日本のサイバー攻撃・情報漏えい事例年表

2026年10月2日、『焼肉きんぐ』公式アプリの会員管理システムで第三者からの不正アクセスが確認された。通信遮断と防御措置を実施したが、10月3日に会員情報の漏えいを確認し、10月5日に公表した。原因および不正アクセスが可能となった経緯は調査中である。

防御措置を講じた上でアプリの提供を継続し、同社の他ブランドの公式アプリにも同様の措置を講じた。個人情報保護委員会への報告と警察への被害届の提出を進めているとした。公表時点で漏えい情報の公開・不正利用は確認されていない。

2026年10月2日以降、アンケートサイト「infoQ」で使用していたソフトウェアの脆弱性を第三者が悪用して侵入した。10月3日午前に会員からの問い合わせで判明し、同日サービスを停止して外部からのアクセスを遮断した。10月5日に公表した。

不正交換されたポイントは同社が全額補填するとした。個人情報保護委員会へ報告し、対象会員には10月5日から順次メールで個別に連絡するとした。クレジットカード情報とマイナンバーは対象外である。

問い合わせ管理等に利用していた委託先の株式会社スカラコミュニケーションズのサーバーに、2026年10月2日20時33分頃から10月3日8時1分頃まで不正アクセスがあった。大和証券は10月3日に同社から報告を受け、10月5日に公表した。大和証券のシステムへの不正アクセスは確認されていない。

対象顧客に10月5日からお知らせBOXで個別に連絡し、専用ダイヤルを設置した。公表時点で本件に起因する不正取引やインターネット上への公開・拡散は確認されていない。既存委託先の点検を進め、委託先管理の強化策を決定するとしている。

2026年10月2日未明、大阪公立大学の情報基盤システムで大規模な障害が発生し、大学は同日第1報・第2報を公表した。大学は10月5日の記者会見で、ランサムウェアによるサイバー攻撃を受けたとの見方を説明した（報道ベース）。大学の第2報（10月5日更新）では原因は調査中としている。

公式サイトの復旧まで臨時お知らせサイトで情報を発信している。10月9日以降に対面授業を再開する予定で、オンライン授業の再開時期は復旧状況を踏まえ判断するとした。附属病院と獣医臨床センターは通常どおり運営している。

2026年10月3日夕方、MrMaxアプリとオンラインストアのサーバーへの不審なアクセスを確認し、サービスを一時停止して同日中に外部からのアクセスを遮断した。第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入し、会員の個人情報の一部が流出したことが判明した。10月6日に公表した。

個人情報保護委員会へ報告し、警察に相談した。外部の専門機関の協力を得て詳細な調査を進め、対象者にメールで個別に連絡するとした。公表時点で流出情報の悪用は確認されていない。

2026年9月24日、第一ライフグループと第一生命が利用する従業員向け人事システムへの不正アクセスを検知した。同システムに保存されていた両社の従業員と退職者の個人情報が第三者に閲覧され、外部へ流出した可能性があることを確認し、10月2日に公表した。原因は第三者による不正アクセスとしている。

公表時点で顧客情報への不正アクセスは確認されておらず、退職者に関する二次被害も確認されていない。退職者向けに問い合わせフォームと人事部の電話窓口を設けた。

2026年9月25日9時07分、タイムズカーWebシステムへの不正アクセスを検知し、同日第1報を公表した。9月26日7時25分までに不正アクセス経路の遮断を完了した。9月28日の第2報で約660万アカウントの情報が取得されたことを公表した。詳細な原因は調査中である。

フォレンジック調査を実施し、個人情報保護委員会と警察へ報告した。9月29日から対象者へメールで個別通知を始め、24時間対応の窓口を設けた。クレジットカード情報は漏えいしておらず、公表時点で情報の公開拡散や不正利用は確認されていない。

2026年9月26日未明、京王電鉄グループのサーバーに対するランサムウェアによる攻撃を確認し、同日公表した。ネットワーク遮断措置を講じ、外部専門家の協力を得て攻撃経路と被害の調査を開始した。

