漏えいが確認された
個人情報漏えい一覧 2026

2026年に国内で公表された個人情報の漏えいのうち、公表した組織自身が「漏えいした」「流出を確認した」と書いた事案だけを集めた一覧です。「漏えいした可能性」「おそれ」の段階のものは入れていません。4月21日以降の個別の事案が165件、委託先や共通のサービスが攻撃されて複数の組織が公表した事案が19事案。各行の「発表」から、公式発表を確認できます。新しい公表があり次第、更新します。

最終更新：2026年11月6日（11月6日公表分まで収録）。更新履歴は文末に。
目次：共通サービス経由（19事案）／4月・5月・6月・7月・8月・9月・10月・11月／おそれ段階の主な事案／数字で見る

この一覧に載せた基準

対象は、2026年4月21日以降に国内の企業・団体・自治体・学校・病院が公表した個人情報の漏えいです。公表資料で、漏えい・流出・第三者による閲覧・誤送付のいずれかが「確認」されたものを載せ、「おそれ」「可能性」「調査中」にとどまるもの、紛失して所在不明のもの、不正取引だけで個人情報の流出を確認していないもの、漏れた情報に個人情報が含まれるか明記されていないものは除いています。件数は各組織の公表値をそのまま載せ、「最大」「可能性のある」として公表された値はその旨を併記しています。事案の収集には、各組織の公式発表を整理している複数の集計サイトを使い、掲載時に公式発表を個別に確認しています。

共通サービス経由の事案（19事案）

1つのサービスへの攻撃が、それを使っていた多くの組織の公表につながった事案です。漏えいの確認まで公表した組織を中心に、系統ごとにまとめています。自社や取引先の名前だけでなく、自社が使っているサービスの名前がないかを見てください。

