最大約650万件の「可能性」、13万6464名で「確定」、117,392件の「アカウント」。10月13日と14日の公表に並ぶ数字は、単位も確かさもばらばらです。同じ「件数」として比べず、各社がどこまで分かっているのかを読み分けると、15件の姿が見えてきます。
2026年10月13日と14日に公表された、国内の不正アクセスなどの事案15件を整理した。公表された数値には、ライドオンエクスプレスの最大約650万件（漏えいの可能性がある総件数で、確定件数ではない）、アエナの最大81万7215人（閲覧された可能性）、カインドオルの13万6464名（漏えいの対象者で確定）、IDAREの12万9659人がある。単位と確度が異なるため、単純には比較できない。原因や挙動には、サーバーへの侵入、外部ソフトやAPIを介した不正アクセス、アカウントの不正利用、アプリの不具合があり、入口の詳細が分かっていない事案も含む。メドレーの「アットリンク」は、不正アクセスの可能性を受けてサービスを一時停止し、個人情報への影響を調べている。
連休明けの10月13日から14日にかけても、国内の組織による不正アクセスの公表が続きました。innovaTopiaでは、10月2〜5日、6〜7日、8〜10日の公表を日付ごとに（関連記事1、関連記事2、関連記事3）、また入口ごとに（関連記事）整理してきました。今回は13日と14日の公表15件を、公表された原因や挙動ごとに並べます。
同じ期間には、IDCFクラウドの基盤を使っていた委託元の公表や、防災メール配信サービス「SpeeCAN RAIDEN」を使う自治体の公表も相次ぎました。これらは別の記事で扱うため、本稿には含めていません（関連記事）。
10月13〜14日の公表一覧
| 公表日 | 組織（サービス） | 原因・挙動（各社の説明） | 件数（各社の表記） |
|---|---|---|---|
| 10月13日 | ライドオンエクスプレスHD（銀のさら・釜寅・すし上等） | 利用するサーバーへの不正アクセス。サーバーの運営会社がランサムウェア攻撃を受けた | 最大約650万件に漏えいの可能性（確定件数ではない） |
| 10月13日 | Fivot（IDARE） | 外部ソフトウェアの脆弱性の悪用 | 129,659人 |
| 10月13日 | NEXT STAGE | BIツールのアカウントの不正利用 | 最大約4万件に漏えいの可能性 |
| 10月13日 | 日本郵便（JP Business Tool Box） | アプリケーションの不具合 | 最大4,807件が閲覧された可能性 |
| 10月13日 | JR九州フードサービス（トイポアプリ） | APIの権限の不備 | 約26,900名に漏えいの可能性 |
| 10月13日 | DCMホールディングス（マイボ） | 会員情報管理システムへの不正アクセス | 419人分の漏えいを確認（精査中） |
| 10月13日 | トレジャー・ファクトリー（カインドオル、第三報） | フィッシングによるスタッフの認証情報の窃取 | 136,464名で確定 |
| 10月13日 | 赤武エンジニアリング（最終報） | ランサムウェア。管理者権限の不正取得 | 従業員125件、取引先の担当者11,587件に漏えいのおそれ |
| 10月13日 | 東日本三菱自動車販売 | 社員のMicrosoft 365アカウントへの不正ログイン | なりすましメール825件を送信（漏えいの件数は調査中） |
| 10月13日 | 京都教育大学 | WordPressの脆弱性（wp2shell）の悪用 | 6サイトを改ざん。個人情報の漏えいは確認されていない |
| 10月14日 | アエナ（ECアプリ） | 機械的な連続アクセスによる不正アクセス | 最大817,215人が閲覧された可能性 |
| 10月14日 | 日テレWands（FaveConnect） | 管理者アカウントへの不正ログイン | 117,392件（アカウント）が閲覧された可能性 |
| 10月14日 | マッチングサイト「Lili」 | サーバーへの侵入（プログラムの不備） | 会員最大約98,256名に流出の可能性 |
| 10月14日 | メドレー（アットリンク。医療機関のサイトに掲載された同社名義の案内） | 不正アクセスの可能性 | 個人情報への影響は調査中 |
| 10月14日 | TOPPANペイメンツ | 不正アクセスの調査結果 | 漏えいは発生していないと判断 |
サーバーへの侵入
