【随時更新】2026年10月の情報漏えいまとめ｜ソースネクスト・ふるさとチョイスほか、利用者がやること

2026年10月の情報漏えいまとめ 障害・情報漏洩
2026.10.21

会社名から探す（新しい順・押すとその会社の節へ）

ニトリ（ニトリネット） ／ teket（電子チケット） ／ ラクスル（データ入稿システム） ／ ステップゴルフ（業務・予約システム） ／ パ・リーグ5球団（メールアドレス流出） ／ JNSA（情報セキュリティ理解度チェックサービス） ／ ロート製薬（通販の顧客管理システム・電話システム） ／ 宝くじ公式サイト（公式アプリ） ／ ドコモ（My docomo） ／ ApplyNow（採用管理サービス） ／ モスフード・ワークマン・IIJmio・ソラシドエア・AIRDO（アララ経由） ／ ビックカメラ・コジマ・ソフマップ ／ アソビュー ／ 大阪市（行政オンラインシステム） ／ デニーズアプリ ／ ノジマ（詳しい記事あり） ／ サントリーHD ／ アットコスメ（詳しい記事あり） ／ クラブツーリズム（詳しい記事あり） ／ NTTデータ ／ RAGTAG（詳しい記事あり） ／ 外務省 ／ 松屋（詳しい記事あり） ／ 無印良品（詳しい記事あり） ／ skyticket ／ ヤクルト本社 ／ アイリスプラザ ／ PFUダイレクト ／ ツイキャス ／ アララ・Payどん（詳しい記事あり） ／ ライフカード ／ 花キューピット ／ ソニー生命 ／ グッドスマイルカンパニー ／ ANA ／ JAL・JTA ／ トク買 ／ ブシロード（バンドリ！アワーノーツ） ／ So-net・plala ／ 楽天トラベル ／ ユミルリンク ／ Joshin ／ お名前.com ／ アンドエスティHD ／ タイムズカー ／ ブラストメール ／ 佐川急便（詳しい記事あり） ／ デジタル庁 ／ カプコン（詳しい記事あり） ／ カーセンサー ／ ふるさとチョイス ／ 岩井コスモ証券 ／ H2O ID ／ ニフティ ／ SpeeCAN RAIDEN ／ ソフトバンク ／ スクウェア・エニックス ／ コミックシーモア ／ ヤマト運輸 ／ ファンケル・アテニア ／ 日本経済新聞社 ／ ショップサーブ（Eストアー） ／ ソースネクスト（詳しい記事あり） ／ バーガーキング ／ バイトル ／ 焼肉きんぐ ／ infoQ ／ GETTIIS

まず全員がやること3つ

  1. 同じパスワードを使い回しているなら、ほかのサービスのパスワードを変える
  2. お詫び・返金をよそおった偽メール・SMSのリンクは開かない
  3. 自分が対象かどうかは、会社の公式お知らせで確かめる

2026年10月は、ふだん使っているアプリやサービスからの情報漏えいの発表が続いています。「自分の情報も入っているかも」と不安になった方も多いと思います。

この記事は、各社の公式発表で確認できた情報だけ をまとめたものです。件数や流出した項目は、各社の調査で変わることがあります。新しい発表があれば、随時更新します。

  1. この記事の結論
  2. 2026年10月に発表された主な情報漏えい（一覧）
  3. ニトリホールディングス（ニトリネットほか・システムへの不正アクセス・11/9 発表時点）
  4. teket（電子チケット販売・管理サービス・11/8 第一報時点）
  5. ラクスル（ネット印刷「ラクスル」のデータ入稿システムへの不正アクセス・11/9 発表時点）
  6. ステップゴルフ（インドアゴルフスクール・業務システムと予約システムへの不正アクセス・11/7 第一報時点）
  7. パ・リーグ5球団（メールアドレス等の流出・11/6 発表時点）
  8. JNSA（情報セキュリティ理解度チェックサービス・11/6 第一報時点）
  9. ロート製薬（通販の顧客管理システム・電話システム・11/6 発表時点）
  10. 宝くじ公式サイト・公式アプリ（不正ログイン・11/6 発表時点）
  11. ドコモ（My docomo・ドコモオンラインショップ・11/6 第三報時点）
  12. ApplyNow（採用管理サービス「Interview Cloud」「ApplyNow」「ApplyNow Sign」・11/4 最終報時点）
  13. ビックカメラ・コジマ・ソフマップ（アララ メッセージ経由・メルマガ登録・11/2 発表時点）
  14. 7NOW（セブン-イレブン・委託先CBcloud「ピックゴー」・11/3 発表時点）
  15. アソビュー（アララ メッセージ経由・11/3 発表時点）
  16. 大阪市 行政オンラインシステム（TKC経由・アララ メッセージ・11/4 第2報時点）
  17. デニーズアプリ（デニーズジャパン・旧アプリから新アプリへの移行処理・11/3 第一報時点）
  18. ノジマ（ノジマオンライン・中古スマホ買取サイト・11/2 発表時点）
  19. サントリーHD（外部クラウドサービスへの不正アクセス・11/2 発表時点）
  20. アットコスメ（@cosme共通ID・アイスタイル・11/2 発表時点）
  21. クラブツーリズム（インターネット会員・10/31 第1信時点）
  22. NTTデータ「STdirectServices」（委託先のSaaSへの不正アクセス・10/31 発表時点）
  23. RAGTAG（ワールドの子会社ティンパンアレイ・10/30 発表時点）
  24. 外務省（外部とやり取りするネットワーク・10/30 発表時点）
  25. 松屋（松屋フーズHD・公式アプリ管理システム・10/30 発表時点）
  26. 無印良品「MUJIアプリ」・MUJI Card（良品計画・11/9 第4報時点）
  27. skyticket（スカイチケット・アドベンチャー・10/30 第3報時点）
  28. ヤクルト本社（公式ホームページ・10/30 第2報時点）
  29. アイリスプラザ（アイリスオーヤマ公式通販・11/5 第2報時点）
  30. PFUダイレクト本店（旧サイト・Eストアー「ショップサーブ」・10/23 第2報時点）
  31. ツイキャス（モイ・10/29 第2報時点）
  32. アララ メッセージ（メール配信）・Payどん
  33. ライフカード（委託先ユミルリンクのメール配信「Cuenote FC」）
  34. 花キューピット（インターネット花キューピット・ビジネス花キューピット）
  35. ソニー生命（代理店として扱ったメディケア生命の契約）
  36. グッドスマイルカンパニー公式ショップ（10/29 第3報）
  37. ANA（委託先アマデウス社のシステム）
  38. JAL・JTA（委託先アマデウス社のシステム）
  39. トク買（ベネフィット・ワン／セゾン会員向けの優待）
  40. ブシロード「バンドリ！アワーノーツ」（開発委託先への不正アクセス・10/27 発表時点）
  41. So-net・plala（Sコース）（ソニーネットワークコミュニケーションズ）
  42. 楽天トラベル（海外ホテル予約の一部ページ・多言語予約サイト）
  43. ユミルリンク（メール配信「Cuenote FC」）
  44. Joshin（ジョーシン）
  45. お名前.com デスクトップクラウド（GMOインターネット）
  46. アンドエスティHD（ニコアンド・グローバルワークなど）
  47. タイムズカー（パーク24・10/23 第5報時点）
  48. ブラストメール（ラクスライトクラウド）
  49. 佐川急便（お荷物問い合わせサービス）
  50. デジタル庁（Web制作サービス「Studio」への不正アクセス）
  51. カプコン（CAPCOM ID）
  52. カーセンサー（リクルート）
  53. ふるさとチョイス（トラストバンク・11/5 第5報時点）
  54. 岩井コスモ証券（委託先への不正アクセス・不正な売買注文）
  55. H2O ID（阪急阪神百貨店など）
  56. ニフティ（回線申込の管理システム）
  57. 防災メール配信システム「SpeeCAN RAIDEN」（アルカディア）
  58. ソフトバンク（My SoftBankなどのWeb版を停止）
  59. スクウェア・エニックス アカウント（不正ログイン）
  60. コミックシーモア（NTTソルマーレ）
  61. ヤマト運輸（クロネコ代金後払いサービス）
  62. ファンケル・アテニア（通販サイト）
  63. 日本経済新聞社
  64. ショップサーブ（Eストアー・10/16 最終報時点）
  65. ソースネクスト
  66. バーガーキング公式アプリ（ビーケー・ジャパン・10/15 発表時点）
  67. バイトル・バイトルNEXT（ディップ）
  68. 焼肉きんぐ公式アプリ（物語コーポレーション・10/20 発表時点）
  69. infoQ（GMOリサーチ＆AI）
  70. GETTIIS（ゲッティーズ・リンクステーション・10/20 第2報時点）
  71. 偽のお詫びメール・SMSに注意

この記事の結論

どのサービスの漏えいでも、利用者がやることはほぼ同じです。

  • 同じパスワードを使い回しているなら、ほかのサービスのパスワードを変える。漏れたメールアドレスとパスワードで、別のサービスへのログインを試されることがあります。変える順番は「「パスワードが流出したかも」と思ったら」でまとめています
  • 会社を名乗るメール・SMS・電話のリンクは開かない。漏えいのあとは、お詫びや返金をよそおった偽の連絡が増えます。確認は、公式アプリかブックマークした公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）
  • 二段階認証やパスキーをオンにする。パスワードが漏れても、それだけではログインされにくくなります

カード番号を保持していないと発表している会社も多いですが、念のため、カードの利用明細に身に覚えのない請求がないかも確認しておくと安心です。

2026年10月に発表された主な情報漏えい（一覧）

個人情報保護委員会が10月28日に公表した資料によると、2026年4月1日から10月16日までに、不正アクセスで漏えいなどがあった人は延べ約2億6,000万人です（委員会に直接届いた報告の速報値で、委託先と委託元の両方が報告して重複している場合があります。金融業・電気通信業など、ほかの省庁を経由した報告は含まれません）。出典：個人情報保護委員会（参考資料2・PDF）

印：🔑PW＝パスワード類が対象（暗号化・ハッシュ化を含む）／💳カード＝カード情報の一部が対象。内訳は各社の節で。

10月下旬（21〜31日）・11月の発表 60件
会社・サービス発表日件数
ニトリホールディングス（ニトリネットほか）11/9最大 3,762万件の可能性
セガ（アララ経由・メールマガジン）11/9メールアドレス 2,196,044件（付随する情報を含むもの 92,273件）
teket（電子チケット販売・管理サービス）11/8（第一報）精査中（全会員の氏名・メールアドレスが対象）
ラクスル（ネット印刷・データ入稿システム）11/9集計中（件数は未確定）
ステップゴルフ（インドアゴルフスクール・業務システム／予約システム）11/7（第一報）最大21.5万件（データベース上の登録件数。対象人数ではない）
パ・リーグ5球団（日本ハム・楽天・西武・ロッテ・ソフトバンク）11/65球団合計 13,711件（メール配信サービス経由）＋ロッテ公式サイト メールアドレス11,875件・ニックネーム37,070件
JNSA（情報セキュリティ理解度チェックサービス） 🔑PW11/6（第一報）最大 15,128件
ロート製薬（通販の顧客管理システム・電話システム） 💳カード11/62,797,545人（うち通話音声にカード番号・有効期限を含む 9,715人）
宝くじ公式サイト・公式アプリ（全国都道府県及び全指定都市）11/6一部のお客さま（人数は公表なし）
ドコモ（My docomo・ドコモオンラインショップ）11/6（第三報）最大 約30万件（口座情報は一部のお客さま）
ApplyNow（採用管理サービス「Interview Cloud」「ApplyNow」「ApplyNow Sign」）11/4（最終報）396,920人（一部にマイナンバー・口座情報を含む）
モスフードサービス（アララ経由・モス WEB 会員）11/47,517,087件
ワークマン（アララ経由・メールマガジン会員）11/4最大約145万件
IIJmio（IIJ・アララ経由）11/4983,458件
AIRDO（エア・ドゥ・外部のメール配信システム／アララ経由と報道）11/4メールアドレス 最大673,920件
ソラシドエア（外部メールシステム／アララ経由と報道）11/4メールアドレス 約490,000件
ビックカメラ・コジマ・ソフマップ（アララ経由・メルマガ登録）11/2グループ合計 約1,490万件
7NOW（セブン-イレブン・委託先CBcloud「ピックゴー」）11/3169,151件
アソビュー（アララ経由・メール配信）11/315,821,184件
大阪市 行政オンラインシステム（アララ経由）11/4（第2報）確認中（メールアドレスのみ）
デニーズアプリ（デニーズジャパン）11/3（第一報）調査中（人数は未確定）
サントリーHD（外部クラウドサービス）11/2約10万人（大半は社員・取引先、一般の顧客は約7千人）
ノジマ（ノジマオンライン・中古スマホ買取サイト） 🔑PW11/2約700万件
アットコスメ（@cosme共通ID）11/2約300万人
クラブツーリズム（インターネット会員）10/31（第1信）約432万件の可能性
NTTデータ「STdirectServices」（委託先SaaS）10/31近鉄GHD社債購入者 2,678人分の可能性ほか
RAGTAG（ワールド子会社ティンパンアレイ）10/30延べ約120万件の可能性
外務省10/30約3,600件の可能性
松屋（公式アプリ管理システム） 🔑PW10/30約238万件
無印良品「MUJIアプリ」・MUJI Card11/9（第4報）最大 約2,726万件＋MUJI Card 約109万件の可能性（11/9 ネットストアの再開を延期。リスト型攻撃 約27万件、代金引換の受取先 約44万件を追加）
skyticket 💳カード10/30（第3報）口座 32,341件・カード一部 約93.6万件ほか
ヤクルト本社 🔑PW10/30（第2報）約4万件
アイリスプラザ（アイリスオーヤマ公式通販）11/5（第2報）約770万人分の可能性（会員 約580万人・非会員 約190万人）
ツイキャス 💳カード10/29（第2報）7件（ログは調査中）
アララ メッセージ・Payどん11/6（第3報）メールアドレス 81,329,467件（約8,100万件・区分間の重複を除く・精査中・アララ）
ライフカード（Cuenote FC） 💳カード10/28339,610契約
グッドスマイルカンパニー 💳カード10/29（第3報）カード 2,800名・注文 7,673名ほか
ANA（アマデウス社）10/29調査中
トク買10/2829,465人
花キューピット 🔑PW10/284,238,242件
ソニー生命10/28約38.5万件
JAL・JTA（アマデウス社）10/28約92,000名
ブシロード「バンドリ！アワーノーツ」（開発委託先）10/27CBT応募者 10,194名・サポート問い合わせ者 3,034名ほか
So-net・plala（Sコース） 🔑PW10/27約258万件
楽天トラベル 💳カード10/26最大 約260万件ほか
ユミルリンク（Cuenote FC）10/26（第二報）延べ51,628,280件
Joshin 🔑PW10/26（第2報）最大 約600万件の可能性
お名前.com デスクトップクラウド 🔑PW10/24（第4報）サーバー 26,739件
アンドエスティHD10/23約250万件の可能性
PFUダイレクト本店10/23（第2報）78,873件
タイムズカー 🔑PW 💳カード10/23（第5報）6,628,007件ほか（本人確認書類の画像 2,356,402件）
ブラストメール10/21（第2報）全契約者
佐川急便10/23（第5報）最大 約5,323万件
デジタル庁（Studio経由）10/22最大13,323件ほか
カプコン（CAPCOM ID）10/2211,774,247件
カーセンサー10/21最大3,709,551件
ニフティ（回線申込）10/21（第2報）最大18,000件の可能性
SpeeCAN RAIDEN10/21（第17報）最大 約313万6千件ほか
ソフトバンク（My SoftBank等）10/22流出の発表なし
コミックシーモア 🔑PW10/21（第4報）319件・ログ最大 約420万件
10月中旬（11〜20日）の発表 11件
会社・サービス発表日件数
GETTIIS 🔑PW 💳カード10/20（第2報）317,971件ほか
ふるさとチョイス 🔑PW10/20（11/5 第5報：Web版の寄附受付を11/6から再開）4,454,097件
岩井コスモ証券10/20（第2報）4,975人
H2O ID10/19約126万件
スクウェア・エニックス10/19不正ログイン（非公表）
ヤマト運輸10/16（第4報）約526万件ほか
ファンケル・アテニア 🔑PW10/16834,947件
日本経済新聞社10/16約183万件
ショップサーブ（Eストアー） 🔑PW 💳カード10/16（最終報）約2,335万6千人（対象店舗7,858）
ソースネクスト 🔑PW10/1522,519,960件の可能性
バーガーキング公式アプリ10/15約1,118万件
10月上旬（1〜10日）の発表 3件
会社・サービス発表日件数
バイトル10/9最大3,885,771件
焼肉きんぐ公式アプリ10/510,788,963件
infoQ 🔑PW10/5最大948,498件

※発表日は、表の内容を確認した公式発表の日付です。くわしくは各社の節と出典をご確認ください。

ニトリホールディングス（ニトリネットほか・システムへの不正アクセス・11/9 発表時点）

この件の詳しい記事：ニトリの不正アクセス 最大3,762万件の個人情報が流出した可能性｜対象と項目、やること、偽の連絡への備え（11月9日 発表時点）

何があったか ニトリホールディングスは11月9日、同社が管理するシステムに第三者による不正アクセスがあり、サーバー上に保有する個人情報が外部に流出した可能性があると発表しました（11月9日の発表時点。公式のお知らせに第何報という表記はなく、新たに公表すべき事項が判明すれば速やかに知らせるとしています）。11月6日に不正アクセスが判明し、すぐにアクセスを遮断して、外部専門機関と連携して影響範囲の調査を始めました。その後の調査で、11月6日より前にも第三者による不正アクセスが行われた可能性（10月中旬から下旬）を確認していて、詳しい経緯は調査中です。

  • 件数：最大 3,762万件が外部に流出した可能性があります。影響範囲と件数は、ログの解析とデータの照合を続けていて、今後の調査で変わる可能性があるとしています
  • 対象：ニトリグループの個人会員、ニトリグループでの商品の購入者、法人会員、ニトリネットと、ECモールのニトリ公式ショップを通じて注文した人の注文データです。情報の組み合わせは、お客様ごとに異なります
  • 流出した可能性のある情報：個人会員と購入者は、会員番号、氏名（フリガナを含む）、メールアドレス、住所、電話番号、生年月日、性別。法人会員は、会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号です。ほかに、ニトリネットとECモールのニトリ公式ショップでの注文データが対象です
  • 含まれないもの：ログインパスワードとクレジットカード情報は、流出した可能性のある情報に含まれていないとしています
  • 会社の対応：攻撃者からのアクセスの遮断を続け、脆弱な箇所への対応と監視体制の強化を完了したとしています。外部専門機関と連携し、原因、侵入経路、影響範囲、二次被害の有無を調査中です。個人情報保護委員会と警察などの関係機関への報告・相談を進めています
  • 対象の人への連絡：対象のお客様には、メールまたは郵送で順次連絡するとしています
  • 利用者がやること：流出した可能性のある個人情報が、なりすましメール、フィッシング詐欺、不審な電話などに悪用される可能性があるため、ニトリや配送事業者、ECモールなどを装った連絡に注意し、身に覚えのないリンクや添付ファイルは開かないようにします。会社が、メールや電話でパスワード、クレジットカード番号、暗証番号などをたずねることはないとしています。不審な連絡を受けたら、記載された連絡先には返信せず、公式サイトに載っている問い合わせ窓口へ連絡します（「宅配の不在通知SMSが来たら」）
  • 問い合わせ先：ニトリホールディングス お客様相談室 0120-209-993（平日・土日祝 10:00〜20:00）。お問い合わせフォームもあります。 https://www.nitori-net.jp/ec/input-inquiry?inquiryRecordCode=04000000
  • 出典：ニトリホールディングス（公式・11月9日・PDF）

teket（電子チケット販売・管理サービス・11/8 第一報時点）

何があったか 株式会社teketは11月8日、同社が提供する電子チケット販売・管理サービス「teket」に第三者からの不正アクセスがあり、同社が預かっているお客さまの情報の一部が外部に流出したことを確認したと発表しました（第一報時点）。11月5日にサーバーへ外部から不正なアクセスがあった可能性が高いと判断して、同日20時30分にサービスを停止し、11月6日に、会員情報などを管理するシステムへの不正アクセスと、保管していたお客さま情報の一部の流出を確認したとしています。なお、この発表の本文には、NTTドコモとの関係は書かれていません（ITmediaは「ドコモ傘下」と報じています）。11/4〜11/6に発表されたドコモの「My docomo」「ドコモオンラインショップ」の件（ドコモ）とは、別の発表です。

  • 件数：対象件数は精査中です
  • 流出した情報：すべての会員は氏名とメールアドレス。登録・購入した会員のみ、生年月日、年齢、性別、住所、電話番号、チケット情報（チケットの発券用コード、主催者が発行したシリアルコード）です
  • 二次被害：不正ログインや、流出した情報の悪用などの二次被害は、現時点で確認していないとしています。新たな不正アクセスや被害の拡大も、現時点で確認していないとしています
  • サービスへの影響：「teket」のすべてのサービスを停止しています。再開の時期は精査中で、決まり次第、コーポレートサイトと公式SNSで知らせるとしています。停止中は、購入済みのチケット（QRチケット）を表示できません。公演に行くときは、チケット購入時に届いた「購入完了メール」を受付で見せるか、メールがない場合は、購入した人の名前を受付に伝えます（入場の方法は、公演ごとに主催者から案内がある場合があります）
  • 会社の対応：不正アクセスの遮断、原因と影響範囲の調査、セキュリティ対策を行っています。11月6日に個人情報保護委員会へ報告しました。流出が確認されたお客さまには、対象範囲を特定したうえで、順次案内するとしています
  • 利用者がやること：「teket」を装ったメール・SMS・電話が届くかもしれないため、心当たりのないメールなどのリンクや添付ファイルは開かないようにします。会社が、メール・SMS・電話でパスワードやクレジットカード情報を聞くことはないとしています。公式は、パスワードやカード情報の流出を挙げていません（ログインに使うパスワードは、流出した項目に書かれていません）。ほかのサービスと同じメールアドレスとパスワードの組み合わせを使っているなら、念のため見直しておきます（「「パスワードが流出したかも」と思ったら」。これは公式の案内ではなく、ねこぴんからの備えです）
  • 問い合わせ先：専用窓口のお問い合わせフォームです（返信は順次で、集中すると時間がかかります）。 https://help.teket.jp/hc/ja/requests/new?ticket_form_id=64044622832665
  • 出典：teket（公式・11月8日・第一報）

