2026秋：日本：巨大データ流出騒動中ーその２〔10月中旬ー末版）
概要
延々とつづくデータ流出・「クラック」・「脆弱性」話
10月中旬からのトピックとしては、
- PHPの脆弱性発表による多くのサイトの停止
- GMO FX VPSの「クラック」をめぐる大騒動
ってのがありましたが、そういうのを尻目にデータ流出問題報道がつづいてます。
で、さらにあいかわらず流出されたあとの「二次被害」報道がほぼない、というお話になっていて、 いいかげん、それが「なぜか」について報道してもいいんだとおもうんだけど、ありません。
さて、そういうことで（笑）、とりあえず、事件一覧表だけ掲出しておきます。
なお、PHP話とGMO FX VPS話については、もうすこししたら別の記事でとりあげます（あと、LINUXの脆弱性話も）。
2026年10月中旬〜10月末 一覧
| 公表日 | 企業・サービス | 件数・規模 | 主な対象情報 | 原因・手口 | 状況・備考 |
|---|---|---|---|---|---|
| 10/16 | 日本経済新聞社（開発用クラウド） | 約183万件（個人情報を含むのは約15万件） | 氏名・メールアドレスなど（一部） | クラウド認証情報の窃取 | 認証情報無効化済み |
| 10/16 | ファンケル・アテニア（ECサイト） | 計約83.5万件（約78.5万人分） | 会員情報 | ECサイトへの不正アクセス | 原因機能停止。決済情報対象外 |
| 10/16〜 | Studio | 登録顧客情報（件数精査中） | 顧客情報 | クラウド環境への不正アクセス（脆弱性） | 対処済み |
| 10/16〜26 | Joshin（上新電機） | 最大約600万件＋サブスク最大約23万件＋リフォーム関連最大約800件 | 氏名・住所・電話・会員番号など（一部初期パスワード・手書きサイン・免許証画像・マイナカード等） | 社内ネットワークへの不正アクセス | 一部サービス停止継続。カード対象外 |
| 10/19〜20 | ふるさとチョイス（トラストバンク） | 4,454,097件 | 氏名・住所・電話・メール・パスワードハッシュ・寄附控除試算額など | 不正アクセス | 関連サービス停止中。一部追加項目確認。パスワード無効化 |
| 10/20〜 | GMOインターネット「お名前.com デスクトップクラウド」 | 影響可能性サーバー26,739件 | サーバー内データ（取引口座ログイン情報等を含む） | 不正アクセス（セキュリティ上の問題）。外部持ち出し確認 | サービス停止。データ公開・ランサム予告。お見舞金等 |
| 10/21〜22 | カプコン「CAPCOM ID」 | 全世界1,177万4,247件 | メールアドレス・識別情報など（一部生年月日等。196件でパスワード不正変更、うち国内19件で追加情報） | 不正アクセス（経路未公表） | パスワードリセット実施。カード対象外 |
| 10/21 | リクルート「カーセンサー」など | 最大約370.9万件 | 会員情報など | 不正アクセス | 調査中の可能性 |
| 10/21〜 | NTTソルマーレ「コミックシーモア」 | 最大約420万件＋α（続報） | 会員情報など | サーバー不正アクセスの可能性 | サービス停止・調査継続 |
| 10/21〜 | ラクスライトクラウド「ブラストメール」など | 利用企業の配信先多数（例：ピッコマ約100万件など） | メールアドレスなど | サーバーへの不正アクセス | 利用企業個別公表多数 |
| 10/19〜27 | ユミルリンク「Cuenote FC」 | 延べ最大約5,163万件 | メールアドレスなど | メール配信システムへの不正アクセス | 利用企業多数に波及 |
| 10/26 | 楽天トラベル | 最大約260万件＋多言語サイト最大約86万件など | 氏名・メール・電話・予約情報など（一部カード下4桁・有効期限等） | 海外ホテル予約サイト等への不正アクセス | 一部改修済み。個別連絡 |
| 10/27 | So-net（ソニーネットワークコミュニケーションズ）＋plala(Sコース) | So-net約214万件＋plala約44万件（合計約258.5万件） | 氏名・電話・メール・ユーザーID・生年月日など（一部メールパスワード） | 会員データベースへの不正アクセス | パスワード漏えいなし（一部除く） |
| 10/28 | 花キューピット | 4,238,242件 | ユーザーID・暗号化パスワード・メールアドレス | 管理システムへの不正アクセス | 氏名・住所・電話・カード等対象外 |
| 10/28 | ソニー生命（メディケア生命代理店分） | 約38.5万件 | 契約者・被保険者の氏名・生年月日・住所・電話・証券番号など | 契約者向けサイトへの不正アクセス | 関連サービス停止。マイナンバー・カード・口座対象外 |
| 10/28 | アララ「アララ メッセージ」 | 約301万件 | メールアドレス | メール配信サービスへの不正アクセス | サービス停止。再開未定 |
| 10/28〜30 | 日本航空・ANAなど（Amadeus） | JAL延べ約9.2万件（一部パスポート）＋ANA約3.8万人など | 予約情報（氏名・搭乗日・一部パスポート番号など） | 旅客サービスシステム（Amadeus）への不正アクセスの波及 | 不正利用未確認 |
| 10/28〜30 | 松屋フーズ（公式アプリ等） | 約237.7万件＋アプリ会員約2,000〜3,000件 | 会員ID・氏名・住所・電話・メール・暗号化パスワード・ポイントなど | 管理システムへの不正アクセス | アプリ・関連サービス停止。カード非保持 |
| 10/30 | 良品計画「MUJIアプリ」 | 最大約2,726万件（退会者含む） | メールアドレス・生年月日・性別 | 外部からの不正アクセス | 氏名・住所・カード対象外。悪用未確認 |
| 10/30 | ワールド（ティンパンアレイ） | 延べ約120万件 | 氏名・住所・電話・生年月日・メールなど | 業務サーバーへの不正アクセス | 侵入10/17・検知10/28。カード等対象外 |
| 10/30 | 外務省 | 約3,600件（うち省員以外約900件） | メールアドレス・氏名など | 外部連携ネットワークへの不正アクセス | 可能性 |
| 10/30 | DHC | 5,096アカウント（書き換え）＋不審注文27件 | 会員情報 | オンラインショップへの不正アクセス | 調査中 |
補足
- メール配信サービス（ユミルリンク最大延べ約5,163万件、ブラストメール、アララ約301万件など）は利用企業側で個別に多数公表されています。
- GMO事案はFX自動売買向けVPSで特に深刻で、攻撃者によるデータ公開・高額要求（約5,000万ドル/約80億円規模の報道あり）・ランサム予告があり、政府も関与。
- 大規模事案が10月に集中しており、アプリ/API/管理画面・委託先・クラウド・メール配信基盤が入口になるケースが多いです。