個人情報漏洩が相次ぐ──ヤマト運輸・タイムズカー等の事例、漏れた情報と家族の対策
この記事でわかること 2026年9月末から10月にかけて個人情報の漏洩を公表した企業・団体を、公式発表の件数と漏れた情報の種類で一覧にしました。 委託先や外部サービスへの侵害が複数の企業に波及した事例と、各社のシステムが個別に侵害された事例があります。公表日だけでなく、侵入の時期と原因も分けて整理しました。 漏れた情報の種類ごとに、どんな二次被害が起きるか、自分が対象か確かめる方法、まずやること、家族(高齢の親・子ども)でできる備えを、公的機関とカード会社の一次資料でまとめました。番外編として海外の状況も付けました。 2026年の秋、「個人情報漏洩のお知らせ」が立て続けに届いています。 日本経済新聞は、個人情報の漏洩や恐れを公表した企業の一覧を随時更新しています。2026年10月22日更新時点で、9月28日のタイムズカーから10月22日のカプコンまで、同じ企業の続報を含めて95件の見出しが並んでいました。 この記事では、その一覧を出発点に、各社の公式発表(一次情報)で件数と漏れた情報を確かめ直しました。発表の内容は事案ごとに違います。漏洩を確認したもの、流出の可能性があるもの、暗号化されたデータの外部送信の痕跡があるもの、調査中のものを、できる限り区別して書きます。そのうえで、個人と家族が何をすればよいかを具体的にまとめます。 すでに身に覚えのない請求や不正ログインがある人は、読み進める前に発行会社やサービスの公式窓口へ連絡してください。 緊急でない相談先は、本文の相談先の一覧にまとめています。 2026年秋に何が起きているか──「過去最悪のペース」の中身 まず全体像です。 東京商工リサーチは2026年10月7日、上場企業とその子会社が公表した100万件以上の個人情報漏洩・紛失事故が10月5日時点で10件に達し、2025年通年の6件を上回る「過去最悪のペース」だと発表しました。1,000万件以上の事故は、2012年から2025年までの14年間で計3回だったのに対し、2026年は10月5日までに3回発生しています。東京商工リサーチ「上場企業『個人情報漏えい』、過去最悪ペース」(2026年10月7日) 警察庁の統計では、ランサムウェア(データを暗号化して身代金を要求する攻撃)の被害報告は2025年に226件、2026年上半期だけで123件でした。半期の件数としては統計開始以来の最多です。警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」(2026年9月) 一方、個人情報保護委員会の令和7年度(2025年4月〜2026年3月)年次報告では、民間事業者からの漏洩等報告の処理件数は17,139件で、過去最多だった前年度の19,056件から約1割減っています。個人情報保護委員会 令和7年度年次報告 対象も期間も異なる統計なので、これらから2026年秋の事故の総数や1件あたりの平均規模は判断できません。言えるのは、大規模な事案の公表が続いていることです。 公的機関も連鎖を異例の扱いで受け止めています。 JPCERT/CC(日本のサイバー攻撃対応の調整機関)は2026年10月8日、「直近2026年9月前後で国内組織における不正アクセスによる個人情報等の漏えい被害が相次いでいます」と注意喚起を出し、攻撃の型を整理しました。JPCERT-AT-2026-0030 内閣官房の国家サイバー統括室は10月9日の文書で、「侵入を完全に防ぐことは困難です。」と書いています。国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」 個人情報保護委員会は10月7日に大規模な漏えい等事案を踏まえた注意喚起を出しました。 デジタル大臣は10月6日の会見で、国民に「パスワードを使い回さない」「多要素認証を使う」「不審なメール・SMSに注意する」の3点を求めました。デジタル庁 大臣記者会見(2026年10月6日) 「侵入を完全に防ぐことは困難」と政府が書く以上、利用者側は「漏れない」前提を捨てて、「漏れたときに被害を小さくする」備えに頭を切り替える必要があります。 個人情報漏洩を公表した企業の一覧(主要事例) 日経の一覧は、日付ごとに見出しが並ぶ形式です。ここでは件数が大きいもの、カード・免許証・パスワード・口座・認証情報が絡むものを中心に、各社の公式発表で確かめた数字に置き換えて並べました。全件は日経の一覧で確認してください。 読み方の注意が三つあります。 件数は公表文の単位(件・人)のまま書いています。確認状況は事案で異なります。