セキュリティニュース

概要

ソースネクスト株式会社は 2026 年 10 月 15 日、自社サイトへの不正アクセスにより顧客情報が流出したと公表しました。10 月 13 日 9 時ごろに外部からの不正アクセスを確認して同日中に遮断し、その後の調査で 10 月 9 日 10 時ごろから第三者が同社の「会員情報取得API」を利用して会員情報を取得していたことが判明したとしています。対象は最大 2,251 万 9,960 件で、メールアドレス・パスワード・氏名・住所・性別・電話番号・生年月日・会社名・役職などが含まれます（会員ごとに項目は異なるとしています）。クレジットカード情報は当該システムに保存していないため対象外と説明しています。

同社は個人情報保護委員会へ報告し、警察への被害申告を予定しているほか、外部の専門機関と調査を続けています。全会員のパスワードを変更済みで、同じメールアドレスとパスワードを使っている他のサービスでのパスワード変更と、同社をかたる不審な連絡への注意を呼びかけています。侵入の経路や原因の詳細は調査中で、公表されていません。

日本企業への影響と対応のポイント

• 関係するのは、会員サイトやアプリ向けに会員情報を返す API を運用している企業です。国内で相次ぐ情報漏えいでは API の不正操作が確認されており（関連記事）、本件もその一例として、API の認可や大量取得の検知・制限を点検することを推奨します。国家サイバー統括室と IPA が示した対策項目（関連記事）も手がかりになります
• 流出したメールアドレスとパスワードが他のサービスで試される（パスワードリスト攻撃）おそれがあります。自社サービスのログイン試行の監視や多要素認証の提供状況を確認しておくとよいでしょう。社員が業務用アドレスで同社に登録していた場合は、同じパスワードの使い回しが無いかの確認を推奨します

出典

• 当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ（2026-10-15・ソースネクスト株式会社）

概要

独立行政法人情報処理推進機構（IPA）は 2026 年 10 月 16 日、不正アクセスの被害を受けた、または受けた可能性がある企業・組織を対象とした「不正アクセス特別相談窓口」のページを公開しました。相談内容をもとに被害の可能性について助言し、被害がある場合の緊急対策の提案、インシデント対応を行う専門事業者の一覧の案内、必要な相談・届出先の紹介を行うとしています。

受付は電話（平日 9 時 30 分〜17 時 30 分、12 時〜13 時を除く）とメールです。不正アクセス以外の事案や予防の相談は従来の企業・組織向け相談窓口、個人の相談は個人向けの窓口が担当します。国内では会員サービスへの不正アクセスによる大規模な情報漏えいが相次いでおり、国家サイバー統括室と IPA は 10 月 9 日に対策の徹底を要請しています（関連記事）。

日本企業への影響と対応のポイント

• 関係するのは、会員サービスやオンラインのアカウントを運用する国内の企業・組織（中小企業を含む）です。被害が確定していない段階でも相談できます
• 自社のインシデント対応手順の連絡先一覧に、この窓口と個人情報保護委員会への報告手順を加えておくことを推奨します。初動で相談できる外部の対応事業者が決まっていない場合は、IPA が案内する一覧も参考になります

出典

• 不正アクセス特別相談窓口（2026-10-16・IPA）

概要

JPCERT/CC は 2026 年 10 月 15 日、10 月 8 日に注意喚起した国内複数組織での不正アクセスによる個人情報漏えい事案（既報）について、関係組織と連携して攻撃に使われたインフラを調べた結果を公式ブログで公表しました。攻撃者が AI を使って既知の脆弱性をスキャンし、API を経由した攻撃を行っていたことを確認したとしています。攻撃元のサーバーでは、Android アプリを解析して特定した API に SSRF などの脆弱性が無いかを検証した痕跡や、Flutter 製アプリの解析ツールに関連するファイルが見つかり、アプリに埋め込まれた秘密情報や認証処理を抜き出して、正規アプリを介さずに API へアクセスできる可能性が指摘されています。

別のサーバーからは、データベースや CI ツール、メールゲートウェイを狙った攻撃、EDR の回避を試みた形跡、標的のネットワーク内に設置されたとみられる Web シェルも確認されたとしています。攻撃元のサーバーは日本以外の地域向けの Web サービスも標的にしていたと説明していますが、攻撃者の特定には触れていません。JPCERT/CC は攻撃元の IP アドレス 3 件を公開し、関連する情報の提供を求めています。

