不正アクセスによる個人情報漏えいが相次ぐ原因は？2026年10月の事案一覧と現状【特集①】

こんにちは、Heartland-Labです。金曜日の朝、ニュースを開くたびに、また別の会社の名前が「情報漏えいの可能性」として並んでいる。そんな1週間ではなかったでしょうか。

件数の大きさに目が行きがちですが、本当に知っておきたいのは「なぜ、こんなに立て続けに起きているのか」です。公表された事実を一つずつ並べていくと、見えてくることがあります。

先に結論：この記事のポイント

1. 公表は10月に集中しましたが、侵入そのものは9月から始まっていた事案が複数あります。「同じ日に一斉に攻撃された」というより、「発覚と公表が重なった」と見るほうが事実に近そうです。
2. 入口は大きく3種類です。①クラウド基盤そのものへの攻撃、②委託先や外部サービスを経由した侵入、③各社の会員管理システムやAPI（システム同士の窓口）への侵入です。
3. 侵入経路が公表されていない事案が多く、調査中のものがほとんどです。分かっていないことは、分かっていないと書きます。

事案の一覧（入口の種類で分けて整理）

各社の発表や報道を確認できた範囲で整理しました。件数は「漏えいの可能性がある数」で、単位や数え方が事案ごとに違うため、足し算はしていません。

A. クラウド基盤への攻撃

ここでの特徴は、被害にあった会社が自社の守りを破られたのではなく、「借りていた土台」が攻撃された点です。土台を借りていた多数の会社が、同時に巻き込まれました。

B. 委託先・外部サービス経由

問い合わせ対応システム「i-ask」を運営するスカラコミュニケーションズが10月6日に公表した不正アクセスでは、少なくとも5社の問い合わせ情報が影響を受けたと報じられています。漏えいのおそれがある問い合わせ情報は、最大で713,126件（問い合わせ単位の数えで、同じ人が複数回問い合わせた分も含む）とされています。

※i-askの5社は、各社の発表の中でサービス名や委託先名を明らかにしておらず、報道が公表内容の一致から同じ委託先と結びつけたものです。第一興商は、記事中の内訳を合計すると約863万1000件になり、公表数字と差があると指摘されています。

ここでも特徴は同じです。利用者から見ると「問い合わせをしただけ」「カラオケに行っただけ」の会社が、裏で情報を預けていた別の会社から漏れた形になっています。

C. 各社の会員管理システム・APIへの侵入

※ソースネクストは、報道での確認ができていないため、同社が会員に送った通知メールの内容に基づいています。

D. 10月より前に検知されていた事案

なぜ10月に集中して見えるのか

公式に理由が説明されているわけではありません。ここでは、公表された日付から読み取れることを整理します。

① 侵入と発覚の間に時間差がある

• ローソンIDは9月12〜14日に侵入され、判明したのは10月7日です。侵入から発覚まで3週間以上かかったことになります。
• skyticketのバス予約ページの件は、8月3日から10月1日まで、約2か月間、ログインなしで予約情報が見える状態でした。
• ソースネクストは、10月9日に侵入されて13日に確認と、約4日かかっています。

つまり、10月に「一斉に攻撃が始まった」というより、9月以前から続いていた侵入が、10月にまとめて発覚・公表されたと見るほうが、確認できる事実に合っています。なお、同時期に複数社が狙われている点には変わりがなく、背景の説明は下の「専門機関の見方」で触れます。

② 古い情報や、使っていない会員の情報が残っていた

タイムズカーの約660万件には、退会済みの人の情報も含まれていました。個人情報保護委員会も、不要になった個人データは遅れずに消すよう、改めて求めています。使わなくなった会員情報が残っていること自体が、被害を広げる一因になっています。

③ 入口が「人」ではなく「システム同士の窓口」になっている

ソースネクストの通知には、会員情報を取得するAPIが不正に使われたとあります。skyticketも、管理機能を悪用されたことが入口でした。次の専門機関の見方とも重なる部分があります。

💡ここで！ 「API」とは？

アプリやサービス同士が、情報をやり取りするための「窓口」のことです。たとえば、スマホアプリが会員情報を表示するときに、裏でこの窓口を通して会社のシステムに問い合わせています。この窓口の守りが甘いと、アプリを通さずに、窓口へ直接アクセスして情報を引き出されるおそれがあります。

