今週の概要
対象は2026年10月5日から10月11日の週です。当サイトの記録は事案25件、リークサイト掲載の主張2件で、新規登録の攻撃グループは0件でした。件数は当サイトの記録であり、国内の被害総数ではありません。事案が多いため、代表的な8件を個別に取り上げ、残りは最後にまとめます。
IDCフロンティアのランサムウェア被害
IDCフロンティアは10月7日、「IDCFクラウド」の東日本リージョン1で同日午前3時40分ごろから不正アクセスが続き、原因は第三者によるランサムウェア攻撃だと公表しました。契約する495の企業や自治体が影響を受けています。同社は同リージョンを遮断してシステムを停止しました[/incidents/idc-frontier-20261007]。
10月10日にはYahoo!ニュースのエキスパート記事が、同日時点でも復旧しておらず、情報漏洩の可能性は完全には否定できないと伝えました。これは報道に基づく記述です。記事には、攻撃者が暗号化したと主張するVMディスクが少なくとも16,600件という攻撃者側の主張も含まれます[/incidents/idcf-cloud-20261010]。
IDCフロンティアの影響を受けた各社の公表
東日本旅客鉄道は10月9日、IDCフロンティアの不正アクセスに伴い、メール配信用外部サービスから情報が漏えいした可能性があると公表しました。対象は最大でえきねっと会員約167万件、大人の休日倶楽部会員約39万件です[/incidents/jr-east-20261009]。ビューカードは10月10日、メールアドレスのみ約403万件に漏えいの可能性があると公表しました。対象者は調査中です[/incidents/view-card-20261010]。
JR九州については、JAPANSecuritySummit Updateが10月9日の発表として、Web会員の最大約130万件のメールアドレスに漏えいの可能性があると報じています[/incidents/jr-kyushu-20261009]。ニッスイは、グループ会社の日水物流で7日から入出荷ができなくなり、9日午後1時から一部を再開したと東日本放送が報じました。報道では、被害を受けたサーバーに個人情報や顧客情報は含まれていなかったとされています[/incidents/nissui-20261009]。
Communeを基盤とするサイトの事案
コミューン株式会社は10月9日、「Commune」「Commune for Work」が10月5日18時ごろから6日にかけて不正アクセスを受けたと公表しました。漏えいした会員は推計約30.7万人で、うちメールアドレスを含む情報は約12.6万人です。144名はパスワードが仮パスワードに変更されました[/incidents/commune-20261009]。
ウイングアーク１ｓｔは10月8日、「nest Portal」で会員情報が漏えいした可能性があると公表しました。対象は約1,200名の推定で、調査中です[/incidents/wingarc1st-20261008]。どっぷり高知旅キャンペーンは10月9日、「高知の知」の基盤クラウドへの不正アクセスにより、全会員358人分のメールアドレスなどが閲覧・取得された可能性があると公表しました[/incidents/kochi-kanko-fansite-20261009]。
大規模な個人情報漏えいの公表
ディップは10月9日、「バイトル」「バイトルNEXT」会員のメールアドレスが最大3,885,771件漏えいした可能性があると公表しました。氏名やパスワードなどは含まれません[/incidents/dip-20261009]。
ローソンは10月8日、「ローソンID」で215万5,345件、「ローソンアプリ予約」で26件の個人情報が漏えいしたと公表しました。ローソンIDにはメールアドレス、氏名、電話番号、住所などが含まれます[/incidents/lawson-20261008]。
株式会社アドベンチャーは10月9日、「skyticket」で3件の不正アクセスがあったと公表しました。サーバーでは約1,464万件が対象で、うち約413万件にハッシュ化されたログインパスワードを含みます[/incidents/skyticket-20261009]。
物語コーポレーションについては、山陽新聞が10月5日の発表として、「焼肉きんぐ」公式アプリの顧客情報1078万件超が流出したと報じました[/incidents/yakiniku-king-20261005]。
そのほかの公表
ほか17件は、小売、宿泊、金融、製薬、地方自治体などの公表です。このうちオリックス生命保険は、委託先のスカラコミュニケーションズの不正アクセスにより、約26,500件の問い合わせ情報が漏えいした可能性があると公表しました。医療情報などを含みます[/incidents/orix-life-20261008]。
リークサイトでの掲載
当サイトは、postedAtがないため、10月10日(JST)までに発見された記録として2件を登録しました。掲載日を示すものではなく、いずれも攻撃者側の主張で、検証されていません。
black xの掲載はvictimNameRawが「enTouch」で、組織との対応は推定です[/claims/black-x-20261009-d4b80c]。qilinの掲載はvictimNameRawが「Mutsumi Group」で、10月5日までに発見されました。対応する組織は見つかっていません[/claims/qilin-20261004-1d5d9c]。掲載は、企業の公表や被害の確定を意味しません。