ラクスル（ネット印刷「ラクスル」のデータ入稿システムへの不正アクセス・11/9 発表時点）

何があったか ラクスルは11月9日、同社の印刷サービス「ラクスル」のデータ入稿処理に関わるシステムに第三者による不正アクセスがあり、個人情報が漏えいしたおそれがあると発表しました（11月9日の発表時点。公式の発表に「第◯報」の表記はなく、調査の進み具合に応じて、公式サイトで続報を出すとしています）。11月8日0時20分ごろに確認し、同社システムの認証情報が不正に取得され、保管データの一部に外部からアクセスできる状態だったとしています。

  • 件数：集計中で、未確定です。対象期間も調査中〜11月8日としています
  • 漏えいのおそれがある情報：入稿された印刷データ、および請求書・Web郵便などのデータに記載された、氏名、会社名、住所、電話番号、メールアドレスなど。印刷データには、注文者だけでなく、名刺やはがきなど印刷物に記載された人の情報が含まれる場合があります
  • 漏えいしていないと確認されたもの：クレジットカード情報、ログインID、パスワード
  • 原因：認証情報が不正に取得されたとしていますが、取得の経路などの原因は調査中です
  • 会社の対応：不正に使われた認証情報の無効化とアカウントの停止、関係サービスの一時停止、原因と影響範囲の調査を行いました。個人情報保護委員会へは報告の予定です
  • サービスへの影響：11月8日から、データ入稿を伴う一部のサービスを停止し、11月9日7時から順次再開しています。ラクスル パッケージ、ラクスル Adobe Express連携、デザイン制作依頼サービス、カタログサイトは、引き続き停止中です。データチェックや出荷に通常より時間がかかる場合があります
  • 二次被害：現時点で、本件に関連する個人情報の不正利用などの二次被害は確認されていないとしています
  • 利用者がやること：ラクスルや関係事業者を装った不審なメール・SMS・電話に注意し、そこに書かれたURLにアクセスしたり、認証情報を入力したりしないようにします。公式は、お客様自身の手続きによらずに、メールやSMSでパスワードやクレジットカード番号の入力を求めることはないとしています。印刷物に名前や住所が載る人（名刺・はがきの宛先など）の情報も含まれる場合があるため、自分が注文していなくても、心当たりのない連絡には同じように対応します（「宅配の不在通知SMSが来たら」）
  • 問い合わせ先：ラクスルの「個人情報保護相談窓口」です。お問い合わせフォームで「個人情報保護相談窓口」を選んで送信します（24時間受付、回答は平日10:00〜18:00に順次）。 https://corp.raksul.com/contact/
  • 出典：ラクスル「当社システムへの不正アクセスによる個人情報漏えいのおそれについて」（11月9日）

ステップゴルフ（インドアゴルフスクール・業務システムと予約システムへの不正アクセス・11/7 第一報時点）

この件の詳しい記事：ステップゴルフの不正アクセス 最大21.5万件の個人情報が漏えいのおそれ｜口座情報は暗号化なし、やることと偽の連絡への備え（11月7日 第一報時点）

何があったか ステップゴルフ株式会社は11月7日、同社の業務システムと予約システムに第三者による不正アクセスがあり、個人情報が漏えいしたおそれがあると発表しました（第一報時点。続報は11月10日を目途に掲載予定としています）。11月5日にシステムの異常な処理を検知して不正アクセスが分かり、過去のアクセス記録の調査で、10月23日と25日にも不正アクセスがあり、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いと確認したとしています。

  • 件数：対象となり得るデータは最大21.5万件です。これはデータベース上の登録件数で、対象の人数ではありません。実際の漏えい件数と対象の範囲は調査中です。対象は、無料体験に申し込んだ人と、現在・過去の会員です。含まれる情報の種類は、人によって異なります
  • 漏えいのおそれがある情報：氏名、住所、生年月日、電話番号、メールアドレス。口座振替の情報（金融機関名、支店名、口座番号、口座名義など）。利用情報（契約状況、予約履歴、購入履歴、レッスンカルテ、顔写真、要配慮個人情報など）です
  • 口座情報の保管：公式は、銀行口座情報は暗号化されていない状態で保管されていたとしています
  • 含まれないもの：クレジットカード情報と本人確認書類は、このシステムで保有していないため、本件による影響はないとしています
  • 会社の対応：個人情報保護委員会へ報告し、警察に相談しています。アクセス元の遮断と認証情報の変更などの緊急対策を実施し、外部のセキュリティ専門機関に原因と影響範囲の調査を依頼しています。予約システムとレッスンは、通常どおり利用できます。専用の問い合わせ窓口（電話・Web）は設置準備中で、準備が整い次第、公式サイトで案内するとしています。対象の人には、準備が整い次第、メール等で個別に連絡するとしています
  • 二次被害：現時点で、本件に起因する具体的な二次被害は確認されていないとしています
  • 利用者がやること：ステップゴルフや金融機関を装った不審なメール・SMS・電話に十分注意し、心当たりのないURLや添付ファイルは開かず、暗証番号・パスワードなどは入力しません。念のため、銀行口座に身に覚えのない引き落としがないか、口座の利用明細を確認します。公式は、口座番号と名義だけでは預金を引き出すことはできないとしつつ、口座情報を悪用した詐欺に注意するよう呼びかけています（「宅配の不在通知SMSが来たら」）。店頭では詳細な問い合わせに対応できないため、店舗への問い合わせは控えるよう求めています
  • 出典：ステップゴルフ（公式・11月7日・第一報）

パ・リーグ5球団（メールアドレス等の流出・11/6 発表時点）

何があったか パシフィックリーグマーケティング（PLM）とパ・リーグ6球団は11月6日、不正アクセスによるお客様メールアドレス等の流出を発表しました。1つ目は、日本ハム・楽天・西武・ロッテ・ソフトバンクの5球団がメール配信に使っていたメール配信サービス「アララメッセージ」が第三者から不正アクセスを受け、アララ社からメールアドレスが外部に流出したと報告を受けたものです（アララの件）。2つ目は、球団公式サイトの一部が不正アクセスを受け、千葉ロッテマリーンズのお客様のメールアドレスとニックネームが流出したものです。オリックスはアララ社のサービスを使っておらず、①の対象はありません。

  • 件数（①アララ経由）：5球団で合計 13,711件のメールアドレスです。内訳は、北海道日本ハム（速報メルマガ）3,575件、東北楽天（試合速報メルマガ）1,165件、埼玉西武（試合速報メルマガ）2,693件、千葉ロッテ（試合速報メルマガ）2,618件、福岡ソフトバンク（試合速報メール）3,660件。球団公式サイトの有料会員で、対象サービスのメール配信を希望し、かつ球団が2026年7月1日以降に対象サービスからメールを配信したアドレスが対象です
  • 件数（②千葉ロッテ公式サイト）：公式スマートフォンサイトの有料会員登録者（退会者を含む）のメールアドレス 11,875件、登録ニックネーム 37,070件です
  • 漏えいした項目：メールアドレスとニックネームのみです。氏名やクレジットカードなどの決済情報の流出はなく、各球団のファンクラブ会員情報は本件の対象外としています。流出した情報の悪用による二次被害は、現時点で確認していないとしています
  • 経緯：10月28日にアララ社から不正アクセスの一報があり（このときは6球団のお客様の情報漏えいは確認されていないとの報告）、11月2日にパ・リーグ球団のメールアドレス流出の報告、11月5日に5球団13,711件との報告を受けました。千葉ロッテは11月4日に公式サイトの管理システムに身に覚えのないページを確認し、調査の結果、10月30日に第三者の不正アクセスでファイルがダウンロードされていたことが分かりました
  • 現在の対応：5球団はアララ社のメール配信サービスの利用を停止しており、アララ社の安全性が確認できるまで再開しないとしています。千葉ロッテの球団公式サイトは緊急メンテナンス中で、外部の専門調査機関と脆弱性への対応を進めています。復旧の目途は立っていません。関係当局へも報告するとしています
  • 利用者がやること：公式の案内は、不審なメールや心当たりのないメールを受信した場合に、本文のURLをクリックしない、添付ファイルをダウンロードしない、個人情報を入力しない、というものです。球団やチケット・グッズの販売を名乗るメールが届いても、メールのリンクからではなく、自分で開いた公式サイト・公式アプリで確かめます（ねこぴんからの一般的な注意です。「宅配の不在通知SMSが来たら」）。パスワードは流出した項目に挙がっていません
  • 問い合わせ先：千葉ロッテマリーンズ info@marines.co.jp／0120-510-808。ほかの球団の窓口は、公式の発表文に載っています。連絡先は、メールやSMSに書かれたものではなく、公式の発表文で確かめてから使います
  • 出典：PLM・パ・リーグ6球団「不正アクセスによるお客様メールアドレス等流出のお詫びとお知らせ」（2026年11月6日・PDF）

JNSA（情報セキュリティ理解度チェックサービス・11/6 第一報時点）

何があったか 日本ネットワークセキュリティ協会（JNSA）は11月6日、同協会が運営する「情報セキュリティ理解度チェックサービス」が第三者による不正アクセスを受け、利用者の個人情報が漏えいした可能性があると発表しました（第一報）。不正アクセスは11月4日に確認し、10月30日夜頃から行われた可能性があるとしています。

  • 件数：対象者は最大 15,128件と見込まれています。調査を続けていて、対象件数や影響範囲は変わる可能性があります
  • 漏えいした可能性がある項目：管理者の氏名・企業名・メールアドレス、組織所在地・従業員数・業種、利用ユーザ数、利用者のID／パスワード（パスワードはハッシュ化されています）です。対象は、管理者として登録された方と利用ユーザです
  • 現在の対応：被害拡大を防ぐため対象サービスを停止し、外部の専門事業者と原因と影響範囲を調べています。詳しい侵入経路は調査中です。漏えいの可能性が確認された方には、対象者の特定が終わり次第、個別に連絡するとしています。11月6日に個人情報保護委員会へ報告する予定としています
  • 利用者がやること：公式の案内は、JNSAや関係機関を装ったなりすましメールが送られる可能性があるので、不審なメールのリンクや添付ファイルを開かず、送信元をよく確かめることです。JNSAがメール本文でURLを示してIDやパスワードの入力・変更を求めることはない、とも書かれています。あわせて、このサービスのパスワードを別のサービスでも使い回している場合は、そちらを変えておくと安心です（ねこぴんからの一般的な備えです。「「パスワードが流出したかも」と思ったら」）
  • 問い合わせ先：JNSA sec@jnsa.org
  • 出典：JNSA「不正アクセスによる「情報セキュリティ理解度チェックサービス」からの利用者個人情報漏えいの恐れに関するお知らせ（第一報）」（2026年11月6日・PDF）

ロート製薬（通販の顧客管理システム・電話システム・11/6 発表時点）

この件の詳しい記事：ロート製薬の通販で個人データ 2,797,545人分が漏えい｜カード明細の確認と偽の電話・SMSの見分け方

何があったか ロート製薬は11月6日、通信販売のお客様対応に使う電話システムと顧客管理システムに第三者による不正アクセスがあり、お客様の個人データが漏えいしたと発表しました。9月10日に電話システムのサービス事業者から不審なアクセスの報告を受け、9月11日と15日にウェブサイトで調査状況を公表していました。外部の専門機関による電話システムの調査は10月16日に完了しています。

  • 件数：顧客管理システムの情報で漏えい等の対象になったお客様は 2,797,545人です。電話システムの通話音声データのうち、クレジットカード番号と有効期限が含まれるものの対象は 9,715人です
  • 漏えいした項目：顧客管理システムは氏名・住所・電話番号（対象の方やデータにより項目は異なります）。電話システムは通話音声データ（商品の問い合わせ、注文内容など通信販売に関する通話）で、2025年9月10日から2026年9月5日までの通販の通話に関するものです（対象期間は公式の本文では3つに分かれています）
  • 漏れていないもの：クレジットカードのセキュリティコードとパスワード等の認証情報は、お伺いしておらず取得・保存していないため、含まれないとしています。本件に起因すると考えられる個人情報を用いた不正利用などの二次被害は、現時点で確認していないとしています
  • 会社の対応：9月14日に警察へ被害を申告し、9月15日に個人情報保護委員会へ報告しました。対象の方には順次、郵送またはメール等で個別に案内しています。電話口でのカード番号の聴取を停止し、書面での支払い手続きに変えました。カード情報の対象の方については、カードの再発行にかかる費用をお客様が負担しないよう、ロート製薬からカード会社に依頼しています
  • 利用者がやること：カード情報の対象として個別に連絡を受けた方は、2026年9月以降のカード利用明細に身に覚えのない請求がないか確認し、あれば、カード裏面のカード会社へ問い合わせます。不審な電話・メール・SMS・郵便物が届く可能性があり、個人情報・暗証番号・パスワード等の入力や提供を求める連絡には応じない、記載の電話番号への連絡・URLへのアクセス・添付ファイルの開封・情報の入力はしない、とされています。ロート製薬を名乗る連絡は、公式サイトで確かめた窓口で確認します（「宅配の不在通知SMSが来たら」）
  • 問い合わせ先：ロート製薬 お問い合わせ専用ダイヤル 0120-610-654（9:00〜18:00・土日祝を含む）、専用お問い合わせフォームです。電話番号やリンクは、メールやSMSに書かれたものではなく、公式サイトのお知らせで確かめてから使います
  • 出典：ロート製薬「不正アクセスによるお客様の個人データ漏えいに関するお詫びとお知らせ」（2026年11月6日）

宝くじ公式サイト・公式アプリ（不正ログイン・11/6 発表時点）

何があったか 全国都道府県及び全指定都市は11月6日、宝くじ公式サイトで、お客さまのパスワードが意図せず変更される事象を確認したため、公式サイトと公式アプリの利用を一時的に停止していると案内しました。調査の結果、一部のお客さまについて第三者による不正ログインがあり、パスワードが意図せず変更されたことに加え、その第三者に会員情報が閲覧された可能性があるとしています。

  • 件数：人数は公表されていません（「一部のお客さま」）
  • 現時点で確認していないこと：サーバーやデータベースへの侵入の形跡はなく、会員データの流出も確認されていないとしています
  • 原因の見立て：外部で入手されたメールアドレスとパスワードの一覧を使った不正ログインの可能性があり、調査を続けているとしています
  • 現在の状況：公式サイトと公式アプリは一時停止中で、復旧の時期は未定です。宝くじ売場は通常どおり営業しています。「継続購入キャンペーン」は、サイト停止中のため申し込めません
  • 利用者がやること：公式サイトまたは公式アプリと同じID・パスワードをほかのサービスでも使っている場合は、パスワードを変更します。不審なメールやサイトには注意し、ID・パスワードなどを入力しないでください（「「パスワードが流出したかも」と思ったら」）
  • 問い合わせ先：宝くじコールセンター 0570-01-1192（ナビダイヤル・有料）／011-330-0777（有料）、いずれもガイダンス【1】。10:30〜18:30（土日祝・年末年始を除く。11月7日・8日は10:00〜17:00で営業）。電話番号は、メールやSMSに書かれたものではなく、公式サイトで確かめてから使います
  • 出典：宝くじ公式サイト「宝くじ公式サイトおよび公式アプリの一時停止について」（2026年11月6日）

ドコモ（My docomo・ドコモオンラインショップ・11/6 第三報時点）

何があったか NTTドコモは11月5日、ドコモオンラインショップとMy docomoに外部から不正なアクセスがあり、緊急メンテナンス以前の不正アクセスにより、一部のお客さま情報が流出したことを確認したと発表しました。11月6日の第三報（午後6時00分時点）で、流出したお客さま情報の項目を公表しています。11月4日（水）に不正なアクセスを確認し、11月5日（木）午前1時5分頃から、両サービスの各種お手続きを停止しています。

  • 件数：最大 約30万件
  • 流出したお客さま情報（すべてのお客さま）：氏名・生年月日・年齢等／住所・連絡先電話番号・メールアドレス等の連絡先等／本人確認書類の番号／携帯電話番号・契約開始年月日等の契約情報／料金プラン・オプション・割引等のご契約内容
  • 流出したお客さま情報（一部のお客さま）：法定代理人・手続代理人の氏名、連絡先／勤務先・法人の名称、所在地等／金融機関名、支店名、口座番号、口座名義等／子育て応援プログラムに関する情報
  • 書かれていないこと：クレジットカード番号やパスワードが含まれるかどうかは、第三報には書かれていません（「流出していない」とも書かれていません）
  • 現在の状況：原因は「外部からの不正アクセス」とされています。一切のアクセスを遮断しており、新たな情報流出は確認されていないとしています。緊急メンテナンスは続いていて、復旧の見込みは未定です。原因の侵入経路や、流出した範囲・件数は引き続き調査中です。第二報（11月5日 午後6時30分時点）では「氏名、住所、生年月日、携帯電話番号、連絡先電話番号など」とされていました
  • 5G SAの通信障害とは別の件：同じ11月5日に起きたドコモの通信障害（5G SA）について、ドコモは第六報（11月5日17時時点）で、不正アクセスやサイバー攻撃の形跡は確認されていないとしています。この記事の件とは別の発表です
  • 利用者がやること：流出した情報を悪用して、ドコモや関係者を装った不審なメール、SMS、電話が届く可能性があるとして、ドコモは次の注意を呼びかけています。本文に書かれたURLにアクセスしない、添付ファイルを開かない、個人情報・パスワード・クレジットカード情報を入力・回答しない。口座や本人確認書類について聞かれても答えない（口座情報や本人確認書類の番号が流出した項目に挙がっているため、ねこぴんからの注意です。「宅配の不在通知SMSが来たら」）。あわせて、念のため、dアカウントのパスワードと2段階認証の設定を、自分で開いた公式の画面から確かめておくと安心です（ドコモの案内にある項目ではなく、ねこぴんからの一般的な備えです）
  • 問い合わせ窓口：特設ダイヤル 0120-451-360（受付 午前9時〜午後8時）。ほかに、第二報（11月5日）に載っていた ドコモ インフォメーションセンター（ドコモ携帯電話からは 151、一般電話などからは 0120-800-000、受付 午前9時〜午後8時・年中無休。第三報には書かれていません）。電話番号は、メールやSMSに書かれたものではなく、公式サイトのお知らせで確かめてからかけます
  • この件の詳しい記事：ドコモ（My docomo・ドコモオンラインショップ）で最大約30万件の情報流出｜やることと偽SMSの見分け方
  • 出典：NTTドコモ「【お詫び】ドコモオンラインショップ、My docomoの緊急メンテナンス実施について／当社サーバーへの不正アクセスによるお客さま情報流出に関するお知らせ（第三報）」（11月6日）・同（第二報）（11月5日）

ApplyNow（採用管理サービス「Interview Cloud」「ApplyNow」「ApplyNow Sign」・11/4 最終報時点）

何があったか 採用管理サービスを提供する株式会社ApplyNowは11月4日、「Interview Cloud」「ApplyNow」「ApplyNow Sign」への不正アクセスと個人情報の漏えいについて、外部の専門機関による調査結果と再発防止策を、最終報として発表しました（9月9日に公表、10月9日に更新したものの続きです）。社内で使っていたデータ分析ツールの、提供元が公表していた脆弱性を悪用され、8月9日に侵入、9月7日にデータベースが一括で取得されたとしています。

  • 件数（最終報）：応募者・契約者・企業ユーザーあわせて 396,920人。このうち「ApplyNow Sign」で雇用契約を結んだ方は 30,067人です
  • 漏えいした項目（Interview Cloud）：応募者は氏名、フリガナ、電話番号、メールアドレス。一部の方は、選考に関する情報（応募日、面接日等）、生年月日、性別、職業も含まれます。企業ユーザーは氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限です
  • 漏えいした項目（ApplyNow）：氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限です
  • 漏えいした項目（ApplyNow Sign）：契約者は氏名、フリガナ、電話番号、メールアドレス。一部の方は、生年月日、性別、住所、個人番号（マイナンバー）、金融機関名・口座情報、基礎年金番号、在留カード番号、雇用保険被保険者番号、扶養控除に関する情報も含まれます。企業ユーザーは氏名、メールアドレス、パスワード（ハッシュ化して保存）、権限です
  • 含まれないもの：個人番号は番号のみで、本人確認書類の画像は含まれません。クレジットカード情報は同社が保有しておらず対象外です。面接動画や画像・PDF等のファイルは、データベースとは別の場所に保管していて対象外としています
  • 二次被害：同社が把握している範囲では、不正利用などの二次被害は確認されておらず、個人番号を悪用した不正な手続き等の申告もないとしています
  • 自分が対象か：9月19日から、対象の方にメール等で個別に通知しています。本人からのデータ削除の依頼にも順次対応しているとしています
  • 会社の対応：侵入経路の遮断、不正なアカウントやAPIキーの無効化、全ユーザーの管理画面パスワードの強制リセット、データ分析ツールの更新と接続元の制限などを行いました。11月4日に個人情報保護委員会へ確報を提出しています
  • 利用者がやること：同社や応募先の企業を装った不審なメール・電話・SMSに注意します。同社から口座情報、パスワード、個人番号をたずねることはないとしています。マイナンバーや口座情報が含まれる方には個別の案内が届くので、公式の案内を確かめます。心当たりのない連絡のURLは開かず、IDやパスワード、カード情報を入力しないようにします（「宅配の不在通知SMSが来たら」）
  • 問い合わせ窓口：電話 0120-401-373（平日10:00〜18:00、土日祝を除く、2026年11月30日（月）まで）、メール support_biz@applynow.co.jp。12月1日以降はメールのみの受付です。特設ページは ApplyNow サポートページ です。電話番号は、メールやSMSに書かれたものではなく、公式サイトのお知らせで確かめてからかけます
  • 出典：ApplyNow「不正アクセスによる個人情報漏えいに関する調査結果および再発防止策のご報告（最終報）」（11月4日）／ApplyNow（第1報・9月9日、10月9日更新）

