本文へ移動
MONTHLY DIGEST2026年9月からのサイバーセキュリティ
ハッキングと情報漏洩。
公開情報から、
何が起きたのか。
企業・団体の情報漏洩、ランサムウェア、AIを使う攻撃。
主要ニュースを整理し、被害と確認状況を出典付きで伝えます。
主要インシデントを読む
イメージ画像収録インシデント
72事案
主要事案を選定・全件網羅ではありません漏洩・不正閲覧を確認
33事案
可能性のみの事案は含みません国内・海外の事案
50国内/22海外
別途、AI関連の2報告を収録タイムズカーの本人確認書類
約160万
漏洩したアカウント数LATEST
外部委託先が管理するサーバーへの不正アクセスにより、最大約11万人の顧客情報が漏洩した可能性があると公表しました。
漏洩の可能性国内金融
民間企業に認められたCPR照会権限が悪用され、約880万人分の氏名・住所・CPR番号などに第三者が不正アクセス。企業のアクセス権限を停止し、当局と調査を進めています。
不正アクセス確認海外行政・公共
会員管理システムへの不正アクセスにより、会員番号・登録名・メールアドレス・電話番号1,078万8,963件が漏洩したと公表しました。
漏洩確認国内飲食
ニュースの、その先へ
技術とAIを、作者の視点からもう少し深く。
インシデント一覧
公表・続報の日付順に掲載。組織名を選ぶと、被害の詳細と出典を確認できます。
該当するニュースがありません
検索語や絞り込み条件を変えてお試しください。
74件中10件を表示
日付は発生日ではなく公表・続報日です。AI関連報告は事件数に含めていません。
ALLALARM CYBER JOURNAL
このサイトと編集方針
2026年9月1日〜10月6日に公表・続報・報道された主要ニュースを整理した、独立したニュース要約サイトです。
対象と情報の確認
国内50事案、海外22事案とAI関連2報告を収録しています。すべての事件を網羅した件数ではなく、期間内に攻撃が始まった事案だけの一覧でもありません。
企業・機関の公式発表を優先し、報道に基づく事項は媒体名を記載しています。「漏洩確認」「不正閲覧確認」「漏洩の可能性」「業務障害」を区別し、各事案に出典を付けています。情報基準日は2026年10月6日です。一次情報を優先し、根拠が不足する候補は検証待ちとして公開対象から除外します。
数字と日付の読み方
日付は公表・続報・報道の日です。初報と続報がある案件は最新の参照日で並べています。データ件数には同じ人の複数記録や匿名ユーザーが含まれるため、人数に換算したり合算したりしていません。
AI関連の報告
実際の悪用活動と研究環境での能力評価は別の区分です。掲載した国内事件をAIやGLM-5.3による攻撃と結びつける根拠は、参照した発表にはありません。
デザインと使用素材
フォントはLINEヤフーのLINE Seed JP（SIL Open Font License 1.1）、アイコンはLucideを使用しています。ヘッダーの写真はAI生成のイメージであり、特定の事件を撮影した写真ではありません。
大和証券
外部委託先の侵害で最大約11万人の顧客情報に影響の可能性
漏洩の可能性国内 / 金融
外部委託先が管理するサーバーへの不正アクセスにより、最大約11万人の顧客情報が漏洩した可能性があると公表しました。
大和証券自身のシステムへの侵入は確認されておらず、対象情報のみで口座へのログインや取引はできないと説明しています。
記載内容は参照した発表・報道時点のものです。
デンマーク政府
約880万人分の登録情報に不正アクセス
不正アクセス確認海外 / 行政・公共
民間企業に認められたCPR照会権限が悪用され、約880万人分の氏名・住所・CPR番号などに第三者が不正アクセス。企業のアクセス権限を停止し、当局と調査を進めています。
9月中の異常な動作を10月2日夜に認識。対象人数は存命者、国外転出者、故人等を含み、現在の国内人口とは異なります。氏名・住所の保護登録者の氏名・住所は対象外と説明しています。
記載内容は参照した発表・報道時点のものです。
物語コーポレーション
公式アプリの会員情報1,078万8,963件の漏洩を確認
漏洩確認国内 / 飲食
会員管理システムへの不正アクセスにより、会員番号・登録名・メールアドレス・電話番号1,078万8,963件が漏洩したと公表しました。
10月2日に不正アクセスを確認、3日に漏洩が判明。侵入開始日は不明。パスワード等は漏洩対象外、決済情報は保持していません。
記載内容は参照した発表・報道時点のものです。
大阪公立大学
大規模システム障害、500台のサーバー停止
業務障害・調査中国内 / 教育・研究
10月2日未明に情報システム障害が発生し、関連サーバー500台が停止。ランサムウェア攻撃の可能性が高く、学生・卒業生ら13万人以上の個人情報が流出した恐れがあると産経新聞が報じました。
流出の有無は調査中。産経新聞と共同通信の独立した報道を確認。10月5日時点で復旧の見通しはなく、対面授業は9日から再開予定。
記載内容は参照した発表・報道時点のものです。
ホワイトエッセンス
約105万アカウントの個人情報持ち出しを確認
漏洩確認国内 / 医療
予約サイトと基幹システムへの不正アクセスの調査で、利用者・加盟院関係者・本部社員など約105万アカウント分の情報が外部に持ち出されていたと公表しました。
8月5日時点の登録情報の全部または一部が対象で、項目は登録内容によって異なります。口座情報は保持しておらず、利用者画像の漏洩も未確認。侵入開始日は不明。
記載内容は参照した発表・報道時点のものです。
大起水産
退会者を含む17万4,933人の個人情報に漏洩のおそれ
漏洩の可能性国内 / 飲食
公式アプリのシステムが第三者から不正アクセスを受け、登録者17万4,933人の氏名・電話番号・メールアドレス等が漏洩した可能性を否定できないと公表しました。