日本企業への影響と対応のポイント

• スマートフォンアプリや Web サービスの API を公開している企業（開発・運用の委託先を含む）が対象です。インターネットに公開したデータベース・CI ツール・メールゲートウェイを持つ企業も参考になります
• JPCERT/CC が示す対策に沿って、API の認証に使う秘密鍵や長期間有効な認証情報をアプリに埋め込んでいないか、署名や難読化に頼らずサーバー側で利用者の認証と操作ごとの認可を行っているか、レート制限と異常なリクエストの監視、外部 URL を取得する API の接続先制限（リダイレクト後の宛先を含む）を点検することを推奨します。公開された IP アドレスとの通信の有無をログで確認することも有効です

出典

• 連続不正アクセス事案の攻撃手法に関する調査（2026-10-15・JPCERT/CC）
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（2026-10-09・JPCERT/CC）

概要

情報通信研究機構（NICT）のサイバーセキュリティネクサス（CYNEX）の脅威分析チーム LETTICE は 2026 年 10 月 13 日、公開されている Android アプリを解析して接続先のサーバーや API の仕様を割り出し、そのサーバーを攻撃する手口を「A2B 攻撃（App-to-Backend Attack）」と名付け、国内で相次ぐ大規模な情報漏えいの原因の一つだとする注意喚起を公表しました。アプリ自体に脆弱性がなくても、サーバー側の認証・認可や入力値の検証に不備があると不正アクセスや個人情報の漏えいにつながると説明しています。NICT は AI によってアプリの解析や脆弱性の探索が効率化され、同様の攻撃が広がるおそれがあるとしていますが、個別の事案名や件数、A2B 攻撃が占める割合は示していません。iOS アプリや Web サービスの API でも同じ問題が起こりうるとしています。

国家サイバー統括室は 10 月 14 日、この注意喚起を、9 日までに出された各省庁・IPA・JPCERT/CC の注意喚起とあわせて一覧にまとめて掲載しました。

日本企業への影響と対応のポイント

• スマートフォンアプリや Web サービスの API を公開している企業（開発・運用を委託している場合を含む）が対象です
• NICT が示す 3 点に沿って、公開中の API・サーバーを洗い出してアクセスログで不審な取得がないかを確認すること、API の認可不備・SSRF・SQL インジェクション・設定不備などを点検すること、不要な API の停止やアクセス制限・監視の強化・認証情報の再発行といった暫定策を講じることを推奨します。「公開したアプリは誰でも解析できる」前提でサーバー側を守る考え方が示されています

出典

• 【注意喚起】相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」（2026-10-13・情報通信研究機構）
• CYNEX LETTICE 注意喚起（A2B 攻撃）（2026-10-13・NICT CYNEX）
• 不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について（2026-10-14・国家サイバー統括室）

概要

株式会社アドベンチャーは 2026 年 10 月 9 日、同社が運営する比較予約サイト「skyticket」が、経路の異なる 3 件の不正アクセスを受けたと公表しました。最大の事案は 10 月 2〜4 日に発生し、サイトの一部の管理機能を不正に操作され、そこから他のサーバーとクラウド上のデータにアクセスされたもので、約 1,464 万件の顧客情報（氏名・生年月日・メールアドレス・電話番号・住所など。うち約 413 万件はハッシュ化したログインパスワードを含む）が流出したとしています。

このほか、9 月 20 日には業務管理システムの脆弱性が悪用され、返金先の口座情報などを含む 17,780 件（件数を調査中のものあり）が流出またはそのおそれがあり、8 月 3 日〜10 月 1 日にはバスの予約完了ページがログインなしで表示できる状態で、約 12,000 件の予約情報が機械的に閲覧されたおそれがあるとしています。同社はクレジットカード番号とパスポートの画像は保存しておらず流出していないこと、会員 1 名のアカウントへの不正ログインを除き二次被害は確認されていないことを説明しています。経路の遮断と脆弱性対策を実施し、保存済みクレジットカードでの支払いを停止したうえで、個人情報保護委員会に報告したとしています。

