2026年11月4日 最新追加＆5視点・深層再調査：見落とし企業・機関を徹底発掘し「全2,385件」を完全網羅
2026年11月4日、最新の公式発表および「5つの異なる調査視点」からの全期間深層再調査に基づき、本記事のマスターデータベースに新たな情報漏洩・不正アクセス公表事案704件（直近発表・Q1補完407件＋5視点の再調査による見落とし発掘297件）を追加更新しました（10月26日時点の1,684件から総計2,385件へ大幅拡大）。あわせて、確定した2026年10月末までの月次・累計統計データを記事内および統計ボードに完全統合しています。
従来のインシデント集計（4月以降の外向きWeb攻撃を中心としたクリップ等）では、同じ組織名が10月のサプライチェーン連鎖（SpeeCAN RAIDENやブラストメール等）に含まれている場合に1〜9月の独立事案がマスクされてしまう問題や、新聞・専門誌で「引抜鋼管メーカー」「プラ製品メーカー」「ペット用品会社」「静岡県の病院」のように匿名見出しで報じられた事案、さらには上場企業のTDnet適時開示・金融機関の物理媒体紛失・大学病院の電子カルテ侵害などが漏れやすいという死角がありました。
そこで今回の再調査では、以下の5つの異なる角度から2026年1月〜11月4日の全期間（全643本の専門誌記事本文・適時開示・官公庁発表）をクロス照合し、見落とされていた297件の独立事案を新たに特定・収録しました。
- 視点1（上場企業TDnet適時開示・PR TIMES・海外子会社・BtoBランサムウェア）：ジェックス（GEX・ペット用品通販78,979件、うちクレカ18,869件）、テイン（東証スタンダード上場・株主5,482名および社員等1,822名のマイナンバー含む計7,304名分がランサムウェアで流出）、コバヤシ（プラ製品メーカー・8,149件流出）、デンソー（海外2拠点サイバー攻撃）、サッポロホールディングス（海外グループ2社）、アルプスアルパイン（VPN機器経由サーバー侵害）、ニデック（台湾子会社ランサムウェア）、アルバック（海外子会社）、東北新社・オムニバス・ジャパン（ランサムウェア・ダークウェブ掲載）、ハリマ化成グループ（米国子会社2社）、河西工業、三精テクノロジーズ、ヨネックス（海外子会社）、ハンズホールディングス、ウチヤマHD、穴吹興産、コスモスイニシア（大和ハウスグループ）、モリテックスチール、セゾンテクノロジー（申込書約5年間閲覧可能）、日本経済新聞社（米国子会社M365不正ログイン）、HIS（タイ子会社パスポート情報）、商船三井クルーズ、ロート製薬（通話音声データ流出懸念）、モンベル、円谷プロダクション、まんだらけ、アソビュー、ハルメクHD、エバラ食品工業、キリンビール、TOKYO FM、ナカバヤシ、ファイブフォックス、あすか製薬HD、コマツ、全日空商事、2025年日本国際博覧会協会、ムーンスター、村瀬鞄行、石川コンピュータ・センター（ICC）、中央紙器工業、青山財産ネットワークス、AGSなどを網羅。
- 視点2（ECサイト決済アプリ改ざん・クレジットカード情報漏洩）：東急モールズデベロップメント（クレジットカード決済データ2.5万件超を店舗へ誤送信）、インテリックス（カーテン通販サイト決済アプリ改ざんによるクレカ流出懸念）、環境機器「虫退治ドットコム」（クレカ番号・セキュリティコード流出懸念）、GMOペイメントゲートウェイ（ライフカード「Vプリカ」システム障害・情報閲覧）、ポラリス・ホールディングス（宿泊予約サイト口座情報改ざん）などを追加。
- 視点3（金融機関の物理媒体紛失・AIテスト環境公開・誤送信）：阿波銀行（OAシステムのAI高度化検証用テスト環境における設定・消去不備により、法人インターネットバンキング契約先10,872件・株主情報11,122件・取引先5,751件の延べ27,745件が外部から閲覧可能に）、三井住友銀行（公金納付書等約2,000人分所在不明）、みずほ銀行（再々委託先で記録媒体所在不明）、ローソン銀行（ATM記録ドライブ2台所在不明）、北都銀行（7支店で整理口明細紛失）、青森みちのく銀行（2支店で顧客書類所在不明）、山陰合同銀行（委託先PC紛失）、GMOあおぞらネット銀行（委託先無断転用ファイル残存）、佐銀デジタルパートナーズ（佐賀銀行グループ）、東京三協信用金庫（本店90営業日分の伝票綴り段ボール2箱分紛失）、豊川信用金庫（27店舗で印鑑届紛失）、横浜信用金庫（3支店で書類紛失）、呉信用金庫、旭川信用金庫、損害保険ジャパン・TOPPANエッジ（控除証明書リスト他損保へ誤送信）、オリックス生命保険（募集代理店向けメール誤送信）、生命保険協会、JA共済連、アーク東短オルタナティブなどを収録。
- 視点4（医療機関・大学病院・国立研究機関・大学の独立事案）：日本医科大学武蔵小杉病院（保守用VPN経由のランサムウェア感染で約13万人分の患者情報流出）、医療法人社団白梅会 白梅豊岡病院（電子カルテランサムウェア・ダークウェブ流出）、徳島大学病院、市立奈良病院（電子カルテシステム停止）、国立国際医療研究センター（患者情報HDD紛失）、順天堂大学医学部附属練馬病院、新潟大学医歯学総合病院、東邦大学医療センター大森病院、福島県立医科大学附属病院、関西医科大学附属病院、名古屋医療センター、宝塚市立病院、マツダ病院、藤田医科大学病院、長崎みなとメディカルセンター、国立病院機構埼玉病院、多根総合病院、荻窪病院、さらに日本原子力研究開発機構（JAEA・研究用原子炉利用者の身分証や特殊健診結果流出）、医薬品医療機器総合機構（PMDA）、情報通信研究機構（NICT）、国立医薬品食品衛生研究所（NIHS）、九州大学（研究室ランサムウェア・手術動画流出懸念）、慶應義塾大学（理工学部SSD紛失）、東京大学定量生命科学研究所、神戸大学、埼玉大学、大阪教育大学（2,376件誤送信）、武蔵野大学、中央学院大学、富山県立大学、沖縄県立看護大学、山口大学、兵庫県立大学、札幌医科大学、高知工科大学などを追加。
- 視点5（10月の共通基盤連鎖にマスクされていた全国自治体・教育委員会の1〜9月独立事案）：東京都江戸川区教育委員会（小学校で児童904人分の調査票・顔写真入りSDカード紛失）、大津市教育委員会（保健室利用履歴・生徒指導日報など84家庭分を誤送信）、千歳JAL国際マラソン（参加者1,500人分）、さらに東京都、大阪府、大阪市、名古屋市、福岡市、京都市、川崎市、仙台市、新潟市、熊本市、横須賀市、柏市、藤沢市、厚木市、松山市、長岡市などで1〜9月に発生していた独立した個人情報漏洩・誤送信・紛失事案を月次単位で分離・収録。
もちろん、10月末〜11月初旬に発表された超大型・主要事案であるアララ「アララ メッセージ」（約7,700万件）、良品計画「無印良品 MUJIアプリ」（約2,726万件）、ノジマ（約700万件）、プレステージ・インターナショナル（約550万件）、ウィルズ「ネットマイル」（約549万人）、カンム「バンドルカード」（516万人）、クラブツーリズム（432万件）、花キューピット（423.8万件）、楽天トラベル（354万件）、ゲームトレード（338.5万件）、アイスタイル「@cosme」（300万人）、So-net / ドコモ光plala（258.5万件）、松屋フーズHD（237.9万件）、TKC（223万件）、モアコンタクト（154.8万件）、ティンパンアレイ（120万件）、DCM（75.3万人）、北陸電力（55万件）、セブン‐イレブン「7NOW」（16.9万件）、サントリーHD（10.5万人）、JAL・JTA（9.2万人）などもすべて網羅しています。
PROMPT / ADVICE : 11月4日の最新追加・再調査発掘分（704件）や1〜10月末確定分（2,343件）をワンクリックで絞り込めます下のマスターデータベース上部にある赤い「11/4 追加・再調査分 (704件) のみ表示」ボタンや黒い「1〜10月末確定分 (2,343件) を表示」ボタンを押すと、見たい期間の企業・機関リストだけを即座に一覧表示できます。
2026年10月末までの確定統計サマリー（10月単月1,543件・1〜10月末累計2,343件）
まずは、5視点の再調査を反映して確定した2026年10月31日時点の「10月単月」および「1月〜10月末累計」の全体数字を整理します。
- 10月単月の公表件数（確定値）：1,543件（1日あたり平均49.8件）。9月（176件）の約8.8倍へと爆発的に跳ね上がりました。週別では10月12日〜18日の1週間だけで662件（過去最多）、10月19日〜25日に401件、10月26日〜31日の月末6日間でも262件が公表されました。
- 1月〜10月末までの累計公表件数（確定値）：2,343件。月別の確定内訳は、1〜3月（Q1）が192件（1月69件・2月60件・3月63件）、4月が81件、5月が64件、6月が94件、7月が76件、8月が117件、9月が176件、そして10月が1,543件（4〜10月累計2,151件）です。10月単月だけで1〜10月末累計の実に65.9%を占めています。
- 10月末時点の規模別・セクター別確定内訳：10月末までに公表された2,343件のうち、1,000万件超のメガブリーチは13件、100万件超は63件、10万件超は146件、漏洩確認済み事案は489件に達しました。組織種別では民間企業・団体が1,439件（61.4%）、公的機関・自治体が747件（31.9%）、教育・研究機関が90件、医療・福祉機関が67件となっています。
- 個人情報保護委員会（PPC）への法定報告累計（10月末時点）：個人情報保護委員会が公表した集計によると、2026年度に不正アクセス等で個人情報が漏洩した対象者数は10月末時点で延べ約2億6,000万人分に達しました。10月単月に同委員会へ提出された報告件数は830件にのぼり、前月までの月200〜300件ペースから約3倍に急増しています。
- 11月1日〜4日の最新動向：11月に入ってからも公表の波は止まらず、11月4日までに42件（ノジマ700万件、プレステージ・インターナショナル550万件、ウィルズ549万人、アイスタイル「@cosme」300万人、TKC 223万件、ユーコープ21万件、セブン‐イレブン「7NOW」16.9万件、デイリー馬三郎15.2万件、近鉄・都ホテルズ12.9万件、サントリーHD 10.5万人、エバラ食品工業、横浜市・大阪市・姫路市等のTKC／アララ連鎖など）が新たに発表され、11月4日時点の通年累計は2,385件（個別・主要931件＋共通基盤連鎖1,454件、100万件超68事案・10万件超159事案）に到達しています。
累計2,385件・100万件超が68事案。2026年に日本のセキュリティで何が起きたのか
「まさか、あのインフラ企業まで抜かれるとは」
2026年の秋、企業の情報システム部門や経営層のあいだで、そんな言葉が何度交わされたことでしょうか。毎日のように届く「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」のリリースに、感覚が麻痺しそうになった担当者も少なくないはずです。
東京商工リサーチの過去統計と比較すると、2026年の異常さがさらに際立ちます。2012年から2025年までの14年間で、1,000万人規模の超大規模な情報漏洩は累計3回しか起きていませんでした。ところが2026年は、1,000万件超のメガブリーチだけで13事案（物理媒体紛失を含めれば14事案）に達し、100万件以上の大規模漏洩は68事案、10万件以上の事案は159事案にのぼっています。
なぜこれほど爆発的に被害が連鎖したのでしょうか。全2,385件のデータを解剖すると、共通クラウドサービスや委託先を経由したサプライチェーン連鎖だけで1,454件を占める一方、個別企業のVPN機器・EC決済基盤・海外子会社・AIテスト環境・物理媒体管理を狙った独立事案も931件にのぼっており、「外部SaaSの連鎖被害」と「自社・グループ拠点の境界防御・運用ガバナンス崩壊」が同時多発したという決定的な構造が浮かび上がります。
2026 MASTER STATISTICAL OVERVIEW (UPDATED 2026.11.04 — MULTI-ANGLE DEEP AUDIT)数字で見る2026年 情報漏洩・不正アクセス 全2,385件の構造実態（10月末確定統計＆5視点・再調査反映）
2026.11.04 最新追加＆5視点・深層再調査10月末〜11月初旬の最新公表分＋5つの異なる視点での深層再調査により 計704件を新たに追加収録（前回1,684件 ➔ 総計2,385件）
①10月末〜11月初旬の最新メガ事案：アララ「アララ メッセージ」（最大約7,700万件・サーバー97台／約380社環境、共用環境338.6万件漏洩確認）、良品計画「無印良品 MUJIアプリ」（最大約2,726万件）、ノジマ（約700万件・漏洩確認）、プレステージ・インターナショナル（最大約550万件・漏洩確認）、ウィルズ「ネットマイル」（最大約549万人）、カンム「バンドルカード」（アプリ516.1万人）、クラブツーリズム（約432万件）、花キューピット（423.8万件・漏洩確認）、楽天グループ「楽天トラベル」（計最大約354万件）、ゲームトレード（338.5万件・銀行口座24.6万件・漏洩確認）、アイスタイル「@cosme」（約300万人・漏洩確認）、So-net / ドコモ光plala（258.5万件・漏洩確認）、松屋フーズHD（237.9万件・漏洩確認）、TKC（223万件・漏洩確認）、Rise UP「モアコンタクト」（154.8万件）、ティンパンアレイ（約120万件）、DCM HD（75.3万人）、北陸電力（約55万件）、ソニー生命・メディケア生命（各約38.5万件）、バンダイナムコ（34.6万件）、ライフカード（33.9万契約）、Japanticket（最大約26.4万件）、セブン‐イレブン「7NOW」（16.9万件・PickGo経由）、サントリーHD（約10.5万人）、JAL・JTA（約9.2万人・Amadeus経由）、外務省（約3,600件）ほか。
②5つの異なる視点での再調査による見落とし発掘（＋297件）：【視点A：上場企業TDnet適時開示・海外子会社・BtoBランサム】ジェックス（78,979件）、テイン（7,304名・株主及び社員マイナンバー等）、デンソー、サッポロHD、アルプスアルパイン、ニデック（台湾子会社）、東北新社・オムニバス・ジャパン、ハンズHD、セゾンテクノロジー、日経新聞米子会社、ロート製薬、モンベル、円谷プロ、まんだらけ、アソビュー、ナカバヤシ、ファイブフォックス、あすか製薬HD等 ／ 【視点B：EC決済改ざん・クレカ漏洩】東急モールズデベロップメント（クレカ決済データ2.5万件超誤送信）、インテリックス、環境機器「虫退治ドットコム」、GMO-PG（Vプリカ）等 ／ 【視点C：金融機関（メガバンク・地銀・信金・生損保）の媒体紛失・テスト環境公開・誤送信】阿波銀行（AI検証テスト環境から法人・株主等のべ27,745件公開）、三井住友銀行（公金納付書約2,000人分）、みずほ銀行、ローソン銀行、北都銀行、青森みちのく銀行、山陰合同銀行、東京三協信金、豊川信金、横浜信金、呉信金、旭川信金、損保ジャパン・TOPPANエッジ、オリックス生命、JA共済連等 ／ 【視点D：大学病院・研究機関・大学の独立事案】日本医科大武蔵小杉病院（約13万人）、白梅豊岡病院、徳島大病院、市立奈良病院、国立国際医療研究センター、九州大学（研究室ランサム・手術動画）、慶應義塾大学、東京大学定量研、神戸大学、日本原子力研究開発機構（JAEA）、PMDA、NICT等 ／ 【視点E：10月連鎖に隠れていた自治体・教育委員会の1〜9月独立事案】全国自治体・教育委員会の誤送信・USB紛失・設定不備を全数掘り起こして完全統合しました。
OCTOBER 31 FINALIZED SUMMARY2026年10月末までの確定集計サマリー（10月単月確定値 ＆ 1月〜10月末累計）