9月15日に事案を確認したが侵入開始日は不明。実際の外部漏洩と不正利用は未確認。住所・生年月日は任意登録、パスワードは対象外。アプリは通常利用可能。
記載内容は参照した発表・報道時点のものです。
ATB（ウクライナ）
Webサイトに恐喝メッセージ、企業は顧客情報流出を否定
システム障害海外 / EC・小売
Webサイトに恐喝メッセージが掲載された後、一部オンラインサービスが一時停止。ATBはサイバー攻撃について説明し、UNNへの取材回答で個人情報の流出を否定しました。
侵入開始日は不明。攻撃者が主張する顧客情報の取得や被害規模は独立検証できていません。情報漏洩の確定やランサムウェアによる暗号化とは分類しません。
記載内容は参照した発表・報道時点のものです。
日本経済新聞社
社員アカウントの侵害から約9,000件のフィッシングメール
侵害確認・漏洩の可能性国内 / メディア
社員のMicrosoft 365アカウントが侵害され、9月30日に約9,000件のフィッシングメールを送信。氏名・メールアドレス・一部のメール内容が漏洩した可能性があります。
別件のGoogle Workspaceへの不正ログインも公表。こちらは社員・取引先など1,646人分が漏洩した可能性。二つの事案の関連は明らかにされていません。
記載内容は参照した発表・報道時点のものです。
アバハウスインターナショナル
会員・注文情報への不正アクセス、返金を装うメールも確認
漏洩の可能性国内 / EC・小売
会員情報とEC受注情報を保管するデータベースへの不正アクセスの痕跡を確認。氏名・連絡先・生年月日・注文情報などが漏えいした可能性を公表しました。実際の注文内容と一致する不審な返金案内メールも確認されています。
不正アクセスは9月27日深夜から28日にかけてと推定。開始日を確定できないため発生日は未登録。取得された情報の範囲と被害件数は未確定。カード番号・セキュリティコードは自社システムに保存しておらず、漏えいは確認されていません。
記載内容は参照した発表・報道時点のものです。
ヤマト運輸
後払いサービスの顧客・加盟店・社員情報に漏洩の可能性
漏洩の可能性国内 / 交通・物流
9月28日に第三者による不正アクセスを確認。顧客の氏名・住所・電話番号・メールアドレス・請求金額・商品明細など、一部加盟店の情報と担当社員の氏名が漏洩した可能性を第二報で公表しました。
対象件数と範囲は調査中。クレジットカード情報とパスワード情報は対象外。宅急便を含む他サービスは通常どおり利用できるとしています。
記載内容は参照した発表・報道時点のものです。
池上通信機
サーバーファイルが暗号化、自社保有とみられる情報が公開
漏洩の可能性国内 / 製造
一部サーバーで不正アクセスが疑われる痕跡とファイル暗号化を確認し、社内ネットワークを切断。10月2日には、自社が保有していたと思われる情報が攻撃者のリークサイトに公開されていることを確認したと発表しました。
公開情報の内容・範囲は精査中。侵入開始日、被害件数、攻撃者の特定は未確認。
記載内容は参照した発表・報道時点のものです。
第一ライフグループ / 第一生命保険
従業員・退職者約12万人の個人情報が流出した可能性
漏洩の可能性国内 / 金融・保険
人事システムに保存された従業員約5万人、退職者約7万人の情報が第三者に閲覧され、外部へ流出した可能性を公表しました。氏名・住所・電話番号・所属・職位等が対象です。
9月24日に不正アクセスを検知。侵入開始日は不明。発表時点で顧客情報への不正アクセスと退職者に関する二次被害は未確認。対象には一部の出向者も含まれます。
記載内容は参照した発表・報道時点のものです。
佐川急便
荷物追跡サービスに侵入。約100日分の配送データが対象に
漏洩の可能性国内 / 交通・物流
「お荷物問い合わせサービス」への不正アクセスを確認。送り主・届け先の氏名、住所、電話番号など、約100日分の荷物データが外部に流出した可能性があると報じられています。
対象件数・範囲は調査中。一部Webサービスを停止しましたが、集荷・配達は継続。9月30日は侵害の確認日で、侵入開始日は不明です。
記載内容は参照した発表・報道時点のものです。
日本原子力研究開発機構
研究用原子炉の利用者175人分の個人情報が漏洩
漏洩確認国内 / 行政・公共
研究支援サイトから2,419ファイルが不正にダウンロードされ、うち367件に175人分の個人情報が含まれていたと公表しました。身分証明書画像や特殊健康診断結果などが対象です。
9月25日に侵害とダウンロードを確認、9月29日に個人情報の含有を確認。侵入開始日は不明。6人はマイナンバーも対象。アカウント情報は漏洩していないと説明し、機構内業務ネットワークから独立したサイトとしています。
記載内容は参照した発表・報道時点のものです。
ニッポンレンタカーサービス
別手法によるアプリ侵害、会員55人の情報に閲覧のおそれ
漏洩の可能性国内 / 交通・物流
9月19日から21日にかけてアプリへ外部から攻撃があり、55人の会員情報ページへの不正アクセスを確認。氏名・連絡先・ログインID・利用履歴・予約情報が閲覧された可能性があります。
9月29日に調査で判明し10月1日に公表。登録者の免許証情報、カード番号下4桁・名義人名も対象となる可能性。情報の不正利用等の二次被害は確認されていません。9月26日公表の事案とは別の不正アクセスであり、人数の重複有無は不明のため合算しません。
記載内容は参照した発表・報道時点のものです。
Vicksburg市（米国ミシシッピ州）
ランサムウェアで市のシステムを停止、公共料金の窓口支払いに影響
ランサムウェア被害海外 / 行政・公共
市はランサムウェアによる事案の調査とコンピューターシステムの一時停止を公表しました。公共料金の対面支払いに遅れが生じる可能性がある一方、緊急通報・警察・消防・公共サービスは継続しています。
10月1日は声明の公表日で、侵入開始日は不明。個人・機密情報への不正アクセスや取得の有無は調査中で、情報漏洩と被害人数は未確定。停止中は支払い遅延の罰則やサービス打ち切りを行わないと説明しています。
