2026年10月における国内企業・機関の情報漏洩事案に関する包括的分析報告書

概要および発生背景

2026年10月に入り、日本国内の民間企業、主要インフラ事業者、および行政関連組織において、不正アクセスに伴う情報漏洩事案が極めて高い頻度で公表されている1。2026年9月下旬から10月初頭の僅か1週間余りで公表された個人情報の流出件数および流出懸念件数は、判明分だけでも累計2,600万件を超過しており、近年のセキュリティインシデント事例と比較しても極めて異常な高水準に達している1。

本時期における被害の突出した特徴は、金融、製造、交通・物流、外食、医療・製薬、メディア、サービス業に至るまで、業種や企業規模を問わず広範な産業基盤において同時多発的に被害が顕在化した点に求められる1。

こうした急増の背景には、攻撃者側における自動化ツールや高度なAIモデルの普及による攻撃サイクルの劇的な高速化と、防衛側である企業・組織における構造的弱点が複合的に作用している1。長年放置されてきたレガシーシステムの脆弱性、パスワード認証への依存、過去の退会者データの過剰保持、ならびに業務委託先やSaaS基盤といったサプライチェーン上の盲点が連鎖し、一過性の侵入が組織全体の壊滅的なデータ流出へと拡大する構造が定着している1。

2026年10月1日以降の公表事案一覧

2026年10月1日から本日に至る期間に公表あるいは報道された主要な情報漏洩事案および不正アクセス事案について、事案の公表日順に整理し、以下に網羅的一覧として提示する。

被害構造および侵入経路の分析

2026年10月に表面化した一連のインシデント群を横断的に分析すると、攻撃者の侵入パターンと被害の波及経路には明確な構造的特徴が観察できる。

サプライチェーンおよびSaaS基盤を経由した多層的漏洩

単一のSaaSベンダーやITサービス委託先への不正アクセスが、同システムを利用する複数の企業へと波及し、被害が水平展開する構造が極めて顕著に現れている1。

スカラコミュニケーションズが提供するFAQシステム「i-ask」の管理サイトに対する不正アクセス事案は、その典型例と言える3。2026年10月2日夜間から3日早朝にかけて、第三者が管理サイトに不正ログインし、不正プログラムを配備・実行した3。この結果、大和証券においては顧客問い合わせ管理システムから約11万人分の氏名や口座番号などの閲覧・取得形跡が確認された3。さらにシチズン時計の各ブランド問い合わせ業務で約10万人分、損害保険ジャパンの事業者向けドライブレコーダー関連問い合わせ機能で延べ約6万件の個人データが流出した可能性が順次発覚した3。東武鉄道も同社サービスの利用事実を公表するに至り、1つの委託先システム侵害が社会インフラや金融、製造へと瞬時に連鎖する脅威が裏付けられた3。

同様に、旭化成セラピューティクスの事例でも、医療関係者向けサイト「Pharma DIGITAL」の運営および情報管理を委託していた医薬情報ネットの会員データベースが攻撃を受けたことで、最大で約55万8,000人に上る医療従事者の個人情報が不正閲覧された可能性が生じている6。

Webアプリケーションおよび会員プラットフォームの脆弱性悪用

企業が管理するWebサイトやモバイルアプリのプログラムに存在する脆弱性を直接突かれ、データベース内部の個人データが持ち出される事案も相次いだ4。

GMOリサーチ&AIが運営するアンケートサイト「infoQ」では、使用ソフトウェアの脆弱性を突いた不正アクセスにより、同社が保有する全会員データに相当する最大94万8,498件の情報が外部へ流出した9。本件では情報流出のみならず、一部会員の保有ポイントから計286万9,500円分がAmazonギフトコードへ不正交換されるという直接的な金銭被害へ繋がった9。

