JR九州のメールアドレス最大約130万件は、JR九州のシステムではなく、メール配信を担う預け先のクラウドを経由して漏れた可能性があります。10月8日から10日の公表を並べると、1社の被害が利用企業の数だけ別々の発表になって現れる構図が、何度も出てきます。
2026年10月8日から10日にかけて国内で公表された不正アクセスの事案は、入口で分けると4つに整理できる。IDCFクラウドやコミュニティ基盤のコミューンのように、1社の被害が利用企業へ連鎖したもの。自社サイトの機能の不備を突かれたもの。そして、システムではなく人から情報を聞き出したものである。
10月に入ってから、国内の企業や団体による不正アクセスの公表は途切れることなく続いています。innovaTopiaでも、10月2〜5日の11件、10月6〜7日の5件、入口別に整理した11件と、まとめて伝えてきました。
今回は10月8日から10日までの公表分のうち、個別の記事で扱っていない事案を集めました。件数で目立つのは、skyticketの約1,464万件とブックオフの最大約643万件ですが、この2件は別の記事で扱います。ここでは、1社の被害がどこまで広がるのかという視点で並べ直します。
10月8〜10日の公表（個別記事のないもの）
| 公表日 | 組織 | 規模 | 入口 | 分類 |
|---|---|---|---|---|
| 10月8日 | ハイホー | 38,509契約 | 電話で本人からログイン情報を聞き出された（一部は電話以外の方法の可能性） | 入口4 人から |
| 10月8日 | 八十二長野銀行 | メールアドレス35名 | 不審メールを起点に職員のメールアカウントへ | 入口4 人から |
| 10月8日〜 | 小平市（報道） | 公式サイトが閲覧不可 | ホームページ保守の委託先のクラウド基盤 | 入口1 クラウド |
| 10月8日 | 光回線の代理店の社員2人を逮捕（報道） | hi-hoの契約解除約2,500件と報道 | hi-hoのマイページへの不正アクセスの疑い | 入口4 人から |
| 10月9日 | 手間いらず | 最大約445万人 | 予約管理システム（9月28日の第一報の続報） | 続報 |
| 10月9日 | ディップ（バイトル） | 最大3,885,771件 | 自社サイトの一部機能の仕様の不備 | 入口3 自社サイト |
| 10月9日 | JR九州 | 最大約130万件 | IDCFクラウド経由（メール配信） | 入口1 クラウド |
| 10月9日 | 日本酒類販売 | 件数の記載なし | IDCFクラウド経由（メール配信） | 入口1 クラウド |
| 10月9日 | コミューン | 約30.7万人（推計） | 招待リンクを悪用し管理者になりすまし | 入口2 SaaS |
| 10月9日 | スズキ | 約3,000名 | コミューン経由 | 入口2 SaaS |
| 10月9日 | LINEヤフー | 1,750名 | コミューン経由 | 入口2 SaaS |
| 10月9日 | ココナラ | 2,294件（ファイル） | 脆弱性 | 入口3 自社サイト |
| 10月9日 | リゾートトラスト | 約6万2千件 | システムの異常作動 | 入口3 自社サイト |
| 10月9日 | 佐川急便（第4報） | 件数は確認中 | インターネット貨物システム | 続報 |
件数の単位は、人、件、契約、ファイルとそろっていません。足し合わせたり、順位をつけたりはできない数字です。
入口1 IDCFクラウドから利用企業へ
IDCフロンティアのクラウドサービス「IDCFクラウド」が10月7日にランサムウェア攻撃を受け、495の企業・自治体に影響が出たことは、innovaTopiaでも伝えました。10月9日には、JR東日本とビューカードが、IDCF上のメール配信サービスを経由してメールアドレスが漏えいした可能性を公表しています。
同じ経路の影響は、JR九州にも及びました。JR九州Web会員の最大約130万件について、メールアドレスを含むメールのログデータが閲覧または取得された可能性があるとしています。氏名、住所、電話番号、クレジットカード番号、メールマガジンの件名や本文は対象外です。JR九州のメールマガジンは、現在配信できない状態になっています。
