セキュリティニュース – ナウレッジ株式会社

ユミルリンクのメール配信サービスへの不正アクセス、漏えいのおそれは延べ約 5,163 万件・49 システムに拡大

Tue, 27 Oct 2026 00:28:22 GMT

概要

10 月 19 日の第一報（5 システム・延べ約 900 万件）の続報です。ユミルリンクは 2026 年 10 月 26 日の第二報で、「Cuenote FC」で漏えいの痕跡を確認したシステムが 49 となり、漏えいのおそれがある件数は延べ 51,628,280 件（ほかに「Cuenote BASE」で 190 件）になったと公表しました。16 システムは調査中で、件数は今後増える可能性があるとしています。対象は配信先メールアドレスと利用企業ごとに異なる付属情報（氏名・生年月日など）、配信記録、利用企業の担当者情報などです。同社は手口について、ライブラリの脆弱性を悪用してサポート担当者の認証情報を取得し、不正プログラムでデータを出力したうえ、他システムへの認証やセッション情報を使った不正ログインを行ったと説明しています。漏えいデータの公開や不正利用は現時点で確認されていないとし、利用企業名は公表していません（報道では、JR 東海など利用企業の側から会員情報の漏えいのおそれを公表する例が出ていると伝えられています）。

日本企業への影響と対応のポイント

Cuenote FC を利用している企業は、ユミルリンクからの個別連絡を確認し、自社の配信リストが対象かどうかと、本人への通知・個人情報保護委員会への報告の要否を判断することを推奨します
委託先の 1 か所の侵害で多数の企業の顧客情報が漏れる例が続いています。メール配信などの委託先には、保守担当者の認証情報を複数の顧客環境で共用していないか、管理画面への IP 制限があるかを確認するとよいでしょう

出典

当社システムへの不正なアクセスに関するご報告（第二報）（2026-10-26・ユミルリンク株式会社）
当社システムへの不正なアクセスに関するご報告（第一報）（2026-10-19・ユミルリンク株式会社）

出典: ユミルリンク株式会社

楽天トラベルの海外ホテル予約サイトと多言語予約サイトに不正アクセス、利用者情報最大約 260 万件などが対象

Tue, 27 Oct 2026 00:28:21 GMT

概要

楽天グループは 2026 年 10 月 26 日、楽天トラベルの 2 つのサイトで第三者による不正アクセスがあったと公表しました。1 件目は子会社 Rakuten Travel Xchange が運営する海外ホテル予約サイトの一部のページで、9 月 10 日に異常を検知し、ログインした利用者最大約 260 万件（氏名・メールアドレス・電話番号など）と予約者最大約 4 万件の情報が対象となり、うち最大約 3 万 6 千件にはカードの発行者識別番号・下 4 桁・名義・有効期限が含まれます（カード番号の全桁・セキュリティコード・パスワードは含まれないと説明）。2 件目は楽天グループが運営する多言語予約サイトで、10 月 20 日に検知し、利用者最大約 86 万件のメールアドレスなどと宿泊施設従業員のアカウント最大約 4 万件が対象です。手口は公表されておらず、同社は二次被害は現時点で確認されていないとして、対象者への個別連絡と個人情報保護委員会・国外の関係当局への報告を行っています。

日本企業への影響と対応のポイント

海外子会社や多言語サイトなど、本体とは別に運営される予約・EC サイトを持つ企業に関係します。グループ会社や海外拠点が運営するサイトも含めて、会員情報を扱う Web アプリケーションの脆弱性診断とアクセス監視の対象から漏れていないかを点検することを推奨します
出張手配などで楽天トラベルの海外ホテル予約を使っている場合は、従業員に楽天を装った不審なメール・SMS への注意を呼びかけるとよいでしょう

出典

海外ホテル予約サイトの一部ページならびに多言語予約サイトに関するお詫びとお知らせ（2026-10-26・楽天グループ株式会社）
「楽天トラベル」に不正アクセス顧客情報最大約260万件など流出か（2026-10-27・ITmedia NEWS）

出典: 楽天トラベル（楽天グループ株式会社）

家電量販店ジョーシンへの不正アクセス、会員情報データベースの最大約 600 万件が漏えいの可能性

Tue, 27 Oct 2026 00:28:20 GMT

概要

家電量販店「ジョーシン」を運営する Joshin（東証プライム）は 2026 年 10 月 26 日、不正アクセスによるシステム障害の第 2 報を公表しました。10 月 16 日にネットワークの異常を検知して該当サーバーを遮断しており、現在も一部のサービスを提供できない状態です。調査中の段階で、会員情報データベースサーバーの氏名・住所・電話番号・会員番号が最大約 600 万件、「ジョーシンのサブスク」の会員番号・電話番号と手書きサイン・ログイン ID と初期パスワードなどが最大約 23 万件、リフォーム写真アップロードシステムの最大約 800 件（運転免許証画像 2 件・マイナンバーカード 1 件・口座番号 5 件を含む）が漏えいした可能性があるとしています。件数は確定値ではなく、クレジットカード情報は保持していないと説明しています。侵入の手口は公表されておらず、同社は個人情報保護委員会と警察へ報告し、外部専門機関と調査を続けています。

日本企業への影響と対応のポイント

大量の会員情報を持つ小売・サービス事業者に関係します。会員データベースと、写真アップロードなど周辺の業務システムが同じネットワークから到達できる構成になっていないか、本人確認書類の画像を必要以上に保存していないかを点検することを推奨します
従業員の購入・修理・サブスク契約でジョーシンを使っている場合は、同社を装った不審なメール・SMS・電話への注意を呼びかけるとよいでしょう

出典

不正アクセスによるシステム障害発生のお詫びとお知らせ（第 2 報）（2026-10-26・株式会社Ｊｏｓｈｉｎ）
不正アクセスによるシステム障害発生のお詫びとお知らせ（2026-10-19・株式会社Ｊｏｓｈｉｎ）

出典: 株式会社Ｊｏｓｈｉｎ

圧縮ライブラリ Brotli の C 実装に境界外書き込みの脆弱性 CVE-2026-111497、Node.js など幅広い製品に影響

Tue, 27 Oct 2026 00:28:19 GMT

概要

JPCERT/CC は 2026 年 10 月 26 日、Google が開発する圧縮ライブラリ Brotli の C 言語実装にある境界外書き込みの脆弱性 CVE-2026-111497 について注意喚起を公表しました。細工された Brotli 形式のデータを展開すると、アプリケーションの異常終了やメモリ上の情報の漏えい、任意のコード実行につながるおそれがあります。影響を受けるのは Brotli v1.2.0 以上 v1.2.1 未満、v1.1.0 以上 v1.1.1 未満、v1.0.3 以上 v1.0.10 未満で、Node.js・Bun・Python 向け Brotli パッケージなどの製品が影響を受けます。Google は 10 月 21 日に修正版 v1.2.1・v1.1.1・v1.0.10 を公開しており、緩和策は示されていません。注意喚起に悪用の有無の記載はありません。

日本企業への影響と対応のポイント

Brotli は Web サーバー・ランタイム・ライブラリに組み込まれて広く使われており、自社開発のアプリケーションや Node.js などのランタイムを運用する企業に関係します。SBOM や依存関係の一覧で Brotli を含むコンポーネントを洗い出し、各製品の開発者が出す修正版をテストのうえ早めに適用することを推奨します
自社で直接使っていなくても、導入している製品・アプライアンスが Brotli を組み込んでいる場合があるため、ベンダーの対応状況を確認するとよいでしょう

出典

BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）に関する注意喚起（2026-10-26・JPCERT/CC）
BrotliのC言語実装における境界外書き込みの脆弱性（CVE-2026-111497）（2026-10-26・JVN）
Release v1.2.1 · google/brotli（2026-10-21・Google）

出典: JPCERT/CC

SD-WAN 管理製品 VeloCloud Orchestrator のオンプレミス版に脆弱性 CVE-2026-114625、悪用を受け修正版を公開

Tue, 27 Oct 2026 00:28:18 GMT

概要

Arista Networks は 2026 年 10 月 22 日、SD-WAN の管理製品 VeloCloud Orchestrator（VCO。旧 Broadcom 製）のオンプレミス版に SQL インジェクションの脆弱性 CVE-2026-114625（CVSS v3.1 で 9.9）があるとするアドバイザリを公表し、同社が検知した悪用が確認されていると説明しました。影響を受けるのは VCO 5.2.x の 5.2.3.18 より前、6.1.x の 6.1.3.10 より前、6.4.x の 6.4.2.12 より前で、各系列の修正版が公開されています（サポート終了版は評価対象外）。ホスティング版（専有型を含む）も影響を受けましたが、すでに修正済みとしています。米 CISA は 10 月 23 日（現地時間）にこの脆弱性を悪用確認済み脆弱性カタログ（KEV）に追加しました。