ホワイトエッセンスの事例では、予約サイトのプログラム上に存在した脆弱性が侵入の起点となり、内部の基幹システムへ攻撃が拡大した結果、顧客や加盟院関係者ら約105万アカウントの持ち出しが確定判明した4。さらに、物語コーポレーションが展開する「焼肉きんぐ」公式アプリ会員管理システムにおける約1,079万件の大規模漏洩や、大起水産公式アプリでの17万4,933人分の流出懸念、ヤマト運輸「クロネコ代金後払いサービス」での決済・取引データ流出懸念など、生活に密着したサービス基盤が相次いで標的となった4。

クラウドグループウェア・アカウント侵害と連鎖的フィッシング

企業が導入しているクラウド型グループウェアやメール基盤の認証が突破され、侵入された正規アカウントが悪用されるインシデントも顕著である4。

日本経済新聞社および日経BPの事例では、社員の「Microsoft 365」や「Google Workspace」のアカウントがサイバー攻撃により侵害された4。乗っ取られた正規アカウントを送信元として、社内外の取材先や取引先に対し、悪性サイトへ誘導する精巧になりすました不審メール約9,000件が一斉送信された13。この過程で、送信先の氏名やアドレス、メール本文の一部が外部に露呈した16。八十二長野銀行においても、職員が受信した不審な外部電子メールを開封・操作したことに起因して不正アクセスが発生し、顧客情報の漏洩懸念が報告されている39。

社内業務基盤および海外拠点への不正侵入

社内の基幹業務システムや海外子会社のサーバーに直接侵入し、内部データを取得する攻撃も発生している34。

戸田建設では、取引先への支払いを管理するシステム等に対し外部からの不正アクセスが敢行された5。その結果、取引先担当者のメールアドレス最大7,200件、振込口座情報を含む取引データ最大6,000件、および従業員4,778人分のアドレスや住所、所属部署などの個人データが流出した5。また、エイチ・アイ・エスのタイ現地法人においては、ファイルサーバーへの不正アクセスにより、過去にタイへ渡航した顧客最大627名分のパスポート情報やアレルギー情報という高度にセンシティブなデータが漏洩したことが判明している34。

攻撃手法の進化と組織的背景

2026年10月に見られた漏洩事案の激増は、単一の偶発的要素ではなく、サイバー攻撃技術の変化と企業側の構造的な管理不備が合致した結果として捉えることができる1。

【攻撃者側の進化要因】
・生成AIによるエクスプロイト自動作成と攻撃試行の高速化
・公開脆弱性に対する探索ボットの高頻度稼働
・精巧な日本語文面によるフィッシング・BECの増加
          │
          ├───────────────────► 【2026年10月における大規模漏洩の頻発】
          │
【企業・組織側の管理不備】
・退会者情報や本人確認画像の不必要な長期保持（過剰保持）
・サードパーティやSaaSに対する権限・アクセス制御の形骸化
・単一のID/パスワード認証依存および多要素認証（MFA）の未徹底
・許可されていない個人向け生成AIツールの業務利用（シャドーAI）

攻撃者側においては、高度な生成AIモデルや自動化スクリプトの普及により、公開された脆弱性情報（CVE）を解析してから実際の攻撃コード（エクスプロイト）を作成し、標的サーバーへ打ち込むまでの猶予期間が大幅に短縮されている1。警察庁の観測データが示す通り、インターネット上からの脆弱性探索アクセスは1日1IPアドレスあたり1万3,000件を超えており、企業側が手動で修正パッチを当てる前にボットによって侵入される構造が定着している4。さらに、生成AIによって作成された不審メールは文法的誤りがなく、従来の「不自然な日本語を見抜く」という注意喚起のみでは防ぎきれないレベルに達している1。

一方、企業側の管理不備として最も深刻な問題は、データの過剰保持（データ・リテンション問題）である1。大起水産の事例のように退会済みの会員データがサーバー内にそのまま保存されていたケースや、解約後の顧客の運転免許証画像が長期間削除されずに残されていたケースなど、本来保持する必要のない個人情報が侵入時の被害規模を無駄に膨らませている1。また、社内の正式な承認を経ずに従業員が個人用生成AIツールに業務データを入力する「シャドーAI」の存在も、新たなデータ流出経路として急速に台頭している1。

