- So-net、Joshin、コミックシーモアなど9社の情報漏洩の経緯・漏れた情報・各社の対応
- 業界・業種別に見た被害の広がり
- 上場企業／上場企業グループの会社／非上場の独立系企業・行政機関という区分で見た傾向
- 侵入経路と、漏れた情報の種類から見える共通点
- 政府（国家サイバー統括室）が企業に求めた対策の3分野
2026年10月27日、ソニーネットワークコミュニケーションズは、インターネット接続サービス「So-net」の会員データベースが不正アクセスを受け、So-netと「plala（Sコース）」をあわせて258万件を超える会員情報が漏洩したと発表しました。その前日には、家電量販店「ジョーシン」を運営するJoshinが、最大約623万件の会員情報などが漏洩した可能性があると公表しています。電子書籍ストア「コミックシーモア」も、10月中旬からサービスを止めたまま調査を続けています。
2026年の秋は、タイムズカー、ローソン、ヤマト運輸、カーセンサー、大和証券の委託先と、業種も規模も異なる企業の発表が続き、政府が注意喚起を出す事態になりました。
ただ、ニュースを一件ずつ追っていると、件数の大きさばかりが印象に残ります。この記事では、2026年10月27日時点の公表情報をもとに主要9社の状況を企業ごとにまとめたうえで、業界・業種、上場・非上場、侵入経路、漏れた情報の種類という4つの切り口で整理し直します。件数や原因は今後の続報で変わる可能性があります。
2026年9〜10月に何が起きたのか
2026年9月下旬から10月にかけて、幅広い業種の企業で不正アクセスによる情報漏洩の公表が続き、政府が異例の注意喚起を出すまでに至りました。
内閣官房の国家サイバー統括室は10月8日に全府省庁を集めた関係省庁会議を開き、翌9日には大量の個人情報を扱う事業者に対策の点検と強化を求める文書を公表しました。
「魔の9月」から10月へ
9月にはタイムズカー、さくらインターネット（最大136万563アカウント）、デジタル庁の共通システム（最大約24.6万件）と大規模な事案が続きました。@ITはこれを「魔の9月」と呼び、AIを悪用した攻撃の高速化が背景にあるという仮説を紹介しています。
民間企業がまとめた一覧では、9月15日から10月22日までに公表された事案は83件、うち100万件超が20件にのぼります。
件数の大きいニュースが続くと「大企業の話」と受け止めがちですが、業種も規模もばらばらで、特別な会社が狙われた印象はありません。自社に置き換えて読むことが大切だと感じています。
主な情報漏洩事案と各社の状況（2026年10月27日時点）
報道の多かった9社の事案を、公表日の新しい順に整理します。件数は人数と一致しない点に注意が必要です。
| 公表日（最新の報） | 企業・サービス | 規模 |
|---|---|---|
| 10月27日 | So-net・plala（Sコース） | 258万5,481件 |
| 10月26日（第2報） | Joshin（ジョーシン） | 最大約623万件（調査中） |
| 10月24日 | GMOインターネットグループ（お名前.com デスクトップクラウド） | 影響の可能性があるサーバー26,739件 |
| 10月21日（第4報） | コミックシーモア | 最大約420万件＋319件 |
| 10月21日 | カーセンサーnet・C-MATCH | 最大370万9,551件 |
| 10月16日（第4報） | ヤマト運輸（クロネコ代金後払い） | 約531万件 |
| 10月8日 | ローソン（ローソンID） | 215万5,345件 |
| 10月5日 | 大和証券（委託先経由） | 約11万人・約22万件 |
| 9月28日（10月23日に第5報） | タイムズカー | 約660万件 |
So-net（ソニーネットワークコミュニケーションズ）
10月19日に会員データベースが不正アクセスを受け、23日に確認してサーバーを停止、27日に公表しました。So-net 214万1,986件とplala（Sコース）44万3,495件の計258万5,481件で、現会員と2026年3月以降の退会者が対象です。氏名、電話番号、メールアドレス、生年月日などが漏洩しました。4つのメールサービスでは5万4,401件のメールアドレスとパスワードも漏洩し、同社は27日に強制的に初期化しています。カード情報は対象外です。