公表日	攻撃されたサービス	公表規模	漏えいを公表した組織	出典
05/11	新日本検定協会（ランサムウェア）	三井住友海上 6,176件、あいおいニッセイ同和 56件	三井住友海上火災保険、あいおいニッセイ同和損害保険	発表
06/23	KDDI「ISP事業者向けメールシステム」	メールアドレス12,231,954名（うちパスワード7,616,173名）	KDDI、ビッグローブ、ニフティ、JCOM、KDDIウェブコミュニケーションズ、中部テレコミュニケーション、STNet	発表
06/30〜07/02	アフラック生命保険（代理店向けシステムほか）	顧客 約438万人	アフラック生命保険、パナソニック保険サービス	発表
08/01〜09/30	Eストアー「ショップサーブ」（ECサイト構築サービス）	約2,335万人（10/16最終報）	Eストアー、PFU、マンズワイン、絵具屋三吉、粗供養ドットコム、中伊豆ワイナリーヒルズ、博多ふくいち、権太呂食品、滝野川自動車、三嶋商事、ソフトウェア・トゥー、大倉陶園、レメディコム、メディアナビ、ノフル、七味家本舗、珈琲香坊、デザインフィル、平宗	発表
09/17〜10/09	ApplyNow（採用管理・録画面接）	入間市 1,276件、魚沼市 116件ほか	入間市、魚沼市、ワンダーテーブル	発表
10/09〜10/13	コミューン「Commune」（オンラインコミュニティ）	約30.7万人（推計）	コミューン、LINEヤフー、カルビー、湖池屋、LIXIL、ZENB JAPAN、日本能率協会マネジメントセンター、ユニリタ	発表
10/14〜10/23	バリューデザイン（ハウス電子マネー基盤）	バリューカード 1,424,748件（流通済み569,224、未流通855,524）	ペイクラウドホールディングス、モスフードサービス（モスカード 1,133,070件）	発表
10/15〜10/16	工房「発車オーライネット」（高速バス予約）	最大8,341件（5,614人）	工房、京成電鉄バスホールディングス、神奈川中央交通、アルピコ交通、京阪バス、京阪京都交通、阪急観光バス、本四海峡バス、広島電鉄、一畑バス、ジェイアール四国バス、高松エクスプレス	発表
10/15〜10/19	ソースネクスト（会員情報管理システム）	22,519,960件	ソースネクスト、秋田ケーブルテレビ、長崎ケーブルメディア、佐賀シティビジョン、金沢ケーブル、伊万里ケーブルテレビジョン、BTV、加賀ケーブル、CTBメディア、鹿沼ケーブルテレビ、高岡ケーブルネットワーク	発表
10/16〜10/20	トレードワークス（証券会社向け取引システム）	4,975名（10/20第2報）	トレードワークス、岩井コスモ証券	発表
10/19	リンクステーション「GETTIIS」（チケット購入サービス）	会員ID 317,971件	リンクステーション、島根県民会館	発表
10/19〜	ユミルリンク「Cuenote FC」（メール配信。10月19日公表の続報）	配信先のメールアドレス 延べ約900万件（同社試算）	バンダイナムコエンターテインメント・BANDAI SPIRITS（346,247件）、ライズアップ（1,548,002件）、インプレス（約58,000件）、ライフカード（339,610契約、可能性）、りそな銀行・埼玉りそな銀行・関西みらい銀行（件数未公表、可能性）、アニメイト、ソースネクスト、宣伝会議、ペルソナ、野村證券 ほか	発表
10/21〜	ラクスライトクラウド「ブラストメール」（メール配信）	344契約で配信先リストの漏えいを確認	カカオピッコマ（1,002,404件）、HRビジョン（登録212,243件）、新潟日報（最大約25.3万件）、NHK出版（約12.7万件）、メディアナビ（約11万件）、静岡ガス（95,412件）、ジゲン（40,026件）、東北電力フロンティア、JR四国、岡崎市、千歳市、南城市、横浜市、周南市、沖縄県、埼玉県、九州大学、ダイハツ工業、山日YBSグループ、ヌーラボ、eJudo ほか40組織以上	発表
10/28〜10/30	Amadeus（航空会社向け旅客サービスシステム）	航空各社の予約情報が外部から参照された形跡	日本航空・日本トランスオーシャン航空（約92,000名）、全日本空輸（約37,800名、うち約1,700名はパスポート番号等）、AIRDO、IBEX、オリエンタルエアブリッジ	発表
10/30	Japanticket（チケット・予約基盤。外部の分析ツール経由）	最大約26.4万件	山梨県（富士山吉田ルート通行予約、約7万件）、ちいかわベーカリー、Japan Food Guide（CS-C）	発表
10/30〜10/31	NTTデータ「デジタル証券プラットフォーム」（再委託先への不正アクセス）	デジタル特典付き社債の購入者情報（各社とも「可能性」段階）	楽天証券（延べ362件）、野村證券、三菱UFJモルガン・スタンレー証券（95名）、近鉄グループHD（2,678件）、カゴメ（109名）、スターツ証券	発表
10/28〜	アララ「アララ メッセージ」「repica」（メール配信。10月28日に運営元が約301万件の流出を公表。11月2日の第2報で、契約企業は最大約380社、持ち出された・持ち出されたおそれのあるメールアドレスは約7,700万件（精査中）とした。その後利用企業が順次公表）	利用企業ごとの配信先。確認済みの合計は5,000万件超	アソビュー（15,821,184件）、GMOメイクショップ（約1,260万件。「メール配信プラス」「MakeRepeater」を使うショップの会員・注文者）、モスフードサービス（モスWEB会員 7,517,087件）、カカクコム（約570万件。食べログ・価格.com・求人ボックスほか）、TKC（最大2,230,812件。自治体のマイナンバーカード交付予約・電子申請システムの利用者を含む）、ちょびリッチ（1,348,525件）、日本サブウェイ（最大1,107,494件。属性情報と旧クラブカード情報を含む）、インターネットイニシアティブ「IIJmio」（983,458件）、サンクゼール（878,343件）、松井証券（最大83万件）、ベルク（786,739件）、日本レジャーチャンネル・BOATRACE振興会（684,772件）、AIRDO（最大673,920件）、ダスキン（657,886件）、モンテローザ（625,429件）、ソラシドエア（約49万件）、北陸電力「ほくリンク」（約55万件）、シフトワークス（最大461,437件）、コナカ（434,414件）、イッツコム（232,376件）、住友不動産（205,208件）、成城石井（最大168,630件）、NTTタウンページ（142,126件）、三井不動産「&BIZ」（133,323件）、茨城県「茨城をたべようメールマガジン」（最大110,656件）、GMOペイメントサービス（最大106,997件）、日之出出版（82,095件）、GMOイプシロン（24,645件）、朝日生命（約1.9万件）、ゴルフネットワークプラス、鎌倉シャツ、グランビスタ、クラシエ、東京ソワール、総務省、JR九州、三井住友銀行（227,216件、法人・個人事業主のメールアドレス） ほか。可能性段階としてビックカメラ・コジマ・ソフマップ（約1,490万件）、ワークマン（最大約145万件）、キャメル珈琲（820,420件）、楽天証券（2,109件）、福岡市・堺市・西宮市など多数の自治体	発表
11/02〜	プレステージ・コアソリューション（ロードサービス・事故受付の業務システム。10月29日に検知、親会社プレステージ・インターナショナルが11月2日に持ち出しを確認と公表）	システム全体で最大約550万件（重複を含む）。氏名・住所・電話番号・メールアドレス・車両情報・受付情報・一部の口座情報	プレステージ・インターナショナル。委託元の各社は可能性段階として公表：日産フィナンシャルサービス（最大約23.6万件）、損保ジャパン（約6.5万件）、ENEOS（カーリース、最大8,500件）、KDDI「au自転車サポート」、ポルシェジャパン・ポルシェファイナンシャルサービスジャパン、ソニー損保、JA共済連 ほか	発表
11/05〜	SMBCコンシューマーファイナンス（銀行カードローン等の保証業務システム。11月2日に検知）	最大320,118名。氏名・生年月日・住所・電話番号・メールアドレス・運転免許証番号・勤務先（年収など）・保証額などの契約情報（本人確認書類の画像は含まない）	SMBCコンシューマーファイナンス、ドコモSMTBネット銀行（最大122,635人）、第四北越銀行（最大1,307名）、りそな銀行・関西みらい銀行・みなと銀行（契約が終了した顧客 約5,900件）、愛媛銀行、北洋銀行、中国銀行、荘内銀行、筑波銀行 ほか。可能性段階として福岡銀行・十八親和銀行・熊本銀行・紀陽銀行など	発表