社会的波及効果と規制動向

一連の情報流出は、二次被害の発生可能性を通じて消費者心理および企業の事業活動に多大なリスクをもたらしている。

直接的な金銭被給のリスクとしては、暗号化が不十分な認証情報やポイント管理機能が悪用され、即座に電子ギフト券などへ換金される犯罪モデルが確立していることが挙げられる9。さらに、運転免許証画像やパスポート番号といった「一度流出すると容易に変更できない情報」が露呈した場合、なりすましによる金融口座の不正開設や偽装契約、国際的な身元詐欺へ悪用される危険性が長期にわたり残留する1。加えて、戸田建設や日経新聞社のように取引先口座情報や担当者連絡先が流出した場合、実在の取引を模倣した精巧なビジネスメール詐欺（BEC）へ発展する可能性が高い13。

こうした事態を受け、個人情報保護委員会（PPC）は2026年10月7日、全産業界に向けた緊急の注意喚起を発令した45。委員会は、個人情報保護法に基づく迅速な報告義務の遵守のみならず、不要データの確実な消去、アクセス制御の見直し、および技術的安全管理措置の厳格な再点検を強く要請している46。JPCERT/CCや警察庁も、相次ぐ国内組織への不正アクセスに関する技術的注意喚起を発行し、主要インフラおよび主要企業に対する緊急のログ点検・設定見直しを促している4。

結論および組織が講ずべき防衛戦略

2026年10月に相次いだ広範な情報漏洩事案の分析から導き出される本質的な結論は、サイバー攻撃の自動化・高速化により、企業が抱えてきた長年の管理上の弱点が一気に露呈したという点である1。これ以上の被害拡大を防ぎ、社会的な信用を維持するためには、従来の境界型防御に依存する姿勢を改め、ゼロトラスト思想を軸とした多角的な防衛戦略へと直ちに舵を切らなければならない1。

第一に推進すべきは、データ保持の最小化原則（データ・ミニマイゼーション）の徹底である1。目的を終えた顧客データや退会者の個人情報を自動的に消去するライフサイクル管理プログラムをシステムに実装し、万が一サーバーが侵害された場合でも流出するデータが存在しない環境を作り上げることが最も確実な防衛策となる1。また、運転免許証などの本人確認書類画像を不必要にデータベースへ蓄積する運用を改め、マイナンバーカードのICチップを活用した非保持型認証への移行を急ぐ必要がある1。

第二に、パスワード依存からの脱却と認証基盤の強固化が求められる1。IDとパスワードのみによる単一認証を全社的に全廃し、FIDO2規格に準拠したパスキーの導入や、全社システムにおける多要素認証（MFA）の適用を必須化しなければならない1。同時に、クラウドグループウェアにおけるIP制限や端末認証の設定を見直し、不正ログインの兆候を即座に検知・遮断する運用体制の確立が不可欠である4。

第三に、サードパーティおよびサプライチェーン・リスク管理（TPRM）の再構築である1。FAQシステムや問い合わせフォーム、業務委託先の管理体制を定期的に技術評価し、外部に公開されたWebシステムと社内の基幹データベースとの間に適切なネットワークセグメンテーション（隔離）を施すことで、委託先経由の横移動（ラテラルムーブメント）を遮断する構成に改めるべきである1。

最後に、組織内における生成AI利用の安全なガバナンス設計と脆弱性管理の高速化である1。シャドーAIの全滅を狙って生成AIを一律に禁止することは隠れ利用を誘発するため、データが学習に使われない法人向け環境を会社側で用意し、入力禁止情報の明確化と全社員教育を並行して実施することが実効性の高い対策となる1。また、ASM（Attack Surface Management）ツールを導入して自社の公開資産を網羅的に把握し、重大な脆弱性情報が公開された際には数日以内に更新・対処を完了する高速運用サイクルを定着させることが、今後の猛攻に耐え得る組織防衛の根幹となる1。