「漏洩確認」は事業者が流出を確認したもの、「可能性」は流出のおそれを公表したもの、「外部送信痕跡」は外部へ送られた痕跡を確認したもの、「調査中」は範囲の調査が続いているものです。 「公表日」は初報か主要な続報の日付です。訂正があった案件は訂正後の数字です。 日経の見出しで「ソフトバンク系への不正アクセス」とされたJR東日本・JR東海・JR九州・イズミなどは、クラウド事業者IDCフロンティアのランサムウェア被害に起因するもので、同社も各社も10月14〜15日に「外部への流出はなかった」と判断しています。表には含めず、後述の連鎖の節で触れます。 公表日 企業・サービス 件数(公表値) 漏れた情報(公表文の項目) 原因(公表ベース) 9/28〜10/23 タイムズカー(パーク24グループ) 属性情報 6,628,007件(漏洩確認)。暗号化された本人確認書類画像で外部送信痕跡 1,464,800件(アクセスのみは別に 891,602件) 氏名・住所・生年月日・電話・メール・運転免許情報。運転免許証などの本人確認書類の画像(暗号化データ)。画像の内容が読まれたと確認した発表ではない Webシステムの脆弱性の悪用 9/29〜10/16 ヤマト運輸「クロネコ代金後払い」 購入者情報 約526万件(メールを含むのは約49万件)+届け先 約5万件+加盟店 約4,100件(持ち出しを確認) 氏名・住所・電話・メール・商品明細。カード情報・パスワードは含まない 第三者による不正アクセス 10/5 焼肉きんぐ(物語コーポレーション) 10,788,963件(漏洩確認) 会員番号・氏名・メール・電話。パスワード・生年月日・決済情報は含まない 公式アプリの会員管理システムへの不正アクセス 10/5 大和証券 約22万件(個人 約11万名) 氏名・メール・証券口座番号 委託先(スカラコミュニケーションズ)への不正アクセス 10/5〜10/14 GMOリサーチ&AI「infoQ」 894,082件(持ち出しを確認) 氏名・住所・メール・暗号化パスワード・保有ポイント。ポイントの不正交換 611件・計2,869,500円 サイトで使用していたソフトウェアの脆弱性を悪用した侵入(確認済み) 10/7 HIS タイ子会社 最大627名(可能性) パスポート情報(氏名・性別・生年月日・旅券番号・有効期限)とアレルギー情報。住所・電話・メール・カードは含まない 現地法人のファイルサーバへの不正アクセス(検知は2025年12月) 10/8 ローソン 2,155,345件+26件 メール・氏名・電話・住所。予約分26件はカード番号の一部 アプリ関連システムの機構の不正利用 10/8 第一興商 約872.4万件(おそれ。外部流出は未確認) 氏名・性別・生年月日・メール・電話 委託先(日本コロムビアグループ)の従業員PCのマルウェア感染 10/9〜10/16 ブックオフ子会社 6,427,735件・6,383,279人(外部送信を確認) 氏名・生年月日・メール・電話・住所・職業・ニックネーム・パスワードのハッシュ値 会員管理システムへの不正アクセス 10/9〜10/16 skyticket(アドベンチャー) 自社サーバ分 約1,464万件(ハッシュ化パスワード 約413万件を含む)。別の業務管理システム分 17,780件。第2報でカード情報 最大6,140名 カード番号・名義・有効期限(セキュリティコードは含まない)。返金用の口座情報。ベネフィット・ステーション用の会員ID・氏名・パスワード(暗号化に用いる情報も取得され、読み取られるおそれ) 自社サーバへの不正アクセス。非保持化後もログに残っていた 10/9 ディップ「バイトル」 最大3,885,771件 メールアドレスのみ 仕様の不備を突いた海外からのアクセス 10/13 銀のさら(ライドオンエクスプレスHD) 最大約650万件(可能性) 氏名・住所・電話・メール・生年月日・パスワードのハッシュ値・注文履歴・登録した家族の氏名と誕生日 サーバ運営事業者のランサムウェア被害 10/13〜10/19 アルカディア(自治体向け防災配信「SpeeCAN RAIDEN」) メール約313.6万件・電話約10.5万件(推定の最大値。他サービス分は別途公表) 名前・メール・電話・配信履歴 ディレクトリトラバーサル(ファイルの不正参照)でサービス間ログイン用の秘密情報を取得し、IDを総当たり。