💡ここで！ 「ハッシュ化」とは？

パスワードを、元の文字が分からない形に変換して保管する方法です。盗まれてもすぐには読めませんが、「よくあるパスワード」や「短いパスワード」は、変換後の文字列から割り出されてしまうことがあります。skyticketが「解読されるおそれ」と書いているのは、このためです。

専門機関の見方：JPCERT/CC と AIの可能性

JPCERT/CC（日本のサイバー攻撃対応の専門機関）は、相次ぐ不正アクセスについて、寄せられた情報から見えた攻撃の傾向を公表しています。報道によると、主な傾向は次の4つです。

• 既知の弱点の総当たり探し：特定のソフトの弱点だけを狙うのではなく、標的ごとに、すでに知られている複数の弱点が残っていないかを探り、見つかったものを悪用する。
• APIの悪用：公開されているスマホアプリを解析してAPIの場所や鍵を見つけ出し、画面からは操作できない非公開のAPIを直接たたく。別のシステムから盗まれた鍵が使い回される例もある。
• データ分析ツール「Metabase」の弱点：データベースへの不正な命令（SQLインジェクション）を許す弱点が狙われている。JPCERT/CCは8月にも注意喚起を出している。
• Webシェルの設置：公開サーバーの奥にあるサーバーに、遠隔操作用のプログラムを置かれる例が確認されている。

対策としては、短時間の大量アクセスを制限する、非公開APIも含めてアクセス制御を行う、鍵に有効期限をつける、不要になったデータを消す、といった内容が示されています。

また、あるセキュリティ会社は、攻撃の通信を解析したところ、人間には難しい速さで多様な手法が試されていたとして、AIエージェント（AIが自分で判断して作業するしくみ）が悪用されている可能性を指摘しています。ただし、この指摘は可能性の段階です。個別の事案でAIの利用が確認されたという情報は、確認できた範囲ではありません。

※JPCERT/CC公式ページは読み込めなかったため、報道（ScanNetSecurity、NHK）の内容に基づいています。

国の動き

• 10月7日：個人情報保護委員会が、大規模な漏えいを受けた注意喚起を公表。大量の個人情報や、詐欺に使われやすい情報を持つ事業者に、安全管理措置の見直しを促しました。技術面の見直し案として、多要素認証、ログの保管と監視、被害拡大を止める仕組み、アクセス権限の最小化などが示され、確定は2027年4月の予定です。使い終えた個人データの消去も求めています。
• 10月8日：政府が関係省庁会議を開催。
• 10月9日：政府が、大量の個人情報を扱う事業者に、システムの弱点への速やかな対策などを要請。同日、自民党の会合でも、政府にサイバーセキュリティー対策の強化を求める意見が相次ぎました。

現時点で分かっていないこと

正直に書くと、侵入経路や原因が公表されていない事案が多いのが現状です。焼肉きんぐやタイムズカーのように、経路が未公表のまま調査が続いているものがあります。

• 複数の事案が、同じ攻撃者によるものかどうか
• AIがどこまで関わっているのか
• 盗まれた情報が、今後どこで、どう使われるのか

悪用が確認された例は、今のところ限られています。skyticketでは、不正にログインされたアカウントが1件確認されたと発表されています。GMOリサーチ&AIの「infoQ」では、不正なポイント交換が報じられました。一方、ブックオフや第一興商では、悪用は確認されていないとされています。ただし「確認されていない」は「起きない」という意味ではありません。次のページでは、流出した情報の種類ごとに、これから起こりうる事態を考えます。

本レポートの結論

今回の一連の漏えいは、クラウド基盤、委託先、各社のAPIや管理機能と、入口がばらばらで、侵入から発覚までに時間がかかった事案も目立ちます。10月に集中したのは「発覚と公表」で、侵入は9月以前から始まっていたものが多いと見られます。原因の全体像はまだ分かっていません。身近な人が騙されてからでは手遅れです。このページのURLをコピーして、家族のLINEグループで『これ気をつけて！』と共有してあげてください。