記載内容は参照した発表・報道時点のものです。
セイコーマート
アプリ会員57万2,022人分の情報の閲覧を確認
不正閲覧確認国内 / EC・小売
アプリのサーバーを経由して会員情報を保有するサーバーに不正アクセス。57万2,022人分の情報が閲覧されたことを第三報で確認しました。
対象はアプリに登録したことがある会員の約49%。アプリに登録していない会員は対象外です。「閲覧確認」と、外部への持ち出しの確認は区別が必要です。
記載内容は参照した発表・報道時点のものです。
米国防総省 / DMDC
軍・文民の人事関連記録、約300万件が露出した可能性
不正アクセス確認海外 / 行政・公共
2025年10月〜2026年7月に人事関連システムへ不正アクセス。存命者に関する約276万件と故人に関する約29.4万件の記録が、閲覧・持ち出しの対象となった可能性が報じられました。
社会保障番号や職務情報を含みます。政府側は不正アクセスを認め、脆弱性を修正したと説明。発表時点で情報の悪用は未確認です。
記載内容は参照した発表・報道時点のものです。
ApplyNow / 吉野家・はなまる
委託先の採用情報漏洩、応募者・採用担当者5,784アカウントが対象
漏洩確認国内 / IT・クラウド
ApplyNowのデータ分析ツールの脆弱性を悪用した不正アクセスで、吉野家・はなまるの応募者情報と採用担当者の情報が漏洩。応募者は吉野家4,998件、はなまる368件、従業員は418件と公表しました。
不正アクセス期間は8月9日～9月7日で、9月7日に不正なデータ出力を確認。件数は重複のあるアカウント数で人数と一致しません。ApplyNow全体の被害件数ではありません。吉野家側のシステムや面接録画への侵害は未確認。
記載内容は参照した発表・報道時点のものです。
関西国際大学
学内システムへの侵入を確認、接続停止で一部サービス利用不能
不正アクセス確認国内 / 教育・研究
学内システムの一部への第三者による不正アクセスを確認し、被害拡大防止の緊急措置としてインターネット接続を停止しました。一部の学内システムにアクセスできない状況を公表しています。
侵入経路、発生時期、影響範囲、情報漏えいの有無は調査中。ランサムウェア被害や情報流出は断定しません。
記載内容は参照した発表・報道時点のものです。
VOISING
BIツールへの侵入で約17万件の個人情報漏洩を確認
漏洩確認国内 / エンタメ・配信
9月30日の最終調査報告で、BIツールの脆弱性を悪用した侵入による約17万件の個人情報漏洩を確認しました。氏名・住所・連絡先などの基本情報に加え、購買履歴、サービス加入状況、応援対象タレントの選択情報が対象です。
8月に公表した事案の9月続報。件数は人数ではありません。クレジットカード番号等とログインパスワードに相当する情報は保持しておらず対象外。二次被害の報告・連絡は届いていないと説明しています。
記載内容は参照した発表・報道時点のものです。
タイムズカー / パーク24
約660万アカウントが対象。本人確認書類も流出
漏洩確認国内 / 交通・物流
タイムズカーのWebシステムから、現会員・退会済み会員の約660万アカウントの情報を第三者が取得。約160万アカウントで、運転免許証画像などの本人確認書類の漏洩を確認しました。
本人確認書類には、現住所確認書類、学生プランの学生証、家族プランの家族確認書類も含まれます。アカウントによって流出した情報は異なります。
記載内容は参照した発表・報道時点のものです。
イープラス / スマチケ
払戻し管理システムから1,463件の個人情報が漏洩
漏洩確認国内 / エンタメ
電子チケット「スマチケ」の払戻し情報を管理するシステムが不正アクセスを受けました。1,463件にメールアドレス、カタカナ氏名、対象公演の情報が含まれます。
うち751件には振込先口座情報、68件には郵便番号・住所・氏名も含まれます。不正アクセスは9月11日夜から12日未明に発生しました。
記載内容は参照した発表・報道時点のものです。
日本郵便 / 郵便局アプリ
19人分・69件の顧客情報を不正取得
不正取得確認国内 / 交通・物流
郵便局アプリが外部から不正アクセスを受け、ゆうIDおよびアプリに関連する顧客情報69件、19人分が不正に取得されたと発表しました。
9月25日夜に緊急メンテナンスを実施し、26日にサービスを再開しました。
記載内容は参照した発表・報道時点のものです。
Luminis Health
サイバー事案で一部システムが停止、患者ポータルは利用再開
システム障害海外 / 医療・ヘルスケア
米国の医療組織が、サイバー事案による一部システムの利用不能と復旧対応を公表。9月29日の更新では電話とMyChartの利用再開を案内し、停止中に使った紙の診療記録をシステムへ取り込んでいると説明しています。
患者記録を保存するシステムは影響を受けていないとの説明。侵入開始日、攻撃手法、情報漏洩の有無・人数は未確定で、調査は継続中。告知本文の更新日を公表日として記録。
記載内容は参照した発表・報道時点のものです。
医療法人オカモト会
サイト改ざんで外部サイトへ転送、Web予約も一時停止
不正アクセス確認国内 / 医療・健康
岡本甲状腺クリニック・天満橋甲状腺クリニックのホームページに不正プログラムが設置され、9月28日に無関係な外部サイトへ転送される改ざんが発生しました。大量アクセスへの防御措置でホームページとWeb予約が停止し、9月29日夕方に復旧しました。
予約データベースへのアクセスの形跡は確認されず、患者の個人情報漏えいも確認されていません。引き続き調査すると説明しています。
記載内容は参照した発表・報道時点のものです。
2026.09.29研究に基づく能力の警告
GLM-5.3：動く攻撃コードを組む能力が、オープンウェイトに
