2026年9月、国内の企業や公共機関、Webサービスなどで、サイバー攻撃や不正アクセスによる被害の公表が相次いだ。特に月後半には、タイムズカー、東京メトロ、京王電鉄、OZmall、セイコーマートなどで相次いで事案が公表された。画像共有サービス「Gyazo」については、約2362万件のユーザーに関するデータなどが外部に流出したことも公表されている。
セイコーマート、約57万アカウントで個人情報流出の可能性
セイコーマートは9月29日、スマートフォン向け「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバに第三者から不正アクセスを受け、会員情報が漏えいした可能性があると発表した。不正アクセスを受けた可能性があるユーザーIDは約57万アカウント。氏名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードへの入会年月日、退会年月日が第三者に閲覧された可能性がある。パスワードや購買履歴は漏えいしておらず、同社はクレジットカード情報を保有していないとしている。
9月24日22時～23時の間に、1件のアカウントで不正にクラブカードの退会処理が行われたことを確認。調査の結果、28日17時過ぎに会員サーバへ不正アクセスされた可能性が判明し、同日20時にサーバーへの接続を停止した。これに伴い、新規入会や会員情報の変更、マイページへのログインなどに加え、公式通販サイトなど一部サービスも一時停止している。同社は原因と再発防止策について調査を続けている。
タイムズカー、約660万件のアカウント情報を第三者が取得
パーク24は9月28日、カーシェアリングサービス「タイムズカー」のWebシステムが第三者から不正アクセスを受け、約660万件のアカウント情報が取得されたことを明らかにした。同社は9月25日9時7分に外部からの不正アクセスを検知。その後の調査で第三者による不正アクセスを確認し、26日7時25分までに不正アクセス経路と攻撃元との通信を遮断した。
対象にはタイムズカーの現会員や退会済み会員などが含まれ、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報などが漏えいした。さらに同社は9月29日、運転免許証画像などの本人確認書類が漏えいしたアカウントが約160万件に上ることを確認したと発表した。漏えいが確認された本人確認書類には、運転免許証画像のほか、現住所確認書類画像、学生証画像、家族確認書類画像が含まれる。同社は対象となる会員への個別案内を開始している。
東京メトロ、約5万9000件のメールアドレスが漏えいした可能性
東京メトロ（東京地下鉄）は9月27日、メトロポイントクラブ（メトポ）の会員向けサービスが第三者から不正アクセスを受けたと発表した。不正アクセスを受けたのは、メールの送信不能により配信を停止していたメールアドレスが格納されたサーバで、約5万9000件のメールアドレスが閲覧または取得された可能性がある。同社は不正アクセスの被疑箇所に技術的な防御措置を実施し、委託先を含めて原因や影響範囲を調査している。
その他の主な事案
ニッポンレンタカーサービスは9月26日、「ニッポンレンタカーアプリ」のシステムに第三者から不正アクセスがあり、会員情報が不正に閲覧されたおそれがあると発表した。対象となる会員は41名。氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報が閲覧されたおそれがある。運転免許証情報やクレジットカード情報を登録していた会員については、免許証番号、住所、生年月日のほか、クレジットカード番号の下4桁と名義人名も閲覧された可能性がある。
京王電鉄は9月26日未明、同社グループのサーバーに対するランサムウェア攻撃を確認した。攻撃の影響により一部グループ会社の営業システムに障害が発生した。一方、鉄道の運行には支障はないとしている。9月26日の公表時点では情報漏えいの事実は確認されておらず、外部の専門家とともに攻撃経路や被害状況などを調査している。
スターツ出版は9月27日、同社が運営する「OZmall（オズモール）」が第三者から不正アクセスを受け、会員の個人情報が外部に漏えいした可能性があると発表した。漏えいした可能性があるのは、OZmall会員のメールアドレス最大44万7610名分と、一部の会員の氏名および住所（都道府県まで）。電話番号や番地を含む詳細な住所などが閲覧された形跡は確認されておらず、クレジットカード情報についても漏えいの可能性はないとしている。
画像共有サービス「Gyazo」を運営するHelpfeelは9月16日、第三者による不正アクセスを受け、ユーザーに関するデータや画像のメタデータなどが外部に流出したと発表した。9月25日に公表した第二報によると、流出した約2362万件のユーザーに関するデータのうち、メールアドレスの登録がない匿名ユーザーは約1801万件、メールアドレスを登録しているユーザーは約562万件だった。約2362万件すべてでメールアドレスなどが流出したわけではないとしている。また、主に2019年1月以前にアップロードされた画像に関するメタデータ約4.9億件に加え、主に2023年2月以前に削除された画像に関するメタデータ約1.74億件が流出していたことも判明した。いずれも画像ファイルそのものの流出件数ではない。同社は不正アクセスに利用された侵入経路の遮断や原因となった脆弱性への対応などを実施。一時停止していたGyazoのサービスを9月27日に再開した。再開にあたり、不正アクセス発生以前にアップロードされた画像は、すべて所有者本人のみが閲覧できる状態としている。
ムラウチドットコムは9月15日、同社が運用するシステムへの不正アクセスについて、外部の情報セキュリティ専門会社による調査結果を公表した。調査の結果、同社が管理するWebシステムの一部に存在していた脆弱性を悪用され、複数のシステムに不正アクセスを受けたことが判明。顧客の個人情報771万6811件が外部に持ち出されたことを確認した。漏えいした情報には氏名、住所、電話番号、メールアドレス、生年月日、性別が含まれる。クレジットカード情報とパスワードは対象に含まれていない。
デジタル庁は9月11日、同庁が運用するガバメントソリューションサービス（GSS）が外部から不正アクセスを受け、職員などの個人情報約24.6万件が漏えいした可能性があると発表した。デジタル庁は6月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルにアクセスする動きを検知。調査の結果、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスしていたことが7月9日に判明した。漏えいした可能性があるのは、氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件など。GSSを利用する各府省庁などの職員や、その業務に携わった事業者・個人などの情報が対象で、一般の人の個人情報は含まれていない。マイナンバー、金融機関口座情報、年金番号なども含まれていないとしている。デジタル庁はVPNへのパッチ適用や当該アカウントの停止、外部との通信遮断などを実施。脆弱性管理方法の見直しや外部からの接続方法の改善などを進めるとしている。
ニチレイは9月18日、サイバー攻撃を受けたサーバーに保存されていた個人情報の漏えいを確認したと発表した。この事案について同社が最初にシステム障害を公表したのは7月13日。その後、外部の専門家や関係機関と調査を進め、9月に調査結果を公表した。漏えいした個人情報は、配送先や取引先、従業員などに関する約5万件。同社によると、9月18日時点で不正利用などの二次被害は確認されていない。
ロート製薬は9月15日、同社の通販で使用しているシステムへの不正アクセスについて、調査状況を公表した。調査の結果、通販の問い合わせ対応に使用するシステムに保存されていた顧客との通話音声データや関連情報が、第三者に不正取得された可能性があることが判明した。また、顧客管理システムへの不正アクセスにより、情報が取得された可能性も確認している。同社は外部の専門機関とともに、取得された可能性がある情報の範囲や件数、対象者などを調査している。9月15日時点で主要な業務への影響は確認されていない。
9月に相次いで公表されたサイバー攻撃・不正アクセス
9月に公表された事案を見ると、Webサービスへの不正アクセス、大量の個人情報漏えい、ランサムウェアによる業務システムへの影響など、被害の形態はさまざまだ。また、公表された時期と実際に攻撃が発生した時期が異なるケースもある。各社・機関では原因や影響範囲の調査を続けており、今後の調査によって被害規模などが更新される可能性がある。