引用文献

1. 【2026年最新】情報漏えいが急増したのはAIのせい？直近の事例と, https://horiemon.ai/school/column/ai-joho-roei-2026/
2. 古川大臣記者会見（令和8年10月6日） - デジタル庁, https://www.digital.go.jp/speech/minister-261006-01
3. スカラコミュニケーションズへの不正アクセスについてまとめてみた, https://piyolog.hatenadiary.jp/entry/2026/10/07/120750
4. 2026年9〜10月の情報漏洩19件、公表文を全部読んで考えたこと, https://zenn.dev/bita/articles/1616afdb93c4a6
5. 戸田建設／支払い管理システム等個人情報インシデントの概要と評価, https://ai.itokoba.com/security-tier/incidents/incident-112/
6. 旭化成セラピューティクス／Pharma DIGITALの個人情報インシデント, https://ai.itokoba.com/security-tier/incidents/incident-106/
7. 2026年の情報漏洩を手口で分類してみた - Qiita, https://qiita.com/yama3133/items/071119dfea9ed24d0948
8. 当社システムに対する不正アクセスの発生および情報漏えい, https://www.aflac.co.jp/info/yorisou_maintenance.html
9. GMOリサーチ&AIのアンケート「infoQ」で不正アクセス、最大約95, https://internet.watch.impress.co.jp/docs/news/2145989.html
10. 2026年10月 「ヤマト後払いサービス」不正アクセスに関するお詫び, https://blog.phoenix-shop.jp/archives/38232
11. ヤマト運輸のクロネコ代金後払いサービスへの不正アクセス, https://piyolog.hatenadiary.jp/entry/2026/10/05/023139
12. ヤマト運輸、2026年9月29日「クロネコ代金後払い ... - ECのミカタ, https://ecnomikata.com/ecnews/eclogistics/51854/
13. 日本経済新聞社へのサイバー攻撃となりすましメール送信について, https://piyolog.hatenadiary.jp/entry/2026/10/05/115509
14. 日経新聞社、Microsoft 365アカウントの情報漏えいと, https://internet.watch.impress.co.jp/docs/news/2145512.html
15. 日経で相次ぐ不正アクセス 1646人分の個人情報漏えい - ITmedia, https://www.itmedia.co.jp/business/articles/2610/05/news074.html
16. 日経グループへのサイバー攻撃のまとめ―相次ぐインシデント, https://rocket-boys.co.jp/security-measures-lab/nikkei-group-cyberattacks-cloud-account-incidents-20261005/
17. 日経BP、従業員メールに不正アクセス 個人情報26件漏えいの恐れ, https://venture-solution.jp/security/cs-117013/
18. 日経BP従業員のメールアカウントに不正アクセス - ScanNetSecurity, https://s.netsecurity.ne.jp/article/2026/10/07/56402.html
19. GMO系アンケートサイトinfoQに不正アクセス 最大94万件流出, https://act1.co.jp/2026-10-06-05/
20. 当社が運営するアンケートサイト「infoQ」への不正アクセスによる, https://gmo-research.ai/pressroom/notice/notice-20261005
21. サイバー攻撃で情報漏えい急増、ＡＩ悪用で「短時間・広範囲に」…会員ポイントが不正交換される「二次被害」も, https://www.yomiuri.co.jp/national/20261006-GYT1T00386/
22. [Ｇ－ＧＭＯ－ＰＰ 3695.T] 連結子会社運営サイト「infoQ」への不正, https://finance.biggo.jp/news/jpx_tdnet_140120261006546782
23. ホワイトエッセンスで約105万アカウントの個人情報漏えい, https://pirorin.com/whiteessence-personal-data-leak-2026/
24. ホワイトエッセンス、不正アクセスによるサイバー攻撃で約105万, https://rocket-boys.co.jp/security-measures-lab/white-essence-data-breach-1-05m/