AnthropicのFrontier Red Teamは、Zhipu AI（海外名Z.ai）のGLM-5.3が、特定の評価でClaude Mythos Previewに近い水準のエクスプロイト開発能力を示したと報告しました。重みが公開されているため、安全対策の改変・除去が可能な点も論点です。
模擬環境では、偽装プロンプトで64%、思考プリフィルで92%、拒否を減らしたモデルで100%が悪意ある指示に応じて標的への接続を試みました。これは攻撃成功率ではありません。初期状態のモデルは、同じ模擬テストの悪意ある指示をすべて拒否しています。
Claudeとの比較では、偽装プロンプトは阻止され、思考プリフィルと重みの改変はAPI仕様・非公開の重みにより適用できません。このレポートは、GLM-5.3による実際の大規模侵入を確認した事件報告ではなく、隔離環境での評価に基づく事前警告です。
三井不動産グループ
役職員等最大1万9,000件・社外関係者最大3万6,000件に漏洩の可能性
漏洩の可能性国内 / 不動産
一部システムの資格情報が不正に利用され、役職員等の氏名・メールアドレス・部署・役職と、社外関係者のメールアドレス・表示名が閲覧された可能性を公表しました。
8月28日は不正アクセスを確認した日で、侵入開始日は不明。9月28日の第2報時点で実際の外部流出、業務情報やパスワードの漏洩、二次被害は未確認。件数は最大値で人数ではありません。
記載内容は参照した発表・報道時点のものです。
集英社
ブロガー管理システムから2,835人の個人情報などが漏洩
漏洩確認国内 / メディア
ファッション誌のブロガー管理・連絡用システムが不正アクセスを受け、登録者2,835人の個人情報などの漏洩を公表しました。氏名、連絡先、プロフィールやSNS関連情報などが含まれ、対象項目は個人によって異なります。
公式発表はCMS設定不備に起因するAPI認証情報への攻撃と、不正な特権アカウント作成を原因として説明。案件630件、送信メール情報11,237件、取引先一覧10,780件も対象ですが、人の数と合算しません。9月25日に対象ブロガーへ通知しました。
記載内容は参照した発表・報道時点のものです。
Qbusoft / Medyc
医療ソフトウェア基盤への攻撃で個人情報の窃取を確認
情報窃取確認海外 / 医療・ヘルスケア
ポーランドのQbusoftはMedyc基盤へのサイバー攻撃により、氏名、PESEL番号、住所、電話番号、メールアドレスへの不正アクセスと窃取が発生したと公表しました。
診療記録の窃取は確認されていません。被害人数は公式告知に記載がなく、報道上の500万人という規模は採用しません。9月9日は攻撃を認識した日で、侵入開始日は不明。公式告知の更新日を公表日として記録。
記載内容は参照した発表・報道時点のものです。
スターツ出版
最大44万2,779人分の会員・退会者情報に漏洩の可能性
漏洩の可能性国内 / メディア
9月26日に海外からの大量の不正アクセスを検知。10月1日の第2報で、会員と一部退会者のメールアドレス、一部の氏名・都道府県までの住所が閲覧された可能性のある対象を最大44万2,779人分と更新しました。
初報の最大44万7,610人から対象人数を更新。詳細な住所や電話番号が閲覧された形跡、二次被害は未確認。脆弱性対策を実施しサービスを再開。
記載内容は参照した発表・報道時点のものです。
東京メトロ
約5万9,000件のメールアドレスが閲覧・取得された可能性
漏洩の可能性国内 / 交通・物流
メールの送信不能により配信を停止している会員のメールアドレスを格納したサーバーへの不正アクセスを確認。約5万9,000件が閲覧または取得された可能性があります。
当該サーバーにはメールアドレス以外の会員情報は含まれないと説明。侵害箇所を特定して対策を実施しています。
記載内容は参照した発表・報道時点のものです。
京王電鉄グループ
ランサムウェアで一部の営業システムに障害
業務障害・調査中国内 / 交通・物流
グループのサーバーにランサムウェア攻撃を確認。一部グループ会社の営業システムに支障が生じ、ネットワーク遮断などの対応を実施しました。
9月26日の発表時点では情報漏洩の事実は確認されておらず、影響範囲を調査中。鉄道の運行に支障はないとしています。
記載内容は参照した発表・報道時点のものです。
ニッポンレンタカーサービス
アプリへの不正アクセス、会員41人の情報に閲覧のおそれ
漏洩の可能性国内 / 交通・物流
アプリのシステムに第三者による不正アクセスが発生し、会員41人の氏名・電話番号・メールアドレス・ログインID・利用履歴・予約情報が閲覧されたおそれがあります。
登録者については免許証番号・住所・生年月日、カード番号下4桁・名義人名も対象。対象者へ個別連絡しパスワード再設定を依頼。発生日は非公表。10月1日公表の55人対象事案は、公式が別手法による別の不正アクセスと説明しているため別IDで記録。
記載内容は参照した発表・報道時点のものです。
Gyazo / Helpfeel
ユーザー関連データ約2,362万件と画像メタデータが流出
流出確認国内 / IT・クラウド
画像共有サービス「Gyazo」からユーザーに関するデータ約2,362万件が流出。メールアドレスを登録したユーザーのデータは約562万件で、残りの約1,801万件は匿名ユーザーのデータです。
画像メタデータ約4.9億件などに加え、削除済み画像のメタデータ約1.74億件の流出も確認。これらは画像ファイルそのものの流出件数ではありません。9月27日にサービスを再開しました。
記載内容は参照した発表・報道時点のものです。
ファインズ
予約者情報153万6,322件が影響対象、詳細調査中
不正アクセス確認国内 / IT・クラウド
9月22日にシステムの異常を検知し、第三者による不正アクセスを確認。影響対象として予約者の氏名・電話番号・メールアドレス・予約店舗・メニュー・日時など153万6,322件を公表しました。
