大量流出が相次いだ理由｜2026年9〜10月の不正アクセス総まとめと今週やること

01この記事でわかること

まず3行でまとめます。

• 何が起きたか：9月下旬から10月にかけて、数百万〜数千万件規模の流出（またはそのおそれ）や、クラウドの大規模停止の発表が相次ぎました。JPCERT/CCは「2026年9月前後から」と書いています。
• なぜ続いたか：入口は主に4つの型に分かれます。アプリの裏側の仕組み（API）や管理画面、委託先やクラウドサービス、VPN機器やソフトの脆弱性、そしてAIを使った攻撃です。
• 何をすればよいか：会社は「外に出ているものの棚卸し」「ログの確認」「いらないデータを消す」の3つを今週中に。個人は「パスワードの使い回しをやめる」「届いたSMSやメールのリンクを開かない」の2つです。

各事件の細かい経緯は、一覧表の右端のリンクから個別の記事で確かめられます。

使った資料は、公的機関（JPCERT/CC、IPA、個人情報保護委員会、国家サイバー統括室、経済産業省、金融庁、警察庁、NICT）の発表と、各社の公式発表で確かめた当サイトの個別記事です。報道や民間の集計、犯人の推測は使いません。

02何が起きているのか（全体像）

JPCERT/CC（日本の事故対応の調整役をする機関）は10月8日の注意喚起で、「2026年9月前後から、国内組織で不正アクセスによる個人情報等の漏えい被害が相次いでいる」と書きました。そのうえで、これはランサムウェア（データを使えなくして身代金を求める攻撃）のような散発的な事案とは別の型で、大量の情報漏えいにつながり、今後増えるおそれがあるとしています。

JPCERT/CCは、BIツール（社内のデータを集計して見る道具）や従業員向けの管理システムなど、不特定多数の利用を想定しないシステムも被害に遭っていると書いています。「社員しか使わないから大丈夫」は通用しません。

IPAは10月9日、大量の個人情報を扱うオンラインサービスやアカウントサービスが特に狙われ、盗まれた情報が公開の脅迫や不正な売買などの二次被害につながる傾向が強まっていると書きました。

被害の形は、大きく2つに分かれます。1つは情報が漏れる型です。佐川急便、ショップサーブ、Cuenote FC、タイムズカー、カプコンなどがこれにあたります。もう1つはシステムが止まる型です。IDCFクラウドでは、ランサムウェアで495の企業・自治体の仮想サーバーが止まりました。GMOのお名前.com デスクトップクラウドや大阪公立大学のように、止まったうえに脅迫や情報の取得が重なった例もあります。

03主な事件の一覧（2026年9〜10月）

当サイトで個別に扱った主な事件を、最初の発表日の順に並べました。規模は各社の公式発表の数字です。「入口の種類」は、各社が公表した原因を4つの型に当てはめたもので、原因が公表されていないものは「未公表」としています。

このほか、流出そのものではありませんが、同じ時期に「入口」になりうる脆弱性や事件も公表されています。VPN装置 Ivanti Connect Secure のゼロデイ（10月13日公表）、PHPの脆弱性 PHP2shell（10月21日に修正版）、AIの道具 LiteLLM の汚染された版の配布（10月21日）、ConnectWise のクラウドバックアップへの不正アクセスとAIの攻撃道具 ARTEX（10月16日・21日）です。これらは次の「入口」の節で説明します。

件数は足し合わせません。「人数」「重複を含む件数」「画像の数」「延べ件数」と数え方が違うからです。GMOの件のその後はGMO vs ハッカーの全経緯にあります。

04入口1：アプリの裏側（API）と管理画面

いちばん多くの公的機関が名前を挙げているのが、この入口です。API（エーピーアイ）とは、スマホアプリやWebサイトが、裏側のサーバーとデータをやりとりするための窓口です。画面には出てこないため、作った会社も「外からは見えない」と思いがちです。

JPCERT/CCは手口を5つ（ケースA〜E）に分けています。そのうちケースBが、APIを通じた不正な操作です。報告されている手口は次の3つです。

• 公開しているスマホアプリを解析して、APIの場所や鍵を探し出す
• 画面の操作ではできない内部のAPIを攻撃し、ユーザーの権限を変えたり、不正なアカウントを作ったりする
• ほかのシステムへの侵害で盗んだAPIキー（APIを使うための鍵）を使う

