2026年秋の情報漏えいは、会社が使うサービスから広がった。公表された85件を読む

01漏れた情報の件数は、10か月で前の年の7.6倍になった

まず、全体の大きさを確かめる。

調査会社のMM総研は、国内の組織が公表した、サイバー攻撃による漏えい（おそれを含む）を、2022年から事案ごとに数えている。2026年11月4日に出た集計では、2026年は10月末までに661事案、漏えいした情報は約3億7,600万件になった。2025年は1年で428事案、4,953万件だった。事案の数は約1.5倍だが、漏れた情報の件数は、10か月で前の年の約7.6倍になった。

しかも、その大半は夏以降に集中している。2026年の漏えい情報件数の約94%は、7月以降に公表された事案によるものだ。

10月は、事案が増えただけではない。MM総研の集計で、10月の事案は193件と、9月の81件から倍以上になった。そして、1件あたりの大きさが変わった。事案を漏えいの件数の順に並べたときの真ん中の値（中央値）は、9月の1,500件から、10月は約2.9万件になった。100万件を超える事案は、10月だけで30件あった。

つまり、一部の巨大な事案だけが大きかったのではなく、ふつうの事案が大きくなった。なぜそうなったのかは、次の節以降で見ていく。

なお、ANNの233件とMM総研の193件は、数え方が違う。MM総研は、同じ委託先への攻撃で複数の組織が公表したものを1事案にまとめ、誤送信や紛失などの人のミスを除いている。どちらの数え方でも、10月はそれぞれの集計で最も多い月だった。

02報じられる件数は、単位が違うので足し算できない

一覧を作ると、すぐに困ることがある。件数の単位が、事案ごとに違うのだ。Eストアーは名寄せした人数、佐川急便は荷物ごとの情報の件数、タイムズカーはアカウントの数、アララはメールアドレスの数で発表している。

佐川急便の件数は、2026年6月下旬から9月30日までの約100日間に扱った荷物の情報で、同じ人が何度も送れば、そのたびに数えられる。アララの件数は、配信先のメールアドレスの数で、一人が複数のアドレスを持っていることもある。Gyazoの約2,362万件には、登録していない匿名のアカウントも含まれる。さらに、一人の人が、宅配便の届け先としても、通販の会員としても、ゲームのIDとしても数えられている。

だから、85件の件数を足して「何億人の情報が漏れた」と言うことはできない。言えるのは、自分の情報が、どれか一つには入っている可能性が高いということだ。

03最大規模の漏えいは、会社がメールの配信を任せた先で起きた

単位が違うので、件数で正確な順位は付けられない。それでも、数千万件の規模の事案を並べると、ふだん名前を聞かない会社が入っている。

数字がいちばん大きいアララは、企業や自治体の代わりにメールマガジンやお知らせを送る「メール配信サービス」の会社だ。約4,786万件のユミルリンクの「Cuenote（キューノート）」も、同じメール配信サービスである。Eストアーは、ネットショップを開くための仕組みを多くの店に貸している。

こうした会社が破られると、そこにデータを預けていた何十、何百もの組織が、一斉に「漏えいのおそれ」を公表することになる。アララの契約企業は最大約380社と推計され、日経クロステックが11月9日までに確かめただけでも、自治体を除いて少なくとも116件の公表が出た。モスフードサービス（約752万件）も、セガ（約220万件）も、内閣府（約6.3万件）も、神戸市（約2.1万件）も、自分のシステムが破られたのではなく、アララに預けたデータが漏れた。これらの件数は、アララの約8,133万件の内数だ。

特に目立つのが、メール配信サービスだ。セキュリティの事故を記録しているpiyologのまとめによると、10月11日から27日までの16日間に、5つのメール配信サービスで侵入が見つかった。

5つの侵入が同じ攻撃者によるものかどうかは、どの会社も明らかにしていない。プログラミング言語PHPの重大な脆弱性の修正版が出た10月21日の夜と重なって見えるが、SpeeCAN RAIDEN、Cuenote、ブラストメールの3つはそれより前に始まっていて、PHPとの関係を挙げた会社もない。ただ、狙われた場所には共通点がある。メール配信サービスには、多くの組織の顧客のメールアドレスが一か所に集まっている。攻める側から見れば、一つの入口を破るだけで、何百もの組織のデータに届く。

編集部の一覧でも、85件のうち少なくとも11件は、公表した組織が預けた先（委託先、メール配信、クラウド、予約システム）で起きたものだった。モス、セガ、内閣府、神戸市、小学館（メール配信）、JALとANA（航空予約のAmadeus）、第一興商（委託先のパソコン）、ライドオンエクスプレス（サーバーの運営会社）などだ。ほかに、ユミルリンクやIDCフロンティアのように、他社にサービスを貸す側が破られたものが少なくとも9件ある。

これは、MM総研の業種別の集計にも表れている。2026年に事案が最も増えた情報通信業では、10月末までの176件のうち58件が、他社向けのクラウドサービス（SaaS）や委託先のシステムが破られたものだった。2025年は56件のうち5件だった。