警察へ通報した。公表時点で情報漏えいの事実は確認されていないが、機密事項や顧客情報の流出を含めた影響範囲を調査中としている。

2026年9月11日、画像共有サービス「Gyazo」の画像アップロードサーバーの脆弱性を悪用した不正アクセスが発生し、第三者がシステム上で任意のコマンドを実行可能な状態だった。同日夜間に検知し、9月14日に情報流出を確認して9月16日に公表した。9月25日の第二報で削除済み画像のメタデータの流出を追加公表した。

脆弱性を修正して侵入経路を遮断し、画像配信を停止してフォレンジック調査を実施した。個人情報保護委員会、総務省、国外のデータ保護当局へ報告した。9月27日にサービスを再開し、再開時は画像の配信を停止した状態とし、利用者が配信を再開する仕組みにした。

2026年9月24日22時～23時にクラブカードの不正な退会処理が1件行われ、9月28日17時過ぎに会員サーバーへの不正アクセスの可能性が判明した。アプリのサーバーを経由して会員情報を保有するサーバーに第三者が不正にアクセスしていた。9月29日に第一報を公表した。

9月28日20時に当該サーバーへの接続を停止し、アプリ・WEBでの会員関連機能と公式通販を停止した。行政当局へ報告し、外部調査会社・警察と連携して調査しているが、手法の詳細は開示を控えるとした。10月5日の第四報で、アプリ・WEB上での新規入会や会員情報変更の機能を終了すると公表した。

2026年9月14日、外部のセキュリティ研究者から、GMOトラスト・ログインが利用するクラウドストレージ上のファイルが認証なしで閲覧できる状態にあると報告を受けた。ロゴ画像配信用の公開ストレージに非公開とすべき顧客情報を含むファイルを保管し、外部からのファイル一覧取得を許可する設定だったことが原因である。外部からの攻撃によるものではなく、9月16日に公表した。

9月14日中に外部からのアクセスを遮断し、全ストレージのアクセス設定を点検した。個人情報保護委員会へ報告し、対象者へ個別にメールで連絡した。外部のセキュリティ専門機関による設定診断と調査を実施している。

2026年9月26日、ウェブサイト「オズモール」に海外から大量の不正アクセスが発生していることを同社システム部門が検知し、該当ページへのアクセスを一時停止した。その後の調査で個人情報が閲覧された可能性を確認し、9月27日に公表した。10月1日の第2報で対象者数を精査した。

原因を特定して脆弱性への対策を実施し、改ざんが無いことを確認してサービスを再開した。9月28日に個人情報保護委員会へ報告し、対象者へメールで順次連絡している。公表時点で二次被害は確認されていない。

メトロポイントクラブ（メトポ）会員向けサービスで第三者による不正なアクセスが行われ、メールアドレスが閲覧または取得された可能性があることが判明し、東京地下鉄は2026年9月27日に公表した。9月20日にメール配信サービスで不具合が発生し、調査中の9月25日に通常と異なる利用記録を発見した（報道ベース）。原因の詳細は調査中である。

不正アクセスの被疑箇所を特定し、防止策を実施した。対象者には事務局からメールで連絡し、別途の手続きや外部サイトへの遷移は求めないとして不審なメールへの注意を呼びかけた。

2026年9月22日、株式会社ファインズの予約システムで異常を検知し、調査の結果、第三者による不正アクセスを確認した。直ちにアクセス遮断等の緊急措置を実施し、9月25日に速報として公表した。原因は調査中である。

弁護士と連携して調査を進め、関係機関へ報告する予定としている。セキュリティ強化を進めるとした。

2026年8月9日に「さくらのレンタルサーバ」のメンテナンス用サーバーで異常を検知し、調査の過程で顧客の契約情報を管理する販売管理システムへの不正アクセスも判明し、8月19日に公表した。9月10日の第三報で、販売管理システムへの不正アクセスが2023年4月から2026年3月まで続いていたことを公表した。2つの事象の関連を示す明確な証拠は確認されていない。