ビックカメラ・コジマ・ソフマップ（アララ メッセージ経由・メルマガ登録・11/2 発表時点）

この件の詳しい記事：ビックカメラ・コジマ・ソフマップの情報漏えいの可能性（約1,490万件）｜対象か確かめる方法と、今やること

何があったか ビックカメラ・コジマ・ソフマップの3社は11月2日、メール配信などを委託しているアララ株式会社のメール配信システムで不正アクセスが発生し、お客様情報の一部が外部に流出した可能性があると発表しました（11/2 発表時点。「第◯報」の表記はなく、新しい情報が判明したら改めて知らせるとしています）。アララの件はこちらの節にまとめています。

  • 件数：グループ3社の合計で約1,490万件です（各社の内訳は発表されていません）
  • 流出した可能性のある項目：お客様のメールアドレス 等（「等」の中身は発表されていません）
  • 含まれないもの：クレジットカード情報と、各社インターネット通販サイトへのログイン情報は、当該サービスでは取り扱っておらず、本件の対象に含まれないとしています。現時点で、本件に関連した具体的な二次被害は確認されていないとしています
  • 自分が対象か：対象になったお客様には、各社から案内するとしています
  • 会社の対応：本件を把握後、当該サービスへのデータ連携を停止するなど必要な措置を行い、アララ社と連携して影響範囲を確認しています
  • 問い合わせ窓口：ビックカメラ（臨時お問い合わせ窓口・池袋西口店コールセンター）03-5960-1111（10:00〜19:00）／コジマ（コジマダイレクト）0120-39-0007（10:00〜18:00）、ec-support@kojima.net／ソフマップ 0077-78-8686（フリーコール）、050-3032-8686（IP電話・携帯電話から）（10:00〜19:00）。電話番号は、メールやSMSに書かれたものではなく、各社の公式サイトのお知らせで確かめてからかけます
  • 利用者がやること：3社やアララ社をよそおった不審なメール・SMS・電話が届くおそれがあります。心当たりのない連絡のURLは開かずに削除し、IDやパスワード、カード情報を入力しないようにします（「宅配の不在通知SMSが来たら」）
  • 出典：ビックカメラ・コジマ・ソフマップ「業務委託先への不正アクセスによるメールマガジン登録のお客様情報漏えいに関するお詫びとお知らせ」（11月2日）

7NOW（セブン-イレブン・委託先CBcloud「ピックゴー」・11/3 発表時点）

何があったか セブン‐イレブン・ジャパンは11月3日、デリバリーサービス「7NOW」の一部の配達業務を委託しているCBcloud株式会社が運営する「ピックゴー」が第三者による不正アクセスを受け、7NOWを使った人の情報の一部が外部に取得されたと発表しました。11月1日にピックゴーへの不正アクセスがCBcloudの調査で判明し、11月3日に7NOWの利用者の情報も取得されたことがわかったとしています（11/3 発表時点）。

  • 件数：合計169,151件です。内訳は、注文者（届け先）のお名前（カナ）のみが164,180件、お名前（カナ）とご住所が4,762件、お名前（カナ）・ご住所・電話番号・郵便番号が209件です
  • 流出した項目：上の個人情報のほか、一部で注文日、注文店舗名および店舗住所、注文商品名も取得されています
  • 含まれないもの：クレジットカード情報、ID・パスワードなどは漏えいしていないとしています。セブン-イレブンの認証情報や連携設定の流出・書き換えも確認されていません
  • サービスへの影響：7NOWは通常どおり稼働しています。現時点で、本件が原因の不正利用の被害は確認されていないとしています
  • 自分が対象か：対象のお客さまには、登録の電話番号宛にショートメッセージ（SMS）で順次連絡するとしています
  • 会社の対応：CBcloudが不正アクセス元からの通信の遮断、不正に使われたアカウントの停止、悪用された不具合の修正を行い、一部の機能と日本国外からのアクセスを制限しています。個人情報保護委員会へは報告済みです
  • 問い合わせ窓口：7NOWお問い合わせ窓口 0120-711-099（9:00〜21:00）／CBcloudお客様相談窓口（webフォーム）
  • 利用者がやること：連絡を装った偽のメール・SMS・電話が届くおそれがあります。心当たりのない連絡のURLは開かずに削除し、不審な電話には応じません。連絡の真偽は、上の公式窓口の電話番号をセブン-イレブンの公式サイトで確かめてから問い合わせます（「宅配の不在通知SMSが来たら」）
  • 出典：セブン‐イレブン・ジャパン「7NOW の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び」（11月3日）

この件だけを詳しくまとめた記事：7NOW（セブン-イレブン）の情報漏えい（169,151件）｜対象か確かめる方法と、今やること

アソビュー（アララ メッセージ経由・11/3 発表時点）

何があったか レジャー施設のチケットなどをネットで予約できる「アソビュー！」を運営するアソビュー株式会社は11月3日、メール配信に使っているアララ株式会社のメール配信サービス「アララメッセージ」が第三者の不正アクセスを受け、アソビューが預けていた会員の情報の一部が外部に流出したことがわかったと発表しました。アソビューは、自社のシステムではなく、アララのサービスへの不正アクセスが原因だとしています（11/3 発表時点）。アララの件はこちらの節にまとめています。

  • 件数：15,821,184件（アソビューの発表の数字。人数ではなく件数での発表です）
  • 流出した項目：メールアドレス、会員情報（会員ID・会員番号、氏名、性別、生年月日、会員登録日、最終ログイン日 など）、連絡先（電話番号、郵便番号、お住まいの地域）、チケットの購入・利用情報（購入日時、チケットの種類、購入枚数、利用施設名、利用日時、参加人数、キャンセルの有無 など）
  • 含まれないもの：パスワード、クレジットカード情報は、アララのサービスに預けておらず、流出の対象に含まれないとしています。今のところ、流出した情報の悪用による被害は確認されていないとしています
  • 自分が対象か：どのメールアドレスが誰の会員のものかは、まだ特定できていません。アララから情報を受け取ったあと、アソビューが対象の会員に個別に連絡するとしています。それまでは、すべての会員がご注意くださいとしています
  • 会社の対応：11月2日にアララからの報告を受け、同日にアララメッセージを使ったメール配信をすべて止め、サービスの認証情報を無効にしました。個人情報保護委員会などへ速報する予定としています
  • 問い合わせ窓口：お客様（予約者様）向け専用窓口 0120-30-3521（10:00〜19:00、平日・土日祝）
  • 利用者がやること：アソビューをよそおった不審なメール・SMS・電話が届くおそれがあります。パスワードやカード情報の入力を求める連絡は偽物と考え、メール・SMSのURLは開かずに削除し、不審な電話には応じないようにします。返金・キャンセル・当選・本人確認を理由にした連絡にも注意します。URL先でカード情報を入力してしまったときは、すぐカード会社に連絡します（「宅配の不在通知SMSが来たら」）
  • くわしい記事：アソビュー会員情報の流出（15,821,184件）｜対象か確かめる方法と、今やること
  • 出典：アソビュー「委託先メール配信サービスへの不正アクセスに関するお詫びとお知らせ」（11月3日）／アララ（公式・11月2日・PDF）

大阪市 行政オンラインシステム（TKC経由・アララ メッセージ・11/4 第2報時点）

何があったか 大阪市は11月3日13時、「大阪市行政オンラインシステム」の提供事業者の株式会社TKCから、システムが使っているアララのメール配信サービスが第三者の不正アクセスを受け、システムの利用者の情報が漏れた可能性があると報告を受けたと発表しました（第1報）。11月2日にTKCから大阪市へ報告があり、個人情報が流出したかどうかなどを調べているとしています。11月4日14時の第2報では、外部サービス（アララ）の提供事業者による調査で、漏えいの可能性がある情報はメールアドレスのみで、メール本文・マイナンバー・申請情報などは漏れていないと確認されたと発表しました。この調査結果は、11月4日10時ごろにシステム提供事業者（TKC）を通じて大阪市へ報告されたものです（第2報時点）。

  • 件数：大阪市分の件数は公表されていません。利用者のメールアドレスが実際に漏えいしたかどうかも、引き続き確認中としています。なお、システム提供事業者のTKCは11月4日の第3報で、TKCのシステム利用者全体で最大223万812件のメールアドレスが漏えいしたとアララから報告を受けたと公表しています（どの利用者のものかはTKCが調査を継続しており、大阪市分の内数は不明です）
  • 漏えいした可能性がある項目：システムの利用者のメールアドレスのみ（大阪市の第1報には「メールアドレスや氏名等」と書かれていましたが、第2報で、外部サービスの提供事業者の調査によりメールアドレスのみと確認されたと発表されました）
  • システムへの影響：10月31日（土）17時40分ごろからメールが送れない状態です。利用者登録、メールアドレスの変更、パスワードの再設定ができません。メール送信以外の機能は使えます。復旧の見込みは、第1報時点では未定としています
  • 含まれないもの・確認されていないこと：メール本文、マイナンバー、申請情報などは漏えいしていないと確認されています。今回はアララのサービスへの不正アクセスで、大阪市行政オンラインシステムやデータセンターへの不正アクセスは、現時点で確認されていないとしています
  • 注意点：第1報時点で、アララのサービスが不正に使われ、クレジットカード会社をよそおったメールが送られていると発表されています。受け取ったらURLを開かずに削除します
  • 問い合わせ先：大阪市 デジタル統括室DX推進担当 デジタルサービスグループ 06-6208-7665
  • 利用者がやること：心当たりのないメールのURLや添付ファイルは開かず、ID・パスワード・暗証番号・カード情報を入力しません。市民・事業者に特定の対応が必要になったときは、システムの「お知らせ」や大阪市のホームページで知らせるとしています
  • 出典：大阪市（第1報・11月3日）／大阪市（第2報・11月4日）／TKC（第3報・11月4日）

デニーズアプリ（デニーズジャパン・旧アプリから新アプリへの移行処理・11/3 第一報時点）

何があったか デニーズジャパンは11月3日、同社が運営する「デニーズアプリ」で第三者による不正アクセスが発生し、一部の利用者の個人情報が外部に漏えいした可能性があると発表しました（第一報時点）。旧デニーズアプリから新アプリへの移行に関するシステム処理で、第三者が認証情報を不正に作成し、一部の利用者のアカウントにアクセスできる状態になっていたとしています。10月30日に判明しました。

  • 件数：調査中で、人数は確定していません。対象は旧デニーズアプリを使っていた利用者の一部です。個人情報を取得する処理の実行履歴は確認したものの、第三者の操作と利用者本人の操作を区別できておらず、第三者による取得の有無、情報の内容、対象人数は調査中としています。いま確認できているのは10月7日のアクセス記録の調査結果で、ほかの期間も調べています
  • 漏えいした可能性のある項目：デニーズアプリ会員コード、メールアドレス、生年月日、性別、お住まいの都道府県、お気に入り店舗、キッズバースデー（お子さんの誕生日）
  • 含まれないもの：氏名、住所、電話番号、パスワード、クレジットカード情報は、デニーズジャパンが保持していないため、対象に含まれないとしています
  • 自分が対象か：個人情報が漏えいした可能性のある利用者には、対象者を特定でき次第、個別に連絡するとしています
  • 会社の対応：10月30日に不正な認証情報の新規作成を防ぐシステム改修、10月31日に不正な認証情報の無効化と個人情報保護委員会への速報、11月2日に追加で確認した不正な認証情報の無効化を行っています
  • 利用者への影響：対策のため、アプリを起動すると初期画面が表示され、再ログインが必要になる場合があります。パスワードが対象に含まれないため、会社からパスワードの変更の案内は出ていません
  • 問い合わせ窓口：デニーズアプリカスタマーセンターのお問い合わせフォーム（デニーズ公式サイトのお知らせからたどれます）
  • 利用者がやること：デニーズジャパンや関係機関をよそおった不審なメールが届くおそれがあります。身に覚えのないメールのURLは開かず、個人情報を入力しないようにします（「宅配の不在通知SMSが来たら」）。続報は、デニーズの公式サイトのお知らせで知らせるとしています
  • 出典：デニーズジャパン「【重要】デニーズアプリへの不正アクセスに関するお詫びとお知らせ（第一報）」（11月3日・PDF）

ノジマ（ノジマオンライン・中古スマホ買取サイト・11/2 発表時点）

この件の詳しい記事：ノジマオンラインの会員情報漏えい（約700万件）｜対象か確かめる方法と、今やること

何があったか 家電量販店のノジマは11月2日、ECサイト「ノジマオンライン」の会員管理システムが第三者の不正アクセスを受け、登録されている会員情報が外部に漏えいしたと発表しました。11月1日に不正アクセスを検知・確認し、同じ日に個人情報が外部に漏えいしたことを確認したとしています（11/2 発表時点）。

  • 対象のサイト：ノジマオンライン（EC専門サイト）、中古スマホ買取サイト
  • 件数：約700万件（退会した人は含まれないとしています）
  • 漏えいした項目：氏名（漢字・カナ）、生年月日、性別、郵便番号、住所、電話番号、ログインID、暗号化されたパスワード、メールアドレス
  • 含まれないもの：決済情報を持たない仕組みにしているため、2つのサイトではクレジットカード情報を保持していないとしています
  • 会社の対応：外部からのアクセスの遮断と監視の強化、警察への相談、個人情報保護委員会などへの報告の準備（速やかに提出予定）、2つのサイトの一時休止をしているとしています。再開の時期は、安全が確認できたらサイトで知らせるとしています。不正利用や二次被害は調査中です
  • 問い合わせ窓口：ノジマカスタマーセンター 0120-574-853（9:30〜19:00）
  • 利用者がやること：パスワードは暗号化されていたとしていますが、ノジマオンラインと同じパスワードをほかのサービスで使い回しているなら、そちらを先に変えます（「「パスワードが流出したかも」と思ったら」）。名前・住所・電話番号が書かれた、ノジマを名乗るメール・SMS・電話のリンクや添付ファイルは開かず、確認は公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）
  • 出典：ノジマ「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（11月2日・PDF）

サントリーHD（外部クラウドサービスへの不正アクセス・11/2 発表時点）

何があったか サントリーホールディングスは11月2日、サントリーグループが使っている外部のクラウドサービスに第三者の不正アクセスがあり、ダウンロードされたファイルの一部に個人情報が含まれていたと発表しました。10月28日に異常を検知して不正アクセスを遮断し、10月29日に個人情報が含まれることを確認したとしています。漏えいした人は合計で約10万人ですが、大半はサントリーグループや取引先・パートナー企業の従業員 で、一般の顧客は約7千人です（11/2 発表時点）。

  • 件数と項目（11月1日までに確認した分）：
    • サントリーグループの従業員と、パートナー企業などの従業員：氏名・メールアドレス 約90,000名
    • 企業活動体験プログラム「マル・デ・シャイン」に2023年末時点で登録していた顧客：メールアドレス 7,323名
    • サントリーホールディングスの2026年新卒採用（ビジネス部門オープン選考）の応募者：マイページ登録情報など（氏名・メールアドレス・電話番号など）7,173名
    • サントリービバレッジソリューションの社用携帯電話2台に登録されていたグループ・取引先の従業員など：氏名・電話番号 1,097名
    • モンテ物産の従業員とパートナー企業の従業員：氏名・メールアドレス・電話番号 324名
    • 井筒まい泉の宅配を注文した顧客と、配送した従業員：氏名・届け先の位置情報 96名
    • サントリーの取引先の従業員：氏名・役職 25名
  • 含まれないもの：クレジットカードなどの決済情報は含まれていないとしています
  • 会社の対応：不正アクセスは遮断済みで、11月2日に個人情報保護委員会へ報告（速報）し、対象の人への個別連絡を始めたとしています。現時点で不正利用は確認されておらず、調査を続けるとしています
  • 問い合わせ窓口：フリーダイヤル 0120-050-310（9:30〜17:00、土日祝日・年末年始を除く。11月3日は受付）、お問い合わせフォーム（24時間）は公式発表のページから
  • 読者がやること：「マル・デ・シャイン」の登録者や新卒採用の応募者は対象の可能性があります。メールアドレスや電話番号が含まれるため、サントリーを名乗るメール・SMS・電話のリンクは開かず、個人情報やカード番号を入力しません。確認は公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）
  • 出典：サントリー「外部クラウドサービスへの不正アクセスによる個人情報漏えいに関するお詫び」（11月2日）

アットコスメ（@cosme共通ID・アイスタイル・11/2 発表時点）

この件の詳しい記事：アットコスメの会員情報漏えい（約300万人）｜対象か確かめる方法と、今やること

何があったか 化粧品の総合サイト「@cosme（アットコスメ）」を運営するアイスタイルは11月2日、@cosmeが第三者の不正アクセスを受け、「@cosme共通ID」に登録された会員情報の一部が外部に漏えいしたと発表しました。10月28日に漏えいを確認したとしています。不正アクセスの日時や手口は発表されていません（11/2 発表時点）。

  • 件数：約300万人
  • 漏えいした項目：ユーザーID（登録時に自動で付く番号で、ログインには使わないもの）、ニックネーム、名前（漢字・カナ）、郵便番号、住所、電話番号、メールアドレス、性別、生年月日、肌質、髪質
  • 含まれないもの：ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしています（11/2 時点）
  • 対象：すでに退会した人でも、不正アクセスの時点で会員だった人は対象になるとしています
  • 会社の対応：対象の人には、把握している連絡先へ順次個別に連絡し、11月6日に終える予定です。案内メールは「cosme.net」のドメインから送るとしています。第三者のセキュリティ専門会社と原因や影響の範囲を調べており、個人情報保護委員会に報告済みです。現時点で不正利用や二次被害は確認されていないとしています
  • 問い合わせ窓口：アイスタイル（アットコスメ）不正アクセス対応お問い合わせ窓口 security-support@cosme.net（10時〜18時、土日祝日を除く）
  • 利用者がやること：アットコスメを名乗るメール・SMS・電話には注意します。アイスタイルは、案内メールでパスワードやカード情報の入力を求めることはないとしています。名前や住所、生年月日が書かれていても本物とは限らないので、リンクは開かず、@cosmeの公式アプリかブックマークした公式サイトから確認します。パスワードは含まれないとしていますが、@cosmeと同じパスワードをほかのサービスで使い回しているなら、変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • 出典：アイスタイル（公式・11月2日）・ITmedia NEWS

クラブツーリズム（インターネット会員・10/31 第1信時点）

この件の詳しい記事：クラブツーリズムの情報漏えい（約432万件の可能性）｜対象か確かめる方法と、今やること

何があったか クラブツーリズムは10月31日、会社のサーバの一部が外部から不正アクセスを受け、インターネット予約システムに登録しているインターネット会員の情報が外部に漏えいした可能性があると発表しました。10月30日5時45分に不正なアクセスを検知し、通信の遮断などの対策をとったとしています。調査と被害拡大の防止のため、旅行サイトは現在停止しています（マイページ・クレジットカード決済・Webからの申込みも使えません）。以下は10月31日の第1信時点の内容です。

  • 件数：約432万件。漏えいした「可能性がある」件数です
  • 漏えいした可能性がある項目：インターネット会員として登録した氏名（漢字・カナ）、国籍、性別、生年月日・年齢、住所、電話番号、メールアドレス、会員ID、緊急連絡先
  • 含まれないもの・対象外：ログインパスワード、パスポート（旅券）情報、クレジットカード情報、金融機関口座番号は含まれていないとしています。インターネット会員に登録したことがない人の情報には影響はないとしています
  • 会社の対応：サーバを隔離し、侵入経路を特定して修正したとしています。漏えいした可能性のある人へ順次連絡するとしています。警察へ相談し、個人情報保護委員会と監督官庁へ報告したとしています。現時点で二次被害は確認されていないとしています
  • 問い合わせ窓口：クラブツーリズム お客様特設窓口（フリーダイヤル 0120-335-255、平日9:30〜17:00。11月中は土日祝日も同じ時間で受付）
  • 読者がやること：クラブツーリズムのインターネット会員なら対象の可能性があります。会社は電話・メール・SMS・郵便でカード番号・口座・暗証番号・ID・パスワード・マイナンバーを聞くことはないとしています。住所・電話番号も含まれるため、クラブツーリズムを名乗る不審な電話・メール・SMS・郵便のリンクや添付は開かず、何も入力しません（「宅配の不在通知SMSが来たら」）。同じパスワードをほかのサービスで使っているなら、念のため変えます（「「パスワードが流出したかも」と思ったら」）
  • 出典：クラブツーリズム「不正アクセスによる個人情報漏えいに関するお詫びとお知らせについて（第１信）」（10月31日）

NTTデータ「STdirectServices」（委託先のSaaSへの不正アクセス・10/31 発表時点）

何があったか NTTデータは10月31日、社債を買った人への特典付与を支援するサービス「STdirectServices」で使っている委託先のSaaSサービスが第三者から不正アクセスを受け、委託先で扱う個人情報が漏えいした可能性があると発表しました。STdirectServicesは現在停止中で、委託先の会社で調査が進められています。以下は10月31日の発表時点の内容です。