日本酒類販売は、運営するECサイト「東京酒粋」のメールマガジンに、フューチャーショップの配信サービス「future Scenario Cast」を使っていました。このサービスの基盤がIDCFクラウドでした。対象になりうるのは氏名、メールアドレス、誕生月で、いずれも暗号化された状態で保存されていたとしています。住所や電話番号は別のサーバーにあり、対象外です。
東京都小平市では、10月7日の朝から市の公式サイトが閲覧できなくなりました。市の臨時ページは「システム障害」とだけ案内しています。日本テレビなどは、ホームページの保守を委託している事業者のクラウド基盤がランサムウェア攻撃を受けたと報じましたが、市の発表はクラウド事業者の名前を挙げていません。
JR九州と日本酒類販売に共通するのは、メールの配信を外部のサービスに任せていた点です。会員情報の本体を守っていても、配信のために預けたメールアドレスは、預け先の被害に巻き込まれます。自社のシステムが無傷でも漏えいの公表が必要になるという構図が、IDCFの1件から読み取れます。
入口2 コミュニティ基盤から利用企業へ
コミューンは、企業がファンや顧客とのオンラインコミュニティを運営するためのサービス「Commune」を提供しています。
10月5日18時ごろから6日21時ごろにかけて、第三者が非公開コミュニティの招待リンクを不正に入手し、一般会員として登録したうえで管理者になりすましました。会員情報の閲覧や取得に加えて、データの上書きも行われています。10月7日の午後にも、メンテナンス中に残っていた経路から不正な登録と閲覧が約1時間あり、14時58分に遮断しました。
影響を受けたのは推計約30.7万人です。内訳は次のとおりです。
- メールアドレスを含む情報：約12.6万人（うち約4.2万人はコミューンの従業員やテスト用のデモアカウント）
- メールアドレスを含まない情報（表示名、自己紹介、非公開グループへの所属など）：約18.1万人
本人の操作によらず仮パスワードに変更されたアカウントも144名分あります。ただし、パスワードそのものや会員間のダイレクトメッセージの漏えいは確認されていません。コミュニティは10月8日の昼から順次再開し、データは10月6日18時時点に戻しています。
コミューンを使っていた企業も、それぞれ公表しました。スズキは、四輪の公式コミュニティサイト「スズキヴィレッジ」の会員約3,000名分について、メールアドレス、ニックネーム、居住地の都道府県、所有している車名などが閲覧・取得された可能性があるとしています。スズキ自身のシステムへの侵入は確認されていません。LINEヤフーも、「DS.LAB」のユーザー1,750名分の氏名やメールアドレスなどが対象になったと公表しました。
コミューンは電気通信事業者として総務省に報告しています。個人情報保護委員会への報告は、コミュニティを運営する契約企業がそれぞれ行い、コミューンは必要な情報を提供するという分担です。1つのSaaSの被害が、利用企業の数だけ別々の公表になって現れる仕組みが、ここに表れています。
入口3 自社サイトの機能の不備
ディップは10月6日、求人サイト「バイトル」「バイトルNEXT」の一部機能に、海外から不正アクセスがあったことを確認しました。システムの一部機能の仕様の不備を突かれたもので、最大3,885,771件のメールアドレスが漏えいしました。氏名、電話番号、パスワード、クレジットカード情報は含まれていません。海外からのアクセスを全面的に遮断してプログラムを改修し、個人情報保護委員会と総務省関東総合通信局への報告と、警察への相談を進めています。
ココナラは10月8日、スキルマーケットへの不正アクセスを2時05分に検知して遮断しましたが、13時ごろに再び検知し、15時ごろに持ち出しの形跡を確認しました。持ち出されたのは、会員が登録していた履歴書449件と、職務経歴書などの書類1,845件です。数えているのはファイルの数で、人数は示されていません。クレジットカード情報やパスワードは対象外で、エージェント事業など他のサービスへの影響もないとしています。