認証情報の無効化、マルウェア除去、外部専門家によるフォレンジック調査を実施し、対象者へ個別に通知した。一部サーバ・VPSの初期パスワードが、販売管理システムにハッシュ化されないまま保存されていたことも判明した。外部への持ち出しを裏付ける明確な証拠や二次被害は確認されていないとし、レンタルサーバの全サーバーの再構築と定期的な外部監査を今後実施する施策とした。

2026年8月18日朝、イエローハットＷＥＢ作業予約システムへの不正プログラムによる攻撃を検知し、外部接続を遮断してシステムを停止した。調査の結果、会員情報が漏えいした可能性が判明し、8月28日に公表した。グループ他社とは異なるシステムであり、他ブランドの顧客への影響はないとしている。

個人情報保護委員会へ報告し、警察に相談した。対象会員には電子メール、SMS、電話、書面で連絡するとし、専用の相談窓口を設けた。新たな事実が判明すればホームページで案内するとしている。

2026年7月13日、ニチレイで不正アクセスによるシステム障害が発生し、グループのシステムを遮断した。7月15日の第2報でサーバがサイバー攻撃を受けたことを確認したと公表し、攻撃の詳細は開示を差し控えるとした。9月18日の第7報で、被害サーバに保管されていた個人情報の漏えいを確認したと公表した。

7月17日から業務を順次再開し、7月24日に全拠点で通常稼働に移行した。個人情報保護委員会には7月15日に漏えいの可能性がある事案として報告し、9月11日に漏えいの確認を報告した。対象者へ順次個別に通知している。第7報時点で不正利用等の二次被害は確認されていない。

2026年7月15日未明に社内システムで障害が発生し、7月16日の復旧作業中に第三者による不正アクセスの痕跡を確認した。7月24日の第一報で個人情報の漏えいの痕跡を公表した。9月15日の第二報で、Webシステムの一部の脆弱性を起点に複数のシステムへ不正アクセスされ、個人情報が外部へ持ち出された事実を確認したと公表した。

7月20日に個人情報保護委員会へ速報、7月23日に警察へ被害相談し、9月14日に確報を提出した。9月15日から対象者への個別通知メールを順次送信している。本店は営業を継続している。

2026年7月11日未明、日本交通の社内システムが外部からの不正アクセス（マルウェア感染）を受け、被害拡大防止のためシステムを遮断した。7月13日に公表した。8月19日の第4報で、保有していたファイルの一部が外部に流出していることが判明したと公表した。

外部専門機関と連携して調査を継続しており、情報の漏えいが確認された場合は該当者に通知するとしている。セキュリティ診断と再発防止策の検証を経て、2026年10月6日11時から電話によるタクシー配車サービスと陣痛タクシーのWebフォーム登録を再開する予定と10月5日に公表した。

2026年6月25日、契約者専用サイト「アフラック よりそうネット」と代理店が使う「オンライン相談」のシステムが第三者による不正アクセスを受け、顧客・代理店の個人情報を含む情報が不正に閲覧・漏えいしたことが判明し、関連システムを停止した。6月30日の公表時は最初の不正アクセスを6月15日としていたが、7月13日の第二報で情報漏えいが最初に発生したのは6月10日と訂正した。7月31日の調査結果で、アクセスとデータ照会の手口に対する制御が不十分だったことを原因とした。

6月30日に金融庁から保険業法および個人情報保護法に基づく報告徴求命令を受け、7月31日に調査結果と再発防止策を報告した。対象顧客への文書は7月10日から発送し7月30日に完了した。役員4名が報酬の一部を自主返納した。「アフラック よりそうネット」は9月28日に一部の手続きを除いて再開した。

2026年6月25日、デジタル庁が運用するGSSで、保守運用担当者のアカウントを利用したサーバ上の大量のファイルへのアクセスを検知した。7月9日、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入していたことが判明し、同日アカウントを停止して侵害された機器と外部との通信を遮断した。9月11日に公表した。

