不正アクセスの公表は3週間で50件。件数の大きい10件のうち3件は、情報を預けた先が破られていた。

9月20日から10月9日までに公表された国内の不正アクセスのうち、件数の大きい10件を調べました。 10件のうち3件は、委託先やクラウドなど、情報を預けた先が破られたものでした。

自社のシステムが無事でも、預け先が破られれば、お詫びを出すのは自社です。 クラウドのデータは、自分でバックアップを取っていなければ戻らないことがあります。

この3週間に公表された主な事案

ウェステリアの一覧では、9月20日から10月9日までに50件が公表されています。 1日に2件以上です。 そのうち、公表された件数が大きい10件を、次の表にまとめました。 ランサムウェアで業務が止まった事案は、後の節で別の表にしています。

タイムズカーは、表にない9月下旬のセイコーマートやヤマト運輸などとあわせて、前回の記事にも書きました。

アプリの機能を、想定外の使い方で突かれた

ローソンは、アプリで本人に情報を表示する仕組みを突かれました。 ディップは「仕様の不備」を突かれたと書いています。

いちばん具体的なのは skyticket です。 バスの予約完了ページが、ログインしなくても開ける状態になっていました。 8月3日から10月1日まで機械的に閲覧され、約12,000件の予約が見られています。 別の経路では、管理機能を不正に操作され、そこから約1,464万件のデータに入られました。

3社とも、原因に挙げているのは、もともとある機能の作りです。 作った側が想定していない使い方で、機能を呼ばれています。

JPCERT/CCの10月8日の注意喚起にも、同じ種類の手口が並んでいます。

• 公開されているスマホアプリを解析して、APIの接続先とキーを割り出す
• 画面からは実行できない内部のAPIを、直接呼び出す
• 認証の情報を外したり崩したりして、応答の違いを見る

スマホアプリは利用者の端末に配られるので、中身は読めます。 画面にボタンがなくても、サーバーにAPIがあれば、呼べば動きます。

情報を預かる側が破られた

第一興商は、委託先の日本コロムビアグループで、従業員のPC1台がマルウェアに感染しました。 そのPCに、約872万件の個人情報が一時的に置かれていました。

大和証券は、問い合わせの管理を任せていた委託先のサーバーに入られました。 大和証券自身のシステムへの不正アクセスは、確認されていません。 それでも、お詫びを出し、顧客に連絡するのは大和証券です。

手間いらずは、宿泊施設向けに予約管理のSaaSを提供しています。 9月21日ごろから、宿泊施設の予約者に、予約の内容を知っているような詐欺のメッセージが届き始めました。 カード情報の再入力や支払いを求めるものです。 手間いらずは、自社への不正アクセスが原因の可能性があるとしています。

クラウド事業者のIDCフロンティアは、ランサムウェアで495の企業・自治体に影響が出ました。 JR東日本もその1社で、メール配信に使っていたサービスから、えきねっとなどのメールアドレス等が漏れた可能性があります。

10件のうち、自社ではなく預けた先が破られたのは、大和証券、第一興商、JR東日本の3件です。 手間いらずとIDCフロンティアは、預かる側そのものが破られた事案です。 IDCフロンティアは、業務が止まった事案として、次の節の表に入れています。

ランサムウェアで業務が止まった

この3週間に、ランサムウェアで業務が止まった主な事案は次の3件です。

京王電鉄グループは9月26日、ランサムウェアで一部の営業システムが止まりました。 鉄道の運行には影響していません。

大阪公立大学は10月2日に約500台のサーバーが止まり、10月9日まで対面授業を休みました（共同通信）。

IDCフロンティアは、攻撃を受けた区画のデータについて、取り出しも復元も難しいと発表しています。 戻せるのは、顧客が自分で取っていたバックアップだけです。

ランサムウェアの入口は、もうメールの添付ファイルが中心ではありません。 警察庁の2026年上半期の集計では、被害組織へのアンケートで、約5割がVPN機器から入られています。 被害の報告は123件で、半期として過去最多です。

海外でも

デンマークでは、国民の登録簿に照会できる民間企業の権限が悪用され、約880万人分の氏名や住所が漏れました（The Copenhagen Post）。 英国の通販サイト ASOS は、顧客への連絡に使う外部の基盤に入られたと開示しました。アプリにも不正な通知が届いています（TechCrunch）。

書いている最中に、身近なところでも

この記事を書いている最中の10月13日、身近な問題が上がってきました。 住んでいる静岡県内でも、自治体の防災メールが止まりました。

配信を請け負っていたのは、大阪府箕面市のアルカディアです。 同社の「SpeeCAN RAIDEN」は、自治体が防災情報をメールや電話で一斉に送るためのサービスです。 10月11日16時30分に不審な動きを見つけ、12日3時ごろに侵入経路を塞いだと発表しています。

13日11時には、一部のサービスを緊急停止しました。 漏えいした可能性があるのは、最大でメールアドレス約313万6千件、電話番号約10万5千件です（日本経済新聞）。