  • 件数：NTTデータの発表には件数の記載がありません。このサービスを使っていた近鉄グループホールディングスは、7月に発行した無担保社債を100万円以上購入した投資家 2,678人分の情報が漏えいした可能性があると発表しています（報道による。近鉄GHDの公式発表は未照合）
  • 楽天証券経由の購入者：楽天証券の発表（10月31日）では、楽天証券が販売した「デジタル特典付き社債」3銘柄の購入者のうち延べ362件が対象です。「カゴメ株式会社 第1回無担保社債」（2023年2月21日発行）と「西日本旅客鉄道株式会社 第80回無担保社債」（2024年6月19日発行）は一部のお客様、「近鉄グループホールディングス株式会社 第135回無担保社債」（2026年7月24日発行）は100万円以上購入したお客様です。楽天証券のログインに必要なID・パスワード・取引に必要な各種情報は含まれていないとの報告を受けており、本件が原因と考えられる不正アクセス・不正取引は確認されていないとしています。漏えいした可能性のある情報などは調査中で、影響が確認された人には個別に連絡するとしています
  • 漏えいした可能性がある項目：近鉄GHDの社債購入者については、氏名・購入金額（報道による）
  • 含まれないもの：近鉄GHDによると、証券口座番号やパスワードなど、金融取引に関する情報は含まれていないとしています（報道による）
  • 会社の対応：NTTデータはサービスを停止し、関係各社と連携して状況の確認を進めるとしています。現在は特典付与の対象となる社債がないため、特典付与業務への影響はないとしています
  • 問い合わせ窓口：NTTデータの発表では、株式会社NTTデータ 広報部（メール nttdata-pr-inquiries@am.nttdata.co.jp）。社債の購入者は、購入した会社・証券会社からの案内もご確認ください
  • 読者がやること：近鉄GHDの社債（7月発行分）を100万円以上買った人は対象の可能性があります。氏名と購入金額を知ったうえでの「特典」「社債」「証券口座」を名乗る不審なメール・電話・SMSに注意し、リンクは開かず、口座番号・パスワードは入力しません（「宅配の不在通知SMSが来たら」）
  • 出典：NTTデータ「STdirectServicesのサービス停止についてのお知らせ」（10月31日）・楽天証券「外部サービス提供元への不正アクセスによるお客様情報漏えいの可能性について」（10月31日）。補足：東京新聞（共同通信・10月31日）・日本経済新聞（10月31日）・NHK（10月31日）

RAGTAG（ワールドの子会社ティンパンアレイ・10/30 発表時点）

この件の詳しい記事：RAGTAGの情報漏えい（会員情報 延べ約120万件の可能性）｜対象か確かめる方法と、今やること

何があったか ワールドは10月30日、ブランド古着の買取・販売「RAGTAG」を運営する連結子会社ティンパンアレイの業務サーバーが第三者から不正アクセスを受け、サーバー内の会員情報の一部が外部へ流出した可能性があると発表しました。10月17日14時51分ごろに侵入とデータを抜き出す操作があり、10月28日12時08分ごろに不正な操作を見つけてサーバーを隔離、同日21時36分までに侵入経路を遮断したとしています。以下は10月30日の発表時点の内容です。

  • 件数：会員情報 延べ約120万件。流出した「可能性がある」件数で、対象の会員と件数の詳細は確認中としています
  • 流出した可能性がある項目：氏名、住所、電話番号、生年月日、性別、メールアドレス
  • 含まれないもの：クレジットカード情報その他の決済情報と、顔情報の流出は確認されていないとしています
  • 会社の対応：サーバーを外部ネットワークから遮断し、社内システムの一部を止めています。10月29日に警察へ相談し、個人情報保護委員会へ報告したとしています。外部の専門家に調査を頼み、再発防止策をとるとしています。ホームページでの告知と会員への個別メールで、お詫びと注意喚起をする予定です（準備ができ次第案内）
  • 問い合わせ窓口：10月30日の発表には、会員向けの専用窓口の記載はありません。今後のホームページでの案内をご確認ください
  • 読者がやること：RAGTAGの会員なら対象の可能性があります。住所・電話番号・メールアドレスが含まれるため、RAGTAGやワールドを名乗る不審なメール・SMS・電話のリンクは開かず、何も入力しません。確認はブックマークした公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）。パスワードは項目に入っていませんが、同じパスワードを使い回しているなら、念のため変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • 出典：ワールド「連結子会社における不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（10月30日・PDF）。補足：ITmedia NEWS（11月2日）

外務省（外部とやり取りするネットワーク・10/30 発表時点）

何があったか 外務省は10月30日、外務省が運用する「外部とのやり取りが可能なネットワーク」が不正アクセスを受け、そのネットワーク上で扱っていた個人情報を含むメールなどの一部が漏えいした可能性があると発表しました。7月27日に不正アクセスを検知し、すぐに遮断や認証情報の無効化などを行ったうえで、外部の専門事業者と調査を進めた結果、漏えいの可能性を確認したとしています。以下は10月30日の発表時点の内容です。

  • 件数：約3,600件（うち外務省員以外の人のものが約900件）。漏えいした「可能性がある」件数です
  • 漏えいした可能性がある項目：メールアドレスや氏名など
  • 含まれないもの・対象外：機密性の高い情報を扱う閉域ネットワークは今回の不正アクセスの対象ではなく、漏えいした可能性のある情報に機密性の高い情報が含まれていたことは確認されなかったとしています。旅券（パスポート）・たびレジなどの情報を扱う領事システムは別に作られていて、今回の対象ではありません
  • 外務省の対応：対象となる人を特定したうえで、個別に連絡するとしています。現時点で悪用などの二次被害は確認されていないとしています。アクセス制御や認証方法の見直し、監視の強化などで再発防止に取り組むとしています。原因（侵入の経路）は発表に記載がありません
  • 問い合わせ窓口：外務省 大臣官房 情報システム総括課（メール contact-ismd@mofa.go.jp）
  • 読者がやること：外務省員以外の人の情報は約900件で、旅券・たびレジの情報は対象外です。外務省から個別の連絡が来るかどうかで、自分が対象か確かめられます。外務省や外務省員をよそおった不審なメール・電話・SMSのリンクや添付ファイルは開かず、パスワードやカード番号は入力しません。外務省は、パスワードなどの認証情報やカード情報をメールや電話で聞くことはないとしています（「宅配の不在通知SMSが来たら」）
  • 出典：外務省「不正アクセスによる個人情報の漏えいの可能性について」（10月30日）。補足：INTERNET Watch（10月30日）

松屋（松屋フーズHD・公式アプリ管理システム・10/30 発表時点）

この件の詳しい記事：松屋アプリの情報漏えい｜対象か確かめる方法と、今やること

何があったか 松屋フーズホールディングスは10月30日、松屋公式アプリの管理システムが第三者から不正アクセスを受け、個人情報が漏えいしたと発表しました。不正アクセスは10月28日に確認され、同日夜からアプリとWebサイトを止めています（再開時期は未定）。以下は10月30日の発表時点の、松屋フーズホールディングスの公式発表の内容です。

  • 件数：約238万件（松弁ネット・モバイルオーダー・松弁デリバリーの利用者 2,377,127件＋公式アプリの会員登録情報 2,000件〔最大3,000件の可能性〕）
  • 漏えいした項目（松弁ネット・モバイルオーダー・松弁デリバリーの利用者 2,377,127件）：「会員ID」「お届け先住所」「氏名」「電話番号」「松屋ポイント」の情報
  • 漏えいした項目（松屋公式アプリの会員 2,000件・最大3,000件の可能性）：「会員ID」「都道府県」「氏名」「電話番号」「生年月日」「メールアドレス」「暗号化されたパスワード」「松屋ポイント」の情報（住所ではなく都道府県）
  • 含まれないもの：クレジットカード情報（会社は保持していないとしています）
  • 会社の対応：対象の人へ順次連絡し、個人情報保護委員会へ報告するとしています。原因と侵入経路は調査中です。会社がメールや電話でパスワードやクレジットカード情報を聞くことはないとしています
  • アプリ会員への補償（公式の案内）：11月・12月の会員ランクを「前月の購買金額に応じた予定ランク」より1ランク上に設定。アプリ版MATSUYA PASSを2026年9月26日～10月28日に購入した人には、券売機で割引を使える専用QRコードを2026年11月1日までにメールで送り、アプリ復旧を前提に2026年11月28日～12月27日の30日間使える「アプリ版 MATSUYA PASS」を用意。10月29日に配信した券売機クーポンは2026年11月11日15:00まで使えます
  • 問い合わせ窓口：株式会社松屋フーズホールディングス 個人情報お問い合わせ窓口（メール contact_information@matsuyafoods.net／電話 0422-38-1121、受付は平日10:00〜16:00・土日祝日休業、音声案内のあと「1」）
  • 利用者がやること：松屋アプリと同じパスワードをほかのサービスでも使っている人は、そちらのパスワードを変えます（「「パスワードが流出したかも」と思ったら」）。松屋をよそおったメール・SMS・電話のリンクは開かず、パスワードやカード番号は入力しません（「宅配の不在通知SMSが来たら」）。電話番号が含まれ、松弁ネット等の利用者はお届け先住所も含まれるため、心当たりのない電話や郵便物にも注意します
  • 出典：松屋フーズホールディングス「個人情報漏えいに関するお詫びとお知らせ」（10月30日・PDF）・松屋フーズ「お知らせ」。補足：Impress Watch（10月30日）・ITmedia NEWS（10月30日）

無印良品「MUJIアプリ」・MUJI Card（良品計画・11/9 第4報時点）

この件の詳しい記事：無印良品「MUJIアプリ」の情報漏えい【第四報時点】｜対象か確かめる方法と、今やること

第4報（11月9日）：ネットストアの再開を延期。リスト型攻撃と、代金引換の受取先の追加 良品計画は11月9日、11月6日16時から一時停止している無印良品ネットストアの再開を延期すると発表しました。再開の時期は、必要な対策と確認をしたうえで、あらためて知らせるとしています。

  • リスト型攻撃：ネットストアで、第三者が外部で不正に入手した可能性のあるパスワード等を使った多数のログイン試行（リスト型攻撃）があり、本人以外による不正ログインの可能性があることが分かったとしています。購入履歴・ポイントを含む情報の対象は約27万件です（「当社以外から ID（メールアドレス）、パスワードを入手し、当社ネットストアへ不正ログインしたことによる事案」としています）
  • 件数・項目の更新：アプリ・ネットストアの利用者は約2,726万件のまま（メールアドレス・生年月日・性別・会員ID）。うち氏名・住所・電話番号を含む分は、第2報の約52万件から約75万件に変わりました。MUJI Card 約109万件、カード情報を登録した人 約120件は、第2報から変わりません
  • 追加：店舗・ネットストアで代金引換配送の受取先になった人（2020年1月2日〜2025年2月10日に良品計画が受注した分）の、配送先氏名・配送先郵便番号が約44万件です。依頼主の情報は含まれません
  • 現時点の状況：閲覧された可能性のある情報を悪用した被害は確認されていないとしています
  • 対象の人への連絡：2026年11月10日から、良品計画とクレディセゾンが、メールまたは郵送で個別に順次連絡します。代金引換の受取先で連絡先がない人には、このリリースをもって連絡に代えるとしています
  • 再開時：ネットストアの再開時には、お客さま全員にパスワードの再設定をお願いする方向で準備を進めています
  • 利用者がやること：同じメールアドレスとパスワードを複数のサービスで使っていると、不正ログインのリスクが高まるため、ネットストアの再開後は、他社のサービスとは異なるパスワードを設定します。会社がメール・電話・SMSなどでパスワードやクレジットカード番号をたずねることはありません
  • 問い合わせ先：良品計画 お客様相談室 0120-64-0772（無料）、0120-36-0470（無料・11月10日開設）。受付 9:30〜17:00（12月26日まで毎日、2027年1月4日からは月〜土）
  • 出典（第4報）：良品計画（公式・11月9日）

第3報（11月6日）：ネットストアとMUJIアプリを一時停止 良品計画は11月6日、「お客さま情報の保護を最優先に、さらなるセキュリティ強化を行うため」、無印良品ネットストアを一時停止したと発表しました。10月30日・11月4日に公表した「MUJIアプリにおけるお客さま情報流出の可能性」の第三報として出されています。

  • 停止している範囲：ネットストアのWEBサイトは全サービス・機能が停止です。MUJIアプリは、MUJI Members（会員証）のバーコード表示以外の全サービス・機能が停止です
  • 再開の見込み：1〜2日以内を目途にしていましたが、第4報（11月9日）で延期されました。無印良品の店舗は通常どおり営業しています
  • この発表に書かれていないこと：停止の理由は上の「セキュリティ強化のため」だけです。新たな不正アクセスや、新たな流出があったかどうかは、この発表には書かれていません
  • 問い合わせ先：ネットストアのご注文は公式の問い合わせページ。個人情報については、良品計画 お客様相談室 0120-64-0772（受付 9:30〜17:00・12月26日まで毎日、2027年1月からは月〜土）
  • 出典（第3報）：良品計画（公式・11月6日）

何があったか 良品計画は10月30日、無印良品の公式アプリ「MUJIアプリ」で、外部からの不正なアクセスを検知し、お客さまの情報の一部が外部に流出した可能性があると発表しました。該当箇所へのアクセスを遮断し、修正を適用したとしています。以下は10月30日の発表時点の内容です。

MUJI Card 続報（11月4日・第2報） 良品計画とクレディセゾンは11月4日、クレジットカード「MUJI Card」のカード番号を含む情報にも、第三者がアクセスした可能性があると発表しました。第1報では含まれないとしていたカード情報についての更新です。

  • 件数：MUJI Card 会員 約109万件（退会・解約済みを含む）。2000年10月〜2021年7月に入会した人が対象で、うち現在使えるカードは約34.5万件、使えないカードは約74.5万件。2021年8月以降に発行されたカードは対象外
  • 項目：カード番号（全桁）・生年月日・MUJI カード ID。一部の人は氏名・住所・電話番号・性別・メールアドレスも
  • 含まれないもの：カード名義・有効期限・セキュリティコード
  • 原因：ポイント付与のため、2021年7月まで クレディセゾンから良品計画へ連携していたカード番号が、良品計画のシステムに残っていたため。クレディセゾン自身のシステムへの不正アクセスは確認されていないとしています
  • アプリ会員との関係：最大 約2,726万件の件数は変わらず、対象はMUJIアプリを使っていないネットストア会員にも広がり、項目に会員IDが加わりました。約52万件は氏名・住所・電話番号も含みます。ほかにアプリ・ネットストアにカード情報を登録していた約120件分は、カード番号の先頭6桁と末尾2桁・名義が対象です
  • 現時点の状況：クレディセゾンは不正利用の増加を確認していないとしています。ダークウェブなどへの流出や悪用被害も確認していないとしています
  • やること：カードの利用明細を確認し、身に覚えのない請求があればカード会社（クレディセゾン）へ問い合わせます。再発行を希望する人は Netアンサー・セゾンPortal から申し込めます。カード番号などの入力を求める不審なメール・SMS・電話のリンクは開きません
  • 窓口：クレディセゾン 0120-227-190（10:00〜17:00、12月26日まで毎日。2027年1月4日からは月〜土）
  • 出典（第2報）：良品計画（公式・11月4日）・クレディセゾン（公式・11月4日）

10月30日（第1報）時点の内容

  • 件数：最大 約2,726万件（退会した人の情報を含む）
  • 流出した可能性がある項目：メールアドレス・生年月日・性別
  • 含まれないもの（第1報時点）：クレジットカード情報・氏名・住所・電話番号など（11月4日の第2報で、一部が対象に含まれると更新されました）
  • 現時点の状況：ダークウェブなどへの流出や、情報を悪用した被害は確認されていないとしています。（10月30日の発表時点では、MUJIアプリと無印良品ネットストアはふつうに使えるとされていました。11月6日の第3報で一時停止に変わっています）
  • 会社の対応：対象の人へ順次連絡するとしています。問い合わせは「良品計画 お客様相談室」0120-64-0772です。受付時間は第1報では月〜土でしたが、第3報（上）の案内では9:30〜17:00・12月26日まで毎日、2027年1月からは月〜土になっています
  • 利用者がやること：今後、無印良品をよそおった「なりすましメール」が届くおそれがあります。不審なメールのURLは開かず、個人情報を入力しないようにします。確認は公式アプリかブックマークした公式サイトから行います（「宅配の不在通知SMSが来たら」）。以前に退会した人も対象に入っている可能性があります
  • 出典：良品計画（公式・10月30日）

skyticket（スカイチケット・アドベンチャー・10/30 第3報時点）

何があったか 航空券などの予約サイト「skyticket」を運営するアドベンチャーは、10月9日の第1報・10月16日の第2報で知らせた、自社サーバーへの不正アクセス（10月2日〜4日）について、10月30日に第3報を出しました。不要になった後も削除せずクラウドに置いていたデータベースの複製（バックアップ）の一部が、不正に取得された認証情報で読み取られたとしています。以下は第3報時点の内容で、外部の調査会社によるフォレンジック調査の準備を進めているため、内容が変わることがあります。

  • 流出した情報（外部への送信を確認）：返金先の銀行口座情報 32,341件
    • 対象：2022年3月1日〜2024年5月に、払い戻しなどのため返金先の銀行口座を登録した人
    • 項目：金融機関名・口座種別・口座番号・口座名義（カナ）
    • 含まれないもの：氏名（漢字）・住所・メールアドレス・電話番号・暗証番号・インターネットバンキングのID・パスワード
  • 流出したおそれがある情報（送信の痕跡は確認されていないが、否定できない）
    • クレジットカード情報の一部：約93.6万件（約41.4万人）。2021年5月ごろ〜2024年5月中旬ごろにskyticketでカード払いをした人の一部。項目はカード名義・一部を伏せ字にしたカード番号（下4桁のみ、または先頭6桁と下4桁）・ブラウザの情報
    • 旅行保険の申し込み情報：約11.8万件（約11.9万人）。国内旅行保険（2023年9月〜2024年5月の申し込み）・キャンセル保険（2024年1月〜5月の申し込み）の契約者と、国内旅行保険の被保険者。項目は契約者の氏名（カナ）・生年月日・性別・携帯電話番号・メールアドレス・会員ID・予約内容（便名・搭乗日・区間・旅行代金）、被保険者の氏名（カナ）・生年月日・性別
  • カードの全桁・有効期限・セキュリティコード：含まれないとしています。ただし12件は、カード名義の欄にカード番号が入力されていたため、番号が全桁で記録されていました（この12件も、名義・有効期限・セキュリティコードは含まれない）。会社は、この12件についてカード会社に不正利用のモニタリングを依頼しています
  • 第2報の訂正：第2報で流出したとしていた情報は、ベネフィット・ステーションの会員ID・氏名・パスワードではなく、「skyticketプレミアム」用に社内で設定している会員IDと氏名だったと訂正しています
  • 会社の対応：銀行口座情報の対象者で連絡先が確認できた人には、順次メールで個別に連絡します。連絡先が確認できない人とカード情報の対象者には、このお知らせで案内に代えるとしています。旅行保険の契約者には後日通知を送ります。個人情報保護委員会などに報告済みです
  • 問い合わせ窓口：電話 03-5224-8859（平日10時〜18時）、メール info@skyticket.com（24時間受付・順次回答）
  • 利用者がやること：skyticketを使ったことがあるなら、銀行口座の入出金明細とカードの利用明細に身に覚えのない取引がないか確認します。あれば、取引している金融機関か、カード裏面のカード会社に連絡します。skyticket・金融機関・カード会社・航空会社・保険会社を名乗り、返金や補償を口実に暗証番号・ネットバンキングのID・パスワード・カード番号を聞いてくる連絡には答えません（会社はこれらを尋ねないとしています）。返金や補償を名目に振り込みや手数料を求められても応じないでください（「宅配の不在通知SMSが来たら」）
  • 出典：skyticket（公式・第3報・10月30日）

ヤクルト本社（公式ホームページ・10/30 第2報時点）

何があったか ヤクルト本社は10月26日19時に、公式ホームページで不正アクセスが認められたと発表し（第1報）、同日、被害の拡大を防ぐためホームページの機能を止めました。10月30日9時の第2報で、ホームページを通じて受け取ったお客さまの個人情報が外部に漏えいしたことを確認したと発表しました。以下は第2報時点の内容で、件数や対象期間などの詳細は順次知らせるとしています。

  • 件数：約4万件（第2報時点）
  • 対象の人と漏えいした項目：
    • メールの問い合わせフォームを使った人：氏名・性別・年齢層・住所・電話番号・メールアドレス・問い合わせ内容
    • 給食サイト「たのしい給食」の会員：氏名・業態・勤務先・所属部署または受託会社・勤務先の住所と電話番号・メールアドレス・登録パスワード（暗号化したもの）・登録時のアンケート（任意）
    • 報道関係者向けの問い合わせフォームを使った人：氏名・職業・メディアの種類・媒体名・会社名・部署名と役職名（任意）・会社の住所・電話番号・メールアドレス・問い合わせ内容
    • 上記の問い合わせに対応したヤクルト本社の社員：氏名
  • 漏れていないもの：ホームページでは、クレジットカード情報と銀行口座情報を預かっていないとしています
  • 会社の対応：個人情報保護委員会へ第一報を出し、警察に相談しています。対象の人には、準備が整い次第連絡するとしています。本件専用の窓口を準備中で、当面は「ヤクルトお客さま相談センター」0120-11-8960（10時〜16時、土日・祝日を除く）で受け付けます
  • 利用者がやること：差出人がわからない電話・メール・SMS（懸賞の当選、配送の連絡、返金の案内など）に注意します。ヤクルト本社がパスワード・口座番号・カード番号を尋ねることはないとしています。身に覚えのない連絡のリンクや添付ファイルは開かないようにします。「たのしい給食」と同じパスワードをほかのサービスで使っているなら、そちらを変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • 出典：ヤクルト本社（公式・第2報・10月30日）

アイリスプラザ（アイリスオーヤマ公式通販・11/5 第2報時点）

何があったか アイリスオーヤマの公式通販サイト「アイリスプラザ」を運営するアイリスプラザは、10月28日に外部クラウドサービスで不審なファイルを見つけ、サイトと関連システムを止めて調べました。10月29日の第1報に続き、11月5日の第2報で、外部クラウドに保管していたデータが外部へ漏えいした可能性があると発表しました。