このほか、宿泊施設の予約管理システム「TEMAIRAZU」、自治体の防災メール配信「SpeeCAN RAIDEN」と消防向けの「119RAIDEN」「NET119」、IDCフロンティアのクラウド、ノーコード制作ツール「Studio」（デジタル庁、SmartHR、青森県、長野県ほか）、メール配信「ワイメール」、モバイルオーダー基盤「PICKS」の利用店（サブウェイ、サーティワンほか）、佐川急便「お荷物問い合わせサービス」（中国電力ほか）などでも、多くの組織が「漏えいのおそれ」を公表しています。確認に至ったものは個別の表に入れています。

個別の事案（165件）

公表日の古い順です。同じ組織が別の日に別の事案を公表している場合は、それぞれ1件として載せています。

2026年4月（4件）

公表日	組織・対象	原因	公表規模	出典
04/21	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
04/23	2りんかんイエローハット ２りんかんアプリ	不正アクセス	3,179,454名	発表
04/28	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
04/30	ホテル白菊 宿泊予約・販売管理システム	マルウェア	非公表	発表

2026年5月（5件）

公表日	組織・対象	原因	公表規模	出典
05/08	津田塾大学 学生情報	内部不正	9名（ほか可能性22,444名）	発表
05/11	エネサンスホールディングス 顧客・従業員情報	ランサムウェア	顧客 約36.5万件、従業員等 約2千件	発表
05/14	日本資産総研（青山財産ネットワークス） 社内サーバー	ランサムウェア	件数は明記なし（リークサイトでの公開を確認）	発表
05/18	ユニバーサル ミュージック UNIVERSAL MUSIC STORE ほか	不正アクセス	3,105,585件	発表
05/22	大阪府立岬高校 生徒・保護者の情報	紛失	180名	発表

