このワダイ、3行で
- 2026年10月20日時点で、会社や団体が自分で「個人情報が流出した」または「流出の可能性がある」と公式に発表したものを、9〜10月分（10月分54件・9月分35件。8月発表の続報4件を含む）一覧にしました。
- 件数は「件」「人」「アカウント」などの単位まで公式の書き方のまま並べていて、足し算も大きい順の並べ替えもしていません。
- 8月以前の分は、今後、月ごとに遡って足していきます。報道だけのものや、自治体・病院・大学の誤送信などは取りこぼしがありうるので、確認できた範囲の一覧です。過去の流出との並べ方は関連ワダイにつなぎます。
「自分が使っているサービスは入っているのか」「どれくらいの数なのか」「公式は何と言っているのか」。そう思ったときに、一か所で見られるように作った一覧です。ここでいう流出は、利用者の情報が、サービスを運営する会社の外にいる人の手に渡ってしまうことです。流出の可能性は、渡ったかもしれないけれど、まだ確かめきれていないと公式が書いている状態を指します。
載せているのは、会社や団体が自分で公式に発表したものだけです。報道だけで、公式の告知を確認できていないものは入れていません。このページは2026年10月20日23時時点の内容です（10月20日16時の確認のあとに、アルカディアと『ふるさとチョイス』の2行を23時台に更新しました。ほかの行は16時台の確認のままです）。載せているのは2026年9〜10月分です（2026年10月に発表されたものが54件、9月に発表されたものが35件。8月発表の続報4件を含みます）。8月以前は載せていません。今後、月ごとに遡って足していきます。委託先とそれを使っていた会社や団体の発表は、委託先の1件にまとめています。
目次
- 2026年10月に発表されたもの（54件）
- 2026年9月に発表されたもの（35件）
- 8月に発表され、10月に続報・最終報が出たもの（4件）
- 調査の結果、流出は確認されなかったもの（3件）
- 紛失など（確認できたもの1件）
- まだ載せていないもの・調べ方
このページの読み方
- 発表日: 公式が個人情報の流出または流出の可能性を、初めて書いた日です。それより前にサービスの停止だけが告知されていた場合は、その日付を同じ欄に書いています。同じ月の中は、発表日の順に並べています。同じ日の並びに意味はありません。
- 件数: 「件」「人」「名」「アカウント」などの単位や、「最大」「約」「推計」といった言葉を、公式の書き方のまま写しています。「件」はデータの数、「人」は人数、「アカウント」は登録の数で、同じ人が複数のアカウントや複数の会社に出てくることもあります。足しても「流出した人の数」にならないので、このページでは合計を出していません。大きい順の並べ替えもしていません。
- 公式の言い方: 「流出した」「流出の可能性」「おそれ」「閲覧された可能性」「持ち出された」「誤送信」「誤公開」など、公式の言葉を言い換えずに引用しています。同じ会社でも、第1報と第2報で言い方が変わることがあるので、報ごとに書いています。
- 委託先とその利用先: 同じ委託先やサービスを使っていた会社・団体が、それぞれ自分の公式サイトで発表することがあります。その場合は委託先を1行にして、影響を公表した利用先の数（確認できた範囲）と、公式告知へのリンクを書いています。別々の行の出来事が同じ原因かどうかは、公式が書いていないかぎり、ここでは書きません。
- 種類: 公式の書き方をもとに、不正アクセス、ランサムウェア、委託先経由、誤送信、誤公開・閲覧できる状態、持ち出し・紛失に分けています。
表に出てくる言葉を、先に説明します。
- 不正アクセス: IDやパスワードの持ち主ではない人が、サービスの仕組みに入り込むことです。
- ランサムウェア: データを暗号化して使えなくする不正なプログラムです。
- マルウェア: コンピューターに入り込んで悪さをする、不正なプログラム全般のことです。
- フィッシング: 本物そっくりのメールやサイトで、IDやパスワードを入力させる手口です。
- サポート詐欺: パソコンの画面に「ウイルスに感染した」と警告を出し、連絡先に電話させて、遠隔操作のアプリを入れさせる手口です。
- 脆弱性: ソフトウェアの弱点のことです。
- ハッシュ化: パスワードを、元に戻しにくい形に変えて保存することです。
- 委託先: サービスの運営の一部を任されている別の会社のことです。
自分が使っていたら、まずやること
ここに書くのは一般的な注意で、各社のお知らせにある文ではありません。
- 公式の告知を見る。メールやSMSのリンクではなく、この表のリンクか、そのサービスの公式サイト・公式アプリから開いてください。パスワードの再設定やアプリの操作など、会社ごとにお願いの中身が違います。
- パスワードの使い回しを見直す。同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っていたら、そちらも変えておくと安心です。サービスの側から情報が出た場合、利用者のパスワードが弱かったせいではありません。ただ、使い回していると、別のサービスにも入られるおそれがあります。
- 不審なメールやSMSのURLは開かない。流出のあとは、その会社を装ったメールやSMSが届くことがあります。身に覚えのないものは、書かれたURLや添付ファイルを開かないでください。
なぜ流出は繰り返されるのか、入口や預け先の仕組みは、個人情報はなぜ漏れ続ける？『銀のさら』の「最大650万件」は何の数字か、入口から整理にまとめています。
2026年10月に発表されたもの（54件）
2026年10月1日から10月20日23時までに発表されたものです。「件」は、委託先とその利用先を束ねた4件（スカラコミュニケーションズ、コミューン、アルカディア、Studio）を、それぞれ1件と数えています。
| 発表日 | 会社・団体（対象・種類） | 何が・件数 | 公式の言い方（原文）と公式告知 |
|---|---|---|---|
| 2026年10月1日 停止などの告知は2026年9月30日（個人情報の記載なし）。最新報は2026年10月9日（第4報） |
佐川急便 『お荷物問い合わせサービス』 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 送り主・お届け先の氏名・住所・電話番号（2026年9月30日から遡って約100日間）、運賃契約を結んだ法人・個人の氏名・住所・電話番号、『スマートクラブ』登録者の氏名・住所・電話番号・メールアドレス・会員ID。カード情報・パスワードは含まれない 件数（公式のまま）: 未公表（第4報は「確認が完了していない段階の件数を公表すると実際とは異なる情報が伝わるおそれがある」） |
第2報「個人情報が外部に流出した可能性があることが判明」 公式告知 / ほか（419） / ほか（421） / ほか（426） |
| 2026年10月1日 | 日本原子力研究開発機構 研究用原子炉『JRR-3』の外部利用者向け研究支援サイト 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 顔写真付き公的身分証明証の画像（運転免許証・マイナンバーカード・パスポート・在留カード）、特殊健康診断結果、放射線業務従事者証明書。うち6名はマイナンバーを含む 件数（公式のまま）: 利用者本人が2026年5月以降に登録した367件（175人分）。身分証画像200件、特殊健康診断結果146件、放射線業務従事者証明書21件（件数と人数の合計は一致しません）。外部から不正にダウンロードされたファイルは2,419件 |
「個人情報が外部に漏えいしたことを確認」 公式告知 |
| 2026年10月2日 | 第一生命保険ほか第一ライフグループ 従業員向け人事システム 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 従業員番号、氏名、住所、電話番号、性別、所属、職位、職務、管理職上司氏名 件数（公式のまま）: 約12万名（従業員約5万名、退職者約7万名） |
「閲覧され、外部に流出した可能性」 公式告知（PDF） |
| 2026年10月2日 不正アクセスの確認は2026年9月29日（個人情報の記載なし）。最新報は2026年10月16日（第4報） |
ヤマト運輸 『クロネコ代金後払いサービス』 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 利用者情報（氏名、住所、電話番号、メールアドレス、商品明細、社内管理用情報）、お届け先情報、加盟店情報。カード情報・パスワードは含まれない 件数（公式のまま）: 利用者情報約526万件（うちメールアドレスを含む約49万件）、お届け先情報約5万件、加盟店情報約4,100件（第4報） |
第2報「漏えいした可能性」、第4報「不正に持ち出されたことが判明」 公式告知 |
| 2026年10月2日 2026年3月26日にも、不正アクセスの疑いについての告知が出ています（その本文はこの一覧では未確認） |
ムーンスター オンラインストア等（8サイト） 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 氏名、住所、電話番号、メールアドレス、過去のご注文情報。カード情報・ログインパスワードは含まれない 件数（公式のまま）: 最大59万3千人 |
第2報「個人情報漏洩の可能性があることが判明」、第3報（2026年10月15日）「漏洩した可能性が高いことが分かりました」 公式告知 |
| 2026年10月3日 最新報は2026年10月9日（続報） |