リゾートトラストでは、10月5日の20時30分ごろから23時30分ごろにかけてシステムが異常に作動し、グループ会員の一部約2万6千件と、ザ・カハラ・ホテル＆リゾート 横浜の予約者約3万6千件が漏えいしました。利用履歴、医療情報、クレジットカード情報、銀行口座情報、メールアドレス、本人確認書類は含まれていないとしています。
入口4 システムではなく人から聞き出す
インターネット接続サービスのハイホーは10月8日、38,509契約分のマイページが第三者に閲覧された可能性を公表しました。システムへの侵入や脆弱性の悪用は確認されていません。他社サービスへの乗り換えを狙う第三者が電話で勧誘し、マイページへのログインに必要な情報を本人から聞き出していました。一部は、電話以外の方法で情報を入手された可能性もあるとしています。
ハイホーは、電話番号、郵便番号、生年月日の組み合わせでログインできる方式を廃止しました。どれも本人以外が知りうる情報で、会話の中で聞き出しやすい項目です。氏名、住所、契約情報、請求情報などが閲覧された可能性があり、クレジットカード情報と口座情報はマイページで扱っていないため対象外です。
同じ10月8日には、警視庁サイバー犯罪対策課が光回線の代理店の従業員2人を逮捕したと報じられました。ITmedia NEWSによると、逮捕容疑はhi-hoのマイページへの不正アクセスなどで、hi-hoでは約2,500件の契約解除につながったとみられています。ハイホーの公表文は逮捕に触れておらず、38,509契約のすべてがこの事件によるものかどうかは示されていません。
八十二長野銀行では、職員が受け取った不審なメールを起点に、職員のメールアカウントが不正アクセスを受けました。発生は10月7日、発覚は10月8日で、35名分のメールアドレスが流出した可能性があります。
続報で輪郭が見えてきたもの
宿泊施設向けの予約管理システムを提供する手間いらずは、10月9日の適時開示で、対象が最大約445万人になると公表しました。発端は9月21日、宿泊施設から「予約者に不審なメッセージが届いている」と連絡を受けたことです。innovaTopiaでは10月9日の記事で、宿泊者への不審なメッセージの段階として触れていました。
閲覧・取得された可能性があるのは、氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日とチェックアウト日、宿泊料金です。WhatsApp、メール、SMSで、フィッシング詐欺とみられる不審なメッセージが送られていることも確認されています。宿泊する施設と日程が分かっていれば、施設を名乗るもっともらしい連絡を作れてしまいます。手間いらずはクレジットカード情報と宿泊予約サイトのログイン情報を保有しておらず、これらは対象外です。
佐川急便は10月9日に第4報を出しました。9月30日に発覚した、荷物の問い合わせに使うインターネット貨物システムへの不正アクセスについて、他のシステムやグループ会社への影響はなく、悪用も確認されていないとしています。対象となる可能性があるのは、9月30日から遡って約100日分の送り主と届け先の氏名、住所、電話番号のほか、運賃契約を結んでいる顧客やスマートクラブの登録者の情報です。件数は重複を整理したうえで公表する予定です。
預け先まで含めて点検する
4つの入口を並べると、自社のシステムだけを守っていては届かない範囲が見えてきます。メールの配信、コミュニティの運営、予約の管理と、業務の一部を外部のサービスに預けていると、預け先の被害が自社の利用者向けの公表につながることがあります。ハイホーの事例は、ログインの仕組みそのものが、本人以外にも知りうる情報で組まれていなかったかを問い直しています。
IPAや国家サイバー統括室などは10月9日前後、事業者に向けて一斉に注意喚起を出しました。innovaTopiaでは、そこで求められた3つの点検を整理しています。利用者として今できることは、通知が届いたサービスのパスワードを変えること、そして発表のあった企業を名乗る連絡を、公式サイトから確かめ直すことです。
