2026年9月以降、日本国内で大規模な情報漏洩や不正アクセスの公表が相次いでいます。
焼肉きんぐ、タイムズカー、ローソン、大和証券、GMOリサーチ＆AI、ヤマト運輸、佐川急便など、業界を問わず被害が広がり、数百万〜数千万件規模の情報流出も明らかになりました。
こうした状況を受け、国内のセキュリティ専門機関も相次いで注意喚起を発表しています。
今回は直近で公表された主な情報漏洩・不正アクセス事案を企業別に一覧で整理するとともに、その原因や攻撃手法、海外で存在感を増すサイバー攻撃グループ「Qilin（キリン）」や「RaaS」についてまとめていきます。
2026年9〜10月に公表された主な情報漏洩・不正アクセス企業一覧
2026年9月から10月9日までに公表・更新された主な事案を、時系列でまとめました。
なお、実際に情報流出が確認された事案に加え、不正アクセスが発生して情報漏洩の可能性を調査している事案も含まれます。
| 公表日 | 企業・サービス | 対象規模 | 原因・事象 | 確認状況 |
|---|---|---|---|---|
| 9/11 | デジタル庁（GSS） | 約24.6万件 | VPNの脆弱性を悪用した不正アクセス | 情報漏洩 |
| 9/15 | ムラウチドットコム | 約772万件 | Webシステムの脆弱性を悪用 | 情報流出 |
| 9/16 | Gyazo（Helpfeel） | 約2,362万件 | 画像アップロードサーバーの脆弱性を悪用 | 流出確認 |
| 9/25 | タイムズカー（パーク24） | 約660万アカウント | Webシステムへの不正アクセス | 流出確認 |
| 9/26 | 京王グループ | 未公表 | ランサムウェア攻撃 | 影響調査中 |
| 9/27 | 東京メトロ（メトポ） | 約5.9万件 | メール配信サービスへの不正アクセス | 漏洩の可能性 |
| 9/27 | OZmall | 最大約44.8万人 | システムの脆弱性を悪用 | 漏洩の可能性 |
| 9/29 | セイコーマート | 約57万アカウント | アプリ関連システムへの不正アクセス | 漏洩の可能性 |
| 9/29 | ヤマト運輸（クロネコ代金後払い） | 調査中 | 決済サービスへの不正アクセス | 漏洩有無を調査中 |
| 9/30 | 佐川急便 | 調査中 | お荷物問い合わせサービスへの不正アクセス | 漏洩の可能性 |
| 10/2 | 第一生命 | 約12万人 | 外部システムへの不正アクセス | 漏洩の可能性 |
| 10/5 | 大和証券 | 約11万人規模 | 委託先システムへの不正アクセス | 漏洩の可能性 |
| 10/5 | GMOリサーチ＆AI（infoQ） | 最大約94.8万件 | ソフトウェアの脆弱性を悪用 | 外部流出確認・件数調査中 |
| 10/5 | 焼肉きんぐ（物語コーポレーション） | 約1,079万件 | アプリ会員管理システムへの不正アクセス | 流出確認 |
| 10/6 | MrMax | 最大約173.5万人 | アプリ・ECの機能を悪用 | 情報流出 |
| 10/6 | 楽天ドライブ | 保存データ約1.5万アカウントなど | システムへの不正アクセス | 影響調査中 |
| 10/7 | IDCフロンティア | 契約495組織に影響 | ランサムウェア攻撃 | 影響調査中 |
| 10/8 | 第一興商（ビッグエコー等） | 約872万件規模 | 委託先端末へのマルウェア感染 | 漏洩の可能性 |
| 10/8 | ローソンID | 約215.5万件 | アプリ関連システムの不正利用 | 流出確認 |
| 10/8 | NewsPicks | 調査中 | 業務用管理ツールへの不正アクセス | 影響調査中 |
| 10/9 | skyticket（アドベンチャー） | 約1,464万件（主要事案） | 管理機能の不正操作など複数経路からの侵入 | 流出確認・一部可能性 |
| 10/9 | ブックオフ | 約643万件規模（報道値） | 不正アクセス | 漏洩公表・詳細確認中 |
※2026年10月9日時点の公表情報をもとに作成。公表日には続報の日付を含みます。対象規模は各社の公表値・報道値による概数で、「件」「人」「アカウント」「組織」が混在しています。実際に流出した件数が確定していない事案もあるため、数値の単純合算はできません。
今回の一覧で特に目立つのは、影響規模の大きさです。
画像共有サービス「Gyazo」では約2,362万件のユーザーデータ、旅行予約サイト「skyticket」では主要な不正アクセス事案で約1,464万件、焼肉きんぐでは約1,079万件の会員情報の流出が公表されています。
また、第一興商や大和証券のように、外部委託先への攻撃をきっかけとして顧客情報が漏洩した可能性がある事案も発生しています。
一方、ヤマト運輸や佐川急便など、情報流出の有無や対象範囲を引き続き調査している企業もあります。
今回の一連の事案はすべての原因や攻撃者が解明されたわけではなく、今後の調査によって被害規模や内容が変更される可能性があります。
相次ぐ情報漏洩を受け、JPCERT/CC・IPAも注意喚起