日本企業への影響と対応のポイント

• 関係するのは、多数の顧客情報を扱う EC・予約サイトや会員サービスを運営する企業です。国内では 10 月に入り同様の大規模漏えいの公表が続いており、国家サイバー統括室と IPA の要請や JPCERT/CC の注意喚起も出ています
• 管理機能・業務管理システムへのアクセス制限（接続元の限定・多要素認証）、公開システムの脆弱性の修正状況、ログインなしで個人情報が表示されるページが無いかの点検を推奨します。管理機能を起点にクラウド上のデータへ到達されないよう、権限と保管場所の分離もあわせて見直すとよいでしょう

出典

• 不正アクセスによるお客様情報の流出に関するお詫びとお知らせ（2026-10-09・株式会社アドベンチャー）

概要

ソフトバンクグループの IDC フロンティアは 2026 年 10 月 7 日から、クラウドサービス「IDCF クラウド」の一部システムへの不正アクセスを公表しています。10 月 8 日の第 3 報では、原因を第三者によるランサムウェア攻撃とし、2026 年 10 月 7 日午前 3 時 40 分ごろから東日本リージョン 1 の一部ゾーン（tesla・henry・pascal・joule）で仮想サーバーが停止・再起動できない状態になったと説明しています。影響を受けたのは IDCF クラウドを利用する 495 の企業・自治体で、同社はこれらのゾーンに保管された顧客データの取り出し・復元は困難な見通しであり、復元は利用者が保持するバックアップから行う必要があるとの見解を示しています。

同社は東日本リージョン 1 をネットワークから切り離して停止し、外部のセキュリティ会社と侵入経路の特定・遮断と影響範囲の調査を進めているほか、監督官庁と警視庁に報告したとしています。他のリージョン・ゾーンでは不正アクセスは確認されていないものの、安全確認のため管理コンソールを停止しています。侵入経路やデータ流出の有無は調査中です。報道では、利用企業の一部（鉄道会社・航空会社など）が、会員向けメール配信に使うサービスが影響を受け、会員のメールアドレスなどが漏えいした可能性を公表していると伝えられています（同社の公表文には利用企業名の記載はありません）。

日本企業への影響と対応のポイント

• 関係するのは、IDCF クラウドを直接利用している企業・自治体に加え、メール配信・会員管理などの外部サービスを通じて間接的に依存している企業です。委託先・SaaS 事業者がどのクラウド基盤を使っているかを把握しているか、あらためて確認することを推奨します
• クラウド事業者側の障害でもデータを失いうることを前提に、事業者の環境とは別の場所に置いたバックアップの有無と復元手順、別環境での再構築の段取りを点検しておくとよいでしょう。IDC フロンティアも、影響のないゾーン・リージョンの利用者に自らバックアップを取るよう呼びかけています

出典

• 【第3報】当社サービスの一部システムへの不正アクセスによる障害について（2026-10-08・IDC フロンティア）
• 【第4報】不正アクセスによる障害への対応体制について（2026-10-09・IDC フロンティア）
• 当社サービスの一部システムに対する不正アクセスについて（2026-10-07・IDC フロンティア）

概要

株式会社ローソンは 2026 年 10 月 8 日、第三者による不正アクセスで個人情報が漏えいしたと公表しました。10 月 7 日の調査で、9 月 12〜14 日に「ローソン ID」、9 月 17 日に「ローソンアプリ予約」への不正アクセスが判明し、ローソン ID ではメールアドレス・氏名・性別・電話番号・住所など 215 万 5345 件、アプリ予約では氏名・電話番号・クレジットカード番号の一部 26 件が漏えいしたとしています。

原因について同社は、ローソンアプリに関連するシステムが不正に利用された可能性が高く、本来は利用者本人にだけ情報を表示するためのセキュリティ機構が第三者に突破されたと説明しています（それ以外の不正アクセスやマルウェア感染は確認されていないとしています）。不審なアクセス元の遮断、アプリ予約機能の停止、対象者へのメール連絡、個人情報保護委員会への報告を行い、対象システムのセキュリティと監視・インシデント対応体制を強化する方針です。発表時点で不正利用や二次被害は確認されていません。アプリ予約は 10 月中旬に再開予定とされています。