アバハウスインターナショナル オンラインストア 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、ご注文情報。カード番号は保存していない 件数（公式のまま）: 記載なし（調査継続） |
「個人情報の一部が漏えいした可能性があることが判明」 公式告知 / 続報 |
| 2026年10月4日 | 日本経済新聞社 社員の『Microsoft 365』アカウント 種類: 不正アクセス（不正ログイン） |
流出した情報（または流出の可能性がある情報）: 送信先のメールアドレスや氏名のほか、一部メールの内容 件数（公式のまま）: 公表なし（「漏洩した個人情報件数を調査」）。2026年9月30日に約9,000件のなりすましメールが送られた |
「漏洩したとみられます」 公式告知 |
| 2026年10月4日 | 日経BP 従業員のメールアカウント 種類: 不正アクセス（フィッシング） |
流出した情報（または流出の可能性がある情報）: 個人名、メールアドレス 件数（公式のまま）: 26件 |
「個人情報が漏えいした恐れがあることが判明」 公式告知 |
| 2026年10月5日 最新報は2026年10月6日（更新） |
大起水産 『大起水産公式アプリ』 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 氏名、電話番号、メールアドレス、性別、郵便番号、住所（iOS版のみ）、生年月日（任意登録）。パスワードは別サーバーで対象外 件数（公式のまま）: 174,933人（2024年11月1日〜2026年9月15日に登録した人。退会者を含む） |
「個人情報が漏えいした可能性を否定できない」 公式告知（PDF） |
| 2026年10月5日 | 物語コーポレーション 『焼肉きんぐ』公式アプリの会員管理システム 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 会員番号、氏名（アプリ登録名）、メールアドレス、電話番号。ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしていない 件数（公式のまま）: 10,788,963件（ユーザー登録数10,808,784件のうち） |
「会員情報が漏えいしたことを10月3日（土）に確認」（「公開や不正利用の事実は確認されておりません」） 公式告知 |
| 2026年10月5日 最新報は2026年10月14日（第2報） |
GMOリサーチ&AI アンケートサイト『infoQ』 種類: 不正アクセス（ソフトウェアの脆弱性） |
流出した情報（または流出の可能性がある情報）: 氏名、フリガナ、性別、生年月日、メールアドレス、住所、電話番号、パスワード（暗号化）、会員ID、ニックネーム、保有ポイント数ほか。ポイントの不正交換611件（2,869,500円分、全額補填）。クレジットカード・マイナンバーは保有していない 件数（公式のまま）: 第1報「最大94万8,498件」、第2報「外部に持ち出された個人情報89万4,082件」（内訳: 個人情報を含まない9,068件、持ち出されていなかった4万5,348件） |
「会員の皆さまの個人情報が外部に持ち出されたことを確認」 第1報 / 第2報 |
| 2026年10月6日 | ミスターマックス 『MrMaxアプリ』・オンラインストア 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 会員ID、氏名、メールアドレス、電話番号（登録状況により異なる）。住所・生年月日・カード・パスワード・購入履歴は流出していない 件数（公式のまま）: 最大1,735,154人（2026年10月3日時点の会員） |
「個人情報の一部が流出したことが判明」（対象は「流出の可能性がある」お客様） 公式告知 |
| 2026年10月6日 | 旭化成セラピューティクス 医療関係者向け情報提供サイト『Pharma DIGITAL』（運営・管理は委託先の医薬情報ネット） 種類: 委託先経由（不正アクセス） |
流出した情報（または流出の可能性がある情報）: 医療従事者の氏名、所属施設名、施設住所、職種、診療科など（うち約4万4,000名はメールアドレスなども）。従業員の氏名、メールアドレス、写真。カード情報・要配慮個人情報は保管していない 件数（公式のまま）: 医療従事者 約51万4,000名（4万4,000名はその内数）、従業員 約700名（いずれも「最大」） |
「個人情報が不正に閲覧、または取得された可能性があることが判明」 公式告知 |
| 2026年10月6日 | ニモカ 『nimoca』利用履歴照会サービス 種類: 不正アクセス（公開されているWebサービスへの攻撃） |
流出した情報（または流出の可能性がある情報）: カード番号（裏面「NR」で始まる17桁）、生年月日、サービスに登録されているメールアドレス。氏名・住所・電話番号・性別・利用履歴は確認できていない 件数（公式のまま）: 521件 |
「一部のお客さまの個人情報が漏えいしたことが判明」 公式告知（PDF） |
| 2026年10月6日 最新報は2026年10月8日（更新） |
楽天モバイル 『楽天ドライブ』 種類: 不正アクセス（管理用アカウントの認証情報の取得） |
流出した情報（または流出の可能性がある情報）: ①アカウント名、ディスプレイネーム、プロフィール用画像URL ②①に暗号化されたパスワードと復元困難化用の文字列を加えたもの ③楽天ドライブ上に保存されたデータ（写真・文書等を含む） 件数（公式のまま）: ①687件 ②313件 ③15,382件（対象アカウント数） |
「以下の情報が取得・閲覧されたことを確認」 公式告知 |
| 2026年10月6日 利用側で最初に発表したのは大和証券（2026年10月5日）。損保ジャパンは2026年10月7日 |
スカラコミュニケーションズ（委託先）と、それを使っていた会社 スカラ: FAQシステム『i-ask』の問い合わせ情報 種類: 委託先経由（管理サイトへの不正ログイン・不正プログラムの設置） |
流出した情報（または流出の可能性がある情報）: お問い合わせ情報（氏名、メールアドレス、お問い合わせ内容等。項目は利用企業により異なる）。利用側の公式: 大和証券は氏名・メールアドレス・口座番号等、シチズン時計は氏名・住所・電話番号・メールアドレス等、損保ジャパンは氏名・電話番号・住所・メールアドレス・ドライバーID等 件数（公式のまま）: スカラ「最大713,126件（お問い合わせ単位の延べ件数。同一人の複数回を含む。実人数は名寄せ中）」。利用側: 大和証券 約11万名（個人を特定できない問い合わせ等を含め約22万件）、シチズン時計 約10万名分、損保ジャパン 約6万件（重複を含む） 影響を公表した利用団体: 公式で確認できたのは3社（スカラの告知は「最大5社」） |
スカラ「外部に漏えいした可能性があることが判明」 スカラ / 大和証券 / シチズン時計 / 損保ジャパン |
| 2026年10月6日 第1報は2026年9月30日（学内システムへの不正アクセス。漏えいの記載なし） |
関西国際大学 eポートフォリオシステム 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 2023年3月までに在籍していた学生の在学中の経験や振り返り等の文字情報（氏名・学籍番号を含むかは確認中） 件数（公式のまま）: 記載なし（対象となる方の範囲および件数を調査中） |
第2報「外部に流出したと判断しています」 第2報 / 第1報 |
| 2026年10月7日 | エイチ・アイ・エス（H.I.S.） タイ現地法人 H.I.S. TOURS CO., LTD. のファイルサーバー 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: パスポート情報（アルファベット氏名、署名欄の名前、性別、生年月日、パスポート番号、有効期限）、アレルギー情報。電話番号・住所・メール・カード情報は含まれない。検知は2025年12月11日 件数（公式のまま）: 最大627名 |
「個人情報流出の可能性」「データの一部が不正に引き出された可能性」 公式告知（PDF） |
| 2026年10月7日 | 戸田建設 取引先への支払いを管理するシステム等 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 取引先担当者のメールアドレス、取引データ。従業員の氏名、住所、電話番号、メールアドレス、所属部署 件数（公式のまま）: 取引先メール最大7,200件、取引データ最大6,000件、従業員4,778名分 |
「外部に漏洩したことが判明」 公式告知 |
| 2026年10月8日 最新報は2026年10月19日（予約機能の再開の更新） |
ローソン 『ローソンID』、『ローソンアプリ』の予約機能 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 『ローソンID』: メールアドレス、氏名、性別、電話番号、住所、メルマガ取得情報。アプリ予約: 氏名、電話番号、クレジットカード番号の一部 件数（公式のまま）: 『ローソンID』215万5,345件、アプリ予約 26件 |
「個人情報の一部が漏えいしたことが判明」 公式告知 |
| 2026年10月8日 第1報の件数は、この一覧では確認できていません |
ユーザベース 『NewsPicks』 種類: 不正アクセス（管理ツールの脆弱性） |
流出した情報（または流出の可能性がある情報）: メールアドレス、氏名、生年月日、配送先住所・宛名、所属、所属先電話番号、役職の7分類、カード情報の一部（名義と番号の下3桁または下4桁）、運営担当窓口名と連絡先メールアドレス。カード番号全体・セキュリティコードは保存していない 件数（公式のまま）: 第2報（2026年10月9日）の最大想定件数: メールアドレス32.3万件、氏名5.9万件、生年月日2.8万件、配送先住所・宛名3.1万件、所属6.5万件、所属先電話番号2.9万件、役職の7分類27.3万件、カード情報の一部36.2万件、窓口名と連絡先122件 |