アクセス遮断等の緊急措置を実施。速報では持ち出しの確認方法を説明しておらず、影響範囲の特定を継続しています。
記載内容は参照した発表・報道時点のものです。
佐賀大学
事務部門のNASでファイル暗号化、ランサムウェア被害を公表
システム障害国内 / 教育・研究
事務情報システムのNAS内でファイルの暗号化を確認し、ランサムウェア被害を公表しました。NASをネットワークから隔離し、事務用端末の利用停止を周知。感染経路と影響範囲を調査しています。
9月24日午前8時42分は暗号化の連絡を受けた時刻であり、侵入開始日は不明。9月25日の公式告知では教育・研究・診療関連システムへの影響は確認されていません。情報窃取や漏洩、被害人数は本告知から確認できません。
記載内容は参照した発表・報道時点のものです。
Dyfed-Powys Police（英国）
警察の非緊急系システムが障害、職員情報への影響を調査
システム障害海外 / 行政・公共
サイバー事案により一部の非緊急系システムが停止し、オンライン・メールでの連絡が一時利用できなくなりました。9月25日の公式発表では連絡機能は復旧済みで、緊急対応と電話サービスに影響はありません。
9月14日は検知日で侵入開始日は不明。市民の個人情報へのアクセス・侵害の証拠は見つかっておらず、職員情報への影響は調査中。ランサムウェアや情報窃取、被害人数は断定しません。
記載内容は参照した発表・報道時点のものです。
日本郵便
国際郵便の調査請求Web受付、不正アクセスの可能性で停止
受付停止国内 / 交通・物流
日本郵便は9月25日15時ごろ、国際郵便物の調査請求Web受付サービスのサーバーに外部から不正アクセスされた可能性が発覚したと公表し、受付を一時停止しました。
原因と影響範囲は発表時点で調査中。情報窃取や漏洩、侵入開始日は未確認。郵便局アプリとは対象サービスが異なり、同一攻撃との根拠がないため別IDで記録。
記載内容は参照した発表・報道時点のものです。
Astrana Health
電話番号偽装による侵害、機密情報へのアクセス・取得の可能性
漏洩の可能性海外 / 医療・ヘルスケア
社員になりすまし会社の代表電話番号を偽装する攻撃があり、システム内の不正な活動を検知。サーバー上の非公開・機密情報が無許可でアクセスまたは取得されたと同社は考えているとSECに報告しました。
SEC提出文書の署名日は9月23日、重大性の判断日は9月22日。攻撃の発生日は不明。患者・従業員等の情報の影響範囲を調査中で件数非公表。認証情報リセットやクリーンバックアップからの復元を実施。ランサムウェア被害や確定した持ち出しとは断定しません。
記載内容は参照した発表・報道時点のものです。
Boston Scientific / 米国
医療機器メーカーの製造・出荷に影響、9月に復旧
侵入確認・業務復旧海外 / 医療・製造
8月25日に検知したサイバー攻撃で製造・出荷などに影響し、9月9日に業務復旧を発表。調査では、外部向けネットワーク機器から社内IT環境の一部への侵入を確認しました。
9月22日の調査結果では、調査対象の顧客・患者データを含むシステムからの持ち出しの証拠は見つからなかったとしています。
記載内容は参照した発表・報道時点のものです。
BigCommerce関連店舗
連携アプリの認証情報を奪われ、EC店舗へ侵入
顧客情報へのアクセス確認海外 / EC・小売
外部アプリ「Ribon」の認証情報が侵害され、連携先のEC店舗へ侵入。Master of Maltでは、顧客の氏名・メールアドレス・電話番号・住所へのアクセスを確認しました。
攻撃期間は9月13〜17日。利用店舗全体の被害人数は不明です。店舗自身ではなく、連携アプリの認証情報が入口となった事案です。
記載内容は参照した発表・報道時点のものです。
LMUミュンヘン
約60万件の在籍データが不正アクセスの対象に
漏洩の可能性海外 / 教育・研究
入学・在籍管理システムへの不正アクセスを確認し、データが取得された可能性を公表。9月28日の調査更新では、現役・元学生の約50年分、約60万件のデータが対象と説明しました。
9月16日に検知しましたが、侵入の開始時期と継続期間は不明。約60万件はデータ件数であり人数とは扱いません。情報の種類は時期・個人で異なり、銀行情報は2005年以降の一部に限られます。公式FAQは公開・さらなる不正利用の証拠はないと説明しています。
記載内容は参照した発表・報道時点のものです。
ニチレイ
配送先・取引先・従業員等の個人情報漏洩を確認
漏洩確認国内 / 食品・製造
7月に公表したサイバー攻撃の調査で、配送先顧客3,308件、取引先役職員6,849件、従業員・家族・求職者43,709件の個人情報漏洩を確認しました。
対象ごとに含まれる情報は異なり、カード情報は対象外。7月13日は障害発生日で侵入開始日は不明。入出庫・冷凍食品出荷は7月24日に全拠点で通常稼働へ移行。
記載内容は参照した発表・報道時点のものです。
モンベル
海外向けサイト侵害、最大15人の個人情報に流出の可能性
漏洩の可能性国内 / 小売・EC
海外向けサイトの登録ユーザー情報が8月9日から10日に第三者に取得された可能性があります。対象は最大15人で、1人の氏名・住所・電話番号、14人の氏名・電話番号が含まれます。
9月11日に侵害を検知、9月12日の調査で判明し9月18日に公表と報道。対象者の特定は困難。脆弱性は修正済みで、日本国内向けサイトでは同様の漏洩は確認されていません。
記載内容は参照した発表・報道時点のものです。
VL Prosperity関連タンカー
タンカーの船内ネットワーク侵害、米沿岸警備隊とFBIが調査
不正アクセス確認海外 / 物流・交通
米沿岸警備隊は船内ネットワーク侵害の兆候を受け、8月21日にFBIと専門チームを派遣したとThe Recordに説明。CBS Newsも独自取材で悪意あるサイバー活動の発見を報じ、対象船をVL Prosperityと伝えました。