2026年6月（8件）

公表日	組織・対象	原因	公表規模	出典
06/04	大阪市 健康局	誤送付	57人	発表
06/04	大阪府 脱炭素・エネルギー政策課	誤送信	申請者1者の担当者情報	発表
06/09	千 写真販売「はいチーズ！フォト」	不正アクセス	非公表	発表
06/17	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
06/26	大阪市 こども青少年局	設定ミス	84人	発表
06/30	大阪市 こども青少年局	誤送付	17人	発表
06/30	農林中央金庫 JAさっぽろ組合員の情報	誤提供	3,176件	発表
06/30	L is B ビジネスチャット「direct」	誤送信	メールアドレス1,006件（664社）	発表

2026年7月（12件）

公表日	組織・対象	原因	公表規模	出典
07/01	アイネックス（朝日放送テレビグループ） 従業員のメールアカウント	フィッシング	メールアドレス373件	発表
07/06	島根県立大学 公開講座の案内メール	誤送信	メールアドレス15件	発表
07/13	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
07/13	ニチレイ グループのサーバー	ランサムウェア	53,866件	発表
07/14	メディア4u SMS送信システム（OEM提供先を含む）	不正アクセス	95,412件（個人情報を含む可能性22,928件）	発表
07/14	K9ナチュラルジャパン オンラインサービス管理サーバー	不正アクセス	78,763件	発表
07/16	東海国立大学機構 教職員・学生の情報	設定ミス	18,763名	発表
07/24	ムラウチドットコム 社内システム	不正アクセス	7,716,811件（第二報）	発表
07/24	シミックヘルスケア・インスティテュート 患者サポートプログラム「RAコネクト」	不正アクセス	1,940名	発表
07/27	大阪市 西区役所	誤送付	67人	発表
07/29	川崎市立井田病院 入院患者の情報	紛失	35名	発表
07/30	新札幌豊和会病院 旧電子カルテ用PCのハードディスク	廃棄処理の不備	非公表	発表

2026年8月（18件）

公表日	組織・対象	原因	公表規模	出典
08/03	講談社 社員のメールアカウント	不正アクセス	最大3,812件	発表
08/03	兵庫県 広報広聴課 公文書公開	誤送付	92人	発表
08/04	イノベーション GitHubリポジトリ	不正アクセス	62,691名	発表
08/07	三重大学 学生への一斉メール	誤送信	学生11名の情報	発表
08/10	REXT Holdings 社内ネットワーク	ランサムウェア	リークサイトでの一部公開を確認	発表
08/12	ホワイトエッセンス 予約サイト・基幹システム	不正アクセス	約105万アカウント	発表
08/18	VOISING BIツール経由の利用者情報	不正アクセス	約17万件	発表
08/20	大阪市 こども青少年局	その他	157人	発表
08/20	大阪市 消防局	誤送付	73人	発表
08/21	いまでや オンラインストア・実店舗会員	不正アクセス	非公表	発表
08/21	01銀行 当行システム	不正アクセス	法人顧客 最大100社	発表
08/24	ファンくる 覆面調査サービス「ファンくる」	リスト型攻撃	59,389人	発表
08/25	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
08/27	クー 会員情報	不正アクセス	メールアドレス2,255件	発表
08/28	イエローハット 会員情報	不正アクセス	1,797,124人（確定）	発表
08/28	カインドオル 会員情報	不正アクセス	136,464人	発表
08/31	安藤ハザマ 名刺管理システム	詐欺（なりすまし）	約5,000件	発表
08/31	鳥取県 長寿社会課 介護事業者向けメール	誤送信	メールアドレス163件	発表