  • 件数：保存されていた個人情報の総データ数は約770万人分です。実際の漏えい件数と影響人数は調査中です（11月5日時点）
    • 会員データ（退会済みの会員情報を含む）：約580万人
    • 非会員データ（会員登録なしで購入したことがある方・キャンペーンに応募したことがある方を含む）：約190万人
  • 漏えいの可能性のある項目：会員は氏名、住所、電話番号、メールアドレス、性別、パスワード、生年月日など。非会員は氏名、住所、電話番号、メールアドレスです。全員のすべての項目ではなく、登録状況で異なります。パスワードを含む一部の項目は暗号化されていて、退会者はパスワードを除きます
  • 漏れていないもの：クレジットカード情報は、このクラウドサービスに保存されておらず、影響を受けていないとしています。アイリスプラザ以外の外部ECモールの店舗は、現時点で不正アクセスも漏えいも確認されていないとしています。本件による不正利用や金銭被害の報告は、現時点でないとしています
  • 会社の対応：10月29日に警察と個人情報保護委員会へ報告済みです。可能性のある方には、調査結果を踏まえて順次、個別にメール等で連絡します。会社からパスワード・暗証番号・認証コードなどを尋ねたり、メールやSMSのリンク先で入力をお願いしたりすることはないとしています。サイトの再開時期は未定で、「SIMPLE STYLE」と、アイリステックサービスの家電サブスク・配送設置サービスも10月28日から停止中です（この2つは不正アクセス・漏えいは確認されていないとしています）。問い合わせ先は「アイリスプラザ コンタクトセンター」0120-108-824（平日・土曜 9時30分〜17時）です
  • 利用者がやること：ほかのサービスで同じパスワードを使っているなら変えます。会社などを装った不審なメール・SMS・電話は、添付ファイルを開かず、リンク先にも入らず、返信もしません。退会した人の情報も対象に含まれています（「「パスワードが流出したかも」と思ったら」・「宅配の不在通知SMSが来たら」）
  • この件の詳しい記事：アイリスプラザ（アイリスオーヤマ公式通販）の個人情報漏えい 約770万人分の可能性｜やることと偽メールの見分け方
  • 出典：アイリスオーヤマ（公式・第2報・11月5日）

PFUダイレクト本店（旧サイト・Eストアー「ショップサーブ」・10/23 第2報時点）

何があったか PFU（リコーグループ）は9月18日の第1報に続き、10月23日に第2報を出しました。以前の「PFUダイレクト本店」で使っていた、Eストアーの通販サイト管理システム「ショップサーブ」への不正アクセスで、顧客データが漏えいしたとしています。現在のPFUダイレクト本店はこのシステムを使っていません。以下は第2報時点の内容です。

  • 件数：漏えい対象データ 78,873件（データの件数で、対象のお客さまの人数ではありません。人数はEストアーと確認中）
  • 漏えいした項目：氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・お客さまが自由に入力した情報（配送先の情報を含む）
  • 含まれないもの：クレジットカード情報、会員ID・パスワード
  • 問い合わせ窓口：対象かどうか・調査結果は Eストアー（support@estore.co.jp）、現在のPFUダイレクト本店のパスワード変更・注文履歴などは PFU（pfudirect-privacy@jp.ricoh.com）
  • 利用者がやること：PFUやEストアーを名乗る不審なメール・電話・郵便物に注意し、リンクや添付ファイルは開かないようにします（「宅配の不在通知SMSが来たら」）
  • 出典：PFU（公式・第2報・10月23日）

ツイキャス（モイ・10/29 第2報時点）

何があったか ライブ配信サービス「ツイキャス」を運営するモイは、10月28日にツイキャスのシステムが第三者の不正アクセスを受けたと発表し、10月29日に第2報を出しました。10月28日10時20分ごろからシステムへのアクセスの試みが始まり、10時30分ごろに社内のシステムが不正アクセスの痕跡を検知しました。10時45分ごろにサービスを完全に止めるまでの間に、一部のデータへのアクセスがあったとしています。以下は第2報時点の内容です。

  • アクセスの痕跡がある個人情報（計7件）：クレジットカードの有効期限と暗号化した名義の情報 1件、メールアドレスと活動履歴などの情報 6件。対象の人には個別に連絡するとしています
  • サーバー上のログデータ：ログデータへのアクセスも確認しています。一部に「アカウントID」と「メールアドレス」を含むものがありますが、確認している範囲では氏名・住所などは含まれないとしています。データの規模は調査中です
  • 漏れていないもの：大規模なデータの流出は確認されておらず、システムの記録からも流出の可能性は認められていないとしています。カード番号とセキュリティコードはもともと保持していないとしています。収益化機能を使う人の本人確認書類などは暗号化して保存しており、流出の可能性は認められていないとしています
  • 会社の対応：連携しているすべてのSNS（X・Google・Facebookなど）との接続と、ほかの外部サービスへの認証をすべてリセットしたとしています。警察などへ記録を出し、法的な対応も進めるとしています。サービスの再開時期は未定で、慎重に判断したうえで案内するとしています。再開後も、配信履歴・レベルなどのアカウント情報はリセットされず、購入したポイントも引き続き使えるとしています。問い合わせ先はメール（support@twitcasting.tv）です
  • 利用者がやること：ツイキャスを名乗る「お詫び」「再開のお知らせ」「ポイントの補償」などのメール・SMS・DMが来ても、本文のリンクは開かないようにします。再開の情報は、ツイキャスの公式Xアカウントかブックマークした公式サイトで確認します。再開後にXやGoogleとの連携が切れていたら、公式アプリか公式サイトから自分でつなぎ直します。ツイキャスと同じパスワードをほかのサービスで使っているなら、そちらも変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • 出典：モイ（TDnet・第2報・10月29日・PDF）

アララ メッセージ（メール配信）・Payどん

この件の詳しい記事：アララ メッセージの情報漏えい（メールアドレス約8,100万件・81,329,467件・第3報時点）｜対象か確かめる方法と、今やること

何があったか アララ（ペイクラウドホールディングスの子会社）は、メール配信サービス「アララ メッセージ」への不正アクセスについて、10月29日の第1報、11月2日の第2報に続き、11月6日に第3報を発表しました。不正アクセスを受けたサーバーが広がり、アララ メッセージを使ってメールを送っている会社（契約企業）の会員情報などが外部に持ち出されたとしています（第3報時点。件数などは精査中で、今後変わる可能性があります）。

  • 件数（第3報時点）：持ち出されたメールアドレスは、区分の間の重複を除いて 81,329,467件（約8,100万件）です。第2報の区分ごとの件数を重複がないものとして合算した 80,386,187件より 943,280件多くなりました。区分は、本サービスを経由した不正アクセス（環境A）78,102,937件、第1報の共用環境（環境A）2,842,400件、第3報で加わった別のクラウド環境（環境B）3,249,492件で、区分の間の重複を引いた合計が上の件数です。うち、メールアドレスのみが 34,285,087件、属性情報等を伴うものが 47,044,380件で、この内訳は精査中としています。対象の会社は最大約380社と推計しており（共用環境の61社と環境Bの社数を含みます）、1人が複数のアドレスを持つことがあるため、人数ではないとしています
  • 環境B（第3報で判明）：第2報の環境Aとは別のクラウド環境から、メールアドレス 3,249,492件が持ち出されていたと判明しました。第2報の一連の不正アクセスの期間中（10月28日〜31日）のもので、新たな不正アクセスではないとしています。流出したのはメールアドレスのみで、クレジットカード番号は保有していないとしています。環境Bを使っていた契約企業には、アララから個別に連絡するとしています
  • 持ち出された項目：メールアドレス、契約企業が登録した項目（氏名・性別・生年月日・電話番号・会員番号・住所など。会社によって異なる）、配信の宛先などの記録
  • 含まれないもの：アララのサービスはクレジットカード番号を一切持っていないとしています
  • 経過：10月28日の発表では、共用環境「bvam001」のメールアドレス 約301万件としていました。第2報では、この共用環境の分を メールアドレス 3,386,187件（重複を除く）と、契約企業5社が登録した氏名・会社名などを含む顧客データ 最大411,827件に更新しています（関係する契約企業は61社）。第3報では、この共用環境のメールアドレスを 2,842,400件に改めました（一部テキスト情報も含まれていたと説明しています）
  • 不審メール：10月28日〜30日に、アララのサービスが不正に使われ、送信元「news@arara.com」から「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名で、クレジットカード会社をよそおうメールが最大約713万通送られました。受け取った場合は、本文のURLを開かずに削除するよう案内しています
  • 会社の対応：10月31日にアララ メッセージの提供をすべて止めており、再開の時期は未定です。どの会社の利用者が対象かは公表されておらず、すべての契約企業へ個別に連絡するとしています。問い合わせ先（契約企業向け）は、アララのサポート窓口 03-5414-3611（平日10時〜17時）です。一般の利用者は、メールを受け取っているお店・サービスからの案内を確かめます
  • 利用者がやること：アララや、メールを受け取っているお店・サービスを名乗る、心当たりのないメール・SMS・電話・郵便物のURLは開かず、IDやパスワード、カード情報を入力しないようにします。氏名や住所などが含まれるため、名前入りの連絡でも本物とは限りません。同じパスワードをほかのサービスで使っているなら、変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • アララ経由で公表された会社・団体：ビックカメラ・コジマ・ソフマップ（11/2・3社合計 約1,490万件）、アソビュー（11/3・15,821,184件）、大阪市 行政オンラインシステム（11/3・第2報(11/4)時点・メールアドレスのみ・件数確認中）、セガ（11/9・メールアドレス 2,196,044件・下の項目）
  • TKC（11/4 公表）：TKCは、アララからの報告として、TKCのシステム利用者のメールアドレスが最大223万812件外部に漏えいしたと公表しています（TKC第3報・11月4日。どの利用者のものかはTKCが調査を継続）。アララの公式発表には、TKCや大阪市などの契約企業名は出ていません。TKCの件数がアララの合計のうちの内数かどうかも、公式には書かれていないため、足し合わせていません
  • モスフードサービス（11/4 発表）：「モス WEB 会員」向けのメール配信に使っている配信システム「repica（レピカ）」（提供元はアララ）から、会員のメールアドレス、年齢、性別、お住まいの都道府県等が外部へ流出しました。対象は 7,517,087件です。クレジットカード情報等の決済関連情報は含まれないとしています。モスから、メールでクレジットカード情報や各種パスワードの入力を求めることは一切ないとしています。問い合わせ先は、モスの公式サイトのお問い合わせフォームです。出典：モスフードサービス（公式・11月4日・PDF）／この件の詳しい記事：モス WEB 会員のメールアドレス流出（7,517,087件）｜届くメールへの注意と、今やること
  • ワークマン（11/4 発表）：「ワークマンオンラインストアメールマガジン」の会員のメールアドレスが流出しました。対象は最大約145万件で、項目はメールアドレスだけです（それ以外の情報の流出はないとしています）。メールマガジンなどの配信は10月28日の連絡を受けて以降止めています。オンラインサイトの各種通知メール（ワークマンアプリ内通知を含む）はこのサービスを使っておらず、影響はないとしています。個人情報保護委員会への報告手続きを進めています。問い合わせ先は、ワークマン カスタマーサポート部（wm_info@workman.co.jp）です。出典：ワークマン（公式・11月4日・PDF）
  • IIJmio（11/4 発表）：IIJmioが利用するアララのメール配信サービスから、IIJmioを契約しているお客様のメールアドレスが流出しました。対象は 983,458件（サービス解約済みを含み、JALモバイル powered by IIJmio、BIC SIM powered by IIJの契約者も含む）です。クレジットカード情報はアララ社に連携していないため対象外としています。一覧と属性情報の詳細はアララ社に確認中で、詳しいことがわかれば改めて知らせるとしています。IIJmioからのメールの受信設定を変える必要はなく、「support@iijmio.jp」などの正規のアドレスを受信拒否にしないよう案内しています（「家族割引」は、ご案内メールを「受け取る」設定にしていることが適用条件です）。問い合わせ先は、IIJmioサポートセンターです。出典：IIJmio（公式・11月4日）／IIJ（公式・11月4日）／この件の詳しい記事：IIJmioのメールアドレス漏えい（983,458件）｜届くメールへの注意と、今やること
  • 上の3社の共通のお願い：流出したメールアドレス宛てに、各社を装った不審なメールが届くおそれがあります。心当たりのないメールのURLや添付ファイルは開かず、個人情報やパスワードなどを入力せずに削除します。3社の件数は各社の公式発表の数字で、足し合わせたものではありません
  • AIRDO（エア・ドゥ・11/4 発表）：AIRDOが利用している外部のメール配信システムが第三者の不正アクセスを受け、そのシステムを経由して配信されたメールから、お客様のメールアドレス情報が流出したと発表しました。流出した情報は「メールアドレス（最大で673,920件）」で、氏名・住所・電話番号・クレジットカード情報などの流出は、公式では挙げられていません。不正なアクセスは遮断し、メール配信サービスを止めています。予約内容・運航状況に関するメールは止まっているため、予約番号を控え、「予約確認」「オンラインチェックイン」「発着案内・運航の見通し」で確かめるよう案内しています。My AIRDOの各種情報変更や問い合わせフォームも、今は正しく使えないとしています。お客様へのお願いは「心当たりのないメールの開封やURLのクリックはせず、削除する」です。問い合わせ先は、AIRDO公式サイトの「各種お問い合わせ」です。AIRDOの公式発表には委託先の社名がなく、アララだと報じているのは日本経済新聞・共同通信などです（アララ側の公式ページには契約企業の名前は出ていません）。出典：AIRDO（公式・11月4日）
  • ソラシドエア（11/4 発表・11/5 更新）：ソラシドエアが利用している外部メールシステムで第三者の不正アクセスがあり、ファイルがダウンロードされ、その一部に個人情報が含まれていたと発表しました。11月4日までに漏えいを確認した情報は「メールアドレス」で、対象は約490,000件です。「氏名・住所・電話番号・クレジットカード情報などの個人情報は漏えいしておりません」としています。不正アクセスは遮断し、個人情報保護委員会への報告を完了しています。対象の方への個別連絡は、準備ができ次第進めるとしています。問い合わせ先は「準備ができ次第ご案内」とされ、公式には、まだ案内されていません（11/5 夜の時点）。経緯は、10月28日に委託会社から報告を受けて予防的にメールを一部止め、10月31日に予約・搭乗に関するすべてのメールを止め、11月2日に自社の顧客のメールアドレスが持ち出された可能性の報告を受けたというものです。ソラシドエアの公式発表には委託先の社名がなく、アララだと報じているのは読売新聞・NHK・共同通信などです。出典：ソラシドエア（公式・11月4日）
  • セガ（11/9 発表）：セガは、同社とグループ会社のセガ フェイブの製品・サービスに関する一部のメールマガジンの配信に、アララの配信システム（アララ メッセージ）を使っていて、アララへの第三者の不正アクセスで、メールアドレスが外部に流出したと発表しました。対象は 2026年7月2日〜10月28日の配信分で、件数はメールアドレス 2,196,044件、うち配信に付随する情報を含むものが 92,273件です（付随する情報の詳細は、アララと連携して調査中）。氏名・生年月日・性別・住所・電話番号、クレジットカード情報、ログインパスワードは含まれません。「SEGA Account」に登録されたメールアドレスは、別の配信システムのため対象外です。現時点で、流出した情報の悪用は確認されていないとしています。経緯は、10月29日にセガがアララに配信の安全性を確認して流出なしの報告を受け、11月3日にアララからメールアドレスの流出の通知を受け、11月5日〜8日の追加確認のあと、アララから正式な報告を受けたというものです。個人情報保護委員会へは、アララとの連名で報告する予定です。対象のお客様には、流出情報の詳細が確認でき次第、個別に連絡する予定で、安全性が確認されるまで、アララの配信システムを使ったメールマガジンの配信を見合わせています。利用者がやることは、セガやセガ フェイブを名乗る不審なメールに注意し、心当たりのないメールのURLや添付ファイルは開かず、返信しないことです（会社がメールでパスワードやクレジットカード情報を聞くことはなく、アララを名乗る不審なメールにも注意）。問い合わせ先は、セガ カスタマーサポート（0570-000-353、10:00〜17:00）です。なお、公式の同じお知らせには、別件として、セガ フェイブのアーケードゲームのネットワークサービスへの不正アクセスに関連する安全確認のため、「セガ ラッキーくじオンライン」がメンテナンス中（ログイン・購入不可）と書かれています。出典：セガ（公式・11月9日）
  • 航空2社の件数：AIRDOとソラシドエアの件数は各社の公式発表の数字で、足し合わせたものではありません。アララ側は、お客様ごとの影響は確定した契約企業から順に個別に案内しているとしており（11/5 18:00 時点）、2社の件数もアララの数字とは別です
  • 同じ時期のメール配信サービスの件：ユミルリンク「Cuenote FC」（延べ51,628,280件・第二報）、ブラストメールも、法人向けメール配信サービスへの不正アクセスです
  • 出典：アララ（公式・第3報・11月6日・PDF）／TKC（第3報・11月4日）／アララ（公式・第2報・11月2日・PDF）／アララ メッセージのお知らせ（11月2日更新）／アララ（公式・10月28日）

Payどん（鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫） スマホ決済「Payどん」を提供する鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫の4行庫は10月28日、Payどんのメール送信を委託しているアララへの不正アクセスで、メールで送った個人情報の一部が外部に漏えいした可能性があると発表しました。アララは同日17時23分に、Payどんのメール通知機能と新規登録を止めています。

  • 件数：発表に記載はありません
  • 漏えいした可能性がある項目：Payどんの利用者のメールアドレス、Payどん加盟店のメールアドレス、決済情報（日時・店舗名・支払い金額）
  • 会社の対応：二次被害の報告は現時点でないとしています。新しい事実が分かれば、ホームページで公表するとしています。問い合わせ先は「デジタルサポートプラザ」0120-947-230（平日9時〜17時。土日祝日・12月31日〜1月3日を除く）です
  • 利用者がやること：4行庫やPayどんを名乗る不審なメールのURLや添付ファイルは開かないようにします。いつ・どの店で・いくら払ったかが書かれていても、本物とは限りません。利用履歴は、Payどんの公式アプリから自分で確認します（「宅配の不在通知SMSが来たら」）
  • 出典：鹿児島銀行（公式・10月28日）

ライフカード（委託先ユミルリンクのメール配信「Cuenote FC」）

何があったか ライフカードは10月28日、メール配信を委託しているユミルリンクの「Cuenote FC」が不正アクセスを受けた件で、ライフカードのお客さまの情報も漏えいした可能性があると発表しました。10月26日にユミルリンクから連絡を受けたとしています（ユミルリンクの件）。

  • 件数：339,610契約
  • 漏えいした可能性がある項目：氏名・メールアドレス・カード名称・ETCカード番号の一部（60件）など
  • 漏れていないもの：ライフカードが管理するカード会員情報のシステムへの不正アクセスは確認されていないとしています
  • 会社の対応：ユミルリンクと連携して、事実関係と影響の範囲を確認しています。対象の人には、必要に応じて個別に連絡するとしています。現時点で、本件による不正利用などの二次被害は確認されていないとしています
  • 利用者がやること：ライフカードや関係会社を装ったメール・SMSが届く可能性があるとしています。記載されたURLは開かず、添付ファイルも開かないようにし、カード番号・暗証番号・パスワードなどを入力しないようにします。カード名称や名前が書かれていても、本物とは限りません。利用明細の確認は、ライフカードの公式アプリかブックマークした公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）
  • 出典：ライフカード（公式・10月28日）

花キューピット（インターネット花キューピット・ビジネス花キューピット）

何があったか 花キューピットは10月28日、運営する「インターネット花キューピット」と「ビジネス花キューピット」が第三者の不正アクセスを受け、会員情報の一部が漏えいしたと発表しました。10月14日〜15日に管理システムへの不正アクセスがあり、10月19日の調査で漏えいを確認したとしています。

  • 件数：4,238,242件（該当する可能性のある会員）
  • 漏えいした項目：ユーザーID（ログインID）、パスワード（復元・解読できない形式で暗号化したもの）、PC用メールアドレス、携帯用メールアドレス
  • 漏れていないもの：氏名・性別・生年月日・住所・電話番号・クレジットカード番号・社名・部署名・お届け先は漏えいしていないとしています。カード情報はもともと保持していないとしています。公式ECサイトでメールアドレスを登録した人だけが対象で、外部のショッピングモールや電話での注文、花キューピット加盟店で買った人は対象外です
  • 会社の対応：攻撃に使われた経路を遮断し、個人情報保護委員会と警察に報告しました。10月28日から、対象の会員（退会済みを含む）の登録メールアドレスへ順次連絡しています。10月28日時点で、二次被害は確認されていないとしています。問い合わせ先は「インターネット花キューピット個人情報相談窓口」0120-805-666（9時〜17時30分）です
  • 利用者がやること：念のため、花キューピットのパスワードを変えます。同じIDとパスワードをほかのサービスでも使っているなら、そちらも変えておきます（「「パスワードが流出したかも」と思ったら」）。花キューピットや金融機関を名乗るメールが来ても、本文のURLや添付ファイルは開かず、個人情報を入力しないようにします。会社がメール・SMS・電話でパスワードやカード番号、認証コードを聞くことはないとしています
  • 出典：花キューピット（公式・10月28日）

ソニー生命（代理店として扱ったメディケア生命の契約）

何があったか ソニー生命は10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者の不正アクセスを受け、お客さまの情報が漏えいしたと発表しました。10月27日に判明し、外部からのアクセスを遮断して、お客さまWEBサービスやソニー生命アプリなど関係するサービスを止めています。詳細は調査中です。

  • 件数：約38.5万件
  • 漏えいした項目：ソニー生命が保険代理店として扱った、メディケア生命の保険契約の契約者・被保険者の氏名・生年月日・性別・住所・電話番号・証券番号・契約内容
  • 漏れていないもの：マイナンバー、クレジットカード情報、保険料の振替口座の情報は含まれないとしています
  • 会社の対応：10月28日時点で、情報が不正に使われた事実は確認されていないとしています。金融庁に報告済みで、対象の人には順次連絡するとしています。相談窓口はソニー生命カスタマーセンターの臨時フリーダイヤル 0120-833-344（9時〜17時30分。日曜・ゴールデンウィーク・年末年始を除く）です
  • 利用者がやること：ソニー生命やメディケア生命を名乗るメール・SMS・電話に注意し、本文のリンクは開かないようにします。会社がメールや電話でパスワード・暗証番号・ワンタイムパスワードを聞くことはないとしています。証券番号や契約内容を知っている相手でも、それだけで本物とは限りません。契約の確認は、公式サイトに載っている窓口へ自分から連絡します（「宅配の不在通知SMSが来たら」）
  • 出典：ソニー生命（公式・10月28日・PDF）

グッドスマイルカンパニー公式ショップ（10/29 第3報）

10/29更新：第3報でカード全桁・セキュリティコードも対象に グッドスマイルカンパニーは10月29日の第3報で、カード決済ページに不正なプログラムが置かれていたことが分かり、一部の人はカード番号の全16桁とセキュリティコードも漏えいした可能性があると発表しました。第2報（10月26日）までは「カード名義・番号の全桁・セキュリティコードは含まれない」と説明されていましたが、第3報で内容が変わっています。

