トレンド

なぜ今、個人情報の流出が相次いでいるのか|分かっていること・まだ分からないこと(2026年10月)

公開日:2026-10-14

執筆・監修:よろずやIT編集部|編集方針を見る

結論:まずここだけ読めばOK

1.2026年9月前後から、国内組織で不正アクセスによる個人情報の流出が相次いでいる(JPCERT/CC・個人情報保護委員会が注意喚起)
2.JPCERT/CCは、共通する1つの脆弱性ではなく、標的ごとの探索・API経由の不正操作・特定の分析ツールの脆弱性などが確認されていると説明している
3.件数が急増しているかは見方が分かれる。直近の大規模事案が短期間に公表され、目立っている面がある
4.「なぜ今、一斉に」の決定的な答えは、まだ出ていない。確認できていることと、推測を分けて見る必要がある

詳しい手順・原因は、この下で解説しています。

セキュリティのイラスト

※この記事は、2026年10月14日時点で公表・報道されている情報をもとに書いています。調査は続いており、続報によって内容が変わる可能性があります。件数は各社の公表時点のもので、「可能性」や「最大」を含みます。

何が起きているのか

2026年9月から10月にかけて、保険、証券、飲食、コンビニ、カーシェア、小売、自治体など、さまざまな分野で、不正アクセスによる個人情報の流出が、相次いで公表されています。

JPCERTコーディネーションセンター(JPCERT/CC)は、2026年10月8日に注意喚起を出し、**「2026年9月前後で、国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいる」**と述べています。個人情報保護委員会も、10月7日に、事業者向けの注意喚起を公表しました。

主な公表例(2026年10月13日までに公表されたもの)

数字は、各社の公表や報道にもとづくもので、調査の進展で変わることがあります。「最大」「可能性」「おそれ」を含みます。

公表日	主な事案	規模の目安(公表)
9月11日	デジタル庁の政府共通の業務基盤(VPN機器の脆弱性)	約24.6万件の可能性
9月25日	タイムズカー	最大約660万アカウント(重複を含む)
10月5日	焼肉きんぐ(公式アプリの会員)	1,078万8,963件
10月5日	大和証券ほか(委託先のFAQシステム経由)	大和証券で約11万名
10月6日	ミスターマックス	最大約173万人
10月8日	ローソンID	215万5,345件
10月8日	第一興商(ビッグエコー等。委託先のPCのマルウェア感染)	約872万4,000件のおそれ
10月9日	skyticket(経路の異なる3件の不正アクセス)	最大約1,464万件
10月9日	ブックオフ(子会社の会員管理システム。10月13日に第2報)	6,427,735件(第2報)
10月9日	バイトル、バイトルNEXT	メールアドレス最大約388万件
10月9日	JR東日本(えきねっと等。IDCFクラウドの被害の波及)	最大約206万件
10月9日	JR九州Web会員(同上)	メールアドレス最大約130万件
10月13日	防災メール配信サービス「SpeeCAN RAIDEN」(全国の自治体が利用)	メールアドレス最大約313.6万件(推定)
10月13日	銀のさら・釜寅・すし上等	最大約650万件の可能性と報じられている

ある事業者の集計では、9月25日から10月8日までに第1報が出た事案は、確認できたもので36件とされ、10月10日から12日には、新しい第1報は確認できていないと整理されています。これは公的な確定統計ではなく、集計元が把握した一覧です。主な事案の、流出した情報と、パスワードの扱いは、個人情報流出 2026年10月の主な事案|パスワード変更は必要?早見表にまとめました。

確認されていること:JPCERT/CCが挙げた手口

JPCERT/CCは、把握している情報は限定的で断片的だとしたうえで、次のような手口を確認していると説明しています。

ケース	内容
A	さまざまなソフトウェアの既知の脆弱性を探して、攻撃を試す。1つの共通の脆弱性ではなく、標的ごとにスキャンしている可能性がある。脆弱性ではない機器の管理不備(環境設定ファイルやバックアップファイルの窃取など)を突く例もある
B	API経由の不正な操作。公開されているスマホアプリを解析して、APIの宛先やキーを特定する。画面からは操作できない内部APIへの攻撃。他のシステム侵害で盗んだAPIキーの利用
C	データ分析ツール「Metabase」のSQLインジェクションの脆弱性(CVE-2026-72898)の悪用
D	公開Webサーバーから到達できるアプリケーションサーバーに、Webシェル(外部から遠隔操作するための不正なファイル)が設置された

