不正アクセスの公表ラッシュは、古い事案のまとめ出しなのか。95件の日付を並べると、73件は9月以降の事案だった。

2026-10-27 12:42 - ⏱ 約13分で読めます - 👁 … views

9月から続く不正アクセスの公表を95件集め、各社の公表資料に書かれた日付で並べました。 95件のうち73件は、9月以降に起きたか、9月以降に見つかった事案です。前から把握していた事案をこの時期に初めて公表した例は、2件でした。公表そのものは速く、時間がかかっているのは、侵入されてから気づくまでの段階です。

確かめたいこと

9月下旬から、不正アクセスのお詫びが毎日のように出ています。タイムズカー、焼肉きんぐ、ソースネクスト、IDCフロンティア、カプコン、お名前.comなど、名前を聞いたことのあるサービスがほとんどです。10月14日の記事「不正アクセスの公表は3週間で50件」では、件数の大きい10件の中身を調べました。今回は件数を増やし、一件ずつの中身ではなく、日付を見ます。

確かめたいのは、この公表の波が何を表しているかです。

一つは、攻撃がいま実際に増えているという見方です。もう一つは、前から起きていた事案を、他社の発表に紛れる今のうちに出しているだけではないか、という見方です。後者なら、公表の件数ほどには攻撃は増えていないことになります。

調べ方

9月1日から10月27日までに、第1報か大きな続報が出た国内の不正アクセス事案を95件集めました。事案の洗い出しには、ウェステリアの事案一覧、サイバーセキュリティラボのまとめ、報道を使い、日付は各社の公表資料から拾っています。網羅はしていません。

委託先や、ネット経由で使う業務サービス（SaaS）が破られ、その利用企業が個別にお詫びを出した事案は、一つにまとめました。IDCフロンティアの行には、JR東日本、ビューカード、イズミ、マウスコンピューターなどの公表が入っています。設定の誤りで他人の情報が見えてしまった事故（チケプラ、ベネフィット・ワン、OfferBox）は、不正アクセスではないので外しました。

日付は次の5つに分けています。

発生：不正アクセスが行われた期間
最初の兆候：異常の検知、顧客や外部からの連絡
不正アクセスの確認
漏えい・被害の判明
公表：第1報と主な続報

5つに分けたのは、公表資料ではこれらが別の日に書かれていることが多いからです。たとえば政府機関の共通業務基盤GSS（ガバメントソリューションサービス）は、6月25日に大量のファイルアクセスを検知し、報道によればVPN経由の侵入と分かったのは7月9日でした。どの日を「判明」と呼ぶかで、公表までの日数は2週間変わります。資料に書かれていない日付は、推測で埋めずに空欄にしました。

タイムライン

1行が1事案です。行をクリックすると、日付、規模、手口、備考が開きます。並び順を「把握→公表が長い順」にすると、公表に時間がかかった事案が上に来ます。

答え：大半は9月以降の事案だった

95件は、日付から3つに分かれました。

9月以降に起きたか、見つかった事案：73件
8月以前に始まった事案：9件
公表日しか分からない事案：13件

73件のうち、発生日を書いている36件は、いずれも9月9日以降に始まっています。残る37件は発生日がなく、9月以降に兆候や不正アクセスを確認した日だけが書かれています。9月下旬から10月中旬にバーが集まっていることは、チャートからも分かります。

10月9日には、国家サイバー統括室、総務省、経済産業省、金融庁、IPAが相次いで注意喚起を出しました。それでも新しい不正アクセスは止まっていません。注意喚起の日以降に始まったものだけで5件あります。ソースネクスト（10月9日〜）、アルカディアのSpeeCAN RAIDEN（10月11日）、ゴルフダイジェスト・オンライン（10月13日）、大和総研（10月14日）、JETRO（10月14日〜）です。

公表日しか分からない13件は、モンベル、JOGMEC、八十二長野銀行など、公表資料に発生日も把握日も書いていない事案です。いつ起きたか分からないので、まとめ出しかどうかは判定できません。チャートでは「時期不明」で絞り込めます。