7月15日に個人情報保護委員会へ報告した。対象者へ順次個別に連絡し、脆弱性管理方法の見直しや外部からの接続方法の改善を進めるとしている。Q&Aでは、悪用された脆弱性は当初CVSS評価がMediumで、攻撃確認前に公表されていたがパッチ適用前に悪用されたと説明している。

新卒向けオファー型就活サービス「OfferBox」で、システムの設定不備により2026年5月12日から8月28日まで学生の個人情報が通信データに含まれていた。機能リリース時に画面表示の確認のみを行い、通信データの内容を確認していなかったことが原因である。外部からの攻撃によるものではない。i-plugは10月5日に公表した。

発覚後に設定を見直して不備を解消し、全通信内容を確認して同様の事象がないことを確認した。対象学生へ個別に通知し、外部専門機関による脆弱性診断を実施した。

KDDIがISP事業者向けに提供するメールシステムが、導入していた第三者製ソフトウェアの脆弱性を悪用され、一部のISP事業者で2026年5月16日から不正アクセスが発生していた。KDDIは6月17日に不正アクセスを確認し、同日システムを改修した。対象はSTNet、KDDIウェブコミュニケーションズ、JCOM、中部テレコミュニケーション、ニフティ、ビッグローブの6社のメールサービスである。

総務省は6月24日に電気通信事業法に基づく報告を求め、KDDIは7月6日に報告書を提出した。ISP事業者と連携してパスワード変更・強制変更を進め、外部との通信を制御する全サーバーへのEDR導入などを実施した。総務省は7月29日に通信の秘密の漏えいと認定して文書で指導し、個人情報保護委員会は8月19日にKDDIと一部のプロバイダを指導した。

2026年5月21日から8月1日にかけて、外部の第三者がショップサーブのサーバー上で不正なプログラムを実行し、購入者情報を外部へ送信した。Eストアーは8月1日に公表し、8月2日の第2報で対象期間と漏えい項目を拡大した。原因はショップサーブのサーバーへの不正アクセスとし、詳細は調査中としている。

攻撃元からの通信を遮断し、個人情報保護委員会へ報告するとした。購入者・店舗にパスワード変更を求めている。ショップサーブ利用店舗が自社顧客への影響を相次いで公表した。

2026年4月23日、2りんかんイエローハットは会員専用サーバーが第三者による不正アクセスを受け、２りんかんアプリ利用者などの個人情報が漏えいした可能性があると公表した。6月19日の最終報で、アプリの仕組み（API）を悪用した不正アクセスにより会員データが取得されたと特定した。漏えい項目は氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号、アプリユーザーID・パスワード、ポイント残高、車両情報である。

対象者への個別連絡を完了し、個人情報保護委員会へ確報を提出し、警察へ被害申告した。２りんかんアプリは利用を制限し、システムを再構築して2026年10月を目途に再開するとしている。

2026年4月5日、悪意ある第三者によるシステムへの不正アクセスとシステムの脆弱性が発端となり、いえらぶCLOUDからデータ流出が発生した。4月6日に異常アクセスを検知して遮断し、4月8日に公表した。4月30日の第二報で、攻撃者がインフォスティーラー等で利用企業のアカウント情報を窃取していた可能性が高いとした。

4月8日に個人情報保護委員会と警察へ報告した。脆弱性の根本修正、多要素認証の導入、IP制限機能の無償化などを再発防止策として挙げている。利用する不動産会社が自社顧客への影響を相次いで公表した。

2026年4月2日、CAMPFIREのシステム管理用GitHubアカウントが第三者による不正アクセスを受けた。従業員のGitHub認証情報が個人開発用サーバーに意図せずアップロードされて不正利用され、攻撃者はGitHub上の情報から社内業務用クラウド環境の認証情報を取得し、4月20日に同環境への不正アクセスが検知された。4月24日に個人情報漏えいの可能性を公表した。