2026年9月（23件）

公表日	組織・対象	原因	公表規模	出典
09/01	TRUNK 従業員のメールアカウント	不正アクセス	424件	発表
09/03	神奈川県 県HPの参加企業一覧	設定ミス	32人	発表
09/04	藤沢市民病院 患者情報の書類	誤送付	15名	発表
09/05	三重県 医務・国保課 県HPに掲載した事業報告書	設定ミス	71人分	発表
09/07	武蔵野大学 大学・附属校等	ランサムウェア	調査中	発表
09/09	練馬区（指定管理者） 受講者用チャットツール	設定ミス	71名	発表
09/11	大阪はびきの医療センター 患者情報	誤送付	件数の総数は明記なし	発表
09/14	プルデンシャル生命保険 多摩支社	内部不正	1,570名	発表
09/15	LEAN BODY 社内データ分析ツール	不正アクセス	約44万アカウント	発表
09/16	Helpfeel 画像共有サービス「Gyazo」	不正アクセス	ユーザーデータ約2,362万件（匿名アカウントを含む）	発表
09/18	JGC Digital アザス、するーぷ	不正アクセス	約6万件	発表
09/24	中央紙器工業 社内システム	ランサムウェア	件数は明記なし（一部データの公開を確認）	発表
09/24	江戸川区 職員採用の案内メール	誤送信	96人	発表
09/24	大阪市博物館機構 美術館講座受講者へのメール	誤送信	30名	発表
09/25	タイムズモビリティ カーシェア「タイムズカー」	不正アクセス	約660万アカウント（本人確認書類画像 約160万を含む）	発表
09/28	集英社 ブロガー管理システム	不正アクセス	ブロガー2,835名	発表
09/29	TOPPAN（損害保険ジャパンの委託先） 保険料控除証明書データ	誤送付	177,426名（送付先で削除済み）	発表
09/29	日本郵便 郵便局アプリ／ゆうID	不正アクセス	19名分（69件）	発表
09/29	イープラス スマチケ払戻し管理システム	不正アクセス	1,463件	発表
09/29	ユニリタ 社内文書管理システム（SaaS）	不正アクセス	非公表	発表
09/29	ヤマト運輸 クロネコ代金後払いサービス	不正アクセス	利用者情報 約526万件ほか（10/16調査結果）	発表
09/30	ベネフィット・ワン ベネワン・プラットフォーム	設定ミス	13,460名（2,322企業・団体）	発表
09/30	大阪府立労働センター（指定管理者） 施設利用者情報	不正アクセス	88名	発表

