2026年9月下旬から、日本国内で企業・組織からの情報流出の公表が相次いでいます。カーシェア、飲食チェーン、証券会社、新聞社、大学と業種を問わず被害が出ていますが、これは単一の攻撃ではありません。性質の異なる複数の攻撃が同じ時期に重なっているのが実態です。本記事では、公表情報と報道をもとに、何が起きているのかを整理します。
（2026年10月9日時点の情報です。各社の調査は継続中で、内容は今後更新される可能性があります）
被害の規模
SmartScopeの集計によると、2026年9月1日〜10月7日に公表された国内の情報漏洩・不正アクセスは120件にのぼり、そのうち23件は公表件数が10万件以上でした。
代表的な大規模事案は次のとおりです。
| 組織・サービス | 公表された規模 | 主な情報 | |---|---|---| | タイムズカー（パーク24） | 約660万アカウント（うち本人確認書類を含むもの約160万） | 会員情報、運転免許証画像など | | 焼肉きんぐ公式アプリ（物語コーポレーション） | 約1,079万件 | 会員番号、氏名、メールアドレス、電話番号 | | ミスターマックス | 最大約173万人 | 会員ID、氏名、メールアドレス、電話番号 | | GMOリサーチ&AI（infoQ） | 最大約95万件 | 氏名、住所など。ポイントの不正交換も発生 | | 旭化成セラピューティクス | 最大約55万人 | 医療従事者の氏名、所属施設など | | 大和証券 | 約11万人 | 氏名、メールアドレス、口座番号など |
攻撃パターン① 公開システムのソフトウェア脆弱性を突いた侵入
大規模流出の主な原因として確認されているのが、インターネットに公開されたシステムの脆弱性です。前述の集計では、10万件以上の事案のうち侵入口が公表された11件のうち9件が脆弱性によるものでした。
- GMOリサーチ&AI：サイトで使っていたソフトウェアの脆弱性から侵入され、会員ポイントがAmazonギフトコードに不正交換される金銭被害も出ました（KAB）。
- ミスターマックス：サービスを構成するソフトウェアの機能を第三者が不正利用し、サーバーに侵入されました。
- デジタル庁（GSS）：VPN機器の脆弱性から侵入され、保守運用担当者のアカウントが使われました。
- LEAN BODY：社内で使っていた分析ツールMetabaseの脆弱性が突かれ、同社は必要な更新ができていなかったことが要因になった可能性が高いと説明しています（公表文）。
セキュリティ対策Labの9月のまとめでは、NetScaler、FortiOS、GitLab、WordPressなどで実際の悪用が確認されたとしています。VPNなどの境界機器、公開Webアプリ、管理画面、BIツールといった「外から届くシステム」の脆弱性管理が、被害の規模を左右したといえます。
攻撃パターン② アカウントの乗っ取り（委託先経由・フィッシングの連鎖）
委託先が狙われたケース
大和証券、シチズン時計、損保ジャパンの3社の事案は、共通の委託先であるスカラコミュニケーションズが提供する問い合わせ管理サービス「i-ask」が原因でした。同社の公表によると、管理サイトに第三者が不正ログインし、サーバーに不正なプログラムが設置されました。ログインに使われた認証情報をどう入手したかは明らかになっていません。自社のシステムが無事でも、委託先経由で顧客情報が漏れる構図です。
メール乗っ取りの連鎖
日本経済新聞社では、社員のMicrosoft 365アカウントが不正ログインされ、約9,000件のなりすましメールが送信されました（公表文）。さらにグループ会社の日経BPでは、日経社員のアドレスから届いたフィッシングメールで従業員の認証情報が盗まれています（公表文）。乗っ取られたアカウントが信頼できる送信元として使われ、次の乗っ取りを生む連鎖になっています。
攻撃パターン③ ランサムウェア
データを暗号化して身代金を要求するランサムウェアの被害も続いています。
- 京王グループ：グループのサーバーが攻撃され、一部システムに障害が発生しました（ITmedia）。
- 大阪公立大学：約500台のサーバーが停止し、バックアップの多くも暗号化されました（セキュリティ対策Lab）。
一方で捜査の進展もあります。世界各国の企業を標的にしてきた国際ハッカー集団「Qilin」の中心メンバーとみられる容疑者が日本国内で拘束され、ドイツ当局に引き渡されていたことが報じられました。この集団はアサヒグループホールディングスへの攻撃にも関与した疑いがあります（NHK）。
攻撃パターン④ 侵入経路が明らかになっていないもの
実は件数として最も多いのがこのグループです。前述の集計では全120件のうち62件で侵入口が公表されておらず、タイムズカーや焼肉きんぐもここに含まれます。調査中のものに加え、「模倣攻撃を防ぐため」として手口を公表しない企業もあります。全体像を語るうえでは、原因不明の事案が多いことに留意が必要です。
なぜ急増しているのか――AIの関与には見方が分かれる
AI悪用を疑う見方
NHKの報道によると、セキュリティー会社はことし7月以降に被害が増えていることを受け、サイバー攻撃にAIが悪用されている可能性が高いと指摘しています（NHK）。
背景を示すデータもあります。Google Threat Intelligence Groupによると、ソフトウェア脆弱性（CVE）の月間公開件数は2026年1月の5,045件から、8月には1万740件へと倍増しました（週刊アスキー）。AIによる脆弱性発見が進み、攻撃側が狙える穴が増えている可能性があります。
対策の遅れを重視する見方
一方、国立情報学研究所の高倉弘喜教授は、攻撃の自動化にAIが使われたことは認めつつも、大きな役割は果たしておらず、主因はむしろ対策の不十分さにあるとの見方を示しています（週刊アスキー）。
実際、VOISINGやLEAN BODYのように「既知の脆弱性への修正が間に合わなかった」と説明する企業が複数あり、この見方と整合します。AIが攻撃を加速させているとしても、突かれているのは基本的な対策の抜けである、というのが現時点での妥当な理解といえるでしょう。
個人ができること
- 本人確認書類が漏れた場合：運転免許証画像などが流出すると、なりすましによる口座開設やクレジットカード発行の恐れがあります。信用情報機関の日本信用情報機構（JICC）やシー・アイ・シー（CIC）に流出を申告する方法があります（北海道新聞）。
- パスワードの使い回しをやめる：あるサービスから漏れた情報が、別サービスへの不正ログインに使われるのを防げます。
- 「お詫び」や「返金」を名乗るメールに注意する：漏えいした企業を装った詐欺メールが出回っています。アバハウスの事案では、実際の注文内容と一致する返金詐欺メールも確認されました（セキュリティ対策Lab）。内容が正確でも、メール内のリンクではなく公式サイトから確認しましょう。