侵入開始日は不明。米当局は攻撃者の帰属を公表していません。乗船時に航行の安全性を損なう証拠は見つからなかったと説明。推進装置操作や物理的被害は断定しません。
記載内容は参照した発表・報道時点のものです。
大興印刷
決済画面への不正プログラム設置でカード情報流出の可能性
漏洩の可能性国内 / EC・小売
脆弱性とファイルアップロード機能を悪用した不正アクセスを確認。氏名・連絡先・変換保存されたパスワード関連情報と、決済画面へ入力されたカード番号・有効期限・セキュリティコードが漏洩した可能性を公表しました。
不正プログラムは8月6日から9月11日の除去まで設置。購入未完了でもカード入力者が対象となる可能性があります。影響人数と実際の流出範囲は調査中で、サービス再開時期は未定。
記載内容は参照した発表・報道時点のものです。
ムラウチドットコム
約771万件の顧客情報の持ち出しを確認
漏洩確認国内 / EC・小売
7月に公表した不正アクセスの調査が完了し、771万6,811件の個人情報漏洩が明らかになりました。氏名・住所・電話番号などが対象です。
Webシステムの脆弱性を起点に複数システムへ侵入。クレジットカード情報、ログインID・パスワードは対象外と説明しています。
記載内容は参照した発表・報道時点のものです。
あいの風とやま鉄道
観光列車の予約システム侵害、1,409人の個人情報に漏洩のおそれ
漏洩の可能性国内 / 交通・物流
9月2日から8日まで複数回の不正アクセスを確認。予約の不正キャンセル等が発生し、利用者・予約者1,409人の氏名・住所・電話番号・メールアドレスが漏洩したおそれを公表しました。
クレジットカード情報は別システムで管理され対象外。二次被害は未確認。9月28日の追記では意図しない予約キャンセルへの対応完了を説明しています。
記載内容は参照した発表・報道時点のものです。
LEAN BODY
分析ツールの脆弱性から約44万アカウントの顧客情報を取得される
漏洩確認国内 / 生活・サービス
社内分析ツールMetabaseの脆弱性を悪用した不正アクセスで、顧客情報の取得を確認しました。退会者を含む約44万アカウントが対象で、メールアドレスやサービスに登録した情報等が含まれます。
8月11日に最初の不正アクセス、9月9日に遮断・更新。複数アカウントがあるため人数は44万人とは一致しません。パスワードは暗号化された情報、カード情報は下4桁が対象で、カード番号全体・セキュリティコードは対象外。具体的なCVE番号とAI関与は断定しません。
記載内容は参照した発表・報道時点のものです。
ロート製薬
通販の通話音声データ・顧客管理情報が不正取得された可能性
漏洩の可能性国内 / 医療・ヘルスケア
通信販売のお客様対応システムに保存された通話音声データと付随情報、および顧客管理システムの情報が、第三者に不正取得された可能性があると発表しました。影響範囲と件数を調査しています。
9月10日は事象の確認日であり侵入開始日ではありません。9月11日の初報に続く9月15日の調査状況を反映。主要業務への影響は当該発表時点で確認されていません。情報流出や被害件数は確定していません。
記載内容は参照した発表・報道時点のものです。
Brevo
盗まれたAPIキーでCDNを操作、埋め込みスクリプトにClickFixを注入
CDN設定の不正変更確認海外 / IT・クラウド
侵害されたCloudflare APIキーでWorkerを設置され、Brevoのサイトや顧客サイトに埋め込む3種類のJavaScriptに悪性スクリプトが注入されました。偽の認証画面を表示し、訪問者にコマンド実行を促すClickFix攻撃です。
9月14日15:01〜20:30 UTCの5時間29分が公式の影響期間。顧客向けコンテンツへの注入は9月14日以前には確認されていませんが、キーの悪用は8月下旬からと説明。Brevo内の顧客アカウントデータは本事案の影響対象外。感染した訪問者や影響サイトの総数は公式本文から確定できません。
記載内容は参照した発表・報道時点のものです。
日本大学
教員5人のメールアカウントを侵害、1,333件の不審メール送信
不正アクセス確認国内 / 教育・研究
第三者が教員5人のアカウントへ不正アクセスし、1,333件の不審メールを送信。一部アカウントで内部データへのアクセス痕跡を確認しました。
8月7日発生、8月29日検知。フィッシング等による認証情報窃取が原因とみています。大規模な抽出・持ち出しは確認されておらず、漏洩確認とは扱いません。
記載内容は参照した発表・報道時点のものです。
CenterPoint Energy
外部公開システム経由で一部顧客の個人情報を取得される
漏洩確認海外 / エネルギー・インフラ
SEC提出書類で、権限のない第三者が外部公開システムの一つを通じて一部顧客の個人情報を取得したと公表しました。外部専門家と対象顧客・情報の範囲を調査しています。
侵入日は不明。電力・ガスの供給は影響を受けていません。攻撃者のデータ件数主張は会社が確認した被害人数や件数と扱わず、影響数は未登録。ランサムウェアとは断定しません。
記載内容は参照した発表・報道時点のものです。
デジタル庁・GSS
VPN経由の侵入で、職員・業務関係者の情報が対象に
漏洩の可能性国内 / 行政・公共
政府の共通業務基盤「ガバメントソリューションサービス」で、氏名・メールアドレス・電話番号・住所など約24.6万件が漏洩した可能性。VPNの脆弱性を利用した侵入を確認しました。
6月25日に大量のファイルアクセスを検知。一般の方の個人情報やマイナンバー、金融機関口座情報は含まれないと説明しています。
記載内容は参照した発表・報道時点のものです。
REXT Holdings / REXT
ランサムウェア被害、流出の可能性がある情報のネット掲載を確認
漏洩の可能性国内 / EC・小売
一部社内ネットワークシステムへのランサムウェアによる不正アクセス被害について、第4報で、流出した可能性のある情報の一部がインターネット上に掲載されていることを確認したと発表しました。