Joshin（ジョーシン）
10月16日に不正アクセスを認識して外部からのアクセスを制限し、17日に公表、一部サービスの提供を止めています。26日の第2報では、会員情報データベースで最大約600万件（氏名、住所、電話番号、会員番号）、「ジョーシンのサブスク」で最大約23万件（ログインIDと初期パスワード、手書きサインなど）、リフォーム写真のアップロードシステムで最大約800件（免許証画像2件、マイナンバーカード1件、口座番号5件など）に漏洩の可能性があるとしました。流出の有無と影響範囲は調査中です。
GMOインターネットグループ（お名前.com デスクトップクラウド）
FX自動売買に使うクラウドサーバーで10月20日に事案が発覚し、一部の利用者のサーバー環境に不正なプログラムが置かれていました。影響の可能性があるサーバーは26,739件で、保存されていた取引口座のログイン情報が取得され、利用者のFX口座で不正な取引も確認されています。攻撃者とみられる者からの金銭要求には応じない方針で、損失の補償と一律5,000円の見舞金を決め、24日には国に「能動的サイバー防御」の適用を緊急要請しました。
コミックシーモア（NTTソルマーレ）
10月15日に不正アクセスの可能性が高いと判断し、サービスを緊急停止しました。21日の第4報では、侵入経路と攻撃手法を特定して遮断したうえで、会員データベースの319件（メールアドレス、ハッシュ化パスワードなど）と、システムのログファイル上の情報最大約420万件（パスワードは含まない）の流出を公表しています。再開時期は未定で、購入済み作品の閲覧から段階的に再開し、全会員にパスワードの再設定を求める予定です。
カーセンサー（リクルート）
10月17日に不審なアクセスを検知し、同日夕方から関連サービスを停止、21日に公表しました。最大370万9,551件の内訳は、販売店に問い合わせた利用者約321万件（主に氏名と住所）、販売店向けサービス「C-MATCH」の登録販売店48万3,168件（個人事業主は引落口座も）などです。リクルートのシステムを使う日産と三菱自動車も、公式の中古車検索サイトを一時停止しました。
ヤマト運輸（クロネコ代金後払い）
9月28日に不正アクセスを確認して同日夜にサービスを停止し、10月9日に再開しました。16日の第4報で、2018年10月から2026年9月までの利用者情報約526万件、届け先情報約5万件、加盟店情報約4,100件が持ち出されたと公表しています。購入した商品の明細も含まれます。
ローソン（ローソンID）
10月7日の調査で、9月12〜14日に「ローソンID」、17日に「ローソンアプリ予約」への不正アクセスがあったことが判明し、8日に公表しました。ローソンIDは215万5,345件で、メールアドレスと氏名のほか、プレゼント応募などで入力した人は住所や電話番号も対象です。原因は、アプリで本人に情報を表示するための仕組みが第三者に不正に利用されたことと説明されています。
大和証券
問い合わせ管理に使っていた委託先スカラコミュニケーションズのサーバーが、10月2日夜から3日朝にかけて不正アクセスを受けました。約11万人分の氏名、メールアドレス、口座番号などを含む約22万件が対象で、大和証券本体のシステムへの不正アクセスは確認されていません。影響は提携する岩手銀行の顧客にも及びました。
タイムズカー（タイムズモビリティ）
9月25日に不正アクセスを検知し、28日に約660万件の漏洩を公表しました。退会後7年以内の人も対象で、運転免許証画像などの本人確認書類約160万件が含まれます。10月23日の第5報では、Webシステムの脆弱性が悪用されたと判断し、画像の外部送信が確認された人への3,000円相当の見舞金と、本人確認書類の画像を登録確認後すぐに削除する方針への変更を発表しました。
このほかの主な事案と、一覧を見るときの注意点