※2026年1月1日〜10月31日公表分の確定統計（多角再調査反映済）OCTOBER SINGLE-MONTH TOTAL (10月単月確定)
1,543件 (1日平均 49.8件)
9月（176件）の約8.8倍へ爆発的急増。週間最多は10/12〜10/18の662件（10/19〜10/25も401件、10/26〜10/31も258件）
JAN–OCT 31 CUMULATIVE (1〜10月末累計確定)
2,343件 (4〜10月: 2,151件)
1〜3月：192件 ／ 4〜9月：608件 ／ 10月：1,543件。10月単月だけで1〜10月末累計の65.9%が集中する異常事態に
OCT-END MEGA & SECTOR BREAKDOWN (10月末内訳)
100万超 63件 (1,000万超: 13件)
10月末時点で10万件超が146件、漏洩確認は489件（民間1,439・公的機関747・教育90・医療67）
PPC OFFICIAL REPORT (個人情報保護委員会 10月末集計)
延べ約2.6億人分 (10月報告: 830件)
個人情報保護委員会への2026年度報告累計（10月末時点）で不正アクセス漏洩対象者が延べ約2億6,000万人分に到達
TOTAL ANNOUNCEMENTS (JAN–NOV 4)2,385件 (+704件 最新追加)2026年1月〜11月4日に国内の企業・自治体・大学・病院・金融機関が公表した全事案（1〜10月末確定2,343件＋11月初旬42件）
MEGA & LARGE BREACHES (1M+)68事案 (1,000万超: 13件)アララ（7,700万件）・良品計画（2,726万件）・ノジマ（700万件）等が加わり100万件超が68件、10万件超は159件に到達
SUPPLY-CHAIN CASCADE RATIO75.2% (34ハブ・1,321組織)外部攻撃の約4件に3件が委託先・共通SaaS経由。34サービスの侵害で計1,321組織が連鎖公表
MONTHLY ANNOUNCEMENT VOLUME (2026年1月〜11月4日 公表件数推移・10月末確定値＆多角再調査反映)10月単月確定：1,543件（1〜10月末累計：2,343件 ／ 週間最多：10/12〜10/18の662件）
1〜3月 (Q1)
192件
あなぶき20.7万件・SaveExpats 14万件・日医大13万人・ジェックス7.8万件・NHK 3.2万人・東急モールズ2.5万件・三井住友銀・みずほ銀（146件追加）4月
81件
2りんかん317万名・穴吹ハウジング21万件・阿波銀行2.7万件・テイン7,304名・市立奈良病院・ローソン銀・コスモスイニシア5月
64件
ユニバーサルミュージック310万件・アクサ損保・デンソー・アルプスアルパイン・日経米子会社・豊川信金・東京計器6月
94件
KDDI ISPメール1,223万名・アフラック438万名・サッポロHD・ニデック・東北新社・九州大学・アソビュー・ポラリスHD7月
76件
EPARK 2,218万件・ムラウチ771万件・ハンズHD・ナカバヤシ・ファイブフォックス・あすか製薬HD・コマツ・東京三協信金・オリックス生命8月
117件
ショップサーブ2,335万名・イエローハット179万名・NTTスマートコネクト・全日空商事・万博協会・ヨネックス・国立国際医療C9月
176件
佐川急便5,323万件・Gyazo 2,362万件・タイムズ662万件・ロート製薬・モンベル・円谷プロ・ハルメクHD・まんだらけ10月 (全月確定)
1,543件
アララ7,700万件・良品計画2,726万件・ソースネクスト2,251万件・バンドルカード516万人・花キューピット423万件・損保ジャパン/TOPPAN・JAEA11月 (〜4日)
42件
ノジマ700万件・プレステージ550万件・ウィルズ549万人・@cosme 300万人・TKC 223万件・セブン‐イレブン16.9万件・サントリーHD・大津市教委 PROMPT / ADVICE : 自社や取引先がリストに含まれていないか今すぐ検索しよう下のインタラクティブ台帳の検索窓に、自社が利用しているSaaS名（アララ メッセージ、ブラストメール、Cuenote FC、Studio、TEMAIRAZU、WASABI SWITCH、ショップサーブ、IDCFなど）や取引先・金融機関・自治体・病院名を入力すると、全2,385件から瞬時に照合できます。
2026年 情報漏洩・不正アクセス公表企業 完全網羅データベース（全2,385件収録・11/4更新）
2026年1月から11月4日までに公式発表された全2,385件を、組織種別（公的機関755件・民間企業1,473件・教育90件・医療67件）、漏洩項目（クレジットカード60件・口座金融59件・マイナンバー本人確認33件・認証情報124件・要配慮情報117件）、被害規模、公表月（1〜10月末確定2,343件・10月単月1,543件・11月42件など）、原因分類、キーワードで自在に検索・フィルタリングできるマスターデータベースです。「11/4 追加・再調査分（704件）」や「1〜10月末確定（2,343件）」「個別・主要事案（931件）」「共通基盤の連鎖公表（1,454件）」へワンクリックで切り替えられます。
2026 MASTER CORPORATE BREACH DATABASE (ALL 2,385 CASES — UPDATED 2026.11.04)2026年 情報漏洩・不正アクセス公表企業 完全網羅データベース（全2,385件 収録・10月末確定＆多角再調査対応）
2026.11.04 最新＆多角再調査新たに704件を追加収録（計2,385件 ／ 1〜10月末確定：2,343件・10月単月：1,543件）：アララ（7,700万件）、良品計画 MUJIアプリ（2,726万件）、ノジマ（700万件）、プレステージ（550万件）、ウィルズ（549万人）、バンドルカード（516万人）、クラブツーリズム（432万件）、花キューピット（423万件）、楽天トラベル（354万件）、ゲームトレード（338万件）、@cosme（300万人）、So-net（258万件）、松屋フーズ（237万件）、TKC（223万件）、セブン‐イレブン 7NOW（16.9万件）、サントリーHD（10.5万人）、JAL（9.2万人）、ジェックス（7.8万件）、阿波銀行（2.7万件）、東急モールズ（2.5万件）、テイン（7,304名）ほか
組織種別:
漏洩項目:
規模・内訳:
公表月:
原因分類:
該当件数：2,385件（現在 80件を表示中）
| # / 公表日 | 企業・団体 ／ 対象サービス | 公表規模・確認状況 | 分類・侵入経路 | 漏洩・対象情報項目 |
|---|---|---|---|---|
#1 2026-10-28 11/4追加 | 民間企業・団体 アララ メール配信サービス「アララ メッセージ」（対象環境 bvam001） | メールアドレス約77百万件（サーバー97台・最大約380社の環境、精査中）、共用環境のメールアドレス3,386,187件（11月1日時点） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | エンドユーザーリストに登録されたメールアドレス（それ以外の情報の流出は確認されていない） |
#2 2026-09-30 | 民間企業・団体 佐川急便 「お荷物問い合わせサービス」（インターネット貨物システム） | 最大約5,323万件（重複を含む件数。対象者の実人数ではない） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 9月30日から遡り約100日間の荷物の送り主・届け先、運賃契約顧客の氏名（法人名・担当者名）、住所、電話番号。スマートクラブ登録者はメールアドレス、会員idも |
#3 2026-10-19 | 民間企業・団体 ユミルリンク メール配信サービス「Cuenote FC」 | 延べ51,628,280件（Cuenote FC 49システム。16システムは件数調査中）、Cuenote BASE 契約者情報190件 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：脆弱性の悪用／アカウント・認証情報の悪用／不正ログイン | メールアドレスを含む情報（詳細は調査中） |
#4 2026-10-30 11/4追加 | 民間企業・団体 良品計画 無印良品の公式アプリ「MUJIアプリ」 | 最大 約2,726万件（退会した顧客の情報を含む） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | メールアドレス、生年月日、性別（クレジットカード情報、氏名、住所、電話番号等は含まれない） |
#5 2026-09-16 | 民間企業・団体 Helpfeel／Gyazo 対象システム・サービス | ユーザーデータ約2,362万件（匿名約1,801万件、メール登録あり約562万件）、画像メタデータ約4.9億件＋240万件＋削除済み約1.74億件。件数は画像ファイル流出数・実人数ではない。特定ユーザー133名が所有する画像ファイル432件（10/21第三報）。 漏洩確認 | 外部攻撃 ｜ ユーザー情報・画像メタデータ漏えい確認／特定ユーザー133名の画像ファイル432件の閲覧・取得確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報医療・要配慮・機微情報 名前・メール・パスワードハッシュ・id・セッションid等。画像メタデータは画像id、ip、ocrテキスト、位置情報（存在する場合）等。決済情報なし。 |
#6 2026-08-01 | 民間企業・団体 Eストアー ショップサーブ | 約23,356,000人（うちカード情報の一部を含む 約2,096,900人）、対象店舗 7,858店 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：脆弱性の悪用 | クレジットカード情報 氏名、住所、電話番号、fax番号、メールアドレス、勤務先、任意入力情報。カード名義・カード番号の一部は8/1時点で調査中 |
#7 2026-10-15 | 民間企業・団体 ソースネクスト 会員情報管理システム | 22,519,960件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、fax番号、生年月日、会社名、役職名、部署名、システム固有の識別情報。クレジットカード情報は対象システムに保存しておらず対象外 |
#8 2026-07-31 | 民間企業・団体 EPARKリラク&エステ PeakManager | 約2,218万レコード（名寄せ後。正確な人数への置き換えは困難） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名、生年月日、性別、住所、電話番号、メールアドレス、暗号化されたパスワード（クレジットカード情報・マイナンバーは対象外） |
#9 2026-10-08 | 民間企業・団体 アドベンチャー 旅行予約サイト「skyticket」 | (1)約1,464万件（うちハッシュ化パスワード約413万件）、(2)17,780件（重複含む・一部調査中）、(3)予約 約12,000件、ほかにskyticketプレミアム利用者のカード情報 最大6,140名 漏洩確認 | 外部攻撃 ｜ 漏えい確認・漏えいのおそれ ｜ 攻撃経路：脆弱性の悪用／アカウント・認証情報の悪用 | マイナンバー・本人確認書類ID・パスワード・認証情報 (1)氏名（パスポート表記含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込依頼人名義、ハッシュ化パスワード (2)氏名、電話番号、返金先口座情報 (3)予約者氏名（カナ）、年齢、性別、メールアドレス、電話番号、会員id、乗車便情報、同行者情報 |
#10 2026-06-23 | 民間企業・団体 KDDI（KDDI ISP向けメールシステム事案） ISP事業者向けメールシステム | メールアドレス12,231,954名（うちパスワード7,616,173名） 漏洩確認 | 外部攻撃（第三者製ソフトウェアのゼロデイ脆弱性悪用） ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報 メールアドレス、パスワード |
#11 2026-10-22 | 民間企業・団体 カプコン オンライン会員サービス「CAPCOM ID」 | 11,774,247件（全世界合計、10月22日時点）。うち19件（日本国内）は「イーカプコン」の会員情報も漏えい（10月23日の第二報） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | メールアドレス、システム固有の識別情報（アカウント作成日時、最終ログイン日時、ログイン回数、最終ログイン時のクライアントip）、43件は生年月日・性別・国・地域・ニックネーム。クレジットカード情報は対象外 |
#12 2026-10-15 | 民間企業・団体 ビーケー・ジャパン バーガーキング公式アプリ | 約1,118万件（公式アプリ会員情報） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 会員id、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。クレジットカード番号は保持しておらず対象外。ログインパスワードの漏えいは確認されていない |
#13 2026-10-05 | 民間企業・団体 物語コーポレーション／焼肉きんぐ公式アプリ 対象システム・サービス | 10,788,963件（登録10,808,784件のうち） 漏洩確認 | 外部攻撃 ｜ 漏えい確認／原因調査継続 ｜ 攻撃経路：調査中 | 会員番号・氏名（アプリ登録名）・メールアドレス・電話番号。ログインパスワード・生年月日・性別・郵便番号・店舗利用履歴は漏えいなし。決済情報は保持していない。 |
#14 2026-10-08 | 民間企業・団体 株式会社第一興商 対象システム・サービス | 約8,724,000件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：マルウェア感染／委託先経由 | 会員等の氏名・性別・生年月日・メール・電話 |
#15 2026-07-24 | 民間企業・団体 ムラウチドットコム 社内システム | 7,716,811件（9/15第二報。報道値、公式PDF本文は未照合） 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：Webシステムの一部に存在していた脆弱性を悪用 | 氏名、住所、電話番号、メールアドレス、生年月日、性別 webシステムの一部に存在していた脆弱性を悪用 |
#16 2026-11-02 11/4追加 | 民間企業・団体 ノジマ EC サイト「ノジマオンライン」・中古スマホ買取サイトの会員管理システム | 約700万件（退会者を含まない） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインid、暗号化されたパスワード、メールアドレス（クレジットカード情報は保持していない） |
#17 2026-09-25 | 民間企業・団体 タイムズモビリティ／タイムズカー 対象システム・サービス | 6,628,007件（タイムズカーWebシステム。うち暗号化された本人確認書類画像の外部送信の痕跡1,464,800件、アクセスのみの痕跡891,602件）。タイムズクラブWebシステムでも連携サービスID135,436件、タイムズクラブカード番号19,510件などが外部送信 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | マイナンバー・本人確認書類ID・パスワード・認証情報 氏名・住所・生年月日・電話・メール、所属部署、免許情報、本人確認書類画像、復元できない形式のパスワード、連携サービスid等。対象ごとに異なる。カード情報は対象外。 |