日本企業への影響と対応のポイント

拠点間ネットワークに VeloCloud の SD-WAN を使い、Orchestrator を自社で運用している企業や、運用を委託している企業に関係します。修正版への更新を急ぐとともに、Web 管理画面へのアクセスを管理用ネットワークに限定することを推奨します
アドバイザリは、公表された攻撃元 IP アドレスのログ確認、VCO ホストからの想定外の通信や Web シェルの有無、最近の管理者操作の確認を挙げています。侵害が疑われる場合は修正の前にログを保全するとよいでしょう

出典

Security Advisory 0199（2026-10-22・Arista Networks）
Known Exploited Vulnerabilities Catalog（2026-10-23・CISA）
ネットワーク統合管理製品「Arista VCO」に深刻な脆弱性 - すでに悪用も（2026-10-26・Security NEXT）

出典: Arista Networks

ブラストメールへの不正アクセスがピッコマに波及、メルマガ配信先のメールアドレス約 100 万件が流出

Sun, 25 Oct 2026 23:19:35 GMT

概要

10 月 23 日の記事で取り上げたメール配信サービス「ブラストメール」（株式会社ラクスライトクラウド）への不正アクセスについて、利用企業側からの公表が出ています。電子コミックサービス「ピッコマ」は 2026 年 10 月 24 日、メールマガジン 1 回分の配信で宛先となっていた利用者のメールアドレス 1,002,404 件が流出したと第 1 報で公表しました。同日にラクスライトクラウドから報告を受けたもので、件数は現時点の報告に基づくとしています。流出したのはメールアドレスのみで、ピッコマのアプリ・Web サービス・自社システムへの不正アクセスはなく、アカウント・パスワード・購入情報への影響もないと説明しています。同社はメールマガジンの配信を停止し、ブラストメールから送られたメールが正規のピッコマのメールとして扱われないよう設定を変更したうえで、個人情報保護委員会へ報告し、対象者には個別に連絡するとしています。

日本企業への影響と対応のポイント

メール配信 SaaS に会員のメールアドレスを預けている企業は、委託先の事故で自社の顧客情報がどこまで影響を受けうるか（配信先リストの保存範囲など）を確認し、委託先からの報告を受けた際の本人通知と当局報告の手順を点検することを推奨します。
委託先経由の流出では、自社の名前をかたるなりすましメールが続くことがあります。ピッコマのように、委託先のサービスから送られたメールを自社の正規のメールとして扱わない設定（送信ドメイン認証の設定の見直し）を検討するとよいでしょう。

出典

株式会社ラクスライトクラウドのメール配信システム「ブラストメール」への不正アクセスによるお客様のメールアドレス流出に関するお知らせとお詫び（第1報）（2026-10-24・ピッコマ）
【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告（2026-10-22・株式会社ラクスライトクラウド）

出典: ピッコマ

セキュリティニュース週次まとめ（2026年10月19日〜10月25日）

Sun, 25 Oct 2026 22:48:49 GMT

今週の要点

国内で大規模な情報漏えいの公表が続きました。佐川急便は荷物問い合わせサービスへの不正アクセスで最大約 5,323 万件（重複を含む）、カプコンは「CAPCOM ID」で約 1,177 万件、バーガーキング公式アプリは約 1,118 万件、「ふるさとチョイス」は約 445 万件の流出・漏えいを公表しています。
メール配信の「Cuenote FC」「ブラストメール」、Web 制作の「Studio」、一斉配信の「SpeeCAN RAIDEN」など SaaS への不正アクセスや、NEC の委託先への攻撃の顧客への波及が相次ぎました。
AI ゲートウェイ「LiteLLM」の公式配布物 1.107.0 に認証情報を盗む不正コードが混入していたと公表されました。米英独の当局はランサムウェア「SafePay」の共同注意喚起を出し、窃取した認証情報や VPN の悪用が侵入の起点とされています。
PHP は認証なしで遠隔コード実行につながる脆弱性 2 件を修正した 8.5.12 などを公開しました（悪用は未確認）。Oracle の 10 月の定例パッチについては、IPA が Java SE の早急な更新を呼びかけています。
EU CRA では、欧州委員会が 7 月に公表した 67 の事例付きガイダンス C(2026) 5252 を取り上げました（法的拘束力なし）。

テーマ別の動き

Cyber Resilience Act

EU CRA の適用範囲や「大幅な変更」の考え方、欧州委員会が 67 の事例付きガイダンスを公表済み — 適用範囲・大幅な変更・サポート期間・報告義務の考え方を事例で示した初のガイダンス（法的拘束力なし）

脆弱性・注意喚起

PHP に認証なしで遠隔コード実行につながる脆弱性 2 件、修正版 8.5.12 などを公開し各国当局が早期適用を要請 — CVE-2026-109618・CVE-2026-109619 を修正。悪用は未確認だが CISA や EU 当局が早期適用を要請
Oracle が 10 月の定例パッチで脆弱性を修正、IPA が Java SE の早急な更新を呼びかけ — 10 月 20 日公開の Critical Patch Update。Java SE 27・25・21・17・11・8 などが対象

インシデント・攻撃動向

バーガーキング公式アプリの会員管理システムに不正アクセス、約 1,118 万件の会員情報が漏えい — 氏名・電話番号・生年月日などが漏えい。侵入経路は調査中
ニフティの回線申込・受付管理システムに不正アクセス、光回線の顧客情報最大約 54 万件が漏えいのおそれ — 2019 年以降に自社サイト以外から光回線を申し込んだ顧客が対象
ふるさと納税サイト「ふるさとチョイス」が不正アクセスの疑いでサービスを停止（漏えいの有無は調査中） — トラストバンクが 10 月 19 日に関連サービスを一時停止
メール配信サービス「Cuenote FC」に不正アクセス、ユミルリンクが延べ約 900 万件の情報の持ち出しを公表 — 専用 ASP プランの 5 システムからメールアドレスを含む情報が出力されたと試算
ソフトバンクが「My SoftBank」など会員向け Web サイトを停止、不正アクセスの試みを検知（漏えいの有無は未公表） — 3 つの会員向け Web サイトを 17 日朝から停止。アプリ版は利用可能
阪急阪神百貨店の予約サイトなどに不正アクセス、共通会員「H2O ID」約 126 万件の個人情報が漏えい — 予約サイト経由で顧客管理システムに侵入され、ほぼ全会員が対象
「ふるさとチョイス」への不正アクセス、トラストバンクが寄附者の会員情報約 445 万件の流出を公表 — 氏名・住所・寄附控除の試算額などを含む。原因と再開時期は未定
Web 制作 SaaS「Studio」に不正アクセス、全顧客のフォーム送信内容や API キーが流出したおそれ — 脆弱性を突かれた不正アクセス。利用者に外部サービスの鍵の更新を要請
自治体・消防などが使う一斉配信サービス「SpeeCAN RAIDEN」に不正アクセス、最大約 313 万件のメールアドレスが漏えいのおそれ — 消防向けの NET119・119RAIDEN も対象。アルカディアが続報を公表
電子書籍ストア「コミックシーモア」の情報流出、システムログ上の最大約 420 万件に拡大 — 会員 DB の 319 件に加え、システムログ上のメールアドレスなどが流出
イオングループ各社の一部 Web サイトで不正アクセスを検知、システムメンテナンスで対応（漏えいの有無は調査中） — 個人情報の流出の有無と原因は調査中
米英独の当局がランサムウェア「SafePay」の共同注意喚起、600 以上の組織に被害 — AA26-293A。窃取した認証情報や VPN の悪用が侵入の起点
カプコンが「CAPCOM ID」への不正アクセスを公表、全世界で約 1,177 万件のメールアドレスなどが漏えい — メールアドレスやログイン履歴が漏えいし、196 件はパスワードを不正に変更
「お名前.com デスクトップクラウド」に不正アクセス、約 2.7 万台のサーバーを停止し FX 口座の不正操作も報告 — 不正なプログラムの設置を確認し全プランを停止。取引口座のログイン情報が悪用された可能性
NEC の委託先へのサイバー攻撃が顧客に波及、大阪大学は約 7.8 万人の情報漏えい、大阪公立大学はシステム障害 — 運用・保守の委託先・再委託先を経由した被害が大学に波及
メール配信 SaaS「ブラストメール」に不正アクセス、全顧客の契約情報と一部の配信先リストが流出 — API サーバーへの不正アクセス。サービスは 10 月 21 日から停止
佐川急便、荷物問い合わせサービスへの不正アクセスで流出のおそれがある個人情報は最大約 5,323 万件と公表 — 第 5 報で送り状データなどの規模を公表し、同サービスを再開
アンドエスティ HD の業務サーバーに不正アクセス、顧客約 250 万件の個人情報が流出した可能性 — 取引先約 1 万件も対象。社内業務システムを停止し会員ポイントが利用不可
トレジャー・ファクトリーの出張買取・引越の案件管理システムに不正アクセス、顧客のメールアドレス約 74.6 万件が流出 — システムの脆弱性が悪用された。10 月 28 日をめどに再開予定
AI ゲートウェイ「LiteLLM」の公式配布物に認証情報を盗む不正コード、1.107.0 が対象 — PyPI と公式コンテナイメージで配布。導入環境では鍵の総入れ替えを要請
お名前.com デスクトップクラウドの不正アクセス、GMO が情報の持ち出しを確認し全利用者への見舞金と損失補償を公表 — 全利用者に一律 5,000 円を支払い、不正取引による損失を補償する方針