4月28日に専用窓口を設置し、個人情報保護委員会への報告と警察への相談を行った。5月30日に完了したフォレンジック調査では、個人情報を含むデータファイルの外部転送の痕跡は確認されなかったが、ログが無い領域があるため閲覧の可能性は否定できないとした。認証情報管理や権限設計の見直しなどの再発防止策を6月2日に公表した。

2026年4月2日早朝、YCC情報システムのファイルサーバーがランサムウェア攻撃を受け、ファイルが暗号化され脅迫文が残された。5月20日の第五報で、ネットワーク機器の管理者アカウントの認証情報が推測または取得され、内部ネットワークに侵入されたと推定されると公表した。サーバーには委託元の自治体などの個人情報が保管されており、山形市などが漏えいのおそれを公表した。

外部専門機関の調査では、情報が外部に送信された明確な痕跡や犯行声明・リーク情報は確認されなかったが、漏えいの可能性は否定できないとした。山形市は5月20日と7月29日に対象者へ通知し、YCCに原因究明と再発防止策の報告を求めた。

損害保険大手3社からトヨタ自動車に出向していた社員が、同社の保有する情報を出向元へ持ち出していたとされる事案である。東京海上日動は情報の漏えい、三井住友海上は漏えい（おそれを含む）、あいおいニッセイ同和は出向元社内への不適切な提供（おそれを含む）と公表している。2026年4月22日に報道され、三井住友海上とあいおいニッセイ同和は4月24日、東京海上日動は4月27日に事案を公表した。東京海上日動は行為の発生時期を2016年3月から2024年10月までとしている。

3社とも調査を継続するとしている。東京海上日動とあいおいニッセイ同和は、公表時点で取得情報の外部流出や不正利用は確認されていないとした。あいおいニッセイ同和は、トヨタおよび関連会社への出向者は全員帰任済みとした。

2026年3月13日、メディカ出版でランサムウェアによる不正アクセス被害が発生し、サーバーのファイルが暗号化された。5月13日に公表したフォレンジック調査結果で、第三者が正規のアカウント情報を用いて社内ネットワークに侵入したことが起点と確認した。認証情報の漏洩経路は特定に至っていない。

5月11日に個人情報保護委員会へ確報を提出した。外部持ち出しを直接示す確定的な証拠は確認されていないが、可能性を否定できないとして「漏えいのおそれ」として対応している。認証基盤の強化などの再発防止策を2026年9月末までに実施するとした。

2026年2月3日午前5時28分、穴吹ハウジングサービスは一部サーバーでランサムウェアによる被害の発生を確認し、システムの隔離とネットワーク遮断を行った。調査で、グループ会社のネットワーク機器の脆弱性を突かれてランサムウェアが侵入し、その後の横展開を許したことが原因と判明した。5月21日の第6報で漏えい件数を確定した。

対象者へ個別に連絡し、個人情報保護委員会や国土交通省の地方整備局などへ報告した。従来ネットワークの全面停止、PC全台入れ替え、ゼロトラスト（SASE）への移行などを再発防止策とした。第6報時点で二次被害は確認されていない。

第三者が『楽天ドライブ』で使用する一部システムの管理用アカウントの認証情報を不正に取得し、システムにアクセスした。保存データの取得・閲覧は2026年1月29日から9月17日まで続いた。10月6日に公表した。認証情報の取得経路と検知日は公表されていない。

不正アクセス経路を遮断して監視体制を強化し、アプリのダウンロードと新規アカウント発行を制限した。関係当局に報告し、対象者にメールなどで個別に通知するとした。公表時点で二次被害は確認されていない。

2024年10月5日、カシオ計算機のサーバーが海外から不正アクセスを受け、ランサムウェア攻撃によりシステムが使用不能となった。流出が懸念されるデータには氏名・メールアドレス・電話番号・会社名・住所・人事情報のほか、取引先との契約書や会議資料などの内部資料が含まれる。