掲載情報の内容と影響範囲は調査中。被害件数と侵入開始日は不明。9月11日の発表時点で情報悪用による二次被害は未確認。
記載内容は参照した発表・報道時点のものです。
mogily
不正アクセスで133人の抽選結果を改ざん
不正アクセス確認国内 / IT・クラウド
9月9日から10日に管理システムが不正アクセスを受け、1社の顧客133人の当落ステータスが当選から落選に書き換えられました。対象者のステータスは復旧済みと説明しています。
会社は調査で氏名・連絡先等の個人情報漏洩が発生していないことを確認したと説明。133人は改ざんの影響人数で、漏洩人数ではありません。
記載内容は参照した発表・報道時点のものです。
川崎市 / かわさき新産業創造センター
施設サイトへの侵入、最終調査で情報流出・改ざんなしを確認
不正アクセス確認国内 / 行政・公共
指定管理者が運用するWebサイトへの不正アクセスを9月4日に発見し、一時閉鎖しました。10月6日の最終報で、詳細調査によりサイト改ざんと個人情報等の流出はなかったと発表しました。
最終報で不正アクセス日は7月20日と確認。9月11日は初公表日で、発見日とは異なります。当初懸念されたフォーム入力27件・22人分についても流出なしと確認されており、漏洩被害数には計上しません。
記載内容は参照した発表・報道時点のものです。
さくらインターネット
会員情報 約136万アカウントに影響の可能性
漏洩の可能性国内 / IT・クラウド
レンタルサーバーの一部環境と販売管理システムに不正アクセス。136万563アカウントに関する保存情報が、第三者に閲覧・取得された可能性があると発表しました。一部サービスの初期パスワードも対象に含まれます。
8月に公表した事案の調査結果。対象アカウントについて、保存情報がすべて実際に取得されたと確認したものではありません。
記載内容は参照した発表・報道時点のものです。
Brevo
SSOのアクセス範囲不備で138アカウントに侵入、43から連絡先を持ち出し
連絡先の持ち出し確認海外 / IT・クラウド
SAML SSOの組織間アクセス制御の不備により、攻撃者が138のBrevo顧客アカウントへアクセスしました。43アカウントで連絡先のエクスポート、6アカウントでフィッシングメール送信を確認しています。
9月10日06:30 UTCは問題の検知時刻。侵入開始日は公式本文で特定されていません。同日08:30 UTCに侵入経路を閉鎖し全セッションを終了。アカウント数はメール受信者や流出した連絡先の人数ではなく、43と6を合算しません。
記載内容は参照した発表・報道時点のものです。
扶桑電通
認証情報の不正利用で個人情報26,489件に漏えいの可能性
漏洩の可能性国内 / IT・クラウド
第三者による認証情報の不正利用で共有フォルダが侵害され、取引先の顧客・担当者に関する氏名、住所、電話番号26,489件が漏えいした可能性があると発表しました。
7月22日公表事案の調査結果。認証情報の不正利用経路は特定されていません。銀行口座番号やクレジットカード情報等は対象外で、発表時点で二次被害は確認されていません。件数を人数として扱いません。
記載内容は参照した発表・報道時点のものです。
2026.09.10悪用活動の調査報告
AIは、侵入から盗んだデータの処理まで使われている
Anthropicの脅威インテリジェンス報告は、攻撃者が偵察・侵入・ツール開発・窃取したデータの処理にAIを利用した事例を紹介しています。同社の分析では、入口は盗まれた認証情報、未修正の機器、SQLインジェクション、フィッシングなど従来型です。
AIが変えているのは、攻撃の速度と規模、必要な人手やコスト。これはAnthropicが観測・分析した実際の活動についての報告であり、個々の帰属や被害評価は同社の調査に基づきます。
AdaptHealth
約411万人の個人・健康情報に影響
漏洩確認海外 / 医療
在宅医療サービス企業のシステムが6月5日に不正アクセスを受け、患者情報の持ち出しが確認されました。9月の報道で、米保健福祉省への届出における影響人数が411万5,802人と判明しました。
対象情報は氏名、連絡先、属性、健康保険・健康情報。社会保障番号、金融情報、カード・銀行口座情報は対象外。発生日と人数が判明した9月の報道日を区別しています。
記載内容は参照した発表・報道時点のものです。
ワシントンホテル
ランサムウェアで社内サーバー暗号化、従業員情報の漏洩を否定できず
漏洩の可能性国内 / 旅行・交通
9月7日の最終報で、外部接続機器経由の不正アクセスによる一部サーバーの暗号化を確認。情報窃取の明確な痕跡は確認されていませんが、従業員情報が保存されていたサーバーが対象となりました。
2月公表事案の9月の調査結果・退職者通知。侵入開始日は不明。9月25日時点でも流出の可能性を完全には否定できず、退職者への通知を実施。顧客情報の保管環境への不正アクセスは確認されず、業務は復旧済み。被害人数は未公表。
記載内容は参照した発表・報道時点のものです。
Stadtwerke Landsberg KU
中央ITシステムが暗号化、顧客情報への影響を調査
漏洩の可能性海外 / 行政・公共
ドイツの自治体公益企業がサイバー攻撃を受け、中央ITシステムが暗号化されました。電話・メールの連絡に制約が生じ、顧客の氏名、住所、電話番号、メールアドレス、銀行口座情報へのアクセスや流出を否定できないと説明しています。
電力・水道・下水・地域暖房などの運用は影響を受けていません。個人情報の流出と対象件数は未確定。攻撃グループや身代金要求は断定しません。
記載内容は参照した発表・報道時点のものです。
Mathspace
豪州・NZの学生・保護者・職員107万9,819人の情報を取得
漏洩確認海外 / 教育・研究