ライドオンエクスプレスホールディングスは、宅配の「銀のさら」「釜寅」「すし上等」の公式サイトとアプリに登録した顧客の情報が、最大約650万件漏えいした可能性があると公表しました。確定した件数ではないとしています。10月5日以降、利用するサーバーへの第三者による不正アクセスを検知し、10月7日早朝にはシステム障害が起きています。顧客向けの第3報は、サーバーの運営会社からランサムウェア攻撃を受けたと発表と報告を受けたと説明していますが、運営会社の名前は書いていません。対象は氏名、住所、電話番号、メールアドレス、生年月日、パスワードのハッシュ値、注文履歴などで、クレジットカード情報は保有していないため対象外です。公式サイトとアプリからの注文は止まったままで、電話や店頭、出前館、Uber Eatsでは注文できます。
マッチングサイト「Lili」は、7月11日から10月6日まで第三者にサーバーへ侵入され、10月11日夜にも別の経路から再侵入されたと公表しました。再侵入の経路は12日午前3時20分頃までにふさいだとしています。攻撃者は会員のパスワードを読み取るプログラムを置いており、パスワードは平文で漏れた可能性が高いとしています。流出の可能性があるのは会員の最大約98,256名で、うち最大7,261名は本人確認書類の画像も含まれます。サイトを訪れた人のパソコンに、偽の「Cloudflare」の確認画面を表示し、ターミナルでコマンドを実行させようとする仕掛けも置かれていました。運営側は10月14日に全会員のパスワードを無効にしています。
赤武エンジニアリングは、8月に起きたランサムウェア被害の最終報を出しました。攻撃者は何らかの方法で管理者権限を不正に取得し、ランサムウェアを配布したとみられます。外部へ送信した明確な痕跡はないものの、従業員125件と取引先の担当者11,587件について「漏えいのおそれ」としています。
京都教育大学は、7月にWordPressの脆弱性（wp2shell）を悪用され、侵入用のファイルを置かれて6つのサイトが改ざんされたと10月13日に公表しました。9月4日に復旧しています。サーバーは個人情報を持っておらず、漏えいも確認されていないとしています。
会員サービスへの不正アクセス
アエナは、10月13日5時58分にシステムのログを解析して、ECアプリの会員のマイページへの機械的な連続アクセスによる不正アクセスを確認しました。最大817,215人の会員情報が閲覧された可能性があり、氏名、住所、電話番号、メールアドレスのほか、クレジットカード番号の下4桁と有効期限、名義も対象です。カード番号の全桁とセキュリティコードは保持していないとしています。詳しい原因は調査中です。
DCMの会員サービス「マイボ」では、一部の会員情報の外部への漏えいを確認しました。対象は現時点で419人分で、会員番号、メールアドレス、保有ポイント数などが含まれます。人数は引き続き精査しています。9月21日に通常と異なる多数のアクセスがあり、10月8日に、サイバー攻撃の注意喚起を受けてアクセス記録を点検したことで不正アクセスに気づいたとしています。
外部のソフトやAPIを介した不正アクセス
キャッシュレスアプリ「IDARE」は、カスタマーサポートなどで使っていた外部ソフトウェアの脆弱性を悪用され、8月10日から9月27日にかけてデータベースの情報を複数回取得されたと公表しました。129,659人の電話番号、メールアドレス、生年月日、残高、取引履歴などが対象です。ソフトウェアの名前は書かれていません。ログインパスワードや、カードと口座の全桁の番号は対象外です。
NEXT STAGEは、社内で使うMetabase社のBIツールで、第三者がアカウントを不正に利用して情報を閲覧できる状態だったと公表しました。漏えいした可能性のある情報は、最大約4万件です。同社は、悪用された具体的な脆弱性の番号や侵入経路までは公表していません。Metabaseをめぐっては、JPCERT/CCが10月8日の注意喚起で製品名を挙げて対策を求めていました（関連記事）。
JR九州フードサービスは、トイポ社が提供するアプリで、一部のAPIの権限の不備により、第三者が他のユーザーの情報を取得できる状態だったと公表しました。同社の店舗で登録した約61,500名のうち、約26,900名の情報が漏えいした可能性があります。アプリ全体の件数は、同社の公表には書かれていません。
アカウントの不正利用