「漏洩の可能性がある情報」 公式告知 |
| 2026年10月8日 最新報は2026年10月9日（追記） |
第一興商 『ビッグエコー』、『DAM』など（委託先の日本コロムビアグループ従業員のPC1台がマルウェアに感染） 種類: 委託先経由（マルウェア感染） |
流出した情報（または流出の可能性がある情報）: 氏名（登録名）、性別、生年月日、メールアドレス、電話番号。パスワードは含まれない 件数（公式のまま）: 「おそれ」の範囲: お客様情報約8,631,000件（重複約515,000件を差し引き）、従業員情報約93,000件、総合計約8,724,000件 |
「個人情報が実際に外部へ漏えいした事実…は確認されておりませんが」「漏えいしたおそれを否定できない」 公式告知 |
| 2026年10月9日 利用側で最初に発表したのは青森県（2026年10月8日）。最新報は2026年10月16日（コミューン） |
コミューン（委託先）と、それを使っていた団体 コミューン: 『Commune』『Commune for Work』（コミュニティのサービス） 種類: 委託先経由（不正アクセス。非公開コミュニティの招待リンクを不正に取得され、管理者になりすまされた） |
流出した情報（または流出の可能性がある情報）: コミューン: メールアドレスを含む情報、表示名・自己紹介・非公開グループの所属など。パスワードそのもの・ダイレクトメッセージの漏えいは確認されていない。決済情報は保持していない 件数（公式のまま）: コミューン約30.7万人（推計。メールアドレスを含む約12.6万人〈従業員・テスト用約4.2万人を含む〉、含まない約18.1万人）。利用側: 青森県『青森びいき』最大2,950人（会員数15,847人）、ヤマハ『ヤマハネットワークエンジニア会』約1,600名分、スズキ『スズキヴィレッジ』約3,000名分、ユニリタ『おしごと改革らぼ』最大1,169名（確認中） 影響を公表した利用団体: 公式で確認できたのは4団体（ほかに報道されている企業もありますが、公式告知は確認できていません） |
コミューン「外部の第三者に漏えいしたことを確認」。利用側は、青森県「漏洩した可能性」、ヤマハ「漏えいしました」、スズキ「閲覧・取得された可能性」、ユニリタ「漏えいしたとの報告」（団体ごとに言い方が違います） コミューン / 青森県 / ヤマハ / スズキ / ユニリタ |
| 2026年10月9日 最新報は2026年10月16日（第2報の一部訂正） |
ブックオフグループホールディングス（子会社の会員管理システム） アプリ会員・オンラインストア会員・Web会員 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号（2026年10月16日に職業・ニックネームを追加）。決済情報は保有していない 件数（公式のまま）: 第1報「最大 約643万件」（会員番号の件数であり人数ではない）、第2報「会員番号ベース6,427,735件」「対象者数6,383,279人（有効会員6,170,908人、退会会員212,371人）」 |
「会員情報が外部に流出したことを確認」 第1報（TDnet） / 第2報（TDnet） / 訂正（TDnet） |
| 2026年10月9日 | ディップ 『バイトル』『バイトルNEXT』 種類: 不正アクセス（仕様の不備を突いた海外からの不正アクセス） |
流出した情報（または流出の可能性がある情報）: メールアドレスのみ（氏名・電話番号・パスワード・カード情報は含まれない） 件数（公式のまま）: 最大3,885,771件（「漏えいした可能性のある件数」） |
題「一部メールアドレス漏えいに関するお知らせ」、本文「メールアドレスが一部漏えいいたしました」 公式告知 |
| 2026年10月9日 | ココナラ 『ココナラスキルマーケット』 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 履歴書・職務経歴書を登録した会員の一部の情報。カード情報・パスワードは対象外 件数（公式のまま）: 履歴書449件、職務経歴書関連書類1,845件 |
「個人情報が外部に漏洩した事実を確認」「外部に持ち出された形跡を確認」 公式告知 |
| 2026年10月9日 | リゾートトラスト 会員向けウェブサイト 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: サーバに保管されていた個人情報の一部（項目名の一覧は告知になし）。利用履歴・医療情報・カード情報・口座情報・メールアドレス・本人確認書類等は含まれない 件数（公式のまま）: 一部の当社グループ会員約2万6千件、『ザ・カハラホテル&リゾート 横浜』の予約者約3万6千件 |
「個人情報の一部が外部に漏洩したことが判明」 公式告知（TDnet） |
| 2026年10月9日 最新報は2026年10月16日（第2報） |
アドベンチャー 比較予約サイト『skyticket』 種類: 不正アクセス（管理機能の不正操作ほか）、予約完了ページがログインなしで表示できる状態 |
流出した情報（または流出の可能性がある情報）: ①氏名（パスポート表記を含む）、生年月日、メールアドレス、電話番号、郵便番号・住所、振込時の依頼人名義、ハッシュ化したログインパスワード ②氏名、電話番号、返金先の口座情報など ③バス予約の氏名・年齢・性別・メールアドレス・電話番号など。第2報で「2017年2月〜2018年6月のカード情報（カード番号、名義人名、有効期限）」も流出と判明。セキュリティコード・パスポート番号は含まれない 件数（公式のまま）: ①約1,464万件（うち会員のログインパスワードを含むもの約413万件） ②17,780件（重複を含む） ③ご予約約12,000件。第2報のカード情報は最大6,140人 |
「個人情報が外部に流出したこと、または流出したおそれがあることが判明」。第1報は「カード情報の流出はない」としていましたが、第2報で訂正 第1報 / 第2報 |
| 2026年10月13日 サイト・アプリの停止は2026年10月7日。最新報は2026年10月13日（第3報。10月20日16時台の時点で新しい報はなし） |
ライドオンエクスプレスホールディングス 『銀のさら』『釜寅』『すし上等』の公式サイト・公式アプリ 種類: ランサムウェア（委託先のサーバーが攻撃を受けた）。自社でも2026年10月5日以降に不正アクセスを検知 |
流出した情報（または流出の可能性がある情報）: 氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、ご注文履歴、デリポイント会員ID。クレジットカード情報は対象外 件数（公式のまま）: 最大 約650万件（「漏洩した可能性のある総件数であり、個人情報漏えいが確定した件数ではありません」） |
第3報「個人情報が漏えいした可能性があることが判明」「漏えいの事実および範囲を特定するには至っておりません」 第3報 / ほか（1） / ほか（2） |
| 2026年10月13日 サービス停止の第1報は2026年10月13日15時50分。漏洩の可能性は同日18時47分の第2報。最新報は2026年10月20日14時（第13報。随時更新）。10月19日10時に、経過の詳しい資料（第12報）を公表 |
アルカディア（委託先）と、それを使っていた自治体・消防本部など 一斉同報・通報サービス『SpeeCAN RAIDEN』『NET119』『119RAIDEN』 種類: 委託先経由（第三者による不正アクセス。2026年10月11日に確認） |
流出した情報（または流出の可能性がある情報）: 連絡先の名前、メールアドレス、電話・FAX番号、担当者、契約情報、履歴として保存された本文。『NET119』は利用者の名前・生年月日・性別・住所ほか。決済情報は対象外 件数（公式のまま）: 『SpeeCAN RAIDEN』の最大推定: メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件（推定値）。『NET119』は9,020件のメールアドレスに紐づく個人情報。『119RAIDEN』: メールアドレス約97,000件、電話番号約17,000件、FAX番号約400件 公式の経過資料（2026年10月19日公表）: 不正アクセスを検知したのは2026年10月11日23時40分、侵入経路を遮断したのは10月12日3時、全サービスの復旧が完了したのは10月15日15時10分。不正なプログラムによって外部に配信されたメールは、「その総数が1,423,428」（単位の記載はありません）で、「多くは、クレジットカード会社からの残高確認のような内容でフィッシング詐欺が疑われます」としています。個人情報漏洩の可能性の調査と具体的な数値等の特定には「なお時間を要する見通し」としています この件について公式ページを出している利用団体: 自治体・消防本部・警察など約480〜510（確認できた範囲。数え方により幅があります）。そのうち約25団体は「影響なし」「別の事業者」などと書いています。残りの団体ページは、編集部が本文を読んだのは一部だけで、各団体への影響の有無は個別には確認していません。この一覧には、団体ごとの行は載せていません |
「個人情報が漏洩した可能性がある」（『NET119』『119RAIDEN』は2026年10月16日の第11報で可能性を確認） 公式告知 / 経過ページ / 経過の公式資料（PDF、10月19日付） |