静岡県内では、7市町のサービスに影響が出ています（静岡朝日テレビ、13日20時時点）。

私が住む三島市の「みしまるホッとメール」は、この7市町に入っていません。 ただ、市の登録ページにある登録用アドレスは raiden3.ktaiwork.jp で、アルカディアが対象に挙げた6つのドメインの1つです。 この段落を書いた時点では、市のページに停止のお知らせは出ていませんでした。 その後、市は14日に発表しています（下の追記）。

浜松市の防災ホッとメールは、登録先が sg-p.jp で、別の事業者のサービスでした。 登録用アドレスの@から後ろを見ると、どこのサービスか見当がつきます。

13日のうちに配信の停止や漏えいの可能性を公表した自治体は、次の表のとおりです。 まとめサイトのセキュリティ対策Labが挙げた23件に、報道で名前が出た自治体を加えています。 件数は漏えいの可能性がある規模で、確定した数ではありません。

住民だけではありません。 上越市は消防団員や市職員の氏名と連絡先を、大分県は職員向けの1万269件を、対象に挙げています。 職員の参集や安否確認の連絡にも、同じサービスが使われていました。 学校や幼稚園向けの「ライデン・スクール」も止まっています（日本経済新聞）。

市役所のシステムが無事でも、配信を任せた先が破られれば、住民の連絡先は漏れます。 先に書いた「情報を預かる側が破られた」と同じ形です。

10月14日追記

アルカディアは13日18時47分に詳細の報告を出し、14日10時40分に更新しました。

漏えいした可能性がある情報には、メールアドレスと電話番号のほかに、FAX番号約1万5千件、連絡先の名前、履歴として保存されていた配信の本文も含まれます。 件数は推定で、調査は続いています。 決済の情報は扱っていないので、対象外としています。

止めたのは、raiden3.ktaiwork.jp と s2.ktaiwork.jp を使う顧客のサービスです。 ほかのサーバーは点検し、不正なプログラムがないことを確かめたとしています。

14日の更新では、自治体などが登録者に送るための、二次被害への注意喚起の文案が加わりました。 不審な連絡に氏名・住所・パスワード・口座情報を伝えないこと、身に覚えのない送信元のURLや添付ファイルを開かないこと、という内容です。

横須賀市は13日の発表で、すでに不審な迷惑メールが届いていることを確認したと書いています。

セキュリティ対策Labの一覧は14日に更新され、少なくとも72の自治体が並んでいます。 上の表は13日時点のものです。

三島市も14日、「みしまるホッとメール（市民メール）サービスの不正アクセスについて」を出しました。 お知らせに運営会社の名前はありませんが、登録用アドレスは先に書いた raiden3.ktaiwork.jp です。 運営会社がメールシステムを緊急停止したため、市からの配信も止まっています。 漏れたおそれのある情報には、登録者の受信アドレスが含まれる可能性があるとしています。 件数や再開の時期は書かれていません。 受信アドレスあてに架空請求などが届くおそれがあるとして、見覚えのない相手からのメールは、URLや添付ファイルを開かずに削除するよう呼びかけています。

ニュースになるのは一部だけ

大きく報じられたのは、タイムズカーや焼肉きんぐなど、件数の大きい数社です。 50件の一覧には、名前を知らない会社や大学が多く並んでいます。

不正アクセスによる漏えいは、1人分でも、おそれの段階でも、個人情報保護委員会への報告が義務です（個人情報保護委員会）。 本人への通知も義務です。 ただ、世間への公表は義務ではありません。 表に出ているのは、起きている件数の一部です。

10月8日から9日にかけて、JPCERT/CC、国家サイバー統括室、IPA、金融庁などが注意喚起を出しました（piyolog のまとめ）。

中小企業が、今週確かめておくこと

自社でシステムを作っていなくても、顧客の情報はどこかに預けています。

1. 顧客の個人情報を、どこに預けているか

予約システム、問い合わせフォーム、会員アプリ、メール配信、クラウドのストレージ。 この一覧がないと、預け先の事故が報じられても、自社が関係あるのか判断できません。

2. アプリやWebを外注しているなら、委託先に聞くこと

画面にない機能（非公開のAPI）にも、ログインと権限の確認があるか。 同じ相手からの大量の要求を、止める仕組みがあるか。 使わなくなった認証用のトークンや管理機能を、止めているか。

3. クラウドのデータを、自分でもバックアップしているか

クラウド事業者ごと止まると、事業者のバックアップには手が出せません。

4. VPN機器を、最新にしているか

ファームウェア、退職者のアカウント、多要素認証。 ランサムウェアの入口の約5割は、ここです。

5. 漏れたときに、誰に何を連絡するか

個人情報保護委員会への報告、本人への通知、問い合わせ窓口。 連絡文の雛形を先に作っておくと、当日に迷うことが一つ減ります。

件数の大きい10件のうち3件は、自社ではなく、情報を預けた先が破られていました。 預け先を一覧にしておけば、事故が報じられたその日に、自社が関係あるかを判断できます。

• セキュリティ
• 中小企業
• 不正アクセス
• ランサムウェア