NICTも10月13日に、同じ型の攻撃に名前を付けて注意を呼びかけました。公開されているAndroidアプリを入手して解析し、通信先のサーバーとAPIの仕組みを調べ、その弱点を狙う攻撃を「A2B攻撃（App-to-Backend Attack）」と呼んでいます。NICTは、iOSアプリやWebサービスのAPIでも同じ問題が起こりうること、AIでアプリの解析や脆弱性の発見が効率化して攻撃が広がるおそれがあることも指摘しています。

各社の発表にも、この型に近い説明が出てきます。ローソンは、アプリで本人に情報を表示するための仕組みが不正に使われたとしています。バイトルを運営するディップは「システムの一部機能における仕様の不備」を突かれたと説明しました。skyticketでは管理機能を不正に操作され、そこから別のサーバーとクラウドに入られています（詳しくは10月の大量流出まとめ）。

管理画面やBIツールも狙われています。JPCERT/CCのケースCは、BIツール Metabase の脆弱性（CVE-2026-72898）の悪用です。ショップサーブでは、店舗の管理画面のログインIDとパスワードも漏えいの対象になりました。管理画面に入られると、顧客の一覧を見られたり、サイトを書き換えられたりするおそれがあります。

JPCERT/CCは、ログインやパスワード再設定など悪用されやすい機能への回数制限、非公開APIを含むすべての入口での権限確認、トークン（ログイン済みを示す札）の権限の最小化と有効期限、不要な管理機能の公開停止を勧めています。APIの設計の穴は、ふつうの機械的な検査では見つかりにくいため、脆弱性診断や、回数制限と既知の攻撃の遮断に役立つWAFも選択肢になります。詳しい手口はJPCERT/CCの注意喚起の解説記事にあります。

05入口2：委託先・クラウドサービス（サプライチェーン）

2つ目の入口は、自社ではなく「取引先の側」です。取引先や委託先を足がかりに被害が広がる攻撃を、サプライチェーン攻撃と呼びます（用語集：サプライチェーン攻撃）。9〜10月の事件では、この型がとくに目立ちました。

• メール配信の委託先：Cuenote FCでは、ライブラリ（プログラムが共通で使う部品）の脆弱性を突かれてサポート担当者の認証情報が取られ、49システムからデータが持ち出されました。漏れたのは、Cuenote FCを使っていた会社が預けていたメルマガの配信先リストです。
• ネットショップの基盤：ショップサーブでは、7,858店の現在と過去の利用店が対象になりました。お店から見れば、自分では何もしていないのに顧客情報が漏れた形です。
• サイト制作サービス：Studioでは、利用企業のフォームに届いた個人情報やAPIキーが取得できる状態でした。
• 保守の再委託先：大阪公立大学では、NECの再委託先がサイバー攻撃を受け、その正規のアカウントが悪用されて大学のシステムに入られました。大阪大学では、NECが協力会社と共有し、削除せずに残していたファイルから7万7,851人分の情報が取得されました。
• クラウド基盤：IDCFクラウドでは、利用者のサーバーの設定ではなく、事業者側の管理の仕組みが入口になり、その下の多数の仮想サーバーがまとめて暗号化されました。JR九州は「メール配信用外部サービス」が影響を受けたと発表しています。

Microsoftも10月21日、ConnectWiseのクラウドバックアップ（旧SkyKick）への不正アクセスについて、攻撃グループが顧客の「信頼して許可を出していたサービス」の側を先に破り、2,250を超えるテナント（クラウドの契約単位）へのログインを試みたと公表しました（ConnectWiseとARTEXの記事）。

国家サイバー統括室は、攻撃者が「比較的防御が弱い委託先企業等を足掛かりとして侵入し、その後、標的となる企業へアクセスを拡大する手口を用いることがある」として、「委託先企業と共に管理する」という意識を求めています。再委託先を含めた管理状況の把握、契約での報告義務の明記、渡す情報の最小化、業務終了後のデータ削除などを挙げています。取引先から対策を求められている会社は、取引先から対策を求められたときの入口も参考にしてください。

06入口3：VPN機器とソフトの脆弱性

3つ目は、昔からある入口です。インターネットに向けて開いている機器やソフトの脆弱性が、修正される前や修正が当たる前に突かれます。

9〜10月の流出で、各社が原因として「脆弱性」を挙げた例は多くあります。タイムズカーは「Webシステムにあった脆弱性」、ショップサーブは「サーバーで動くアプリケーションの脆弱性」、infoQは「当社サイトで使用していたソフトウェアの脆弱性」、IDCFクラウドは「ポータルの認証システムで使っていたオープンソースソフトウェアの脆弱性」です。ただし、どのソフトのどの脆弱性かまで公表した会社はほとんどありません。

