したと公表しました。報道によるとアプリ登録者は1,080万8,784件で、そのほぼ全件にあたる規模です。対象は会員番号・アプリ登録名・メールアドレス・電話番号とされています。ログインパスワードや生年月日、決済情報は含まれていないとされていますが、原因や経緯はまだ調査中です。
翌10月6日には、ミスターマックスがアプリとオンラインストアの会員情報について、最大1,735,154人分の流出を公表しています。また10月5日には、GMOリサーチ&AIのアンケートサイト「infoQ」で、サイトのソフトウェアの脆弱性を悪用され最大948,498件の情報が持ち出されたことが判明しました。こちらはポイントがAmazonギフトコードへ不正に交換される被害（611件）まで出ています。
問い合わせ管理サービス「i-ask」経由で大和証券などに波及（10月5日〜7日）
委託先経由の典型例になったのが、スカラコミュニケーションズの問い合わせ管理サービス「i-ask」です。10月2日夜〜3日朝に管理サイトへ不正ログインされ、不正なプログラムが設置されました。同じサーバー上の利用企業のデータベースから問い合わせ情報が取得された可能性があり、スカラコミュニケーションズの10月6日の発表では、影響は利用企業最大5社、問い合わせ情報で合計最大713,126件です。これは問い合わせの件数で、人数ではありません。
これを受けて、大和証券（10月5日、顧客約11万名・問い合わせ約22万件）、シチズン時計（約10万件）、損害保険ジャパン（10月7日、最大約6万件）が、それぞれ漏えいのおそれを公表しました。問い合わせ本文には、氏名やメールアドレスだけでなく「何に困って連絡したか」という中身まで含まれるので、地味に見えて情報の重さはけっこうあります。共有サーバー型のSaaSで、他社のデータベースまで届いてしまった点も気になるところです。
第一興商・ローソン（10月8日）
10月8日には、第一興商が約872万件の漏えいのおそれを公表しました。原因は、個人情報の取り扱いを委託している日本コロムビアグループの従業員PC1台のマルウェア感染です。対象はビッグエコーやDKダイニングなどの利用者情報と従業員情報で、氏名・性別・生年月日・メールアドレス・電話番号が含まれます。なお、実際の外部流出や不正利用は確認されていない段階です。
同じ10月8日、ローソンも「ローソンID」への不正アクセスで2,155,345件の個人情報漏えいを確認したと公表しました。ローソンアプリ予約への不正アクセスでも26件の漏えいが確認され、こちらにはクレジットカード番号の一部が含まれていました。PC1台の感染でも、正規の表示機能の悪用でも、ここまでの規模になるのは怖いですね。
skyticket・ブックオフ・バイトル（10月9日）
10月9日はさらに大きな公表が重なりました。旅行予約サイト「skyticket」を運営するアドベンチャーは、経路の異なる3つの事案を公表しています。いちばん大きいのは、管理機能の一部を不正操作されサーバーやクラウド上のデータにアクセスされた件で、約1,464万件の流出を確認しました。うち約413万件にはハッシュ化されたログインパスワードが含まれています。
skyticketではほかにも、業務管理システムの脆弱性を突かれ返金先の口座情報を含む1万7,780件が対象になった件や、バスの予約完了ページがログインなしで見られる状態だった件（約1万2,000件）が明らかになっています。「ログイン不要で表示できるページ」は、Web制作をしている身としてはかなりドキッとする原因です。ハッシュ化されたパスワードでも安全とは限らないので、skyticketから対象者向けの案内が届いた場合は、公式サイトで内容を確認してパスワードを変更してください。同じパスワードを他のサービスで使い回している場合は、そちらも変えておきましょう。
同じ日、ブックオフグループホールディングスは子会社の会員管理システムへの不正アクセスで、最大約643万件の情報が取得された可能性を公表しました。この件数は会員番号の数で、人数は精査中とされています。対象にはパスワードのハッシュ値や住所も含まれます。さらにディップも、求人サイト「バイトル」で最大約388万件の会員メールアドレスが漏えいしたおそれがあると発表しています。
IDCFクラウドのランサムウェアと、JR東日本・ビューカードへの波及（10月7日〜9日）