| 2026年10月13日 | Fivot 『IDARE』 種類: 不正アクセス（外部ソフトウェアの脆弱性の悪用。2026年8月10日〜9月27日に複数回） |
流出した情報（または流出の可能性がある情報）: 電話番号、メールアドレス、生年月日、ユーザーID、表示名、残高・取引履歴、カードの名義・有効期限など。一部の対象者は氏名、住所、本人確認書類の番号、カード番号の下4桁、入金用カードの先頭6桁と下4桁など。本人確認書類の画像・マイナンバー・パスワード・全桁番号・暗証番号は漏れていない 件数（公式のまま）: 129,659人（2026年9月27日までの登録。退会済みを含む） |
「個人情報が外部に漏えいしたことが判明」「第三者に取得されました」 公式告知 |
| 2026年10月13日 | NEXT STAGE 『Qualiz』（旧『GenKan-NS』『TeiKan-NS』を含む）、『ACRO5』 種類: 不正アクセス（BIツール『Metabase』の脆弱性。2026年9月22日〜10月9日） |
流出した情報（または流出の可能性がある情報）: お取引先様・認定現場監査士の氏名、電話番号、メールアドレス。認定現場監査士のみ住所・生年月日・資格・血液型。旧サービスのみ認証情報 件数（公式のまま）: 最大約40,000件 |
「第三者がアカウントを不正に利用し閲覧できる状態にあった」「漏えいの可能性のある内容」 公式告知（TDnet） |
| 2026年10月13日 | 日本郵便 『JP Business Tool Box』の送り状注文機能 種類: 誤公開・閲覧できる状態（アプリケーションの不具合。不正アクセスではない） |
流出した情報（または流出の可能性がある情報）: 発注元情報（お客さま名〈法人名〉、部署名、ご担当者名、郵便番号、お届け先住所、電話番号、メールアドレス） 件数（公式のまま）: 最大4,807件が閲覧された可能性 |
題「漏えいのおそれ」。中身は、他のお客さまが閲覧できる状態だったというもの 公式告知 |
| 2026年10月14日 | アエナ ECアプリ 種類: 不正アクセス（機械的な連続アクセス） |
流出した情報（または流出の可能性がある情報）: 氏名、フリガナ、住所、電話番号、メールアドレス、生年月日、性別、職業、お届け先情報、お気に入り店舗、メール配信設定、カード情報の一部（下4桁、有効期限、名義）。パスワード・カード番号全桁は含まれない 件数（公式のまま）: 最大817,215人（本会員） |
件名「お客様情報流出の可能性について」。項目は「閲覧された可能性」 公式告知 |
| 2026年10月15日 | ビーケー・ジャパン 『バーガーキング』公式アプリの会員 種類: 不正アクセス（2026年10月2日〜7日。10月13日に判明） |
流出した情報（または流出の可能性がある情報）: 会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無。カード番号・パスワードは漏えいしていない 件数（公式のまま）: 約1,118万件 |
「会員情報が外部に漏えいしたことを確認」 公式告知（PDF） |
| 2026年10月15日 | ビューティガレージ ECサイト 種類: 不正アクセス（2026年10月10日〜12日） |
流出した情報（または流出の可能性がある情報）: サロン名、お客様名、メールアドレス、電話番号など。住所・購入履歴・決済情報は流出していない 件数（公式のまま）: 775,725件 |
「会員情報の一部が漏洩したことが判明」 公式告知（TDnet） |
| 2026年10月15日 | ACCESS 連結子会社 ACCESS AP TAIWAN の業務支援サービス『CROS』（台湾・香港・マカオ・シンガポールの顧客） 種類: 不正アクセス（特定の1社にだけ提供したBIツールが起点） |
流出した情報（または流出の可能性がある情報）: お客様ID・受注IDの氏名、電話番号、住所、メールアドレス、受注情報。一部はクレジットカード番号、セキュリティコード、有効期限、氏名（決済未完了の受注のみ）。決済サービスのアカウント情報 件数（公式のまま）: お客様ID 155,280件、受注ID 231,998件。カード関連は延べ1,671件（アカウント1,305件。全件が漏洩したものは4件で、残り1,301件はセキュリティコード以外）。不正メール送信11,441件 |
「個人情報が外部に流出したことが判明」「漏洩が確認されている」 公式告知（TDnet） |
| 2026年10月15日 | 日本生命病院（日本生命済生会） 訪問看護ステーション 種類: 不正アクセス（サポート詐欺。2026年9月19日。業務用PC1台・私物スマートフォン1台） |
流出した情報（または流出の可能性がある情報）: 利用者の氏名、居住する区、状態を点数化した情報（医療依存度・認知機能・介護度・緊急時の搬送方法等）。連携機関職員の勤務先・氏名・番号。役員の氏名・役職・生年月日・住所・電話番号。関係職員の氏名・電話番号。マイナンバー・口座・カード情報は含まれない 件数（公式のまま）: 計253名分（利用者194名、連携機関職員14名、役員12名、関係職員33名） |
「個人情報が外部に漏えいした可能性のある事案」。「第三者に閲覧された…事実は確認されておりません」とする一方、可能性は完全には否定できないとしています 公式告知 |
| 2026年10月15日 10月20日16時台の時点で変更なし |
ソースネクスト 会員情報を管理するシステム 種類: 不正アクセス（会員情報を取得する仕組み〈API〉の不正利用。2026年10月9日〜。10月13日に確認） |
流出した情報（または流出の可能性がある情報）: メールアドレス、パスワード（保存方式は告知に記載なし）、氏名、氏名カナ、住所、性別、電話番号、FAX番号、生年月日、会社名、役職名、部署名、システム固有の識別情報。カード情報は対象外 件数（公式のまま）: 22,519,960件（「流出した可能性のある」件数。全項目が全員分ではない） |
「流出した可能性」 公式告知 / ほか |
| 2026年10月16日 緊急メンテナンスの告知は2026年10月15日（「不正なアクセスが行われた可能性が高い」。個人情報の記載なし）。最新報は2026年10月18日（第3報。「原因は特定済み」） |
NTTソルマーレ 『コミックシーモア』 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: メールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネーム。第3報でシステムログファイルの一部も閲覧・取得と判明（精査中）。カード情報は保有していない。購入履歴の流出・MY本棚の消失は確認されていない 件数（公式のまま）: 精査中（未公表） |
第2報「会員情報が第三者へ流出したことを確認」 第2報 / 第3報 |
| 2026年10月16日 | ファンケル／アテニア 両社のECサイト 種類: 不正アクセス（2026年10月3日〜10日。10月15日に判明。詳細は開示を差し控える） |
流出した情報（または流出の可能性がある情報）: メールアドレス、氏名、住所、電話番号、生年月日、性別、お客様番号、ハッシュ化された2次パスワード、本人認証質問項目（回答は含まない）、ポイント情報など。決済情報は含まれない 件数（公式のまま）: ファンケル 393,785件（368,184名）、アテニア 441,162件（417,312名）。合算の公式数値はなし |
「会員情報の一部が外部に漏えいしたことが判明」 公式告知（PDF） |
| 2026年10月16日 | ゴルフダイジェスト・オンライン 社内システム 種類: 不正アクセス（侵入経路は調査中） |
流出した情報（または流出の可能性がある情報）: 従業員・退職者・委託先の氏名（一部フリガナ）と社用メールアドレス。顧客は氏名、性別、生年月日、電話番号、メールアドレス、住所、ログインID、保有ポイントなど（4件） 件数（公式のまま）: 従業員等1,789件、顧客55件（識別子IDのみ51件＋個人情報を含むもの4件。2026年10月16日時点） |
従業員等は「外部に流出したことを確認」、顧客は「外部から照会された可能性」 公式告知 |
| 2026年10月16日 | トレードワークス 岩井コスモ証券に提供するインターネット取引システム 種類: 不正アクセス（管理機能の設定不備を悪用された） |
流出した情報（または流出の可能性がある情報）: 氏名、メールアドレス他 件数（公式のまま）: 4,611名（2026年10月16日現在。「漏洩した可能性のある情報の対象」） |
「お客様の情報が外部へ漏洩したことが判明」 公式告知（TDnet） |
| 2026年10月16日 最新報は2026年10月20日12時30分（Studio。個人情報保護委員会への連名での報告の案内を更新） |
Studio（委託先）と、それを使っていた団体 Studio: Webサイト制作サービス『Studio』のクラウド環境 種類: 委託先経由（一部機能の脆弱性の悪用。2026年9月30日〜10月1日。10月13日に確認） |
流出した情報（または流出の可能性がある情報）: Studio: アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、Studio上で管理されているデータ（CMS内容、フォームに送信された内容、reCAPTCHA設定、WebhookのURL）、ライブプレビューURL、認証情報（外部サービスのAPIキー・トークンなど）。復号に必要な鍵も読み出された 件数（公式のまま）: Studio: 全体の件数は示されず「対象の件数は精査中」。利用側（いずれも問い合わせフォーム等で取得した個人情報）: 埼玉県『さいたま緑の森博物館』162件、Link-Uグループ 7,663件、LiNKX 1,890件、and US 合計1,024件 影響を公表した利用団体: 公式で確認できたのは4団体（Studioが対象の件数を精査中のため、今後増える場合があります） |