総務省によると10月14日時点で111団体が報告 10/15 ソースネクスト 22,519,960件(可能性のある上限) メール・パスワード(保存形式は公表文で確認できず)・氏名・住所・性別・電話・生年月日・会社名など 会員情報取得APIの不正利用 10/15 バーガーキング 約1,118万件 会員ID・メール・氏名・電話・生年月日・性別 公式アプリの会員管理システムへの不正アクセス 10/16 Eストアー(BASE子会社、ショップサーブ) 約23,356,000人・7,858店。うち約2,096,900人はカード情報の一部 氏名・住所・電話・メール・暗号化パスワード。カード名義・番号の先頭6桁と下4桁・有効期限 アプリの脆弱性を悪用した不正プログラムの実行(5/21〜8/1) 10/16 日本経済新聞社 約183万件(うち約168万件は単独で個人を特定できない識別子のみ。氏名などを含むのは約15万件、メールを含むのは約12万件) 氏名・メール・住所・電話・生年月日(約15万件の範囲) 開発用クラウドの認証情報の窃取 10/16 ファンケル・アテニア 834,947件・785,496名(両ブランドの公表値の単純合計) メール・氏名・住所・電話・生年月日・ハッシュ化した2次パスワード(ログイン用のパスワードは対象外) ECサイトへの不正アクセス 10/16〜10/21 岩井コスモ証券 4,975名(閲覧可能になっていた) 氏名・メールなど(取引暗証番号は含まない)。攻撃遮断までに5件の不正な約定(原状回復、顧客負担なし) 委託先(トレードワークス)の管理機能の設定不備。同社は「情報漏洩に起因し不正取引の被害が拡大したものではありません」と説明 10/19 ユミルリンク「Cuenote FC」 延べ約900万件(試算) メールアドレスを含む情報 脆弱性→担当者の認証情報の取得→DBからの出力 10/19 日本郵政「ゆうID」 249アカウント(不正にログインされた可能性) 氏名・住所・生年月日・電話・メール。住所録は1アカウントの83件 リスト型攻撃(他所で漏れたID・パスワードの流用)。10/20から二段階認証を必須化 10/19 阪急阪神百貨店(H2O ID) 約126万件(ID情報の一部の漏洩を確認) 氏名・住所・電話・メール・生年月日。通販2サービスが保持するカードの一部(種別・下4桁・名義・有効期限)は漏洩の可能性を調査中 顧客管理システムへの不正アクセス 10/20 ふるさとチョイス(トラストバンク) 4,454,097件(可能性。調査で変動の可能性) 氏名・メール・住所・電話・ハッシュ化パスワード・寄附控除試算額 不正アクセス(10/17) 10/20 富士急ハイランド 159アカウント(不正ログインを確認、情報は閲覧された可能性) 氏名・メール・生年月日・電話。一部でカード情報の一部 リスト型攻撃(9/4〜7) 10/21 コミックシーモア(NTTソルマーレ) 会員DB 319件+ログ最大約420万件(重複の可能性あり) 会員DB: メール・ハッシュ化パスワード・ニックネーム・生年月日・性別。ログ: メール・ニックネーム・生年月日・性別(パスワードは含まない) 外部からの不正アクセス 10/21 リクルート「カーセンサー」 最大3,709,551件(可能性) 問い合わせ情報の氏名・住所(原則市区町村まで)。個人事業主の販売店では引落口座情報を含む場合 調査中 10/21〜10/22 GMO「お名前.com デスクトップクラウド」 影響の可能性があるサーバ 26,739件 仮想サーバ内のFX取引口座のログイン情報(取得・不正利用の可能性)。取引口座の不正操作は顧客からの報告 仮想サーバへの不正プログラムの設置 10/22 カプコン「CAPCOM ID」 11,774,247件(全世界) メールアドレスと、アカウント作成日時・最終ログイン日時・IPなどの識別情報。43件は生年月日・性別など。196件でパスワードが不正に変更(リセット済み) 第三者による不正アクセス 10/22 デジタル庁 最大13,323件 問い合わせフォームの氏名・メール・問い合わせ内容 外部サービス(Studio)への不正アクセス 出典は各社の公表文です。主なものを挙げます。タイムズカー 第5報(2026年10月23日)、ヤマト運輸 第4報(10月16日)、焼肉きんぐ、大和証券、infoQ 第2報、HIS、ローソン、第一興商、ブックオフ 訂正版、skyticket 第2報、ディップ、銀のさら、アルカディア、ソースネクスト、バーガーキング、Eストアー 最終報、日本経済新聞社、ファンケル、岩井コスモ証券 詳報(10月21日)、ユミルリンク、日本郵政(PDF)、ふるさとチョイス、富士急ハイランド、コミックシーモア 第4報、リクルート、お名前.com、カプコン、デジタル庁、阪急阪神百貨店(エイチ・ツー・オー リテイリング、PDF)。 ...