同じ時期、広く使われる製品の深刻な脆弱性も公表されました。

• Ivanti Connect Secure（VPN装置）：ログインせずに命令を実行できる脆弱性（CVE-2026-104935）が、10月13日の公表前から悪用されていました。同じ攻撃で使われた権限昇格の脆弱性は、10月29日時点でまだ修正されていません（Ivantiの記事）。
• PHP2shell（PHPの脆弱性）：Webサイトを動かすPHPに、ログインなしで外からプログラムを動かされるおそれのある脆弱性が2件見つかり、10月21日に修正版が出ました。米CISAは10月26日に悪用確認済みの一覧に加えています。PHPは、ファイアウォールやVPN装置、NASの管理画面にも組み込まれていることがあります（PHP2shellの記事）。

VPN機器が入口になりやすいことは、統計にも出ています。警察庁が9月10日に公表した令和8年上半期の情勢では、ランサムウェアの被害報告は123件で、統計を取り始めて以降の半期で最多でした。うち79件が中小企業です。侵入経路の回答36件のうち、VPN機器が18件で最も多くなっています（警察庁の上半期統計の記事）。

国家サイバー統括室は「脆弱性情報が公表されると、攻撃者は短期間のうちに悪用を開始する場合があります」として、パッチを後回しにしないこと、サポートが終わった製品を使わないこと、使っていないシステムや機能を止めることを求めています。VPNの入れ替えを考えている会社は、法人VPN・リモートアクセスの分類で比べられます。

07入口4：AIを使った攻撃と、AIの道具そのもの

4つ目が、今回の波で新しく前に出てきた入口です。2つの意味があります。

1つは、攻撃する側がAIを使っていることです。JPCERT/CCは10月23日の更新でケースEを追加しました。Cairn、CyberStrikeAI、ARTEXという、AIを使ったペネトレーションテスト（侵入テスト。本来は守る側が自社の弱点を調べるために行う検査）の基盤が悪用され、主に公開されたWebアプリを狙って脆弱性の探索と悪用が試みられているというものです。インターネットに出ているWSUSサーバー（Windowsの更新を社内に配るサーバー）を狙った試行も含まれます。JPCERT/CCはまた、10月15日のブログで、攻撃に使われた可能性のあるサーバーを調べ、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと報告しています。

Microsoftは、ConnectWiseの件で攻撃グループがARTEXを使い、侵入の試みから特権の取得まで3時間未満だった例が複数あったと公表しています。国家サイバー統括室も「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化する中」と書き、経営層に対策の強化を求めています。金融庁の要請文にも「フロンティアAIによる脅威変化」という言葉が出てきます。

もう1つは、会社が使うAIの道具が狙われたことです。10月21日、AIを社内で使うための道具 LiteLLM で、マルウェア入りの版（1.107.0）が公式の配布場所に約2時間置かれていました。LiteLLMは各社のAIのAPIキーを預かって取り次ぐ役なので、鍵がまとめて盗まれるおそれがあります。該当する会社は、すべての鍵の入れ替えが必要です（LiteLLMの記事）。

狙われる弱点は、公開Webアプリの脆弱性や設定ファイルの置きっぱなしなど、これまでと同じです。違うのは速さと数で、小さな穴も短時間で見つけられる前提で考える必要があります。社内でのAIの使い方を見直したい会社はAIを使うときの場面別ガイドも参考にしてください。

08公的機関の注意喚起の中身

10月上旬、複数の公的機関がほぼ同時に注意喚起を出しました。国家サイバー統括室は10月14日に、9つの機関の注意喚起を1つのページにまとめています。主なものを日付順に並べます。

1. 10月7日
   個人情報保護委員会

   大量の個人情報を持つ事業者へ注意喚起。来年4月に確定予定のガイドライン見直し案（技術的安全管理措置）を先取りして公表。いらなくなった個人データの消去（法第22条）を改めて求める