何があったか ECサイト「グッドスマイルカンパニー公式ショップ」が第三者の不正アクセスを受けた件です（10月23日に第1報、26日に第2報、29日に第3報）。10月19日15時過ぎごろから10月22日23時前ごろにかけて不正アクセスがあり、お客さまの情報が複数回閲覧されました。さらに、10月21日13時55分から10月23日7時まで、カード決済ページに不正なプログラムが置かれていたとしています。会社がこのプログラムのことを知ったのは、10月28日18時30分過ぎごろです。原因は、システムの一部の脆弱性を悪用されて管理者権限を取られたことだとしています。10月23日7時にサイトを閉鎖しています。

  • カード情報が漏えいした可能性がある人（2,800名）：10月21日13時55分〜10月23日7時に、カード決済ページでカード情報を入力した可能性がある人です。漏えいした可能性があるのは、カード名義人名・カード番号の全16桁・有効期限・セキュリティコード です。この期間にカード決済で注文した人（384名）、決済を試みたが完了しなかった人、ログインしてカートに商品を入れた人、予約後に決済カードを変更した人（185名）が含まれます。対象者には10月29日早朝にメールで連絡したとしています。決済カードの変更を試みて完了しなかった人も、漏えいの可能性があるものの特定できないとしています
  • カード情報の一部が漏えいした可能性がある人：公式ショップにカードを登録したことがある人。カード番号の下4桁と有効期限で、重複を除き402,466枚分です（人数は確認中）。この類型では、名義人名とセキュリティコードの漏えいは確認されていないとしています
  • 注文情報が漏えいした可能性がある人（7,673名）：10月22日22時20分前ごろ〜23時前ごろに注文した人。お届け先・請求先の名前・住所・電話番号、メールアドレス、注文内容、金額、決済方法です（実際に閲覧された注文は202件ですが、特定できないため7,673件すべてを対象としています）
  • 会社の対応：脆弱性を改修し、システム間の接続情報を無効化・更新しました。原因はPHPの脆弱性ではないとしています。個人情報保護委員会には報告済みで、カード会社と決済代行会社への報告はこれから進めるとしています。サイトの再開時期は未定です。10月発送予定の注文と予約商品は、順次発送しているとしています。問い合わせ先は、カスタマーサポートのお問い合わせフォーム（公式ショップとは別のシステム）です
  • 利用者がやること：グッドスマイルカンパニーからカード情報についてのメールが届いた人は、カードの利用明細に身に覚えのない請求がないか確認し、カード裏面のカード会社へ連絡して、カードの停止・再発行を相談します。メールが届いていなくても、10月21日〜23日に公式ショップでカードを入力した心当たりがある人は、明細を確認しておきます。グッドスマイルカンパニーや金融機関を名乗る「お詫び」「返金」「再決済」などのメール・SMS・電話が来ても、本文のリンクは開かないようにします（「宅配の不在通知SMSが来たら」）
  • 出典：グッドスマイルカンパニー カスタマーサポート（公式・第3報・10月29日）・同（公式・10月23日、10月26日追記）

ANA（委託先アマデウス社のシステム）

何があったか 全日本空輸（ANA）は10月29日、旅客サービスシステムの提供を受けているAmadeus IT Group S.A.（アマデウス社）から、ANA便の予約情報に第三者の不正アクセスがあり、お客さまの個人情報の一部が参照された形跡があるとの報告を受けたと発表しました。JAL・JTAが10月28日に発表した件と同じ委託先です（JAL・JTAの件）。

  • 件数：調査中（公式未公表）
  • 参照された形跡がある項目・期間：公式未公表。アマデウス社と連携して影響の範囲を調べているとしています
  • 会社の対応：詳細が確認でき次第、対象のお客さまに知らせるとしています
  • 利用者がやること：ANAを名乗る「お詫び」「返金」「予約の確認」などのメール・SMSが来ても、本文のリンクは開かないようにします。予約やマイルの確認は、ANAの公式アプリかブックマークした公式サイトから自分で行います。予約番号や搭乗日を知っている相手でも、それだけで本物とは限りません（「宅配の不在通知SMSが来たら」）
  • 出典：全日本空輸（公式・10月29日）

JAL・JTA（委託先アマデウス社のシステム）

何があったか 日本航空（JAL）と日本トランスオーシャン航空（JTA）は10月28日、予約・発券や搭乗手続きを処理する旅客サービスシステムの委託先であるAmadeus IT Group, S.A.（アマデウス社）のシステムが不正アクセスを受け、予約情報の一部が外部から参照された形跡があったと発表しました。10月23日にアマデウス社から報告を受けたとしています。参照された形跡がある期間は、2023年8月10日から2026年9月23日です。

  • 約90,000名：予約番号・氏名・搭乗日・搭乗区間・搭乗クラス
  • 約2,000名：上の項目に加えて、メールアドレス・電話番号・パスポート番号・国籍・マイレージ番号・航空会社・便名・航空券番号・座席番号など
  • 合計：約92,000名（JAL・JTA便の予約記録の一部）
  • 漏れていないもの：クレジットカード番号と各種パスワードの漏えいはないとしています
  • 会社の対応：アマデウス社は必要なセキュリティ対策を終えたとしています。10月28日時点で、情報が不正に使われた事実は確認されておらず、運航への影響もないとしています。対象の人には個別に連絡し、JALグループを装った不審なメール・電話・偽サイトへの注意も呼びかけるとしています。専用の問い合わせ窓口は 0120-25-6050 / 03-4332-7280（海外から +81-3-4332-7280）、10月29日から、日本時間10時〜17時（土日祝日を除く）です
  • 利用者がやること：JALを名乗る「お詫び」「返金」「予約の確認」などのメールやSMSが来ても、本文のリンクは開かないようにします。予約やマイレージの確認は、JALの公式アプリかブックマークした公式サイトから自分で行います。予約番号や搭乗日を知っている相手でも、それだけで本物とは限りません。パスポート番号が対象になった人は、パスポート番号や国籍を使ったなりすましに注意し、身に覚えのない連絡や手続きの案内には応じないようにします（「宅配の不在通知SMSが来たら」）
  • ANAも同じ委託先：ANAも10月29日、同じアマデウス社のシステム経由で、ANA便の予約情報の一部が参照された形跡があると発表しました（件数は調査中・ANAの件）
  • 出典：日本航空・日本トランスオーシャン航空（公式・10月28日）

トク買（ベネフィット・ワン／セゾン会員向けの優待）

何があったか ベネフィット・ワンは10月28日、クレディセゾンの会員向けに提供している優待サービス「トク買」に関連して、業務委託先のフォレステックが運用するシステムが不正アクセスを受け、会員の個人情報が外部にダウンロードされたと発表しました。10月14日13時45分から10月20日14時5分まで断続的に不正アクセスがあり、10月21日に報告を受けて、同日17時からトク買を止めています。クレディセゾンが管理するシステムから漏えいしたものではないとしています。

  • 件数：29,465人（退会済みの会員を一部含む。調査中で、今後変わる可能性があるとしています）
  • 漏えいした項目：氏名・フリガナ・生年月日・性別・郵便番号・メールアドレス・お客様番号・入退会情報・会費の決済処理に使う管理番号（会員情報と決済情報をひもづける番号で、カード番号ではないとしています）。項目は会員ごとに異なります
  • カード：カード番号・有効期限・セキュリティコードは、ベネフィット・ワンも対象のシステムも保有しておらず、漏えいはないとしています
  • 決済の認証情報：会費の決済システムとの連携に使う認証情報の一部も漏えいしたおそれがあり、管理番号と組み合わせると会費決済の不正処理ができる可能性がありました。10月26日に認証情報を変更し、今はこの経路での不正処理はできないとしています。本件による不正な決済は確認されていないとしています
  • 会社の対応：個人情報保護委員会への報告、警察への相談、第三者機関による調査を進めています。対象の会員には、登録メールアドレスへ順次連絡するとしています。サービスの再開時期は未定です。問い合わせ先はメール（security-support@benefit-one.co.jp）です
  • 利用者がやること：ベネフィット・ワン、セゾン、トク買を名乗るメール・電話・SMSが来ても、本文のリンクは開かないようにします。会社がカード番号やパスワードをたずねることはないとしています。カード会社からの連絡に見えても、確認はセゾンの公式アプリかブックマークした公式サイトから自分で行います（「宅配の不在通知SMSが来たら」）
  • 出典：ベネフィット・ワン（公式・10月28日・PDF）

ブシロード「バンドリ！アワーノーツ」（開発委託先への不正アクセス・10/27 発表時点）

何があったか ブシロードは10月27日、同社が運営するスマートフォン向けゲームアプリ『バンドリ！アワーノーツ』の開発業務の委託先のシステムに第三者による不正アクセスがあり、クローズドβテスト（CBT）の応募者とカスタマーサポートの利用者の個人情報が漏えいしたと発表しました（10月27日の発表時点。公式の発表に「第◯報」の表記はなく、11月9日の時点で、公式のお知らせ一覧に続報は出ていません）。

  • 人数：CBT応募者 10,194名、CBTの運営・開発の関係者 71名、CBTアンケートの回答（個人情報が書かれていた分）5名、カスタマーサポートの問い合わせ者 3,034名。公式の発表には、全体の合計人数は書かれていません
  • 対象の期間：CBTは2026年6月25日17:00〜6月29日14:59（アンケートは6月29日15:00〜7月2日14:59）に応募・回答した人、カスタマーサポートは9月24日14:03〜10月14日23:46に問い合わせた人です
  • 漏えいした項目：CBT応募者はメールアドレス、IPアドレス、応募日時、端末情報（iOSかAndroidか）。関係者はこれに加えて、ブシロードと関係会社の従業員は氏名、委託先の従業員は電話番号。アンケート5名は回答内容（メールアドレス4件・Xアカウント1件を含む）。カスタマーサポートは問い合わせ本文のほか、端末情報2,832件、プレイヤーID 2,820件、メールアドレス311件、氏名257件、電話番号11件、住所・郵便番号6件です（項目は人によって異なります）
  • 含まれないもの・確認されていないこと：CBT応募者の氏名・住所・電話番号・パスワード・クレジットカード情報の漏えいは確認されていないとしています。また、プレイヤーIDだけでは、第三者がゲームアカウントへ不正にログインしたり、乗っ取りやデータの改ざんをしたりすることはできないとしています
  • 原因と会社の対応：開発業務の委託先の管理上の不備により、委託先のCBTデータとカスタマーサポートの問い合わせデータの保管環境に不正アクセスがあり、個人情報が取得されたとみられるとしています。この不備はすでに是正済みで、関連する環境以外への不正アクセスや、二次被害は、現時点で確認されていないとしています。対象の人には、個別に順次連絡するとしています
  • 利用者がやること：ブシロードや『バンドリ！アワーノーツ』を装った不審なメール・SMSが届くかもしれないため、心当たりのないメール・SMSのリンクや添付ファイルは開かないようにします。会社がメール・SMSなどでパスワード、クレジットカード情報、金融機関の暗証番号をたずねたり、金銭の支払いを直接請求したりすることは一切ないとしています。対象かどうかは、会社からの個別の連絡で確かめます（「宅配の不在通知SMSが来たら」）
  • 問い合わせ先：ブシロードのお問い合わせフォームです。 https://bushiroad.co.jp/contact
  • 出典：ブシロード「『バンドリ！アワーノーツ』クローズドβテスト応募者様およびカスタマーサポートご利用者様の個人情報漏えいに関するお詫びとお知らせ」（10月27日・PDF）

So-net・plala（Sコース）（ソニーネットワークコミュニケーションズ）

何があったか ソニーネットワークコミュニケーションズは10月27日、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受け、会員の情報が漏えいしたと発表しました。10月19日に外部から不正アクセスを受け、10月23日にそれを確認して対象のサーバーを止め、アクセス元からの通信を遮断しました。10月24日の調査で、漏えいした項目と件数を把握したとしています。原因は調査中です。

  • So-net会員の情報（2,141,986件）：現会員 1,869,771件、2026年3月以降に退会した元会員 272,215件。2026年2月末までに退会した人の情報は漏えいしていないとしています
  • plala（Sコース）会員の情報（443,495件）：現会員 422,365件、2026年3月以降に退会した元会員 21,130件
  • 漏えいした項目：氏名・電話番号・メールアドレス・ユーザーID・生年月日・性別・インターネット接続用ID
  • メールアドレスとメールのパスワード（計54,401件）：So-netの一部のメールサービスで、メールの送受信に使うパスワードも漏えいしました。メールサービス（G）（@〜.gyao.ne.jp・@〜.gate01.com・@〜.pbc.ne.jp・@〜.highway.ne.jp）24,655件、A-Box（追加メールボックス）17,672件、ソネットVAIOメール 7,005件、PostPetメールアカウントサービス 5,069件です。会社は10月27日にこれらのパスワードを初期化しました。無料の「基本メールボックス」は対象ではないとしています
  • 銀行口座の情報（16件）：金融機関名・支店名・口座番号・口座名義人など。口座の暗証番号は保有していないとしています。plala（Sコース）の会員は対象ではありません
  • パスワード再設定用の通知書の情報（7件）：パスワードは初期化済みです
  • 漏れていないもの：ログイン用のパスワードは漏えいしていないとしています。クレジットカード情報は含まれず、NUROなどほかのサービスでの漏えいは確認していないとしています
  • 会社の対応：個人情報保護委員会に報告し、原因と影響の範囲を調べています。対象の人には個別に連絡するとしています。10月27日時点で、二次被害は確認されていないとしています。問い合わせ先は「So-net 特設ダイヤル」0120-36-8887（平日・土曜 10時〜18時。11月1日〔日〕・3日〔祝〕も受付）です
  • 利用者がやること：上の4つのメールサービスを使っている人は、パスワードが初期化されたため、今のままではメールの送受信ができません。マイページ（https://www.so-net.ne.jp/mypage/）からメールのパスワードを再設定し、メールソフト（Outlookなど）に入れているパスワードも新しいものに変えます。So-netやplalaを名乗る「お詫び」「パスワード再設定」などのメール・SMS・電話には応じず、本文のリンクや添付ファイルは開かないようにします。確認は、ブックマークした公式サイトから自分で行います。メールと同じパスワードをほかのサービスでも使っているなら、そちらも変えておきます（「「パスワードが流出したかも」と思ったら」）
  • 出典：ソニーネットワークコミュニケーションズ（公式・10月27日・PDF）・So-net（公式・ご質問と回答）

楽天トラベル（海外ホテル予約の一部ページ・多言語予約サイト）

何があったか 楽天グループは10月26日、旅行予約サービス「楽天トラベル」の海外ホテル予約サイトのうち、子会社のRakuten Travel Xchangeが管理・運営する一部のページと、多言語予約サイトが、第三者による不正アクセスを受けたと発表しました。海外ホテル予約のページは9月10日に異常を検知して9月16日にシステムを改修し、多言語予約サイトは10月20日に検知して10月21日に改修を終えたとしています。

  • 海外ホテル予約ページで予約した人（最大約4万件）：氏名・メールアドレス・電話番号・居住国・社内用の識別番号・予約情報（施設名・予約金額など）と、同伴者の氏名・居住国。このうち最大約3万6千件は、支払情報（カードの発行者識別番号と下4桁・名義・有効期限・国際ブランドの区分）も対象です
  • 海外ホテル予約ページでログインした人（最大約260万件）：氏名・メールアドレス・電話番号・社内用の識別番号
  • 多言語予約サイト（最大約86万件）：ログインした人のメールアドレスと社内用の識別番号。このほか、管理画面を使った宿泊施設の従業員 最大約4万件のアカウント名・メールアドレスなども対象です
  • 対象のエリア：ヨーロッパ、アメリカ・カナダ、アジア・オセアニアの一部の国・地域の海外ホテル予約ページ（韓国・台湾・香港・シンガポール・マカオなどは除く）
  • パスワード・カード：カード番号の全桁・セキュリティコード、パスワード、パスポートなどの身分証明書の情報、住所は含まれないとしています。対象の情報だけでは、決済（買い物・旅行予約）やキャッシングの不正利用はできないとしています
  • 会社の対応：アクセス経路を遮断してシステムを改修し、個人情報保護委員会と国外の関係当局に報告しています。対象の人には、楽天から順次、個別に連絡するとしています。二次被害は現時点で確認されていないとしています
  • 利用者がやること：まずは楽天からの個別の連絡を待ちます。楽天を名乗る「予約の確認」「キャンセル」「返金」などのメール・SMSが来ても、リンクは開かず、楽天トラベルのアプリかブックマークした公式サイトから自分で予約を確認します。名前や泊まった施設名が書かれていても、本物とは限りません。カード番号の全桁は含まれないとしていますが、念のため、カードの利用明細に身に覚えのない請求がないかも確認しておくと安心です（「宅配の不在通知SMSが来たら」）
  • 出典：楽天トラベル（公式・10月26日）・INTERNET Watch

ユミルリンク（メール配信「Cuenote FC」）

何があったか 企業や自治体のメール配信サービス「Cuenote（キューノート）」を運営するユミルリンクは、メールマガジンなどの一斉送信に使う「Cuenote FC」の一部のシステムが不正アクセスを受け、個人情報が外部に持ち出されたと発表しています。10月16日に不正アクセスを確認し、10月19日の第一報では5システム・延べ約900万件としていましたが、10月26日の第二報で、対象が49システム・延べ51,628,280件に広がりました。

  • 件数：延べ51,628,280件（49システム。同じ人の重複を含む延べ件数）。ほかに16システムで件数を調査中で、今後増える可能性があるとしています
  • 対象となる情報：配信先のメールアドレスが中心です。利用する会社ごとに、氏名・都道府県・生年月日などの付属情報が登録されていることがあり、項目は調査が終わりしだい報告するとしています。このほか、契約している会社の担当者の情報（企業名・氏名・電話・メールアドレス）190件が閲覧できる状態だったとしています
  • パスワード・カード：ユミルリンクの発表には記載がありません。honto（大日本印刷）は、パスワード・クレジットカード情報・購入履歴はメール配信システムでは保有していないとしています
  • 影響を受けた会社・自治体の例：大日本印刷の「honto」（メールマガジンの配信を許諾した人の氏名・メールアドレス・システム内部の識別番号。件数は調査中）、埼玉県の「ぷらっとさいたま -スマート農業導入ナビ-」（669者の氏名・メールアドレスなど）。メールマガジンを登録していた会社から、個別にお知らせが届くことがあります
  • なりすましメール：10月26日時点で、公開や不正利用は確認されていないとしています。一方で、ユミルリンクのドメインを使い、第三者をかたった迷惑メールが確認されています。例として、件名「ご利用確認のお願い」「利用内容確認のご依頼」、送信元「セゾンカード」「SAISON」（info@cuenote.jp）のメールを挙げ、詐欺の可能性があるとして注意を呼びかけています
  • 会社の対応：脆弱性の修正や不審なアクセスの遮断を行い、警視庁と個人情報保護委員会に届け出ています。新たに影響がわかった42社には、10月26日に連絡したとしています
  • 同じ時期のメール配信サービスの件：10月は、会社がメールマガジンなどを送るための法人向けメール配信サービスへの不正アクセスが続いています。ブラストメール（10/21）、アララ メッセージ（11/2 第2報）も同じ流れの件です。どれも、メールを受け取っていたお店・サービスから個別に案内が届くことがあり、そのお店を名乗る偽メールに注意が必要です
  • 利用者がやること：「お詫び」「ご利用確認」などの件名のメール・SMSが来ても、リンクは開かないようにします。カード会社やお店からの連絡に見えても、確認は公式アプリかブックマークした公式サイトから自分で行います。同じパスワードをほかのサービスで使い回しているなら、変えておくと安心です（「宅配の不在通知SMSが来たら」）
  • 出典：ユミルリンク（公式・第二報）・ユミルリンク（コーポレートサイト・第二報）・ScanNetSecurity（11月2日）・大日本印刷（公式・honto・PDF）・埼玉県（公式）・NHK

自社の利用者に案内を出した主な会社（公式発表）

  • JR東海・JR西日本・JR九州（エクスプレス予約・スマートEX・PDF）：一部の会員のメールアドレス・会員ID・氏名（カタカナ）・会員種別。対象は、販売促進のメールや、熊本地震の影響で列車の発車時刻が変わったことを知らせるメールなどを受け取った会員で、件数はユミルリンクが確認中としています。生年月日・住所・電話番号・カード番号などは漏えいの可能性はないとしています（10月26日）
  • サイボウズ：各種お知らせの配信先として登録したメールアドレスなど。kintoneなど同社のサービスで預かっているデータへの影響はないとしています（10月26日）
  • 野村證券：金融機関など向けのポートフォリオ管理ツール「i-Port」の加入者のメールアドレスなど。ポートフォリオや証券口座の情報は含まれないとしています
  • ソースネクスト：「Cuenote FC」に登録されていたメールアドレス等。件数と流出した項目は確認中で、パスワードとクレジットカード情報は含まれないとしています。10月15日に発表した自社サイトの不正アクセスとは別の件です（10月27日・詳しくはこちら）
  • りそな銀行・埼玉りそな銀行・関西みらい銀行（りそなグループ・PDF）：お客さまのメールアドレスと、メール配信用に付けた管理番号（この番号だけでは個人は特定できないとしています）。口座番号・暗証番号・パスワード・クレジットカード情報などの金融取引に関する情報は含まれず、不正利用も確認されていないとしています。グループや関係会社を装った不審なメールに注意し、リンクを開いたり個人情報を入力したりしないよう呼びかけています（10月27日）
  • ライフカード：339,610契約。氏名・メールアドレス・カード名称・ETCカード番号の一部（60件）など。ライフカードが管理するカード会員情報のシステムへの不正アクセスは確認されていないとしています（10月28日・詳しくはこちら）
  • 毎日新聞社：ニュースやイベントの案内をメールで受け取っている人のメールアドレス等。クレジットカード情報は含まれないとしています。ニュース速報・ニュースレター・メールマガジンなどの配信を停止しています（10月26日）
  • インプレス：メールマガジンの配信先のメールアドレスと、一部の人の氏名・会社名。クレジットカード・口座情報・パスワードは含まれないとしています。メールマガジン等の配信は全面停止中です（10月27日）