日本企業への影響と対応のポイント

• 関係するのは、会員 ID やスマートフォンアプリを通じて顧客に登録情報を表示している企業です。国内で相次ぐ情報漏えいの一つで、本人向けの表示の仕組みが突破されたとされる事例です。具体的な手口は公表されていませんが、JPCERT/CC は国内の事案で API の不正操作を確認したと注意喚起しています（関連記事）
• アプリや会員サイトが呼び出す API で、他人の情報を取得できないよう認可（本人確認）が API 側で確認されているか、大量・連続の取得を検知・制限できているかを点検することを推奨します。国家サイバー統括室と IPA が示した対策項目（関連記事）も手がかりになります

出典

• 第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ（2026-10-08・株式会社ローソン）

概要

株式会社第一興商は 2026 年 10 月 8 日、個人情報の取扱いを委託している日本コロムビアグループ株式会社（NCG 社）の従業員が使う PC 1 台がマルウェアに感染し、端末に一時的に保管されていた委託業務の個人データが漏えいしたおそれがあると公表しました。感染は 10 月 1〜2 日に判明し、NCG 社は 10 月 2 日に端末をネットワークから隔離、10 月 5 日に第一興商へ報告しています。

対象は「ビッグエコー」などの店舗で会員登録や予約をした顧客の情報約 863 万 1000 件（重複を除いた件数）と従業員の情報約 9 万 3000 件の計約 872 万 4000 件で、項目は氏名・性別・生年月日・メールアドレス・電話番号です（パスワードは含まれない）。実際の外部流出や不正利用は発表時点で確認されていないものの、可能性は否定できないとしています。感染経路を含む原因と被害範囲は NCG 社が外部の専門機関と調査中で、第一興商のシステムへの影響は確認されていません。第一興商は委託先管理のあり方を検証し、強化策を講じるとしています。

日本企業への影響と対応のポイント

• 関係するのは、顧客データの分析や会員対応などを外部やグループ外の会社に委託している企業です。委託先の 1 台の端末に大量の個人データが置かれていたことで、自社のシステムが無事でも被害が生じうる事例です
• 委託先との契約や点検項目で、個人データを従業員の端末に保存してよいか、保存する場合の件数・期間・暗号化・削除の取り決め、端末のマルウェア対策と検知の体制を確認することを推奨します。委託先から自社への報告までの期限も見直しの対象になります

出典

• 委託先における個人情報漏えいのおそれについて（2026-10-08・株式会社第一興商）

概要

ブックオフグループホールディングス株式会社は 2026 年 10 月 9 日、子会社が提供する会員管理システムへの第三者による不正アクセスを 10 月 6 日に確認し、調査の結果、会員情報が外部から取得されたことが判明したと公表しました。漏えいの可能性があるのは最大約 643 万件（会員番号の件数で、実際の人数ではない）で、氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号が含まれます。決済情報は同システムで保有していないとしています。

同社は攻撃元からの通信の遮断、脆弱性の是正、対象システムへの外部からのアクセス遮断を行い、判明している不正取得の経路は封じ込めたと説明しています。全システムの緊急総点検を進め、個人情報保護委員会へ報告しました。悪用や外部への公開、会員情報の書き換えは発表時点で確認されていません。不正アクセスの手口や是正した脆弱性の内容は示されておらず、対象人数と項目は精査中で、続報を出す予定です。

日本企業への影響と対応のポイント

• 関係するのは、子会社やグループ会社が会員管理など顧客情報を扱うシステムを運用している企業です。国内で相次ぐ大規模な情報漏えいの一つで、親会社として子会社のシステムの脆弱性管理や外部公開の状況を把握できているかが問われる事例です
• 外部からアクセスできる会員管理系のシステムについて、脆弱性の修正状況と不要な外部公開の有無をグループ全体で棚卸しすることを推奨します。パスワードのハッシュ値が流出した場合に備え、ハッシュ方式の強度や、利用者への再設定の案内手順も確認しておくとよいでしょう

出典

• 不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026-10-09・ブックオフグループホールディングス株式会社）