10月11日に第一報、2025年1月7日に調査結果を公表。原因はフィッシングメール対策および海外拠点を含むグローバルなネットワークセキュリティ体制の一部不備とした。クレジットカード情報の流出は確認されていない。

2024年6月8日未明、KADOKAWAグループのデータセンター内サーバーがランサムウェアを含むサイバー攻撃を受け、ニコニコ動画を中心とする複数サービスが停止した。外部専門企業の調査では、フィッシング等で窃取された従業員アカウント情報による社内ネットワーク侵入が根本原因と推定されている。

2024年8月5日に漏えい規模を25万4,241人分と初めて公表し、対象は取引先・元従業員・面接者・角川ドワンゴ学園関係者等に及んだ。ニコニコ動画は暫定版を経て段階的に復旧した。

2024年5月26日、情報処理センターおよび全国営業拠点の端末・サーバーがランサムウェアで暗号化される不正アクセスを受けた。6月18日に攻撃者グループのリークサイトへダウンロード用URLが掲載され、公開された情報に委託元顧客の個人情報が含まれていることが判明した。

2024年10月4日にフォレンジック調査完了を公表。原因はVPN経由の侵入に加え、取り扱い禁止サーバーへの便宜的なデータ保管と業務終了後の削除漏れとした。再発防止策としてVPN廃止・認証強化・管理区域外へのデータ移送禁止・監査徹底・社員教育を掲げた。

2024年3月30日、HOYAグループ本社および複数事業部門のシステムがサイバー攻撃を受け、システム障害が発生した。PENTAXライフケア事業部（内視鏡）とメディカル（眼内レンズ）事業部の一部システムに保管されていた個人情報が外部へ漏洩した。

2024年4月23日に生産・供給はおおむね正常化したと発表。2025年4月に個人情報の外部流出を正式公表し、個人情報保護委員会へ報告した。再発防止としてネットワーク遮断手順の整備、セキュリティ対策ソフト導入、パスワード強化、監視体制強化を実施。

2022年10月31日未明、電子カルテシステムがランサムウェアに感染し、緊急以外の手術と外来診療の停止に追い込まれた。侵入経路は給食事業者側のリモート保守用VPN機器で、脆弱性が放置されていた。

2023年3月28日に情報セキュリティインシデント調査委員会が75ページの調査報告書と概要版を公開し、全ユーザーへの管理者権限付与や共通IDパスワードなど体制の不備を指摘した。2024年にはNEC等3社から解決金10億円を受け取る形で和解したと報じられている。

2022年3月13日深夜に複数サーバーへの不正アクセスの痕跡を発見し、翌14日に対策本部を設置して調査を開始した。2018年5月1日〜2022年3月13日に同ストアを利用した顧客の氏名・住所・電話番号・生年月日・性別・メールアドレス・購入履歴が流出した可能性がある。

2022年3月22日に公表。クレジットカード情報は含まれず、個人情報の不正利用も確認されていないとした。改正個人情報保護法の対応事例としても取り上げられた。

2022年3月10日、ドイツのグループ会社デンソー・オートモーティブ・ドイツのネットワークが第三者による不正アクセスを受けた。攻撃者グループ「Pandora」がダークウェブ上で犯行を主張し、設計図や発注書の画像などを窃取したとした。

不正アクセスを受けた機器のネットワーク接続を速やかに遮断し、他拠点への影響がないことを確認。現地の捜査機関へ被害を申告し、捜査機関やセキュリティ専門機関と連携して対応した。生産活動は通常どおり継続した。

2019年7月3日、スマホ決済サービス「7pay」で第三者による大規模な不正利用が発覚した。外部セキュリティ会社の調査を踏まえ、不正に入手されたIDとパスワードのリストを用いたリスト型アカウントハッキングである可能性が高いと公表された。

2019年8月1日にサービス廃止を発表し、9月30日に終了。被害額は全額補償する方針を表明した。公表では、サービス上の認証レベルの追加検討が十分でなかったことなどが要因に挙げられた。