エクスプレス予約・スマートEXを使っている人は、会員IDとメールアドレスがいっしょに漏れた可能性があります。EXを名乗る「ご利用確認」「会員情報の確認」などのメールが来ても、リンクは開かず、EXアプリかブックマークした公式サイトから自分でログインして確認します。JRは、対象の会員にメールなどで個別に連絡するとしています。

Joshin（ジョーシン）

何があったか 家電量販店「ジョーシン」を展開するJoshinは、社内のネットワークが第三者による不正アクセスを受けたと発表しています。10月16日に異常を検知して、該当するサーバーをネットワークから切り離し、10月17日に第一報を公表しました。10月26日の第2報で、会員情報などが漏えいした可能性があると公表しています。一部のサービスは、今も使えない状態です。

  • 件数：漏えいした可能性がある総件数で、漏えいが確定した件数ではないとしています
  • 会員情報データベース（最大約600万件）：氏名・住所・電話番号・会員番号
  • 「ジョーシンのサブスク」（最大約23万件）：会員番号、電話番号と手書きサイン（バイナリデータ）、ログインIDと初期パスワード、請求履歴、契約番号・デバイスID、有効化コード
  • リフォーム写真アップロードシステム（最大約800件）：免許証の画像2件、マイナンバーカード1件、口座番号5件と、リフォーム工事中の写真データ。該当する人には個別に連絡しているとしています
  • カード：決済情報を持たない仕組みにしており、クレジットカード情報は保持していないとしています
  • 会社の対応：個人情報保護委員会と警察に相談・報告し、外部の専門機関と調査を続けています。問い合わせ先は「お客様相談窓口」06-6631-1323（9:30〜18:30）です
  • 利用者がやること：Joshinを名乗るメール・SMS・電話が来ても、身に覚えがなければリンクは開かず、確認は公式アプリかブックマークした公式サイトから自分で行います。同じパスワードをほかのサービスで使い回しているなら、変えておきます。カード情報は保持していないとしていますが、念のため、カードの利用明細に身に覚えのない請求がないかも確認しておくと安心です
  • 出典：Joshin（公式・第2報・PDF）・NHK・ケータイ Watch

お名前.com デスクトップクラウド（GMOインターネット）

何があったか GMOインターネットは、FXの自動売買などに使われるWindowsのクラウドサービス「お名前.com デスクトップクラウド」がサイバー攻撃を受けたと発表しています。10月20日に一部の利用者のサーバーで不正なプログラムの設置を確認し、21日から全プランのサーバーを止めています。10月24日の第4報で、システムにセキュリティ上の問題があり、顧客の情報が外部に持ち出されたことを確認したと公表しました。

  • 影響の範囲：影響を受けた可能性があるサーバーは26,739件としています。サーバーの中に保存されていた証券会社・FX会社の取引口座のログイン情報などが取得され、不正に使われた可能性があるとしています
  • 被害：一部の利用者から、取引口座で身に覚えのない取引があったという報告を受けているとしています
  • 会社の対応：利用中のすべての利用者に、被害の有無にかかわらずお見舞金5,000円を支払うとしています（案内は10月30日までにメールで）。不正取引による実際の損失（取引の差損・手数料など）は、取引所などから返金された分を差し引いて補償するとしています（申請方法は11月6日までに案内）。今のシステムは再開せず、希望者には別のクラウドの代替サービスを6か月間無料で提供するとしています
  • 脅迫について：攻撃者とみられる者から金銭を要求されているものの、応じないとしています。今後、攻撃者が顧客の情報と称するものを公開する可能性があり、事実と異なる内容が含まれるおそれがあるとして注意を呼びかけています
  • 利用者がやること：このサービスで自動売買をしていた人は、つないでいた証券会社・FX会社のパスワードを変え、ログオフ（セッションの切断）もしておきます。パスワードを変えても、ログインしたままの状態が残っていると取引を続けられるおそれがあるためです。GMOは、補償の手続きでパスワード（MT4/MT5の閲覧専用パスワードを除く）や暗証番号を聞くことはないとしています。補償やお見舞金をよそおった連絡のリンクは開かず、公式サイトで確認します
  • 出典：GMOインターネットグループ（公式・第4報）・ITmedia NEWS

アンドエスティHD（ニコアンド・グローバルワークなど）

何があったか ニコアンドやグローバルワークなどのブランドを展開するアンドエスティHDは10月23日、社内の業務サーバーが第三者による不正アクセスを受け、個人情報が流出した可能性があると発表しました。10月22日の朝に侵入され、同日10時ごろに検知してサーバーを隔離し、17時までに不正アクセスの経路を遮断したとしています。警察に相談し、個人情報保護委員会にも報告しています。

  • 件数：お客さまの情報 約250万件（10月23日時点で、流出は「可能性」の段階です）
  • 流出した可能性がある項目：氏名・生年月日・性別・住所・電話番号・メールアドレス・会員ID
  • パスワード・カード：クレジットカードなどの決済情報と、お客さま自身が設定したパスワードは含まれないとしています
  • ほかの対象：取引先の情報 約1万件（会社名・住所・担当者名・電話番号・メールアドレス）。従業員の情報は、対象の範囲を確認中です
  • お店・ポイントへの影響：店舗とWEBストア「and ST」は引き続き利用でき、WEBストアは今回の不正アクセスの影響を受けていないとしています。ただし、店舗とWEBストアで会員ポイントが使えない状態です。報道によると、10月26日時点で店舗受取と試着のサービスも止まっています
  • 会社の対応：対象のお客さま・取引先へ順次連絡し、問い合わせ窓口を設けるとしています
  • 利用者がやること：名前・住所・生年月日まで書かれていても、アンドエスティや宅配業者を名乗るメール・SMS・電話は本物とは限りません。リンクは開かず、確認は公式アプリかブックマークした公式サイトから自分で行います。いまは会員ポイント自体が使えないため、「ポイントが失効します」「ポイントを移行してください」といった連絡は無視して大丈夫です（「宅配の不在通知SMSが来たら」）
  • 出典：アンドエスティHD（公式・10月23日）・NHK・流通ニュース

タイムズカー（パーク24・10/23 第5報時点）

この件の詳しい記事：タイムズカーの会員情報 6,628,007件が漏えい｜運転免許情報・本人確認書類の画像、やることと確認方法（10月23日 第5報時点）

何があったか カーシェアの「タイムズカー」を運営するタイムズモビリティ（パーク24グループ）は、Webシステムの脆弱性を悪用した不正アクセスで、会員の情報が外部に送信されたと発表しています。9月25日に不正アクセスを検知し、10月23日に、外部専門機関の調査が終わった第5報で、件数とお見舞いの方針を公表しました（第5報時点。11月9日の時点で、第5報より後の報は出ていません）。

  • 件数：タイムズカーのWebシステムで、外部送信された痕跡が確認された情報は6,628,007件です（10月23日の第5報時点。公式は、属性・識別情報、パスワード、本人確認書類の画像を「①に該当するアカウント」の情報として書いています）
  • 外部に送信された項目：氏名・住所・生年月日・電話番号・メールアドレス・運転免許証の情報など。ハッシュ化したパスワード4件も含まれます
  • 免許証などの画像：暗号化した本人確認書類（運転免許証など）の画像は、外部送信の痕跡が確認されたものが1,464,800件、アクセスされたが外部送信の痕跡は確認されなかったものが891,602件（計2,356,402件）としています。暗号化されていても、将来解読される可能性を完全には否定できないとしています
  • タイムズクラブのシステム：タイムズクラブカード番号19,510件、連携サービスのID 135,436件、クレジットカード番号の下4桁28件など。カード番号全体とセキュリティコードは保持していないとしています
  • お見舞い：画像の外部送信が確認された人に、3,000円相当（現金または金券）を渡す予定です。内容と渡し方は検討中で、決まりしだい対象の人へ案内するとしています
  • 会社の対応：10月23日17時から、会員ページ（マイページ）で自分のどの情報が対象かを確認できるようにしています。免許証などの画像は、会員登録の手続きが終わったら削除する運用に変え、保管中の画像は10月中に削除するとしています。問い合わせ窓口は0120-25-8924（24時間）です。退会済みで自分の情報が対象か確認したい人は、退会者専用のお問い合わせフォームから連絡します。原因は、Webシステムにあった脆弱性が悪用されたことと判断しています。情報セキュリティ強化策とガバナンス強化策は、年内を目処に公表するとしています
  • 利用者がやること：お見舞いや返金をよそおったメール・SMS・電話のリンクは開かず、個人情報や口座番号を入力しないようにします。対象かどうかは、メールのリンクからではなく、公式アプリかブックマークした公式サイトからログインして確認します。タイムズカーと同じパスワードをほかのサービスで使っているなら、そちらも変えておくと安心です
  • 出典：タイムズカー（公式・10月23日）・ITmedia NEWS

ブラストメール（ラクスライトクラウド）

何があったか ラクスの子会社ラクスライトクラウドは10月21日、メール配信サービス「ブラストメール」が不正アクセスを受け、顧客の個人情報を含むデータが外部に持ち出されたと発表しました。API用のサーバー2台に侵入され、販売管理システムとサービスのデータベースからデータが持ち出されたとしています。侵入経路は調査中です。

  • 対象となる情報：すべての契約者の会社名・担当者名・電話番号・メールアドレス・請求先メールアドレス・契約や支払いの履歴など。一部の契約者では、メールマガジンの配信先リストなども漏えいしたとしています
  • カード：クレジットカード番号は保持していないとしています。パスワードについては発表に記載がありません
  • 会社の対応：10月21日0時30分からサービスを止めており、再開の日時は未定です。配信先リストが漏えいした契約者には個別に連絡するとしています
  • 利用者への影響：ブラストメールでメールマガジンを送っていた会社・団体が、相次いで発表しています（報道によると、H.I.S.ホテルホールディングスの会員 約14万人、新潟日報パスポート 最大約25万3千人、JR四国ツアーのメールマガジン 最大約3万人、横浜市の国際園芸博覧会ボランティア応募者 6,334人など）
  • 利用者がやること：登録していたメールマガジンの送り主を名乗る、心当たりのないメールに注意します。本文のリンクは開かず、確認は公式サイトから自分で行います
  • 同じ時期のメール配信サービスの件：ユミルリンク「Cuenote FC」、アララ メッセージも、法人向けメール配信サービスへの不正アクセスです
  • 出典：ラクス（公式・第2報）・H.I.S.ホテルホールディングス（公式）・ITmedia NEWS

佐川急便（お荷物問い合わせサービス）

この件の詳しい記事：佐川急便の情報漏えい｜対象か確かめる方法と、今やること

何があったか 佐川急便は、Webサイトの「お荷物問い合わせサービス」への第三者による不正アクセスで、個人情報が流出した可能性があると発表しています。9月30日に不正アクセスを確認してサービスを止め、10月23日の第5報で件数を公表し、荷物の問い合わせサービスを再開しました。

  • 件数：現時点で最大 約5,323万件（同じ人の情報の重複を含む件数で、対象となる人の実人数ではないとしています）
  • 対象となる情報：①2026年6月21日〜9月30日（約100日間）に預かった荷物の送り状データ（依頼主・お届け先の氏名、住所、電話番号）、②運賃契約をしている利用者の契約者情報（氏名、住所、電話番号）、③「スマートクラブ」会員の情報（氏名、住所、電話番号、メールアドレス、会員ID）。手書きの送り状で預けた荷物の情報は含まれないとしています
  • パスワード・カード：クレジットカード情報とパスワードは含まれないとしています。10月23日時点で、不正利用などの二次被害は確認されていないとしています
  • 会社の対応：対象の方へ順次案内し、個別に案内できない場合はこの発表で通知にかえるとしています。「お荷物問い合わせ」は10月23日に再開しましたが、受取先変更・集荷の受付など一部のWebサービスは停止が続いています。専用の窓口（0120-28-3449、9時〜17時）を設けています
  • 利用者がやること：依頼主として送った人も、届けてもらった人も対象になりえます。佐川急便を名乗る不在通知のSMS・メール・LINE・電話が来ても、リンクは開かず、個人情報を入力しないようにします。荷物の状況は、送り状の番号を公式サイトに自分で入力して確認します（「宅配の不在通知SMSが来たら」）
  • 出典：佐川急便（公式・第5報）・INTERNET Watch

デジタル庁（Web制作サービス「Studio」への不正アクセス）

何があったか デジタル庁は10月22日、Webサイトの運営の一部に使っていたノーコードのWeb制作サービス「Studio」が不正アクセスを受け、個人情報が漏えいした可能性があると発表しました。Studioの運営会社は10月16日、Studioに登録しているすべての利用者の情報や、各サイトのフォームに送信された内容が流出した可能性があると発表しています。

  • 件数：デジタル庁の問い合わせフォームの内容 最大13,323件（2021年5月〜2023年3月に入力されたもの）。内訳は、一般的なご意見・ご要望 最大8,833件、接種証明書アプリの問い合わせ 最大3,661件、ワークショップ等の参加関連 最大462件、採用の問い合わせ 最大250件、マイナちゃんの着ぐるみ借用 最大117件。ほかに、職員・委託事業の従事者のStudioアカウント情報35件
  • 漏えいした可能性がある項目：氏名、メールアドレス、問い合わせ内容など。窓口によっては所属、送付先住所、電話番号も含まれます（氏名やメールアドレスは任意で入力した場合のみ）
  • 会社・庁の対応：範囲は精査中です。10月22日時点で、悪用などの二次被害は確認されていないとしています
  • 利用者がやること：デジタル庁や関係機関を名乗る不審なメール・電話・SMSのリンクや添付ファイルは開かず、パスワードやカード番号を入力しないようにします。デジタル庁は、パスワードやカード情報をメールや電話でたずねることはないとしています。ほかの会社や自治体のサイトでも、Studioで作られたフォームに送った内容が対象になっている可能性があるため、各サイトのお知らせも確認します
  • 出典：デジタル庁（公式）・Studio（公式・第一報）・ITmedia NEWS・INTERNET Watch

カプコン（CAPCOM ID）

この件の詳しい記事：カプコン「CAPCOM ID」の情報漏えい｜対象か確かめる方法と、今やること

何があったか カプコンは10月22日、ゲームやWebサービスで使う会員サービス「CAPCOM ID」に不正アクセスがあり、お客さまの情報が漏えいしたと発表しました。10月19日に不審なアクセスを見つけて遮断し、10月20日に情報の漏えいと、一部アカウントでの不正なパスワード変更を確認したとしています。

  • 件数：11,774,247件（全世界、10月22日時点）
  • 流出した項目：メールアドレスと、アカウント作成日時・最終ログイン日時・ログイン回数・最終ログイン時のIPアドレス。このうち43件は、生年月日・性別・国/地域・ニックネームも含まれます
  • パスワード：利用者が設定したパスワードの流出は確認されていないとしています。ただし、196アカウントでログインパスワードが不正に変更されており、これらはリセット済みです
  • カード：クレジットカード情報は含まれないとしています
  • ゲームへの影響：すべてのゲームに影響はなく、CAPCOM IDのサービスも引き続き使えるとしています
  • 会社の対応：警察と個人情報保護委員会へ報告済み。対象のお客さまには順次個別に連絡し、専用の問い合わせ窓口（国内：0120-801-271、10時〜20時）を設けています
  • 利用者がやること：カプコンや関係者を名乗る不審なメール・メッセージに注意し、心当たりのないURLや添付ファイルは開かないようにします。CAPCOM IDと同じパスワードをほかのサービスで使っているなら、そちらも変えておくと安心です（ゲームのアカウントの守り方は「ゲームのアカウントは『パスキー』で守る」）
  • 出典：カプコン（公式）・ITmedia NEWS・INTERNET Watch

カーセンサー（リクルート）

何があったか リクルートは、中古車情報サービス「カーセンサーnet」と販売店向けの「C-MATCH」への不正アクセスで、個人情報が漏えいしたと発表しました（10月21日）。10月17日に不審なアクセスを検知し、同日17時ごろから関連するすべてのサービス（アプリ版を含む）を一時停止しています。

  • 件数：最大3,709,551件
  • 販売店に問い合わせをした利用者（3,210,421件）：多くは氏名と住所（3,176,375件）。一部は問い合わせ内容・年代・性別、電話番号・メールアドレスを含みます。住所は基本的に市区町村までですが、最大447,670件は番地や建物名まで含む可能性があるとしています
  • クチコミを投稿した利用者（5,289件）：氏名（4件はメールアドレスも）
  • C-MATCHに登録している販売店（483,168件）：代表者・担当者の氏名、電話番号、古物商許可番号、ログインIDなど。個人事業主の場合は、事業所の住所や口座振替の口座情報も含まれます
  • 含まれないもの：クレジットカードなどの決済情報と、ログインパスワードは含まれないとしています
  • 会社の対応：対象の方へ順次個別に連絡し、連絡がつかない場合はこの発表で通知にかえるとしています。個人情報保護委員会へ報告し、原因と影響範囲を調査中です。10月21日時点で二次被害は確認されていないとしています
  • 利用者がやること：氏名と住所を使った不審なメール・SMS・郵便物・電話が来ても、返信や対応をせず、本文のリンクや添付ファイルは開かないようにします
  • 出典：リクルート（公式）・ITmedia NEWS

ふるさとチョイス（トラストバンク・11/5 第5報時点）

何があったか ふるさと納税サイト「ふるさとチョイス」の会員情報が、第三者の不正アクセスで外部に流出しました。10月17日に不正アクセスがあり、10月19日に確認されたと発表されています。11月5日の第5報で、11月6日12時00分から「ふるさとチョイス」Web版の寄附受付を順次再開すると発表されました。

  • 件数：4,454,097件（10月20日の発表の件数で、現時点で確認できた件数で今後変わる可能性があるとしています。第5報では件数の更新はありません）
  • 流出した項目：氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄付金控除の目安額。第2報（10月23日）で、5名についてはポイント履歴・寄附履歴・クレジットカード情報（下4桁、名義、有効期限）・生年月日・送付先などの追加の項目が判明し、個別に連絡しているとしています。カード情報は決済代行会社から都度取得して表示する仕組みで、会社のシステムには保存されておらず、その情報だけでカード決済はできないとしています
  • 会社の対応：10月19日にふるさとチョイス関連のサービスを停止。外部の専門家と調査し、個人情報保護委員会へ報告しています。10月26日に自治体・事業者向けの寄附管理システム、10月28日に提携先サイトとの連携システムが再開しました。11月5日の第5報では、必要な安全対策と検証を行い安全性を確認できたとして、11月6日12時00分から順次、Web版の寄附受付を再開します。アプリ版とチョイスPayは、今後の再開予定としています
  • 利用者がやること：全会員の現在のパスワードは無効化されているため、ログインのときに新しいパスワードを設定します。ふるさとチョイスと同じメールアドレス・パスワードの組み合わせを、ほかのサービスで使っている場合は、そちらのパスワードを変更します。会社や関係先を名乗る不審なメール・SMS・電話・郵便物に注意し、身に覚えのないメールやSMSのURLや添付ファイルは開かず、不審なWebサイトに個人情報やパスワードを入力しないようにします
  • 問い合わせ窓口：寄附者向けは toiawase@trustbank.co.jp
  • くわしい記事：ふるさとチョイスの会員情報流出（4,454,097件）｜11/6 の再開後にやること
  • 出典：トラストバンク（公式）第5報・第1報・第2報・第3報・第4報

岩井コスモ証券（委託先への不正アクセス・不正な売買注文）

何があったか 岩井コスモ証券は、インターネット取引のシステムの運用・保守を委託しているトレードワークス社のシステムに不正アクセスがあったと発表しました（10月16日に第1報、10月20日に第2報）。10月14日には売買管理システムへの攻撃もあり、7つの口座で、お客さまが出していない売買注文が出されました（うち5口座で約定）。

  • 件数：4,975人（第1報の4,611人に、再調査で見つかった364人を追加）
  • 流出した項目：氏名、メールアドレスなど
  • パスワード・暗証番号：流出した情報に取引暗証番号は含まれず、この情報では口座へのログインや取引はできないとしています
  • 不正な売買注文：対象のお客さまには10月14日のうちに個別に連絡し、取引前の状態に戻す対応を終えたとしています。この注文に、流出した個人情報は使われていないと説明されています
  • 会社の対応：原因の箇所は特定・修正済みで、取引は通常どおりできるとしています。新たに対象となった364人には、ログイン後のお知らせ画面とメールで個別に連絡したとしています
  • 利用者がやること：証券会社を名乗るメールやSMSのリンクからはログインせず、ブックマークした公式サイトや公式アプリから確認します。身に覚えのない取引がないか、取引履歴も確認しておくと安心です
  • 出典：岩井コスモ証券（公式・第2報）・INTERNET Watch・ITmedia NEWS

H2O ID（阪急阪神百貨店など）

何があったか エイチ・ツー・オー リテイリングと阪急阪神百貨店は、「阪急百貨店・阪神百貨店予約サイト」「HANKYU HANSHIN E-STORES」「Remo Order」で第三者による不正アクセスがあり、「H2O ID」の個人情報の一部が漏えいしたと発表しました。

  • 件数：約126万件（ほぼすべてのH2O ID会員の情報の一部が漏えいしたとしています）
  • 流出した項目：H2O ID、氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、H2O IDで利用しているサービスの項目
  • E-STORES・Remo Orderについて：漏えいの可能性は調査中です。これらのサービスでは、注文履歴、クレジットカード情報の一部（カード種別、下4桁、名義、有効期限）、ポイントカード情報の一部、アドレス帳を保持しているとしています。カード番号の全桁とセキュリティコードは保持していないと発表されています。ログインパスワードの漏えいは確認されていないとしています
  • 会社の対応：対象サイトのシステムを停止し、個人情報保護委員会への報告と警察への被害申告を実施。H2O ID会員へ順次メールで連絡しています
  • 利用者がやること：登録したメールアドレスや電話番号に、会社をよそおった不審な連絡が来る可能性があると案内されています。会社からの案内の送信元は「noreply@h2o-retailing.co.jp」と発表されています。それ以外からの連絡や、身に覚えのないURLには注意します
  • 出典：エイチ・ツー・オー リテイリング（公式・PDF）

