事例一覧

業務用冷凍食品の通信販売を行うアクティブの通販サイトで、2026年10月2日に特定のWebページへのSQLインジェクション攻撃が発生した。同社は10月3日に不正アクセスの痕跡を確認し、不正に作成された管理者アカウントを経由して顧客データと受注データが出力された形跡を確認した。登録顧客の情報（最大54,916件。店名・屋号、住所、電話番号、メールアドレス、受注情報）が外部に漏えいした可能性があるとして、10月6日に公表した。

旭化成セラピューティクスが提供する医療関係者向け情報提供ウェブサイト「Pharma DIGITAL」で、運営と情報管理の委託先である株式会社医薬情報ネットが管理する、同サイトと連携する会員データベースがサイバー攻撃による不正アクセスを受けた。データベース内の個人情報が閲覧または取得された可能性がある。対象となる可能性があるのは、医療従事者が最大約51万4,000名（うち約4万4,000名はメールアドレス等も対象。この人数が51万4,000名の内数かどうかは明記されていない）、同社従業員が約700名で、いずれも人数（名）としての公表。同社は10月2日に医薬情報ネットから報告を受け、サイトを即時停止したとしている（停止日時は明記なし）。10月6日に同社と医薬情報ネットがそれぞれ公表した。現時点で不正利用等は確認されていないとしている。

株式会社第一ライフグループと第一生命保険株式会社は、2026年9月24日に両社が利用する従業員向け人事システムへの不正アクセスを検知し、同システムに保存されていた両社の従業員および退職者の個人情報が第三者に閲覧され、外部へ流出した可能性があることを確認した。対象は約12万名（従業員約5万名、退職者約7万名）で、従業員番号、氏名、住所、電話番号、性別、所属、職位（資格）、職務、管理職上司氏名が含まれる。流出が確認された件数は公表されていない。原因は「第三者による不正アクセスを受けたため」としている。顧客情報への不正アクセスは公表時点で確認されていない。両社は10月2日に公表した。

大起水産は2026年10月5日、スマートフォンアプリ「大起水産公式アプリ」のシステムが第三者による不正アクセスを受けたことが判明したと公表した。2026年9月15日に本件を確認。現時点で個人情報が実際に外部へ漏えいした事実および不正利用は確認されていないが、漏えいの可能性を否定できないとして、2024年11月1日から2026年9月15日までにアプリに登録した174,933人（退会者を含む）の氏名、電話番号、メールアドレス、性別、郵便番号、住所、生年月日が漏えいした可能性があるとしている。パスワードは別サーバーで管理され対象外。外部の専門調査会社による調査が継続中で、アプリは通常どおり利用できる。

大和証券がインターネット経由の問い合わせ管理等に利用するサービスの提供元、株式会社スカラコミュニケーションズのサーバーに2026年10月2日20時33分頃から10月3日8時1分頃まで不正アクセスがあり、大和証券の顧客情報へのアクセス・取得の形跡が確認された。約11万名分の氏名、メールアドレス、口座番号等、個人を特定できない問い合わせを含め約22万件が漏洩した可能性がある。大和証券のシステムへの不正アクセスは確認されていない。

GMOリサーチ&AIが運営するアンケートサイト「infoQ」が、同社サイトで使用していたソフトウェアの脆弱性を悪用した第三者の不正アクセスを受け、会員の個人情報が外部に持ち出されたことを同社が確認した。対象は最大94万8,498件（10月5日時点で同社が個人情報を保有する全件）。一部会員のポイント（611件・2,869,500円）が本人の意思によらずAmazonギフトコードに交換されたことも確認され、同社は全額を補填するとした。10月2日以降の不正アクセスを10月3日に確認し、同日からinfoQのサービスを停止。10月5日に公表し個人情報保護委員会へ報告した。

エイチ・アイ・エスのタイ現地法人H.I.S. TOURS CO., LTD.のファイルサーバが第三者による不正アクセスを受け、データの一部が不正に引き出された可能性があることが判明した。2025年12月11日に不正アクセス検知ソフトのアラートを受けて該当サーバをネットワークから切断し、12月29日に日本で取得した個人情報の一部が含まれることを確認して個人情報保護委員会とJIPDECへ報告。2026年2月24日に最大627名のパスポート情報が含まれることが判明し、全ファイルの確認を経て2026年10月7日に公表した。対象は2017年、2019〜2020年、2024〜2025年にHISを利用してタイへ出発した顧客で、パスポート情報とアレルギー情報が流出した可能性がある。

2026年10月7日午前3時40分頃から、クラウドサービス「IDCFクラウド」の一部のシステムに対する第三者からの不正アクセスにより、東日本リージョン1（第一報では「東日本第1リージョン」）で障害が発生した。同社は同日の第一報で不正アクセスを公表し、同日の第2報で第三者からのランサムウェア攻撃によるものと判明したと公表した。影響範囲はIDCFクラウドを契約する495の企業や自治体としている。東日本リージョン1をネットワークから遮断しシステムを停止したほか、侵入経路の特定と遮断、その他リージョンの安全性確認（外部からアクセス可能な管理コンソールの一時停止を含む）を進めている。利用企業ではメディアリンク、グリニッジ、フーバーブレイン、UDトーク、SKE48 Mail（Fanplus）、ネットアシスト、シックス・アパート（Movable Type クラウド版）などが自社サービスへの影響を公表した。情報漏えいの有無は公表されていない。

日本原子力研究開発機構は2026年10月1日、同機構が契約するクラウド基盤上で運用している研究用原子炉JRR-3（原子力科学研究所、茨城県東海村）の外部利用者向け研究支援サイトへの不正アクセスを9月25日に確認したと公表した。登録ファイルのうち2,419件が外部から不正にダウンロードされ、9月29日にその一部に個人情報が含まれることを確認。漏えいしたのは2026年5月以降に利用者本人が登録したファイル367件（175人分）で、顔写真付公的身分証明証の画像200件（うち6名分はマイナンバーを含む）、特殊健康診断（放射線業務）結果146件、放射線業務従事者証明書21件。利用者のアカウント情報（ID、パスワード、登録フォームの氏名など）は漏えいしていない。サイトは機構内業務ネットワークから独立しており、他システムへの影響はないとしている。

外部機関からの情報提供を受け、外部専門事業者と連携して調査した結果、JOGMECの情報システムに対する外部からの不正アクセスにより、個人情報が外部に漏えいした可能性があることが2026年9月9日に判明した。漏えいした可能性があるのは役職員のメールアドレス約1,100件と機構以外のメールアドレス約7,400件。10月2日に公表し、関係機関と連携して調査を継続している。

ミスターマックス・ホールディングスのグループ会社である株式会社ミスターマックスが運営する「MrMaxアプリ」とオンラインストアのサーバーが第三者による不正アクセスを受けた。2026年10月3日夕方に不審なアクセスを確認し、サービスを一時停止、同日中に外部からのアクセスを遮断した。調査の結果、第三者が本サービスを構成するソフトウェアの機能を不正に利用してサーバーに侵入し、会員の個人情報の一部が流出したことが判明した。情報流出の可能性がある対象は最大1,735,154人（会員ID、氏名、メールアドレス、電話番号。登録状況により異なる）で、実際に流出が確認された件数は公表されていない。同社と持株会社は10月6日に公表した。

2026年9月30日、日経BPの従業員のメールアカウントへの不正アクセスがあり、メール送受信先の一部の個人情報が漏えいした恐れがあることが判明した。当該従業員は、日本経済新聞社社員のメールアドレスで届いたフィッシングメールから認証情報を入手されていた。流出した恐れのある個人情報は個人名・メールアドレス26件。同社は発覚後速やかに当該アカウントへの接続を遮断し、個人情報保護委員会に報告、対象者に個別にメールで連絡しているとして、10月4日に公表した。

日本経済新聞社の社員が業務で使っていたクラウドサービス「グーグルワークスペース」のアカウントが2026年7月下旬以降、外部から不正にログインされ、社員や取引先などの個人情報が漏洩した疑いがある。8月上旬にグーグル社からの通知で判明し、すぐにパスワードを変更した。漏洩した可能性がある情報はメールアドレスや氏名など1,646人分で、読者や取材先に関するものは含まれていない。同社は個人情報保護委員会に報告し、10月4日に公表した。同日公表のMicrosoft 365アカウントへのサイバー攻撃（nikkei-m365-2026）とは別の事案として公表されている。

日本経済新聞社の社員が使っていた業務ソフト「マイクロソフト365」のアカウントがサイバー攻撃を受け、第三者が不正にログインしたとみられる。9月30日、社内のほか複数の社員とやりとりがあった取材先などに、悪性サイトに誘導する内容のなりすましメール約9,000件が送信された。送信先のメールアドレスや氏名のほか一部メールの内容が漏洩したとみられ、同社は個人情報保護委員会に報告し、侵害範囲と漏洩した個人情報件数を調査している。10月4日に公表。2025年11月公表のSlack不正ログイン事案（JP-2025-006）とは別の事案。