Studio「外部に流出した可能性」「実際に第三者に取得された事実は確認できておりませんが、取得されたものとみなして対応」。利用側は「漏えいの可能性」「否定できない状況」 Studio / Studio第一報 / 埼玉県 / Link-U / LiNKX / and US |
| 2026年10月16日 受付停止の告知は2026年9月25日（不正アクセスの可能性。個人情報の記載なし） |
日本郵便 『国際郵便物の調査請求Web受付サービス』 種類: 誤公開・閲覧できる状態（第三者による閲覧が可能な状態） |
流出した情報（または流出の可能性がある情報）: 差出人の氏名、住所、電話番号、メールアドレス、受取人の氏名・住所・電話番号・メールアドレス（任意）、問い合わせ番号など 件数（公式のまま）: 約600件が第三者による閲覧が可能な状態だった（実際に閲覧されたかは確認できていない） |
「閲覧が可能な状態」 公式告知 |
| 2026年10月17日 最新報は2026年10月19日（同じ文面で日付のみ更新） |
Joshin ネットワーク（一部のサービスが提供できない状態） 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 個人情報やその他重要な情報の流出の有無を確認中（項目の記載なし） 件数（公式のまま）: 記載なし |
「現時点では個人情報漏洩の可能性も否定できません」 公式告知（PDF） |
| 2026年10月19日 | ニフティ 光回線の申し込み・受付管理システム（『@nifty光』『@nifty MAX光』『@nifty auひかりプラス』） 種類: 不正アクセス（原因は告知に記載なし） |
流出した情報（または流出の可能性がある情報）: 会員ID、氏名、性別、生年月日、住所、電話番号、メールアドレス（「漏えいした可能性のある情報の全項目」）。口座・カード情報は対象外 件数（公式のまま）: 最大542,513件（2019年以降に当社Webサイト以外の経路から申し込んだ顧客） |
題【第一報】。「外部からの不正なアクセスを確認」「漏えい対象」「漏えい情報については調査中」 公式告知 |
| 2026年10月19日 最新報は2026年10月19日19時5分（更新） |
ユミルリンク メール配信サービス『Cuenote FC』専用ASPプラン（5システム） 種類: 不正アクセス（プログラムの脆弱性、サポート担当者の認証情報の取得、不正プログラムの設置とデータ出力） |
流出した情報（または流出の可能性がある情報）: メールアドレスを含む情報（項目の詳細は調査中） 件数（公式のまま）: 延べ約900万件が出力されたと試算 |
「個人情報が外部に持ち出されたことを確認」 公式告知 / TDnet |
| 2026年10月19日 | ジグザグ 越境EC『WorldShopping』 種類: 不正アクセス（メール配信システムと入力フォームの不備。2026年10月15日〜16日） |
流出した情報（または流出の可能性がある情報）: メールアドレス、氏名、住所、電話番号、注文に関する情報（人により異なる）。カード情報・パスワードは含まれない 件数（公式のまま）: 海外のお客様301名（2026年10月19日時点） |
「個人情報が外部に漏えいしたことを確認」 公式告知（TDnet） |
| 2026年10月19日 | 東邦ホールディングス（子会社エンタッチ） 医療従事者向け予約サービス等 種類: ランサムウェア（ランサムウェア攻撃を行う第三者による不正アクセス） |
流出した情報（または流出の可能性がある情報）: 医療従事者の氏名、所属医療機関、所在地都道府県、ユーザーの氏名とメールアドレス、予約時に入力された電話番号とメールアドレスなど 件数（公式のまま）: 調査中（記載なし） |
「保有する情報の一部が外部に漏洩したことが判明」 公式告知（TDnet） |
| 2026年10月19日 サイトの停止は2026年10月16日 |
日本郵政 『ゆうゆうポイント』のサイト（『ゆうID』でログイン） 種類: 不正ログイン（外部で漏えいしたID・パスワードのリストを用いたなりすましログイン） |
流出した情報（または流出の可能性がある情報）: 『ゆうID』会員情報（氏名、住所、生年月日、性別、電話番号、メールアドレス、お勤め先情報、家族状況、住所録登録情報）が閲覧された可能性。249件のうち1件のアカウントの住所情報83件が不正取得された可能性 件数（公式のまま）: ログインされた可能性のあるアカウント249件 |
「閲覧された可能性」。「現時点において、当社システムからの情報漏えいは確認されておりません」 公式告知 |
| 2026年10月19日 10月20日23時台の時点で変更なし |
クリプトン・フューチャー・メディア 『SONICWIRE』『D2R』 種類: 不正アクセス（2026年10月17日に確認。原因は究明中） |
流出した情報（または流出の可能性がある情報）: 『SONICWIRE』会員（ニュースレター購読者を含む）の氏名、メールアドレス、ハッシュ化されたパスワード、住所（請求書等で入力した場合）、システム固有の識別情報。『D2R』登録店舗の氏名、店舗名、ログインID、ハッシュ化されたパスワード。カード情報は保存なし 件数（公式のまま）: 『SONICWIRE』は最大約42万件。『D2R』は件数の記載なし |
「個人情報が閲覧・取得された可能性があることが判明」 公式告知 |
| 2026年10月19日 予約サイトの停止は2026年10月16日。10月20日23時台の時点で新しい発表なし |
エイチ・ツー・オー リテイリング（阪急阪神百貨店） 予約サイトと、通販『HANKYU HANSHIN E-STORES』『Remo Order』 種類: 不正アクセス（顧客管理システム。2026年10月16日に確認） |
流出した情報（または流出の可能性がある情報）: 『H2O ID』の氏名（漢字・カナ）、性別、メールアドレス、郵便番号、住所、携帯電話番号、電話番号、年齢、生年月日、『H2O ID』でのご利用サービス情報。通販2サイトは「漏えいの可能性について調査中」。ログインパスワードの漏えいは確認されていない 件数（公式のまま）: 『H2O ID』のうち約126万件の個人情報の一部 |
「個人情報の一部が漏えいしたことが判明」 公式告知（PDF） |
| 2026年10月20日 サービスの停止は2026年10月19日15時50分（この日の告知は「不正アクセスの疑い」で、流出の記載なし） |
トラストバンク 『ふるさとチョイス』の会員情報 種類: 不正アクセス（不正アクセスがあったのは2026年10月17日） |
流出した情報（または流出の可能性がある情報）: 氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額 件数（公式のまま）: 会員情報4,454,097件（「今後の調査により変動する可能性があります」） |
「会員の個人情報が外部に流出したことが判明」 公式告知 |
『コミックシーモア』の止まった間の扱いは『コミックシーモア』の停止で、買った電子書籍はどこまで読める？ 公式発表と規約から整理で整理しています。
2026年9月に発表されたもの（35件）
2026年9月1日から9月30日までに発表されたものです。9月に発表されて、10月に続報が出たものも、最初の発表の月であるこの表に入れています。委託先とその利用先を束ねたもの（ApplyNow、手間いらず）は、それぞれ1件と数えています。
| 発表日 | 会社・団体（対象・種類） | 何が・件数 | 公式の言い方（原文）と公式告知 |
|---|---|---|---|
| 2026年9月1日 | TRUNK ホテル運営（従業員のメールアカウント） 種類: 不正アクセス（メールアカウント） |
流出した情報（または流出の可能性がある情報）: 氏名、住所、メールアドレス、勤務先等。クレジットカード情報は保有していない 件数（公式のまま）: 424件 |
見出し「漏えいした可能性のある情報」、本文「外部に漏えいしたことが判明」（同じ告知の中で強さが違います） 公式告知 |
| 2026年9月1日 最新報は2026年9月28日（第二報） |
三井不動産 グループのシステム 種類: 不正アクセス（資格情報の不正利用） |
流出した情報（または流出の可能性がある情報）: 役職員等の氏名、メールアドレス、部署、役職。社外関係者のメールアドレス、メールの表示名。要配慮個人情報は含まれない 件数（公式のまま）: 役職員等 最大19,000件、社外関係者 最大36,000件（「最大件数であり、すべての情報が実際に第三者に閲覧・取得されたことを確認したものではありません」） |
第1報「漏えいした可能性」。第二報（2026年9月28日）「第三者に情報の一部を閲覧された可能性」「外部に流出した事実も確認されておりません」 第1報（PDF） / 第二報（PDF） |
| 2026年9月4日 | アップ 『洛西進学教室』『進学館』のサイト 種類: 不正アクセス（プラグインの脆弱性の悪用） |
流出した情報（または流出の可能性がある情報）: 講師採用応募者の氏名、フリガナ、性別、年齢、出身・在籍大学、学年、郵便番号、住所、電話番号、携帯番号、メールアドレス、希望内容等。サイト管理者の従業員の氏名、メールアドレス 件数（公式のまま）: 講師応募者10名、従業員3名（計13名） |