今回並べた事案の多くは、発覚から数日のうちに公表されています。預け先の事業者と利用企業が、それぞれの立場で同じ日に情報を出す流れができつつあることは、被害の広がりを利用者がいち早く知るための土台になります。
【関連記事】
IDCFクラウドにランサムウェア攻撃、495の企業・自治体に影響 茨城県サイトも閲覧できず
IDCFクラウドがランサムウェア攻撃を受け、495の企業・自治体に影響が出た事案。茨城県のサイトも一時閲覧できなくなった。
JR東日本とビューカード、メールアドレス漏えいの可能性 IDCFへの不正アクセスで
IDCFへの不正アクセスに伴い、メール配信サービスを経由して、JR東日本とビューカードの会員のメールアドレスが漏えいした可能性を伝えた。
【解説】ムラウチドットコム771万件・東洋紡・ヤマトなど国内サイバー事案11件を入口別に整理
2026年6月から10月に公表された国内の事案11件を、被害の入口ごとに整理した解説記事。手間いらずの不審なメッセージも扱った。
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
IPA、国家サイバー統括室、JPCERT/CCなどが10月上旬に相次いで出した注意喚起と、事業者に求められた3つの点検を整理した。
【解説】焼肉きんぐ・大和証券など不正アクセス11件、10月2〜5日の個人情報漏えいを整理
10月2日から5日に公表された不正アクセス11件を整理した解説記事。焼肉きんぐの公式アプリや大和証券の委託先などを扱った。
【解説】旭化成・損保ジャパンなど不正アクセス5件、10月6〜7日の公表を整理
10月6日から7日に公表された不正アクセス5件を整理した解説記事。旭化成セラピューティクスや損保ジャパンの委託先などを扱った。
【編集部後記】
電話番号、郵便番号、生年月日。ハイホーが廃止したログイン方式の3項目は、電話口で「ご本人確認のため」と聞かれれば、多くの人が答えてしまう情報です。
パスワードを覚えなくても入れる仕組みには、使う人への配慮があります。その親切さを、乗り換えを勧める電話が逆向きに使いました。自分が使っているサービスのうち、生年月日と電話番号だけで入れるものがいくつあるか、一度数えてみてはどうでしょうか。
【用語解説】
ランサムウェア
感染したコンピューターのデータを暗号化して使えなくし、復旧と引き換えに身代金を要求するマルウェア。近年はデータを盗み出したうえで公開をちらつかせる手口も多い。
SaaS
Software as a Serviceの略。ソフトウェアを自社で導入せず、インターネット経由のサービスとして利用する形態。1つのサービスを多くの企業が共同で使う。
適時開示
上場企業が、投資判断に影響する重要な情報を、証券取引所の定める規則にもとづいて速やかに公表すること。
フィッシング
実在の企業や機関を装ったメールやSMS、メッセージで偽のサイトに誘導し、パスワードやカード情報などを入力させてだまし取る手口。
【参考リンク】
IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」（外部）
IDCFクラウドへのランサムウェア攻撃について、東日本リージョンの一部の障害と、495の企業・自治体への影響を伝えた第3報。
JR九州「IDCフロンティア社で発生した不正アクセスに伴うメールアドレス等漏えいの可能性について」（外部）
JR九州Web会員の最大約130万件について、IDCF経由でメールアドレスを含むメールのログデータが漏えいした可能性を公表した。
日本酒類販売「当社運営ECサイト『東京酒粋』におけるメールマガジン配信サービスへの不正アクセスに関するお知らせ」（外部）
ECサイト「東京酒粋」のメールマガジン配信サービスが、基盤のIDCFクラウドへの攻撃の影響を受け、配信を停止したことを公表した。
小平市公式ホームページ 臨時案内ページ（外部）
東京都小平市の臨時案内ページ。システム障害により、市の公式ホームページが閲覧できない状態にあることを市民に案内している。
コミューン「当社サービス『Commune』、『Commune for Work』への不正アクセスによる個人情報の漏えいに関するお詫びとお知らせ」（外部）