2. 10月8日（23日更新）
   JPCERT/CC

   攻撃の手口をケースA〜Eに分けて公表。不審な送信元IPアドレスと、APIの対策を提示

3. 10月9日
   国家サイバー統括室

   ウェブシステムの管理、サプライチェーン対策、データの管理の3本柱で対策のポイントを提示

4. 10月9日
   IPA

   経営者に至急の点検と見直しを要請。外部公開アプリ、外部サービス、保有データの3点検

5. 10月9日
   経済産業省

   組織のトップによる主導、脆弱性情報の早期把握、「ゼロトラスト」への移行を要請。被害時は所管課室への一報を依頼

6. 10月9日
   金融庁

   金融機関等に点検と、本人確認書類の画像の確認の徹底、ICチップ読み取りへの早期移行を要請

7. 10月9日
   総務省

   「不正アクセスによる情報漏えい等の事案を踏まえた対応について（注意喚起）」

8. 10月13日
   NICT

   アプリを解析してサーバーを狙う「A2B攻撃」に注意

9. 10月16日
   IPA

   不正アクセス特別相談窓口（事業者向け）を案内する特設サイトを公開

10. 10月23日更新
    警察庁

    サイバー警察局便り Vol.19「情報流出に注意」。個人と企業の両方に呼びかけ

個人情報保護委員会：持ちすぎないこと、多要素認証

委員会が先取りで示したガイドラインの見直し案では、社外のネットワークからのアクセスや管理者権限でのアクセスに「フィッシングに耐性のあるもの」を含む多要素認証を入れること、アクセスできる人と機器を限定すること、ログを一定期間保管して定期的に分析することなどが「手法の例示」として示されています。また、法第22条にもとづき、利用する必要がなくなった個人データは遅滞なく消去するよう努めることを改めて求め、これが徹底されずに漏えいが深刻化した事例にも接していると書いています。

IPA：3つの点検と相談窓口

IPAは経営者に、サイバーセキュリティを経営の重要課題と認識し、対策を至急点検・見直すよう求めました。点検は3つです。外部に公開しているアプリのログを直近1か月、次に3か月と段階的にさかのぼって確かめ、未適用のパッチを当てること。部署単位で契約したクラウドやVPNも含めて外部サービスを洗い出し、作った覚えのないアカウントがないか確かめること。持っているデータを「不要な情報は持たない」を基本に見直すこと、です。異常が見つかったらすぐにセキュリティインシデント（事故）として扱い、専門のベンダーに調査を頼むことを強く勧めています。

IPAは10月16日に特設サイトを公開し、「不正アクセス特別相談窓口（事業者向け）」を案内しています。電話は03-6759-5760、受付は平日9時30分〜17時30分（12時〜13時を除く）、メールは incident-support@ipa.go.jp です。被害の可能性の助言、応急処置の案、対応する専門業者の一覧の紹介などを受けられます。

国家サイバー統括室・経済産業省：委託先とトップの関与

国家サイバー統括室は、「いつ攻撃を受けてもおかしくない」という前提で、脆弱性の管理、多要素認証、不要なアカウントの無効化、ログの監視、委託先の管理、保存データの暗号化などを挙げました。経済産業省は、これらの注意喚起を参照し、自社だけでなくサプライチェーン全体で管理するという認識のもとで対策を徹底するよう求めています。被害が起きたときは、経済産業省の所管業界の事業者は担当課室に一報し、警察への通報・相談も検討するよう依頼しています。

金融庁：本人確認書類の画像

金融庁は、運転免許証などの本人確認書類の画像を含む顧客情報が漏れる事案が起きていることを挙げ、金融機関等に、非対面の本人確認で書類や顔の画像に不自然な点がないか改めて確かめるよう求めました。2027年4月1日からは、本人確認書類の画像を送る方法が廃止され、ICチップの読み取りに原則一本化されます。金融庁は施行日を待たずに対応するよう求めています。

各機関の発表の比較は公的機関の注意喚起まとめでも整理しています。

09中小企業が今週やること（チェックリスト）

今回の事件の多くは、中小企業が使っているサービス（ネットショップ、メール配信、サイト制作、クラウド）が入口になりました。警察庁の統計でも、上半期のランサムウェア被害123件のうち79件が中小企業です。公的機関の注意喚起から、規模の小さい会社でも今週できることを抜き出しました。