8月以前の9件の中身

8月以前に始まった9件は、性質の違う3つに分かれました。

一つ目は、8月以前に第1報を出し、9〜10月に続報を出した3件です。さくらインターネット（第1報8月17日）、Eストアーのショップサーブ（同8月1日）、ムラウチドットコム（同7月24日）がこれに当たります。

二つ目は、始まりは8月以前でも、不正アクセスが9月まで続いていた4件です。楽天ドライブは1月から9月17日まで、日本経済新聞社の社員アカウントは7月下旬から9月30日まで不正アクセスを受けていました。ApplyNowは9月7日まで、Fivotは9月27日まで続いています。

三つ目が、前から把握していた事案を9〜10月に初めて公表した2件です。GSSは最初の検知から公表まで78日、HISのタイ現地法人は2025年12月11日の検知から約300日かかっています。

ただ、この2件も「紛れ込ませ」とは言い切れません。HISは2025年12月29日に個人情報保護委員会へ報告を済ませています。公表が遅れた理由について同社は、ファイルの形式がばらばらで、誰の情報かを手作業で照合するのに時間がかかったと説明しています。GSSの公表が遅れた理由は、今回は確認できていません。

公表は速い

9月以降の事案で、最初の把握から公表までの日数を数えられるのは68件です。中央値は2.5日で、68件のうち47件は3日以内に公表していました。7日以上かかったのは9件で、大起水産の公式アプリ（20日）、集英社のHAPPY PLUS（19日）、イープラス（15日）などです。

これだけ速いのは、個人情報保護委員会への速報の期限が影響しているのではないか、と筆者はみています。速報は、事態を知ってから概ね3〜5日以内に出すことになっています。

ただし、速報は委員会への報告で、世間への公表とは別のものです。報告の日が分かる事案では、公表が後になっています。日本経済新聞社の開発用クラウドの件は10月11日に報告し、公表は10月16日でした。HISは報告から公表まで9か月以上あいています。報告と公表の時期がどの程度重なるのかは、今回のデータでは確かめられません。

遅いのは、気づくまで

発生の終わりと把握の日が両方書かれている事案で比べると、気づくまでに時間がかかった例が目立ちます。ローソンIDは9月12〜14日の不正アクセスに、23日後の10月7日の調査で気づきました（ローソンアプリ予約への不正アクセスは9月17日）。日経クロステックの報道では、常時の監視では検知できず、人手による定期調査で見つかったとされています。

ほかにも、発車オーライネットは発生から24日、Studioは12日、ニッポンレンタカーは8日たってから気づいています。さくらインターネットは、約3年続いた不正アクセスに8月まで気づきませんでした。

兆候をつかんでから不正アクセスと確認するまでにも、日数がかかることがあります。GSSは14日、東京メトロのメトポは5日、セイコーマートは4日でした。セイコーマートでは、9月24日の不正な退会処理1件が最初の兆候でした。

では、誰が最初に気づいたのか。これを書いている事案は29件ありました。

自社の監視・調査：18件
顧客・利用者からの連絡：4件（集英社、infoQ、TEMAIRAZU、お名前.com）
外部機関・事業者からの通知：3件
委託先・提供元からの報告：3件
攻撃者による公開：1件（ユニリタ）

残りの66件は、誰が気づいたかを書いていません。

何をされたのか

手口を公表していない事案は50件で、半分を超えます。焼肉きんぐ、バーガーキング、カプコン、ヤマト運輸、佐川急便など、件数の大きい事案の多くがここに入ります。

手口が書かれた事案では、WebアプリやAPI（システム同士がデータをやり取りする窓口）の脆弱性・仕様の不備が27件で最も多く、認証情報の悪用が9件、ランサムウェアが7件でした。委託先やSaaSを経由して利用企業に広がった事案は22件あります。IDCフロンティア1件で495の企業・自治体が影響を受けたように、お詫びの件数が事案の数より多く見えるのはこのためです。

被害では、漏えいを確認した事案が44件、漏えいの可能性にとどまる事案が42件、システムやサービスが止まった事案が33件でした。ファイルの暗号化を伴ったのは8件です。

