日本の個人情報漏えい、可能性のある件数が1億6500万件超に　企業の公表で被害の広がりが明らかに

日常的なサービスで数千万件の情報が流出

セキュリティー企業マクニカの集計によると、2026年に日本で不正アクセスを通じて漏えいした可能性のある個人情報は、累計1億6500万件を超えた。鉄道、買い物、カラオケ、ソフトウエア、宅配便、カーシェアリングなど幅広いサービスに及び、すでに退会した人の情報も含まれている。

ソースネクストは10月15日、顧客情報22,519,960件が漏えいした可能性があると発表した。旅行予約サイト「スカイチケット」を運営するアドベンチャーは、約1464万件に関わる不正アクセスの可能性を公表。ヤマト運輸はその後、後払いサービスに関連する531万件の情報が影響を受けたと明らかにした。

1億6500万件という数字は、複数の事案における個人情報を累計したものだ。同じ人の情報が複数のサービスで影響を受けた場合、重複して数えられる可能性がある。また、企業が漏えいを確認した情報に加え、漏えいの可能性がある情報も含む。

マクニカが特定のパターンのウェブサイト侵害を詳しく調査したところ、10月6日までに公表された事案は119件に上った。2025年通年の84件をすでに上回り、このうち81件は7月以降に公表された。

情報処理推進機構（IPA）は10月9日、緊急の注意喚起を出し、企業の経営者にインターネット上のサービス、アカウント、保存データの点検を呼びかけた。注意喚起では、不正侵入の痕跡を見つけることと、窃取される可能性のある個人情報を減らすことという、直ちに取り組むべき2つの課題を挙げている。

顧客への影響は、各サービスがどのような情報を保有していたかによって異なる。影響を受けたデータベースには連絡先情報が含まれていたものもあれば、パスワード、クレジットカード情報、本人確認書類の画像が含まれていた可能性がある。委託先への攻撃が、複数の企業の顧客に一度に影響を及ぼすことも明らかになった。

マクニカの集計方法と増加が意味するもの

マクニカのウェブサイト侵害の分析は、2024年1月から2026年10月6日までに国内組織が公表した265件の事案を調査した。年間の公表件数は2024年の62件から2025年の84件に増え、2026年は集計期間が年途中までであるにもかかわらず119件に達した。

2026年の件数は、前年通年を35件、約42％上回った。7月以降の公表は81件で、同年の約68％、調査対象265件全体の約31％を占めた。

公表情報の分析は、マクニカのセキュリティ研究センターの瀬治山豊氏が担当。攻撃分析には、伊藤忠サイバー＆インテリジェンスの佐藤元彦氏と、セキュアスカイ・テクノロジーの最高技術責任者、長谷川陽介氏が協力した。

研究者らは、類似した特徴があると判断した事案を選定した。データセットにはランサムウエアや、無関係のサービスから盗まれたパスワードを使って顧客アカウントへの侵入を試みる攻撃など、一部の攻撃パターンは含まれていない。また、共通の委託先で起きた1件の事案について複数の顧客企業が被害を公表した場合、委託先での事案を1件として数えた。

以下で紹介する企業の公表には、ランサムウエアの事案も含まれる。そのため、顧客情報が漏えいした可能性のある件数と、マクニカの技術調査で追跡した特定のウェブサイト侵害の件数は、別々の指標として捉える必要がある。

情報流出の可能性が大きかった企業は

ソースネクストによると、影響を受けた可能性がある情報には氏名、住所、電話番号、勤務先、メールアドレス、パスワードが含まれる。同社は10月13日、会員情報システムへの不正アクセスを確認し、2日後に情報が流出した可能性を発表した。

アドベンチャーは、スカイチケットのサーバーと業務管理システムが攻撃を受け、約1464万件の個人情報が影響を受けた可能性があると発表した。クレジットカード番号とパスポート番号は流出していないとしている。

カラオケチェーン「ビッグエコー」を運営する第一興商は、外部委託先が管理するシステムを通じ、約872万件の個人情報が流出した可能性があると発表した。委託先でマルウエア感染が発生していた。

JR東日本は顧客アカウント約609万件、JR九州は約130万件が不正アクセスを受けた可能性があると発表した。両社は、ソフトバンク傘下のクラウドサービス子会社IDCフロンティアへのランサムウエア攻撃に関連した被害だとしている。両社の公表件数を合わせると約739万アカウントとなる。

ブックオフグループホールディングスは、会員情報を管理する子会社への不正アクセスを受け、最大643万人の情報が流出した可能性があると当初発表した。その後の説明では、約638万人分の情報が流出し、そのうち約21万人は元会員だったとした。

ローソンは顧客情報215万件超への不正アクセスを公表した。氏名、メールアドレス、クレジットカード情報が含まれていた可能性がある。ニュースピックスを運営するユーザベースは、管理ツールへの不正アクセスにより一部のユーザー情報が流出した可能性があると発表した。