2026年10月（81件）

公表日	組織・対象	原因	公表規模	出典
10/01	日本原子力研究開発機構 JRR-3 研究支援サイト	不正アクセス	175人	発表
10/02	沖縄県立芸術大学 演奏会の案内メール	誤送信	207名	発表
10/05	物語コーポレーション 焼肉きんぐ公式アプリ	不正アクセス	10,788,963件	発表
10/05	GMOリサーチ＆AI アンケートサイト「infoQ」	不正アクセス	894,082件	発表
10/05	くふうカンパニー くふう まちトークβ版	不正アクセス	調査中（メールアドレス1名分を確認）	発表
10/05	リゾーツ琉球 ホテルリゾートイン石垣島	委託先経由	17,170名	発表
10/06	ミスターマックス 会員情報	不正アクセス	一部流出を確認（最大1,735,154人を調査）	発表
10/06	楽天モバイル クラウドストレージ「楽天ドライブ」	不正アクセス	計16,382アカウント	発表
10/06	ニモカ nimoca利用履歴照会サービス	不正アクセス	521件	発表
10/06	山口大学 教職員のメールアカウント	フィッシング	967件	発表
10/07	戸田建設 支払い管理システム等	不正アクセス	従業員4,778名分、取引先メール最大7,200件ほか	発表
10/07	埼玉県 渋沢MIX 管理システム	不正アクセス	約2,200名が閲覧された	発表
10/07	大英産業 ホテル予約情報（委託先ホテリエ経由）	委託先経由	非公表	発表
10/08	ローソン ローソンID	不正アクセス	2,155,345件	発表
10/08	アドベンチャー 旅行予約サイト「skyticket」	不正アクセス	約1,464万件ほか	発表
10/08	千葉西総合病院 患者が映り込んだ動画	内部不正	非公表	発表
10/09	ヤマハ ヤマハネットワークエンジニア会	不正アクセス	約1,600名	発表
10/09	ブックオフグループホールディングス 会員情報	不正アクセス	6,383,279人	発表
10/09	ONE COMPATH 地図検索サービス「Mapion」	不正アクセス	1,185件	発表
10/09	南海放送 当選者通知メール	誤送信	58人	発表
10/09	ディップ バイトル／バイトルNEXT	不正アクセス	最大3,885,771件（メールアドレスのみ）	発表
10/09	リゾートトラスト 会員・予約者情報	不正アクセス	約6万2千件	発表
10/09	パナソニック LUMIXコミュニティ／ヘアサプ	不正アクセス	約5,000名	発表
10/09	Sansan Sansan User Forum	不正アクセス	1,325名（ほか可能性8,687名）	発表
10/09	高知県 観光ファンサイト「高知の知」	不正アクセス	全会員358人分	発表
10/09	プログリット コミュニティ「ONE GRITTERS」	不正アクセス	約2,300名	発表
10/09	H.B.P HOTEL 予約情報（旧委託先経由）	委託先経由	非公表	発表
10/09	ココナラ ココナラスキルマーケット	不正アクセス	履歴書449件、職務経歴書関連1,845件	発表
10/13	Fivot キャッシュレスアプリ「IDARE」	不正アクセス	129,659人	発表
10/13	DCMホールディングス 会員サービス「マイボ」	不正アクセス	419人	発表
10/13	東日本三菱自動車販売 社員のMicrosoft 365アカウント	不正アクセス	なりすましメール送信先825件ほか	発表
10/13	静岡市 防災メールほか（SpeeCAN RAIDEN経由）	委託先経由	43,030人	発表
10/13	JR九州フードサービス 顧客管理アプリ「トイポアプリ」	委託先経由	約26,900名	発表
10/14	茨城県 産地振興課 事業者宛の案内メール	誤送信	メールアドレス19件	発表
10/15	NTTソルマーレ 電子書籍ストア「コミックシーモア」	不正アクセス	精査中	発表
10/15	ビーケー・ジャパン バーガーキング公式アプリ	不正アクセス	約1,118万件	発表
10/15	ビューティガレージ ECサイト	不正アクセス	775,725件	発表
10/15	ACCESS（台湾子会社） EC事業者向け業務支援サービス「CROS」	不正アクセス	お客様ID 155,280件（カード情報1,305アカウント）	発表
10/15	エムスリー 製薬企業向けサービス「MR君」	不正アクセス	調査中（医師会員の1割未満、製薬企業担当者数百名規模）	発表
10/16	ファンケル ECサイト	不正アクセス	393,785件（368,184名）	発表
10/16	アテニア ECサイト	不正アクセス	441,162件（417,312名）	発表
10/16	日本経済新聞社 システム開発用クラウドサービス	認証情報の窃取	約183万件（氏名・住所等を含むもの約15万件）	発表
10/16	STANDS UI/UX改善ツール「Onboarding」	不正アクセス	一部の顧客（件数は明記なし）	発表
10/16	Finatextホールディングス コーポレートサイト等の問い合わせフォーム（Studio経由）	委託先経由	問い合わせ7,241件のうち最大18%程度ほか	発表
10/16	ワサビ EC一元管理「WASABI SWITCH」	不正アクセス	調査中	発表
10/19	ジグザグ 越境EC「WorldShopping」	不正アクセス	海外の顧客301名	発表
10/19	東邦ホールディングス（エンタッチ） リモートディテーリング事業のデータベース	不正アクセス	調査中	発表