もちろん、自社のシステムが直接破られた事案も多い。焼肉きんぐ、バーガーキング、松屋、ミスターマックス、無印良品といった外食や小売の公式アプリからの漏えいは、9月から10月に集中した。ただ、これらに共通の開発会社や会員の仕組みがあるとは、どこも報じていない。

Data is CITYは、会社のシステムを一つの街として見る。街にたとえれば、自社のビルの戸締まりをいくら固めても、合鍵を預けた管理会社が破られれば、部屋に入られてしまう。2026年の秋に起きたのは、その管理会社への侵入が、数週間のうちに何件も重なったことだ。

04漏れた情報は、詐欺のメールとリスト型攻撃の材料になる

漏えいは、データが外に出たところで終わらない。

メール配信サービスが乗っ取られると、攻撃者はそのサービスから、本物の送信元のまま詐欺のメールを送れる。アララでは10月28日から30日にかけて、クレジットカード会社を装ったメールが、アララのアドレスから最大約713万通送られた。SpeeCAN RAIDENでは10月13日に約142万通、ワイメールでは11月3日までに約134万通の不審なメールが送られている。ふだんお知らせが届くアドレスから来るため、見分けにくい。

もう一つは、パスワードだ。MM総研の集計では、2026年に漏えいしたパスワードやログインIDなどの認証情報は、10月末までに延べ約1億6,100万件で、2025年の約31倍になった。ユミルリンクでは、2月に閉鎖したサービスのパスワード約42万件が、暗号化されないまま漏れていたことが11月11日に分かった。やめたサービスのデータが、消されずに残っていたことになる。

漏れたメールアドレスとパスワードの組み合わせは、ほかのサービスに次々とログインを試す「リスト型攻撃」に使われる。同じパスワードを使い回していれば、漏れていないはずのサービスにも入られる。11月9日には、良品計画が、無印良品のネットストアでリスト型攻撃による約27万件の漏えいのおそれを公表した。

漏えいが詐欺のメールを生み、詐欺のメールとリスト型攻撃が次の漏えいを生む。一つひとつの事案を別々に見ていると、この輪が見えない。

05最初に発表された数は、続報で大きく変わる

もう一つ、一覧を作って分かったことがある。数字が、あとから大きく動くのだ。

ユミルリンクは、10月19日の第一報で延べ約900万件と試算したが、10月26日の第二報では延べ約5,163万件に増え、11月11日に延べ約4,786万件を確定値とした。アララは、10月29日の第一報では「漏えいは確認されていない」としていたが、11月6日の第三報で約8,133万件の漏えいを公表した。

攻撃が起きてから公表されるまでに、数か月かかることもある。一覧の中でも、ニチレイは7月の攻撃を9月18日に、Eストアーは5月から8月の攻撃を10月16日に最終報告した。

委託先の事故では、預けた側の会社が知るのはさらに後になる。セガは、11月1日にアララから「外部からアクセスされた可能性がある」と連絡を受け、3日に持ち出しの確認を知らされ、9日に公表した。日経クロステックの取材では、最初に「対象外」とされていた会社で、後から漏えいが確認された例もあった。

だから、最初の発表で「うちは関係ない」「件数は少ない」と思っても、続報を見続ける必要がある。

06会社が確かめることは、データを預けている先の一覧から始まる

この秋の事案から、会社が学べることは多い。中でも、すぐに始められることが4つある。

一つ目は、顧客のデータを預けている外のサービスを、一覧にすることだ。メールの配信、予約の管理、会員アプリ、ネットショップ、アンケート、キャンペーンの応募、採用の管理。担当の部署ごとに契約していて、会社として全部を知っている人がいない、ということは珍しくない。

二つ目は、預ける項目を必要なものだけにすることだ。アララで漏れた約8,133万件のうち、氏名や生年月日などメールアドレス以外の情報も含むものが約4,704万件あった。メールを送るだけなら、メールアドレスのほかは要らないはずだ。

三つ目は、やめたサービスのデータを消してもらうことだ。ユミルリンクで漏れたパスワードは、2月に閉鎖したサービスのものだった。契約が終わったら、データが消されたことを確かめる。

四つ目は、委託先から連絡が来たときの手順を決めておくことだ。誰が受け、何を確かめ、いつ顧客と個人情報保護委員会に知らせるか。初報の数字が変わることを前提にしておく。

4つを社内の会議でそのまま使えるように、確認表にした。表はチェック欄、裏は預け先を部署ごとに書き込む一覧と、委託先から連絡が来たときの手順の欄だ。

一人ひとりにできることもある。パスワードを使い回さないこと、使えるサービスでは二段階の認証を使うこと。そして、お知らせがいつもの会社のアドレスから届いても、メールのリンクからログインせず、公式のアプリやブックマークから開くことだ。

079月1日から11月11日までに公表された主な事案の一覧

記事の分析のもとにした資料として置く。85行には、同じ事案の続報（ソニー生命）と、同じ会社の別の事案（良品計画）が含まれる。【預けた先】は、公表した組織が預けた先（委託先・メール配信・クラウドなど）で起きたもの、【貸す側】は、他社にサービスを貸す側が破られたもの。件数は公表した時点のもので、漏えいが確かめられた数と、おそれのある最大の数、レコードの数、アカウントの数が混ざっている。足し合わせることはできない。

9月

10月

11月（11日まで）