10月7日未明には、IDCフロンティアのクラウドサービス「IDCFクラウド」がランサムウェア攻撃を受け、契約する495の企業・自治体に障害が広がりました。同社の10月8日の第3報によると、一部のゾーンでは顧客データの取り出しや復元が難しい見通しとされています。クラウド事業者そのものについては、現時点で「情報漏えい」ではなく「ランサムウェアによるサービス障害」として見ておくのが正確です。
ただ、その影響は利用企業の側で漏えいのおそれとして表に出てきています。10月9日、JR東日本は「えきねっと」（約167万件）と「大人の休日倶楽部」（約39万件）、グループのビューカードは約403万件のメールアドレスについて、閲覧または取得された可能性を公表しました。いずれもメール配信に使っていた外部サービス経由で、氏名や住所、カード番号は含まれないとしています。利用者から見えない場所にある基盤で事故が起きると、こういう形で何百万人単位に広がるわけです。
ホワイトエッセンスは「持ち出しを確認」の段階へ
10月5日、ホワイトエッセンスが8月の不正アクセスについて調査結果を公表しました。予約サイトのプログラムの脆弱性が悪用され、そこから基幹システムに侵入されたことが判明し、8月5日時点で登録されていた約105万アカウントの情報が外部に持ち出されていたとのことです。対象には顧客だけでなく、加盟院の関係者や本部社員も含まれます。
漏えいした情報は対象者ごとに異なり、氏名・住所・電話番号・メールアドレス・生年月日・勤務先・ログインID・暗号化されたパスワードなどが含まれます。一方で、金融機関の口座情報は同社が保有しておらず漏えいしていない、顧客の画像の漏えいも確認されていない、としています。初報から約2か月かけて「おそれ」から「確認」に進んだ事案なので、下で紹介する調査中の事案とは確定度が違う点に注意してください。ちなみに10月5日は、焼肉きんぐ、infoQ、大和証券、ホワイトエッセンスと、大型の公表が1日に4件も重なった日でした。
大阪公立大学など調査中の事案
大阪公立大学では10月2日に大規模なシステム障害が発生し、5日にランサムウェア攻撃が原因と発表されました。約500台のサーバーが停止し、13万人分の個人情報が流出したかどうかを調査中で、記事執筆時点では流出は確定していません。確認された事実と推測は分けて見る必要があるので、ここは続報を待ちたいところです。
ほかにも、ハッカーが楽天会員1億件超の個人情報の販売を主張している、という話も出回っています。ただ漏えい元や真偽は確認されておらず、こうした「犯行声明・主張」の段階の話は、確定した事案とは分けて受け止める必要があります。SNSで拡散されやすい類の話なので、公式の発表が出るまでは落ち着いて見ておきましょう。
2026年の事案から見える3つの傾向
委託先・基盤サービス経由で「横に広がる」
今年の事案を並べてみて特に目立ったのは、サービス提供企業や受託事業者が侵害され、その先のISP・EC店舗・自治体・委託元へ影響が広がるケースです。KDDI、ショップサーブ、YCC情報システム、日本テレネット、そして10月のi-askやIDCFクラウドなどがまさにそうで、利用者からすると「契約した覚えのない会社の事故で自分の情報が漏れる」状態になります。発注する側も、委託先のセキュリティ体制まで確認する時代になったと言えそうです。
侵入経路はVPN・API・認証情報など多岐にわたる
侵入経路も、VPN機器やネットワーク機器の脆弱性、アプリのAPI、第三者製ソフトウェアの未知の脆弱性、そして開発者が扱う認証情報と、本当にさまざまです。Web制作やアプリ開発に関わる人間としては、APIの認可設計やトークンの管理、PDFの黒塗りのような「地味な処理」が、そのまま大規模漏えいの入り口になりうるという点は肝に銘じておきたいところです。
本人確認書類や位置情報など、影響の大きい情報を含む事案も目立つ
もう一つの傾向は、漏れる情報の中身の重さです。タイムズカーの免許証画像、Gyazoの位置情報やOCR文字列、ファインズの予約日時、skyticketの返金先口座、i-askの問い合わせ本文など、メールアドレスや氏名だけでは済まない情報を含む事案が今年は目立ちました。件数の多さよりも「何が漏れたか」で被害の深刻さが決まる、という見方がこれからはより大事になりそうです。
まとめ
