不正アクセス・情報漏えいがあった企業一覧【2026年最新】｜直近事例と中小企業の確認ポイント

2026年9月下旬から10月20日にかけて、会員アプリやWebサービス、外部委託先のシステムに関する不正アクセス・情報漏えいの公表が相次いでいます。

 

焼肉きんぐやタイムズカーに加え、10月8日以降もローソン、ソースネクスト、ふるさとチョイスなど複数の企業・サービスが不正アクセスや情報漏えいを公表しました。

 

経営者や総務・Web担当者、IT・セキュリティ担当者が確認したいのは、被害の規模だけではありません。

 

どの企業で何が起こり、どの情報が対象になったのか、実際に漏えいが確認されたのか、それとも可能性を調査している段階なのかを分けて確認することが大切です。

 

この記事では、直近に不正アクセスや情報漏えいを公表した企業・サービスを一覧で整理したうえで、原因の判明状況、企業への影響、中小企業が確認したいポイント、事故が疑われた場合の初動を解説します。

 

※情報の基準日は2026年10月20日です。

 

公表日と実際に不正アクセスが発生・検知された日は異なる場合があります。

 

調査中の事案については、今後の内容や対象件数の更新にも注意が必要です。

 

2026年9月下旬から、不正アクセス・情報漏えいの公表が相次ぐ

 

2026年9月下旬以降、小売、金融、IT、Webサービス、医療関連サービスなど幅広い業種で、不正アクセスや情報漏えいの公表が続いています。

 

今回の公表には、会員情報の漏えい、本人確認書類の第三者取得、ポイントの不正交換、委託先からの情報流出、クラウドサービスの障害など、異なる被害が含まれています。

 

10月8日以降もローソン、Commune、ソースネクスト、ふるさとチョイスなどから新たな公表があり、外部サービスや委託先を通じて複数企業へ影響が広がった事案も確認されています。

 

ただし、公表が近い時期に集中したことだけで、同じ攻撃者や同じ原因による一連の事件とは判断できません。

 

また、公表日と実際の不正アクセス発生日が異なるケースや、第一報の後に調査結果・対象件数が更新されるケースもあります。

 

企業としては、「情報が漏えいしたのか」「閲覧されたのか」「漏えいの可能性を調査しているのか」「サービス障害のみ確認されているのか」を分け、利用中のサービスや委託先との関係まで確認することが重要です。

 

不正アクセス・情報漏えいがあった企業一覧【2026年10月20日更新】

2026年9月下旬以降に、不正アクセスや情報漏えいについて公表・続報があった主な企業・サービスを整理しました。

 

表の規模は各社が公表した対象数であり、人数、アカウント数、問い合わせ件数など単位が異なるため、合算した被害総数ではありません。

 

また、「漏えい確認」「不正閲覧確認」「漏えいの可能性」「サービス障害」など、各社の確認状況を分けて掲載しています。

 

※各事例は、2026年10月20日時点で確認できる各社の公式発表・続報をもとに整理しています。

 

公表・続報日	企業・サービス	公表された規模・対象	確認状況
9月28日・29日	タイムズカー	約660万アカウント。うち本人確認書類は約160万アカウント	第三者取得・漏えい確認
10月2日・10月16日続報	クロネコ代金後払いサービス	一部利用者の個人情報・取引関連情報	一部情報の不正持ち出し確認
10月5日	焼肉きんぐ公式アプリ	10,788,963件	会員情報の漏えい確認
10月5日・10月14日続報	infoQ	894,082件	個人情報の外部持ち出し確認
10月5日・第四報	セイコーマートアプリ	574,647人分	個人情報の不正閲覧確認
10月5日	大和証券・委託先事案	約11万人。個人を特定できない問い合わせ等を含め約22万件	情報漏えいの可能性
10月6日	MrMaxアプリ・オンラインストア	最大1,735,154人	会員情報の一部流出確認
10月6日	i-ask	最大713,126件・延べ問い合わせ件数	情報取得・漏えいの可能性
10月6日	シチズン時計・委託先事案	約10万名分	情報の不正取得・漏えいの可能性
10月6日	Pharma DIGITAL	最大約51.4万名の医療従事者、従業員約700名	不正閲覧・取得の可能性
10月7日	損保ジャパン・委託先事案	延べ約6万件	情報漏えいの可能性
10月7日	HIS・タイ現地法人	最大627名	情報流出の可能性
10月7日	IDCFクラウド	東日本第1リージョンの一部サービス	不正アクセス・サービス障害
10月8日	ローソンID・ローソンアプリ予約	ローソンID 2,155,345件、アプリ予約26件	個人情報の漏えい確認
10月9日	Commune・Commune for Work	約30.7万人	会員情報の漏えい確認
10月15日	ソースネクスト	最大22,519,960件	会員情報の流出可能性
10月19日	エンタッチ	管理データベース内の情報	情報漏えい確認
10月20日	ふるさとチョイス	4,454,097件	会員情報の外部流出確認
10月20日・第二報	岩井コスモ証券／トレードワークス	4,975名	顧客情報の漏えい確認