このほか「skyticket」約1,464万件、カプコン1,177万件余り、「焼肉きんぐ」1,078万件余りなども公表されています。
- 「漏洩した」と「漏洩した可能性がある」は区別されている。Joshinやカーセンサーは、現時点では可能性の段階として公表している
- 件数は複数システムの合算や重複を含む場合がある（コミックシーモアの約420万件も420万人分ではない）
- 侵入経路や攻撃手法は、模倣を防ぐ目的などから公表されていない事案が多い
見出しだけでは同じに見える事案も、各社の発表を並べると、何が漏れ、どこから入られ、どう対応したかがそれぞれ違います。学べることも会社ごとに違うと思います。
業界・業種で見る｜特定の業界に限った問題ではない
業界別に並べると、被害は通信、小売、物流、金融、エンタメ、行政まで広がっており、共通点は業界ではなく「多くの会員IDを抱えるWebサービスを持っていること」にあります。
| 業界・業種 | 主な事案 | 狙われた情報の特徴 |
|---|---|---|
| 通信・インターネット基盤 | So-net、さくらインターネット、GMOインターネットグループ | 会員データベース、契約情報、クラウド上のサーバー |
| 小売・流通 | Joshin、ローソン、セイコーマート、ブックオフ | ポイント会員やアプリ会員の情報 |
| 物流 | ヤマト運輸、佐川急便、日本郵便 | 後払い決済や配送に関わる購入・届け先情報 |
| モビリティ | タイムズカー、カーセンサー、ニッポンレンタカー | 運転免許証などの本人確認書類、問い合わせ情報 |
| デジタルコンテンツ・メディア | コミックシーモア、カプコン、日本経済新聞社、集英社 | メールアドレス、生年月日などのアカウント情報 |
| 金融 | 大和証券、岩井コスモ証券、第一生命グループ | 口座番号、取引、従業員の人事情報 |
| 飲食・レジャー・旅行 | 焼肉きんぐ、第一興商、skyticket、モスフードサービス | 会員情報、キャンペーン応募者情報 |
| 行政 | デジタル庁、国の省エネ住宅事業 | 共通システムや事業の申請者情報 |
BtoCの会員基盤が集中的に狙われている
消費者向けに会員登録やアプリを提供する企業が大半です。会員数が多いほど一度に取れる情報が多く、効率のよい標的になっていると考えられます。
BtoB企業も無関係ではない
大和証券の委託先や、人事システムで従業員の情報が漏洩した可能性を公表した第一生命グループのように、消費者向けサービスを持たない会社も同じリスクの中にいます。
業界で考えると「うちは関係ない」と思いがちですが、会員、問い合わせ、社員のどれかの情報はどの会社も持っています。自社が何を預かっているかで考える方が現実に近いと感じています。
上場・非上場で見る｜「上場企業グループの運営会社」が多い
上場・非上場で分けると、上場会社本体よりも、上場企業グループの中でサービスを運営する子会社や関連会社の事案が目立ちます。
| 区分 | 主な事案 | 特徴 |
|---|---|---|
| 上場会社本体 | Joshin（東証プライム）、さくらインターネット、カプコン、物語コーポレーション（焼肉きんぐ）、第一興商、アドベンチャー（skyticket）、ブックオフグループホールディングス、GMOインターネットグループ | 適時開示の対象となるため、続報も含めて公表内容が詳しい傾向がある |
| 上場企業グループの会社（自らは非上場） | ソニーネットワークコミュニケーションズ（ソニーグループ）、NTTソルマーレ（NTT西日本系）、タイムズモビリティ（パーク24グループ）、リクルート（リクルートホールディングス）、ヤマト運輸（ヤマトホールディングス）、大和証券（大和証券グループ本社）、ローソン（2024年に上場廃止、KDDIなどが株主） | サービスのブランドは広く知られているが、システムの運営は子会社や事業会社が担っている |
| 非上場の独立系企業 | セイコーマート、委託先として侵害された企業など | 規模は小さくても、大量の会員情報や他社から預かった情報を持っている |
| 行政機関 | デジタル庁、国の事業の運営先 | 多くの省庁・自治体が使う共通基盤への影響が懸念される |