交通系ICカード「nimoca」の利用履歴照会サービスが、2026年10月4日0時頃から17時40分（サービス停止）まで、第三者による不正アクセス（公開WEBサービスへの攻撃）を受け、一部の利用者の個人情報が漏えいしたことが判明した。同日9時頃に利用者から身に覚えのないメールが届いたとの問い合わせがあり、調査を開始した。漏えい件数は521件で、カード番号、生年月日、登録メールアドレスが対象。同社は10月4日にサービスの一時停止を告知し、10月6日に不正アクセスと情報漏えいを公表した。不特定多数への公開や不正利用の事実は確認されていないとしている。

2026年10月2日未明、大阪公立大学の仮想化基盤システムで大規模な障害が発生し、学内ネットワーク、OMUメール、各Webサイト、教務・財務会計・人事給与・図書館システム等の多くの情報システムが停止、10月2日から8日まで全授業が休講となった。大学は10月5日の記者会見で、本事案をサイバー攻撃、いわゆるランサムウェア攻撃によるものと判断していると説明し、10月6日に会見報告と配付資料を公式に掲載した。個人情報流出の有無は調査中で、個人情報保護委員会へ報告済み。報道によれば約500台のサーバが停止し、バックアップの多くも暗号化され、少なくとも約13万人分の個人情報が保管されていたが、これらは大学の公式文書では確認できない。

クラウドストレージサービス「楽天ドライブ」は2026年10月6日、第三者が同サービスで使用する一部システムの管理用アカウントの認証情報を不正に取得してシステムにアクセスし、情報が取得・閲覧されたことを確認したと公表した。2026年1月29日から9月17日にかけて15,382アカウントの保存データ（写真・文書等を含む）、8月27日に687アカウントのアカウント名・ディスプレイネーム・プロフィール用画像URL、同日に313アカウントのこれらの情報に加え暗号化されたパスワード等が対象となった。公表時点で二次被害は確認されていないとしている。

2026年10月5日、同社が管理するGoogle広告マネージャーアカウント（MCC）が第三者による不正アクセスを受け、管理者権限を持つ不正なユーザーが追加されて同社はMCCへのアクセス権限を喪失した。配下の顧客の広告アカウントでオンラインカジノへ誘導する広告キャンペーンが無断作成されるなどの不正操作が行われ、連絡の取れた顧客の約半数で費用の発生が確認された。侵入の起点は管理業務用Googleアカウントの1つへの不正アクセスとGoogleの履歴から判明しているが、パスキー・セキュリティキーによる2段階認証が突破された経緯は特定できていない。同社は10月6日に公表した。

スカラコミュニケーションズが提供するFAQシステム「i-ask」の管理サイトに2026年10月2日20時30分頃から10月3日8時頃にかけて第三者が不正にログインし、同社管理サーバ上に不正なプログラムを設置したうえで、同一サーバ上で稼働していた利用企業（最大5社）の環境のデータベースからお問い合わせ情報を取得された可能性があることが判明した。漏えいした可能性のある件数は最大713,126件で、これはお問い合わせ単位の延べ件数（同一顧客の複数回の問い合わせを重複して含む）であり人数ではない。同社と親会社スカラが10月6日に公表した。利用企業名は公表していないが、大和証券（10月5日、約11万名・約22万件の漏洩の可能性）、シチズン時計（10月6日、約10万名分の漏えいの可能性）、損害保険ジャパン（10月7日、お問い合わせ単位の延べ約6万件の漏えいの可能性）が自社顧客への影響を公表した。

2026年10月5日、取引先への支払いを管理するシステム等への外部からの不正アクセスを検知し、調査の結果、10月1日から10月5日にかけて同システムからの情報漏洩の形跡を確認した。外部専門機関を交えた解析で、取引先担当者のメールアドレス（最大7,200件）と取引データ（最大6,000件）、従業員4,778名分の氏名・住所・電話番号・メールアドレス・所属部署の漏洩が判明した。同社は10月7日に公表し、同日個人情報保護委員会へ報告した。漏洩情報の公開や不正利用は現時点で確認されていない。

学内で利用する「Microsoft365」の学生アカウント1件から、2026年8月23日から27日にかけて計1,092件の迷惑メールが不特定多数に断続的に送信されていたことが8月に判明した。不正アクセスの形跡が確認され、大学は判明後速やかに当該アカウントを緊急停止した。メール送信以外の不正操作及び機密情報の漏洩は確認されていない。大学は再発防止策のとりまとめを受けて10月7日に公表し、10月1日から全学生の学外ログインにパスキー・多要素認証を義務化した。

2026年9月27日、契約するサーバー事業者からサーバー上のファイルに異常がある旨の連絡を受け、該当ファイルを削除した。9月29日にウェブサイトが改ざんされ、関係の無い外部サイトへ転送される状況となった。調査により9月24日から不正にアクセスされていたことが判明した。2018年12月以降に取得した会員・講座申込・問い合わせフォーム等の情報（最大15,959件。氏名・メールアドレス、一部に住所・電話番号）が漏えいした可能性があるとして、同会は10月6日に公表した。実際に持ち出し・閲覧された情報は確認できていないとしている。

『焼肉きんぐ』公式アプリの会員管理システムが第三者から不正アクセスを受け、ユーザー登録数10,808,784件のうち10,788,963件の会員情報（会員番号、氏名（アプリ登録名）、メールアドレス、電話番号）が漏えいしたことを確認したと公表した。原因と不正アクセスが可能となった経緯は調査中。

教職員1名がフィッシングメールのリンクから偽サイトにアカウントとパスワードを入力して認証情報を窃取され、メールアカウントを乗っ取られた。2026年8月26日14時32分、当該アカウントから連絡先一覧（学内外のメールアドレス計967件）のうち463件宛に不審メールが送信された。大学は、メールボックス内の連絡先が取得されたとし、漏洩したと思われる件数を967件（氏名及びメールアドレス631件、メールアドレスのみ336件）としている。他の不審な操作や情報の不正利用・金銭的被害は確認されていない。大学は10月6日に公表した。

株式会社ApplyNow（きちりホールディングス子会社、旧社名オープンクラウド）が提供する採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」で、同社が利用するデータ分析ツールの脆弱性を突いた第三者による不正アクセスが2026年8月9日から9月7日にかけて行われ、データベース内の一部データに不正アクセスの痕跡が確認された。9月7日に異常なアクセスログを検知し同日遮断した。同社は9月9日に顧客・応募者の個人データが外部へ漏えいした可能性を公表し、9月16日の案内ページでは、通知メールを受け取った応募者（氏名、メールアドレス、電話番号、生年月日、性別等）と電子雇用契約の契約者（一部はマイナンバー、金融機関口座情報、基礎年金番号、在留カード番号等を含む）の情報が漏えいしたと案内した。対象件数は未公表。契約終了後も残っていた応募者情報を含め、自治体の職員採用試験や飲食企業のアルバイト採用の応募者情報が対象となり、多数の利用組織が個別に公表した。

ベネッセコーポレーショングループの株式会社アップ（アップ教育企画）が運営するプロモーションサイト「洛西進学教室」（rakushin.net）と「進学館」（shingakukan.com）が、利用していた外部ソフトウェア（プラグイン）の脆弱性を悪用した不正アクセスを受け、サーバ内に不正なプログラムが設置されていることが2026年8月24日に判明した。サーバ内に保管されていた洛西進学教室の講師採用応募者10名とサイト管理者の従業員3名の個人情報が閲覧された可能性がある。外部への持ち出しの痕跡は確認されていない。同社は9月4日に公表し、同じ外部ソフトウェアを利用していた各部門サイトを順次復旧している。

デジタル庁が運用する政府共通の業務実施環境「ガバメントソリューションサービス（GSS）」に、第三者がVPN機器の脆弱性を利用して侵入し、保守運用担当者のアカウントで不正アクセスを行った。GSS上の個人情報を含むファイルの一部が外部に漏えいした可能性があり、対象はGSS利用機関の職員・公務員等と関連業務に携わる事業者・個人の約24.6万件。

チケット販売プラットフォーム「イープラス」の電子チケット「スマチケ」管理システムのうち、公演中止・延期等に伴う払戻し情報を管理するシステムに、2026年9月11日19時58分から9月12日2時44分にかけて第三者からの不正アクセスが複数回発生した。9月14日～15日に不正アクセスと個人情報漏えいの事実を確認し、15日中にセキュリティ設定を見直して遮断した。2022年6月30日～2026年9月11日にスマチケから払戻し申請を行った一部の顧客の情報計1,463件（銀行振込751件、クレジットカード返金644件、郵便振替払出証書68件）が漏えいしたと9月29日に公表した。会員情報・チケット購入情報のデータベースとは独立したシステムで、クレジットカード情報やパスワードは漏えい対象外としている。

株式会社ハルメクは2026年9月9日、同社グループのWebサイト「HALMEK up」の管理画面への不正アクセスを確認し、9月11日に公表した。原因は社員1名のID・パスワードが窃取されたことによるもので、管理画面へのアクセスに必要なパスワードを変更済み。9月11日時点の調査では顧客管理情報へのアクセスはログで確認されておらず、雑誌や商品販売に関わる事業への影響はないとしている。外部専門家の協力のもと影響範囲を調査中。