今後の期限・予定

日付	事項	地域
2027-01-31	Ivanti Connect Secure 22.8 のサポートが終了	global
2027-04-01	犯罪収益移転防止法施行規則の改正が施行、本人確認書類の画像送信による本人確認方法が廃止	JP

AI ゲートウェイ「LiteLLM」の公式配布物に認証情報を盗む不正コード、1.107.0 が対象

Sat, 24 Oct 2026 15:00:00 GMT

概要

LiteLLM の開発元は 2026 年 10 月 21 日（10 月 23 日に更新）、同日に公式の配布経路で公開された LiteLLM 1.107.0 に不正なコードが含まれていたと公表しました。対象は PyPI の litellm==1.107.0（11:39〜13:23 UTC に公開。削除済み）と、Docker Hub・GHCR のイメージのタグ v1.107.0・latest・main-latest・main-stable（最長で 14:20 UTC まで）で、GitHub のソースのタグ、それ以前の版、エンタープライズ版は影響を受けていないとしています。不正なコードは認証情報を盗み、外部からのコード実行の仕組みを組み込むもので、開発者の GitHub CLI の認証情報が悪用されてリリースの仕組みが使われたと説明しています（最初の侵入経路は未確定）。

日本企業への影響と対応のポイント

生成 AI の API 管理に LiteLLM を使う企業は、10 月 21 日に 1.107.0 や latest などのタグを取得した環境が無いかを確認し、該当する場合は開発元の手順に沿って環境を作り直し（1.106.2 など事件前の版に固定）、その環境から到達できたクラウドの認証情報・AI サービスの API キー・データベースのパスワードを入れ替えることを推奨します。
依存パッケージやコンテナイメージを latest などの可変タグで自動取得している運用は、版の固定とハッシュの確認を検討するとよいでしょう。

出典

Contained: Oct 21, 2026 LiteLLM release v1.107.0 Compromised（2026-10-21・LiteLLM）
「LiteLLM」に不正プログラム混入 - 認証情報漏洩やコード実行のおそれ（2026-10-23・Security NEXT）

出典: LiteLLM

お名前.com デスクトップクラウドの不正アクセス、GMO が情報の持ち出しを確認し全利用者への見舞金と損失補償を公表

Sat, 24 Oct 2026 15:00:00 GMT

概要

10 月 23 日の記事の続報です。GMO インターネットは 10 月 24 日の第 4 報で、FX 取引などに使われる VPS「お名前.com デスクトップクラウド」への不正アクセスにより、顧客の情報が外部に持ち出された事実を確認したと公表しました（持ち出された情報の種類・件数は記載されていません）。金銭的被害の有無を問わず現在の利用者全員に一律 5,000 円の見舞金を支払い、同社が不正アクセスに起因すると認めた取引で生じた損失（差損・手数料等）を補償する方針で、申請方法は 11 月 6 日までに案内するとしています。攻撃者とみられる者から、国内外の 70 を超える証券会社・FX 会社等の口座への不正操作の継続や情報公開を示唆する金銭要求を受けたものの応じない方針で、警察に刑事事件としての捜査を要請し、能動的サイバー防御の措置を含めて政府関係機関に緊急要請したと説明しています。現行の基盤では再開せず、希望者には独立したクラウド基盤の代替サービス（移行後 6 か月無償）への移行を案内するとしています。侵入経路は引き続き調査中です。

日本企業への影響と対応のポイント

本サービスで取引ツールや業務システムを動かしていた企業・個人は、保存していた認証情報を本サービス以外の端末から変更し、各事業者の案内に従って接続中のセッションを切断することを推奨します。
証券・FX 会社など、顧客が VPS 上の取引ツールから接続するサービスを提供する事業者は、不審なログインや短時間の大量注文の監視と、顧客への二段階認証の案内を点検するとよいでしょう。

出典

【重要】お名前.com デスクトップクラウドサービスに対するサイバー攻撃について（第4報）（2026-10-24・GMOインターネット株式会社）
当社における不正アクセスに伴うお客様へのお見舞金のお支払いおよび不正取引による損失の補償に関するお知らせ（2026-10-24・GMOインターネット株式会社）
【重要】「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第3報）（2026-10-23・GMOインターネット株式会社）

出典: GMOインターネット株式会社

トレジャー・ファクトリーの出張買取・引越の案件管理システムに不正アクセス、顧客のメールアドレス約 74.6 万件が流出

Fri, 23 Oct 2026 15:00:00 GMT

概要

トレジャー・ファクトリーは 2026 年 10 月 23 日、「出張買取」と「トレファク引越」の案件管理システムに 10 月 20 日未明から朝にかけて第三者が不正にアクセスし、顧客情報などが取得されたと公表しました（適時開示）。取得が確認されたのは、お客様情報 746,277 件（メールアドレス。うち 11 件は氏名・住所を含む）、取引先業者・従業員などの氏名とメールアドレス 750 件、それらの人が使う端末の情報 1,000 件で、決済に関する情報は含まれず、店舗やアプリで管理する顧客情報も対象外としています。原因は、現時点の調査ではデータベースへのアクセスに関する脆弱性の悪用とみており、直近で公表された PHP の脆弱性とは関係がないことを確認したと説明しています。10 月 20 日に外部からのアクセスと申込フォームを止め、10 月 28 日をめどに再開する予定で、個人情報保護委員会への報告と警察などへの相談を進めています。8 月の子会社カインドオルの事案（フィッシングが原因）とは原因・侵入経路が異なるとしています。

日本企業への影響と対応のポイント

申込受付や案件管理のように、外部に公開した業務システムが顧客データベースにつながっている企業に関係します。同社が点検項目として挙げた脆弱性管理・脆弱性診断・WAF による防御・アプリケーションとデータベースの対策を、自社の公開システムでも見直すことを推奨します。
漏えいしたのが主にメールアドレスでも、同社を装った偽メールに使われるおそれがあるため、顧客への注意喚起の文面と問い合わせ窓口の準備を平時から整えておくとよいでしょう。

出典

当社システムへの不正アクセスによる個人情報漏えいに関するお知らせ（適時開示）（2026-10-23・株式会社トレジャー・ファクトリー）
不正アクセスによる個人情報漏えいに関するお詫びとお知らせ（2026-10-23・株式会社トレジャー・ファクトリー）