内部レポート用Metabaseの脆弱性を悪用され、豪州とニュージーランドの学生・保護者・学校職員等107万9,819人の情報がダウンロードされました。氏名、メールアドレス、ユーザーIDやアカウント関連情報が対象です。
9月5日公開・9月8日更新の公式説明。8月10日から不正アクセスがあり、8月27日にダウンロード、9月3日に侵害を確認。成績・学習記録・パスワード・SSOトークン等は対象外と説明。流出データの公開・販売・悪用の証拠は確認していないとしています。
記載内容は参照した発表・報道時点のものです。
アップ
教育サイトへの侵入で採用応募者・管理者の情報に閲覧のおそれ
閲覧の可能性国内 / 教育・研究
プラグインの脆弱性を悪用した不正アクセスで、サーバー内に不正プログラムが設置されました。講師採用応募者10人とサイト管理者の従業員3人の個人情報が、第三者に閲覧された可能性があります。
8月24日は不正アクセスの判明日で、侵入開始日は不明。9月4日の告知時点で情報の外部持ち出しや二次被害の痕跡は未確認。隔離・不正プログラム除去・脆弱性修正を実施し、進学館は9月15日にサイト復旧を告知しました。
記載内容は参照した発表・報道時点のものです。
全日空商事
ギフトの不正交換がシステム侵害に起因、対策後にサービス再開
漏洩の可能性国内 / 生活・サービス
8月11日から12日の不正アクセスで契約企業担当者の情報が閲覧された可能性があり、ギフトの不正交換も発生。9月4日の第2報で不正交換が同じ侵害に起因すると確認し、原因特定・修正後にサービスを再開しました。
8月24日の第1報に続く調査結果。対象は担当者名、企業名・ID、ログインID、一部を伏せたメールアドレス等。一般のギフト受取人の個人情報は取得・保持していないと説明。人数・不正交換件数・金額は公表本文にありません。
記載内容は参照した発表・報道時点のものです。
Baylor Genetics
患者・従業員情報への不正アクセス、約281万人に影響
不正アクセス確認海外 / 医療
6月11日から17日にネットワークの一部と保存データへの不正アクセスがあったと説明しています。9月3日の報道で、米保健福祉省への届出人数は281万878人と伝えられました。
患者の検査情報等や一部従業員の個人情報が対象になった可能性。項目は個人ごとに異なります。一次発表は持ち出しを断定しておらず、検査業務への影響や情報の不正利用も未確認。
記載内容は参照した発表・報道時点のものです。
Manchester Airports Group
英3空港の顧客情報取得、9月続報でネット公開を報道
漏洩を確認海外 / 交通・物流
8月の侵害でマンチェスター・スタンステッド・イーストミッドランズ空港の予約・Wi-Fi登録に関する顧客データが取得されました。メールアドレス・電話番号・車両登録情報・郵便番号が対象で、9月3日の続報はネット公開を報じています。
初回公表は8月27日で、登録の公表日は対象期間内の9月3日続報。公式FAQも通知対象者のデータが公開されたと説明しています。銀行・決済情報は保有していないと説明。空港運用・航空保安に影響なし。発生日は8月中としか一次情報で確認できずnull。人数は一次告知にないため数値登録しません。
記載内容は参照した発表・報道時点のものです。
鳥取県
ランサムウェアで主監視局の電子ファイルが暗号化
システム障害国内 / 行政・公共
環境放射線モニタリングシステムの主サーバーがランサムウェア攻撃を受け、電子ファイルの暗号化とシステム停止が発生。通信経路を遮断し、原因を調査すると発表しました。
副サーバーは被害を受けず放射線監視は継続し、放射線モニタリングへの影響はありません。県庁の総合行政ネットワークとは別で、他の県庁システムに影響なし。公開データ用システムで機密情報や個人情報はないと説明。侵入開始日は不明。
記載内容は参照した発表・報道時点のものです。
西武鉄道
予約関連情報約500名分が誤設定で外部閲覧可能に
漏洩確認国内 / 交通・物流
スタッフ間の情報共有機能の誤設定により、個人情報を含む符号化された予約関連情報が外部から閲覧できる状態に。西武鉄道は約500名分の情報漏えいを公表しました。
公開状態は2025年1月9日から2026年8月27日まで。同日に問い合わせで判明し対処。氏名・住所・電話番号・メールアドレス・会員番号等が対象で、うち約30名にアレルギー等の配慮事項を含みます。第三者による持ち出しや二次被害の確認を意味しません。
記載内容は参照した発表・報道時点のものです。
Aesto Health
患者954万683人の情報に影響した可能性を9月報道で確認
漏洩の可能性海外 / 医療・ヘルスケア
AWS基盤の一部が2025年12月2日から18日に侵害され、患者の氏名・生年月日・医療情報等が閲覧または取得された可能性があります。9月1日の報道で、米保健福祉省への届出の影響人数が954万683人と伝えられました。
事件の公式告知は6月24日で、9月1日は影響人数を伝えた報道日です。5月26日に調査で情報への影響を確認。対象情報は個人により異なり、社会保障番号等も一部対象。公式本文は取得の可能性を示しており、全人数分の持ち出しを断定しません。
記載内容は参照した発表・報道時点のものです。
McKesson
外部アプリケーションへの不正アクセスとデータ持ち出しを確認
漏洩確認海外 / 医療・ヘルスケア
McKessonは9月21日の続報で、外部アプリケーションへの不正アクセスと情報の持ち出しを確認。Oncology & Multispecialty部門の一部顧客と、Medical-Surgical部門の主に業務連絡先・注文データが対象と説明しました。
8月25日は発見日で、侵入開始日は不明。9月1日の対象期間内報道に、9月21日の公式続報を反映。対象人数は未公表。公式は調査時点で他部門の情報への影響を示す兆候はないと説明。攻撃者による件数・データ量・手口の主張は不採用。
記載内容は参照した発表・報道時点のものです。