グループ全体でのセキュリティ統治が問われている
実際にサービスを動かしているのは事業ごとの会社で、セキュリティの水準にも差が出やすくなります。一方、顧客からは「あの大企業グループで漏れた」と受け止められ、影響はグループ全体に及びます。グループ会社まで含めた点検の仕組みが欠かせません。
非上場・中小企業だから公表しなくてよいわけではない
上場会社は適時開示があるため目に入りやすい面もありますが、不正アクセスによる漏洩は、規模や上場の有無にかかわらず個人情報保護委員会への報告と本人への通知が求められます。
グループ会社では「親会社のルールに従っている」と聞くことがあります。ただ、ルールがあることと、自社のシステムで守られていることは別です。会社ごとに確かめる仕組みが必要だと思います。
侵入経路で見る｜4つのパターン
各社の発表の範囲で侵入経路を分類すると、自社が運営するシステム、アプリやAPIの仕組み、委託先、クラウドなどの基盤の4つに分かれます。多くの事案では具体的な手口は公表されていません。
| 経路 | 主な事案 | 公表内容から読み取れること |
|---|---|---|
| 自社が運営するシステム・会員データベース | So-net、タイムズカー、コミックシーモア、Joshin、カーセンサー、ヤマト運輸 | 自社が運営するWebシステムや会員データベース、社内ネットワークが外部から不正アクセスを受けた |
| アプリ・APIの仕組みの悪用 | ローソン | アプリ上で本人に情報を表示するための仕組みが第三者に不正に利用された |
| 委託先・共通システム経由 | 大和証券（委託先のサーバー）、日産・三菱自（リクルートのシステムを利用）、岩手銀行（大和証券のサービス経由） | 自社のシステムが無事でも、預けた先や共通で使うシステムから影響が及んだ |
| クラウド・ホスティング基盤 | さくらインターネット、GMOインターネットグループ | さくらでは一部サーバーで初期パスワードが平文で保存され、ログの管理体制も不十分だったことが判明した |
「自社は無事」でも顧客の情報は漏れる
3つ目の経路は特に見落とされやすいものです。大和証券の顧客情報は委託先のサーバーに履歴として残っていました。預けたデータがどこに、どれだけの期間残っているかを把握していなければ、自社だけを守っても顧客の情報は守れません。
発覚までの時間にも差がある
So-netは10月19日に不正アクセスを受け、23日に確認、27日に公表しました。一方、さくらインターネットの調査では、2025年7月以降とみられる不審な活動の痕跡も見つかっています。気づくまでに数日で済むか、1年以上かかるかは、ログを残して監視しているかどうかに大きく左右されます。
委託先経由の事案は、委託先を選んで契約した部署にも関わる話です。「どの部署が、どの会社に、どんな顧客情報を渡しているか」を一覧にすると、思ったより多くて驚く会社が多いと思います。
漏れた情報の種類で見る｜リスクの重さは中身で決まる
同じ件数でも、メールアドレスだけか、本人確認書類やパスワードまで含むかで、被害の重さはまったく違います。
| 情報の種類 | 主な事案 | 想定される二次被害 |
|---|---|---|
| 氏名・連絡先・生年月日などの基本情報 | ほぼすべての事案 | 会社を装った偽のメール、SMS、電話による詐欺 |
| パスワードなどの認証情報 | So-net（メールのパスワード5万4,401件）、Joshin（サブスクの初期パスワード）、コミックシーモア（ハッシュ化パスワード319件） | 不正ログイン。同じパスワードを使い回している他のサービスへの被害 |
| 本人確認書類 | タイムズカー（免許証画像などを含む約160万件）、Joshin（免許証画像2件、マイナンバーカード1件） | 銀行口座の開設やクレジットカードの発行などのなりすまし |
| 口座などの金融情報 | So-net（銀行口座16件）、大和証券（口座番号）、カーセンサー（個人事業主の引落口座）、GMO（不正な取引） | 金銭をだまし取る詐欺、不正な取引 |