「閲覧された可能性があることが判明」。「外部へ持ち出された痕跡は確認されておりません」 公式告知（PDF） |
| 2026年9月4日 | 東京都大田区 区民プラザの端末（職員・施設利用者） 種類: 不正アクセス（警告画面に出た連絡先に電話した件。公式は「サポート詐欺」の語を使っていない） |
流出した情報（または流出の可能性がある情報）: 職員や施設利用者の氏名等 件数（公式のまま）: 556人 |
「不正アクセスによる個人情報の漏えいの可能性について、引き続き調査中」 公式告知 |
| 2026年9月5日 | 三重県 県ホームページに掲載した社会医療法人の事業報告書等 種類: 誤公開 |
流出した情報（または流出の可能性がある情報）: 診療日誌の「患者氏名」「診察日」「新患・再診の別」「診察券番号」「保険点数」「請求金額」「自費診療分」「特記事項」。特記事項には一部の患者の健診、疾病、未収金、予約日等 件数（公式のまま）: 71人分（2026年6月17日〜7月2日に公開。7月2日に外部からの連絡で判明し、すぐ削除） |
題「県ホームページでの個人情報の流出について」 公式告知 |
| 2026年9月7日 続報は、この一覧では確認できていません |
東京科学大学 情報基盤 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 統合当時に在籍していた学生・教職員など構成員の氏名・住所・メールアドレスを含む個人情報。病院の患者の情報の漏えいは確認されていない 件数（公式のまま）: 記載なし（調査中） |
「個人情報が漏えいした疑いがあることが判明」 公式告知 |
| 2026年9月8日 | 日本大学（理工学部） 教職員1名のメールアカウント 種類: 不正アクセス（フィッシングによるアカウント乗っ取り。2026年8月7日発生、8月19日検知） |
流出した情報（または流出の可能性がある情報）: 当該1名のメールボックスに保存されていた個人情報 件数（公式のまま）: 不審メールの宛先50件。個人情報の件数は記載なし |
「第三者が閲覧可能な状態にあったため…個人情報が取得された可能性を完全には否定できません」 公式告知 |
| 2026年9月8日 | 立教大学 学生・卒業生のGoogleアカウント 種類: 不正アクセス（海外から） |
流出した情報（または流出の可能性がある情報）: 迷惑メール本文内に教員1名の氏名とメールアドレス。メール本文や含まれる個人情報が閲覧された可能性 件数（公式のまま）: 学生4名と卒業生2名の計6アカウント。迷惑メール17,668件 |
「第三者に閲覧された可能性を完全には否定できません」 公式告知 |
| 2026年9月9日 利用側の吉野家ホールディングスの発表は2026年9月30日。最新報は2026年10月9日（ApplyNowの更新） |
ApplyNow（委託先）と、それを使っていた会社 ApplyNow: 採用管理プラットフォーム『Interview Cloud』『ApplyNow』『ApplyNow Sign』 種類: 委託先経由（データ分析ツールの脆弱性を突いた不正アクセス。2026年8月9日〜9月7日） |
流出した情報（または流出の可能性がある情報）: 応募者の氏名（カナ）・メールアドレス・電話番号、企業担当者のユーザー名等。『ApplyNow Sign』は雇用契約情報、個人番号、基礎年金番号、金融機関口座情報を含む契約者情報。一部は生年月日、性別、住所、職業。画像・PDF・面接動画は不正アクセスの対象外 件数（公式のまま）: ApplyNow: 2026年9月9日は「調査中」、10月9日は「約39万人（うち『ApplyNow Sign』の利用者約3万人。外部機関の調査結果で確定）」。利用側: 吉野家 4,998件、はなまる 368件、従業員418件（アカウント数） 影響を公表した利用団体: 公式で確認できたのは1社（吉野家ホールディングス〈吉野家・はなまる〉） |
2026年9月9日「個人データが外部へ漏えいした可能性が検知されました」、10月9日「漏えいの事実が確認されました」 ApplyNow / きちりHD（親会社） / 吉野家HD |
| 2026年9月11日 | 練馬区（男女共同参画センターえーる） 「女性のためのデジタルスキル習得プログラム」受講者専用チャット（運営は委託先） 種類: 誤公開・閲覧できる状態（設定ミス。委託先から区への報告がなかったことも記載されています） |
流出した情報（または流出の可能性がある情報）: 氏名、メールアドレス 件数（公式のまま）: 受講者71名分（2026年7月14日〜27日） |
題「講座受講者の個人情報の漏えいについて」。「他の受講者および講師から閲覧可能な状態」 公式告知 |
| 2026年9月14日 | 日本大学（本部） 教員計5名のアカウント 種類: 不正アクセス（フィッシングによる認証情報の窃取。2026年8月7日発生、8月29日検知） |
流出した情報（または流出の可能性がある情報）: 「一部のデータへアクセスされた可能性」（項目の記載なし） 件数（公式のまま）: 対象アカウントは教員計5名、不審メール1,333件。漏えい件数の記載なし |
「大規模な抽出や持ち出し等の痕跡は確認されておりません」「一部のデータへアクセスされた可能性」（「漏えい」の語は使っていません） 公式告知 |
| 2026年9月14日 2026年7月7日に先行して公表 |
プルデンシャル生命保険 元営業社員による持ち出し・紛失 種類: 持ち出し・紛失 |
流出した情報（または流出の可能性がある情報）: ご契約者の氏名、電話番号、住所、加入商品名、証券番号、勤務先等、契約の状況、被保険者の氏名など 件数（公式のまま）: 1,570名 |
題「お客さまの個人情報の漏えいに関するお詫び」。「不正に持ち出し、退職後に当該情報を紛失していた」 公式告知（PDF） |
| 2026年9月15日 第1報は2026年9月11日（不正アクセスの可能性がある事象。個人情報の記載なし） |
ロート製薬 通販のお客様対応システム 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 通話音声データおよびこれに付随する情報。顧客管理システムも不正アクセスで影響の可能性 件数（公式のまま）: 調査中（記載なし） |
「第三者により不正に取得された可能性があります」 公式告知 / 第1報 |
| 2026年9月15日 | 小田原エンジニアリング ドイツ子会社へ出向した従業員のメール 種類: 不正アクセス（メールアカウント） |
流出した情報（または流出の可能性がある情報）: 第三者が2026年3月27日〜8月31日にメールを閲覧（お取引先の個人情報。取引先へのなりすましによる金銭被害も発生） 件数（公式のまま）: 閲覧を確認できたのは約3,500通（単位は「通」。人数の記載なし） |
「お取引先様の個人情報が閲覧された可能性があることが判明」 公式告知（PDF） |
| 2026年9月15日 最新報は2026年10月15日（Metabaseの利用終了の追記） |
LEAN BODY 『LEAN BODY』 種類: 不正アクセス（BIツール『Metabase』の脆弱性。2026年8月11日〜9月9日） |
流出した情報（または流出の可能性がある情報）: メールアドレス、ニックネーム、性別、生年月日、都道府県、身長・体重・目標体重・運動の頻度や目的、決済サービス上の識別番号・カード番号の下4桁など。パスワード（暗号化）。一部は法人名・従業員番号 件数（公式のまま）: 退会者を含め約44万件（アカウント件数。実人数はこれより少ない見込み） |
「お客様の情報が外部に取得されていたことが判明」 公式告知 |
| 2026年9月16日 | アイスタイル 『@cosme』 種類: 誤公開・閲覧できる状態（外部のファイル転送サービスの公開設定の誤り。2026年9月2日14時20分ごろから約20分） |
流出した情報（または流出の可能性がある情報）: メールアドレス、メールマガジンの配信設定、ユーザーID。氏名・住所・電話番号・パスワード・カード情報は含まれない 件数（公式のまま）: 10,997人 |
「個人情報の漏えいの可能性」。「インターネット上で閲覧可能な状態にあった」 公式告知 |
| 2026年9月16日 | 大興印刷 『PhotoGoods』 種類: 不正アクセス（脆弱性およびファイルアップロード機能の悪用。決済画面の入力情報を取得するプログラム。2026年8月6日〜9月11日） |
流出した情報（または流出の可能性がある情報）: カード番号、有効期限、セキュリティコード。氏名、住所、電話番号、メールアドレス。会員パスワード関連（元に戻せない形式） 件数（公式のまま）: 記載なし（調査中） |
「個人情報およびクレジットカード情報等が外部に漏えいした可能性があることが判明」 公式告知 |
| 2026年9月16日 | 福岡市（教育委員会 総合図書館） 早良図書館のイベント案内メール 種類: 誤送信（受信者同士に見えない宛先欄「Bcc」で送るべきところを、見える「To」で送信。2026年9月6日） |
流出した情報（または流出の可能性がある情報）: メールマガジン配信希望者のメールアドレス 件数（公式のまま）: 45名分 |
「個人情報の流出事案」「受信された方がほかの受信者のメールアドレスを見ることができる状態」 公式告知（PDF） |
| 2026年9月17日 | 千葉銀行 子会社ちばぎん商店のコーポレートサイトのサーバー 種類: 不正アクセス（2026年9月3日にサイトにオンラインカジノ関連のコンテンツが表示されて発覚） |
流出した情報（または流出の可能性がある情報）: 『GIFT SELECTION』申込者の氏名（宛名・カード契約者名義）、住所、メールアドレス、電話番号、申込番号 件数（公式のまま）: 個人約722先、法人約1,616先（現時点） |