#18 2026-10-08 | 民間企業・団体 ライドオンエクスプレスホールディングス（IDCFクラウド障害） 子会社ライドオンエクスプレス「銀のさら・釜寅・すし上等」公式サイト／アプリ | 最大約650万件（漏えいの可能性がある総件数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | 資料に明記なし（調査中） |
#19 2026-10-09 | 民間企業・団体 ブックオフグループホールディングス 対象システム・サービス | 6,383,279人（会員データ6,427,735件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：子会社の会員管理システムへの第三者による不正アクセス（脆弱性を是正） | ID・パスワード・認証情報 氏名、生年月日、性別、職業、ニックネーム、メールアドレス、電話番号、住所、パスワードのハッシュ値、ポイントカード番号、会員番号 |
#20 2026-10-23 | 民間企業・団体 グリーンモンスター FXデモトレードアプリ「FXなび」 | 約619万件（個人情報に該当しないものを含む。メールアドレスは6万6003件） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報マイナンバー・本人確認書類ID・パスワード・認証情報 メールアドレス（6万6003件）、ニックネーム、性別、年代、職業分類、xのid（6434件）、自己紹介、アイコン画像のurl、初回アンケートの回答（480万9631件）、端末固有のid、ログイン用の認証情報、引き継ぎコード（5120件）、プッシュ通知用の識別子、広告id、ipアドレス、利用データ（氏名・住所・電話番号・生年月日・カード情報・口座情報・マイナンバーは登録項目にない） |
#21 2026-10-17 | 民間企業・団体 Joshin 社内ネットワーク（一部サービス停止） | 最大約600万件（会員情報データベース）、サブスク最大約23万件、リフォーム写真アップロード最大約800件（いずれも漏えいの可能性がある件数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 調査中 |
#22 2026-11-02 11/4追加 | 民間企業・団体 プレステージ・インターナショナル グループ会社プレステージ・コアソリューションのロードサービス等の受付・手配業務システム | 最大約550万件（重複を含む。重複を除いた人数は精査中） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報口座・金融・決済情報 取引先企業から受託したロードサービスの利用者の氏名、住所、電話番号、メールアドレス、車両に関する情報（登録番号、車台番号等）、事故・故障の受付に関する情報、金融機関の口座に関する情報（一部）（クレジットカード情報の漏えいは確認されていない） |
#23 2026-11-02 11/4追加 | 民間企業・団体 ウィルズ ポイント交換サービス「ネットマイル」のシステム環境 | 最大約549万人（退会者を含む最大数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 氏名、メールアドレス、その他特典交換に関する情報（会員ごとに異なる。クレジットカード情報・マイナンバーカード情報は保有していない） |
#24 2026-09-29 | 民間企業・団体 ヤマトホールディングス／ヤマト運輸 クロネコ代金後払いサービス | 約526万件（利用者情報。うちメールアドレスを含む約49万件）、お届け先情報 約5万件、加盟店情報 約4,100件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 口座・金融・決済情報 一部利用者の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細、一部加盟店の加盟店名・加盟店コード、担当社員の氏名（クレジットカード情報、パスワード情報は含まない） |
#25 2026-10-29 11/4追加 | 民間企業・団体 カンム プリペイドカード「バンドルカード」のアプリ・サポートサイト | アプリ 5,161,998人、サポートサイト 590,594人（公表時点。重複あり） 漏洩なし・記載なし | 誤送付等 ｜ 委託先サービスへの誤送信（第三者への流出は確認されていない） | アプリはメールアドレス、氏名（漢字・かな）、ユーザー名。サポートサイトはメールアドレス、電話番号、ユーザー名（カード番号、セキュリティコード、ログイン用パスワードは含まれない） |
#26 2026-06-23 | 民間企業・団体 ビッグローブ（KDDI ISP向けメールシステム事案） BIGLOBE メール | 5,016,432人（うちパスワード4,631,775人） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 biglobeメールアドレス、biglobe id、パスワード |
#27 2026-10-23 | 民間企業・団体 日本ピザハット 日本国内向けオンライン注文サービスの決済API | 非公表（報道値 最大約448万件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 お客様id、メールアドレス、電話番号、削除済みのお客様情報に関する記録、セッションログイントークン、取引記録（クレジットカード情報は含まれない） |
#28 2026-10-19 | 民間企業・団体 トラストバンク ふるさと納税総合サイト「ふるさとチョイス」 | 4,454,097件（2026年10月20日時点。今後の調査で変動の可能性） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額 |
#29 2026-09-28 | 民間企業・団体 手間いらず 宿泊予約サイト管理システム「TEMAIRAZUシリーズ」 | 最大約445万人（閲覧・取得された可能性） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 宿泊者情報の一部（項目は資料に明記なし） |
#30 2026-06-30 | 民間企業・団体 アフラック生命保険 アフラック よりそうネット ほか | 顧客 約438万人（うち保険料振替口座情報を含む 約23万人）、代理店 約4万店 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：調査中 | 口座・金融・決済情報 氏名、生年月日、性別、住所、電話番号、証券番号、保障内容、保険料振替口座（金融機関名、支店名、預金種類、口座番号、口座名義等）、代理店代表者氏名・住所・電話番号（マイナンバー・クレジットカード情報は含まれない） |
#31 2026-10-31 11/4追加 | 民間企業・団体 クラブツーリズム インターネット予約システムのインターネット会員情報 | 約432万件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員id、緊急連絡先（ログインパスワード、旅券情報、クレジットカード情報、金融機関口座番号は含まない） |
#32 2026-10-28 11/4追加 | 民間企業・団体 花キューピット 「インターネット花キューピット」「ビジネス花キューピット」 | 4,238,242件（該当する可能性のある会員） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 ユーザーid（ログインid）、暗号化されたパスワード、pc用・携帯用メールアドレス |
#33 2026-10-15 | 民間企業・団体 NTTソルマーレ 電子書籍ストア「コミックシーモア」 | 会員データベース上の登録情報319件、システムログファイル上の情報 最大約420万件（同一顧客の重複を含む可能性あり） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。クレジットカード情報は対象システムで保有しておらず流出していない。購入履歴の流出、my本棚の流出・消失・欠損は確認されていない |
#34 2026-10-09 | 民間企業・団体 株式会社ビューカード VIEW’s NET 対象システム・サービス | メールアドレス対象件数 約403万件 漏洩のおそれ・調査中 | 外部攻撃<br>漏えいのおそれ ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | メールアドレス。氏名、住所、電話番号、クレジットカード番号等の個人情報については漏えいの可能性はないと公表。 委託先経由／idcfクラウドへの攻撃 |
#35 2026-10-09 | 民間企業・団体 ディップ株式会社 バイトル／バイトルNEXT 対象システム・サービス | 最大3,885,771件 漏洩のおそれ・調査中 | 外部攻撃<br>漏えい確認 ｜ 攻撃経路：公式資料に記載なし | メールアドレスのみ。氏名、電話番号、パスワード、クレジットカード情報等は含まれていない。 |
#36 2026-10-23 | 民間企業・団体 モスフードサービス（バリューデザイン不正アクセス） プリペイドカード「モスカード」の管理システム | 1,133,070件（発行総数 約380万件のうち。流通済みカード 約57万件、未流通カード 約56万件。個人情報は含まれない） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | クレジットカード情報口座・金融・決済情報 モスカード番号（16桁）、pin番号（6桁）、残高情報（氏名・住所・電話番号・クレジットカード情報は含まれない） |
#37 2026-10-21 | 民間企業・団体 リクルート 中古車情報サイト『カーセンサーnet』（アプリ版を含む）、中古車販売店向け業務支援サービス『C-MATCH』 | 最大3,709,551件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 『カーセンサーnet』で中古車販売店へ問い合わせた利用者（3,210,421件）の氏名・住所（原則として市区町村名まで）、一部は問い合わせ内容・年代・性別・電話番号・fax番号・メールアドレス／口コミ投稿者（5,289件）の氏名、一部はメールアドレス／『c-match』登録販売店（483,168件）の代表者・担当者の氏名・電話番号、古物商許認可番号・許認可保有者氏名・発行都道府県、ログインid（個人事業主は事業所・窓口の住所、郵便番号、電話番号、fax番号、引落口座情報も）／従業員（退職者含む）・業務委託先・販売代理店の従業員等（10,673件）の氏名・メールアドレス・ログインid。全件に社内の管理用idを含む。クレジットカードなどの決済情報、ログインパスワードは含まれない |
#38 2026-10-26 11/4追加 | 民間企業・団体 楽天グループ 「楽天トラベル」海外ホテル予約サイトの一部ページ（子会社Rakuten Travel Xchangeが運営）・多言語予約サイト | 最大約260万件＋約4万件（海外ホテル予約ページ。うち支払情報最大約3万6千件）、最大約86万件＋宿泊施設従業員最大約4万件（多言語予約サイト） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報 海外ホテル予約ページからの予約者（最大約4万件）の氏名、メールアドレス、電話番号、居住国、予約情報、同伴者の氏名・居住国、支払情報（カードの発行者識別番号と下4桁・名義・有効期限・国際ブランド。最大約3万6千件。全桁番号とセキュリティコードは含まない）。海外ホテル予約ページのログイン利用者（最大約260万件）の氏名、メールアドレス、電話番号。多言語予約サイトのログイン利用者（最大約86万件）のメールアドレス、宿泊施設従業員（最大約4万件）のアカウント名・メールアドレス |
#39 2026-10-28 11/4追加 | 民間企業・団体 ゲームトレード ゲームアカウント売買サイト「ゲームトレード」 | メールアドレス3,385,480件、電話番号945,148件、銀行口座情報246,931件など（項目ごとの件数） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報 アカウントに登録された電話番号、メールアドレス、氏名、生年月日、性別、住所、ハッシュ化されたパスワード |
#40 2026-04-23 | 民間企業・団体 2りんかんイエローハット ２りんかんアプリ | 3,179,454名（公式ページ最終更新 2026/06/19 時点） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アプリの仕組み（API）を悪用した不正アクセス | 口座・金融・決済情報ID・パスワード・認証情報 氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーid、アプリパスワード、ポイント残高、車両情報 アプリの仕組み（api）を悪用した不正アクセス |
#41 2026-10-23 | 民間企業・団体 フューチャーショップ SaaS型ECプラットフォーム「futureshop」のサーバー（利用店舗1店舗の会員情報） | 3,147,469件（1店舗） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | ID・パスワード・認証情報 会員id、氏名、メールアドレス、住所、生年月日、電話番号、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化）など（クレジットカード情報は含まれない） |
#42 2026-10-23 | 民間企業・団体 リンツ＆シュプルングリージャパン（futureshop不正アクセス） オンラインショップ・Lindt公式アプリの共通会員アカウント | 3,147,377件（2026/10/18 0時16分時点で退会済みの会員は含まない） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 会員id、氏名、メールアドレス、住所、電話番号、生年月日、性別、メールマガジンの受信設定、登録店舗情報、ログインパスワード（ハッシュ化）、フリガナ・会員登録日時・最終ログイン日時など（クレジットカード情報は含まれない） |
#43 2026-10-13 | 民間企業・団体 アルカディア（SpeeCAN RAIDEN不正アクセス） 自治体向け情報配信サービス「SpeeCAN RAIDEN」 | 推定 メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（SpeeCAN RAIDEN）、NET119・119RAIDEN：最大 約13,000件、メールアドレス約97,000件、電話番号約17,000件、FAX番号約400件（10/14時点） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 登録されている連絡先・担当者・契約者情報、配信履歴にある本文 |
