9月16日から10月5日までの約3週間。
情報漏えいや、その可能性を公表した企業・組織は21に上った。
ITmediaが各社の公表資料を集計したもので、対象件数を単純合計すると延べ約4370万件。
画像共有、カーシェア、外食、証券、出版、物流、研究機関まで、業種はバラバラだ。
ただし「4370万人の個人情報が、この3週間で新たに盗まれた」という意味ではない。
最大値を合算した数字で、重複やユーザー識別子だけのデータも含まれる。また、実際に攻撃された日と公表された日が違う事案もある。(ITmedia)
それを差し引いても、この3週間は異様だった。
Gyazoでは2362万件、タイムズカーでは免許証画像も
最も規模が大きかった一つが、画像共有サービス「Gyazo」だ。
9月11日、画像アップロードサーバーの脆弱性を悪用され、ユーザー情報約2362万件が流出した。
さらに画像ID、IPアドレス、User-Agent、OCRテキストなどを含む画像メタデータ約4.9億件も流出している。
ただし、2362万件のうち約76％はメールアドレスを登録していない匿名ユーザーで、4.9億件も画像そのものではなくメタデータだ。
タイムズカーでは9月25日に不正アクセスを検知。
退会者などを含む約660万件のアカウント情報が第三者に取得され、そのうち約160万件では運転免許証画像などの本人確認書類も漏えいした。(ITmedia)
氏名やメールアドレスだけではない。
本人確認に使う書類そのものが大量に取得されている。
焼肉きんぐ1078万件、infoQではポイントまで換金
10月2日には「焼肉きんぐ」の公式アプリ会員管理システムへの不正アクセスが確認された。
漏えいした会員情報は1078万8963件。
氏名、メールアドレス、電話番号などが含まれる。パスワードや決済情報は対象外だった。(ITmedia)
さらに二次被害まで発生したのが、GMOリサーチ＆AIのアンケートサイト「infoQ」だ。
ソフトウェアの脆弱性を悪用され、最大94万8498件の会員情報が外部に持ち出された。
それだけでは終わらなかった。
611件、286万9500円分のポイントが、本人の意思とは無関係にAmazonギフトコードへ交換された。(ITmedia)
情報を盗み、その価値を実際の金に変える。
情報漏えいの先にある被害まで表面化した事例だ。
ランサムウェアは「情報」ではなく組織を止める
同じ時期、ランサムウェア被害も続いた。
9月26日には京王電鉄グループのサーバーがランサムウェア攻撃を受けた。
鉄道運行への支障はなかったものの、一部グループ会社の営業システムに影響が出た。京王電鉄は公表時点で、個人情報の漏えいは確認されていないとしている。
10月2日には大阪公立大学でも大規模なシステム障害が発生。
約500台のサーバーが停止し、授業は休講。在学生や卒業生ら約13万人の氏名、住所、学生証写真などについて、流出の可能性が調査されている。
情報を盗まれるだけではない。
大学を止め、企業活動を止める。
サイバー攻撃は、情報管理の問題から事業継続そのものの問題になっている。
21件すべてが、この3週間に攻撃されたわけではない
ここは切り分ける必要がある。
9月16日から10月5日に21組織が公表したからといって、21件すべての攻撃がこの期間に起きたわけではない。
Gyazoへの侵入は9月11日。
日本経済新聞社が10月4日に公表したGoogle Workspaceへの不正ログインは、7月下旬から発生し、8月上旬には発覚していた。
不正アクセスを検知してから、侵入経路や漏えい範囲を調査し、数週間後に公表するケースもある。
今回の3週間には、以前の事件の調査結果と、新たな攻撃の双方が重なっている。
さらに21件には、不正アクセスそのものではなく、システムの設定やプログラムの不備によって他人の情報が見える状態になった事案も含まれる。(ITmedia)
一方で、「たまたま公表日が重なっただけ」とも言えない。
タイムズカーは9月25日、京王電鉄は26日、焼肉きんぐは10月2日、infoQも10月2日以降、大阪公立大学も10月2日に実際の攻撃や障害を検知している。
新しい攻撃も同時期に複数発生している。
日本はターゲットにされているのか？