| 購入・問い合わせなどの履歴 | ヤマト運輸（商品明細）、大和証券（問い合わせ内容） | 実際のやり取りを装った、本物らしい詐欺 |
「持っていなかったから漏れなかった」情報もある
JoshinとSo-netはクレジットカード情報は対象外と説明しており、Joshinは決済情報を自社で保持しない仕組みでした。持っていない情報は漏れようがありません。
退会者の情報やログが被害を広げている
逆に被害を広げたのが、使い終わった情報の扱いです。So-netは退会者を、タイムズカーは退会後7年以内の人を対象に含め、コミックシーモアではログファイルに残った情報が流出しました。北海道新聞の社説は、タイムズカーの免許証画像を保存し続ける必要があったのか疑問を呈しており、同社は保有ルールを改めています。
対策というと守る仕組みを足すことに目が行きますが、今回は「もう使わない情報を持ち続けていたこと」が被害を広げた例が多いと感じました。減らすことも立派な対策だと思います。
政府が示した対策の3分野と、いま自社で確認したいこと
国家サイバー統括室は、Webシステム等の管理、サプライチェーンを通じた侵害への対策、データの適切な管理の3分野で対策の点検を求めており、ここまでの4つの切り口ともそのまま重なります。
| 分野 | 主な対策のポイント | 今回の事案との関係 |
|---|---|---|
| Webシステム等の適切な管理 | OSやCMSへのセキュリティパッチの速やかな適用、サポートが終了した製品の利用停止、多要素認証の導入 | 公開システムや会員データベースへの侵入が最も多い |
| サプライチェーンを通じた侵害への対策 | 委託先の対策状況を契約時だけでなく継続的に確認、漏洩時の報告義務を契約に入れる、業務終了後のデータ削除 | 大和証券、日産・三菱自、岩手銀行など、委託先や共通システム経由で影響が広がった |
| データの適切な管理 | 情報資産の棚卸しと不要な情報の削除、保存データや通信の暗号化、パスワードを平文で保存しない | 退会者の情報、ログ、初期パスワードの扱いが被害を広げた |
同室は、公開しているシステムは「いつ攻撃を受けてもおかしくない」前提で対策するよう求めています。10月1日に一部施行された能動的サイバー防御も、企業の守りを国が肩代わりするものではありません。
まず確認したい3つの問い
- インターネットに公開しているシステムと、そこにある個人情報をすべて把握できているか
- 顧客や社員の情報を預けている委託先と、預けている情報の中身・保存期間を一覧にできているか
- 退会者の情報、ログ、テスト用のコピーなど、使い終わった個人情報が残っていないか
これらはシステム部門だけで答えられる問いではありません。委託先を選ぶのは事業部門であり、日々データを扱うのは現場の社員です。
もう一つの備え：社員の不安と顧客への説明
ニュースが続くと、自社で事故が起きていなくても、社員の間に「うちは大丈夫か」という不安が広がり、店舗や窓口では顧客から同じ質問を受けるようになります。社員ごとに答えがばらつけば、それ自体が顧客の不信につながります。社員の不安に応え、顧客への説明をそろえておくこともインシデント対応の一つです。具体的な進め方は別の記事で整理します。
政府の文書に書かれている対策は、どれも目新しいものではありません。だからこそ、知っているのに実際にはできていない部分がどこにあるかを、部署をまたいで確かめることが大切だと感じています。
ニュースに揺れる社員と、顧客への説明を整えたい方へ
TSRコンサルティングでは、社員の意思統一や部門間の連携といった組織課題をインナーブランディングの観点から診断し、社内への方針の浸透や研修・社内施策の進め方について、計画立案から実行まで助言・伴走します。情報漏洩のニュースを受けて「社員にどう説明し、顧客への対応をどうそろえるか」を考えたい段階でもご相談いただけます。料金は月5万円（税抜）からです。
まとめ
- 2026年9〜10月は、So-net、Joshin、コミックシーモアをはじめ、業種を問わず大規模な情報漏洩の公表が相次ぎ、政府も対策の徹底を求めた