重要なのは、JPCERT/CCが、**「すべての事案で同一の攻撃手法が使われているとは限らない」**と、明記している点です。

また、被害に遭っているのは、一般の利用者向けアプリだけではありません。BI(分析)ツールや、従業員向けの管理システムのように、「不特定多数の利用者からのアクセスを想定していない」システムが、被害に遭い、内部の情報が漏れたケースもあると、述べています。

報じられている、そのほかの経路

事案ごとに、次のような経路が、報じられています。

既知のVPN機器の脆弱性の悪用(政府の共通基盤の事案)
委託先への不正アクセス、複数の企業が使うFAQシステムへの不正アクセス(証券会社などへ波及)
委託先の従業員のパソコンのマルウェア感染(報じられた事案)
管理用アカウントのログイン情報の不正取得(報じられた事案)
クラウド事業者へのランサムウェア攻撃の影響が、利用企業の会員情報に波及(IDCフロンティアのクラウドが攻撃を受け、JR東日本・JR九州などの会員のメールアドレスが漏えいした可能性が公表された)
経路の異なる複数の不正アクセスが、1つの企業で同時に見つかった事案(skyticket)

どれも、すでに存在する弱点や、管理の隙を突く手口という点は共通しています。ただ、侵入経路が調査中の事案も多く、全体像は、まだ見えていません。

「本当に増えているのか」

ここで、冷静に見たい点があります。デジタル庁の大臣は、10月2日の会見で、不正アクセスなどによる情報漏えい等の件数は、「必ずしも増加傾向にない」との見方を示した、と報じられています。示された統計では、2024年度の7,604件から、2025年度は3,822件に減少していたとのことです。

ただし、この統計だけでは、直近の大規模な事案が、増えているのか、1件あたりの規模が大きくなっているのかまでは、分かりません。今回の特徴は、大規模な事案が、短期間に集中して公表されたことです。

つまり、現時点で言えるのは、次のことです。

件数の全体が急増しているかは、確定していない
大規模な事案の公表が、短期間に集中しているのは、事実として確認できる

なぜ今、一斉に?:分かっていることと、推測

「なぜ今なのか」について、決定的な答えは、まだありません。そこで、確認できる事実と、**見立て(推測)**を、分けて整理します。

確認できる事実

攻撃の手口は複数あり、1つの共通の原因とは、されていない
APIや、管理・分析ツールなど、「想定していなかった入口」が狙われている例がある
委託先や共通のサービスを経由して、複数の企業に影響が出ている
一般の利用者向けサービスは、会員データが大量に集まっている

見立て(あくまで推測)

公表が重なっている:侵入から発覚、調査、公表までには時間がかかります。時期の違う事案が、同じ頃に公表されることで、「一斉に起きた」ように見えている可能性があります
注目が注目を呼んでいる:大きな報道を受けて、他の企業が自社の点検を進め、被害を確認・公表するケースが増えることも考えられます
探索の自動化:標的ごとに、既知の弱点を広く探す手口は、機械的に大量に試せるため、効率よく攻撃できる側に有利です

これらは、私の見立てであり、事実として確認されたものではありません。

AIとの関係

情報処理推進機構(IPA)の「情報セキュリティ10大脅威 2026」では、組織向けの脅威として、「AIの利用をめぐるサイバーリスク」が、初めて3位に入りました。AIの悪用で、攻撃が容易になったり、手口が巧妙になったりするリスクが、指摘されています。ただし、今回の個別の流出が、AIによって引き起こされたと確認されているわけではありません。

私たちは、何を見ておけばよいか

「なぜ今」の答えを待っていても、被害は防げません。個人としては、次の3点が現実的です。

自分が使っているサービスが、公表された事案に含まれていないか、公式の発表で確認する
「お詫び」や「補償」を名乗る連絡は、疑う(流出の公表後は、これを装う詐欺が増えるおそれがあります)
パスワードの使い回しをやめ、多要素認証を設定する