#44 2026-05-18 | 民間企業・団体 ユニバーサル ミュージック合同会社 UNIVERSAL MUSIC STORE / THE BEATLES STORE ほか | 3,105,585件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 氏名、住所、電話番号、メールアドレス、購入履歴に含まれる配送先・請求先情報（生年月日、性別を含む） |
#45 2026-11-02 11/4追加 | 民間企業・団体 アイスタイル（2026年10月の不正アクセス） @cosme共通IDの会員情報 | 約300万人 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ユーザーid（ログインには使わない）、ニックネーム、氏名（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質（ログインパスワード、クレジットカード情報は含まない） |
#46 2026-10-27 11/4追加 | 民間企業・団体 ソニーネットワークコミュニケーションズ インターネット接続サービス「So-net」の会員データベース | 会員情報 計2,585,481件（So-net 2,141,986件、plala（Sコース）443,495件）。ほかにメールアドレス・メールアドレスパスワード 54,401アドレス、銀行口座情報16件、パスワード再設定用通知書情報7件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | 口座・金融・決済情報ID・パスワード・認証情報 so-net・plala（sコース）の現会員と2026年3月以降の退会者の氏名、電話番号、メールアドレス、ユーザーid、生年月日、性別、インターネット接続用id（会員のパスワードの漏えいはない）。メールサービス（g）・a-box・ソネットvaioメール・postpetメールアカウントサービスのメールアドレスとメールアドレスパスワード。銀行口座情報（金融機関名、支店名、預金種目、口座番号、口座名義人など。暗証番号は保有していない）。パスワード再設定用通知書情報。クレジットカード情報は含まれない |
#47 2026-10-23 | 民間企業・団体 アンドエスティHD 業務サーバー（お客さま・お取引先さま・従業員の情報） | お客さま約250万件、お取引先さま約1万件、従業員は該当範囲確認中 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | お客さまの氏名・生年月日・性別・住所・電話番号・メールアドレス・会員id、お取引先さまの会社名・発注先/返品先住所・担当者氏名・電話番号・メールアドレス、従業員情報（範囲確認中）。クレジットカード情報などの決済情報とお客さまが設定したパスワードは含まれない |
#48 2026-06-23 | 民間企業・団体 JCOM（KDDI ISP向けメールシステム事案） J:COM NET、ケーブルテレビ事業者向けメール | J:COM NET 2,473,191件、ケーブルテレビ事業者向け118,752件（うちパスワード1,257件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | ID・パスワード・認証情報 メールアドレス、パスワード（一部） |
#49 2026-10-30 11/4追加 | 民間企業・団体 松屋フーズホールディングス 松屋公式アプリ（松弁ネット・モバイルオーダー・松弁デリバリー）の管理システム | 松弁ネット・モバイルオーダー・松弁デリバリーの利用者 2,377,127件、アプリ会員 2,000件（最大3,000件となる可能性） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | ID・パスワード・認証情報 アプリ会員の会員id、都道府県、氏名、電話番号、生年月日、メールアドレス、暗号化されたパスワード、松屋ポイント。松弁ネット・モバイルオーダー・松弁デリバリーの利用者の会員id、お届け先住所、氏名、電話番号、松屋ポイント |
#50 2026-06-23 | 民間企業・団体 ニフティ（KDDI ISP向けメールシステム事案） @nifty メール | メールアドレス2,248,708件（うちパスワード1,862,462件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | ID・パスワード・認証情報 メールアドレス、メールパスワード |
#51 2026-11-02 11/4追加 | 民間企業・団体 TKC（アララ メッセージ不正アクセス） 会計事務所・企業・地方公共団体向けシステムのメール配信（委託先 アララ「アララメッセージ」） | メールアドレス最大223万812件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | メールアドレス（詳細はアララと調査中） |
#52 2026-10-08 | 民間企業・団体 株式会社ローソン 対象システム・サービス | ローソンID2,155,345件、アプリ予約26件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アプリ上で本人に情報を表示するセキュリティ機構への不正アクセス | クレジットカード情報 氏名、生年月日（漏えいの可能性）、一部の性別・電話番号・住所。予約では氏名・電話番号・カード番号の一部（10月24日の訂正で、メールアドレスとメルマガ取得情報は対象から外れた） |
#53 2026-10-09 | 民間企業・団体 東日本旅客鉄道（JR東日本） 対象システム・サービス | えきねっと最大約167万件、大人の休日倶楽部最大約39万件（人数ではなく件数） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性・調査中 ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | クレジットカード情報 メールログ閲覧・取得の可能性を否定できない。えきねっとはメールアドレス（ビジネス会員除外）、大人の休日はメール・会員番号・カード有効期限・生年月日。氏名・住所・電話・カード番号は可能性なし。 |
#54 2026-10-09 | 民間企業・団体 Peach Aviation 旅程表等のメール配信システム | 約189万件（対象メール配信システムの情報件数） 漏洩なし・記載なし | 外部攻撃 ｜ 外部流出は確認されていない。メール・氏名英字・電話・予約番号・旅程。カード・パスポート情報なし。 ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | 資料に明記なし |
#55 2026-10-16 | 民間企業・団体 日本経済新聞社 システム開発に利用するクラウドサービス | 約183万件（うち氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含む個人情報約15万件、識別子のみ約168万件） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：アカウント・認証情報の悪用 | 氏名、メールアドレス（約12万件）、住所、電話番号、生年月日、単体では個人を特定できない識別子。クレジットカード情報は含まない |
#56 2026-08-28 | 民間企業・団体 株式会社イエローハット 対象システム・サービス | 1,797,124人（確定） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：WEB作業予約システムに対する不正プログラムによる攻撃 | 氏名・電話・メール・会員番号 |
#57 2026-10-06 | 民間企業・団体 株式会社ミスターマックス 対象システム・サービス | 最大1,735,154人（2026年10月3日時点の登録情報） 漏洩確認 | 外部攻撃 ｜ 一部流出確認／対象範囲調査 ｜ 攻撃経路：本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入 | 会員id・氏名・メール・電話 |
#58 2026-10-28 11/4追加 | 民間企業・団体 Rise UP（Cuenote FC不正アクセス） カラコン通販サイト「モアコンタクト」のメール配信先リスト | 1,548,002件（延べ） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由／脆弱性の悪用 | メールアドレス、uid、合計購入回数、最新注文の発送日時、メールの送信日時、アンケート回答ページのurl |
#59 2026-09-25 | 民間企業・団体 株式会社ファインズ 対象システム・サービス | 1,536,322件 漏洩のおそれ・調査中 | 外部攻撃 ｜ 不正アクセス確認／漏えい影響調査 ｜ 攻撃経路：予約システムへの第三者からの不正アクセス | 予約者氏名・電話・メール・予約店舗・メニュー・日時等 |
#60 2026-10-23 | 民間企業・団体 バリューデザイン（ペイクラウドホールディングス子会社） ハウス電子マネー発行サービス「Value Card」のサーバー | 1,424,748件（発行済ID 569,224件、未発行ID 855,524件。個人情報は該当なし） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | 口座・金融・決済情報 id番号、pin番号、残高情報（個人情報は含まれない） |
#61 2026-08-17 | 民間企業・団体 さくらインターネット さくらのレンタルサーバ・販売管理システム | レンタルサーバ 951アカウント、販売管理システムの会員情報 1,360,563アカウント（閲覧・取得の可能性） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：不正ログイン／マルウェア感染 | ID・パスワード・認証情報 顧客領域内に保存された情報、利用者識別子、会員情報、一部顧客のハッシュ化されたパスワード |
#62 2026-10-09 | 民間企業・団体 九州旅客鉄道（JR九州） JR九州 Web会員向けメールマガジン 対象システム・サービス | JR 九州 Web 会員：約130万件（最大） 漏洩なし・記載なし | 外部攻撃 ｜ 漏えいの記載なし ｜ 攻撃経路：委託先経由／IDCFクラウドへの攻撃 | 電子メールアドレス。氏名、住所、電話番号、クレジットカード番号等の個人情報、およびメールマガジンの件名・本文は本件による漏えいの可能性なし。 |
#63 2026-10-19 | 民間企業・団体 阪急阪神百貨店（エイチ・ツー・オー リテイリング） 阪急百貨店・阪神百貨店予約サイト、HANKYU HANSHIN E-STORES、Remo Order | H2O ID 約126万件 漏洩確認 | 外部攻撃 ｜ 漏えい ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報 h2o id、氏名、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、利用サービス項目。e-stores・remo order は注文履歴、カード情報の一部（種別・下4桁・名義・有効期限）、ポイントカード情報の一部、アドレス帳（漏えいの有無を調査中） |
#64 2026-06-23 | 民間企業・団体 KDDIウェブコミュニケーションズ（KDDI ISP向けメールシステム事案） レンタルサーバー「CPI」のメール | 1,250,543名 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | メールアドレス |
#65 2026-10-30 11/4追加 | 民間企業・団体 ワールド（連結子会社 ティンパンアレイ） ティンパンアレイの業務サーバー（会員情報） | 会員情報 延べ約120万件（対象者・件数の詳細は確認中） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：公式資料に記載なし | 氏名、住所、電話番号、生年月日、性別、メールアドレス（クレジットカード情報その他の決済情報・顔情報の流出は確認されていない） |
#66 2026-08-12 | 民間企業・団体 ホワイトエッセンス 予約サイト・基幹システム（審美歯科チェーン） 対象システム・サービス | 約105万アカウント（顧客のほか加盟院関係者・本部社員等を含む全体数） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | 利用者の登録情報（氏名、連絡先、予約履歴等。8/12時点の記載） |
#67 2026-08-10 | 民間企業・団体 REXT Holdings／REXT 社内ネットワーク 対象システム・サービス | 漏えいのおそれ 1,044,906件（リークサイトで310ファイルの公開を確認） 漏洩確認 | 外部攻撃（ランサムウェア） ｜ 漏えい確認（一部公開） ｜ 攻撃経路：ランサムウェア | 採用応募者・従業員の個人情報（27名）、買取・会員等の顧客情報 |
#68 2026-10-24 | 民間企業・団体 カカオピッコマ（ブラストメール不正アクセス） 「ピッコマ」のメールマガジン配信 | 1,002,404件（メールマガジン1回分の配信先メールアドレス） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | メールアドレス |
#69 2026-10-05 | 民間企業・団体 GMOリサーチ＆AI（infoQ） 対象システム・サービス | 894,082件（外部持ち出しの確定値、10月14日時点）；ポイント不正交換611件・2,869,500円 漏洩のおそれ・調査中 | 外部攻撃 ｜ 個人情報の外部持ち出し確認／ポイント不正交換確認／調査継続 ｜ 攻撃経路：サイトで使用していたソフトウェアの脆弱性を悪用して侵入 | ID・パスワード・認証情報 氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、暗号化パスワード、会員id、その他の会員登録情報（ニックネーム、保有ポイント数、最終回答日等）。カード情報とマイナンバーは保有なし。 |
#70 2026-11-03 11/4追加 | 公的機関・自治体 横浜市（TKC再委託先 アララ メッセージへの不正アクセス） 「横浜市電子申請・届出システム」のメール送信サービス | 調査中（利用者登録数 約82万件） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ（調査中） ｜ 攻撃経路：委託先経由 | 利用者メールアドレス、利用者名など |
#71 2026-10-14 | 民間企業・団体 株式会社アエナ ECアプリ 会員マイページ | 最大817,215人 漏洩のおそれ・調査中 | 外部攻撃 ｜ 閲覧された可能性 ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報 氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報、お気に入り店舗、メール配信設定、クレジットカード下4桁・有効期限・名義 |
#72 2026-10-15 | 民間企業・団体 ビューティガレージ ECサイト「ビューティガレージ」「アイラッシュガレージ」 | 775,725件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：公式資料に記載なし | クレジットカード情報ID・パスワード・認証情報 会社名、サロン名、お客様名、営業形態、サロンurl、電話番号、メールアドレス、パスワードのハッシュ値、パスワード再設定用の質問・回答のハッシュ値。住所・配送先情報、購入履歴、カード情報を含む決済情報の漏えいは確認されていない |