出典: 株式会社トレジャー・ファクトリー

佐川急便、荷物問い合わせサービスへの不正アクセスで流出のおそれがある個人情報は最大約 5,323 万件と公表

Fri, 23 Oct 2026 15:00:00 GMT

概要

佐川急便は 2026 年 10 月 23 日、9 月 30 日に確認した「お荷物問い合わせサービス」への第三者による不正アクセスについて第 5 報を公表し、流出した可能性のある個人情報が最大約 5,323 万件になると明らかにしました。件数は重複を含み、対象の人数を示すものではないと説明しています。対象は 2026 年 6 月 21 日〜9 月 30 日の送り状データ（依頼主・届け先の氏名、住所、電話番号）、運賃契約の利用者の情報、Web サービス「スマートクラブ」の会員情報（メールアドレス・会員 ID を含む）で、クレジットカード情報とパスワードは含まれないとしています。同日、点検と対策を終えた「インターネット貨物のお荷物問い合わせ」を再開しましたが、問い合わせ API や飛脚宅配便の受付など一部のサービスは停止を続けており、第三者機関と調査と名寄せを続けています。二次被害は確認されていないとしています。

日本企業への影響と対応のポイント

配送を委託している通販事業者・自治体などは、自社の顧客の送り先情報が対象期間に含まれる可能性があるため、顧客への案内と、佐川急便を装った偽メール・SMS への注意喚起を検討するとよいでしょう。
自社でも、荷物追跡のように認証なしで照会できる公開 Web サービスについて、大量照会の検知・制限と、照会で返す情報の範囲を点検することを推奨します。

出典

「お荷物問い合わせサービス」の再開および個人情報の流出に関する調査状況について（第5報）（2026-10-23・佐川急便株式会社）
佐川急便、「お荷物問い合わせサービス」への不正アクセスで最大5323万件の個人情報流出の可能性、サービスは再開（2026-10-23・INTERNET Watch）

出典: 佐川急便株式会社

アンドエスティ HD の業務サーバーに不正アクセス、顧客約 250 万件の個人情報が流出した可能性

Fri, 23 Oct 2026 15:00:00 GMT

概要

アンドエスティ HD は 2026 年 10 月 23 日、10 月 22 日 7 時 30 分ごろから外部が同社の複数の業務サーバーにログインを試み、侵入してデータを抽出したと公表しました。10 時ごろに不正な操作を検知してサーバーを隔離し、17 時までに侵入経路を遮断して社内業務システムを停止しています。流出の可能性がある情報は、10 月 23 日時点でお客さま約 250 万件（氏名・生年月日・性別・住所・電話番号・メールアドレス・会員 ID）とお取引先さま約 1 万件で、従業員の情報は範囲を確認中です。クレジットカードなどの決済情報と、お客さまが設定したパスワードは含まれないとしています。Web ストアは影響を受けておらず店舗とともに利用できますが、会員ポイントは使えない状態です。警察への相談と個人情報保護委員会への報告を 10 月 23 日に行い、侵入の手段は特定して対応を終えたとしていますが、具体的な手口は公表していません。

日本企業への影響と対応のポイント

小売・EC など多数の会員情報を業務サーバーで扱う企業に関係します。外部から業務サーバーにログインできる経路（リモート接続・管理用アカウント）の棚卸しと、多要素認証・ログイン試行の監視の状況を点検することを推奨します。
異常な操作の検知からサーバーの隔離、経路の遮断、業務システムの停止までを短時間で行えるよう、手順と判断者を確認しておくとよいでしょう。

出典

当社業務サーバーへの不正アクセスの発生および個人情報等流出の可能性に関するお詫びとお知らせ（2026-10-23・株式会社アンドエスティHD）

出典: 株式会社アンドエスティHD

Oracle が 10 月の定例パッチで脆弱性を修正、IPA が Java SE の早急な更新を呼びかけ

Thu, 22 Oct 2026 15:00:00 GMT

概要

Oracle は 2026 年 10 月 20 日（米国時間）、四半期ごとの定例パッチ「Critical Patch Update」を公開しました。報道では、Fusion Middleware・E-Business Suite・MySQL・Java SE などを対象に、のべ 1,295 件の修正が含まれると伝えられています。IPA は 10 月 21 日、Oracle Java SE 27、26.0.2、25.0.4.1、21.0.12.1、17.0.20.1、11.0.32.1、8 Update 503 などの脆弱性について、攻撃された場合の影響が大きいとして早急に最新版へ更新するよう呼びかけています。IPA のページでは悪用の有無には触れていません。

日本企業への影響と対応のポイント

Java SE の実行環境や、Oracle のデータベース・ミドルウェア・業務アプリケーションを使う企業が対象です。
自社と委託先が運用するシステムで該当製品とバージョンを洗い出し、定例パッチの適用計画を立てることを推奨します。商用利用の Java はライセンスとサポートの状況もあわせて確認するとよいでしょう。

出典

Oracle Java の脆弱性対策について(2026年10月)（2026-10-21・IPA）
Oracle、四半期定例パッチで1295件を修正 - 深刻な脆弱性も（2026-10-21・Security NEXT）

出典: IPA（情報処理推進機構）

「お名前.com デスクトップクラウド」に不正アクセス、約 2.7 万台のサーバーを停止し FX 口座の不正操作も報告

Thu, 22 Oct 2026 15:00:00 GMT

概要

GMO インターネットは 2026 年 10 月 21 日と 22 日（第 2 報）、Windows の仮想デスクトップサービス「お名前.com デスクトップクラウド」で、10 月 20 日に一部のサーバーへ第三者が不正なプログラムを設置していたことを確認したと公表しました。影響の可能性があるサーバーは 26,739 件で、10 月 21 日 4 時以降は全プランのサーバーを順次停止し、新規申込みとコントロールパネルも止めています（再開時期は未定）。第 2 報では、利用者から取引口座での不正操作の報告を受け、サーバー内に保存されていた取引口座のログイン情報が取得・悪用された可能性があると説明しています。侵入経路と影響範囲はセキュリティ専門会社と調査中で、10 月 22 日に警察へ相談したとしています。

日本企業への影響と対応のポイント

クラウド上の仮想デスクトップや VPS に業務システム・金融サービスの認証情報を保存している企業は、保存の有無を棚卸しし、必要に応じてサーバー以外の端末からパスワードを変更することを推奨します。
外部サービスへのログインには、事業者が提供する二段階認証を設定し、取引や操作の履歴を確認する運用を整えるとよいでしょう。

出典

「お名前.com デスクトップクラウド」への不正アクセスに関するお詫びとお知らせ（第2報）（2026-10-22・GMOインターネット株式会社）
第三者による不正アクセスに関するお詫びとお知らせ（2026年10月21日 4:00時点）（2026-10-21・GMOインターネット株式会社）

出典: GMOインターネット株式会社

NEC の委託先へのサイバー攻撃が顧客に波及、大阪大学は約 7.8 万人の情報漏えい、大阪公立大学はシステム障害

Thu, 22 Oct 2026 15:00:00 GMT

概要

2026 年 10 月 21 日、NEC にシステムの運用・保守を委託している 2 つの大学が、NEC の委託先に関わる被害を公表しました。大阪大学は、9 月 26 日に第三者が個人情報を含むファイルをダウンロードしていたと 10 月 9 日に NEC から報告を受けたとし、重複を除き 77,851 人（卒業生・在学生・教職員）の氏名・個人 ID・大学のメールアドレス・学籍番号などが漏えいしたと説明しています。原因として、大学に報告されていない協力会社が業務に関わり、NEC が契約に基づかずに個人情報のファイルをクラウドストレージで共有し、作業後も削除していなかったことを挙げています。大阪公立大学は、10 月 2 日に発生した情報基盤システムの障害について、NEC の再委託先が 9 月下旬にサイバー攻撃を受け、その正規アカウントで大学のシステムに不正アクセスされたとの報告を受けたと公表し、漏えいした情報の内容と件数は NEC に確認中としています。

日本企業への影響と対応のポイント

システムの開発・運用を外部に委託している企業は、再委託先を含む関係者と、自社環境に接続できるアカウントの一覧を委託先に確認することを推奨します。
委託先が業務で使うクラウドストレージに自社のデータが残っていないか、作業後の削除が契約どおり行われているかを点検するとよいでしょう。

出典

委託事業者における個人情報漏えいについて（2026-10-21・大阪大学）
本学情報基盤システムにおける障害の発生について【第5報】（2026-10-21・大阪公立大学）