 

大和証券、シチズン時計、損保ジャパンは、FAQシステム「i-ask」に関係する同じ委託先事案です。

 

i-ask側の数字と各社の数字を加算すると重複するため、合計は示していません。

 

Communeについても、同サービスを利用する複数企業が影響を公表しています。

 

利用企業ごとに別の攻撃が発生したという意味ではないため、一覧では元となったサービスへの不正アクセスとして整理しています。

 

同じ委託先やサービスに起因する数字を単純に合算すると、実際の被害規模を重複して数える可能性があるため注意が必要です。

 

焼肉きんぐ・MrMax・セイコーマート｜会員アプリの情報が対象に

物語コーポレーションは10月5日、焼肉きんぐ公式アプリの会員管理システムへの不正アクセスを公表しました。

 

10月2日に不正アクセス、10月3日に漏えいを確認し、10,788,963件の会員情報が対象です。

 

漏えいした情報には、会員番号、氏名、メールアドレス、電話番号が含まれます。

 

ログインパスワードや店舗利用履歴などは漏えいしておらず、決済情報は保有していないと説明しています。

 

MrMaxは10月6日、アプリとオンラインストアのサーバーから会員情報の一部が流出したと公表しました。

 

対象は最大1,735,154人で、氏名や連絡先などが含まれますが、住所、クレジットカード情報、パスワード、購入履歴の流出はないとしています。

 

セイコーマートは10月5日付の第四報で、574,647人分の個人情報が閲覧されたことを報告しました。

 

3社は会員アプリという共通点があるものの、確認状況や原因は同一ではありません。

 

自社でもアプリや会員ページを運営している場合は、登録情報を保存する場所と、その管理者を把握しておきたいところです。

 

出典：物語コーポレーション ／ MrMax ／ セイコーマート第四報

 

タイムズカー・infoQ｜本人確認書類やポイントにも影響

タイムズカーでは、約660万アカウントの情報が漏えいし、そのうち約160万アカウントで運転免許証画像等の本人確認書類の漏えいが確認されています。

 

本人確認書類には、現住所確認書類、学生証、家族確認書類の画像も含まれ、約660万アカウントすべてで免許証画像が漏えいしたという意味ではありません。

 

GMOリサーチ＆AIが運営するinfoQでは、10月14日の第2報で、外部に持ち出された個人情報が894,082件で確定したことを公表しました。

 

第1報では最大948,498件としていましたが、その後の調査によって対象件数が更新されています。

 

氏名や住所、メールアドレス、暗号化されたパスワードなどが対象です。

 

また、ポイントが本人の意思によらずAmazonギフトコードへ交換された事象も確認されています。

 

本人確認書類や換金性のあるポイントを扱う企業では、一般的な連絡先情報とは別に、保管や利用の条件を点検する必要があります。

 

出典：タイムズカー第二報 ／ タイムズカー第三報 ／ GMOリサーチ＆AI「infoQ」第2報

 

大和証券・シチズン時計・損保ジャパン｜同じ委託先から複数企業へ影響

スカラコミュニケーションズは10月6日、FAQシステム「i-ask」の管理サイトへの不正ログインを公表しました。

 

不正プログラムが設置され、同一サーバー上で稼働する最大5社のデータベースから、問い合わせ情報が取得された可能性があります。

 

対象は最大713,126件ですが、同じ人による複数回の問い合わせを含む延べ件数です。

 

利用企業側では、大和証券が約11万人、シチズン時計が約10万名分、損保ジャパンが「SMILING ROAD」に関する延べ約6万件の情報について、それぞれ漏えいや不正取得の可能性を公表しています。

 

大和証券とシチズン時計は、自社システムへの不正アクセスは確認されていないと説明しています。

 