画像共有サービス「Gyazo」の画像アップロードサーバーの脆弱性を悪用され、第三者にシステム上で任意のコマンドを実行された。データベースから、ユーザーに関するデータ約2,362万件と画像に関するメタデータ約4.9億件などの外部流出を確認した。第二報では、削除済み画像のメタデータ約1.74億件の流出も新たに判明した。二次被害防止のため画像配信とサービス提供を一時停止し、2026年9月27日に再開した。

2026年7月29日の外部機関からの情報提供を受け外部専門機関と調査した結果、第三者によるフィッシング攻撃により所員6名のMicrosoft 365アカウントへ不正にアクセスされ、メール5,417件・ファイル3,272件の閲覧痕跡（うちダウンロード痕跡2,798件）が確認された。9月11日に公表。10月2日の続報で、メールアドレス759件と氏名・役職・所属23件が漏えいした可能性、パスポート情報13件が漏えいしたことが判明したと公表した。

日本郵政と日本郵便は2026年9月29日、「郵便局アプリ」に外部からの不正アクセスがあり、ゆうIDおよび郵便局アプリに関連する顧客情報69件（19名分）が不正に取得されたと公表した。9月25日22時30分頃に緊急メンテナンスを実施し、調査・対策のうえ9月26日にサービスを再開。不正取得された情報の不正利用の形跡は確認されていない。侵入手口は公表されていない。

関西国際大学は2026年9月30日、学内システムの一部に第三者による不正アクセスを確認したと公表し、被害拡大防止のため学内システムのインターネット接続を停止した。10月6日の第2報では、eポートフォリオシステムに保存されていた複数のファイルが外部から繰り返し取得されたことをアクセス記録の分析で確認し、2023年3月までに在籍していた学生の在学中の経験や振り返り等の文字情報が外部に流出したと判断したと公表した。氏名・学籍番号等が含まれるか、対象の範囲・件数は10月6日時点で調査中。学内Wi-Fi等を含む学内ネットワークの接続も停止し、授業や手続きに支障が生じている。

2026年9月26日未明、京王グループのサーバーへのランサムウェア攻撃を確認。京王ストア、京王百貨店、京王プラザホテル、京王プレッソイン等のグループ会社で決済・ポイント・予約・問い合わせ等のシステムに障害が発生した。鉄道の運行に支障はなく、情報漏えいの事実は確認されていないが、機密事項や顧客情報の流出を含め影響範囲を調査中。

レゴランド・ジャパン・ホテルの公式予約サイトで利用しているオンライン予約プラットフォームを運営するAmadeus IT Group, S.A.から、予約情報に含まれる一部の連絡先情報（氏名、メールアドレス、電話番号）が不正アクセスされたことが判明したとの報告を受け、LEGOLAND Japan合同会社が2026年9月25日に公表した。影響を受けた可能性のある予約は1,557件（予約件数であり人数ではない）。同社によれば、提供会社からの情報ではクレジットカード等の決済情報、パスワード、金融情報、パスポート情報へのアクセスは確認されていない。

日本大学は2026年9月14日、教員計5名のメールアカウントが第三者に不正にアクセスされ、スパムメール送信の踏み台として利用されたと公表した。発生は8月7日、検知は8月29日で、検知後直ちに当該アカウントを一時停止（又は無効化）した。9月14日現在、学内外へ1,333件の不審メールが送信されたことを確認。一部アカウントで内部データへのアクセス痕跡が確認されたが、大規模な抽出・持ち出し等の痕跡は確認されていないとしている。原因はフィッシングメール等による認証情報の窃取と考えられるとしている。同大が7月6日に公表した在学生・卒業生アカウントの事案とは発生時期・対象が異なる別事案。

「ニッポンレンタカーアプリ」のシステムが第三者による不正アクセスを受け、会員41名の情報（氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報、登録者は運転免許証情報やクレジットカード番号下4桁・名義人名も）が不正に閲覧されたおそれがあると2026年9月26日に公表した。10月1日には、調査の過程で9月29日に判明した、異なる手法による別の不正アクセス（9月19日〜21日、会員55名の会員情報ページ）を追加公表した。

大阪市行政委員会事務局は2026年9月15日、職員採用試験（社会人等技術【夏】）の動画選考で利用する録画面接システムの提供事業者が2026年8月9日から9月7日にかけて第三者から不正アクセスを受け、試験申込者106名の個人情報が漏えいした可能性があると公表した。原因は事業者が利用しているデータ分析ツールへの不正アクセス。10月1日の続報で、事業者の調査結果（9月24日報告）により106名の氏名（フリガナ）・メールアドレス・電話番号の漏えいが確定したと公表した。市は事業者名を公表していないが、報道・解説では株式会社ApplyNowの録画面接システムとされる。

スターツ出版が運営するウェブサイト「オズモール（OZmall）」が海外から大量の不正アクセスを受け、会員の個人情報が閲覧された可能性がある。2026年9月26日に同社システム部門が検知し、該当ページへのアクセスを一時停止して原因を特定し、システム修正を行った。9月27日の第一報では会員のメールアドレス最大447,610名分などを公表し、10月1日の第2報で一部の退会者を含む最大442,779名分に更新した。脆弱性対策を実施したうえでサービスを再開している。

立教大学は2026年9月8日、同大学で利用するGoogleアカウントのうち学生4名・卒業生2名の計6アカウントが2026年4月27日から8月24日にかけて第三者に不正アクセスされ、合計17,668件の迷惑メールが学外へ送信されたと公表した。迷惑メール本文に教員1名の氏名・メールアドレスが含まれていたほか、件名に受信トレイ内のメールに由来すると考えられる内容が含まれていたため、メール本文や含まれる個人情報が閲覧された可能性を完全には否定できないとしている。学生アカウントの多要素認証を8月24日から必須化した。

2026年9月10日、ロート製薬の通信販売で利用しているシステムで第三者による不正アクセスの可能性がある事象を確認し、9月11日に公表した。9月15日の続報で、通信販売のお客様対応に利用しているシステムに保存されている顧客との通話音声データおよび付随情報が第三者に不正に取得された可能性があり、同社が利用する顧客管理システムでも情報が取得された可能性があると公表した。範囲・件数は調査中で、個人情報保護委員会へ報告した。海外フォーラムでは約4TBのデータ取得を主張する投稿があると報じられているが、同社は確認していない。

2026年9月24日、事務部門が利用するNAS内のファイルが暗号化され、ランサムウェアによる被害と思われる事案を確認した。被害拡大防止のため事務用端末の利用を停止し、9月27日に端末利用を再開、9月28日から通常業務を再開した。教育・研究・診療業務に関係するシステムへの影響は確認されていない。感染経路と影響範囲は調査中。

佐川急便は2026年9月30日、同社Webサイトの「お荷物問い合わせサービス」で同日に第三者による不正アクセスを確認したと公表した（第1報）。10月1日の第2報で、調査の結果、顧客の個人情報が外部に流出した可能性があることが判明したと発表。対象となる可能性があるのは、9月30日から遡り約100日間に預かった荷物の送り主・届け先、運賃契約顧客、Webサービス「スマートクラブ」登録者の氏名（法人名・担当者名）・住所・電話番号等で、件数・範囲は調査中。クレジットカード情報とパスワードは含まれない。被害拡大防止のため荷物問い合わせなど9種のWebサービスを停止しており、集荷・配達は通常どおり。2026年7月公表の「スマートクラブ」個人情報漏えい（システム不具合の復旧作業時の設定誤り）とは別事案と同社が明言している。

スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバーに第三者が不正アクセスした。2026年9月24日夜に不正なクラブカード退会処理が1件行われたことを端緒に、9月28日に会員サーバーへの不正アクセスの可能性が判明し、同日20時に当該サーバーへの接続を停止した。9月29日の第一報では約57万アカウントの会員情報が漏洩した可能性を公表し、9月30日の第三報で572,022人分の閲覧を確認、10月5日の第四報で対象を574,647人分とした。パスワード情報は漏洩しておらず、クレジットカード情報は保有していないとしている。

2026年9月26日、学校法人修道学園が管理するサーバーへの第三者による不正アクセスを確認し、個人情報を含む情報が外部に漏えいしたおそれがあることが判明した。漏えいのおそれがある情報には、広島修道大学、修道中学校・高等学校、広島修道大学ひろしま協創中学校・高等学校と取引のある企業等の口座情報等のほか、学園の教職員・一部の学生・外部講師等の氏名、住所、電話番号などの個人情報及び口座情報等が含まれる。同学園は9月30日に公表し、件数は公表していない。9月30日時点で、情報が不特定多数に公開された事実や不正利用の事実は確認されていない。

集英社のファッション誌メディアで活動するブロガーの情報管理・連絡用システム「HAPPY PLUS COMMUNITY（ハピコミュ）」が2026年9月9日に外部の第三者から不正アクセスを受けた。利用しているCMSの設定不備に起因するAPI認証情報を狙った攻撃で特権ユーザーアカウントが不正に作成され、APIリクエストが繰り返し実行されたことで、登録ブロガー2,835名の個人情報、案件情報630件、送信メール情報11,237件、取引先一覧10,780件が閲覧・取得された可能性があり、漏洩したことが判明した。同社は9月28日に公表した。