日テレWandsは、ファンクラブなどの基盤「FaveConnect」で、管理者アカウントへの不正ログインがあったと公表しました。10月11日から13日にかけて、「高嶺のなでしこ」の公式ファンクラブと「HEROINES」の公式サイトの117,392件（アカウント数）の情報が閲覧された可能性があります。データベースのサーバーへの直接の侵入は確認されていないとしています。
東日本三菱自動車販売は、社員のMicrosoft 365アカウントへの不正ログインで、なりすましメール825件が送られたと公表しました。825件は送信したメールの数で、漏えいした個人情報の件数は調査中です。
カインドオルの第三報は、漏えいした個人情報の対象者を136,464名で確定しました。原因は、フィッシングメールでスタッフのアカウントの認証情報を盗まれたことです。親会社のトレジャー・ファクトリーによると、カインドオルは二段階認証の未設定などを管理上の課題に挙げ、全スタッフのアカウントにパスキー方式の二段階認証を導入しました。
アプリの不具合
日本郵便の「JP Business Tool Box」では、アプリケーションの不具合で、送り状注文機能に登録された発注元の情報を、ほかの利用者が閲覧できる状態になっていました。最大4,807件が閲覧された可能性があり、ダウンロードなどの形跡は確認されていないとしています。
調査中のもの、漏えいなしと判断したもの
まつしま病院のサイトに掲載されたメドレー名義の案内によると、産婦人科などで使われる「アットリンク」は、10月11日に第三者による不正アクセスの可能性を確認しました。原因と影響範囲の調査などのため、15日0時からアプリ、Web予約サイトと周辺のサービスを一時停止すると案内しています。使えなくなるのは、最終月経日の登録・変更、デジタル診察券の表示、オンライン決済、問診への回答、マタニティダイアリーの閲覧などです。個人情報への影響の有無は、外部の専門機関の協力を得て調べています。10月15日午前に確認したメドレーのニュースリリースとお知らせの一覧では、本件の案内は見当たりませんでした。
TOPPANペイメンツは、不正アクセスの調査結果として、データベースの構成情報が参照された痕跡はあるものの、顧客の個別の情報へのアクセスはなく、漏えいは発生していないと判断したと公表しました。
15件を並べると、確認された原因や挙動は一つではありません。DCMは、注意喚起を受けて10月8日にアクセス記録を点検し、9月21日の不正アクセスに気づいたと説明しています。10月7日から9日にかけて、国の機関などは相次いで注意喚起を出しました（関連記事）。DCMの公表は、注意喚起を受けた点検が、不正アクセスの発見につながった例です。
【関連記事】
【解説】手間いらず・バイトル・JR九州など不正アクセス14件、10月8〜10日の公表を整理
【解説】ムラウチドットコム771万件・東洋紡・ヤマトなど国内サイバー事案11件を入口別に整理
【解説】旭化成・損保ジャパンなど不正アクセス5件、10月6〜7日の公表を整理
【解説】焼肉きんぐ・大和証券など不正アクセス11件、10月2〜5日の個人情報漏えいを整理
JPCERT/CC、国内で相次ぐ不正アクセスに注意喚起 4ケースのうち製品名はMetabaseのみ
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
防災メールの配信基盤「SpeeCAN RAIDEN」に不正アクセス、自治体は配信を止めるか続けるかで分かれる
【編集部後記】
15件の中で、手口として一番引っかかったのはLiliの事案です。サイトを開いた人に、偽の「Cloudflare」の確認画面を出し、ターミナルを開いてコマンドを実行するよう求めていました。
人間かどうかを確かめる画面は、ふだんから目にしています。その見慣れた画面が、利用者自身の手で不正なコマンドを動かさせる入口になりえます。確認画面が「ターミナルに貼り付けて実行して」と言ってきたら、それは確認ではありません。
【用語解説】
ランサムウェア
感染したコンピューターのデータを暗号化して使えなくし、復旧と引き換えに金銭を要求する不正プログラム。データを盗み出したうえで公開すると脅す手口もある。
API
アプリやシステムどうしが、データや機能をやりとりするための窓口。権限の確認が不十分だと、本来見られないはずの他人の情報を取得できてしまうことがある。
BIツール
社内のデータを集計し、グラフや表で見える形にする分析用のソフトウェア。多くのデータベースにつながるため、アカウントが悪用されると広い範囲の情報が閲覧されうる。
フィッシング
実在する企業やサービスを装ったメールや偽サイトで、IDやパスワードなどの認証情報を入力させて盗み取る手口。