ニフティ（回線申込の管理システム）

何があったか ニフティは、回線申込の受付を管理する社内システムに、外部からの不正アクセスがあったと発表しました。お客さまが申し込みに使うWebサイトではなく、社内で情報を登録する管理システムとしています。10月21日の第2報で、対象が大きく絞り込まれました。

  • 件数：最大18,000件の 可能性（第1報の最大542,513件から修正。漏えいの有無は調査中）
  • 対象：2019年以降に「@nifty光」を申し込んだ方（ニフティのWebサイトからの申し込みを除く）。第1報で対象とされた「@nifty MAX光」「@nifty auひかりプラス」は対象外になりました
  • 流出した可能性がある項目：会員ID、氏名、性別、生年月日、住所、電話番号。第1報にあったメールアドレスは含まれないことが確認されたとしています
  • パスワード・カード・口座：このシステムはパスワード、銀行口座、クレジットカードの情報を保有していないとしています
  • 会社の対応：不正アクセス元を遮断し、外部のセキュリティ機関と調査しています
  • 利用者がやること：ニフティは、メールや電話で暗証番号・パスワード・クレジットカード情報をたずねることはないとしています。ニフティを名乗る不審なメール・電話・SMSのURLは開かず、個人情報を入力しないようにします
  • 出典：ニフティ（公式・第2報）・ニフティ（公式・第1報）

防災メール配信システム「SpeeCAN RAIDEN」（アルカディア）

何があったか 自治体が住民に防災情報や緊急のお知らせを送るのに使う配信サービス「SpeeCAN RAIDEN」に、第三者による不正アクセスがあったと、運営するアルカディアが発表しました（10月13日に第1報）。10月11日に不審な動きを検知し、10月13日11時からサービスを緊急停止、10月15日に再開しています。さいたま市、横須賀市、大分県、岡山市なども、それぞれの防災メールなどの登録者の情報が対象になったと発表しています。

  • 件数（推定・調査中）：メールアドレス 最大約313万6千件、電話番号 約10万5千件、FAX番号 約1万5千件。消防向けの「119RAIDEN」（メールアドレス約9万7千件など）や「NET119」（9,020件）も対象になったとしています
  • 流出した項目：連絡先の名前、メールアドレス、電話・FAX番号、配信したメッセージの本文など。決済情報は扱っていないため影響はないとしています
  • 不正なメールの送信：10月13日1時17分〜7時16分に、このシステムから不正なメールが計1,423,428通送信されたと発表しています（10月21日、第17報）
  • 会社の対応：侵入経路を遮断し、個人情報保護委員会や警察などへ報告。10月22日からは、管理画面へのログインに二段階認証を必須にしています
  • 利用者がやること：一部の自治体では、登録者にカード会社を名乗る不審なメールが届いたと報じられています。この件に関係しそうなメール・SMSが来ても、リンクは開かず、お知らせは自治体の公式サイトやブックマークから確認します。パスワードやカード番号、住所などは入力しないようにします。この件を理由に防災メールの登録を解除する必要はないと解説されています（INTERNET Watch）
  • 出典：アルカディア（公式・一連の対応）・ITmedia NEWS・INTERNET Watch

ソフトバンク（My SoftBankなどのWeb版を停止）

何があったか ソフトバンクは、My SoftBankに関連する一部のシステムに、第三者による不正アクセスの 試み を10月17日に検知したと発表しました。お客さまの情報を守るため、「My SoftBank」「My Y!mobile」「My Menu」のWebサイトを10月17日8時から一時停止しています。

  • 流出について：発表は不正アクセスの試みについてのもので、情報が流出したという発表はありません
  • 使えるもの：アプリ版は引き続き利用できるとしています
  • 再開：「My SoftBank」のWebサイトは10月21日21時ごろ、「My Y!mobile」「My Menu」は10月22日17時30分ごろに再開し、すべての会員サイトが使えるようになりました（10月22日発表）。ネット環境によっては閲覧できない場合があり、そのときは画面の案内に従うよう案内されています
  • 利用者がやること：停止や再開に便乗して、ソフトバンクを名乗るメールやSMSでログインをうながす連絡があっても、リンクから入らず、公式アプリかブックマークから開きます
  • 出典：ソフトバンク（公式・10/22 全会員サイト再開）・ソフトバンク（公式・10/22）・ソフトバンク（公式・10/19）

スクウェア・エニックス アカウント（不正ログイン）

何があったか スクウェア・エニックスは10月19日、「スクウェア・エニックス アカウント」への不正ログインを確認したと発表しました。ほかのオンラインサービスから流出したとみられるメールアドレス（またはID）とパスワードの組み合わせが使われているとしています。『ファイナルファンタジーXIV』の公式サイトでも注意が呼びかけられています。

  • 件数：発表されていません
  • 狙われやすいアカウント：ほかのサービスと同じメールアドレス・パスワードを使っているアカウントや、同じ文字・数字の繰り返し、生年月日など推測されやすいパスワードのアカウント
  • 会社の対応：被害が疑われるアカウントにはログイン制限をかけています。対象の方には、登録メールアドレスに制限解除の案内が届き、パスワードを再設定してからログインする流れです。不正アクセスが増え続ける場合は、すべてのアカウントのパスワードをリセットする可能性があるとしています
  • 利用者がやること：ほかのサービスと同じパスワードや、推測されやすいパスワードを使っているなら、すぐに変更します。あわせて、ワンタイムパスワードの利用がすすめられています。パスワード再設定をうながすメールが届いたときは、メールのリンクではなく、ブックマークした公式サイトから手続きすると安心です（ゲームのアカウントの守り方は「ゲームのアカウントは『パスキー』で守る」）
  • 出典：ファイナルファンタジーXIV ロドストーン（公式）・4Gamer.net

コミックシーモア（NTTソルマーレ）

何があったか 電子書籍サービス「コミックシーモア」で不正アクセスがあり、お客さまの情報が流出したと発表されています。10月21日の第4報で件数が発表されました。

  • 件数：会員データベースから319件、システムのログファイルから最大 約420万件（同じお客さまの重複を含む可能性があるとしています）。対象の方にはメールで連絡するとしています
  • 流出した項目：会員データベースはメールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別。ログファイルはメールアドレス、ニックネーム、生年月日、性別で、パスワードは含まれないとしています（すべての方にすべての項目が当てはまるわけではありません）。ハッシュ化されたパスワードは、元のパスワードを読み取れない形に変換したものと説明されています
  • カード：クレジットカード情報は対象のシステムで保有しておらず、流出していないとしています。購入履歴や「MY本棚」の流出は確認されていないとしています
  • 会社の対応：侵入経路と攻撃手法は特定して遮断したとしています。再開日は未定で、購入済み作品のWeb閲覧と読み放題から優先して再開する予定です。再開時には、全会員にパスワードの再設定をお願いするとしています
  • 利用者がやること：コミックシーモアと同じメールアドレス・パスワードの組み合わせをほかのサービスで使っている場合は、そちらのパスワードを変更します。会社を名乗る不審なメールのリンクや添付ファイルは開かないようにします
  • 出典：NTTソルマーレ（公式・第4報）・NTTソルマーレ（公式・第3報）

ヤマト運輸（クロネコ代金後払いサービス）

何があったか ヤマト運輸の「クロネコ代金後払いサービス」に第三者による不正アクセスがあり、一部の情報が持ち出されたと発表されています。10月16日の第4報の内容です。

  • 件数：購入者の情報 約526万件（うちメールアドレスを含むもの約49万件）、配送先の情報 約5万件、加盟店の情報 約4,100件
  • 流出した項目（購入者）：氏名、住所、電話番号、メールアドレス、商品の情報（商品名・数量・単価）、管理用の情報（申込番号・注文日など）
  • 流出した項目（配送先）：氏名、住所、電話番号、送り状番号
  • 含まれないもの：パスワードとクレジットカード情報は含まれないとしています。クロネコメンバーズなどほかのサービスでの持ち出しは確認されていないとしています
  • 会社の対応：対象の方へ順次個別に連絡しています。連絡がつかない場合は、この発表をもって通知にかえるとしています
  • 利用者がやること：不審なメール・SMS・電話が届いたという声が寄せられているとのことです。不審なメッセージのURLや添付ファイルは開かず、すぐに削除します
  • 出典：ヤマトホールディングス（公式）

ファンケル・アテニア（通販サイト）

何があったか ファンケルと子会社のアテニアは、両社が管理するシステムの一部に外部から不正アクセスがあり、通販サイトの会員情報が漏えいしたと発表しました（10月16日）。不正アクセスは10月3日から10日まであり、10月15日の社内調査でわかったとしています。

  • 件数：ファンケル 393,785件（368,184名）、アテニア 441,162件（417,312名）
  • 流出した項目：メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、サブメールアドレス、本人認証の質問項目（答えは含まれない）、ポイントや会員ステージなどの会員情報
  • パスワード：一部の会員が設定した2次パスワードはハッシュ化された状態で含まれますが、そのままでは読み取れないとしています。メインのパスワードは含まれないとしています
  • 会社の対応：原因となった機能を停止し、対象の方へ登録メールアドレスあてに順次連絡するとしています
  • 利用者がやること：会社は、パスワードやクレジットカード情報をたずねることはないとしています。ファンケル・アテニアを名乗るメールやSMSでこれらを聞かれても、リンクを開かず入力しないようにします
  • 出典：ファンケル・アテニア（公式・PDF）・NHK

日本経済新聞社

何があったか 日本経済新聞社は、システム開発に使っているクラウドサービスの認証情報が盗まれ、7日未明から朝にかけて不正アクセスを受け、クラウド上に保管していた個人情報が漏えいしたと発表しました。

  • 件数：約183万件。このうち、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むもの約12万件）。残りの約168万件は、単体では個人を特定できない識別子のみとしています
  • カード：クレジットカード情報は含まれていないとしています
  • 会社の対応：攻撃に使われた認証情報を無効にし、個人情報保護委員会へ報告。漏えいが確認された方には個別に連絡するとしています
  • 利用者がやること：個別の連絡を待ちつつ、日経を名乗る不審なメールのリンクは開かないようにします
  • 出典：日本経済新聞社（公式）

ショップサーブ（Eストアー・10/16 最終報時点）

何があったか ネット通販サイトの構築・運営を支える「ショップサーブ」を運営するEストアーは、8月1日の第1報、8月2日の第2報に続き、10月16日に最終報を出しました。2026年5月21日から8月1日までの間に、外部の第三者がサーバー上のアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送っていたとしています。8月1日に攻撃元からの通信を遮断し、それ以降は攻撃が成立していないとしています。外部の専門機関の調査が終わり、対象の範囲が確定したため、これを最終報としています。PFUダイレクト本店の件はこちらの節にまとめています。

  • 件数：漏えい対象者は約2,335万6千人（約23,356,000人）。お客様、店舗運営者、アフィリエイターの合計で、重複を可能な限り除いた概数です。このうちクレジットカード情報の一部を含む方は約209万6,900人です。対象店舗は7,858店で、現在のご利用店舗と過去にご利用だった店舗を含みます
  • 漏えいした項目（お客様・会員）：購入者情報（氏名・住所・電話番号・FAX番号・メールアドレス・勤務先・お客様が任意で入力した情報。配送先を含む）、会員情報（会員ID・暗号化されたパスワード。メールマガジン会員を含む）、クレジットカード情報の一部（カード名義・カード番号の先頭6桁と下4桁・有効期限）
  • 漏えいした項目（店舗・アフィリエイター）：ショップサーブ管理画面のログインID・パスワード、コンビニ払込票に記載された店舗情報（販売責任者の氏名・店舗名・住所・電話番号など）、アフィリエイトプログラム登録者のメールアドレス・パスワード
  • 含まれないもの：完全なカード番号とセキュリティコード（保持しておらず、今回漏えいした情報だけではカード決済はできないとしています）。第2報で対象としていた店舗メールシステムのログインID・パスワード、FTPのID・パスワード、振込先口座情報は、調査の結果、対象に含まれないことが確認されたと訂正しています
  • パスワード：会員のパスワードは暗号化された状態で、ログイン先の店舗を結びつける情報も含まれないため、悪用やマイページへの不正アクセスの可能性は低いと判断しているとしています
  • 二次被害：公表時点で、具体的な二次被害の報告は確認されておらず、ダークウェブ上への流出も確認されていないとしています
  • 会社の対応：脆弱性の修正、認証情報のリセット、管理画面の認証強化（二要素認証または二段階認証を含む）などを実施。対象の方への個別連絡は完了し、連絡先が不明な方へはこのお知らせと窓口の設置で代えるとしています。個人情報保護委員会と関東総合通信局へ報告し、警察へも相談しています
  • 問い合わせ窓口：お客様・購入者・会員・アフィリエイターの方は、公式サイトのお問い合わせフォームか、個人情報に関するお客様ご相談窓口（support@estore.co.jp）。ショップサーブ利用店舗はEストアーデスク（03-6434-0946・平日10:00〜18:00、sp@estore.co.jp）。回答までに時間がかかっているとしています
  • 利用者がやること：Eストアーや金融機関を名乗る不審なメール・SMS・電話に注意します。Eストアーが、カード情報の再入力や再決済、メール・SMSでのパスワードの確認をお願いすることはないとしています（「宅配の不在通知SMSが来たら」）。ショップサーブ管理画面のログイン情報が漏れた店舗は、同じパスワードを使っているほかのサービスも変えておくと安心です（「「パスワードが流出したかも」と思ったら」）
  • 出典：Eストアー（公式・最終報・10月16日）

ソースネクスト

この件の詳しい記事：ソースネクストの情報漏えい｜パスワードも対象、今やること

何があったか ソースネクストは、会員情報のシステムに第三者による不正アクセスがあり、登録しているお客さまの個人情報が外部に持ち出されたと発表しました。不正アクセスは10月9日ごろから始まり、10月13日に検知・遮断したとしています。

  • 件数：22,519,960件の 可能性
  • 流出した可能性がある項目：メールアドレス、パスワード、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、加入サービス・登録日などの情報（すべての方にすべての項目が当てはまるわけではないとしています）
  • パスワード：流出の対象に含まれています。パスワードの保存方式は発表されていません
  • カード：クレジットカード情報は対象のシステムに保存されておらず、流出の対象には含まれないとしています
  • 会社の対応：外部の専門家と調査し、個人情報保護委員会へ報告。アカウントを守るため、ログイン時にパスワードの再設定をお願いしています
  • 利用者がやること：ソースネクストのアカウントは、ログイン時の案内にしたがってパスワードを再設定します。同じパスワードをほかのサービスで使っている場合は、そちらも変更 します。会社を名乗るメール・SMS・電話・郵便物にも注意します
  • 出典：ソースネクスト（公式）

10/27 続報（別件）：ソースネクストは10月27日、メール配信に使っているユミルリンクの「Cuenote FC」への不正アクセスで、お客さまの情報が外部に流出した可能性があると発表しました。10月26日にユミルリンクから、「Cuenote FC」の環境でデータが外部に出力された形跡があると報告を受けたとしています。流出した可能性があるのは「Cuenote FC」に登録されていたメールアドレス等で、対象の件数と実際に流出した項目は確認中です。この登録情報には、パスワードとクレジットカード情報は含まれていないとしています。10月15日に発表した自社サイトへの不正アクセスとは別の件で、関連はないとしています。ソースネクストや実在の会社を装った不審なメールが届いても、リンクや添付ファイルは開かず、確認は公式サイトから自分で行います（ソースネクスト（公式・10/27）、ユミルリンクの件はこちら）。

バーガーキング公式アプリ（ビーケー・ジャパン・10/15 発表時点）

この件の詳しい記事：バーガーキング公式アプリの会員情報 約1,118万件が漏えい｜対象の確かめ方とやること（10月15日の発表時点）

何があったか ビーケー・ジャパンは、バーガーキング公式アプリの会員情報を管理するシステムに、10月2日から7日にかけて第三者の不正アクセスがあり、会員情報が漏えいしたと発表しました。

  • 件数：約1,118万件
  • 流出した項目：会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名（漢字・カナ）、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無
  • パスワード：ログインパスワードの漏えいは、現在確認されていないとしています
  • カード：クレジットカード番号は会社で保持しておらず、漏えいしていないとしています
  • 会社の対応：不正アクセス元からの通信の遮断、暫定対策、対策本部の設置、個人情報保護委員会への報告は実施済みとしています。恒久対策、外部専門機関と連携した調査、対象のお客様へのメールでの案内は、継続・順次進めているとしています
  • 利用者がやること：会社をよそおった不審なメール・SMS・電話では、URLを開かず、添付ファイルも開かず、会員情報やパスワードを入力しないようにします
  • 出典：ビーケー・ジャパン（公式・PDF）

バイトル・バイトルNEXT（ディップ）

何があったか ディップは、「バイトル」「バイトルNEXT」の一部の機能に第三者の不正アクセスがあり、会員のメールアドレスの一部が漏えいしたと発表しました。10月6日に確認したとしています。

  • 件数：最大3,885,771件
  • 流出した項目：メールアドレスのみ。氏名・電話番号・パスワード・クレジットカード情報は含まれないとしています
  • 会社の対応：海外からのアクセスを遮断し、問題のあったプログラムを修正。対象の方へ個別にメールで連絡しています。サービスは引き続き利用できます
  • 利用者がやること：迷惑メールやなりすましメールが届くことがあります。身に覚えのないリンクや添付ファイルは開かないようにします。会社がメールでパスワードやカード情報をたずねることはないとしています
  • 出典：ディップ（公式）

焼肉きんぐ公式アプリ（物語コーポレーション・10/20 発表時点）

この件の詳しい記事：焼肉きんぐ公式アプリの会員情報 10,788,963件が漏えい｜やることと偽メールの見分け方（10月20日の発表時点）

何があったか 物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムに第三者の不正アクセスがあり、会員情報が漏えいしたと発表しました。10月2日に不正アクセスを確認し、10月3日に漏えいを確認したとしています。

  • 件数：10,788,963件（ユーザー登録数10,808,784件のうち）
  • 流出した項目：会員番号、氏名（アプリ登録名）、メールアドレス、電話番号
  • 流出していないもの：ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗の利用履歴は流出していないとしています。クレジットカードなどの決済情報は、会社で保持していないとしています
  • 会社の対応：防御の措置をとったうえで、アプリの提供を続けています（10月5日の時点）。10月20日のお知らせでは、警察へは届け出を済ませ、個人情報保護委員会へは報告の手続きを進めているとしています
  • 利用者がやること：なりすましメールやフィッシング詐欺に悪用されるおそれがあるとしています。不審なメール・SMS・電話に注意し、身に覚えのないリンクや添付ファイルは開かないようにします。会社からパスワードやカード情報をたずねることはないとしています
  • 10月20日の発表（今後の対応）：AIを使った検知システムの導入の検討など、セキュリティと監視体制の強化を続けるとしています。氏名（アプリ登録名）と電話番号は、「焼肉きんぐ」を含むグループの計11の公式アプリで保持しない仕組みに変更する予定です（2027年上半期の予定。詳細が決まれば利用者に別に知らせるとしています）。予約機能のため、メールアドレスの取得は続ける予定です
  • 出典：物語コーポレーション（公式・PDF）／物語コーポレーション（公式・10月20日）

infoQ（GMOリサーチ＆AI）

何があったか アンケートサイト「infoQ」のサーバーに第三者の不正アクセスがあり、会員の個人情報が持ち出されたと発表されています。一部の会員のポイントが、本人の知らないうちにAmazonギフトコードに交換される被害もあったとしています。

  • 件数：最大948,498件（保有するすべての個人情報、10月5日時点）
  • 流出した項目：氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、パスワード（暗号化して保存）、会員IDなど
  • カード：クレジットカード情報やマイナンバーは保持していないとしています
  • ポイントの被害：611人分、2,869,500円相当。会社が全額補償するとしています
  • 会社の対応：ポイント交換とサービスを停止し、個人情報保護委員会へ報告。対象の会員へ個別にメールで連絡しています。再開は安全を確認してからとしています
  • 利用者がやること：infoQと同じパスワードをほかのサービスで使っている場合は、そちらを変更します。身に覚えのないポイント交換があれば、infoQのサポートへ連絡します
  • 出典：GMOリサーチ＆AI（公式）

GETTIIS（ゲッティーズ・リンクステーション・10/20 第2報時点）

何があったか チケット販売サービス「GETTIIS」を運営するリンクステーションは、公演主催者向けサービス「Gettii-Lite」の脆弱性を悪用され、GETTIISの会員情報が不正に取得されたと発表しました。10月18日に不審なアクセスを確認し、同日0時頃から7時頃にかけて取得されていたとしています。「Gettii」「Gettii-EC」は別の環境で運用しており、影響は確認されていないとしています。

  • 件数（項目ごと・合計人数ではない）：会員ID 317,971件、パスワード（ハッシュ化済み）311,451件、メールアドレス 311,426件、氏名 309,759件、電話番号 309,668件、クレジットカード関連情報 29,515件、性別 5,900件、生年月日 5,192件、郵便番号 489件
  • カード：漏えいしたのはカード番号の先頭4桁・末尾4桁、名義、有効期限を暗号化したもの。完全なカード番号とセキュリティコードは保存しておらず、この情報だけでは決済できないとしています
  • 会社の対応：サーバーの切り替えと脆弱性への対策を完了。対象の会員に個別にメールで連絡し、関係機関へ報告、警察へ相談しています
  • 利用者がやること：GETTIISのパスワードを変更し、同じパスワードをほかのサービスで使っていればそちらも変えます。会社はメールや電話でパスワード・カード番号・暗証番号を尋ねないとしています。便乗した不審なメール・SMS・電話に注意します
  • 問い合わせ：リンクステーション PMS個人情報相談窓口 pms@linkst.jp（24時間・順次対応）
  • 出典：GETTIIS（公式・第2報・10月20日）

偽のお詫びメール・SMSに注意

情報漏えいのあとは、「お詫びのポイントを差し上げます」「パスワードを再設定してください」といった、会社をよそおった連絡が届くことがあります。

最終更新：2026年11月2日（アララ メッセージ〔第2報時点〕、アットコスメ・ノジマ〔11/2 発表時点〕の発表を反映）

タイトルとURLをコピーしました