ローソン、第一興商、ユーザベースは、発表時点で不正利用を確認していないと説明した。鉄道各社、ブックオフ、アドベンチャーも第三者による悪用の証拠は見つかっていないとし、顧客に不審なメールや電話への注意を呼びかけた。

配送記録、開発ツール、学校にも影響

ヤマト運輸は10月16日、後払いサービスの一部利用者に関する個人情報531万件が侵害されたと発表した。同社は9月29日に最初の発表を行っていた。

影響を受けた情報には、約8年間にわたり2018年10月1日以降に収集した氏名、住所、電話番号が含まれる。長期間にわたって蓄積された顧客情報が、一度の侵入で流出する可能性を示している。

日本経済新聞社は、システム開発に利用するクラウドサービスへの不正アクセスを受け、氏名、住所、メールアドレスなど約183万件の情報が侵害されたと発表した。開発サービスはソフトウエアの構築や保守に使われるため、企業の技術環境の別の部分も攻撃者の侵入経路となり得る。

文部科学省は、9月下旬から今回の公表に先立つ木曜日までに、主に大学を含む8校から情報漏えいの報告があったと発表した。マクニカの調査では、図書館の蔵書検索、観光列車の予約、大学の宿泊施設予約、チケットの払い戻し管理など、さまざまなサービスが影響を受けていた。

公表に至った経緯

複数の事案が数週間のうちに相次いで明らかになる一方、影響を受けた情報の範囲を特定する調査は続いていた。ソースネクストの発表には、侵入と対応の時刻が特に詳しく記されている。

• 9月29日：ヤマト運輸が最初の発表を行った。カーシェアリングのデータ侵害について、パーク24も9月下旬に公表した。
• 10月6日：マクニカの調査で、2026年に公表された対象のウェブサイト侵害が119件に達した。
• 10月8日：マクニカは、JPCERT/CC（日本のコンピューターセキュリティーインシデント対応組織）による関連の注意喚起を追記した。
• 10月9日：IPAが緊急の点検を呼びかけた。JR東日本、ブックオフ、第一興商、アドベンチャーなどが同日、被害を公表した。ソースネクストは後に、10月9日午前10時ごろに侵入が始まったと特定した。
• 10月13日：ソースネクストが午前9時ごろに不正アクセスを検知し、午後までに遮断する緊急措置を講じた。
• 10月15日：ソースネクストが22,519,960件の情報が流出した可能性を発表した。
• 10月16日：ヤマト運輸が影響を受けた531万件の詳細を公表。日本経済新聞社も被害を明らかにし、パーク24は本人確認書類の画像削除を10月末までに完了する方針を発表した。

ソースネクストの時系列によると、不正アクセスの開始から検知までには約4日あった。IPAが、まず直近の活動を調べ、その後さらに過去にさかのぼって調査するよう指示したのは、警報が出る前に何が起きていたかを再構成する必要があるためだ。

攻撃者はサービス全体の弱点を探していた

マクニカの技術分析によると、攻撃者は個々のウェブサイトや、そのアプリケーション・プログラミング・インターフェース（API）を調べていた。APIは、アプリやウェブサイトが別のシステムに情報を求めたり、処理を依頼したりするための窓口だ。

調査では、APIが必要以上の情報を返す、機能に過剰な権限が与えられている、会員向けの機能を匿名の訪問者が利用できるといった弱点が確認された。このほか、ログインセッション、処理ルール、アクセス設定に関する問題もあった。

一部の攻撃者はモバイルアプリを調べ、サービスとの通信に使われる認証情報であるAPIキーを抜き出していた。そのキーを使い、通常の通信に見えるリクエストを送っていた。研究者らは、管理者パスワードの脆弱性や、既知のソフトウエアの脆弱性を悪用する動きも確認した。

対応は単一のソフトウエア更新を適用するだけでは済まない。サーバーがリクエストを送った人を確認し、その人に許可された情報だけを返すよう、サービス自体の検証が必要な場合がある。大量の情報を出力できる管理ツールにも細心の注意が必要だ。

原因の説明がない公表が大半

7月以降に公表された対象事案81件のうち、マクニカが分類できたのは、ソフトウエア製品や関連ツールの脆弱性に関わるものが9件、認証情報の悪用やパスワード攻撃が4件、サイト設定やアクセス制御の不備が3件だった。

残る65件、約80.2％は原因を特定するには説明が不十分だった。そのため、他の組織は自社システムでどのような弱点を探すべきか判断しにくい。

侵入後の攻撃者の行動を説明した発表もあった。11件で不正なプログラムのインストールや実行があり、9件ではAPIやデータベースを通じて情報が取得・閲覧された。6件では不正なアカウントや認証キーが作成された。1件の事案に複数の行動が含まれる場合があるため、各分類は重複する。

マクニカは、7月以降にウェブサイトの改ざんや悪用があった公表を少なくとも25件確認した。個人情報の漏えいについて具体的な懸念が示されていない事案も含まれる。外部サイトへのリダイレクト、偽の警告表示、登録情報の変更、クラウドサービスの悪用などがあった。