概要

株式会社スカラコミュニケーションズは 2026 年 10 月 6 日、企業サイト向けの FAQ システム「i-ask」への不正アクセスを公表しました。同社の発表によると、10 月 2 日 20 時 30 分ごろから 10 月 3 日 8 時ごろにかけて、第三者が i-ask の管理サイトに不正ログインして同社管理のサーバーに不正なプログラムを設置し、同じサーバー上で稼働していた利用企業のデータベースから問い合わせ情報（氏名・メールアドレス・問い合わせ内容など。項目は利用企業により異なる）を取得した可能性があります。対象は最大 5 社の環境で、件数は延べ最大 71 万 3126 件（同じ人の重複を含み、実人数は名寄せ中）とされています。

同社は 10 月 3 日朝にデータベースの監視アラートで検知し、不正ログインに使われたアカウントのパスワード変更、攻撃元 IP アドレスの遮断、全環境の管理者パスワードの変更、アップロードされたファイルがプログラムとして実行されない設定への変更などを行ったと説明しています。今後は多要素認証を含む管理者認証の強化、環境の分離、監視の強化、第三者による定期的な脆弱性診断を進める予定です。外部の調査会社と調査を続けており、不正ログインに使われた認証情報の入手経路などの原因は発表時点で示されていません。個人情報保護委員会への報告と警察への相談を済ませ、二次被害は確認されていないとしています。

利用企業のうちシチズン時計は 10 月 6 日、同社ブランドサイトの問い合わせフォームを通じた約 10 万人分の情報が流出したおそれがあると公表しました（同社のシステムへの不正アクセスは無いと説明）。問い合わせ本文に口座やクレジットカードの情報が書かれていた場合は、それも対象になりうるとしています。報道では、大和証券・損害保険ジャパン・東武鉄道も利用企業として公表したと伝えられていますが、スカラコミュニケーションズの発表は利用企業名を挙げていません。

日本企業への影響と対応のポイント

• 関係するのは、問い合わせフォーム・FAQ・チャットなどの顧客接点を外部の SaaS に委託している企業です。自社のシステムが無事でも、委託先で同じサーバーを共有する環境が侵害されると自社の顧客情報が流出しうる事例です
• 委託先の管理画面に多要素認証が適用されているか、利用企業ごとのデータが分離されているか、問い合わせデータの保存期間と削除の運用がどうなっているかを、委託先管理の点検項目として確認することを推奨します。問い合わせ本文に口座番号などの機微な情報が書き込まれる前提で、保存する範囲を見直すとよいでしょう

出典

• FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026-10-06・株式会社スカラコミュニケーションズ）
• 委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について（2026-10-06・シチズン時計株式会社）

概要

内閣官房国家サイバー統括室は 2026 年 10 月 9 日、「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表しました。ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などにより、大量の個人情報を扱う事業者の情報システムに侵入され、個人情報を含むデータが窃取される事案を複数確認したとしています。対策のポイントとして、(1) ウェブシステム等の適切な管理（修正プログラムの速やかな適用、多要素認証、ログの取得と監視など）、(2) サプライチェーンを通じた侵害への対策（委託先の対策状況の把握、委託契約でのセキュリティ要件の明確化など）、(3) データの適切な管理（保有情報の最小化、暗号化、アクセスログの点検など）を示し、被害を受けた組織には技術的な情報を国家サイバー統括室や所管省庁に速やかに共有するよう求めています。

同じ日に IPA も「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」を公表しました。金融機関や通信事業者など幅広い事業者から不正アクセスによる情報漏えいの公表が相次いでいると説明し、窃取された情報が公開の脅迫や不正な売買といった二次被害に使われているとしています。特定の製品・サービスの脆弱性が悪用されているかは確認されておらず、公表事例からは外部に公開したアプリケーション・サービスやアカウントが侵害の起点になったとみられる、としています。IPA の掲載によれば、経済産業省・金融庁・警察庁・個人情報保護委員会・JPCERT/CC も 10 月 7〜9 日に関連する注意喚起を出しています（JPCERT/CC の注意喚起は 10 月 9 日の記事）。

日本企業への影響と対応のポイント

• 関係するのは、大量の個人情報や機微な情報を扱う企業、とくにオンラインのアカウントサービスを提供する企業と、その開発・運用の委託先です。IPA は経営層が自ら対策を主導するよう求めています
• IPA が示す当面の点検として、外部公開しているアプリケーション・サービスとクラウドや VPN など利用中の外部サービスを洗い出し、直近 1 か月、続いて 3 か月のログと不審なアカウントの有無を確認することを推奨します。異常が見つかった場合は、IPA の勧めに沿ってインシデントとして対応し、専門事業者による調査を検討してください。あわせて、不要な保有データの削除と委託先の対策状況の確認を進めるとよいでしょう