#73 2026-04-09 | 民間企業・団体 メディカ出版 対象システム・サービス | 合計641,000人（5/13精査値、重複の可能性あり。第3報では77.2万件） 漏洩のおそれ・調査中 | 外部攻撃（ランサムウェア） ｜ 漏えいのおそれ ｜ 攻撃経路：アカウント・認証情報の悪用／ランサムウェア | 口座・金融・決済情報マイナンバー・本人確認書類医療・要配慮・機微情報 メディカid登録者のid、氏名、メールアドレス、住所、電話番号／一般顧客の氏名、勤務先、連絡先／執筆者等の銀行口座番号、マイナンバー／委託企業の預託情報（パスポート、在留カード、健康診断結果 等）／従業員・応募者の人事評価、履歴書記載内容 |
#74 2026-10-27 11/4追加 | 民間企業・団体 DCMホールディングス（Cuenote FC不正アクセス） グループ共通会員サービス「マイボ」のメール配信（子会社 DCM） | 753,272人（10月29日時点） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | メールアドレス、会員id、氏名、性別、生年月、居住都道府県（パスワード、クレジットカード情報、ポイント残高、利用履歴は含まれない） |
#75 2026-10-23 | 民間企業・団体 トレジャー・ファクトリー 「出張買取」「トレファク引越」の案件管理システム | お客様情報746,277件、取引先業者・従業員等750件、端末情報1,000件 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：脆弱性の悪用 | お客様のメールアドレス（うち11件は氏名・住所を含む）、取引先業者・従業員等の氏名・メールアドレス、端末を使う取引先業者・従業員等の氏名・端末識別情報（クレジットカード番号などの決済情報は含まれない） |
#76 2026-10-21 | 民間企業・団体 沖縄ツーリスト OTSレンタカー・OTS HOTEL・OTS ACTIVITIES・デジタルDMOプラットフォーム・OTS Club | 最大約73万人 漏洩確認 | その他（原因調査中） ｜ 漏えい確認 | 資料に明記なし（調査中） |
#77 2026-06-23 | 民間企業・団体 中部テレコミュニケーション（KDDI ISP向けメールシステム事案） コミュファ光・ビジネスコミュファのメール | 727,176名（うちパスワード724,344名） 漏洩確認 | 外部攻撃 ｜ 漏えい確認 ｜ 攻撃経路：委託先経由 | ID・パスワード・認証情報 メールアドレス、メールパスワード |
#78 2026-10-06 | 民間企業・団体 スカラコミュニケーションズ（i-ask・共通事案） 対象システム・サービス | 最大713,126件（最大5社・問い合わせ延べ件数、人数名寄せ中） 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいの可能性・調査中 ｜ 攻撃経路：i-ask（スカラコミュニケーションズ）経由 | 氏名、メールアドレス、問い合わせ内容等（利用企業別に異なる） |
#79 2026-10-02 | 民間企業・団体 ムーンスター オンラインストア | 最大59万3千人 漏洩のおそれ・調査中 | 外部攻撃 ｜ 漏えいのおそれ ｜ 攻撃経路：不正ログイン | オンラインストア利用者の氏名、住所、電話番号、メールアドレス、過去の注文情報 |
#80 2026-08-06 | 民間企業・団体 アンビションDXホールディングス ファイルサーバー | 持ち出しを確認したファイル約14万件、漏えいのおそれがある個人情報約58万件 漏洩確認 | 外部攻撃（ランサムウェア） ｜ 漏えい確認 ｜ 攻撃経路：ランサムウェア | 顧客、賃貸管理物件のオーナー、入居者、取引先、同社役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性 |
1つの侵害が数百組織へ波及した「34大サプライチェーン連鎖ハブ」全1,321組織
2026年のセキュリティ事案を読み解くうえで絶対に外せないのが、「1つの共通システムが破られたことで、それを利用していた数百の自治体・ホテル・企業が連鎖的に情報漏洩を公表した」という構造です。
34種類の製品・サービスの侵害だけで、合計1,321もの組織が被害公表に追い込まれました。代表的な連鎖ハブの内訳は以下の通りです。
- SpeeCAN RAIDEN（アルカディア／自治体向け情報配信サービス）：全国の432組織（横須賀市、岡山市、金沢市、さいたま市、千葉市、静岡市など430行政機関ほか）が一斉に公表し、推定約313万6,000件のメールアドレス等が対象となりました。
- ブラストメール（ラクスライトクラウド／メール配信システム）：11月4日時点で公表組織が184組織へ拡大しました。カカオピッコマ「ピッコマ」（1,002,404件）、エックスサーバー（459,679件）、アルク（約31万件）、新潟日報社（約25.3万人）、HRビジョン『日本の人事部』（約21.2万件）、名鉄観光サービス（約13万人）、NHK出版（約12.7万件）、メディアナビ（約11万件）、東北電力フロンティア（約10万件）、環境省、埼玉県、京都市など幅広い組織に波及しています。
- Studio（ノーコードWeb制作プラットフォーム）：クラウド環境の脆弱性悪用により、公表組織が183組織へ拡大しました。デジタル庁、ラクスル、Luup、IVS、埼玉県、ユーザベースなど多数の企業・自治体がフォーム送信情報やアカウント情報の流出可能性を公表しています。
- TEMAIRAZU（手間いらず／宿泊予約サイト管理システム）：全国のホテル・旅館・リゾート運営会社151組織が連鎖公表し、最大約445万人分の宿泊予約情報が対象となりました。
- IDCFクラウド（IDCフロンティア／クラウド基盤）：ライドオンエクスプレスHD「銀のさら等」（最大約650万件）、ビューカード（約403万件）、JR東日本「えきねっと・大人の休日倶楽部」（計約206万件）、マウスコンピューター（約42万件）、イズミ「ゆめオンライン」（約40万件）など61組織に波及しました。
- Cuenote FC（ユミルリンク／メール配信システム）：延べ約5,162万件（49システム）が対象となり、Rise UP「モアコンタクト」（154.8万件）、DCMホールディングス（75.3万人）、バンダイナムコ（34.6万件）、ライフカード（33.9万契約）、JR東海・JR西日本・JR九州「EXサービス」（約17万件）、アニメイト（14万件）、野村證券、りそなグループ3行など28組織（関連のさとふる・Cuenote FC事案8組織を含め計36組織）が連鎖公表しました。
- アララ メッセージ ＆ repica（アララ／ペイクラウドHD子会社）：10月28日〜11月3日にかけて急速に連鎖が拡大している最新ハブです。サーバー97台・約380社の環境（メールアドレス約7,700万件）が対象となり、TKC（最大223万件、さらに再委託先として横浜市約82万件・大阪市・姫路市・高根沢町等の自治体電子申請システムへ波及）、北陸電力「ほくリンク」（約55万件）、生活協同組合ユーコープ（repica・21万件）、近鉄・都ホテルズ（12.9万件）、日本サブウェイ、ベルク、城西館など計23組織（アララ メッセージ20組織＋repica 3組織）が公表しています。
- その他の主要な連鎖ハブ：コミューン（カルビー、森永乳業、スズキ、ヤマハ等29組織）、発車オーライネット（高速バス予約29組織）、自治体の防災メール配信システム（28組織）、Eストアー「ショップサーブ」（個別公表22組織・全体影響7,858店舗）、産婦人科予約システム「アットリンク」（21組織）、ソースネクスト提携サービス（19組織）、サンケイリビング新聞社（広島県・宮城県・島根県・三重県等10組織）、KDDI ISP向けメールシステム（ビッグローブ、JCOM、ニフティ等9組織）、WASABI SWITCH（BuySell、コメ兵HD、シュッピン、バリュエンス等8組織）、新日本検定協会ランサムウェア事案（4大損保等7組織）、ワイメール（双葉町、南魚沼市等7組織）、YCC情報システム（6組織）、スカラコミュニケーションズ「i-ask」（6組織）、NTTデータ委託先のデジタル証券プラットフォーム（野村證券、大和証券、SBI証券、三菱UFJ信託銀行等6組織）、Amadeus旅客サービスシステム（JAL、JTA、ANA X、スカイマーク、スターフライヤー等6組織）、ホテルシステム「WASIMIL」（6組織）、ApplyNow（5組織）、ファインズ（5組織）、両毛システムズ（4組織）、Securitize PF（ソニー銀行、LIFULL Investment等3組織）、Japanticket（山梨県富士山通行予約約7万件、ちいかわベーカリー等3組織）、トラベルジップ（3組織）、佐川急便（3組織）、GoWeb（3組織）、GETTIIS（3組織）。
以下のインタラクティブ図解では、34の製品・サービスごとに公表した全1,321組織の名称と公表日をすべて検索・展開して確認できます。
34 SUPPLY-CHAIN CASCADE HUBS (1,321 ORGANIZATIONS)1つの侵害が数百組織に連鎖した「34大共通サービス・委託先事案」全1,321組織リスト
自治体配信システム・宿泊サイトコントローラー・ノーコードWeb制作基盤・メール配信SaaS・デジタル証券基盤・旅客システム等の侵害から、利用企業や自治体が連鎖的に公表した34事案（計1,321組織）の製品別まとめです（11/4更新：ブラストメール184組織・Studio 183組織・TEMAIRAZU 151組織・Cuenote FC 28組織へ拡大、アララ メッセージ・さとふる・Amadeus・デジタル証券PF・WASIMIL・Japanticket・repica等の新規11ハブを追加）。
1. SpeeCAN RAIDEN（自治体向け情報配信サービス）
432組織2026/10/13から2026/10/23までの11日間に、この製品・サービスを使っていた432組織が公表した。組織の種別は行政機関430、企業・団体1、教育機関1。確認状況は漏洩のおそれ・調査中409、漏洩なし・記載なし22、漏洩確認1。最初に公表したのはアルカディア。
10/13アルカディア10/13美馬市10/13下関市10/13湖南市10/13横須賀市10/13岡山市10/13佐世保市10/13あわら市10/13池田町（福井県）10/13越前市
2. ブラストメール
184組織2026/10/21から2026/10/30までの10日間に、この製品・サービスを使っていた184組織が公表した。組織の種別は企業・団体131、行政機関47、教育機関6。確認状況は漏洩のおそれ・調査中102、漏洩確認48、漏洩なし・記載なし34。最初に公表したのは石油資源開発（JAPEX）。
10/21石油資源開発（JAPEX）10/21大分県10/21香美市10/21山梨市10/21湯沢市10/21日本BS放送（BS11）10/21ソーシャルインテリア10/21学校法人先端教育機構10/21サステナ・メディア・ラボ10/21古紙ジャーナル社
3. Studio
183組織2026/10/16から2026/10/30までの15日間に、この製品・サービスを使っていた183組織が公表した。組織の種別は企業・団体150、行政機関29、教育機関2、医療機関2。確認状況は漏洩のおそれ・調査中182、漏洩確認1。最初に公表したのはLink-Uグループ。
10/16Link-Uグループ10/16ラクスル株式会社10/16埼玉県10/16Luup10/16フラー10/16シンプルフォーム10/16Fukuoka Growth Next10/16南日本放送10/16京都市10/16Finatextホールディングス
4. TEMAIRAZU（宿泊予約サイト管理システム）
151組織2026/09/23から2026/10/14までの22日間に、この製品・サービスを使っていた151組織が公表した。組織の種別は企業・団体151。確認状況は漏洩のおそれ・調査中147、漏洩なし・記載なし4。最初に公表したのはホテルプリヴェ静岡。
09/23ホテルプリヴェ静岡09/24ファーストキャビン09/25ホテル メイプルイン幕張09/27春蘭の宿さかえや09/27ニューグロリアリゾートグループ09/28手間いらず09/28SPICE MOTEL OKINAWA09/28HOTEL RINGS KYOTO09/28COMMONS. inc.09/28穴吹エンタープライズ
5. IDCFクラウド
61組織2026/10/07から2026/10/14までの8日間に、この製品・サービスを使っていた61組織が公表した。組織の種別は企業・団体54、行政機関5、教育機関2。確認状況は漏洩なし・記載なし40、漏洩のおそれ・調査中20、漏洩確認1。最初に公表したのはクロスランゲージ。
10/07クロスランゲージ10/07ソリトンシステムズ10/07メディアリンク10/07ポピンズ10/07湖西市10/07焼津市10/07ダイショー10/07COLORFULLY10/07SKE10/07NMB48
6. コミューン（Commune）
29組織2026/10/08から2026/10/14までの7日間に、この製品・サービスを使っていた29組織が公表した。組織の種別は企業・団体28、行政機関1。確認状況は漏洩のおそれ・調査中17、漏洩確認10、漏洩なし・記載なし2。最初に公表したのは青森県（青森びいき）。
10/08青森県（青森びいき）10/08VALX10/08ウイングアーク1st10/09ヤマハ（ヤマハネットワークエンジニア会）10/09スズキ（スズキヴィレッジ）10/09コミューン10/09カルビー10/09森永乳業10/09CHITOSE BIO EVOLUTION10/09ZENB JAPAN
7. 発車オーライネット
29組織2026/10/15から2026/10/17までの3日間に、この製品・サービスを使っていた29組織が公表した。組織の種別は企業・団体29。確認状況は漏洩のおそれ・調査中17、漏洩確認12。最初に公表したのは工房。
10/15工房10/15中国バス10/15奈良交通10/15防長交通10/16WILLER MARKETING10/16北陸鉄道10/16神奈川中央交通10/16名鉄バス10/16両備バス10/16北海道中央バス
8. 自治体の防災メール配信システム
28組織2026/10/13に、この製品・サービスを使っていた28組織が公表した。組織の種別は行政機関28。確認状況は漏洩のおそれ・調査中23、漏洩なし・記載なし5。最初に公表したのは南房総市。
10/13南房総市10/13大分県10/13佐賀市10/13台東区10/13福井市10/13鯖江市10/13敦賀市10/13北茨城市10/13牧之原市10/13栗山町
9. Cuenote FC
28組織2026/10/18から2026/10/30までの13日間に、この製品・サービスを使っていた28組織が公表した。組織の種別は企業・団体27、行政機関1。確認状況は漏洩のおそれ・調査中15、漏洩確認9、漏洩なし・記載なし4。最初に公表したのは山陽新聞社。
10/18山陽新聞社10/20NTTPC10/20埼玉県10/20かたばみ10/20カクヤス10/20運輸デジタルビジネス協議会10/21大日本印刷10/21オークファン10/23野村證券10/23アイスタイル
10. ショップサーブ
22組織2026/08/02から2026/09/30までの60日間に、この製品・サービスを使っていた22組織が公表した。組織の種別は企業・団体22。確認状況は漏洩確認19、漏洩のおそれ・調査中3。最初に公表したのは平宗 柿の葉ずし 平宗 オンラインショップ（ショップサーブ）。