出典: 大阪大学

カプコンが「CAPCOM ID」への不正アクセスを公表、全世界で約 1,177 万件のメールアドレスなどが漏えい

Thu, 22 Oct 2026 15:00:00 GMT

概要

カプコンは 2026 年 10 月 22 日、Web サービスや一部のオンラインゲームで使う共通アカウント「CAPCOM ID」への不正アクセスを公表しました。10 月 19 日に不正アクセスの痕跡を見つけて遮断し、20 日に情報の漏えいと一部アカウントのパスワードの不正な変更を確認、21 日に警察と個人情報保護委員会へ報告しています。漏えいしたのはメールアドレスと、アカウント作成日時・最終ログイン日時・最終ログイン時の IP アドレスなどの識別情報で、全世界の合計 11,774,247 件（うち 43 件は生年月日・性別・国や地域・ニックネームも含む）です。196 件でパスワードが不正に変更されました（該当アカウントはリセット済み）。利用者が設定したパスワードの漏えいは確認されておらず、クレジットカード情報は対象外と説明しています。攻撃の手段は特定して対応済みとする一方、詳細と影響範囲は調査中です。

日本企業への影響と対応のポイント

会員 ID・共通アカウントを運営する企業は、ログインやパスワード変更の機能、アカウント情報を返す API の不正利用に備え、異常な件数のアクセスやパスワード変更を検知・遮断できるかを点検することを推奨します。
従業員や取引先への便乗フィッシングが想定されるため、メール内の URL や添付ファイルへの注意を社内で周知するとよいでしょう。

出典

不正アクセスによるお客様情報漏えいのお詫びとお知らせ（2026-10-22・株式会社カプコン）

出典: 株式会社カプコン

メール配信 SaaS「ブラストメール」に不正アクセス、全顧客の契約情報と一部の配信先リストが流出

Thu, 22 Oct 2026 15:00:00 GMT

概要

株式会社ラクスライトクラウドは 2026 年 10 月 22 日、企業や自治体が使うメール配信サービス「ブラストメール」への不正アクセスについて公表しました。外部の第三者が API サーバー 2 台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出したと説明しています。持ち出されたのは、全顧客の会社名・担当者名・電話番号・メールアドレス・契約と支払いの履歴などで、一部の顧客については配信先リストなどの配信情報の漏えいも確認されました（クレジットカード番号は保持していない）。管理画面と API は 10 月 21 日 0 時 30 分から、メール配信は同日 1 時ごろから停止しており、再開時期は未定です。侵入経路は調査中で、影響を受けた顧客数と件数は公表されていません。

日本企業への影響と対応のポイント

メール配信や会員連絡に外部の SaaS を使う企業は、どの SaaS にどの個人情報（配信先リストなど）を預けているかを把握し、委託先の事故の際に本人への連絡や当局への報告を判断できる体制を確認することを推奨します。
ブラストメールを利用している場合は、事業者からの続報を確認し、配信先の方への便乗フィッシングに注意を呼びかけるとよいでしょう。

出典

【重要】ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告（2026-10-22・株式会社ラクスライトクラウド）

出典: 株式会社ラクスライトクラウド

PHP に認証なしで遠隔コード実行につながる脆弱性 2 件、修正版 8.5.12 などを公開し各国当局が早期適用を要請

Wed, 21 Oct 2026 15:00:00 GMT

概要

PHP の開発チームは 2026 年 10 月 21 日、認証なしで遠隔からコードを実行されうる 2 件の脆弱性（CVE-2026-109618：メモリ不足時の処理に起因するもの、CVE-2026-109619：リクエストをまたいで残る内部状態に起因するもの）を修正した PHP 8.5.12・8.4.27・8.3.36・8.2.35 を公開しました。PHP の告知は、mod_php で動かしている環境のリスクが最も高いと説明しています。PHP 8.1 以前は開発チームの更新対象外です。悪用について、CISA は公表時点で確認していないとしており、IPA も事前の案内（10 月 21 日）で攻撃を確認していないとしています。CISA と、欧州委員会・ENISA・CERT-EU などの共同声明は、PHP を使うシステムの棚卸しと、インターネットに公開しているシステムからの早期の更新を求めています。

日本企業への影響と対応のポイント

自社の Web サイト・業務アプリケーションに加え、PHP を内部で使う製品・機器や、ホスティング・SaaS 事業者の環境が関係します
PHP を使うシステムを洗い出し、公開サーバーから修正版への更新を進めることを推奨します。すぐに更新できない場合は、PHP の告知にある暫定設定や一時的な公開停止を検討し、PHP 8.1 以前は移行計画を立てるとよいでしょう

出典

PHP News Archive 2026（Security advisory: Critical remote code execution vulnerabilities, update now）（2026-10-21・The PHP Group）
Critical Vulnerabilities in PHP Require Immediate Patching（2026-10-21・CISA）
Joint statement on critical PHP vulnerabilities（2026-10-21・ENISA）
【事前準備のお願い】PHPのセキュリティリリース公開予定について（2026-10-21・IPA）

出典: The PHP Group

電子書籍ストア「コミックシーモア」の情報流出、システムログ上の最大約 420 万件に拡大

Wed, 21 Oct 2026 15:00:00 GMT

概要

NTT ソルマーレは 2026 年 10 月 21 日の第 4 報で、電子書籍ストア「コミックシーモア」の情報流出について、会員データベース上の 319 件（メールアドレス・ハッシュ化されたパスワード・ニックネーム・生年月日・性別）に加え、システムログファイル上の最大約 420 万件（メールアドレス・ニックネーム・生年月日・性別。パスワードは含まない。重複を含む可能性あり）が流出したと公表しました。同社は 10 月 15 日 11 時 35 分に不正アクセスの疑いでサービスを停止し、16 日に会員情報を管理するシステムへの不正アクセスを確認していました。クレジットカード情報は対象システムに保有しておらず、購入履歴などの流出も確認されていないとしています。侵入経路と手口は特定・遮断済みとしていますが内容は公表しておらず、再開時期は関係機関と調整中です。

日本企業への影響と対応のポイント

会員向けの Web サービスを運営する企業、特にアプリケーションのログに個人情報を出力している事業者が関係します
システムログやデバッグ出力に個人情報が残っていないか、ログの保存期間とアクセス権限が適切かを点検することを推奨します。漏えい件数の見積もりでは、データベースだけでなくログやバックアップも範囲に含めるとよいでしょう

出典

『コミックシーモア』お客様の情報流出に関するご報告（第4報）（2026-10-21・NTTソルマーレ）
『コミックシーモア』会員情報の流出に関するお詫びとお願い（第2報）（2026-10-16・NTTソルマーレ）

出典: NTTソルマーレ

自治体・消防などが使う一斉配信サービス「SpeeCAN RAIDEN」に不正アクセス、最大約 313 万件のメールアドレスが漏えいのおそれ

Wed, 21 Oct 2026 15:00:00 GMT

概要

株式会社アルカディアは 2026 年 10 月 13 日から、クラウド型の一斉情報配信サービス「SpeeCAN RAIDEN」への不正アクセスについて報告を出しており、10 月 21 日の第 18 報までに、漏えいのおそれがある件数をメールアドレス約 3,136,000 件・電話番号約 105,000 件・FAX 番号約 15,000 件（いずれも推定値）としています。消防向けの NET119（9,020 件のメールアドレスに紐づく個人情報）と 119RAIDEN（メールアドレス約 97,000 件など）にも不正アクセスの痕跡を確認したとしています。10 月 13 日未明には不正なプログラムによりフィッシングメール 1,423,428 通が外部に配信されたことも公表しました。侵入経路の詳細は公表されておらず、同社は個人情報保護委員会への報告と、警察・総務省などへの相談を済ませたとしています。サービスは自治体の防災メールや警察の職員安否確認などに使われており、各自治体・府県警も利用者への連絡を進めています。

日本企業への影響と対応のポイント

防災・安否確認・一斉連絡などの配信サービスを外部に委託している企業・団体と、その登録者が関係します
委託している配信・連絡サービスの一覧と、預けている個人情報の範囲を確認することを推奨します。登録者向けには、委託先を装ったフィッシングメールへの注意喚起を準備しておくとよいでしょう

出典

弊社サービスへの不正アクセスに伴う一連の対応について（随時更新）（2026-10-21・株式会社アルカディア）
不正アクセスに伴う一連の対応について（2026-10-21・株式会社アルカディア）

