この記事の要点
- 2026年1〜9月に公表された情報漏えいは454件で、前年同期の1.5倍でした。10月中旬までに、100万件以上の漏えい（可能性を含む）が19件あり、2022年以降のどの年の年間件数も上回っています（エム・エム総研調べ、朝日新聞報道）。[1]
- JPCERT/CCは10月8日、相次ぐ不正アクセスについて注意喚起を出しました。既知の脆弱性の探索、アプリの管理用APIへの不正な操作、BIツール「Metabase」の脆弱性、Webシェルの設置という4つの手口が報告されています。[2]
- NICTは10月13日、公開されているスマホアプリを解析して、その裏側のサーバーを狙う「A2B攻撃」を原因の一つとして特定したと発表しました。[3]
- 政府は経営層に対し、リーダーシップを持って対策を強化するよう求めています。最初の一歩は、自社がインターネットに何を公開しているかを把握することです。[4]
何が起きているのか
2026年9月ごろから、業種を問わず、大量の個人情報漏えいの公表が相次いでいます。朝日新聞は、10月に入ってからは「ほぼ毎日」公表が続いていると伝えています。[1] 公表された主な事例は次のとおりです。件数は各社の公表時点のもので、続報で変わることがあります。
2026年9月28日公表
タイムズモビリティ（カーシェア「タイムズカー」）
不正アクセスにより、運転免許証の画像を含む約660万件の個人情報が流出しました。同社は10月16日、退会後7年間保管していた免許証画像を、登録時の確認後すぐに削除する方針に改めると発表しました。 [1]
2026年10月16日公表
ヤマト運輸
9月に公表したサイバー攻撃で、個人情報を含む531万件の記録が流出したと発表しました。 [1]
2026年10月
日本経済新聞社
クラウドサービスへの不正アクセスにより、約183万件の記録が流出しました。 [1]
2026年10月
イーストア（ECサイト運営支援）
約2,335万人分の個人情報に関わる漏えいを公表しました。そのうち約209万人分には、クレジットカード情報の一部が含まれていました。 [1]
2026年10月19日公表
エイチ・ツー・オー リテイリング（阪急阪神百貨店）
子会社が運営するWebサイトへの不正アクセスにより、会員データベースのほぼ全体にあたる約126万件のH2O IDの個人情報が漏えいした可能性があると発表しました。 [1]
専門家は、攻撃そのものが特別に高度なわけではないと見ています。ラックの倉持浩明CTOは、ほとんどの事案が既知の脆弱性や設定ミスの悪用だと述べ、立命館大学の上原哲太郎教授は、組織の奥深くに時間をかけて侵入するのではなく、インターネットに公開されたアプリやWebサービスの弱点を探して、データを直接大量に盗み出していると指摘しています。[1]
攻撃者はどこから入っているのか
JPCERT/CCの注意喚起は、寄せられた報告をもとに、確認されている手口を4つに整理しています。すべての事案で同じ手口が使われたわけではない、と明記されています。[2]
- 既知の脆弱性の探索：一つの製品を狙うのではなく、標的ごとにさまざまなソフトウェアの既知の脆弱性を探し、悪用を試みています。設定ファイルやバックアップファイルの窃取など、管理の不備を突く攻撃もあります。[2]
- APIを使った不正な操作：公開されているスマホアプリを解析してAPI（アプリとサーバーがやりとりする窓口）の場所や鍵を特定し、画面からはできない操作でアカウントを作ったり、権限を書き換えたりしています。[2]
- BIツールの脆弱性：データ分析ツール「Metabase」のSQLインジェクションの脆弱性（CVE-2026-72898）が悪用されています。[2]
- Webシェルの設置：公開Webサーバーからたどり着けるアプリケーションサーバーに、外から命令を実行できる不正なファイルが置かれていました。[2]
NICTの脅威分析チームは10月13日、このうちアプリを手がかりにする手口を「A2B攻撃（App-to-Backend Attack）」と名付けました。アプリを提供する会社から見ると、公開していないつもりのサーバーの内部の仕組みが攻撃者に知られ、弱点を狙い撃ちされることになります。NICTは、同じ問題がiOSアプリやWebサービスでも起こりうること、AIによってアプリの解析や脆弱性の発見が効率化し、攻撃が広がるおそれがあることも指摘しています。[3]
政府が求めていること
個人情報保護委員会が10月7日に注意喚起を出したのに続き、国家サイバー統括室は10月9日、大量の個人情報を扱う事業者などに対策の徹底を求めました。[5][4] 国家サイバー統括室は、インターネットに公開されているシステムは「いつ攻撃を受けてもおかしくない」という前提で対策を講じるよう求め、サイバー攻撃の被害は「もはや情報システム部門だけの問題ではない」として、経営層に対策の強化を促しています。[4]
通知が挙げる主な対策は、修正プログラムの速やかな適用、使っていないシステムや機能の停止、多要素認証の導入、委託先を含めた管理、そして不要なデータを持たないことです。[4] 専門家も、すべての侵入を防ぐことはできないという前提で、保有するデータを減らすことが被害を根本的に小さくすると話しています。[1]
経営者がいま確認すべきこと
技術的な対応は担当者や委託先の仕事ですが、次の問いは経営者から投げかけることができます。JPCERT/CCと国家サイバー統括室の推奨をもとにまとめました。[2][4]
- 自社がインターネットに公開しているサーバー、管理画面、BIツールの一覧はあるか。業務上不要なものは公開を止めたか。
- 公開しているシステムの修正プログラムは、すぐに適用されているか。サポートが終わった製品は残っていないか。
- スマホアプリやWebサービスのAPIに、利用者ごとのアクセス制御や回数制限があるか。開発や運用を委託している場合、委託先に確認したか。
- 保存期間を過ぎたデータや、使い終わったデータを持ち続けていないか。
- 漏えいが起きたとき、誰が判断し、顧客や当局にどう連絡するか決まっているか。
ZeroKaiで確認できること
最初の問い、「自社は外から何を公開しているか」は、意外と答えにくいものです。開発用のサーバーや、昔キャンペーンで作ったサイト、委託先が立てた管理画面などは、一覧から漏れがちです。ZeroKaiは、ドメインを入力するだけで、そのドメインについてすでに公開されている情報を読み、外から見える範囲を整理します。
- 証明書の透明性ログに記録されたホスト名を一覧にします。名前から、開発用のサーバーや管理画面の存在に気づけることがあります。
- 所有を確認したドメインについては、Shodanの観測データから、インターネットに公開されているサービスを表示します。
- メール認証（SPF・DMARC）とDNSの設定も確認します。漏えいの後には、被害企業をかたる不審なメールへの注意が呼びかけられることが多く、なりすまし対策の状態を知っておくことは大切です。
- 対象のサーバーには一切接触しません。すべての指摘に、根拠・取得元・観測した時刻を添えます。
出典
本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。
- [1]朝日新聞（The Asahi Shimbun）「Millions of users exposed as Japan data breaches continue to surge（英語）」、2026年10月19日
- [2]JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030）」、2026年10月8日
- [3]国立研究開発法人情報通信研究機構（NICT）「【注意喚起】 相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」、2026年10月13日
- [4]内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」、2026年10月9日
- [5]個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」、2026年10月7日
自社のドメインが、外からどう見えているか確認しませんか
ドメインを入力してアカウントを作成すると、すぐに評価を始められます。対象のサーバーには接触しません。
ニュースレター
日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。