自社のサーバーに侵入されていなくても、問い合わせ業務などで外部に預けた情報が影響を受ける点が、この事案の重要な教訓です。

 

出典：スカラコミュニケーションズ ／ 大和証券 ／ シチズン時計 ／ 損保ジャパン

 

Pharma DIGITAL・クロネコ代金後払い・HIS・IDCFクラウド｜Webサービスや業務システムにも影響

旭化成セラピューティクスは10月6日、医療従事者向けサイト「Pharma DIGITAL」の会員情報が不正に閲覧または取得された可能性を公表しました。

 

運営・情報管理の委託先から報告を受けた事案で、原因や影響範囲を調査しています。

 

対象となる可能性がある医療従事者は最大約51.4万名で、氏名、所属施設、職種などが含まれます。

 

そのうち約4.4万名ではメールアドレス等も対象で、約4.4万名は約51.4万名の内数です。

 

別に従業員約700名の氏名、メールアドレス、写真も対象となる可能性があります。

 

ヤマト運輸の「クロネコ代金後払いサービス」では、当初、一部利用者の氏名や連絡先、請求金額、債権残高、商品明細などが漏えいした可能性があると公表していました。

 

その後、10月16日の第4報で、一部の情報が実際に不正に持ち出されたことが判明しています。

 

IDCフロンティアは10月7日、IDCFクラウドへの不正アクセスにより、東日本第1リージョンでサービスの一部に障害が発生していると公表しました。

 

この発表は情報漏えいを確認したものではなく、サービス障害として区別する必要があります。

 

HISは10月7日、タイ現地法人のファイルサーバーへの不正アクセスによる個人情報流出の可能性を公表しました。

 

最大627名のパスポート情報・アレルギー情報が対象となる可能性があります。

 

これは2025年12月11日に検知した事案であり、2026年10月に新たに侵入されたという意味ではありません。

 

Webサービスと同じ原因とは限りませんが、点検対象がWebサイトだけにとどまらないことを示しています。

 

出典：旭化成セラピューティクス ／ ヤマトホールディングス ／ IDCフロンティア ／ HIS

 

ローソン｜215万件を超えるローソンIDの個人情報が漏えい

ローソンは10月8日、「ローソンID」と「ローソンアプリ予約」への第三者による不正アクセスを公表しました。

 

ローソンIDでは2,155,345件が対象で、メールアドレスや氏名のほか、登録状況によって性別、電話番号、住所などが含まれます。

 

ローソンアプリ予約では26件が対象となり、氏名、電話番号、クレジットカード番号の一部が漏えいしました。

 

調査では、9月12日から14日にローソンID、9月17日にローソンアプリ予約への不正アクセスが行われていたことが確認されています。

 

ローソンは、アプリに関連するシステムが不正に利用されたことによって発生したと説明しています。

 

出典：ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」

 

Commune｜約30.7万人の会員情報が漏えいし、複数企業へ影響

コミューンは10月9日、コミュニティプラットフォーム「Commune」と「Commune for Work」への不正アクセスにより、一部会員情報が漏えいしたことを公表しました。

 

漏えいした会員数は約30.7万人と推計されています。

 

このうち約12.6万人ではメールアドレスを含む情報、約18.1万人では表示名、自己紹介、非公開グループの所属などメールアドレスを含まない情報が対象です。

 

また、144名では本人の操作によらず仮パスワードへ変更されましたが、パスワードそのものの漏えいは確認されていません。

 

同社によると、第三者がシステムの不備を悪用し、非公開コミュニティへの不正登録や、管理者になりすました会員情報の閲覧・取得、データの上書きなどを行ったことが確認されています。

 

Communeは複数企業が利用するサービスのため、利用企業側からも影響が公表されています。

 

自社システムへ直接侵入されていなくても、利用するSaaSや外部サービスへの不正アクセスによって、自社の顧客・会員情報が影響を受ける可能性があります。

 

出典：コミューン「Commune、Commune for Workへの不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」

 

ソースネクスト｜最大約2,252万件の会員情報が対象

ソースネクストは10月15日、同社が管理する会員情報への第三者による不正アクセスを公表しました。

 

流出した可能性のある情報は最大22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名、役職名などが対象です。

 

ただし、すべての利用者についてすべての項目が流出したという意味ではなく、登録状況によって対象項目は異なります。

 