- 被害は業界ではなく、多くの会員情報を持つWebサービスに集中しており、上場企業グループの中でサービスを運営する会社の事案が目立つ
- 侵入経路は、公開システム、アプリの仕組み、委託先、クラウド基盤の4つに分かれ、自社が無事でも委託先から顧客情報が漏れる例がある
- 退会者の情報やログなど、使い終わった情報を持ち続けていたことが被害を広げており、データを減らすことも重要な対策になる
よくある質問
自分の情報が対象かどうかは、どうすればわかりますか？
各社は対象者に個別に連絡すると説明しており、タイムズカーのようにマイページで確認できる会社もあります。連絡を装った偽のメールやSMSもあるため、リンクは開かず公式サイトから確認しましょう。
なぜこれほど情報漏洩が相次いでいるのですか？
公表情報からは、単一の原因は特定されていません。国家サイバー統括室は、Webシステムの脆弱性の悪用、委託先を通じた侵害、データ管理の不備を背景に挙げています。AIを悪用した攻撃の高速化が影響しているという見方もありますが、現時点では仮説の段階です。
上場企業の方が狙われやすいのですか？
公表事案には上場企業とそのグループ会社が多く見られますが、知名度や開示義務で目に入りやすい面もあります。漏洩の報告義務は、規模や上場の有無にかかわらず同じです。
「漏洩」と「漏洩した可能性」はどう違いますか？
「漏洩」は第三者に取得されたことが確認された状態、「可能性」は取得された形跡があるか否定できない段階を指します。件数も最大値や複数システムの合計であることが多く、人数と一致しない場合がある点に注意が必要です。
クレジットカード情報が含まれていなければ安心してよいですか？
安心はできません。氏名や連絡先、購入・問い合わせの履歴だけでも、本物らしく装った詐欺の材料になります。心当たりのない連絡には応じず、同じパスワードを他のサービスで使っている場合は変更しておきましょう。
関連記事
- インナーブランディングで理念を浸透させるには？4つの段階と社内コミュニケーション戦略
- インナーブランディング研修プログラムの作り方：対象者別の設計から効果測定まで
- インナーブランディングとは？定義・目的・効果を初心者向けに徹底解説
参考情報
- So-net会員データベースへの不正アクセスに伴う情報漏洩に関するお詫びとお知らせ（ソニーネットワークコミュニケーションズ）
- So-net、不正アクセスで約258万件の会員情報流出（Impress Watch）
- ジョーシンへの不正アクセス、最大623万件漏えいか（ITmedia NEWS）
- コミックシーモア、最大420万件の情報流出 サービス停止続く（Impress Watch）
- 「コミックシーモア」最大約420万件の情報流出（KAI-YOU）
- リクルート、「カーセンサーnet」などに不正アクセス（Car Watch）
- ヤマト運輸、「クロネコ代金後払いサービス」不正アクセスで約530万件の個人情報漏えい（INTERNET Watch）
- ローソンID 215万件超が漏えい（@IT）
- 大和証券、約11万人の顧客情報漏えいか 委託先に不正アクセス（ASCII）
- タイムズカー 約660万件の個人情報流出に伴う注意喚起（DXマガジン）
- タイムズカーWebサイトへの不正アクセスに関するお知らせ 第5報（タイムズモビリティ）
- 不正アクセスを受けたGMOに金銭要求 政府に「能動的サイバー防御」要請（Impress Watch）
- GMO Asks Govt to Take Active Cyber Defense Measures（nippon.com／時事）
- さくらインターネット、3年続いた不正アクセス 初期パスワードも平文保存（@IT）
- タイムズ、デジタル庁、不正アクセス続出の“魔の9月”（@IT）
- 国家サイバー統括室、相次ぐ不正アクセスによる情報漏えいを受け対策強化を要請（ケータイ Watch）
- 内閣官房国家サイバー統括室が求める「不正アクセスによる漏えい等の事案を踏まえた対応」とは（ネットショップ担当者フォーラム）
- 北海道新聞 社説（タイムズカーの情報漏えいについて）
- 情報漏えいはどこで起きたのか、2026年9〜10月の83件一覧