出典: 株式会社アルカディア

イオングループ各社の一部 Web サイトで不正アクセスを検知、システムメンテナンスで対応（漏えいの有無は調査中）

Wed, 21 Oct 2026 15:00:00 GMT

概要

漏えいの有無は調査中です。イオン株式会社は 2026 年 10 月 21 日、グループ各社の一部の Web サイトで第三者による不正アクセスを検知し、システムメンテナンスとして安全確認を実施していると公表しました。個人情報の流出などについても調査を進めており、結果が確認でき次第、同社サイトで知らせるとしています。原因の調査と復旧に向けた対応も進めているとしていますが、対象のサイト数・会社名や手口は公表文には書かれていません。報道ではグループ 13 社の 42 サイトが閲覧できなくなったと伝えられていますが、この数字は同社の公表文にはありません。

日本企業への影響と対応のポイント

グループ会社ごとに Web サイトや会員サービスを運営している企業、特に共通の基盤や制作会社でサイトを運用している企業が関係します
グループ内の Web サイトと管理画面・CMS の棚卸し、管理者アカウントの多要素認証、公開サーバーの更新状況を点検することを推奨します。続報で原因が公表されたら、自社の構成と照らし合わせるとよいでしょう

出典

イオングループの一部Ｗｅｂサイトへの不正アクセスによるシステムメンテナンスについて（2026-10-21・イオン株式会社）

出典: イオン株式会社

米英独の当局がランサムウェア「SafePay」の共同注意喚起、600 以上の組織に被害

Wed, 21 Oct 2026 15:00:00 GMT

概要

FBI・CISA・米シークレットサービスと、ドイツのラインラント＝プファルツ州刑事局、英国の国家犯罪対策庁（NCA）などは 2026 年 10 月 20 日、ランサムウェア「SafePay」に関する共同注意喚起（AA26-293A）を公表しました。SafePay は 2024 年 8 月から北米・南米・欧州・豪州で活動し、複数の重要インフラ分野で少なくとも 600 の組織が被害を受けたとしています。侵入の起点として、窃取・流出・推測された認証情報（総当たりを含む）、VPN アクセスの悪用、フィッシング、境界機器などの既知の脆弱性の悪用を挙げています。

日本企業への影響と対応のポイント

海外拠点を持つ企業や、VPN・ファイアウォールなどの境界機器をインターネットに公開している企業が関係します
当局の対策項目に沿って、境界機器の更新（悪用が確認された脆弱性を優先）、VPN と Web メールへの多要素認証、管理者権限の見直し、オフラインかつ改ざんできないバックアップと復元の訓練を点検することを推奨します

出典

#StopRansomware: SafePay Ransomware（AA26-293A）（2026-10-20・CISA）
CISA, FBI and Partners Warn Organizations of SafePay Ransomware Actors Targeting Multiple Critical Infrastructure Sectors（2026-10-21・CISA）

出典: CISA

Web 制作 SaaS「Studio」に不正アクセス、全顧客のフォーム送信内容や API キーが流出したおそれ

Tue, 20 Oct 2026 15:00:00 GMT

概要

Web サイト制作サービス「Studio」は 2026 年 10 月 16 日に第一報を出し、20 日まで更新を重ねて、第三者が一部機能の脆弱性を突いてクラウド環境のデータを外部から取得できる状態にしていたと公表しました。確認できている不正アクセスの期間は 9 月 30 日〜10 月 1 日で、10 月 13 日に社内調査で判明し、13〜14 日に脆弱性を修正しています。対象は全登録顧客で、アカウント情報（パスワードはハッシュ化）、デザインや CMS の内容、Web サイトのフォームに送信された内容、外部サービスの API キー・トークン、Webhook URL などが含まれ、暗号化されたデータも復号の鍵が読み取られたため読める状態だった可能性があるとしています。第三者による実際の取得は確認されていないものの取得されたものとして対応しており、件数と原因は外部の専門家と調査中です。

日本企業への影響と対応のポイント

Studio で自社や自治体の Web サイトを作っている組織は、同社の案内に沿って API キー・トークン、Webhook URL、Google スプレッドシート連携、パスワード保護ページのパスワードを更新し、連携先サービスで 9 月 30 日以降の不審な操作がないかを確認することを推奨します
フォームで個人情報を集めていた組織は、個人情報保護委員会への報告（同社との連名か個別かを選べると 10 月 20 日に案内）と、フォームの利用者への通知の要否を自社で判断することになります。SaaS に預けている認証情報の棚卸しもあわせて行うとよいでしょう

出典

Studioにおける不正アクセスに関するご案内（2026-10-20 更新・Studio）
【重要】フォーム機能をご利用のお客様へ：個人情報保護委員会へのご報告についてのご案内（2026-10-20 更新・Studio）

出典: Studio

「ふるさとチョイス」への不正アクセス、トラストバンクが寄附者の会員情報約 445 万件の流出を公表

Tue, 20 Oct 2026 15:00:00 GMT

概要

ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは 2026 年 10 月 20 日、10 月 19 日にサービスを停止した事案（前回の記事）の続報として、同社が管理する会員情報が第三者の不正アクセスで外部に流出したと公表しました。流出が確認されたのは現時点で 4,454,097 件で、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除の試算額が含まれ、件数は今後変わる可能性があるとしています。不正アクセスは 10 月 17 日に行われ、同社は外部の専門家と脆弱性を含む原因と影響範囲を調査中で、手口の詳細とサービス再開の時期は示されていません。10 月 20 日に個人情報保護委員会へ報告し、21 日に警察へ被害を届け出る予定としています。

日本企業への影響と対応のポイント

同サイトの会員である従業員には、同じメールアドレスとパスワードを他のサービスで使い回していれば変更すること、同社や自治体を装ったメール・SMS・電話に注意することを周知しておくことを推奨します
多数の会員情報を持つ Web サービスの運営者は、会員データベースに届く経路の脆弱性診断と、不審なアクセスを検知してから停止・公表までの手順を点検しておくとよいでしょう

出典

不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（2026-10-20・株式会社トラストバンク）
不正アクセスの疑いに伴うサービス一時停止のお知らせ（2026-10-19・株式会社トラストバンク）

出典: 株式会社トラストバンク

メール配信サービス「Cuenote FC」に不正アクセス、ユミルリンクが延べ約 900 万件の情報の持ち出しを公表

Mon, 19 Oct 2026 15:00:00 GMT

概要

ユミルリンクは 2026 年 10 月 19 日、メール配信サービス「Cuenote FC」の専用 ASP プランのうち合計 5 システムが不正アクセスを受け、メールアドレスを含む情報が延べ約 900 万件出力されたと試算されると公表しました（第一報。件数・項目は調査中）。同社の説明では、10 月 16 日未明に不正アクセスを確認し、攻撃者はプログラムの脆弱性を利用してサポート・品質管理担当者のサービス用認証情報を取得し、不正プログラムを設置してデータベースからデータを出力したうえで、同じ認証情報で他のシステムへの認証も試みていました。同社はサーバの切り離し、脆弱性の修正、担当者の認証情報の削除を行い、捜査機関に届け出ており、外部専門家と詳細を調査中です。影響を受けた利用企業の名前は公表されていません。

日本企業への影響と対応のポイント

メール配信・マーケティング基盤など、顧客の個人情報を預ける SaaS・ASP を利用する企業に関係します。Cuenote FC を利用している場合は、ユミルリンクからの連絡と続報を確認し、自社の配信リストが対象か、本人への連絡や個人情報保護委員会への報告が必要かを確認することを推奨します
委託先のサポート・保守担当者が持つ共通の認証情報が複数のシステムに使える構成は、今回のように被害が広がる要因になりえます。委託先選定の際は、運用担当者のアカウント管理と不審なプログラム設置の検知体制を確認項目に加えるとよいでしょう

出典

当社システムへの不正なアクセスに関するご報告（第一報）（2026-10-19・ユミルリンク株式会社）
メール配信のユミルリンクに不正アクセスメアドなど約900万件漏えいか（2026-10-20・ITmedia NEWS）

出典: ユミルリンク株式会社

ソフトバンクが「My SoftBank」など会員向け Web サイトを停止、不正アクセスの試みを検知（漏えいの有無は未公表）

Mon, 19 Oct 2026 15:00:00 GMT

概要

ソフトバンクは 2026 年 10 月 19 日、10 月 17 日に第三者による不正アクセスの試みがあり、監視システムが「My SoftBank」の一部関連システムで異常な動きを自動で検知したと公表しました。同社は関連システムの一部を止めて外部からの疑わしい通信経路を遮断し、顧客情報の安全措置として「My SoftBank」「My Y!mobile」「My Menu」の Web サイトを 10 月 17 日 8 時から一時停止しています。アプリ版は引き続き利用でき、Web サイトの再開日は準備が整い次第案内するとしています。発表文には個人情報の漏えいの有無の記載が無く、現時点では漏えいの有無は公表されていません。