クレジットカード情報は対象となったシステムに保存されていないとしています。

 

会員情報を大量に保有するサービスでは、侵入経路への対策だけでなく、保有する情報の種類やアクセス権限、異常な情報取得を検知する仕組みも確認する必要があります。

 

出典：ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」

 

ふるさとチョイス｜445万件を超える会員情報が外部流出

トラストバンクは10月20日、運営する「ふるさとチョイス」の会員情報に対する第三者からの不正アクセスを公表しました。

 

10月19日に通常と異なるアクセス傾向を把握し、確認したところ、10月17日に不正アクセスがあったことが判明しています。

 

会員の個人情報が外部へ流出したことを確認しており、対象は4,454,097件です。

 

対象となる情報には、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額が含まれます。

 

同社は、不正アクセスによって検知した脆弱性への対応を進めるとともに、外部専門家と原因・影響範囲を調査しています。

 

現時点では具体的な攻撃手法の詳細までは公表されていないため、原因を推測せず、今後の続報を確認する必要があります。

 

出典：トラストバンク「不正アクセスによる寄付者様情報の外部流出に関するお詫びとお知らせ」

 

エンタッチ・岩井コスモ証券｜業務データや委託先にも不正アクセスの影響

東邦薬品は10月19日、子会社のエンタッチが管理するデータベースへの第三者による不正アクセスによって、保有する情報の一部が外部へ漏えいしたと公表しました。

 

エンタッチは医療機関向けのリモートディテーリング事業などを行っており、企業が業務で管理するデータベースも不正アクセスの対象となることを示す事例です。

 

岩井コスモ証券は、インターネット取引システムの運用・保守業務を委託するトレードワークスへの不正アクセスについて、10月20日に第二報を公表しました。

 

調査によって対象範囲が更新され、顧客情報4,975名分が漏えいしたとしています。

 

外部委託先への不正アクセスが、自社の顧客情報や業務システムへ影響する可能性があるため、委託先のセキュリティ管理や事故時の連絡体制も確認する必要があります。

 

出典：東邦薬品「当社子会社における不正アクセスおよび情報漏洩に関するお知らせ」 ／ 岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」

 

不正アクセスの原因・事案の関連性はどこまで分かっている？

 

公表資料から具体的な侵入経路まで分かる事案もあれば、原因を調査中の事案もあります。

 

ここでは、確認された説明と、自社の点検に必要な一般的な論点を分けて整理します。

 

ソフトウェアの脆弱性と、Web・APIの実装・アクセス権の不備

infoQは、使用していたソフトウェアの脆弱性を悪用されて侵入されたと説明しています。

 

一方、MrMaxの説明は「ソフトウェアの機能を不正利用」であり、そのまま既知の脆弱性の悪用と読み替えることはできません。

 

一般的な点検では、ソフトウェアやCMSなどの更新状況だけでなく、ログインしていない人や適切な権限を持たない人が情報へアクセスできないかも確認します。

 

APIはシステム間で情報をやり取りする窓口であり、利用者が操作する画面とは別のアクセス経路になる場合があります。

 

ただし、こうした確認事項を、原因が公表されていない事案にも当てはめて断定することは避けなければなりません。

 

管理用アカウントや認証情報への不正アクセス

i-askでは管理サイトへの不正ログインが確認されていますが、認証情報をどのように入手したかまでは公表内容から特定できません。

 

管理用アカウントは、情報の閲覧・出力や設定変更に関わるため、通常の利用者より広い操作権限を持つ場合があります。

 

自社では、パスワードの使い回し、不要なアカウント、過剰な権限、多要素認証の利用状況を確認することが対策につながります。

 

ただし、対策として多要素認証が挙げられていることだけで、それが未導入だったことを個別事件の原因と決めつけないようにしましょう。

 

共通の委託先・攻撃者・AI関与を混同しない

i-ask関連やCommune関連では、一つのサービスや委託先への不正アクセスが複数企業へ影響しています。

 

一方で、焼肉きんぐ、ローソン、ソースネクスト、ふるさとチョイスなど他の事案まで同じ攻撃者による事件だと示すものではありません。

 

生成AIについても、攻撃の効率化に利用できるという一般論と、今回の事件で実際に使われたという事実は別です。

 

掲載事例を、生成AIを使った同一攻撃者による一連の攻撃と断定できる情報は未確認です。

 