具体的な手順は、次の記事にまとめています。

組織の側の点検項目は、個人情報を漏らさないための点検リストにまとめました。

まとめ

2026年9月前後から、国内で、不正アクセスによる個人情報の流出が相次いで公表されている
JPCERT/CCは、複数の手口(既知の脆弱性の探索、API経由、特定ツールの脆弱性、Webシェル)を確認しているが、全事案が同じ手口とは限らないと説明している
件数が急増しているかは見方が分かれ、確かなのは大規模事案が短期間に集中して公表されたこと
「なぜ今」の決定的な答えは、まだ出ていない。事実と推測を分けて見る
個人は、使い回しをやめ、多要素認証を設定し、不審な連絡を疑う

防災メール配信サービスの登録者向けの対処は、自治体の防災メール登録情報が流出のおそれをご覧ください。

この特集の記事(個人情報流出)

参考にした情報

JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」(JPCERT-AT-2026-0030、2026年10月8日公開・9日更新):https://www.jpcert.or.jp/at/2026/at260030.html
個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について(注意喚起)」(2026年10月7日):https://www.ppc.go.jp/files/pdf/261007_houdou.pdf
週刊アスキー「相次ぐ不正アクセス、どう侵入される?JPCERT/CC、3つの攻撃手法を公表」(2026年10月8日):https://weekly.ascii.jp/elem/000/004/441/4441170/
週刊アスキー「相次ぐ不正アクセス、国が注意喚起」(2026年10月8日):https://weekly.ascii.jp/elem/000/004/441/4441146/
A305「なぜ情報流出が止まらないのか――2026年秋、相次ぐ不正アクセスを読み解く」(note、2026年10月10日):https://note.com/a305/n/nbe333477fd55
IPA「情報セキュリティ10大脅威 2026」:https://www.ipa.go.jp/security/10threats/10threats2026.html

※件数や原因は、各社の公表や報道にもとづくもので、今後の調査で変わる可能性があります。最新の情報は、各社・各機関の公式発表をご確認ください。

関連記事:セキュリティ事故への備え

関連記事:GMO「お名前.com デスクトップクラウド」不正アクセスとは

入門　サイバーセキュリティ　理論と実験暗号技術・ネットワークセキュリティ・ブロックチェーンからPython実験まで [ 面和成 ]

¥3,300

楽天で見る

SHAREX LINE はてブ

よくある質問

Q.今回の流出は、すべて同じ原因なのですか?

A.JPCERT/CCは、すべての事案で同じ攻撃手法が使われているとは限らない、と説明しています。確認されているのは、既知の脆弱性の探索、API経由の不正操作、特定の分析ツールの脆弱性の悪用、Webシェルの設置など、複数の手口です。事案ごとに、侵入経路は調査中のものもあります。

Q.AIによる攻撃が原因ですか?

A.AIの悪用によるサイバー攻撃のリスクは、情報処理推進機構(IPA)の「情報セキュリティ10大脅威 2026」でも、組織向けの脅威として取り上げられています。ただし、今回の個別の流出事案が、AIによって引き起こされたと確認されているわけではありません。

Q.自分も、被害に遭っているのでしょうか?

A.公表された事案で、自分が利用しているサービスが対象になっていないか、公式の発表や、企業からの通知を確認してください。対象かどうか分からない場合も、パスワードの使い回しをやめ、多要素認証を設定するなど、基本的な備えをしておくことをおすすめします。

トレンド用語解説

困りごとを、テーマ別ガイドから探す

バックアップ・データを失わないスマホの不調・困りごとパソコン・Windowsの不調 Wi-Fi・ネットワーク詐欺・流出・アカウントを守る Excel・スプレッドシート仕事のアプリ・会議・メール AIの基本と、仕事での安全な使い方プログラミング・Webの基礎クラウド・サーバー・システム設計アプリ・SNS・決済の使い方周辺機器・買い替えの選び方

カテゴリから探す

PC・スマホ操作アプリアプリ用語辞典用語プログラミング入門トレンド時事

記事一覧をすべて見る

なぜ今、個人情報の流出が相次いでいるのか|分かっていること・まだ分からないこと(2026年10月)