出典

• 不正アクセスによる漏えい等の事案を踏まえた対応について（2026-10-09・内閣官房国家サイバー統括室）
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について（2026-10-09・IPA）

概要

JPCERT/CC は 2026 年 10 月 8 日、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（JPCERT-AT-2026-0030）を公表しました。2026 年 9 月前後から、国内組織への不正アクセスで個人情報などが漏えいする被害が相次いでおり、一般利用者向けのアプリだけでなく、BI ツールや従業員向けの管理システムなど、不特定多数の利用を想定しないシステムでも被害が出ていると説明しています。注意喚起に被害組織の名前は記載されていません。

JPCERT/CC に寄せられた情報では、(A) 標的ごとに既知の脆弱性の有無を探索して悪用を試みるほか、設定ファイルやバックアップファイルなど管理不備の悪用が疑われるもの、(B) 公開されているスマートフォンアプリから API の情報を特定し、画面からは使えない内部 API を通じて権限変更や不正なアカウント作成などを行うもの、(C) BI ツール Metabase の SQL インジェクションの脆弱性 CVE-2026-72898（2026 年 8 月 14 日に別途注意喚起済み）の悪用、の 3 つのケースが示されています。すべての事案が同じ手口とは限らず、被害の全体像や侵害の原因は十分に分かっていないとして、調査に応じて更新するとしています。

日本企業への影響と対応のポイント

• 関係するのは、顧客向けのアプリや Web サービスを API で提供している企業と、BI ツールや社内の管理システムをインターネットから利用できるようにしている企業です。開発・運用を委託している場合は委託先も含みます
• 注意喚起が示す対策項目を手がかりに、API へのレート制限（ログイン・パスワードリセット・検索などの機能ごとを含む）、非公開 API を含む全エンドポイントのアクセス制御、API トークンの最小権限と有効期限、既知の脆弱性の修正適用、業務上不要な管理機能の公開停止、保存期間を過ぎたデータの削除を点検することを推奨します。あわせて、不正アクセスの検知体制と初動対応の手順の見直しを検討してください

出典

• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（2026-10-08・JPCERT/CC）

概要

米国の CISA・FBI・NSA は 2026 年 10 月 8 日、英国 NCSC、オーストラリア ASD's ACSC、カナダ Cyber Centre、日本の警察庁と国家サイバー統括室、ニュージーランド NCSC-NZ、スペイン CNI と共同で、合同アドバイザリ AA26-281A を公表しました。中国政府とつながりのある中国の営利企業 Integrity Technology Group（Integrity Tech）が、攻撃ツールの入手・開発、インフラの確保、ネットワークへの侵入を通じて、中国とつながりのある攻撃者の活動を支えていると説明しています。

アドバイザリによると、攻撃者は自動化されたスキャンで脆弱性を探し、大規模なボットネットや VPN の基盤、既知の脆弱性の悪用、メールアカウントへのパスワードスプレー、正規ツールを悪用する手法（living off the land）などを組み合わせて、機密情報を窃取しています。被害は米国の政府機関・重要製造業・医療・IT などの分野のほか、東南アジア・アフリカ・北米の組織で確認されたとされ、初期侵入の活動は少なくとも 2021 年 1 月中旬から観測されています。アドバイザリでは日本は被害地域として挙げられていません。CISA は同じ日、アドバイザリで悪用が示された Apache Struts・ISC BIND・ProFTPD・ONLYOFFICE Docs・Strapi の古い脆弱性 5 件を、悪用が確認された脆弱性のカタログ（KEV）に追加しました。

日本企業への影響と対応のポイント

• 関係するのは、インターネットに公開したサーバーや Web アプリケーション、VPN 機器を運用する企業全般です。悪用された脆弱性には CVE 番号が 2014〜2023 年の古いものが含まれており、海外拠点や子会社のシステムも対象になります
• アドバイザリが示す対策項目を手がかりに、不要なサービス・ポートの停止、既知の脆弱性の修正適用とサポート終了製品の置き換え、多要素認証と最小権限の徹底、異常なログオンや大量のスキャン・外部への通信の監視、ネットワークの分離、オフラインのバックアップと復旧計画を点検することを推奨します。KEV に追加された 5 件の製品を使っている場合は、修正状況の確認をおすすめします