二段階認証、パスキー
二段階認証は、パスワードに加えて別の手段で本人を確かめる仕組み。パスキーは、端末に保存した鍵と生体認証などを組み合わせる認証方式で、偽サイトに入力させる手口に強いとされる。
WordPress
世界で広く使われている、Webサイトを作るための無料のソフトウェア。本体やプラグインの脆弱性を放置すると、サイトの改ざんなどにつながる。
【参考リンク】
ライドオンエクスプレスホールディングス「サイバー攻撃による個人情報漏えいの可能性に関するお詫びとお知らせ『銀のさら・釜寅・すし上等』公式サイト・公式アプリ停止のお知らせとお詫び（第3報）」（外部）
「銀のさら」「釜寅」「すし上等」の顧客向けの第3報。最大約650万件に漏えいの可能性があり、確定した件数ではないとしている
IDARE「「IDARE」における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（外部）
外部ソフトウェアの脆弱性を悪用され、129,659人の電話番号や残高、取引履歴などを取得されたと説明したIDAREのお知らせ
NEXT STAGE「サイバー攻撃による不正アクセス及び情報漏えい等に関するお知らせとお詫び」（外部）
BIツールのアカウントの不正利用で、最大約4万件の情報が漏えいした可能性があるとした適時開示。発覚は10月9日としている
日本郵便「「JP Business Tool Box」におけるお客さま情報の漏えいのおそれについて」（外部）
アプリの不具合で、送り状注文機能に登録された発注元の情報が最大4,807件、ほかの利用者に閲覧された可能性があると公表した
JR九州フードサービス「株式会社トイポにおける不正アクセスに伴う当社お客さま情報の漏えいについて」（外部）
トイポのアプリのAPIの権限の不備により、同社の店舗で会員登録した約26,900名の情報が漏えいした可能性があると公表した
DCMホールディングス「会員サービス「マイボ」における不正アクセスによる会員情報の漏えいに関するお詫びとお知らせ」（外部）
注意喚起を受けた点検で不正アクセスに気づき、419人分の会員情報の漏えいを確認したと説明。人数は現在も引き続き精査している
トレジャー・ファクトリー「当社連結子会社における不正アクセスによる個人情報漏えいに関する調査結果及び再発防止策について（第三報）」（外部）
カインドオルの漏えいの対象者を136,464名で確定。原因はフィッシングで、パスキー方式の二段階認証を新たに導入したとした
赤武エンジニアリング「ランサムウェア感染によるシステム障害発生のお知らせとお詫び（最終報）」（外部）
管理者権限を不正に取得されたとみられるランサムウェア被害の最終報。従業員と取引先の担当者の情報に漏えいのおそれがあるとした
京都教育大学「本学Webサーバーへの不正侵入に伴うWebページの一部改ざんについて」（外部）
WordPressの脆弱性を悪用され、6つのサイトが改ざんされたと説明。サーバーは個人情報を持たず、漏えいもないとしている
アエナ「外部からの不正アクセスによるお客様情報流出の可能性について」（外部）
会員のマイページへの機械的な連続アクセスにより、最大817,215人の会員情報が閲覧された可能性があると公表したお知らせ
日テレWands「「FaveConnect」への不正アクセスによる個人情報閲覧の可能性について」（外部）
管理者アカウントへの不正ログインで、2つのサービスの117,392件のアカウントの情報が閲覧された可能性があると公表した
Lili運営事務局「【重要】不正アクセスによる個人情報の漏えいの可能性について」（外部）
約3か月のサーバーへの侵入と再侵入、平文のパスワードの流出の可能性、偽のCloudflare画面の表示を説明したお知らせ
まつしま病院「お知らせ」（外部）
10月14日に、アットリンクの一時停止についてのメドレー名義の案内を掲載した、医療機関、まつしま病院のお知らせの一覧ページ
TOPPANペイメンツ「【重要】不正アクセスに関する調査結果および今後の対策について」（外部）
データベースの構成情報が参照された痕跡はあるが、顧客の個別の情報へのアクセスはなく、漏えいは発生していないと判断したと公表した
【参考記事】
産婦人科向けシステム「アットリンク」への不正アクセスの可能性についてまとめてみた（外部）
piyolog。アットリンクの停止を告知した医療機関の一覧や、停止したサービスの範囲、提供元の経緯を整理してまとめた記事