日本企業への影響と対応のポイント

会員向けの Web サイトやマイページを運営する事業者に関係します。異常なアクセスを自動で検知して関連システムと通信経路を切り離せる監視・遮断の手順が整っているか、点検することを推奨します
社用の携帯電話を同社と契約している企業は、Web サイトの停止中は手続きをアプリ版で行えることと、同社を装った不審な SMS・メールへの注意を、担当者に周知しておくとよいでしょう

出典

お客さま向け会員サイト「My SoftBank」の一時的な停止について（2026-10-19・ソフトバンク株式会社）
ソフトバンク、「My SoftBank」「My Y!mobile」「My Menu」サイトを一時停止、不正アクセスの試行を受け（2026-10-19・INTERNET Watch）

出典: ソフトバンク株式会社

ニフティの回線申込・受付管理システムに不正アクセス、光回線の顧客情報最大約 54 万件が漏えいのおそれ

Mon, 19 Oct 2026 15:00:00 GMT

概要

ニフティは 2026 年 10 月 19 日、情報登録に使う管理用ツールである回線申込・受付管理システムが外部から不正アクセスを受けたと公表しました（第一報）。同日 10 時 20 分ごろに確認したもので、2019 年以降に同社 Web サイト以外から「＠nifty光」「＠nifty MAX光」「＠nifty auひかりプラス」を申し込んだ顧客の会員 ID・氏名・性別・生年月日・住所・電話番号・メールアドレスが、最大 54 万 2,513 件漏えいした可能性があるとしています。顧客が入力する申込フォームとは別のシステムで、口座やクレジットカードの情報は保有していないと説明しています。不正アクセス元との通信は遮断済みで、手口と漏えいの範囲は外部専門機関と調査中、個人情報保護委員会への報告を進めています。

日本企業への影響と対応のポイント

代理店や提携先経由の申込情報を社内の管理用ツールに集約している通信・サービス事業者に関係します。管理用ツールが外部から到達できる状態になっていないか、アクセス元の制限と管理者アカウントの多要素認証を点検することを推奨します
従業員や取引先に対象サービスの契約者がいる場合は、同社を装った不審なメール・電話・SMS への注意を周知しておくとよいでしょう

出典

【第一報】当社回線申込・受付管理システムへの不正アクセスの発生について（2026-10-19・ニフティ株式会社）
ニフティ、54万件超漏えいの可能性光回線の申し込みシステムに不正アクセス（2026-10-19・ITmedia NEWS）

出典: ニフティ株式会社

阪急阪神百貨店の予約サイトなどに不正アクセス、共通会員「H2O ID」約 126 万件の個人情報が漏えい

Mon, 19 Oct 2026 15:00:00 GMT

概要

エイチ・ツー・オーリテイリングと子会社の阪急阪神百貨店は 2026 年 10 月 19 日、「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムに第三者の不正アクセスがあったと公表しました。10 月 16 日に不正アクセスを確認して同サイトを停止し、19 日の調査で、共通会員 ID「H2O ID」のほぼ全会員にあたる約 126 万件の氏名・性別・メールアドレス・住所・電話番号・生年月日などの一部が漏えいしたことが判明したと説明しています。10 月 17 日には通販サイト「HANKYU HANSHIN E-STORES」と「Remo Order」でも不正アクセスを確認して停止しており、注文履歴やクレジットカード情報の一部（下 4 桁・有効期限など。全桁とセキュリティコードは保持していない）の漏えいの有無は調査中です。原因と脆弱性は解析中で、ログインパスワードの漏えいと、現時点での不正利用・二次被害は確認されていないとしています。個人情報保護委員会への報告と警察への被害申告は済ませています。

日本企業への影響と対応のポイント

予約・通販など複数のサービスが共通 ID と顧客管理システムを共有している小売・サービス業に関係します。1 つの入口から共通の顧客基盤に到達できる構成になっていないか、外部公開サイトから顧客管理システムへの経路とアクセス権限を点検することを推奨します
自社の顧客に H2O ID の会員がいる場合や、従業員が会員である場合は、同社を装ったメール・SMS・電話への注意を社内外に周知しておくとよいでしょう

出典

第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ（PDF）（2026-10-19・エイチ・ツー・オーリテイリング株式会社／株式会社阪急阪神百貨店）
阪急阪神百貨店などの共通ID、ほぼ全会員分漏えい約126万件予約サイトに不正アクセス（2026-10-19・ITmedia NEWS）

出典: エイチ・ツー・オーリテイリング株式会社

ふるさと納税サイト「ふるさとチョイス」が不正アクセスの疑いでサービスを停止（漏えいの有無は調査中）

Mon, 19 Oct 2026 15:00:00 GMT

概要

ふるさと納税の総合サイト「ふるさとチョイス」を運営するトラストバンクは 2026 年 10 月 19 日、同サイトで不正アクセスの疑いがある事象を検知し、被害拡大の防止と安全確保を優先して関連サービスを一時停止したと公表しました。専門チームが事実関係と影響範囲を確認中で、調査結果を踏まえて改めて知らせるとしています。発表時点では、不正アクセスの手口、停止の範囲、個人情報の漏えいの有無、再開の時期は示されていません。

日本企業への影響と対応のポイント

ふるさと納税の返礼品を提供する事業者や、寄付の受付・決済で同サイトと連携する事業者・自治体は、受付停止の影響と今後の公表を確認しておくことを推奨します
多数の利用者の個人情報を扱う Web サービスの運営者は、検知から停止・公表までの判断基準と手順を、今回のような「疑い」の段階を含めて定めておくとよいでしょう。従業員には同社や自治体を装った不審な連絡への注意を周知しておくと安心です

出典

不正アクセスの疑いに伴うサービス一時停止のお知らせ（2026-10-19・株式会社トラストバンク）
「ふるさとチョイス」がサービス一時停止　不正アクセスの疑いを検知（2026-10-19・Impress Watch）

出典: 株式会社トラストバンク

セキュリティニュース週次まとめ（2026年10月12日〜10月18日）

Sun, 18 Oct 2026 15:00:00 GMT

今週の要点

国内でソースネクスト（最大約 2,252 万件）、skyticket（約 1,464 万件）、第一興商（約 872 万件のおそれ）、ブックオフ、ライドオンエクスプレス HD、ローソンなど大規模な情報漏えいの公表が相次ぎ、委託先の被害を起点とする事案も含まれます
JPCERT/CC は攻撃者が AI で既知の脆弱性をスキャンし、アプリ解析で特定した API を狙っていたことを確認し、NICT もアプリ解析からサーバーを攻撃する「A2B 攻撃」を注意喚起しました。アプリや API を提供する事業者には、認証・認可の点検と侵害の確認が求められています
IDCF クラウドの一部リージョンがランサムウェア攻撃で停止し、495 の企業・自治体に影響しました。IPA は被害やその疑いがある企業・組織向けに「不正アクセス特別相談窓口」を開設しました
Ivanti Connect Secure、PAN-OS、Cisco Secure Email Gateway、BeyondTrust Remote Support、Windows Shell、SiteGuard Server Edition などで悪用が確認された脆弱性の修正版公開や CISA KEV への追加が続き、該当製品の更新状況の確認が推奨されます
EU CRA では、欧州委員会が整合規格の採択期限を 2 か月延ばす標準化要請の改正草案を公示しました。未採択の草案で、延びるのは標準化機関の期限です

テーマ別の動き

Cyber Resilience Act

EU CRA の整合規格、欧州委員会が策定期限を 2 か月延ばす標準化要請の改正草案を公示（未採択） — 標準化要請 M/606 の期限を延ばす草案で、EU 向け製品の適合推定の時期を見直す材料になります