「漏えいのおそれ」。「個人情報の外部への送信を示す証跡は確認されておりません」 公式告知 |
| 2026年9月18日 | モンベル グローバルサイト 種類: 不正アクセス（システムの脆弱性。改修済み） |
流出した情報（または流出の可能性がある情報）: 1名分は氏名・電話番号・郵便番号・住所、14名分は氏名・電話番号。カード情報・サインインパスワードの漏えいは確認されていない 件数（公式のまま）: 最大15名分 |
「個人情報が漏えいした可能性があることが…判明」（2026年9月12日に判明） 公式告知 |
| 2026年9月25日 | ファインズ 当社が提供する予約システム（『e-tenki』の事業者） 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: 予約者の情報（氏名、電話番号、メールアドレス、予約店舗・メニュー・日時等） 件数（公式のまま）: 1,536,322件 |
題「不正アクセスによる情報漏えいについてのお詫びとお知らせ【速報】」。本文は「不正アクセスが発生」（「漏えいした可能性」の語は本文にありません） 公式告知 |
| 2026年9月25日 最新報は2026年10月16日（第4報。本人確認書類の画像は10月末までにすべて削除、会員ごとの案内は10月23日）。第1報・第2報の本文は、この一覧では確認できていません |
パーク24（タイムズモビリティ） 『タイムズカー』会員 種類: 不正アクセス（侵入経路・手口は記載なし） |
流出した情報（または流出の可能性がある情報）: 氏名、部署名（法人）、住所、生年月日、電話番号、メールアドレス、運転免許証情報、本人確認書類情報（運転免許証の画像を含む）、パスワード（不可逆な形式で保存と注記）、外部提携サービスのID。本人確認書類の画像: 運転免許証、現住所確認書類、学生証、家族確認書類 件数（公式のまま）: 約660万アカウント（現在と過去の会員、入会手続きが完了しなかった人を含む）。うち本人確認書類が漏えいしたアカウントは約160万件 |
第3報「漏えいしたアカウント数は、約160万件であることを確認」 公式告知（9月29日付） / 第4報 |
| 2026年9月26日 最新報は2026年10月1日（続報） |
ニッポンレンタカーサービス 『ニッポンレンタカーアプリ』 種類: 不正アクセス（2026年9月19日〜21日。10月1日の続報は別の手法） |
流出した情報（または流出の可能性がある情報）: 氏名、電話番号、メールアドレス、ログインID、ご利用履歴、ご予約情報。運転免許証・カード情報を登録した会員は免許証番号・住所・生年月日、カード番号下4桁・名義人名も 件数（公式のまま）: 2026年9月26日: 41名。10月1日の続報（9月29日判明分）: 55名 |
「会員様の情報が不正に閲覧されたおそれ」 公式告知 / 続報 |
| 2026年9月27日 最新報は2026年10月1日（第2報）。第1報の件数は、この一覧では確認できていません |
スターツ出版 『オズモール』 種類: 不正アクセス（脆弱性。2026年9月26日に海外からの大量アクセスを検知） |
流出した情報（または流出の可能性がある情報）: オズモール会員・一部退会者のメールアドレス、一部は氏名と住所（都道府県まで）。電話番号・番地までの住所は閲覧の形跡なし。カード情報は外部決済システムのため対象外 件数（公式のまま）: 第2報「最大442,779名分」 |
第1報「外部に漏洩した可能性」。第2報「個人情報が閲覧された可能性」 第2報 / 第1報 |
| 2026年9月27日 最新報は2026年10月15日（影響範囲の変更なしの更新） |
メトロポイントクラブ（東京地下鉄） 『メトポ』会員向けサービス 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: メールアドレスのみ（送信不能で配信を停止しているアドレスが格納されたサーバー） 件数（公式のまま）: 約59,000件 |
「メールアドレスが閲覧または取得された可能性があることが判明」 公式告知（PDF） / メトポ |
| 2026年9月28日 最新報は2026年10月9日（TDnetで開示。10月7日が第二報） |
手間いらず（委託先）と、それを使っていた施設 手間いらず: 宿泊施設向け予約管理システム『TEMAIRAZU』 種類: 委託先経由（不正アクセス） |
流出した情報（または流出の可能性がある情報）: 宿泊者の氏名、電話番号、メールアドレス、宿泊施設名、チェックイン日・チェックアウト日、宿泊料金。カード情報は保有していない 件数（公式のまま）: 最大で約445万人（2026年10月9日のTDnet） 影響を公表した利用施設: 公式告知を確認できたものはなし |
2026年9月28日「宿泊者情報の一部が第三者に閲覧または取得された可能性を否定できない状況」 9月28日 / 10月7日 / 10月9日（TDnet） |
| 2026年9月28日 | 集英社 ブロガー情報管理システム『HAPPY PLUS COMMUNITY』 種類: 不正アクセス（CMSの設定不備に起因するAPI認証情報を狙った攻撃） |
流出した情報（または流出の可能性がある情報）: 登録ブロガーの氏名、メールアドレス、住所、電話番号、生年月日、性別、職業、プロフィール情報、SNSアカウントなど。案件情報、送信メール情報、取引先一覧 件数（公式のまま）: 登録ブロガー2,835名。案件情報630件、メール情報11,237件、取引先一覧10,780件 |
「閲覧・取得された可能性があり、漏洩したことが判明」 公式告知（PDF） |
| 2026年9月29日 緊急メンテナンスは2026年9月25日（9月26日に再開） |
日本郵便 『郵便局アプリ』 種類: 不正アクセス（外部から） |
流出した情報（または流出の可能性がある情報）: 「ゆうID会員情報」（氏名、住所、生年月日、性別、電話番号、メールアドレス、お勤め先情報など）、住所録に登録されていた情報、送り状情報 件数（公式のまま）: 69件（19名分） |
「不正に取得されたことが判明」「不正に利用された形跡は確認されておりません」 公式告知 |
| 2026年9月29日 | イープラス 『スマチケ』払戻し情報管理システム 種類: 不正アクセス（2026年9月11日19時58分〜12日2時44分に複数回） |
流出した情報（または流出の可能性がある情報）: 払戻し申請者のメールアドレス、カナ氏名、振込先口座情報（金融機関名・支店名・口座種別・口座番号・口座名義）、カード返金・郵便振替払出証書の場合は氏名・送付先住所。公演名・会場・開催日時を含む。カード情報・パスワードは含まれない 件数（公式のまま）: 計1,463件（銀行振込751件、クレジットカード返金644件、郵便振替払出証書68件） |
「個人情報を含む一部の情報が漏えいしたことが判明」 公式告知 |
| 2026年9月29日 | TOPPAN 損害保険ジャパン向け「保険料控除証明書 発行サービス」の運用 種類: 誤送信（誤送付。手作業による誤操作と確認手順の不備。2026年9月1日、損害保険会社1社へ） |
流出した情報（または流出の可能性がある情報）: カナ氏名、保険料控除用証券番号、業務ID。漢字氏名・住所・生年月日・電話番号・メール・カード情報・口座情報・マイナンバーは含まれない 件数（公式のまま）: 対象の契約者数177,426名（重複の可能性があり、実人数は減る場合がある） |
「誤送付」。「第三者への流出や外部ネットワークへの漏えいは、現時点で確認されておりません」 公式告知（PDF） |
| 2026年9月29日 9月29日の発表日は、10月9日付の告知の記載によります。9月29日付の告知本文は、この一覧では確認できていません |
ユニリタ 社内の文書管理システム（特定のSaaS型） 種類: 不正アクセス |
流出した情報（または流出の可能性がある情報）: お客様の従業員・社外関係者・社員の個人情報（特定個人情報を含まない）、契約書、システム認証情報など 件数（公式のまま）: 記載なし |
2026年10月9日付「一部のデータが窃取された事実を確認」。「取得された恐れのある情報」 公式告知（TDnet） |
| 2026年9月29日 最新報は2026年10月5日（第4報） |
セイコーマート 『セイコーマートアプリ』 種類: 不正アクセス（アプリのサーバーを経由して会員情報を保有するサーバーへ。手法は開示を差し控える） |
流出した情報（または流出の可能性がある情報）: 姓名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会年月日・退会年月日。パスワード・カード情報は保有・流出なし 件数（公式のまま）: 第1報「約57万アカウント」、第3報「572,022人分」、第4報「574,647人分」 |
第1報「会員情報が漏洩した可能性」、第3報「閲覧されたことを確認」 第1報 / 第3報 / 第4報 |
| 2026年9月30日 | ベネフィット・ワン 福利厚生サービス『ベネワン・プラットフォーム』のアンケート機能 種類: 誤公開・閲覧できる状態（2025年6月のシステム改修による条件設定の不備。不正アクセスではない） |
流出した情報（または流出の可能性がある情報）: 社員・職員番号、氏名、性別、生年月日、企業・団体名、所属/役職、入退社情報。カード・口座・メール・パスワード情報は含まれない 件数（公式のまま）: 2,322企業・団体、13,460名。ただし公式は、システム改修後にこの機能でデータをダウンロードしたのは他企業・団体の担当者1社1名だけで、第三者への転送、複製その他の提供は行われておらず、データは削除済みと確認した、と書いています（公式は、情報の外部拡散や不正利用等の二次被害は確認されていないとも書いています） |