出典

• Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data（AA26-281A）（2026-10-08・CISA）
• CISA, FBI, NSA and International Partners Warn of China-based Cybersecurity Company Enabling Threat Actors to Target Multiple Critical Infrastructure Sectors Worldwide（2026-10-08・CISA）
• Known Exploited Vulnerabilities Catalog（2026-10-08・CISA）

概要

韓国の金融委員会（FSC）の 10 月 4 日の発表によると、2026 年 9 月 30 日に新韓銀行から侵害事故の報告があった後、複数の金融会社から追加のサイバー攻撃の届け出があり、金融監督院（FSS）が現場検査を進めています。新韓銀行は 10 月 1 日、ハッキングにより融資関連の顧客情報（氏名・電話番号・年収・算出限度額など）約 2 万 5,000 人分が漏えいしたと公表し、緊急対応チームの設置、外部 IP アドレスからのアクセスの遮断、関連サービスの停止、新しいセキュリティポリシーの適用を済ませ、確認された損害は全額補償すると説明しています。同行の発表を伝える報道によると、攻撃を受けたのは代理店向けのログインサイトで、漏えいした情報には一部の顧客の住民登録番号 66 件と連携情報（CI）97 件も含まれます。

金融監督院は 10 月 2 日に金融委員会・金融保安院・主要銀行・カード会社・業界団体と緊急対応会議を開いて攻撃の手口を共有し、現場検査と、攻撃元の IP などの関係機関への共有を始めました。10 月 4 日には金融委員会のイ・オグォン委員長が、金融監督院・金融保安院・科学技術情報通信部・警察庁・KISA・金融業界の各団体・主要金融会社を集めた緊急点検会議を開き、全金融機関に対して、外部との接点・脆弱性・認証とアクセス制御・侵入検知の緊急自己点検、不要な外部接続の遮断、漏えい範囲の特定と消費者への通知・補償、攻撃 IP と手口の業界内での即時共有、二次被害の防止を指示しました。委員長は「AI による攻撃には AI で対抗する」として、ゼロトラストを前提にした防御体制の再構築と、政府の AI セキュリティ検証への参加も求めています。

10 月 6 日には李在明大統領が国務会議で、一部のハッキングに AI が使われた兆候が現れていると述べ、経緯の迅速な把握と被害の最小化に人員と資源を集中するよう指示したと Reuters が報じています。同日、金融委員会と金融監督院は、漏えいした情報を使ったボイスフィッシングやスミッシングへの注意を呼びかけ（警報レベルは「注意」。発表時点で金銭被害の確認はなし）、10 月 6 日から 1 か月の特別対応期間を設けて各金融会社に専用窓口の設置と不正取引検知の強化を指示しました。使われた AI ツールの詳細は当局の公表文に記載がなく、Reuters によると当局は公表していません（報道では、攻撃に使われたサーバーからオープンソースの AI 侵入テストツールの痕跡が見つかったと伝えられていますが、当局や新韓銀行の公表文にツール名はありません）。

日本企業への影響と対応のポイント

• 直接の対象は韓国の金融機関ですが、代理店向けのサイトなど外部に公開したシステムから顧客情報が大量に漏えいしたという事案と、AI ツールで攻撃が自動化・低コスト化しているという当局の認識は、国内の金融機関だけでなく、顧客向けの Web サービスや API を外部に公開しているあらゆる企業に関係します。韓国に拠点や取引先がある企業は、現地の金融当局からの点検要請や二次被害への注意喚起もあわせて確認してください
• 金融委員会が全金融機関に指示した点検項目（外部との接点の棚卸し、脆弱性の確認、認証とアクセス制御、侵入検知、不要な外部接続の遮断）を手がかりに、外部に公開しているサービスの認証と権限確認、委託先・協力会社向けのシステム、大量のアクセスを検知して止める仕組みを見直すことを推奨します。漏えいが起きたときに備えて、影響範囲の特定・通知・補償の手順を確認しておくことも有効です