2026年9月20日午前2時頃、エスケーロジの社内システムで外部からの不正アクセスによるサイバー攻撃が発生した。対象システムのネットワーク遮断等の緊急対応を実施し、受注システムの利用停止、出荷指示の一部制限、システム上での在庫情報確認の困難など、受注・出荷・在庫管理等の業務に影響が生じた（9月24日公表）。10月3日の第2報で、本件をランサムウェアのサイバー攻撃によるシステム障害とし、一部の社内情報の漏洩が確認されたと公表。EDRの導入とウイルススキャンを9月30日に全社で完了し、ネットワークを利用した受注業務を再開できる見込みが立ったとした。

2026年9月21日深夜頃から、「TEMAIRAZU」シリーズを利用する複数の宿泊施設の予約者に、宿泊予約情報を把握しているとみられる不審なメッセージ（WhatsApp等のメッセージアプリ、電子メール、SMS）が届き、予約確認・クレジットカード情報の再入力・緊急の支払い等を求めて不審なサイトへ誘導していた。手間いらず株式会社は調査の過程で同社システムへの不正アクセスを確認し、宿泊者情報の一部が第三者に閲覧または取得された可能性を否定できないとして9月28日に公表した。同社は不審なメッセージが不正アクセスに起因する可能性があると考えているが、両者の関係は確認中としている。10月7日の第二報で、閲覧・取得された可能性のある情報を宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日、チェックアウト日、宿泊料金と公表した。同社はクレジットカード情報を保持していない。利用施設が相次いで注意喚起を公表した。

2026年9月25日、カーシェアリングサービス「タイムズカー」のWebシステムへの外部からの不正アクセスを検知。調査の結果、現会員・退会者・入会未完了者・タイムズビジネスサービス会員等の約660万アカウント分の情報が第三者に取得されたことを確認し、うち約160万件では運転免許証画像等の本人確認書類が漏えいした。クレジットカード情報は漏えいしていない。

メトロポイントクラブ（メトポ）会員向けサービスで第三者による不正アクセスがあり、メールの送信不能により同社が配信を停止しているメールアドレス約59,000件が閲覧または取得された可能性がある。2026年9月20日にメトポのメール配信サービスで不具合が発生し、調査中の9月25日に通常と異なる利用記録を発見して、国外からと思われる第三者の不正アクセスが判明した。当該サーバーにはメールアドレス以外の会員情報は含まれていないとしている。

東京科学大学（Science Tokyo）は2026年9月7日、同大の情報基盤が第三者による不正アクセスを受け、個人情報が漏えいした疑いがあると公表した（第一報）。漏えいの疑いがあるのは、同大ならびに旧東京工業大学・旧東京医科歯科大学の大学統合当時に在籍していた学生・教職員など構成員に関する氏名・住所・メールアドレスを含む個人情報で、影響範囲や詳細は調査中としている。8月28日に「情報セキュリティインシデント対策本部」を設置し、関係機関と協力して対応している。大学病院の患者情報の漏えいは9月7日時点で確認されていない。

ユニリタは2026年9月28日13時30分頃、同社の機密情報を含む各種情報を窃取したとの情報がWebサイトで公表されている事実を確認した。同社は9月29日に公表し、現時点で確認できている範囲では不正アクセスおよび情報の窃取を確認したのは特定の社内文書管理システムに限定され、機密情報の改ざんや欠損は確認されていないとした。事業上の機密事項や顧客情報の流出を含む影響範囲は外部専門家の協力を得て調査中。報道によれば、ランサムウェア・データ恐喝グループEverestのリークサイトに同社が掲載されている（攻撃者主張、同社は攻撃者を公表していない）。

赤武エンジニアリング株式会社は2026年8月13日、ランサムウェア感染によるシステム障害が発生したと公表した（第１弾）。個人情報や顧客データ等の外部流出を含む影響範囲は、外部専門機関や警察と連携して調査中としている。発生日、侵入経路、影響の詳細は公表されていない。ランサムウェア動向追跡サイトは8月21日（UTC）にThe Gentlemenのリークサイトへの掲載を記録している（攻撃者主張、公式には未確認）。

2026年8月6日未明、アンビションDXホールディングスのネットワーク内のファイルサーバーでアクセス障害が発生し、ログの消失と第三者による不正アクセスを確認した。直ちにネットワークを外部から遮断して対象サーバー・関連システムを停止・隔離し、社内業務や取引先とのデータ連携等に遅延が生じた。8月7日の第2報では持ち出しの形跡は確認されていないとしたが、8月28日の第3報で一部の情報資産について情報漏えいを確認したと公表。当該情報には顧客、賃貸管理物件のオーナー、入居者、取引先、役職員の個人情報（氏名、住所、電話番号、メールアドレス等）が含まれる可能性があるとしている。システムは新ネットワーク環境への切替を経てすべて復旧した。データ恐喝グループSettraがリークサイトで同社グループのデータ窃取を主張しているが、同社は攻撃者やランサムウェアについて公表していない。

2026年8月5日11時頃、シーイーシーの東京第二データセンターで不正アクセスに起因する障害が発生し、8月7日にランサムウェア攻撃と確認された。攻撃対象は顧客から預かるシステム・データとは別領域で、影響を受けたサービスは別環境で復旧。9月3日の最終報で、外部への異常通信はなく情報漏えいは発生していないことを確認し、社内調査を完了したと公表した。ランサムウェアの種別と侵入経路は特定済みだが、詳細は非公表。

ペット用品通販の株式会社チャームは、運営するECサイト「チャーム本店1号店」「チャーム本店2号店」が第三者による不正アクセスを受けたことが2026年8月11日に判明し、8月12日に不正アクセスを検知して関連サーバーへのアクセスを遮断、同サイトの受注・出荷を停止したと8月13日に公表した。初報では約23万件に漏えいのおそれとしていたが、9月2日更新の第3報で、個人情報の漏えいを確認したものが約37万件、漏えいのおそれがあるものが約2万件（合計約39万件）、第三者による不正ログインを確認した顧客が239名と公表した。10月7日の第4報では、退会済み顧客の情報約2.5万件も対象となり、その大部分で漏えいを確認したと公表した。クレジットカード情報は含まれないとしている。同サイトは10月7日時点で再開時期未定。

2026年7月29日に第三者機関から情報提供を受けて調査した結果、同社が利用する一部のシステムに係る資格情報が不正に利用され、役職員の電子メール約2,400件と同社グループの連絡先情報が不正閲覧された可能性があることを確認した。漏えいした可能性のある個人情報は、関係機関・自治体・取引先など約2,400人分と、グループ役職員・委託先社員など約71,700人分（いずれも現時点で確認できている範囲）。システム障害や電力供給への影響はなく、電気・ガスのお客さま情報の漏えいは現時点で確認されていない。同社は8月4日に公表した。

2026年8月18日、求人サービス「CINRA JOB」のシステム環境（クラウドサービス）で、同社が管理する認証情報が第三者に取得され不正にアクセスされていることを確認した。当該認証情報で会員情報を保管するデータベースおよびそのバックアップにアクセス可能な状態だった。8月27日に第一報を公表。10月6日の最終報告では、外部専門機関および社内の調査が完了し、プログラムの脆弱性を悪用して取得された同社の認証情報を利用した第三者による不正アクセスが確認された一方、同社が管理するサーバーへの侵入は確認されていないとした。第三者による閲覧・取得の事実は確認されていないが、それがなかったことを確認するに足る記録が存在しないため漏えいの可能性を完全に否定できないとし、対象を会員登録者21,508名（退会者を含む）と公表した。

同社の施工情報を管理する外部クラウドサービスが第三者による不正アクセスを受けた。2026年8月24日に第三者からの情報提供を受けて調査し、顧客の個人情報を含むデータが不正に流出した可能性を確認した。対象は同社が施工を請け負った顧客の氏名・住所と施工関連資料で、最大35,000名分。同社は全ユーザーアカウントの無効化・再設定を行い、個人情報保護委員会に報告した。8月28日に公表し、その時点で情報の不正利用は確認されていない。なお、ランサムウェアグループMetaEncryptorがリークサイトで同社からのデータ窃取を主張しているが、同社は攻撃者について言及していない。

株式会社大仙は2026年8月3日、2026年8月1日2時頃に社内システムが外部からの不正アクセス（マルウェア感染）を受けたと公表した。検知後に社内全システムを遮断し、受注・出荷業務に影響が出た。8月17日の第2報では、本件に関係する可能性のある情報がインターネット上に掲載されていることを確認したが、同社から流出したものか、どのような情報が何件含まれるかは確認できていないとした。調査には2か月程度かかる見込み。ランサムウェア動向追跡サイトは8月13日（UTC）にAiLockのリークサイトへの掲載を記録している（攻撃者主張、公式には未確認）。同社はランサムウェアとは公表していない。