題「個人情報漏えいに関するお知らせとお詫び」。「他企業・団体の従業員様の個人情報の一部が表示される状態」 公式告知（PDF） |
| 2026年9月30日 | 大阪市 児童いきいき放課後事業の活動室の職員用PC（委託先の財団のお詫びも別に公表） 種類: 不正アクセス（サポート詐欺で遠隔操作アプリが入れられた） |
流出した情報（または流出の可能性がある情報）: 児童・保護者・職員の個人情報。児童の障がい・疾病に関する情報114名分を含む 件数（公式のまま）: 最大で2,272名（児童1,261名、保護者953名、職員58名） |
「第三者によって閲覧できる状態」。「外部へのデータ送信の痕跡は見受けられなかった」 大阪市 / 財団 |
| 2026年9月30日 最新報は2026年10月8日（第2報） |
学校法人修道学園 広島修道大学、修道中学校・高等学校ほか 種類: 不正アクセス（2026年9月26日に確認） |
流出した情報（または流出の可能性がある情報）: 取引のある企業等の口座情報など、教職員・一部の学生・外部講師等の氏名、住所、電話番号、口座情報など。第2報で「学生に関するものは含まれていない」と訂正 件数（公式のまま）: 記載なし |
「個人情報を含む情報が外部に漏えいしたおそれがあることが判明」 第1報 / 第2報 |
三井不動産の行は、第二報で「外部に流出した事実も確認されておりません」と書いている一方、「第三者に情報の一部を閲覧された可能性」も書いているため、この表に残しています。『流出は確認されなかった』という表（下）には移していません。
そのほかの表（8月発表の続報、流出は確認されなかったもの、紛失など）
8月に発表され、10月に続報・最終報が出たもの（4件）
最初の発表が8月なので、10月の表にも9月の表にも入れていません。10月に出た続報や最終報の内容を書いています。
| 最初の発表日 | 会社・団体（対象・種類） | 件数 | 公式の言い方（原文）と公式告知 |
|---|---|---|---|
| 2026年8月1日（第1報）、8月2日（第2報） | イー・ストア（BASEの子会社） 『ショップサーブ』 種類: 不正アクセス（アプリケーションの脆弱性。2026年5月21日〜8月1日） |
件数（公式のまま）: 約23,356,000人（概数。名寄せ後。店舗運営者・アフィリエイターを含む）。うちカード情報の一部 約2,096,900人。対象店舗7,858店 | 最終報（2026年10月16日）「漏えい対象者数は、約23,356,000人」 公式告知 |
| 2026年8月27日 | CINRA 求人サービス『CINRA JOB』 種類: 不正アクセス（認証情報の取得。最終報は、プログラムの脆弱性が原因） |
件数（公式のまま）: 最終報「21,508名」 | 第一報「漏えいしたおそれ」。最終報（2026年10月6日）「閲覧・取得した事実は確認されておりません」「個人情報が外部に漏えいした可能性を完全に否定することはできない」 第一報 / 最終報 |
| 2026年8月28日 | イエローハット WEB作業予約システム 種類: 不正アクセス |
件数（公式のまま）: 1,797,124名（第一報の最大1,801,499名から確定） | 第二報（2026年10月15日）「一部の顧客データが外部へ流出したことを確認」 公式告知（TDnet） |
| 2026年8月28日 | トレジャー・ファクトリー（子会社カインドオル） 子会社のサービス 種類: 不正アクセス（フィッシングによるスタッフアカウントの認証情報の窃取） |
件数（公式のまま）: 対象者136,464名で確定（うち住所情報を含むもの109,311名） | 第三報（2026年10月13日）「漏えいした個人情報の対象者は136,464名」 公式告知（TDnet） |
調査の結果、流出は確認されなかったもの（3件）
最初は「流出の可能性」や「不正アクセス」と発表されて、その後、公式が「流出はなかった」「痕跡は発見されなかった」と書いたものです。
| 会社・団体（対象） | 最初の発表 | その後の公式の言い方（原文）と公式告知 |
|---|---|---|
| 東日本旅客鉄道（JR東日本） 『えきねっと』『大人の休日倶楽部』のメール配信用外部サービス（IDCフロンティア社のクラウド上） |
2026年10月9日「電子メールアドレス等の個人情報が漏えいした可能性があることが判明」（対象は最大で、『えきねっと』会員約167万件、『大人の休日倶楽部』会員約39万件） | 2026年10月15日の更新「IDCフロンティア社からの報告を受けたメール配信用外部サービス会社より、えきねっと会員・大人の休日倶楽部会員の個人情報の漏えいがなかったと判断したとの報告を受けております」 公式告知（PDF） |
| 川崎市（かわさき新産業創造センター） サイト |
2026年9月11日の第1報の時点で「流出の可能性がある情報」 | 2026年10月6日の最終報「Webサイトの改ざんや個人情報等の流出はなかったことが確認されました」 公式告知 |
| ハルメクホールディングス 『HALMEK up』 |
2026年9月11日の第1報は、管理画面への不正アクセス | 2026年10月15日の最終報「個人情報が外部に流出した痕跡は発見されませんでした」 公式告知 |
JR東日本の件は、『IDCFクラウド』の停止に関わるものです。停止の側は不正アクセスなどで止まったサービス一覧（10月20日時点）で整理しています。
紛失など（確認できたもの1件）
盗まれたのではなく、記録媒体などを紛失したもので、公式が「流出は確認されていない」と書いているものです。原文を確認できたものだけを載せています。
| 発表日 | 会社・団体（対象） | 流出した情報（または可能性のある情報）・件数 | 公式の言い方（原文）と公式告知 |
|---|---|---|---|
| 2026年9月10日 | 商船三井クルーズ 外部記憶媒体の紛失（『にっぽん丸』運航終了に伴うデータ移行） 種類: 持ち出し・紛失 |
氏名、生年月日、性別、住所、電話番号、メールアドレス、旅券番号、医療・アレルギー情報。件数は非公表（精査中） | 「個人情報が含まれていた可能性」。「情報の流出や不正利用の事実は確認されておりません」 公式告知 |
まだ載せていないもの・調べ方
2026年10月20日16時時点で、次のものはまだ載せていません。
- 2026年8月以前に発表されたもの: 順次追加します。今の8月分は、10月に続報・最終報が出た4件だけです。紛失などの8月分も、原文を確認できたものから足します。
- 自治体・病院・大学の誤送信や紛失など: 公式サイトのお知らせ1枚で終わることが多く、取りこぼしがありえます。
- 報道では見つかったが、公式の告知を確認できていないもの: 載せていません。
- 公式が「確認されていない」「影響なし」とだけ書くもの: 載せていません。
- 原文の一部を確認できていない行: パーク24（第1報・第2報）とユニリタ（9月29日付の告知）です。確認できた範囲だけを書き、表の中にもその旨を書いています。
調べ方は次のとおりです。会社・団体の公式のお知らせ、上場会社の適時開示（TDnet）、自治体の報道発表を見て、発表日、対象、件数、公式の言い方を原文で確かめています。報道や、報道の一覧は、見つけるために使っていて、出典にはしていません。個人情報保護委員会は、2026年10月20日16時台の時点で、個別の流出事案を名指しした公表を10月分には出していません。2026年10月7日に「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を出し、10月9日にその解説動画を公表しています（個人情報保護委員会の新着情報）。
自分が使っているサービスを探すときは、サービス名に「不正アクセス」や「お知らせ」を足して検索し、運営会社の公式サイトの告知を開くのが確実です。報道だけでなく、公式の告知を最後に確かめてください。
関連ワダイ
- 個人情報はなぜ漏れ続ける？『銀のさら』の「最大650万件」は何の数字か、入口から整理: この一覧の「何件、どこが」に対して、「なぜ漏れるのか」を入口や預け先の仕組みから整理しています。
- 不正アクセスなどで止まったサービス一覧（10月20日時点）: 「止まった」側の一覧です。『コミックシーモア』、Joshin、阪急阪神百貨店、『ゆうゆうポイント』、『SONICWIRE』、『ふるさとチョイス』は、止まったことと流出の発表が重なっています。
- 『コミックシーモア』の停止で、買った電子書籍はどこまで読める？ 公式発表と規約から整理: この一覧の『コミックシーモア』の行を、買った電子書籍の扱いまで詳しく整理した話です。
出典の考え方
- 各行の「公式告知」が出典です。会社・団体が自分のサイト、上場会社の適時開示（TDnet）、自治体の報道発表に出した告知の原文を、本文まで読んで確かめています。
- 報道は、公式の告知を探すために使っていて、表の事実の根拠にはしていません。
- 攻撃をしたとされる側の名前、犯行声明、リークサイトは、書かず、リンクもしません。会社や団体を責める言葉も使いません。
更新履歴
- 2026年10月20日：初版（10月20日時点。9〜10月分。10月分53件、9月分35件）
- 2026年10月20日23時：10月分に『ふるさとチョイス』（10月20日発表、会員情報4,454,097件）を足し、10月分を54件にしました。アルカディアの行に、10月19日公表の公式の経過資料（検知・遮断・復旧の時刻、外部に配信されたメールの総数）を足しました。『ふるさとチョイス』は、10月19日の停止の告知には流出の記載がなかったため、初版には載せていませんでした
コメント