08/02平宗 柿の葉ずし 平宗 オンラインショップ（ショップサーブ）08/03デザインフィル08/03珈琲香坊 ネットショップ（ショップサーブ）08/03七味家本舗 オンラインショップ（ショップサーブ）08/03メディアナビ メディアナビ・ダイレクト（ショップサーブ）08/03ノフル 通販サイト（ショップサーブ）08/03レメディコム（ショップサーブ）08/03マルキユー08/04ソフトウェア・トゥー オンラインストア（ショップサーブ）08/04大倉陶園 公式オンラインショップ（ショップサーブ）
11. アットリンク
21組織2026/10/14から2026/10/15までの2日間に、この製品・サービスを使っていた21組織が公表した。組織の種別は医療機関20、企業・団体1。確認状況は漏洩のおそれ・調査中20、漏洩確認1。最初に公表したのはまつしま病院。
10/14まつしま病院10/14つくばみらい遠藤レディースクリニック10/14産婦人科クリニックさくら10/14ツキリズムマタニティクリニック10/14あらかわレディースクリニック10/14つかさクリニック堺東10/14スズキ記念病院10/14ENAレディースクリニック梅田院10/14久保みずきレディースクリニック 菅原記念診療所10/14三宅医院
12. アララ メッセージ
20組織2026/10/28から2026/11/02までの6日間に、この製品・サービスを使っていた20組織が公表した。組織の種別は企業・団体19、行政機関1。確認状況は漏洩のおそれ・調査中10、漏洩確認10。最初に公表したのは鹿児島銀行。
10/28鹿児島銀行10/29鹿児島相互信用金庫10/29土木学会10/29沖縄県10/29鹿児島信用金庫10/29e-CHANNEL10/30スズキ10/30AUTHENTIC JAPAN10/30ウィル11/02北陸電力
13. ソースネクスト
19組織2026/10/15から2026/10/19までの5日間に、この製品・サービスを使っていた19組織が公表した。組織の種別は企業・団体19。確認状況は漏洩確認11、漏洩のおそれ・調査中8。最初に公表したのは秋田ケーブルテレビ。
10/15秋田ケーブルテレビ10/16イッツ・コミュニケーションズ10/16伊豆急ケーブルネットワーク10/16アドバンスコープ10/16日本ネットワークサービス10/16ケーブルワン10/16伊万里ケーブルテレビジョン10/16ケーブルネット29610/16金沢ケーブル10/16佐賀シティビジョン
14. サンケイリビング新聞社
10組織2026/10/22から2026/10/28までの7日間に、この製品・サービスを使っていた10組織が公表した。組織の種別は行政機関8、教育機関1、企業・団体1。確認状況は漏洩のおそれ・調査中10。最初に公表したのは三重県。
10/22三重県10/23広島県10/23島根県10/23登米市10/23国立市10/23福島リビング新聞社10/26広島県教育委員会10/26東松島市10/26大和町10/28宮城県
15. KDDI ISP向けメールシステム
9組織2026/06/23から2026/10/30までの130日間に、この製品・サービスを使っていた9組織が公表した。組織の種別は企業・団体9。確認状況は漏洩確認7、漏洩なし・記載なし1、漏洩のおそれ・調査中1。最初に公表したのはKDDI。
06/23KDDI06/23STNet06/23KDDIウェブコミュニケーションズ06/23JCOM06/23中部テレコミュニケーション06/23ニフティ06/23ビッグローブ10/20KDDI10/30KDDI・ライフネット生命保険
16. さとふる・Cuenote FC
8組織2026/10/27から2026/10/28までの2日間に、この製品・サービスを使っていた8組織が公表した。組織の種別は行政機関8。確認状況は漏洩のおそれ・調査中6、漏洩なし・記載なし1、漏洩確認1。最初に公表したのは会津若松市。
10/27会津若松市10/27光市10/27佐野市10/28佐賀県10/28滋賀県10/28八幡浜市10/28阿蘇市10/28群馬県
17. WASABI SWITCH
8組織2026/10/19から2026/10/26までの8日間に、この製品・サービスを使っていた8組織が公表した。組織の種別は企業・団体8。確認状況は漏洩のおそれ・調査中5、漏洩確認3。最初に公表したのはBuySell Technologies（グループ会社 DelightZ・REGATE・日晃堂）。
10/19BuySell Technologies（グループ会社 DelightZ・REGATE・日晃堂）10/20エコリング10/20緑和堂10/20アンカーネットワークサービス10/21羅針（GINZA RASIN）10/24ハーフプライス（農家さんの味方）10/26トライシクル10/26FTF
18. 新日本検定協会（ランサムウェア）
7組織2026/05/11から2026/05/12までの2日間に、この製品・サービスを使っていた7組織が公表した。組織の種別は企業・団体7。確認状況は漏洩のおそれ・調査中5、漏洩確認2。最初に公表したのは新日本検定協会。
05/11新日本検定協会05/11東京海上日動火災保険05/11三井住友海上火災保険05/11損害保険ジャパン05/11あいおいニッセイ同和損害保険05/11楽天損害保険05/12共栄火災海上保険
19. ワイメール
7組織2026/10/24から2026/10/26までの3日間に、この製品・サービスを使っていた7組織が公表した。組織の種別は企業・団体4、行政機関3。確認状況は漏洩のおそれ・調査中6、漏洩なし・記載なし1。最初に公表したのは大都開発（かたしな高原）。
10/24大都開発（かたしな高原）10/24双葉町10/24南魚沼市10/24ダイナミコ10/24ヒューマン・リスペクト10/24どう出版10/26京都産業21
20. YCC情報システム
6組織2026/04/14から2026/07/30までの108日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は行政機関5、企業・団体1。確認状況は漏洩のおそれ・調査中5、漏洩なし・記載なし1。最初に公表したのはYCC情報システム。
04/14YCC情報システム04/17山形県04/17庄内町04/17幸手市04/20高畠町07/30山形市
21. i-ask（スカラコミュニケーションズ）
6組織2026/10/05から2026/10/08までの4日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は企業・団体6。確認状況は漏洩のおそれ・調査中6。最初に公表したのは大和証券 インターネット問い合わせ管理（委託先 スカラコミュニケーションズ）。
10/05大和証券 インターネット問い合わせ管理（委託先 スカラコミュニケーションズ）10/06シチズン時計（i-ask）10/06スカラコミュニケーションズ10/07損害保険ジャパン10/07東武鉄道株式会社 お客さまセンター「お問い合わせ」フォーム10/08オリックス生命保険
22. NTTデータ委託先のデジタル証券プラットフォーム
6組織2026/10/31に、この製品・サービスを使っていた6組織が公表した。組織の種別は企業・団体6。確認状況は漏洩のおそれ・調査中6。最初に公表したのは近鉄グループホールディングス。
10/31近鉄グループホールディングス10/31楽天証券10/31野村證券10/31三菱ＵＦＪモルガン・スタンレー証券10/31カゴメ10/31SBI証券
23. Amadeus旅客サービスシステム
6組織2026/10/29から2026/10/30までの2日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は企業・団体6。確認状況は漏洩のおそれ・調査中6。最初に公表したのはスターフライヤー。
10/29スターフライヤー10/29ソラシドエア10/30全日本空輸10/30AIRDO10/30アイベックスエアラインズ10/30オリエンタルエアブリッジ
24. WASIMIL
6組織2026/10/21から2026/10/29までの9日間に、この製品・サービスを使っていた6組織が公表した。組織の種別は企業・団体6。確認状況は漏洩のおそれ・調査中5、漏洩確認1。最初に公表したのはKANSEI null 佐賀（オルカ）。
10/21KANSEI null 佐賀（オルカ）10/23HOTEL GREGES（ディライト）10/24長蔵小屋10/29PIECE HOSTEL SANJO（株式会社PIECE）10/2930 PIECES Namba（株式会社PIECE）10/29IMANO OSAKA SHINSAIBASHI HOSTEL
25. ApplyNow
5組織2026/09/09から2026/10/09までの31日間に、この製品・サービスを使っていた5組織が公表した。組織の種別は企業・団体3、行政機関2。確認状況は漏洩確認3、漏洩のおそれ・調査中2。最初に公表したのはきちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」。
09/09きちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」09/17入間市10/02ワンダーテーブル10/06ナカバヤシ 新卒採用（ApplyNow利用分）10/09魚沼市 職員採用試験録画面接サービス「ApplyNow」
26. ファインズ
5組織2026/10/17から2026/10/23までの7日間に、この製品・サービスを使っていた5組織が公表した。組織の種別は企業・団体4、医療機関1。確認状況は漏洩確認4、漏洩のおそれ・調査中1。最初に公表したのは猫カフェ 猫ちゃんといっしょ。
10/17猫カフェ 猫ちゃんといっしょ10/17海の公園どうぶつ病院10/19バナナキッズ10/20四谷メディカルキューブ10/23上野整体健療院
27. 両毛システムズ
4組織2026/08/15から2026/09/30までの47日間に、この製品・サービスを使っていた4組織が公表した。組織の種別は企業・団体3、行政機関1。確認状況は漏洩のおそれ・調査中4。最初に公表したのは両毛システムズ。
08/15両毛システムズ09/28伊勢崎市09/28長野都市ガス09/30名張近鉄ガス
28. Securitize PF
3組織2026/10/31から2026/11/02までの3日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体3。確認状況は漏洩のおそれ・調査中2、漏洩確認1。最初に公表したのはスターツ証券。
10/31スターツ証券11/02丸井グループ11/02パン・パシフィック・インターナショナルホールディングス
29. アララ「repica」
3組織2026/11/02に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体3。確認状況は漏洩確認3。最初に公表したのは両備バス。
11/02両備バス11/02リーミルズ＆カンパニー11/02ライトアップショッピングクラブ
30. Japanticket
3組織2026/10/30に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体2、行政機関1。確認状況は漏洩確認2、漏洩のおそれ・調査中1。最初に公表したのは山梨県。
10/30山梨県10/30CS-C10/30ちいかわベーカリー
31. トラベルジップ
3組織2026/10/23から2026/10/30までの8日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体2、行政機関1。確認状況は漏洩確認3。最初に公表したのは台東区。
10/23台東区10/25飛騨・高山観光コンベンション協会10/30熱海市観光協会
32. 佐川急便「お荷物問い合わせサービス」
3組織2026/10/07から2026/10/29までの23日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体2、行政機関1。確認状況は漏洩のおそれ・調査中3。最初に公表したのは横須賀市。
10/07横須賀市10/08富士薬品10/29中国電力
33. GoWeb
3組織2026/10/20から2026/10/21までの2日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体3。確認状況は漏洩のおそれ・調査中3。最初に公表したのはGood不動産。
10/20Good不動産10/20Goodリアルエステート10/21アセットリード
34. GETTIIS
3組織2026/10/19から2026/10/20までの2日間に、この製品・サービスを使っていた3組織が公表した。組織の種別は企業・団体2、行政機関1。確認状況は漏洩のおそれ・調査中2、漏洩確認1。最初に公表したのは島根県民会館。
10/19島根県民会館10/20中央区10/20熊本日日新聞社
歴代最悪を更新した「1,000万件超」のメガ・ブリーチ全13事案（＋物理紛失1事案）
続いて、単一事案で1,000万件以上のデータ流出（または流出のおそれ・媒体紛失）が発表された超大規模事案を、発生原因と流出項目とともに詳しく見ていきます。
1. アララ「アララ メッセージ」（最大約7,700万件）：メール配信サーバー97台への不正アクセス
2026年10月28日に第一報、11月2日に第2報が公表された、ペイクラウドホールディングス子会社アララが提供するメール配信サービス「アララ メッセージ」の大規模侵害事案です。
サーバー97台（最大約380社の利用環境）に不正アクセスがあり、保存されていたメールアドレス等約7,700万件（77百万件）に漏洩のおそれがあるほか、共用環境のメールアドレス338万6,187件の漏洩が確認されました。さらに同環境を踏み台としてクレジットカード会社を装うフィッシングメールが最大約713万通送信されており、TKC（最大223万件）や北陸電力（約55万件）、全国の自治体電子申請システムへと深刻な連鎖被害を引き起こしています。
2. 佐川急便（最大約5,323万件）：荷物問い合わせサービスへの不正アクセス
2026年9月30日に第一報が出され、10月23日の第5報で最大約5,323万件（同一顧客の重複を含む約100日分の配送データ）の流出可能性が公表された事案です。
標的は「お荷物問い合わせサービス（インターネット貨物システム）」のサーバーでした。送り主と届け先の氏名、住所、電話番号、荷物個数などが外部から参照された可能性があり、生活インフラの中核を担う物流システムのWeb公開インターフェースがいかに執拗に狙われているかを象徴する出来事となりました。
3. ユミルリンク「Cuenote FC」（延べ51,628,280件）：49システムのメール配信基盤侵害
2026年10月19日に第一報、10月26日の続報で対象規模が延べ5,162万8,280件（Cuenote FC 49システム、ほか16システム調査中）へ拡大したメール配信SaaSの不正アクセス事案です。
システムの脆弱性悪用と認証情報の窃取が組み合わさり、モアコンタクト（154.8万件）、DCMホールディングス（75.3万人）、バンダイナムコ（34.6万件）、ライフカード（33.9万契約）、JR東海・JR西日本・JR九州のEXサービス（約17万件）など多数の大手企業・金融機関の顧客メールアドレス等が流出しました。
4. 良品計画「無印良品 MUJIアプリ」（最大約2,726万件）：公式アプリ顧客情報の漏洩懸念