原因が不明な段階では、推測による共通原因探しより、自社が利用するシステムや外部サービスとの接点を確認する方が実務に役立ちます。

 

情報漏えい・不正アクセスが企業に与える影響

企業への影響は、漏えいした情報の件数だけでは決まりません。

 

情報の内容、サービスの役割、停止期間、顧客への対応範囲によって、必要な対応は変わります。

 

顧客・取引先へのなりすましや不正利用

氏名や連絡先が悪用されると、企業を装ったメールや電話によって、追加の情報や金銭を求められる可能性があります。

 

本人確認書類や問い合わせ内容などが含まれる場合は、被害を受けた人に何を注意してもらうかも、情報の種類に応じて検討しなければなりません。

 

infoQのようにポイントの不正交換まで確認された例もありますが、二次被害が未確認の事案で、すでに不正利用が起きているかのように書くことはできません。

 

サービス停止による販売・決済・顧客対応への影響

サービス障害や調査に伴う停止は、注文受付、決済、在庫確認、問い合わせ対応などに影響する可能性があります。

 

外部サービスを利用している場合は、その障害によって自社のどの業務が止まるかを確認しておきましょう。

 

バックアップは復旧の備えになりますが、外部サービスの停止中に業務を続けるには、代替の受付方法や連絡手段も必要です。

 

重要な業務について、復旧を待てる時間と、その間の運用を決めておきましょう。

 

調査・復旧・顧客対応と、信用への影響

事故後は、調査や復旧に加え、問い合わせ窓口の設置、対象者への連絡、社内外への説明などが必要になります。

 

担当者が少ない企業では、通常業務と事故対応が重なり、負担が大きくなる可能性もあるでしょう。

 

説明が遅れたり、確認されていない情報を断定したりすると、顧客や取引先の不安を増やしかねません。

 

判明している事実、調査中の事項、次の案内予定を分けて伝える体制が重要です。

 

中小企業が今確認したい5つのポイント

 

専任担当者がいない場合も、まずは経営者・総務・Web担当者と保守会社で、以下の5項目を確認できます。

 

IT・セキュリティ担当者がいる企業では、担当部署が把握する情報と、現場が利用するサービスの一覧を突き合わせましょう。

 

顧客・従業員・取引先の情報をどこに保存しているか

会員情報だけでなく、問い合わせフォーム、採用応募、取引先名簿、本人確認書類なども洗い出します。

 

システム名、保存する情報、管理責任者、委託先を一覧にすると、事故の連絡を受けた際の確認がしやすくなります。

 

現場が独自に契約したクラウドサービスや、終了したキャンペーンのデータも対象に含めてください。

 

委託先がさらに別の事業者へ処理を委託している場合は、その範囲も確認しておきます。

 

管理者アカウントとアクセス権を適切に管理しているか

管理者の一覧を確認し、退職者や契約終了した委託先のアカウントが残っていないかを見直します。

 

業務に必要な範囲へ権限を絞り、複数人で同じ管理者IDを使う運用も改善しましょう。

 

パスワードの使い回しを避け、対応するサービスでは多要素認証を設定します。

 

多要素認証は、パスワードに加えて別の要素で本人確認する方法です。

 

認証情報が漏れた場合の不正利用リスクを抑えられます。

 

システムの更新・診断・保守はどこまで実施しているか

OS、CMS、プラグイン、独自開発機能について、誰が更新を判断し、実施するかを確認してください。

 

「保守契約がある」というだけでは、脆弱性診断や独自機能の修正まで含まれているとは限りません。

 

診断の対象に、管理画面、問い合わせフォーム、API、アクセス権の確認が含まれるかを保守会社に尋ねましょう。

 

更新が難しいシステムは、理由と暫定対策、更新予定を確認し、対応が止まったままにならないようにします。

 

不要な情報や古いデータを保管し続けていないか

使わなくなった本人確認書類、古い問い合わせ、退会者情報などを、目的なく残していないか確認します。

 

保有する情報を必要な範囲に減らすことは、万が一の事故で対象となるデータを抑えるうえでも有効です。

 

法令上の保存義務や業務上の必要性を確認したうえで、保存期間と削除方法を決めてください。

 

書き出したCSV、テスト環境、バックアップに残るコピーについても、保管の必要性と管理方法を見直しましょう。

 

アクセスログを確認でき、異常時に社内・委託先と対応できるか

ログは、誰がいつログインし、どのような操作をしたかを調べる手がかりになります。

 