BASE株式会社の子会社Eストアーが運営するEC構築サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、2026年5月21日から8月1日にかけて第三者が同社サーバー上で不正なプログラムを実行し、購入者情報を外部へ送信した。同社は8月1日に第1報、8月2日に第2報を公表し、公表件数は延べ8,853,839件。購入者情報、会員ID・暗号化パスワード、クレジットカード情報の一部、店舗の管理画面・メール・FTPの認証情報や振込先口座情報が漏えい対象とされた。デザインフィル、マルキユー、絵具屋三吉、キングジム、PFUなど多数の利用店舗・過去の利用企業が自社顧客への影響を公表した。

同社グループがソフトウェア開発・システム管理に利用するソースコード管理サービス「GitHub」の認証情報が漏えいし、これを用いた第三者の不正アクセスが発生した。2026年8月4日の速報では、ソースコードおよびリポジトリ内のファイルに記載されていた個人情報の一部が流出した可能性があるとし、個人情報を「最大約60,000件」の氏名・メールアドレス（一部は電話番号）としたが、8月7日の確定報で漏洩が確認された件数を62,691名分と公表し、8月10日の訂正で62,689名分（氏名62,631件、メールアドレス62,689件、電話番号506件）とした。原因は、設定ファイルへの認証情報の直接記載（ハードコーディング）と、個人情報がリポジトリ内に保存されていたことの2点とされる。本番データベースへの不正アクセスや本番環境からの漏えいは確認されていないとしている。

2026年7月27日、社員が取引先を装ったフィッシングメールのリンクから偽ログイン画面に認証情報を入力し、社用メールアカウントに不正ログインされた。7月30日、攻撃者が同アカウントにログインして連絡先情報（最大3,812件。メールアドレスと一部の氏名）を窃取し、そのうち553件のメールアドレス宛に当該社員を装ったフィッシングメールを送信した。同社は8月3日に公表した。

共同通信社が利用する電子メールなどの業務環境で、一部の職員アカウントが第三者に不正利用された可能性があることが判明した。8月4日に外部から情報提供を受けて調査した結果確認したもので、同社が管理するアカウント情報の一部（概数約6,000件：職員等約3,000件、加盟社・取引先等約3,000件。氏名、メールアドレス、所属部署名、役職名など）が閲覧された可能性がある。不正利用された可能性がある一部アカウントのメールや保存ファイルの内容も閲覧された可能性があり調査中。同社は8月5日に公表した。ニュース配信・編集システムなど主要業務システムへの影響は確認されていない。

株式会社教育ソフトウェアは2026年8月17日、過去に使用していた休眠中のレンタルサーバーがランサムウェアにより暗号化され、第三者による不正アクセスの痕跡を確認したと公表した。レンタルサーバー提供事業者からの情報提供で判明し、被害は2026年4月30日から5月1日にかけて発生したと推定している。サーバー内に保管されていた顧客や取引先との過去の送受信メール等が閲覧された可能性があり、2016年までに同サーバーを利用した自己採点システムの対象者4,627件の個人情報（所属大学名、氏名、学籍番号の一部等）が漏えいした可能性がある。外部調査機関の調査では情報漏えいの事実は確認されておらず、二次被害も確認されていない。

2026年8月27日23時頃、株式会社まんだらけはサーバへの外部からの不正アクセスを確認し、関係サーバを停止した。8月30日に公表し、2026年8月28日6時までに通販サイトで注文した顧客の氏名・住所・電話番号・メールアドレスが漏えいした可能性があるとした（件数は未公表）。通販サイトを停止し、9月1日開始予定だった「大オークション大会」を延期した。9月4日の中間報告では、配送情報を保有するサーバへの侵入は確認したが、個人情報を閲覧・取得した記録や持ち出しの形跡は現時点の調査では確認されていないとした。通販は9月5日、オークションは9月7日に再開した。

2026年8月28日、三井不動産は同社グループが利用する一部システムへの不正アクセスを確認。同システムに係る資格情報が不正に利用され、第三者に情報の一部を閲覧された可能性があるとして9月1日に公表した。漏えいした可能性があるのは当社およびグループ会社の役職員等の氏名・メールアドレス・部署・役職（最大19,000件）と社外関係者のメールアドレス・メールの表示名（最大36,000件）。9月28日の第二報で、ログ詳細調査の結果も同件数であり、再発防止策を実施し対応を完了したと公表した。

環境機器株式会社が運営する通販サイト「虫退治ドットコム」が第三者による不正アクセスを受け、決済ページに不正なプログラムが設置されていたことが判明した。同社は、システムの一部に存在した脆弱性が悪用され管理者権限が不正に取得されたものと現時点では判断している。不正プログラムは2026年8月11日14時49分から8月18日14時00分まで稼働し、漏えいのおそれがある顧客は合計15名（うちクレジットカード情報が漏えいした可能性がある顧客6名）。同社は8月22日に公表した。

2026年5月28日、エヌ・イー ケムキャットは社内システムで不審な挙動を検知し、第三者が従業員の使用アカウントを不正に利用して一部社内システムにアクセスしていたことを確認した。7月31日に完了した外部専門調査機関の調査で、同システム内に保存されていた個人情報を含むファイルが漏えいまたは漏えいしていたおそれがあることが判明した。原因は同社端末上でのマルウェア実行と考えられる旨の報告を受けている。同社は8月20日に公表し、個人情報保護委員会への報告と警察への被害申告を行った。

2026年4月5日、楽天ブックスネットワークが使用する一部のPC端末で社外の第三者による不正アクセスを検知し、当該端末をネットワークから隔離して外部専門機関と調査を開始した。調査の結果、端末内に「楽天ブックス」の配送業務に関連するお客様情報33,333件、取引先担当者の連絡先情報2,101件、従業員情報339件が保存されていたことが判明した。これまでの調査で各情報が漏えいした事実は確認されていない。同社は8月21日に公表した。

2026年8月9日、REXT Holdingsの子会社REXT株式会社の一部社内ネットワークシステムでランサムウェアによる不正アクセス被害が確認された。WonderGOO、WonderREX、新星堂、HAPiNS、JEANS MATEの店舗で臨時休業、キャッシュレス決済の制限、買取停止、ポイントサービス休止、EC発送遅延などが発生し、休業店舗は8月16日に全店営業を再開した。9月11日の第4報で、同社らから流出した可能性のある情報の一部がインターネット上に掲載されていることを確認したと公表した。内容・影響範囲は調査中。

RIZAP株式会社が運営する「APORITOオンラインストア」で、第三者による悪意ある不正スクリプトの設置により、顧客の個人情報およびクレジットカード情報が外部へ流出した可能性があることが判明した。2026年8月5日にシステム内で不審な外部送信プログラムを発見し、同日15時30分に同ストアを一時閉鎖。対象は2026年5月1日〜8月5日に同ストアで注文または情報を入力した顧客で、件数は公表されていない。8月10日に公表し、9月18日の第3報で調査完了とサイト再開は2027年1月下旬を見込むとした。同時期に公表された委託先REXT株式会社のランサムウェア被害による「APORITO」事業のシステム障害とは、別の告知として公表されている。

2026年8月12日、外部の第三者がVPN機器のアカウントを悪用して社内ネットワークへ侵入し、8月14日未明に異常を検知。ランサムウェア攻撃と確認された。一部サーバーで不正アクセスの痕跡があり、営業情報・取引情報・個人情報に漏えいのおそれがある。委託元の大東ガス（約124,000件）、伊勢崎市（児童生徒3,789件）、名張近鉄ガス（約6,800件）、新宮ガス（約1,460件）が顧客等の情報流出の可能性を公表した。

「さくらのレンタルサーバ」の一部サーバーが第三者の不正アクセスを受け、一部サーバーにマルウェアが設置された。調査過程で契約情報等を管理する販売管理システムのデータベースへの不正アクセスも判明し、会員情報1,360,563アカウント分が閲覧または取得された可能性がある。第三報（2026年9月10日）で調査完了を報告し、データの外部持ち出しを裏付ける明確な事実や二次被害は確認されていないとした。

株式会社Ｔ&Ｋ ＴＯＫＡは2026年8月28日、一部のシステムが第三者による不正アクセスを受け、ランサムウェアによる被害を確認したと公表した。被害拡大防止措置を講じてシステム復旧を進め、警察等と連携して原因と影響範囲を調査している。不正アクセスにより一部の業務を停止しており、関係する顧客には個別に連絡しているとした。侵入経路、情報流出の有無、攻撃者は公表されていない。

2026年8月10日1時2分頃から、株式会社VOISINGが社内で利用するBIツール（ビジネスインテリジェンスツール）に外部から不正アクセスが行われ、8月16日18時47分から20時21分にかけて同ツール内のデータが不正に取得（ダウンロード）された。同社は8月16日23時55分に事態を確認し、8月17日1時55分までにシステムを停止・遮断した。8月18日に第一報を公表。9月30日の第四報で、BIツールの既知脆弱性が修正プログラム適用前に悪用されたことが原因とし、漏えいが確認された件数を約17万件と公表した。8月24日の第三報では、SNS上で10件の公開を確認し、特定サイト上で約5万件が公開されている可能性があるとしている。