非公開コミュニティの招待リンクの悪用と、管理者へのなりすましによる不正アクセスの経緯と、推計約30.7万人への影響を公表した。
スズキ「当社コミュニティサイト『スズキヴィレッジ』への不正アクセスに関するお知らせ」（外部）
四輪の公式コミュニティサイトの会員約3,000名分の情報が、提供事業者のコミューンを経由して閲覧・取得された可能性を公表した。
LINEヤフー「委託先システムへの不正アクセスに伴う情報漏えいに関するお知らせとお詫び」（外部）
「DS.LAB」のユーザー1,750名分の氏名やメールアドレスなどが、委託先システムへの不正アクセスで漏えいしたと公表した。
ディップ「『バイトル』『バイトルNEXT』不正アクセスによる一部メールアドレス漏えいに関するお知らせとお詫び」（外部）
求人サイトの一部機能の仕様の不備を突いた海外からの不正アクセスで、最大3,885,771件のメールアドレスが漏えいしたと公表した。
ココナラ「『ココナラスキルマーケット』への不正アクセスによる個人情報漏洩に関するお詫びとお知らせ」（外部）
会員が登録した履歴書449件と職務経歴書などの書類1,845件が持ち出されたことと、10月8日の検知から遮断までの経緯を公表した。
リゾートトラスト「当社ウェブサイトへの一部不正アクセスによる個人情報漏洩に関するお詫びとご報告」（外部）
ウェブサイトへの不正アクセスで、グループ会員の一部約2万6千件と、ザ・カハラ・ホテル＆リゾート 横浜の予約者約3万6千件の漏えいを公表した。
ハイホー「お客様情報への第三者によるアクセスが確認された事案に関するご報告」（外部）
38,509契約分のマイページが第三者に閲覧された可能性と、電話番号などの組み合わせによるログイン方式の廃止を公表した。
八十二長野銀行「不正アクセスによるお客さま情報漏えいのお詫びとお知らせ」（外部）
職員が受信した不審なメールを起点とする、職員のメールアカウントへの不正アクセスと、35名分のメールアドレスが流出した可能性を公表した。
手間いらず「当社システムへの不正アクセスに関する調査状況および対応について」（外部）
予約管理システム「TEMAIRAZU」への不正アクセスで、最大約445万人の情報が閲覧・取得された可能性を示した適時開示。
佐川急便 お知らせ（2026年10月9日・第4報）（外部）
インターネット貨物システムへの不正アクセスについて、他のシステムやグループ会社への影響がないことや、件数を精査中であることを伝えた第4報。
IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（外部）
国内で漏えいの公表が相次いだことを受けて、IPAが2026年10月9日に事業者向けに出した注意喚起。速やかに実施すべき対策を示す。
【参考記事】
ライバル社に不正アクセス、顧客名簿入手し営業活動 容疑の光回線代理店従業員を逮捕（外部）
ITmedia NEWSの記事。光回線の代理店の従業員2人が、hi-hoのマイページへの不正アクセスなどの疑いで逮捕されたと報じた。
他の通信事業者の顧客情報を不正入手 契約乗り換え営業に利用か 光回線サービス代理店の2人を逮捕（外部）
FNNプライムオンラインの記事。同じ事件について、顧客情報が乗り換えの営業に使われ、約2,500件が解約に至ったと伝えた。
東京・小平市の公式ホームページ ランサムウエア攻撃を受け閲覧ができない状態に 市民の個人情報が流出した可能性（外部）
日テレNEWSの配信記事。小平市のホームページの保守を委託する事業者のクラウド基盤が、ランサムウェア攻撃を受けたと報じた。
宿泊予約管理システム「手間いらず」最大445万人情報漏えいか（外部）
NHKニュースの記事。宿泊予約管理システムの手間いらずが、最大約445万人分の個人情報が漏えいしたおそれがあると発表したことを伝えた。
国家サイバー統括室、不正アクセスによる漏えい事案受け注意喚起 「いつ攻撃受けてもおかしくない」（外部）
ITmedia NEWSの記事。相次ぐ漏えいを受けて、国家サイバー統括室が10月9日に企業や組織へ対策の強化を求めたと報じた。