2026年の国内の情報漏えいを振り返ると、KDDIのメール基盤、ショップサーブ、Gyazo、タイムズカーと、規模も影響範囲も大きな事案が続いた一年でした。特に9月は大規模な事案が相次ぎ、10月も最初の10日間で、焼肉きんぐ、skyticket、第一興商、ブックオフなど、対象件数が数百万〜1,000万件超にのぼる公表が相次ぎました（流出確認とおそれの段階が混在しています）。この記事の内容は10月11日時点（10月9日までの公表分）のものなので、件数や状況は今後の続報で変わる可能性がある点はご了承ください。
傾向としては、委託先や基盤サービスが侵害されて影響が横に広がるケース、VPN・API・認証情報など多岐にわたる侵入経路、そして本人確認書類や位置情報といった影響の大きい情報を含む事案が目立ちました。どれも一社の努力だけでは防ぎきれない構造的な問題で、発注側・開発側・利用者側それぞれが自分の持ち場でできることを積み重ねるしかないのかな、と感じています。
利用者としてできることは、パスワードの使い回しをやめること、二段階認証を有効にしておくこと、そして漏えいの後に増える「おわび」を装ったフィッシングに注意することです。お詫びメールやSMSが届いても、リンクは踏まずに公式サイトから直接確認するのが安全です。地味ですが、これが一番効きます。
開発する側としては、認証情報の置き場所、APIの認可、不要になった個人データの削除、そして導入しているミドルウェアや機器の脆弱性情報のチェックと、今年の事案から学べることはたくさんあります。自分も含めて「うちは大丈夫」と思わずに、一度自分の担当範囲を見直してみるきっかけにしていただければと思います。
【参考文献】
個人情報漏洩の事例 記事一覧｜セキュリティ対策Lab
KDDI、ISP向けメールシステムへの不正アクセスで続報。1223万件のメールアドレス、762万件のパスワードが漏えい｜INTERNET Watch
総務省がKDDIに行政指導、ISP向けメールシステム不正アクセス 約762万人に影響｜ケータイ Watch
画像共有サービス「Gyazo」に不正アクセス、約2,362万件のユーザーに関するデータが流出｜ScanNetSecurity
Gyazoへの不正アクセス、削除済み画像のメタデータ約1.74億件も流出｜セキュリティ対策Lab
画像共有サービス「Gyazo」が9日ぶりにサービス再開｜窓の杜
「タイムズカーWebサイト」への不正アクセスに関する調査結果および今後の対応について（第3報）｜タイムズカー
「タイムズカー」への不正アクセス、約160万件の運転免許証画像等の本人確認書類が漏えい｜ScanNetSecurity
ホワイトエッセンス、不正アクセスで約105万アカウントの個人情報漏洩｜セキュリティ対策Lab
ホワイトエッセンスの予約サイトおよび基幹システムに不正アクセス｜ScanNetSecurity
2りんかんイエローハットに不正アクセス｜ScanNetSecurity
2りんかんアプリ不正アクセス 最終報｜セキュリティ対策Lab
日本テレネット ランサムウェア被害の調査結果｜セキュリティ対策Lab
YCC情報システム ランサムウェア被害まとめ｜セキュリティ対策Lab
楽天ドライブに不正アクセス（10月6日公表）｜ケータイ Watch
タイムズカーの個人情報漏洩で集団訴訟準備サイトに3万7000人登録｜セキュリティ対策Lab
Gyazo不正アクセスの経緯解説｜株式会社一創
焼肉きんぐ公式アプリに不正アクセス｜週刊アスキー
スカラコミュニケーションズ「i-ask」に不正アクセス｜INTERNET Watch
第一興商、委託先PCのマルウェア感染で約872万件漏えいのおそれ｜INTERNET Watch
skyticketに不正アクセス、約1464万件流出｜INTERNET Watch
ブックオフ会員情報 最大約643万件漏えいの可能性｜セキュリティ対策Lab
バイトル 最大388万件のメールアドレス漏えいのおそれ｜NHK
「IDCFクラウド」にランサムウェア攻撃｜ScanNetSecurity
IDCFクラウド被害、JR東日本「えきねっと」などに波及｜セキュリティ対策Lab
IDCフロンティア社への不正アクセスに関するお知らせ｜ビューカード
2026年の情報漏洩・不正アクセス・ランサムウェア事案一覧｜ウェステリア
国内で相次ぐ不正アクセスに対する注意喚起についてまとめてみた｜piyolog
infoQでポイント286万円分も不正交換、94万件が対象に｜@IT
2026年9月〜10月 国内の情報漏洩・不正アクセス一覧｜SmartScope