2026年8月5日、ホワイトエッセンス株式会社が運営する予約サイトおよび基幹システムへの外部からの不正アクセスが確認され、外部専門機関の調査で第三者による不正な操作とセキュリティ上のリスクが認められた。同社は8月12日にシステムを一時停止して公表した。10月5日、予約サイトのプログラムの脆弱性を悪用され、これを起点に基幹システムに不正アクセスされたことが原因で、2026年8月5日時点の登録情報の全部または一部（約105万アカウント。顧客のほか加盟院関係者・本部社員等を含む）が外部に持ち出され漏えいしたと公表した。

「イエローハットWEB作業予約システム」が不正プログラムによる攻撃を受け、2026年8月18日朝に不正アクセスを検知した。外部接続の遮断など緊急措置を取ったが、調査の過程で、イエローハット会員サーバー内に保管された最大1,801,499名分の会員情報（氏名、電話番号、メールアドレス、会員番号）が外部へ漏えいした可能性が判明した。クレジットカード情報、パスワード、車両情報は同システムで保持しておらず漏えいはないとしている。同社は8月28日に公表した。

01銀行は2026年8月17日、同行システムへの第三者による不正アクセスを検知した。8月21日に不正アクセスの確認と遮断を公表し、漏えいの有無は調査中としたが、8月27日の続報で顧客情報の一部が窃取され漏えいしたことが判明したと公表した。漏えいが確認された情報はシステムが使用するお客さま識別情報とメールアドレスで、漏えいした情報は最大100社分。項目と件数は確認できているが、対象となった顧客は特定できていない。二次被害は確認されていない。

2026年7月13日、システム障害が発生。冷蔵倉庫の入出庫業務と冷凍食品の出荷業務が停止し、取引先約5,000社に影響が波及した。

朝日放送テレビのグループ会社であるアイネックスで、2026年6月17日に従業員1名のメールアカウントへの第三者による不正ログインと、連携するクラウドサービスへの不正アクセスがあった。6月24日に同アカウントからの不審なメール送信で発覚し、パスワード変更・強制ログアウトを実施。7月1日、アイネックスと朝日放送テレビが同日に公表し、朝日放送テレビからの受託業務関連情報が閲覧された可能性を否定できないとした。8月24日、フォレンジック調査完了として、不審メール送信で373件のメールアドレスが漏えいし、46件の氏名・携帯電話番号・メールアドレスに漏えいのおそれがあると公表。委託業務関連情報へのアクセス記録は確認されなかった。原因は取引先を装うフィッシングによるID・パスワード流出と推測している。

株式会社シーエスエム（群馬県高崎市）は2026年7月24日、同社ネットワークへの第三者による不正アクセスを公表した。7月13日に群馬県警から「FortiBleed」において同社IPアドレスの存在が確認されたとの連絡を受け、保守委託先ベンダーの調査で7月16日にFortiGate上に意図しない管理者アカウントが存在することが確認された。原因はFortiGateのプログラム上の脆弱性の悪用と判明した。同社は当該機器を撤去して別のファイアウォールに入れ替え、専門調査会社によるファスト・ディープフォレンジック調査とダークウェブ調査を実施。9月1日の最終報告で、不正アクセスはFortiGateへのアクセスにとどまり、社内ネットワークへの侵入、マルウェア感染、顧客情報等の漏えい・流出を示す事実は確認されなかったと公表した。

株式会社EPARKリラク＆エステは2026年7月31日、同社が提供する予約管理・顧客管理プラットフォーム「PeakManager」の一部データベースが第三者による不正アクセスを受け、保管されている個人情報が外部へ漏えいした可能性があると公表した（7月27日判明）。データベースに保存されていた顧客情報の削除も確認した。9月24日の第二報では、フォレンジック調査によりデータベース内の情報が外部へ転送されたことを確認したと公表し、名寄せ後の対象を約2,218万レコード（人数への換算は困難）とした。漏えい項目には氏名、生年月日、住所、電話番号、メールアドレスのほか、加盟店が入力した備考欄の情報（健康状態等の要配慮個人情報を一部含む）が含まれる。PeakManagerは各店舗が顧客情報を入力・管理する台帳であり、利用店舗の顧客情報が影響を受けた。

2026年6月26日、法人向け小売電気事業者のエバーグリーン・マーケティング株式会社で、従業員1名のメールアカウントに第三者が不正ログインし、当該アカウントから社内外にフィッシングを目的とした不審なメールが送信された。同社は同日中に把握してアカウント停止・パスワード変更・セッション無効化を行い、7月31日に公表した。10月6日の続報で、フォレンジック調査の結果、代理店等取引先関係者237件（会社・団体名、メールアドレス）と電力需給契約を締結している法人顧客763件（会社・団体名、住所、口座名義に個人名を含む口座情報、電気料金の請求金額等）の情報が第三者に閲覧された可能性があると公表した。

ファブリカホールディングスの連結子会社メディア4uが提供するSMS送信システムが2026年6月24日に第三者による不正アクセスを受けた。管理コンソールに係るアカウント管理情報の一覧ファイル（総レコード95,412件。うち個人情報に該当し得る情報を含む可能性のあるレコードとして精査した件数22,928件）の外部流出と、特定の1社のクライアントアカウントを通じた不正SMS送信280件が確認された。SMS配信先エンドユーザーの情報の流出は確認されていない。7月14日にメディア4uとファブリカHD（適時開示）が公表し、7月17日にメディア4uが第2報を公表した。

福岡大学が学生の就職活動向け筆記試験（適性検査SPI3など）対策サイトとして利用する、委託先・株式会社ノストラム提供の「SMART SPI」で、委託先が管理するサーバが不正アクセスを受けた。2026年4月17日に外部の攻撃者が委託先ネットワークに侵入してファイルを暗号化し、4月19日にサーバが停止（バックドアの構築も判明）。攻撃者のサイト上に窃取データを公開する旨の告知があり、令和5〜8年度在籍学生（医学部医学科除く）の学籍番号・生年月日・模擬試験等の受験結果（最大33,668人）と氏名（最大800人、登録者のみ）が漏えいした可能性がある。漏えいは確認されていない。同大は7月9日付で公表した。

2026年7月15日、扶桑電通が社外関係者との情報共有に利用していたクラウドストレージサービスの共有フォルダに対し、第三者による不正アクセスがあったことを確認した。同社は7月22日に第1報を公表。9月10日の第2報で、外部セキュリティ専門会社の調査により本件は第三者による認証情報の不正利用で発生したことを確認した（不正利用の具体的な経路は特定に至らず）と報告し、漏えいの可能性がある個人情報を取引先の顧客・担当者の氏名、住所、電話番号の26,489件と公表した。調査は完了したとしている。

八王子学園八王子中学校・高等学校は2026年7月13日、一部サーバーが第三者による不正アクセスおよびランサムウェアの被害を受けたと公表した。9月30日の第2報によると、外部調査会社のフォレンジック調査（8月末完了）で、攻撃者がファイアーウォールを突破してサーバーへリモートデスクトップ接続でログインし、7月8日に侵入、7月10日未明にランサムウェアを実行して、サーバー上のすべてのファイルと一部教職員端末のファイルを暗号化したことが判明した。暗号化ファイルには在校生・卒業生・保護者・受験生・教職員・退職者の個人情報を含むファイルもあり、復元は技術的に極めて困難とされる。個人情報ファイルの外部流出は確認されなかったが、一部ログが消去されているため流出を完全には否定できないとしている。

加賀ソルネット株式会社（EMカンパニー）が運営する学生向けPC販売サイト「アカデミコナビ」で、2026年6月22日に第三者による不正アクセスが確認された。同社は直ちにサイトの一時停止とアクセス制限を実施したとしており、7月1日に最大約17万件のユーザー登録情報が流出した可能性を公表した。8月17日の第二報では、フォレンジック調査の結果、サイトのシステム上の脆弱性を悪用した不正アクセスによりデータが外部へ送出されたとし、漏えいが確認された個人データを165,587名分（氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報）と確定した。パスワードとクレジットカード等の決済情報は漏えいしていないとしている。サイトは8月17日時点で停止中で、2026年10月末の再開を予定している。

名鉄協商株式会社は2026年6月23日、サーバーへの不審なアクセスを検知し一部サーバーが停止した（同社は直ちにシステムの切り離しとネットワーク遮断を実施したとしている）。外部専門機関の調査で6月19日にランサムウェアによる不正アクセスの痕跡を確認し、7月2日に公表した。パーキング検索サイト、MKPポイントカード、カーリース会員向けサイト、カーシェア「カリテコ」など個人・法人向けサービスの一部が停止・遅延した。7月28日には複数サーバーへの攻撃が確認され、顧客情報の外部漏洩のおそれを否定できないと公表し、対象サービスの利用者へ順次個別案内を実施している（9月3日時点で11区分）。件数は公表していない。9月3日時点で、顧客情報が外部に流出したことを示す事実は確認されていない。委託元の中電不動産株式会社や名古屋鉄道株式会社も自社顧客情報の漏えいの可能性を公表した。

同社が管理するWebシステムの一部の脆弱性を悪用され、複数のシステムに不正アクセスを受けた。2026年7月15日未明の社内システム障害の復旧作業中に、不正アクセスの痕跡を確認した。7月24日の第一報で個人情報漏えいの痕跡を公表した。9月15日の第二報では、フォレンジック調査の完了を受け、顧客の個人情報7,716,811件の外部持ち出しを確認したと公表した。