日付を並べても終わっていない事案：お名前.com デスクトップクラウド

チャートの中で、まだ進行しているのが、FXの自動売買などに使う仮想サーバー（VPS）「お名前.com デスクトップクラウド」です。

10月20日に不正なプログラムの設置を確認し、21日に全プランのサーバーを止めました。第2報によると、影響の可能性があるサーバーは26,739件です。

24日の第4報では、顧客情報の持ち出しと、攻撃者からの脅迫を公表しました。脅迫には「国内外70を超える証券会社、FX会社等」の口座で不正な注文を続けることなどが含まれます。GMOは要求に応じず、通信記録などを警察に提出して捜査を求めています。見舞金の支払い、損失の補償、代替サービスの提供も決めました。

27日の第8報（9時58分時点）では、攻撃者とみられる者から、27日正午に顧客情報の公開とランサムウェア攻撃を行うと予告されたことを公表しました。利用者には、正午までにバックアップを取ったうえでPCをネットワークから切り離し、電源を落とすよう求めています。

期限直前の第9報（11時59分時点）では、解析を終えた端末からはランサムウェアを含むマルウェアは見つかっていないとしています。ただし解析は続いており、すべての端末の安全を確かめたわけではないと書いています。ランサムウェアの被害を受けた利用者には、同等の性能の新しいPCを渡すとしています。

正午を過ぎた後の第10報（13時55分時点）では、攻撃者とみられる者が、同社と利用者の情報と称するものを公開したことを12時30分に確認したと公表しました。事実と異なる内容が含まれるおそれがあるとしています。ランサムウェアによる攻撃は、この時点では確認されていません。

第11報（14時55分時点）では、公開されたサイトにアクセスした人の情報は攻撃者に取得されていると確認したとして、アクセスも転載も控えるよう求めています。公開された情報に顧客の情報が含まれていると確認できた場合は、本人に個別に連絡するとしています。

公表資料の日付は揃っていない

日付を5つに分けて拾ってみると、公表資料の書き方はばらばらでした。

漏えいが判明した日を書いているのは22件です。そのうち6件は、漏えいを確認する前に第1報を出しています。判明してから公表した16件で数えると、中央値は2日でした。一方、兆候・確認・判明のどの日付も書いていない事案が21件あります。「検知」「確認」「判明」を同じ意味で使っている資料もあります。

ニュースで「○日に判明」と書かれていても、それが異常に気づいた日なのか、漏えいが確定した日なのかで、話は変わります。公表が速いか遅いかを見るなら漏えい判明の日、攻撃にどれだけ気づかなかったかを見るなら発生と最初の兆候の日を起点にする必要があります。

中小企業が自社で確かめること

95件の大半は大企業ですが、ここから中小企業が自社で確かめられることが3つあります。

一つ目は、顧客の情報をどこに預けているかです。22件は委託先やSaaSを経由した事案でした。メール配信、予約、問い合わせ管理、ECの基盤のどれかが破られれば、自社のシステムが無事でも、お詫びを出すのは自社です。使っているサービスと、そこに置いている情報を一覧にしておけば、提供元から連絡が来たときにすぐ範囲を判断できます。

二つ目は、異常に誰が気づくかです。今回は、発生から気づくまでに数週間かかった事案がいくつもありました。自動の監視をすり抜けたローソンIDの不正アクセスも、最後は人が記録を調べて見つけています。管理画面へのログインや大量のダウンロードの記録を、誰がどのくらいの間隔で見るのかを決めておきます。

三つ目は、日付を分けて記録することです。異常に気づいた日、不正アクセスと判断した日、漏えいを確認した日を分けて残しておけば、3〜5日以内の速報も、お客様へのお知らせも書きやすくなります。今回の95件では、どの日付も書いていない公表資料が21件ありました。

注意事項

日付と件数は、各社の第1報と主な続報（お名前.comは10月27日の第11報、ほかはおおむね10月26日まで）に基づいています。調査が進めば変わることがあります。手口・被害・気づいた主体の分類は、公表文の記述をもとに筆者が当てはめたものです。網羅的な一覧ではなく、特に9月上旬の小さな事案は漏れている可能性があります。