2026年10月30日に公表された、無印良品の公式アプリ「MUJIアプリ（旧MUJI passport）」に関する大規模事案です。
外部からの不正アクセスにより、退会した顧客の情報を含む最大約2,726万件のアプリ顧客関連情報（MUJI ID、生年月日、性別、郵便番号、メールアドレス、住所、氏名、電話番号など項目は利用状況により異なる）が漏洩した可能性が発表されました。退会済みユーザーのデータを長期間保持し続けることのリスクを改めて浮き彫りにしました。
5. Helpfeel「Gyazo」（約2,362万件）：画像共有基盤の脆弱性悪用
2026年9月16日に第一報、10月21日に続報が公表されたスクリーンショット共有サービス「Gyazo」における不正アクセス事案です。
脆弱性の悪用により、ユーザーデータ約2,362万件（匿名ユーザー約1,801万件、メールアドレス登録ユーザー約562万件の氏名、メール、パスワードハッシュ、セッションID等）および画像メタデータが漏洩し、特定ユーザー133名の画像ファイル432件が閲覧・取得されたことが確認されました。
6. Eストアー「ショップサーブ」（約2,335.6万人）：EC共通基盤の脆弱性悪用
2026年8月1日に第一報、10月16日・29日に詳細が公表されたEC構築プラットフォームの事案です。
アプリケーションの脆弱性が悪用され、同基盤を利用する7,858店舗・約2,335万6,000人の購入者情報や店舗運営者情報が漏洩しました。さらに約209万6,900人分にはクレジットカード名義や番号の一部、有効期限等が含まれており、EC共通基盤が破られた際の破壊力を見せつけました。
7. ソースネクスト（22,519,960件）：会員情報取得APIの悪用と鍵への接近
2026年10月15日に公表された、約2,252万件におよぶ会員情報管理システムの漏洩確認事案です。
社内システムの定期処理にも使われていた会員情報取得APIが悪用され、メールアドレス、パスワード、氏名、住所、性別、電話番号、生年月日などが漏洩しました。さらに暗号化パスワードの復号鍵領域へアクセスされた可能性が判明したほか、全国のケーブルテレビ局など提携19組織のサービスにも影響が波及しました。
8. EPARKリラク＆エステ「PeakManager」（約2,218万レコード）：DB転送と消去
サロン向け予約・顧客管理システム「PeakManager」において、2026年7月31日に第一報、9月24日に名寄せ後の精査結果として約2,218万レコードの漏洩が確定した事案です。
攻撃者はデータベースから個人情報を外部へ転送したあと、元のデータベース内のデータを削除しました。しかも流出項目には、氏名や連絡先に加えて店舗スタッフが入力した「顧客の備考欄（健康状態などの要配慮個人情報）」まで含まれており、自由記述欄に機微情報を残す運用の危うさが露呈しました。
9. アドベンチャー「skyticket」（約1,464万件）：航空券・旅行予約サイトの脆弱性悪用
2026年10月8日に公表された、総合旅行予約サイト「skyticket」における大規模漏洩事案です。
脆弱性を突いた不正アクセスにより、約1,464万件の顧客情報（氏名、パスポート表記氏名、生年月日、メールアドレス、電話番号、およびハッシュ化パスワード約413万件）が漏洩した可能性が発表されました。さらに17,780件の予約情報や、プレミアム会員最大6,140名分のクレジットカード情報漏洩懸念も報告されています。
10. KDDI（12,231,954名）：ISP向けメール基盤のゼロデイ脆弱性悪用
2026年6月23日〜7月6日に公表された、KDDIが提供するISP（インターネットサービスプロバイダー）向け共通メールシステムの不正アクセス事案です。
第三者製ソフトウェアのゼロデイ脆弱性が悪用され、au one netをはじめ、ビッグローブ（約501.6万人）、JCOM（約259万件）、ニフティ（約224.8万件）、KDDIウェブコミュニケーションズ「CPI」（約125万名）、中部テレコミュニケーション（約72.7万名）、STNet（約39.7万名）など計1,223万1,954名分のメールアドレス（うちパスワード761万6,173名分）が漏洩しました。
11. カプコン「CAPCOM ID」（11,774,247件）：オンライン共通会員基盤の侵害
2026年10月22日・23日に公表された、カプコンのオンライン共通アカウント「CAPCOM ID」への不正アクセス事案です。
全世界合計で1,177万4,247件のメールアドレスやシステム識別情報（作成日時、最終ログイン日時、IPアドレス等）が漏洩しました。さらに196件でパスワードが不正変更され、日本国内の19件では公式通販「イーカプコン」のマイページ情報（氏名、住所、電話番号等）が閲覧されたことが確認されました。
12. ビーケー・ジャパン「バーガーキング公式アプリ」（約1,118万件）：会員情報の漏洩
2026年10月15日に公表された、バーガーキング公式アプリの会員情報漏洩事案です。
外部からの不正アクセスにより、公式アプリ会員約1,118万件分の会員ID、メールアドレス、都道府県、性別、生年月日、氏名、電話番号、住所、パスワード（ハッシュ化）、注文履歴などが漏洩したことが確認されました。
13. 物語コーポレーション「焼肉きんぐ公式アプリ」（10,788,963件）＆ 九州電力送配電（延べ約1,090万件）
外食アプリではもう1件、物語コーポレーションが10月5日に「焼肉きんぐ公式アプリ」の登録会員約1,078万8,963件分の会員番号、氏名、メールアドレス、電話番号、生年月日等の漏洩確認を公表しました。また、サイバー攻撃とは別の物理事案として、九州電力送配電が6月8日（続報7月8日）に過去の顧客情報延べ約1,090万件分を保存した外付けSSDの紛失・誤廃棄を公表しています。
100万〜900万件規模で続発した主要企業55事案の全貌
1,000万件超の13事案に続き、100万件〜900万件規模の大型事案も10月末〜11月初旬にかけてノジマ、プレステージ・インターナショナル、ウィルズ、バンドルカード、クラブツーリズム、花キューピット、楽天トラベル、ゲームトレード、@cosme、So-net、松屋フーズ、TKCなどが加わり、計55事案（100万件以上合計で68事案）に達しました。
1. 500万〜900万件級の大型事案
- 第一興商（10月8日公表・約872.4万件）：業務委託先（日本コロムビアグループ）従業員PCのマルウェア感染により、ビッグエコー等の顧客情報約863.1万件と従業員情報約9.3万件に漏洩のおそれ。
- ムラウチドットコム（7月24日初報・9月15日続報・7,716,811件）：Webシステムの脆弱性を突いた不正アクセスにより、約771.6万件の氏名、住所、電話番号、メールアドレス、生年月日等が漏洩。
- ノジマ（11月2日公表・約700万件）：ECサイト「ノジマオンライン」および中古スマホ買取サイトの会員情報管理システムが不正アクセスを受け、退会者を含まない約700万件の会員情報（氏名、住所、電話番号、メールアドレス、生年月日、購入履歴等）が漏洩確認。
- タイムズモビリティ「タイムズカー」（9月25日初報・10月23日続報・6,628,007件）：Webシステムの脆弱性悪用により約662.8万件の会員情報が漏洩確認。暗号化された運転免許証等の本人確認書類画像データも外部送信され、本人確認画像の保有廃止へと社会全体を動かす契機となりました。
- ライドオンエクスプレスHD（10月8日公表・最大約650万件）：IDCFクラウド障害・不正アクセス事案に関連し、「銀のさら」「釜寅」等の顧客データ最大約650万件に漏洩のおそれ。
- ブックオフグループHD（10月9日公表・6,383,279人）：子会社の会員管理システムへの不正アクセスにより、約638万人（642.7万件）の氏名、生年月日、電話番号、住所、メールアドレス等が漏洩確認。
- グリーンモンスター「FXなび」（10月23日公表・約619万件）：FXデモトレードアプリにおいて約619万件の利用データ（うちメールアドレス66,003件）に漏洩のおそれ。
- 上新電機「Joshin」（10月17日公表・最大約600万件）：会員情報データベース最大約600万件およびサブスク最大約23万件に漏洩のおそれ。
- プレステージ・インターナショナル（11月2日公表・最大約550万件）：子会社プレステージ・コアソリューションのロードサービス・ホームアシスト等の受付・手配システムが不正アクセスを受け、最大約550万件（重複含む）の氏名、電話番号、車両番号・出動場所等が漏洩確認。
- ウィルズ「ネットマイル」（11月2日公表・最大約549万人）：ポイント交換サービス「ネットマイル」で不正アクセスにより退会者を含む最大約549万人分の会員情報に漏洩のおそれ。
- ヤマト運輸「クロネコ代金後払いサービス」（9月29日初報・10月16日続報・約526万件）：利用者情報約526万件、お届け先情報約5万件等の漏洩を確認。
- カンム「バンドルカード」（10月29日公表・5,161,998人）：Visaプリペイドアプリ「バンドルカード」でアプリ利用者516万1,998人およびサポートサイト59万594人の情報（電話番号、生年月日、メールアドレス、ユーザーID等）に漏洩のおそれ。
2. 300万〜499万件級の大型事案
- 日本ピザハット（10月23日公表・最大約448万件）：オンライン注文サービスの決済連携APIが悪用され、顧客情報最大約448万件の漏洩を確認。
- トラストバンク「ふるさとチョイス」（10月19日公表・4,454,097件）：ふるさと納税総合サイトへの不正アクセスにより、約445.4万件の会員情報が漏洩確認。
- 手間いらず「TEMAIRAZU」（9月28日公表・最大約445万人）：宿泊予約サイトコントローラーへの不正アクセスにより最大約445万人分の予約情報が対象となり、151のホテル・旅館が連鎖公表。
- アフラック生命保険（6月30日初報・7月31日続報・約438万人）：顧客約438万人（うち口座情報含む約23万人）および代理店約4万店の情報が漏洩確認。
- クラブツーリズム（10月31日公表・約432万件）：インターネット予約システムへの不正アクセスにより、会員情報約432万件（氏名、住所、電話番号、メールアドレス、生年月日等）に漏洩のおそれ。
- 花キューピット（10月28日公表・4,238,242件）：「インターネット花キューピット」「ビジネス花キューピット」において会員・届け先情報423万8,242件の漏洩を確認。
- NTTソルマーレ「コミックシーモア」（10月15日公表・最大約420万件）：システムログファイル上の情報最大約420万件および会員DB登録情報319件の漏洩確認。
- ビューカード「VIEW's NET」（10月9日公表・約403万件）：IDCFクラウドへの攻撃に関連し、メールアドレス約403万件に漏洩のおそれ。
- ディップ「バイトル／バイトルNEXT」（10月9日公表・最大3,885,771件）：メールアドレス最大約388.5万件の漏洩確認。
- リクルート「カーセンサーnet／C-MATCH」（10月21日公表・最大3,709,551件）：中古車問い合わせ利用者（約321万件）および販売店情報（約48.3万件）等に漏洩のおそれ。
- 楽天グループ「楽天トラベル」（10月26日公表・計最大約354万件）：海外ホテル予約ページ（最大約260万件＋約4万件、うち支払情報最大約3.6万件）および多言語ホテル予約サイト（最大約86万件＋施設従業員約4万件）で情報漏洩のおそれ。
- ゲームトレード（10月28日公表・3,385,480件）：ゲームアカウント売買サイトへの不正アクセスにより、メールアドレス338万5,480件、電話番号94万5,148件、さらに売上金出金用の銀行口座情報24万6,931件の漏洩を確認。
- 2りんかんイエローハット（4月23日公表・3,179,454名）＆ イエローハット本体（8月28日公表・1,797,124人）：グループ合計で約497.6万人分の会員・予約顧客情報が漏洩確認。
- リンツ＆シュプルングリージャパン／フューチャーショップ「futureshop」（10月23日公表・3,147,469件）：リンツ公式通販・アプリの共通会員314.7万件の個人情報が漏洩確認。
- ユニバーサル ミュージック（5月18日公表・3,105,585件）：会員・購入者情報約310.5万件が漏洩確認。
- アイスタイル「@cosme」（11月2日公表・約300万人）：コスメ・美容総合サイト「@cosme」の共通ID会員情報約300万人分（メールアドレス、生年月日、性別、郵便番号、暗号化パスワード等）が漏洩確認。
3. 100万〜299万件級の大型事案
- ソニーネットワークコミュニケーションズ「So-net / ドコモ光plala」（10月27日公表・計2,585,481件）：会員データベースへの不正アクセスにより、So-net会員214万1,986件およびNTTドコモから受託する「ドコモ光 plala（Sコース）」44万3,495件の計258万5,481件（氏名、住所、電話番号、生年月日、メールアドレス等）、さらにメール・パスワード54,401件および銀行口座番号16件の漏洩を確認。
- アンドエスティHD（旧アダストリア、10月23日公表・約251万件）：顧客約250万件・取引先約1万件の個人情報に漏洩のおそれ。
- 松屋フーズホールディングス（10月30日公表・2,379,127件）：「松弁ネット」「松屋モバイルオーダー」「松弁デリバリー」等の利用者情報237万7,127件および公式アプリ会員約2,000〜3,000件の氏名、電話番号、メールアドレス、生年月日等が漏洩確認。
- TKC（11月2日公表・最大2,230,812件）：会計事務所・企業・地方公共団体向けシステムで利用していた「アララ メッセージ」への不正アクセスにより、メールアドレス最大223万812件が漏洩確認。再委託先として横浜市（電子申請システム登録者約82万件）、大阪市、姫路市、高根沢町などの行政システムにも連鎖しました。
- ローソン（10月8日公表・2,155,345件）：「ローソンID」約215.5万件の個人情報が漏洩確認。
- JR東日本「えきねっと・大人の休日倶楽部」（10月9日公表・計最大約206万件）：IDCFクラウド関連でえきねっと最大約167万件・大人の休日倶楽部最大約39万件。
- 100万〜190万件台の主要事案：Peach Aviation（約189万件）、日本経済新聞社（約183万件、うち個人情報約35万件漏洩確認）、ミスターマックス（最大173.5万人漏洩確認）、Rise UP「モアコンタクト」（10月28日公表・Cuenote FC経由で延べ1,548,002件漏洩確認）、ファインズ（153.6万件）、バリューデザイン「Value Card」（142.4万件漏洩確認）、さくらインターネット（136万アカウント）、JR九州（Web会員約130万件）、阪急阪神百貨店「H2O ID」（約126万件漏洩確認）、ワールド連結子会社ティンパンアレイ「RAGTAG」（10月30日公表・会員情報延べ約120万件に漏洩のおそれ）、モスフードサービス「モスカード」（1,133,070件漏洩確認）、ホワイトエッセンス（約105万アカウント漏洩確認）、REXT Holdings（約104.4万件）、カカオピッコマ「ピッコマ」（1,002,404件漏洩確認）。
10万〜99万件規模および5視点の深層再調査で判明した主要企業・金融・医療・官公庁事案
10万〜99万件クラス（計91事案、10万件超合計159事案）および今回の5視点・深層再調査で発掘された主要事案にも、各業界の代表プレイヤーが並んでいます。