日本交通株式会社は2026年7月13日、7月11日未明に社内システムが外部からの不正アクセス（マルウェア感染）を受けたと公表した。検知後直ちにシステムの遮断等を行い、ハイヤーWEB受注・予約管理システム、電話によるタクシー配車サービス、一部社内システム、陣痛タクシーのWebフォーム登録が利用できなくなった。7月22日の第3報で同社から流出した疑いのある情報をインターネット上で確認したと公表し、8月19日の第4報で保有ファイルの一部が外部に流出していることが判明したと公表した（個人情報の漏えいの有無・件数は8月19日時点で調査中）。10月5日、電話配車と陣痛タクシーWebフォームを10月6日に再開すると告知した。報道によれば、ランサムウェアグループAiLockがリークサイトで同社への攻撃を主張した（攻撃者主張）。

2026年6月24日以降、日本大学の在学生及び卒業生計9名のメールアカウントが第三者に不正アクセスされ、スパムメール送信の踏み台として利用された。6月26日に検知し当該アカウントを一時停止（又は無効化）。7月3日現在、17,864件の不審メールが学内外に送信されたことを確認。ログ解析では過去のメールが閲覧された客観的な痕跡は確認されていないが、アカウント内の個人情報が閲覧された可能性を完全には否定できないとして対応した。同大は7月6日に公表した。

日産化学は2026年7月1日、同社が利用するクラウド環境で不審な活動を検知した。調査の結果、6月30日に第三者による不正ログインや不正なサーバの作成が行われていたことを確認し、アクセス経路の遮断や関連アカウントの無効化を実施した。7月16日に第1報（不正アクセスの可能性）を公表。8月5日の第2報で外部専門機関との調査完了を報告し、不正なサーバを起点とした一部サーバへのアクセス痕跡は確認されたが、個人情報や取引先情報を含む情報資産の漏えい、他システムへの侵害拡大、改ざん、ランサムウェアを含むマルウェア感染などの被害は確認されなかったとした。事業活動や製品・サービスの提供に支障はない。

2026年6月27日、サカタのタネのブラジル連結子会社Sakata Seed Sudamerica LTDA.のサーバーへの不正アクセスを検知した。その後の調査で一部の情報にアクセスされ、漏えいした可能性があると判断した。同社は7月8日に公表し、外部セキュリティ専門会社と連携して経路等を調査中としている。業務停止に至る被害、同社および他の国内外グループ会社への影響は確認されていない。2025年11月の同社への不正アクセスとは侵入経路が異なり、現時点で直接の関係はないと認識しているとしている。

2026年5月及び6月に、学内で利用するMicrosoft365の学生アカウント2件から計4,581件（学生A 4,419件：5月13日〜20日、学生B 162件：6月15日〜16日）の迷惑メールが不特定多数に送信されていたことが判明した。また、学生団体が外部サーバーで運用する公式HPで、編集権限を持つ学生2アカウントから不適切なサイトに誘導するロシア語の文章とリンク（数十件）が5月29日〜6月1日に投稿された。いずれも海外からの不正アクセスの形跡が確認され、大学は判明後速やかに当該アカウント及びHPを緊急停止した。メール送信以外の不正操作及び機密情報の漏洩は確認されていない（7月3日公表時点）。大学は7月3日に公表した。

株式会社ヴェレダ・ジャパンは2026年7月8日、同社が運営する「ヴェレダ公式オンラインショップ」で第三者による不正アクセスによるシステム侵害が判明したと公表した。個人情報の一部流出が懸念されたためネットワーク等の稼働を部分的に見合わせ、同サイトのクレジットカード決済を一時停止し、7月10日以降お届け予定の定期購入商品の発送も見合わせた。外部専門機関に調査を依頼しており、流出の詳細は判明していないとしている。8月18日には事実関係を正確に把握するためとしてサイトの一時停止（新規注文受付・定期便発送の停止）を公表した。流出の有無・件数は2026年10月8日時点で公表されていない。

2026年6月、契約者向けサイト「アフラック よりそうネット」等への不正アクセスにより、約440万人の顧客情報が漏えい。金融庁から報告徴求命令を受領した。

2026年6月、廃棄委託したHDDが破砕されないままネットオークションに流出。患者・職員の個人情報が漏えいした可能性。サイバー攻撃ではなく、委託先の不適切な廃棄処理が原因。

CCアーキテクトが提供する3CXクラウドサービスで、2026年5月17日に第三者による不正アクセスが発生した。同社の監視業務に利用していた海外の外部システム監視サービスに登録されていたアカウント情報が漏えいし、その情報で第三者が海外サーバから管理画面に不正アクセスした。一部の顧客環境で管理画面上のSIPトランク認証情報が閲覧された可能性があり、当該認証情報を不正利用した国際電話等への不正発信が確認された。同社は6月16日に公表した。

FAXデータ保存用のファイル共有サーバーがVPN機器を経由した不正アクセスを受けてランサムウェアに感染し、過去約2年分のFAX受注データ633件に含まれる取引先・顧客の個人情報が外部へ流出した可能性が高いと公表した。

自社サーバーに対する第三者による不正アクセスを2026年6月11日に確認し、外部のセキュリティ専門機関と不正アクセスの範囲、原因、情報への影響の有無を調査していると公表した。

2026年6月19日8時50分頃、同社の一部社内システムでウイルス感染の疑いを検知し、感染の疑いがあるサーバーとユーザーPCを外部から遮断（これにより一部システムが停止）。6月22日に不正アクセス（ウイルス感染）の疑いとして公表した。8月25日の第2報で、外部からの社内システムへの不正アクセスおよびランサムウェアによる侵害であったと公表し、従業員等（退職者・扶養者を含む）の氏名・住所・生年月日等に漏洩のおそれ、従業員等のマイナンバーに閲覧のおそれがあったとした。対象人数は公表されておらず、8月25日時点で不正利用・二次被害の事実は確認されていない。

業務用パソコンで不正プログラムが動作し、2026年4月21日から29日に第三者が画面を閲覧すること等が可能な状態となったため、契約者・取引先担当者・従業員等の個人情報計16,570件が閲覧等された可能性があると公表した。

研究室が管理する端末がサイバー攻撃による不正アクセスを受け、ランサムウェアに感染したとみられる事案が発生し、九州大学病院の患者43名の氏名と手術動画データが外部へ流出した可能性を否定できないと公表した。

ディライトフルが運営するメール配信システム「める配くん」の一部サーバーが第三者による不正アクセスを受けた。同社は2026年6月15日にサーバーログ監視中に異常なアクセスを検知し、不正アクセスと情報漏洩と考えられる痕跡を確認してサーバーを停止、6月19日に公表した。8月14日の調査結果報告で、外部専門機関の調査により顧客の配信先情報（メールアドレス等）の一部が外部に漏えい（取得）されていた事実を確認したとした。漏えい総数は同社の公開資料では示されていないが、利用組織の日本応用地質学会は同社の確報として全体で1,679,242名の個人データが漏洩したと公表している。利用企業・団体の多数が自社の登録者情報への影響を公表した。

2026年6月15日、学校法人武蔵野大学が管理するサーバーが第三者からのサイバー攻撃（不正アクセス）を受け、ランサムウェアへの感染が確認された。6月30日の初報ではバックアップから復旧済みで各学校の運営に支障はなく、データ流出は確認されていないとしていたが、9月7日の第二報で、フォレンジック調査の結果、共有フォルダ内の複数ファイルが流出しており、一部に氏名や住所などの個人情報が含まれていたと公表した。

社内ポータルで利用するクラウドストレージの認証情報が窃取され、不正アクセスを受けた。発売前のゲーム「anemoi」のマスターデータが海外Webサイトへ無断掲載され、個人情報を含むファイルの外部流出痕跡も確認された。個人情報の対象件数・対象者数は調査中。

電子チェックインシステム「Tabiq」のAmazon S3設定不備により、約106万人分の本人確認書類画像が6年以上アクセス可能な状態だった。サイバー攻撃ではない。

コーポレートサイトが外部から不正アクセスを受け、利用者が本来とは異なる不適切なウェブページへ誘導される事象が発生した。サイトは一時閉鎖後、環境を刷新して再公開された。

ホームページとメールシステムを構築するサーバーで、cPanel/WHMの脆弱性を悪用した認証回避により管理者権限が取得された。情報窃取の痕跡は確認されず漏えい可能性は低いと評価されたが、メールデータや添付ファイル内の個人情報の漏えい可能性を完全には否定できない。

添付ファイル分離メールサーバー上のWebシステムの脆弱性が悪用され、メール送信機能が停止するとともに、メール関連ファイルへ一時的にアクセス可能な状態となった。調査で情報窃取の痕跡は確認されなかったが、メール情報等に漏えいの可能性がある。

2026年4月、全国17,000社以上の不動産会社が利用するクラウドサービスへの不正アクセス。利用企業16社以上が順次被害を公表した。

2026年4月公表。画像診断の委託先がクラウドのファイル共有設定を誤り、患者626名分の情報が約1年8か月間閲覧可能だった。委託先はミスを1年超報告していなかった。