こうした大規模な情報漏洩が相次ぐ状況を受け、国内のサイバーセキュリティ専門組織である「JPCERT/CC」や、「IPA」は、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公表しました。
■JPCERT/CC（ジェーピーサート・コーディネーションセンター）
国内で発生するサイバー攻撃やセキュリティ事故について、情報収集や分析、関係組織との連携・調整などを行う専門機関です。
■IPA（独立行政法人 情報処理推進機構）
経済産業省所管の独立行政法人で、ITの安全な利用や情報セキュリティの向上、デジタル人材の育成などを推進する公的機関です。
今回の発表では、2026年9月前後から大量の個人情報漏洩につながる不正アクセスが相次いでいると指摘。
攻撃の詳細が十分に解明されていない段階ながら、被害の広がりを踏まえて注意を呼びかけています。
ランサムウェアとは異なる攻撃も増加か
今回のJPCERT/CCの発表で注目したいのは、一般的に知られるランサムウェア攻撃とは別に、大量の個人情報漏洩につながる攻撃が増加している可能性を指摘していることです。
具体的には、既知の脆弱性を悪用する攻撃のほか、APIやBIツール、従業員向け管理システムなどへの不正アクセスが取り上げられています。
APIとは異なるシステム同士が情報をやり取りするための仕組み、BIツールとは企業が蓄積したデータを集計・分析するためのシステムです。
つまり、一般利用者がアクセスするWebサイトだけでなく、サービスの裏側で利用されている管理システムなども攻撃対象となっているのです。
ただし、JPCERT/CCはこれらの事案がすべて同じ手法で発生したと断定しているわけではありません。
出典：
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日）
情報漏洩はなぜ相次ぐ？ 公表された原因を整理
では、実際にどのような攻撃によって情報漏洩が発生しているのでしょうか。
今回公表された事例を見ると、代表的な攻撃経路として次の3つが挙げられます。
① Webサービスやシステムの脆弱性を悪用した攻撃
脆弱性とは、ソフトウェアやシステムに存在するセキュリティ上の弱点を指します。
例えばGMOリサーチ＆AIが運営するアンケートサイト「infoQ」では、サイトで使用していたソフトウェアの脆弱性を悪用した不正アクセスが確認されました。具体的なソフトウェア名や種類は公表されていません。
個人情報が外部に持ち出されたほか、611件、約287万円相当のポイントが本人の意思によらずAmazonギフトコードに交換される被害も発生しています。
また、画像共有サービス「Gyazo」では画像をアップロードするサーバーの脆弱性が悪用され、攻撃者によってサーバー上で不正なコマンドが実行される被害が確認されています。
いずれも、Webサービスを構成するシステムの弱点を突かれた事例です。
② 管理システムへの不正アクセス
一般利用者が利用する画面とは別に、企業がサービスを運営するための管理システムが狙われるケースも確認されています。
10月9日に公表されたskyticketの事案では、一部の管理機能が不正に操作され、そこから別のサーバーやクラウド上に保存していたデータにアクセスされたことが明らかになりました。
今回、JPCERT/CCが従業員向け管理システムやBIツールにも注意を呼びかけた背景には、こうした企業内部のシステムを狙う攻撃が存在します。
③ 外部委託先を経由した情報漏洩
自社のシステムが直接攻撃されなくても、外部委託先を経由して情報漏洩が発生する可能性があります。
大和証券では、問い合わせ対応業務などに関連する外部委託先のシステムへの不正アクセスが報告されました。
また、第一興商では、業務委託先の従業員端末がマルウェアに感染し、顧客情報が外部に流出した可能性があることを公表しています。
企業が利用する外部サービスや委託先も含めて、さまざまな経路から情報が狙われていることが分かります。
Qilin（キリン）とは？ 情報漏洩が相次ぐなかで浮上した国際ハッカー集団
国内で大規模な情報漏洩が相次ぐなか、国際的なサイバー攻撃を巡っても新たな動きがありました。
2026年10月、世界各国でランサムウェア攻撃を繰り返してきた「Qilin（キリン）」の中心メンバーとみられる人物が日本国内で拘束されドイツへ引き渡されたことが報じられたのです。
一連の国内情報漏洩との直接的な関係は確認されていませんが、今回の報道をきっかけに改めて注目されたQilinとはどのような組織なのでしょうか。
Qilinは2022年頃から活動が確認されており、当初は「Agenda」という名称で知られていました。
企業のネットワークに侵入し、データを暗号化して利用できなくしたり、機密情報を窃取して公開をちらつかせたりすることで、金銭を要求する手法を用いています。
米国のセキュリティ企業ZeroFoxによると2026年8月にQilinが関係する攻撃・恐喝活動は少なくとも165件に上り、2026年の月間記録として最多となりました。
さらに、2025年9月から2026年8月までの12か月間では、少なくとも1,480件の犯行声明が確認されています。