25. 『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正, https://www.monogatari.co.jp/news/261005_news/
26. 大起水産 公式アプリへ不正アクセスによるサイバー攻撃、17万, https://rocket-boys.co.jp/security-measures-lab/daiki-suisan-app-unauthorized-access-174933/
27. 大起水産公式アプリに不正アクセス 17万4933人の個人情報漏えいの, https://sakai-times.com/20261006-2/
28. 不正アクセスによる個人情報漏えいのおそれに関するお 詫びと, https://www.daiki-suisan.co.jp/files/optionallink/00000164_file.pdf
29. 委託先事業者に対する不正アクセスによるお客様情報の漏えいの, https://www.citizen.co.jp/release/news/detail/2026/20261006.html
30. 医療従事者向け情報提供ウェブサイト「Pharma DIGITAL」への不正, https://www.asahi-kasei.co.jp/pharma/oshirase_20261006.html
31. 旭化成セラピューティクス「Pharma DIGITAL」に不正アクセス, https://rocket-boys.co.jp/security-measures-lab/asahi-kasei-pharma-digital-data-breach/
32. 旭化成セラピューティクス「Pharma DIGITAL」に不正アクセス 最大, https://novaist.jp/articles/pharma-digital-data-breach/
33. 旭化成セラピューティクスに不正アクセス 医療従事者約51万人分, https://act1.co.jp/2026-10-07-01/
34. お客様各位 2026/10/07 子会社ファイルサーバへの不正アクセス, https://www.his.co.jp/assets/20261007.pdf
35. 戸田建設、管理システムに不正アクセス 取引先・従業員の個人情報, https://biznews365.jp/business/service/9789/
36. 戸田建設へ不正アクセスによるサイバー攻撃-取引先と従業員の個人, https://rocket-boys.co.jp/security-measures-lab/toda-construction-data-breach-2026/
37. 戸田建設 個人情報漏洩 取引先口座情報など最大6000件 ... - エキサイト, https://www.excite.co.jp/news/article/TBSNews_1480493225156789053/
38. 戸田建設が情報漏えいを公表 取引先メール最大7200件・従業員4778, https://himanekoblog.hatenablog.com/entry/2026/10/08/093213
39. 不正アクセスによるお客さま情報漏えいのお詫びとお知らせ - 長野銀行, https://bank.82group.jp/file.jsp?id=release/2026/pdf/news20261008.pdf
40. GMOアンケートサイトに不正アクセス - 個人情報が流出、ポイント, https://www.security-next.com/191138
41. 【解説】焼肉きんぐ・大和証券など不正アクセス11件、10月2〜5日, https://innovatopia.jp/cyber-security/cyber-security-news/118602/
42. 日経新聞に不正ログイン なりすましメール9000件・1646人分漏えい, https://act1.co.jp/2026-10-05-01/
43. 日本経済新聞社へのサイバー攻撃と情報漏洩, https://london3.jp/2026/10/nikkei-incident2026/
44. 個人情報漏洩に関するお知らせとお詫び | 新着情報 - 戸田建設, https://www.toda.co.jp/news/2026/20261007_006350.html
45. 不正アクセスで「大量の個人データが漏えい」 個人情報保護委員会, https://www.itmedia.co.jp/business/articles/2610/08/news066.html
46. 個人情報保護委員会の10月7日の注意喚起を、自社の確認項目に, https://note.com/zephel01/n/nbfb54cb384d6
47. 不正アクセスによる個人情報漏えい｜2026年9月の事案に見る初動, https://legalagent.co.jp/column/c327-unauthorized-access-data-breach-2026/
48. 相次ぐWEBシステムからの情報漏洩事案について, https://security.macnica.co.jp/blog/2026/10/web-incidents2026.html