1. 使っている外部サービスを一覧にする：ネットショップ、メール配信、サイト制作、クラウドストレージ、会計、予約、VPNなど。部署や担当者が個別に契約したものも含めます（IPA）。
2. 各サービスからの連絡を確かめる：対象サービスを使っていた場合、事業者からの連絡や管理画面のお知らせを確認します。お客様の情報が漏れていれば、自社が個人情報保護委員会への報告や本人への通知を判断する立場になることがあります。
3. 管理画面のパスワードを変え、多要素認証を入れる：とくに管理者のアカウントと、社外から入れるアカウントから。多要素認証は、パスワードのほかにスマホの確認など別の要素を組み合わせる仕組みです（用語集：多要素認証）。
4. 作った覚えのないアカウント、辞めた人のアカウントを消す：外部サービスとVPNの両方で確かめます（IPA・国家サイバー統括室）。
5. ログを1か月分見る：ログイン失敗の量、見慣れない場所や時間のログインがないか。（IPA）
6. VPN機器とWebサイトのソフトの版を確かめる：機種と現在のバージョンを調べ、メーカーの最新版か確認します。PHPを使うサイトは、サーバー会社が修正を当てたかも確かめます。
7. 外に出す必要のないものを閉じる：管理画面、BIツール、更新サーバーなど、社内でしか使わないものがインターネットから見えていないか（JPCERT/CC）。
8. いらない個人データを消す：退会した会員、終わったキャンペーンの応募者、古い問い合わせなど。法令で保存期間が決まっているものは除きます（個人情報保護委員会）。
9. 委託先に3つ聞く：再委託しているか、うちのデータはどこにあるか、事故のときいつ連絡が来るか（国家サイバー統括室）。

まずは1〜3からで構いません。専門家の手を借りるなら、中小企業向けの見守りと駆けつけをまとめたお助け隊、事故への備えは事故への備えの入口で比べられます。経済産業省は、取引先とのセキュリティ対策を共通の基準で評価する「SCS評価制度」を2027年3月に始める予定です（用語集：SCS評価制度）。

10個人がやること

流出した情報の悪用は、利用者の側でも防げます。警察庁のサイバー警察局便り Vol.19は、個人に向けて次の3つを呼びかけています。

• メール内のリンクを安易にクリックしない：情報が漏れた会社を名乗る偽のメールの可能性があります。佐川急便の件では、佐川急便を名乗る偽のSMSや電話への注意が呼びかけられています。Cuenote FCの運営会社も、自社のドメインをかたる迷惑メールに注意を呼びかけました。
• 安全なパスワードを設定し、使い回さない：ワンタイムパスワードなどを使う多要素認証も有効だとしています。CAPCOM IDでは196件のアカウントでパスワードが不正に変更されていました。
• 「警察庁推奨アプリ」を入れる：無料でできるスマホの詐欺電話の対策として勧めています。

あわせて次のこともしておきましょう。

• 漏えいの通知が届いたサービスは、パスワードを変える。同じパスワードをほかで使っていれば、そちらも変える。管理が大変ならパスワード管理アプリを使う。
• パスキー（指紋や顔で本人確認する、パスワードの代わりになる仕組み）が使えるサービスでは有効にする。
• 少しでも不審に思ったら、最寄りの警察署やサイバー犯罪相談窓口、警察相談専用電話「#9110」に相談する（警察庁）。IPAにも個人向けの「情報セキュリティ安心相談窓口」があります。

家庭でできる対策の全体は個人・家庭向けの入口、乗っ取りへの備えは乗っ取り・不正ログインの入口にまとめています。

11まだ分かっていないこと

10月29日時点で、公式に分かっていないことです。推測では埋めません。

• 同じ攻撃者なのかどうか：JPCERT/CCは「すべての事案で同一の手法が使われているわけではありません」と書いています。一連の事件が同じ攻撃者によるものかどうかを、公的機関は公表していません。
• 多くの事件の侵入方法：佐川急便、お名前.com デスクトップクラウド、カプコンなどは、侵入の方法を公表していません。脆弱性が原因と発表した会社も、どのソフトのどの脆弱性かはほとんど明らかにしていません。
• 件数の確定：Cuenote FCは16システムで件数を調査中、Studioは件数を公表していません。大阪公立大学の情報の漏えいも調査中です。
• 犯人の特定：GMOは独自調査で得た情報を警察などに提出するとしていますが、特定や逮捕は発表されていません。
• 二次被害の広がり：多くの会社は「不正利用は確認されていない」としています。ただし、偽のSMSやメールはこれから増える可能性があり、注意が続きます。

JPCERT/CCも「把握できている情報は限定的で断片的」と書いています。

12よくある質問

13この記事の更新方針

この記事は、9〜10月の一連の事件をつなぐまとめです。新しい公式発表が出たら、表と各節を更新します。とくに、JPCERT/CCの注意喚起の更新、個人情報保護委員会のガイドライン見直しの確定（来年4月の予定）、各社の調査結果（侵入方法や件数の確定）を追いかけます。

数字は公式発表で確かめたものだけを載せ、報道だけの情報、民間の集計、犯人の推測は載せません。新しい事実は、まず個別の記事を更新し、そのうえでこの記事の一覧表を直します。