- 10月末〜11月初旬に判明した10万〜99万件事案：DCMホールディングス「マイボ」（Cuenote FC経由・753,272人漏洩確認）、北陸電力「ほくリンク」（アララ経由・約55万件漏洩確認）、千葉県教育委員会（教育用メールサーバー踏み台で迷惑メール485,446件送信・宛先287,251件）、エックスサーバー（ブラストメール経由・459,679件漏洩確認）、NTTドコモ「ドコモ光 plala（Sコース）」（So-net委託分443,495件漏洩確認）、モニタス「Qzoo」（アンケートサイト約40万件）、ソニー生命保険（約38.5万件漏洩確認）＆ メディケア生命保険（約38.5万件漏洩確認）、バンダイナムコエンターテインメント・BANDAI SPIRITS（Cuenote FC経由・346,247件漏洩確認）、ライフカード（Cuenote FC経由・339,610契約、うちETCカード番号一部60件）、アルク（ブラストメール経由・約31万件漏洩確認）、Japanticket（最大約26.4万件漏洩確認、山梨県富士山通行予約システム約7万件等に波及）、NEL「osina」（推し活サービス235,329人漏洩確認）、生活協同組合ユーコープ（アララ repica経由・210,495件漏洩確認）、JR東海・JR西日本・JR九州「エクスプレス予約・スマートEX」（Cuenote FC経由・約17万件）、セブン‐イレブン・ジャパン「7NOW」（配送委託先CBcloud「PickGo」不正アクセスにより配送先顧客情報169,151件漏洩確認）、ネットドリーマーズ・デイリースポーツ「競馬新聞デイリー馬三郎」（最大約152,500件）、アニメイト（Cuenote FC経由・140,443件漏洩確認）、iDA「MyBRANDS」（最大約13.5万件）、近鉄・都ホテルズ「都プラス」（アララ経由・129,153件漏洩確認）、メディアナビ（ブラストメール経由・約11万件漏洩確認）、サントリーホールディングス（外部クラウドへの不正アクセスでグループ・パートナー従業員約9万人、顧客7,323人、新卒採用応募者7,173人など計約105,600人分漏洩確認）。
- 5視点の深層再調査および直近・Q1で判明した注目事案：日本航空（JAL）・日本トランスオーシャン航空（JTA）（Amadeus旅客サービスシステム不正アクセスで予約情報約92,000人分に漏洩のおそれ）、佐久総合病院（バックアップ用ポータブルHDD紛失・患者等87,765名）、Lean on Me（Metabase脆弱性悪用で障がい福祉研修「スペシャルラーニング」利用者82,723人漏洩確認）、ジェックス（GEX公式通販サイト不正アクセスで顧客78,979件・うちクレジットカード情報18,869件漏洩のおそれ）、GMOグローバルサイン・ホールディングス（IDaaS「トラスト・ログイン」のサポートサイト侵害で導入2,492社・45,030人分漏洩確認）、阿波銀行（AI高度化検証用テスト環境の設定・消去不備により法人NB契約先10,872件・株主11,122件・取引先5,751件の延べ27,745件が外部公開）、東急モールズデベロップメント（クレジットカード決済データ2.5万件超を店舗に誤送信）、りそな銀行（旧あさひ銀行羽村支店の口座解約顧客マイクロフィルム紛失約9,000人分）、コバヤシ（8,149件流出）、テイン（東証スタンダード上場・ランサムウェアにより株主5,482名および社員等1,822名のマイナンバー含む計7,304名分流出）、外務省（外部接続ネットワーク侵害で約3,600件）、三井住友銀行（公金納付書等約2,000人分所在不明）、日本原子力研究開発機構（JAEA・研究用原子炉利用者の身分証・特殊健診結果流出）、デンソー（海外2拠点サイバー攻撃）、サッポロHD（海外グループ2社）、アルプスアルパイン、ニデック（台湾子会社）、アルバック、東北新社・オムニバス・ジャパン、ハリマ化成グループ、セゾンテクノロジー、ロート製薬、モンベル、円谷プロダクション、エバラ食品工業、キリンビール、TOKYO FM、ナカバヤシ、コマツ、全日空商事、アイリスオーヤマなどを完全網羅しています。
- 4〜10月中旬の10万〜90万件主要事案：GMOリサーチ＆AI「infoQ」（89.4万件）、アエナ（最大81.7万人）、ビューティガレージ（77.5万件）、メディカ出版（77.2万件）、トレジャー・ファクトリー（74.6万件）、ムーンスター（最大59.3万人）、アンビションDX HD（約58万件）、セイコーマート（57.4万人）、旭化成セラピューティクス（医療従事者最大約51.4万名）、OTOTOY（最大約48万件）、KDDI（個人事業主最大45.8万名）、オズモール（最大44.7万名）、アテニア（44.1万件）、LEAN BODY（約44万件）、マウスコンピューター（約42万件）、SONICWIRE（最大約42万件）、イズミ「ゆめオンライン」（約40万件）、ファンケル（39.3万件）、チャーム（約39万件）、ApplyNow（約39万人）、エネサンスHD（約36.5万件）、ユーザベース「NewsPicks」（最大36.2万件）、アクサ損保（約33.5万件）、リンクステーション「GETTIIS」（31.7万件）、i-plug「OfferBox」（最大31.4万人）、デジタル庁（GSS関連約24.6万件＋Studio関連約1.3万件）、ACCESS台湾子会社（23.1万件）、CAMPFIRE（22.5万名）、あなぶきハウジングサービス（20.7万件）、日本医科大学武蔵小杉病院（保守用VPN経由ランサムウェアで約13.1万人）、大阪公立大学（約13万件）、NHK出版（約12.7万件）、マイナビ（11.1万件）、スマレジ連携アプリ（約11万〜13万件）。
なぜ2026年に被害が爆発したのか？攻撃者が突いた「3つの構造的死角」
これほど多様な業界で同時に被害が噴出した背景には、攻撃者側の「AIによる脆弱性探索の自動化」と、防御側の「3つの構造的な死角」があります。
STRUCTURAL BLIND SPOTS2026年に狙われた「3つの死角」とAI防衛アプローチVECTOR 01定期バッチ用APIを悪用した大量取得や、暗号化データと復号鍵が同一権限で置かれる設計ミス。・対策：KMSによる鍵の完全分離・AI活用：API認可・レート制限の自動コード監査➔VECTOR 02メール配信・ECカート・Web制作ツールや業務委託先PCのマルウェア感染から会員名簿が流出。・対策：外部ツール上の配信後CSV即時パージ・AI活用：委託先・利用SaaSのデータ滞留棚卸し➔VECTOR 03審査終了後もストレージに放置された運転免許証画像（146万件等）や休眠会員データが標的化。・対策：審査後の画像即時削除・ICチップ読取移行・AI活用：S3ライフサイクル自動削除ルール生成2026年の情報漏洩を引き起こした3大侵入経路とAI時代の防御シフト
1. API悪用と復号鍵の同居
2. SaaS・委託先からの連鎖
3. 本人確認画像の永久保存
死角1：API・分析ツール・AI検証用テスト環境の露出と「暗号鍵の同居」
近年の攻撃者は正面からファイアウォールを壊しません。ソースネクストや日本ピザハット、複数のアプリ会員基盤で見られたように、システム内部で日常的に使われている「会員情報取得API・決済連携API」の認証・レート制限不備や、LEAN BODY・Lean on Me・VOISINGで見られた「社内データ分析・BIツール（Metabase等）」の脆弱性、さらには阿波銀行で見られた「AI高度化検証用のクラウドテスト環境における実データ残存・公開設定ミス」を突いて、データベースを丸ごと吸い上げます。
さらに深刻なのが「パスワードや本人確認画像は暗号化して保存していたのに、復号するための鍵（Key）が同じサーバーや同一権限でアクセスできる場所に置かれていた」という設計ミスです。金庫に鍵を挿したままでは暗号化の意味がなく、侵入された瞬間にすべて平文として奪われてしまいます。
死角2：SaaS・メール配信・海外子会社・委託先という「裏口」の連鎖
2026年の全2,385件のうち、共通クラウドサービスや委託先を経由したサプライチェーン連鎖だけで1,454件に達しました。アララ メッセージ（約7,700万件）、Cuenote FC（延べ5,162万件）、SpeeCAN RAIDEN（432組織）、ブラストメール（184組織）、Studio（183組織）、TEMAIRAZU（151組織）、IDCFクラウド（61組織）、ショップサーブ、さらにはセブン‐イレブン「7NOW」における配送委託先CBcloud「PickGo」の侵害や、大手製造業（デンソー、ニデック、アルバック、ハリマ化成、サッポロHD等）の海外子会社VPN機器・サーバーを狙ったランサムウェア侵入など、サプライチェーンとグローバル拠点の中で最も防御が薄い箇所が狙い撃ちにされています。
自社の本社サーバーをいくら要塞化しても、キャンペーン用サイトやメール配信ツールに顧客リストのCSVをアップロードしたまま放置していたり、海外拠点や病院保守用のVPN機器が未パッチのまま放置されていれば、そこが最大の弱点になります。
死角3：使い終えた「本人確認画像・退会者データ・紙伝票と物理媒体」の放置
良品計画「MUJIアプリ」（最大約2,726万件）やウィルズ「ネットマイル」（最大約549万人）のように退会済み顧客のデータまで大量に含まれていた事案や、タイムズカーの運転免許証画像、ApplyNowの録画面接動画・履歴書、さらには銀行・信用金庫・総合病院で相次いだ「バックアップ用HDD・SSD・マイクロフィルム・紙伝票の紛失・誤廃棄」が示す通り、「いつか使うかもしれないから残しておく」というデータ保有慣行そのものが、企業の致命傷になる時代に入りました。
2026年10月9日に内閣官房国家サイバー統括室（NCO）や個人情報保護委員会、警察庁、金融庁が一斉に発出した緊急要請でも、本人確認手法を「画像データのアップロード・保存」から「マイナンバーカード等のICチップ読み取り（画像を残さない方式）」へ即時移行することが強く求められています。
PROMPT / ADVICE : データベースの「持ちすぎリスク」をAIで洗い出そう「自社のDBスキーマ定義（カラム一覧）を渡すので、個人情報保護法および2026年のNCO緊急要請の観点から、保有期間を定めて自動削除すべきカラムと、復号鍵を分離すべき項目を指摘して」とAIに依頼すると、設計上の時限爆弾を素早く特定できます。
AIを「最強のセキュリティ監査官」にする3つの実践プロンプト
実践1：APIエンドポイントと権限・鍵管理の脆弱性監査プロンプト
社内のWebシステムやAPIの設計書・ソースコードをAI（ClaudeやGemini等のセキュアな法人環境）に渡し、2026年型の不正アクセス手口に対する耐性を監査させるプロンプトです。
API・暗号鍵の脆弱性監査プロンプト：
AI PROMPT / CONFIG
あなたはシニアセキュリティアーキテクトです。以下のAPI仕様（またはソースコード）を精査し、2026年に多発した大規模情報漏洩の手口に照らして、以下の4点を重点監査してください。
1. 大量データ取得（スクレイピング・バッチAPI悪用）への耐性：
- レートリミット、ページネーション上限、異常件数取得時のアラート遮断が実装されているか。
2. 認可制御の不備（BOLA / IDOR）：
- 会員IDや連番パラメータを書き換えることで、他者の個人情報や本人確認画像を参照できないか。
3. 暗号鍵・シークレットの分離：
- データベース内の暗号化カラムを復号する鍵（KMS等）が、Webアプリケーションサーバーと同一環境・同一権限に露出していないか。
4. ログと監視の死角：
- 定期バッチ処理と不正アクセスを判別するための監査ログが記録されているか。
各項目について「危険度：高・中・低」「具体的な攻撃シナリオ」「修正コードまたは設計変更案」を出力してください。実践2：委託先・利用SaaSのサプライチェーンリスク棚卸しプロンプト
自社が利用している外部ツールや委託先を整理し、どこに個人情報（特にメールアドレス、パスワード、本人確認書類、備考欄）が滞留しているかを可視化するプロンプトです。
サプライチェーン・データ滞留棚卸しプロンプト：
AI PROMPT / CONFIG
当社の情報システム・マーケティング部門で利用している以下の外部サービス・業務委託先リストについて、2026年のサプライチェーン情報漏洩トレンドを踏まえたリスク棚卸し表を作成してください。
■ 入力データ：利用サービス・委託先一覧
（例：メール配信システム、ECカート、宿泊・サロン予約管理SaaS、ノーコードWeb制作ツール、採用管理ツール、配送マッチング委託先など）
■ 出力してほしい項目
1. 各サービスに預けている個人情報の種別（特に「平文に近い認証情報」「本人確認画像・動画」「自由記述の備考欄」「退会者データ」の有無）
2. そのサービスが侵害された場合の最大影響件数とビジネス停止リスク
3. 「データの最小化・即時削除」の観点からの運用改善アクション（例：配信完了後のリスト削除、API連携への切り替え、管理画面のIP制限・MFA強制など）
4. 委託先へ今すぐ確認すべきセキュリティ質問票（5項目）実践3：不要データ・本人確認画像の「データダイエット（自動削除）」設計プロンプト
「持たないことが最強の防御」を実現するため、データベースやクラウドストレージ（S3等）に残留している本人確認書類や休眠・退会アカウントの自動パージ（削除・匿名化）ポリシーを策定するプロンプトです。
データ保持期間・自動削除ポリシー策定プロンプト：
AI PROMPT / CONFIG
当社のサービス（業種：[自社の業種を入力]）において、個人情報漏洩時の被害を最小化するための「データライフサイクル・自動削除ポリシー」のドラフトを作成してください。
以下の要件を必ず盛り込んでください。
1. 本人確認書類（運転免許証等の画像データ・採用録画データ）：
- 審査・選考完了後、原則として即座（または最大○日以内）にストレージから完全削除し、確認済みフラグのみを保持する運用への移行手順。
2. 休眠アカウント・退会者データ：
- 退会完了後および最終ログインから一定期間経過したアカウントの自動通知・論理削除・物理削除（または統計匿名化）のタイムライン。
3. 自由記述欄（スタッフ備考欄・問い合わせ履歴）：
- 要配慮個人情報やクレジットカード番号が誤って書き込まれないための入力バリデーションとマスキング処理のルール。
4. クラウドストレージ（S3等）のライフサイクルルール設定例（JSONまたはTerraform形式）。 PROMPT / ADVICE : 社内規定への落とし込みもAIで一気通貫出力されたポリシー案をそのまま「情報セキュリティ委員会向けの稟議書およびエンジニア向けの実装チケット（Markdown形式）に変換して」と追加指示することで、会議の翌日から対策を動かせます。
まとめ：「侵入される前提」でデータを残さない経営へ
どれほど有名な大企業であっても、どれほど実績のあるクラウドサービスであっても、侵入を完全に防ぎ切ることは不可能です。累計2,385件（1〜10月末確定2,343件・10月単月1,543件）・100万件超68事案という2026年の数字は、その冷徹な現実を私たちに突きつけました。
では、被害に遭った企業の明暗を分けたのは何だったのでしょうか。答えはシンプルです。侵入されたその瞬間に、復号可能なパスワードや運転免許証の画像、数十年分の退会者・休眠リスト、あるいはAI検証用テスト環境にコピーされた本番データといった「決定的な機密データ」がそこに残っていたかどうかでした。
1. 審査が終わった本人確認画像や退会者の個人情報は即座に消す。
2. 外部のメール配信ツールやWebフォーム、テスト環境に本番の顧客データを置きっぱなしにしない。
3. 暗号化の鍵とデータベースを同じ部屋に置かない。
4. そして、人間が見落とすAPIの穴や委託先・海外拠点リスクを、AIを使って常時監査し続ける。
他社のインシデント一覧をただのニュースとして読み終えては意味がありません。自社のデータベースから不要な個人情報を1件でも減らすきっかけとして、本記事の2,385件データベースと監査プロンプトを現場の総点検に役立ててください。