出典

• 全금융권이 비상한 경각심을 갖고 침해위협에 대응해 나가겠습니다（全金融業界が非常な警戒心をもって侵害の脅威に対応していく・緊急点検会議）（2026-10-04・金融委員会）
• 최근 발생하는 금융권 침해위협에 면밀히 대응해 나가겠습니다（最近発生している金融業界への侵害の脅威に綿密に対応していく・緊急対応会議）（2026-10-02・金融監督院）
• FSC-FSS Issue Consumer Alert over Potential Phishing Scams Following Data Breaches in Financial Sector（2026-10-06・金融委員会・英語）
• 補足: Some 25,000 customers' info leaked from Shinhan Bank in apparent AI agent-assisted hacking（2026-10-01・The Korea Herald）
• 補足: Data on 25,000 Shinhan Bank customers leaked…including resident registration numbers and CI（2026-10-01・The Kyunghyang Shinmun）
• 補足: South Korea's Lee says AI appears to have been used in bank hacks（2026-10-06・Reuters／NBC News）

概要

パーク24 株式会社は 2026 年 9 月 28 日、連結子会社のタイムズモビリティ株式会社が運営するカーシェアリングサービス「タイムズカー」の Web システムが第三者の不正アクセスを受け、個人情報が漏えいしたと公表しました。同社の発表によると、不正アクセスは 9 月 25 日 9 時 7 分に検知され、9 月 26 日 7 時 25 分までに侵入経路の遮断と攻撃元からの通信の遮断を完了しています。漏えいした可能性があるのは、タイムズカーの会員（退会者を含む）、入会手続きが完了していない申込者、法人向けの「タイムズビジネスサービス」の会員（退会者を含む）の最大約 660 万件のアカウントで、項目は氏名・住所・生年月日・電話番号・メールアドレス・運転免許情報・本人確認書類の画像・パスワード（復元できない形式）・連携サービスの ID（JR 西日本の WESTER ID など 9 サービス）です。クレジットカード情報は漏えいしていないことを確認し、パスワードの平文の取得や会員アカウントの不正利用は確認されていないとしています。

9 月 29 日の第 3 報では、本人確認書類の画像（運転免許証、現住所確認書類、学生証、家族確認書類）が漏えいしたアカウントが約 160 万件と特定され、該当する会員へのメール通知を同日から始め、外部専門機関の調査結果をふまえた個別の案内を約 2 週間で行うとしています。同社は個人情報保護委員会と警察に報告済みで、24 時間の問い合わせ窓口を設けています。侵入の原因・経路と再発防止策は調査結果をふまえて改めて公表するとしており、公表時点では明らかにされていません。報道によると、退会者向けには 10 月 1 日から漏えいの有無を確認できる専用の問い合わせフォームが設けられました。また ITmedia のまとめによると、9 月中旬から 10 月上旬にかけて国内では 20 社を超える企業が情報漏えいを公表しており、Web システムの脆弱性や API の認証不備を原因とするものが複数含まれています。

日本企業への影響と対応のポイント

• 直接の影響があるのは、タイムズカーやタイムズビジネスサービスを法人契約で使っている企業（社員の氏名・所属・運転免許情報などが対象になりえます）と、連携サービスの ID を持つ利用者です。該当する場合は同社からの個別の案内を確認し、社員には、同社をかたるメール・SMS・電話への注意と、漏えいした本人確認書類を使ったなりすましへの警戒を周知することを推奨します
• 退会者や入会手続きが完了していない申込者のデータ、本人確認書類の画像も漏えいの対象になった事案です。自社でも、本人確認書類の画像をどこに・いつまで保存しているか、退会者や未完了の申込者のデータの保持期間、外部に公開している Web システムや API の認証と権限確認を点検することを推奨します。原因は未公表のため、具体的な対策は同社の続報を待って確認してください

出典

• タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）（2026-09-28・パーク24株式会社）
• タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第3報）（2026-09-29・パーク24株式会社）
• 「タイムズカーWebサイト」への不正アクセスによる個人情報漏えいの可能性について（第1報）（2026-09-25 公開・2026-09-26 追記・パーク24株式会社）
• 補足: タイムズカー、退会者にも漏洩状況を個別通知 確認から案内まで約2週間（2026-10-02・日経クロステック）
• 補足: タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ 公表が相次ぐ3週間に何が起きたのか（2026-10-07・ITmedia エンタープライズ）