GitHub認証情報の不適切な公開を起点にGitHub環境と社内業務用クラウド環境の一部が不正アクセスを受け、重複を除く最大225,846件の利用者情報に漏えいの可能性が生じた。

従業員1名のメールアカウントが第三者から不正アクセスを受け、複数の宛先へ不審メールが送信された。関係者とのメール情報の一部が第三者に閲覧された可能性を否定できない。

コールセンター業務の再委託先である日本テレネットでランサムウェア型サイバー攻撃による不正アクセスが行われた可能性があり、MaaS Car会員の一部情報に漏えいの可能性が生じた。

グループが利用する船舶燃料調達システムに第三者が不正アクセスし、社員・取引先社員の個人情報を含む一部データが外部へ持ち出された可能性が判明した。

管理・運用するクラウドサーバーがランサムウェアによる不正アクセスを受け、患者369名分の個人情報の一部が不正取得された。

UPSIDERが利用していたオープンソースパッケージに悪意のあるプログラムが混入されたサプライチェーン攻撃を端緒に、2026年3月24日に開発者端末が侵害され、同社システムへの不正アクセスが発生した。3月25日と31日に認証情報の漏えい通知を受領し、4月1日3時40分に被害拡大防止のシステム保護機能が作動して法人カード「UPSIDER」「PRESIDENT CARD」「AI経理」が一時停止した（同日12時20分にカード決済が全面復旧、4月9日までに全機能を段階的に復旧）。同社は4月10日に不正アクセスを公表し、6月12日の最終報告で、カード情報への不正アクセス・持ち出しの痕跡はなく、個人情報・法人情報の流出の可能性は極めて低いと判断したとした。

フィリピン子会社Pricon Microelectronics, Inc.の一部サーバーがランサムウェアに感染し、業務データの一部が暗号化された。外部専門機関の調査と復旧対応は完了し、情報の外部流出を示す痕跡は確認されていない。

ファイルサーバーがランサムウェア攻撃を受けて暗号化され、取引先から受託・保管していた情報の一部に漏えいのおそれが生じた。

業務委託先サーバへの不正アクセスにより、最大19万3,118人分の個人情報が漏えいの可能性。

2026年3月27日、コタ株式会社で一部の社内PC端末に動作不良が発生し、社内調査で第三者による不正アクセスを確認。すべてのサーバー及び社内PC端末等をネットワークから遮断した。同社は3月30日にサイバー攻撃によるシステム障害を公表（第1報）し、4月15日の第3報で原因がランサムウェア感染と判明したと発表。6月5日の第4報で、外部からの不正アクセスにより一部のサーバー及び社内PC端末等がランサムウェアに感染しデータ等が暗号化されたと説明した。生産・受注・出荷業務は継続。8月20日に全システムの復旧完了と再発防止策を公表（最終報）し、同日、個人情報の漏えいは確認されていないものの第三者に閲覧された可能性を完全には否定できないとして、従業員・株主・取引先関係者等の情報計8区分（各区分の件数の合計109,147件）を「漏えいの可能性が否定できない情報」として公表した。

2026年3月10日、同社の一部サーバーが外部からの不正アクセスおよびランサムウェア攻撃を受け、電話・電子メール・FAXが不通となり、同日午後から受注・出荷を含む全業務を停止した。同日「社内ネットワークシステム不具合」として公表し、3月11日の続報でランサムウェア攻撃によるものと判明したと公表。3月17日に出荷、3月23日に受注・見積業務を順次再開し、4月22日に全業務の正常稼働を報告した。8月26日、データフォレンジックと対象情報の特定作業が完了し、従業員・元従業員および取引先（潜在的な取引先を含む）担当者の個人情報の一部が漏洩しまたはそのおそれがあると公表した。対象件数は公表されていない。

2026年2月、クラウドストレージへの不正アクセス。約1,700件の個人情報（マイナンバー1件含む）が漏えい。Everestが犯行声明を出したが、実被害はクラウド経由だった。

2026年2月4日、同社の一部サーバー内のファイルが暗号化され、調査の結果ランサムウェアによる被害と判明した。同社は外部からの不正アクセス検知によるサービス一時停止を告知したうえで、2月6日に第一報を公表し、商品出荷を停止した。2月9日の第二報でサーバーを順次復旧し出荷を再開したと公表。8月19日の調査結果で、問い合わせ客の個人情報（氏名・住所・電話番号・メールアドレス等を含むデータ77,619件、氏名のみのデータ1,360件）が一時的に侵入者に閲覧可能な状態にあったと公表した。外部への漏洩（流出）および不正利用の事実は確認されていないとしている。

2026年1月、給与支払事務でメールを誤送信し、職員および家族4,571人分のマイナンバー等が外部メールサーバに送信された。内部要因で攻撃者はいない。

2025年12月8日、社内ネットワークへの不正アクセスが判明し、同日公表した。同社は後の第4報で、ランサムウェア攻撃によるファイル暗号化被害が同日に発覚したと説明している。外部専門機関の調査では、ファイアウォールの脆弱性を突かれVPN経由で侵入された可能性が高いとされた。第2報（2026年1月30日）・第3報兼最終報告（2月27日）時点では外部流出は確認されていないとしていたが、2026年8月17日の第4報で、保有情報の一部がダークウェブ上のリークサイトに掲載されていることを確認したと公表。漏洩が発生しまたは発生した可能性のある人数は約97,338名、うちリークサイトでの公開が確認されたのは17,559名。

2025年11月、業務利用のSlackへ不正ログイン。社員の私物PCがマルウェアに感染し、認証情報が窃取されたことが原因。

2025年10月、ランサムウェア感染により受注・出荷業務が全面停止。BtoB顧客約569万・LOHACO顧客約1,010万を抱え、取引先企業にも波及した。侵入経路が公式に確定した事例。

2025年9月、ランサムウェアによる大規模なシステム障害が発生。国内グループ各社の受注・出荷が約2か月にわたり麻痺し、一部工場も一時停止した。

2025年5月、附属中学校の教員がサポート詐欺により遠隔操作ソフトをインストール。職員室ネットワークの共有HDD内の個人情報が閲覧・改ざんされた可能性。

2025年4月、管理者画面への不正アクセスにより最大90万件超の個人情報が漏洩した可能性。ランサムウェアではない。

2025年4月、ランサムウェアにより基幹システムが停止。全国規模で貨物輸送に影響し、JALの貨物輸送も停止した。情報漏洩は確認されていない。

2025年2月、ランサムウェア被害。最大約510万件の個人情報が暗号化された可能性。

2025年1月に発生したサイバー攻撃。ChatGPTを悪用して自作したプログラムにより約725万件の会員情報が不正取得された。未成年者を含む複数名が逮捕。

2025年1月、ランサムウェアによりサーバーが侵害され、最大約200万件の個人情報が漏えいの可能性。

2024年10月、海外からのランサムウェア攻撃。フィッシング対策と海外拠点を含むネットワークセキュリティ体制の不備が原因と自ら公表。

2024年6月、ランサムウェアにより動画サイト等が長期停止。約25万人分の個人情報が漏洩した。

2024年6月、ランサムウェア感染で約37万4,000件の顧客情報が漏洩の恐れ。うち9割は給湯器販売に使用していた情報。同年1月に続く2度目の被害。

2024年5月、ランサムウェアにより電子カルテを含む総合情報システムが停止。最大約4万人分の患者情報が流出した可能性。第三者調査報告書を公表した事例。

2024年5月、ランサムウェア感染。全国の自治体・金融機関等から受託した業務データが流出し、最終的に約307万人分の個人情報漏洩に発展した、2024年で最も影響範囲の広い事例。

2024年5月、管理者アカウントを窃取されランサムウェア被害。国内グループ7社に波及し、延べ約40万件の個人情報が漏洩の可能性。親会社に身代金要求があったが支払わなかった。

2024年3〜4月、サイバー攻撃で内視鏡（PENTAX）・眼内レンズ事業部のシステムから最大約6,500件の個人情報が漏洩。製品供給にも影響。

2023年11月、BlackCatランサムウェアに感染。営業情報・顧客見積書・図面等が流出。株主総会・有価証券報告書の提出延期に発展。

2023年7月、日本最大の名古屋港のコンテナ管理システムがLockBitに攻撃され、全ターミナルでコンテナ搬出入が停止。国内初のランサムウェアによる大規模物流影響事例。

2023年7月、サーバーへの不正アクセス（ランサムウェア）で、セイコーグループ・セイコーウオッチ・セイコーインスツルの約6万件の個人情報が漏洩。

2023年6月、社労士向けクラウドサービスのサーバーがランサムウェア感染。約3,400ユーザーのサービスが停止し、業績が黒字予想から赤字に転落。

2023年6月、海外現地法人のネットワークから侵入されランサムウェア被害。約186万件の個人データが漏洩の可能性だが、外部転送量が僅少で漏洩可能性は極めて低いと判断。

2022年10月、給食委託先のVPN機器の脆弱性を突かれたサプライチェーン攻撃。電子カルテが暗号化され外来診療・手術が停止。復旧に73日。