保存の有無だけでなく、保存期間、確認担当者、異常の通知先、調査時の提供方法を確認しましょう。

 

自社でログを取得できないクラウドサービスや委託システムでは、提供事業者がどの記録を保有し、事故時に何を共有できるかを確認します。

 

事故連絡の条件・期限、夜間休日の連絡先、再委託先で事故が起きた場合の連絡経路も、契約と実際の運用の両方で点検してください。

 

対応期限は一律に決めず、業務の重要性や必要な初動に合わせて取り決めることが大切です。

 

参考：IPA「中小企業の情報セキュリティ対策ガイドライン」 ／ 個人情報保護委員会「通則編」

 

不正アクセスや情報漏えいが疑われた場合の初動

不審なログインや情報の持ち出し、委託先からの事故連絡があった場合は、原因が確定するまで放置せず、社内外の関係者と対応を開始します。

 

社内責任者・保守会社・専門窓口へ連絡する

経営者や社内責任者に状況を共有し、保守会社・サービス提供事業者へ、確認した事象と発見時刻を伝えます。

 

担当者だけで判断せず、システム操作、顧客説明、報告の責任者を決めましょう。

 

調査や対応が難しい場合は、外部の専門会社やIPAの相談窓口などを活用します。

 

委託先から連絡を受けた場合は、自社に関係する情報の種類、対象期間、確認状況、次の報告予定を確認してください。

 

記録を保全し、影響範囲と被害拡大の防止を確認する

ログ、警告画面、受信した通知、対応した時刻や操作内容を記録し、調査に必要な情報を保全します。

 

同時に、保守会社や専門家と連携し、不正アカウントの停止やアクセス制限など、被害拡大を防ぐ措置も検討しましょう。

 

不用意な初期化やファイル削除は証拠を失うおそれがあるため、記録の保全と封じ込めを並行して進めてください。

 

復旧時は、侵入経路への対処とバックアップの健全性を確認し、単に元の状態へ戻すだけで終えないことが重要です。

 

顧客・取引先への説明と、必要な報告・通知を検討する

個人データの漏えい等については、実際に漏えいした場合だけでなく、そのおそれがある場合も報告対象になり得ます。

 

個人情報保護委員会への報告対象となる主な類型は、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正な目的で行われたおそれがある場合、本人の数が1,000人を超える場合です。

 

したがって、1,000人以下なら報告不要とは判断できません。

 

報告対象事態を知った場合は、速やかに速報を行い、その目安は概ね3〜5日以内です。

 

確報は原則として事態を知った日から30日以内、不正な目的で行われたおそれがある場合は60日以内となります。

 

調査完了を待ってから速報を行うものではなく、その時点で把握している内容を報告します。

 

本人通知も、確報後に行うという順序ではありません。

 

通知事項がすべて判明するまで待つ必要はなく、状況に応じて速やかに通知することが求められます。

 

顧客や取引先への説明では、確認済みの事実と調査中の事項を分け、注意してほしい行動と問い合わせ先を明示しましょう。

 

なお、すべての漏えいについてWebサイトでの公表が一律に義務付けられているわけではなく、本人通知やその代替措置とは区別して判断します。

 

出典：個人情報保護委員会「漏えい等の対応」 ／ 「個人情報の保護に関する法律についてのガイドライン（通則編）」

 

まとめ｜不正アクセス企業の最新事例を、自社と委託先の点検につなげよう

2026年9月下旬以降、会員アプリ、EC・Webサービス、金融システム、クラウドサービス、外部委託先など、さまざまな場所で不正アクセスや情報漏えいが公表されています。

 

10月8日以降もローソン、Commune、ソースネクスト、ふるさとチョイスなどが新たな事案を公表しており、既存事案についても調査の進展に伴って対象件数や漏えい状況が更新されている点に注意が必要です。

 

一方で、原因が未公表の事案もあり、すべてを同じ攻撃や同じ手口として説明することはできません。

 

中小企業がまず取り組みたいのは、保有情報と利用している外部サービス・委託先を把握し、管理者権限、システムの更新・診断、データの保存期間、ログと連絡体制を点検することです。

 

確認した内容には担当者と対応期限を付け、未確認の項目をそのままにしないようにしましょう。

 

不正アクセスを受けた企業の事例を継続的に確認し、自社との共通点を点検することで、事故を防ぐ備えと、万が一の対応体制を整えられます。