ここまで被害が続けば、日本そのものが集中的に狙われているようにも見える。
実際、日本の組織を明確に標的とする攻撃は存在する。
JPCERT/CCは2026年7月、日本国内の組織を狙ってきた攻撃グループ「APT-C-60」について、2026年にも活動を継続して確認したと公表している。
スピアフィッシングメールなどを入口に、日本の組織へ侵入を試みる攻撃だ。(JPCERT/CC Eyes)
しかし、今回の21件を「一つの攻撃集団による日本への一斉攻撃」と判断できる材料はない。
むしろ不気味なのは、そこだ。
Gyazoではサーバーの脆弱性。
infoQではソフトウェアの脆弱性。
大和証券では、自社ではなく委託先が侵入された。
日経ではクラウドサービスのアカウント。
ランサムウェアもある。
攻撃主体も入口も手口も違う。
一斉攻撃ではない。
それなのに、一斉攻撃されたように被害が続いている。
日本が一つの巨大なサイバー攻撃を受けているのであれば、その攻撃を止めれば状況は変わる。
今回見えているのは、それとは違う。
別々の攻撃者が、それぞれ別の入口を探し、別々の組織へ入り込んでいる。
特別な一度きりの非常事態ではなく、こうした攻撃が日常になりつつあるとすれば、その方が深刻だ。
狙われた時に「入れる場所」が残っている
警察庁によると、2026年上半期に報告されたランサムウェア被害は123件。
前年同期の116件を上回り、半期として過去最多となった。
侵入経路が判明した36件を見ると、VPN機器が18件。
リモートデスクトップが9件。
この二つだけで4分の3を占める。(日本時事新聞)
つまり問題は「日本が狙われているか」だけではない。
狙われた時に、攻撃者が入れる場所が残っている。
Webサーバー、ソフトウェア、VPN、クラウドアカウント、委託先。
企業がデジタル化し、外部とつながる場所が増えれば、攻撃者が探す入口も増える。
2026年は大規模漏えいも異常なペース
東京商工リサーチによると、上場企業とその子会社で100万件以上の個人情報漏えいが発生したケースは、2026年にすでに10件。
2025年通年の6件を超えている。
さらに1000万件以上の漏えいは、2012年から2025年までの14年間で3回だった。
2026年は10月5日時点ですでに3回。
過去14年間と同じ回数が、今年だけで発生したことになる。
ランサムウェアも上半期過去最多。
大規模漏えいも前年をすでに上回っている。
直近3週間だけを見て「急に日本への攻撃が始まった」とは言えないが、2026年全体を見れば、大規模な被害が高い水準で続いていることは確かだ。
漏えいは、漏れた時点で終わらない
さらに気をつけなければならないのが、その後だ。
氏名、メールアドレス、電話番号、利用サービス名が組み合わされれば、本物らしいフィッシングメールを作る材料になる。
実際に利用しているサービスから、
「本人確認をお願いします」
「アカウントに異常がありました」
と連絡が来れば、無関係な迷惑メールより信用してしまう可能性は高い。
同じパスワードを複数のサービスで使っていれば、別サービスへの不正ログインにも使われる。
ITmediaの集計でも、多くの被害企業が利用者に対し、なりすましメールやSMSへの警戒、パスワードの使い回しをしている場合の変更を呼び掛けている。(ITmedia)
infoQでは、すでにポイントの不正交換という金銭被害まで起きた。
情報漏えいは「データが外に出た」で終わる事件ではない。
盗まれた情報が、次の攻撃の材料になる。
一斉攻撃ではない。それがむしろ怖い
3週間で21組織。
延べ約4370万件。
数字だけでも大きい。
しかし今回、本当に気になるのはそこだけではない。
一つの攻撃集団が、日本を狙って大規模な一斉攻撃を仕掛けたわけではない。
攻撃方法も侵入経路も違う。
それでも、これだけの被害が同じ時期に表面化した。
ランサムウェア被害は上半期過去最多。
100万件を超える大規模漏えいも、すでに前年通年を上回った。
一斉攻撃ではないのに、一斉攻撃を受けたような状態になっている。
直近3週間の公表ラッシュは、突然始まった一つの事件ではない。
日本の企業や組織が日常的にさらされているサイバー攻撃の規模が、一気に見える形になった3週間だった。