研究者らは、多数のウェブサイトを繰り返し検索するために人工知能が使われた可能性にも言及した。ただし、AIの関与や攻撃者の最終目的は確認されていない。確認された活動の中心は、アクセス権限、設定、認証、既知の脆弱性だった。収集した氏名、サービスの利用状況、予約情報が、その後のフィッシングメールや詐欺電話をより信じやすくする材料として使われた可能性があるとの見方も示した。

退会済みの顧客も被害に

パーク24の情報流出では、退会者を含む会員情報約660万件に加え、運転免許証の画像など本人確認書類約160万点が影響を受けた。タイムズカーは、顧客が退会した後も本人確認書類を7年間保管していた。

パーク24は10月16日、本人確認書類の画像を同月末までに削除する方針を発表した。IPAが指摘した課題、つまり企業が保有データを今後も必要としているか点検すべきだという点に、具体的な期限を設けた対応だ。

ブックオフで影響を受けた元会員約21万人は、後の説明で示された流出対象約638万人の約3.3％に当たる。ペット用品の通販サイト「チャーム」も、元顧客の情報約2万5000件の大半が流出したと発表した。

企業が元の記録を保管し続ければ、退会後も顧客が何年にもわたって被害に遭う可能性がある。連絡先情報は犯罪者がなじみのあるサービスになりすますのに使われることがあり、パスワードや本人確認書類の画像はさらにリスクを高める。マクニカは、メモ欄に蓄積された想定外の個人情報など不要な記録を見直し、サービス終了時にはAPIキーを無効にするよう勧めている。

IPAが組織に求める点検

IPAの10月9日の注意喚起は、インターネットに公開されたアプリケーション、外部サービスやアカウント、保存情報の緊急点検を求めている。特に大量の個人情報や機微情報を扱う企業では、経営者が責任を持って対応するよう促している。

アプリケーションについては、直近のログ（システムが記録した活動履歴）を確認し、セキュリティーパッチが適用されているか点検するよう勧めている。まず過去約1カ月を調べ、その後3カ月までさかのぼり、エラー件数の急増や通常と異なる活動がないか確認する。

クラウドサービスやVPNサービスなどの外部サービスについては、組織全体と各部門が利用しているものを一覧にするよう求めている。ログの保管期間や閲覧できる人、顧客が直接確認できない記録を提供元が保有しているかどうかも確認する必要がある。

アカウントの点検では、見慣れない利用者や、以前に無効化または削除されたのに再び有効になっているアカウントがないか確認する。通常と異なるログイン時間や場所、繰り返されるログイン失敗も注意が必要だ。IPAは、異常なログやアカウントが見つかった場合、セキュリティーインシデントとして扱い、専門家による調査を受けるよう勧めている。

マクニカは関連する対策として、APIがサーバー側で権限を確認しているか、アプリに埋め込まれた機密情報を削除しているか、複数の認証手段で管理者アカウントを保護しているか、管理機能へのアクセスを制限しているかを点検するよう提言している。監視では、アラートを確認し、適切な担当者に連絡して調査を始める人員体制も必要だ。

IPAは、サプライチェーン向けのセキュリティー評価制度「SCS評価制度」を準備しており、2027年3月の開始を予定している。共通の評価基準を設け、情報を共有する企業や委託先が互いのセキュリティー状況を把握できるようにする狙いだ。

類似の事案は日本以外でも

マクニカは、2026年7月から9月を中心に、13カ国・地域で類似の事案を99件確認した。韓国が30件、フランスが11件、ポーランドが8件だった。

韓国の事案は、買い物、予約、教育、金融支援などに関連するウェブサイトやAPIで発生していた。この幅広さは、日本で公表された事案に見られるサービスの多様さと似ている。

各国の情報公開に関する法律や慣行によって、公表される事案数は異なる。マクニカは調査対象の中で日本の事案が目立ったとする一方、攻撃者が特に日本に集中していたかどうかは明らかでないとしている。

日本の事案で直ちに優先すべきことは明確だ。不正な活動を見つけ、顧客情報へのアクセスを保護し、保管する必要のなくなった記録を削除する必要がある。委託先での事案や元会員の情報流出は、企業の主要ウェブサイトや現在の顧客リスト以外にも対策を広げる必要があることを示している。

要点

• マクニカの集計では、2026年に不正アクセスを通じて漏えいした可能性のある個人情報は1億6500万件を超える。サービス間で重複して数えられる可能性がある。
• 対象を絞ったウェブサイト調査では、10月6日までに119件が公表され、そのうち81件は7月以降だった。
• ソースネクストは22,519,960件、アドベンチャーは約1464万件の情報が影響を受けた可能性を公表した。
• 委託先への攻撃は大手企業の顧客にも影響し、パーク24、ブックオフ、チャームでは保管されていた元会員・元顧客の情報も流出した。
• IPAはログ、パッチ、アカウント、外部サービス、保存データの緊急点検を呼びかけた。
• パーク24は本人確認書類の画像削除を10月末までに完了する方針。IPAのサプライチェーン向けセキュリティー評価制度は2027年3月に開始予定。