脆弱性・注意喚起

米 CISA が Apache Struts・BIND・ProFTPD など古い脆弱性 5 件を悪用確認済みカタログに追加 — 2015〜2023 年の脆弱性が追加され、更新されないまま残る旧システムの点検が論点です
Ivanti Connect Secure にゼロデイの認証回避の脆弱性 CVE-2026-104935、悪用を受け修正版を公開 — CISA が KEV に追加して速やかな更新を呼びかけ、同日に修正版が公開されました
SiteGuard Server Edition に OS コマンドインジェクションの脆弱性 CVE-2026-106931、悪用を確認し修正版を公開 — 国内で広く使われる WAF で root/SYSTEM 権限のコマンド実行のおそれがあり、JPCERT/CC が注意喚起しました
Windows Shell の脆弱性 CVE-2026-96951 が悪用、10 月の月例更新で修正されマークオブザウェブ回避のおそれ — 細工したファイルで警告を回避されるおそれがあり、CISA も KEV に追加しました
Palo Alto Networks PAN-OS の管理画面に脆弱性 CVE-2026-0322、限定的な悪用を確認し修正版を公開 — 管理インターフェースのコード実行の脆弱性で、管理画面へのアクセス制限の確認も求められます
Cisco Secure Email Gateway に任意ファイル書き込みの脆弱性 CVE-2026-76519、悪用を確認し修正版を公開 — ファイルレピュテーションを有効にした構成が対象（CVSS 9.8）で、侵害の痕跡の確認も推奨されています
Atlassian の Jira・Confluence など Data Center 製品の脆弱性 CVE-2026-21589、CISA が悪用確認済みに追加 — 任意ファイルアクセスの脆弱性で、修正版は公開済みです
EC-CUBE 4 の「AmazonPay プラグイン」に脆弱性 CVE-2026-103671、悪用を確認しパッチを公開 — 購入手続き中に利用者を任意のサイトへ誘導されうる脆弱性で、開発者がパッチを公開しました
BeyondTrust Remote Support に認証回避の脆弱性 CVE-2026-102764、ゼロデイ悪用を受けパッチを公開 — ゼロデイとして悪用され、CISA も KEV に追加してパッチ適用を求めています
FortiOS など Fortinet 製品の CLI のパストラバーサル脆弱性 CVE-2025-61624、CISA が悪用確認済みに追加 — FortiOS・FortiProxy などが対象で、修正版は 4 月に公開されています

インシデント・攻撃動向

ブックオフグループ HD が子会社の会員管理システムへの不正アクセスを公表、最大約 643 万件の会員情報が流出 — パスワードのハッシュ値も含まれ、人数や項目は精査中です
第一興商が委託先従業員の PC のマルウェア感染を公表、「ビッグエコー」会員など約 872 万件が漏えいのおそれ — 委託先の従業員 PC に一時保管されていた情報が対象です
ローソンが「ローソン ID」への不正アクセスで約 215 万件の個人情報漏えいを公表、アプリの表示機構が突破される — アプリ関連のセキュリティ機構が第三者に突破されたと説明しています
IDCF クラウドがランサムウェア攻撃で停止、利用する 495 の企業・自治体に影響しデータ復元は困難の見通し — 東日本リージョン 1 が停止し、一部ゾーンは利用者のバックアップからの復元が必要とされています
旅行予約サイト「skyticket」に 3 件の不正アクセス、約 1,464 万件の顧客情報が流出 — 管理機能の不正操作を起点にクラウド上のデータへ侵入されたとしています
NICT が相次ぐ情報漏えいの原因の一つに「アプリ解析からのサーバ攻撃」を挙げ、アプリ提供事業者に点検を呼びかけ — Android アプリを解析して接続先サーバーを攻撃する「A2B 攻撃」への注意喚起です
JPCERT/CC が国内の連続不正アクセスの攻撃インフラを調査、攻撃者による AI を使った脆弱性スキャンを確認 — アプリ解析で特定した API が狙われていたとして、API の認証・認可の点検を呼びかけています
ソースネクストが会員情報取得 API の不正利用を公表、最大約 2,252 万件の会員情報が流出 — パスワードを含み全会員のパスワードを変更済みで、カード情報は対象外としています
IPA が「不正アクセス特別相談窓口」を開設、被害やその疑いがある企業・組織の初動対応を助言 — 被害の可能性の判断や緊急対策の提案、対応事業者の紹介を受け付けます
「銀のさら」などのライドオンエクスプレス HD、サーバー運営会社のランサムウェア被害で最大約 650 万件が漏えいのおそれ — 3 ブランドの登録者情報を預けていたサーバーの運営会社が被害を受けました

今後の期限・予定

日付	事項	地域
2027-01-31	Ivanti Connect Secure 22.8 のサポートが終了	global
2027-04-01	犯罪収益移転防止法施行規則の改正が施行、本人確認書類の画像送信による本人確認方法が廃止	JP

セキュリティニュース – ナウレッジ株式会社

ユミルリンクのメール配信サービスへの不正アクセス、漏えいのおそれは延べ約 5,163 万件・49 システムに拡大

概要

日本企業への影響と対応のポイント

出典

楽天トラベルの海外ホテル予約サイトと多言語予約サイトに不正アクセス、利用者情報最大約 260 万件などが対象

概要

日本企業への影響と対応のポイント

出典

家電量販店ジョーシンへの不正アクセス、会員情報データベースの最大約 600 万件が漏えいの可能性

概要

日本企業への影響と対応のポイント

出典

圧縮ライブラリ Brotli の C 実装に境界外書き込みの脆弱性 CVE-2026-111497、Node.js など幅広い製品に影響

概要

日本企業への影響と対応のポイント

出典

SD-WAN 管理製品 VeloCloud Orchestrator のオンプレミス版に脆弱性 CVE-2026-114625、悪用を受け修正版を公開

概要

日本企業への影響と対応のポイント

出典

ブラストメールへの不正アクセスがピッコマに波及、メルマガ配信先のメールアドレス約 100 万件が流出

概要

日本企業への影響と対応のポイント

出典

セキュリティニュース 週次まとめ（2026年10月19日〜10月25日）

今週の要点

テーマ別の動き

Cyber Resilience Act

脆弱性・注意喚起

インシデント・攻撃動向

今後の期限・予定

AI ゲートウェイ「LiteLLM」の公式配布物に認証情報を盗む不正コード、1.107.0 が対象

概要

日本企業への影響と対応のポイント

出典

お名前.com デスクトップクラウドの不正アクセス、GMO が情報の持ち出しを確認し全利用者への見舞金と損失補償を公表

概要

日本企業への影響と対応のポイント

出典

トレジャー・ファクトリーの出張買取・引越の案件管理システムに不正アクセス、顧客のメールアドレス約 74.6 万件が流出

概要

日本企業への影響と対応のポイント

出典

佐川急便、荷物問い合わせサービスへの不正アクセスで流出のおそれがある個人情報は最大約 5,323 万件と公表

概要

日本企業への影響と対応のポイント

出典

アンドエスティ HD の業務サーバーに不正アクセス、顧客約 250 万件の個人情報が流出した可能性

概要

日本企業への影響と対応のポイント

出典

Oracle が 10 月の定例パッチで脆弱性を修正、IPA が Java SE の早急な更新を呼びかけ

概要

日本企業への影響と対応のポイント

出典

「お名前.com デスクトップクラウド」に不正アクセス、約 2.7 万台のサーバーを停止し FX 口座の不正操作も報告

概要

日本企業への影響と対応のポイント

出典

NEC の委託先へのサイバー攻撃が顧客に波及、大阪大学は約 7.8 万人の情報漏えい、大阪公立大学はシステム障害

概要

日本企業への影響と対応のポイント

出典

カプコンが「CAPCOM ID」への不正アクセスを公表、全世界で約 1,177 万件のメールアドレスなどが漏えい

概要

日本企業への影響と対応のポイント

出典

メール配信 SaaS「ブラストメール」に不正アクセス、全顧客の契約情報と一部の配信先リストが流出

概要

日本企業への影響と対応のポイント

出典

PHP に認証なしで遠隔コード実行につながる脆弱性 2 件、修正版 8.5.12 などを公開し各国当局が早期適用を要請

概要

日本企業への影響と対応のポイント

出典

電子書籍ストア「コミックシーモア」の情報流出、システムログ上の最大約 420 万件に拡大

概要

日本企業への影響と対応のポイント

出典

セキュリティニュース週次まとめ（2026年10月19日〜10月25日）

セキュリティニュース週次まとめ（2026年10月12日〜10月18日）