また、セキュリティ企業Check Point Softwareの調査でも、2026年第2四半期にQilinが公表した被害組織は279件と、世界でも特に活動が目立つグループの一つになっています。
※これらの数値には攻撃グループによる犯行声明などが含まれ被害件数を意味するものではありません。
Qilinは今回の国内情報漏洩に関係している？
ここは区別して考える必要があります。
Qilinは世界的に活動しているランサムウェア攻撃グループですが、今回一覧化した国内企業への不正アクセスについて、すべてQilinが関与しているという事実は確認されていません。
また、情報漏洩は必ずしもランサムウェアによって発生するものではありません。
前述のように、ソフトウェアの脆弱性や管理システムへの不正アクセスなど、さまざまな原因が存在しています。
Qilinの活動拡大は、国内で相次ぐ情報漏洩の直接的な原因というよりも、世界的なサイバー攻撃の動向を理解するうえで注目すべき事例といえるでしょう。
出典：ZeroFox「Flash Report: Qilin Claims Record Number of Monthly Attacks for 2026」（2026年9月9日）
Check Point Research「The State of Ransomware Q2 2026」（2026年8月13日）
RaaSとは？ サイバー攻撃が「サービス化」する仕組み
Qilinについて知るうえでもう一つ押さえておきたいのが「RaaS（ラース）」です。
RaaSは「Ransomware as a Service/ランサムウェア アズ ア サービス」の略称で、ランサムウェアをサービスとして提供する犯罪ビジネスモデルを指します。
RaaSの特徴はランサムウェアを開発・提供する運営グループと、実際に攻撃を行う実行者（アフィリエイト）が分かれていることです。
運営グループは攻撃に必要なプログラムや基盤を提供し、実行者はそれを利用して企業などを攻撃します。そして、身代金が支払われた場合には、その収益を双方で分配する仕組みです。
このように攻撃の開発と実行が分業化されているため実行者自身が高度なランサムウェアを一から開発する必要がなく、サイバー犯罪への参入障壁を下げる要因になっています。
| 区分 | 内容 |
|---|---|
| ① 開発・提供 | 運営グループがランサムウェアや攻撃に必要なシステムを開発し、実行者に提供する |
| ② 攻撃の実行 | アフィリエイトと呼ばれる実行者が、提供された仕組みを使って企業などに攻撃を仕掛ける |
| ③ 金銭の要求 | データの暗号化や情報の窃取などを通じて、被害企業に身代金を要求する |
| ④ 収益の分配 | 身代金が支払われた場合、運営グループと実行者の間で収益を分配する |
RaaSの歴史は意外と古く、2015年頃には初期の代表的なサービスが登場していました。
その後、複数の攻撃グループがこのビジネスモデルを採用しランサムウェア攻撃の分業化が進んでいます。
Qilin（キリン）もRaaSモデルで活動するグループの一つです。
RaaSの普及と攻撃グループの勢力変化
2026年に入ってもランサムウェア攻撃グループの活動は活発です。
Check Point Softwareの調査によると、2026年第2四半期に活動が確認されたランサムウェアグループは93組織に上り、同調査での過去最高となりました。
同四半期に攻撃グループの情報公開サイトに掲載された被害組織は2,139件で、前年同期比33％の増加となっています。
また、これまで大きな勢力を持っていたグループの活動縮小などを背景に、別のグループへ実行者が移る動きも見られます。
Qilinもこうした攻撃グループの勢力変化のなかで存在感を高めてきたと考えられています。
つまり、RaaSという仕組みそのものは新しくありませんが、その担い手となる攻撃グループや活動規模は変化し続けているということです。
情報漏洩が相次ぐなか、今後の調査結果にも注目
2026年9月以降に公表された国内の情報漏洩・不正アクセス事案を振り返ると、被害を受けた企業の業種やサービス、情報流出の規模、攻撃の手法はさまざまです。
一方、海外ではQilinのようなランサムウェア攻撃グループの活動が続き、RaaSによる攻撃の分業化・サービス化も進んでいます。
ただし、今回国内で相次いだ事案とこうした海外の攻撃グループの活動との直接的な関係については、現時点で十分に解明されていません。
また、国内企業の公表内容にも調査中の事案が多く、攻撃の具体的な手法や被害範囲など、まだ明らかになっていない情報が残されています。
今回、JPCERT/CCやIPAが相次いで注意喚起を発表したことからも、現在の状況が注視すべき段階にあることは確かでしょう。
今後、各企業の調査結果やセキュリティ専門機関による新たな分析が公表されることで、一連の情報漏洩の背景がさらに明らかになっていくかもしれません。
※本記事は2026年10月9日時点の公表情報をもとに作成しています。情報漏洩の規模や原因などは今後の調査によって変更される可能性があります。