10/19	LIXIL 業務支援アプリ「L-ポケット」	不正アクセス	3,379名	発表
10/19	トラストバンク ふるさと納税サイト「ふるさとチョイス」	不正アクセス	4,454,097件（10/20時点）	発表
10/19	日本貿易振興機構（ジェトロ） 一部のウェブサイト	不正アクセス	743件	発表
10/19	ユミルリンク メール配信サービス「Cuenote FC」	不正アクセス	メールアドレスを含む情報 延べ約900万件（同社試算）	発表
10/19	阪急阪神百貨店（H2Oリテイリング） 予約サイト・HANKYU HANSHIN E-STORES ほか	不正アクセス	H2O ID 約126万件	発表
10/19	楽待 不動産投資サイト「楽待」	不正ログイン	最大3,450名分	発表
10/19	hokan 保険代理店向け「hokan出納」	不正アクセス	利用企業2社で影響を確認（件数は調査中）	発表
10/20	日本電気（NEC） 顧客との情報共有用クラウドストレージ	委託先経由	調査中（影響のあった顧客に個別連絡済み）	発表
10/21	バリュエンスジャパン ブランド買取「なんぼや」オンライン買取	不正アクセス	最大1,165名（口座情報 最大439名、本人確認書類画像 最大10名）	発表
10/22	カプコン 会員サービス「CAPCOM ID」	不正アクセス	11,774,247件（メールアドレス等。196アカウントでパスワードが変更された）	発表
10/23	リンツ＆シュプルングリージャパン オンラインショップ・公式アプリ（委託先 futureshop）	委託先経由	3,147,469件	発表
10/23	モスフードサービス プリペイドカード「モスカード」（委託先バリューデザイン）	委託先経由	1,133,070件（カード番号・PIN。PINは強制変更済み）	発表
10/23	トレジャー・ファクトリー 出張買取・引越の案件管理システム	不正アクセス	取引先・スタッフ750件、端末情報1,000件	発表
10/23	日本ピザハット オンライン注文の決済API	不正アクセス	件数は未公表（顧客ID・メールアドレス・電話番号等）	発表
10/23	ニチガス 「マイニチガス」新規登録システム	不正アクセス	85件	発表
10/23	コメ兵ホールディングス EC注文管理「WASABI SWITCH」（委託先）	委託先経由	注文473件（グループ5社）	発表
10/23	メドレー 診療予約「アットリンク」	不正アクセス	調査中（患者の氏名・ログインID・パスワード等の取得を確認）	発表
10/24	チャリ・ロト 競輪投票アプリ「チャリロト」	不正アクセス	373名（口座情報・カード下4桁等を含む）	発表
10/24	システムファイブ オンラインショップの連携システム	不正アクセス	最大約15,000名	発表
10/26	楽天トラベル（楽天グループ） 海外ホテル予約ページ・多言語予約サイト	不正アクセス	最大約260万件（うち支払情報 最大約3万6千件）、多言語サイト 最大約86万件	発表
10/26	Travelzip 自治体の観光サイト（台東区・飛騨高山・熱海市観光協会）	脆弱性の悪用	7,050件（重複を除き6,782件）	発表
10/26	Gunosy 社内システム（業務用アカウントの認証情報）	認証情報の窃取	取引先担当者25名、役職員107名	発表
10/27	ソニーネットワークコミュニケーションズ So-net・ぷらら（Sコース）の会員データベース（NTTドコモ「ドコモ光」契約者443,495件を含む）	不正アクセス	2,585,481件（So-net 2,141,986、ぷらら 443,495）。ほかメールアドレスとパスワードの組 54,401件	発表
10/27	ブシロード 「バンドリ！ アワーノーツ」CBT・サポート（開発委託先）	委託先経由	CBT応募者10,194名、サポート利用者3,034名ほか	発表
10/27	スマートシェア SNSキャンペーンツール「OWNLY」（モスフードサービスのキャンペーン）	不正アクセス	14,034件	発表
10/28	花キューピット インターネット花キューピット・ビジネス花キューピット	不正アクセス	4,238,242件（ログインID・ハッシュ化パスワード・メールアドレス）	発表
10/28	ソニー生命保険 お客さまWEBサービス等（代理店として扱うメディケア生命の契約）	不正アクセス	約38.5万件（契約者・被保険者の氏名・住所・証券番号・契約内容等）	発表
10/28	ベネフィット・ワン セゾン会員向け「トク買」（委託先フォレステック）	委託先経由	29,465名	発表
10/28	日本航空・日本トランスオーシャン航空 旅客サービスシステム（委託先 Amadeus）	委託先経由	約92,000名の予約情報を外部から参照された形跡（うち約2,000名はパスポート番号等を含む）	発表
10/28	アララ メール配信サービス「アララ メッセージ」（利用企業の公表は共通サービスの表）	不正アクセス	メールアドレス約301万件（利用企業の配信先）	発表
10/30	松屋フーズホールディングス 松弁ネット・モバイルオーダー・公式アプリの管理システム	不正アクセス	2,377,127件（氏名・住所・電話番号等）、アプリ会員約2,000〜3,000件	発表
10/30	DIRIGIO モバイルオーダー基盤「PICKS」（サブウェイ、サーティワンなどが利用）	不正アクセス	8,312人（9,992注文）	発表
10/30	両備システムズ 健診予約システム「AITEL」	不正ログイン	778件	発表
10/30	ソニー銀行 デジタル証券業務の委託先システム	委託先経由	621名（うち4名は住所・生年月日・口座番号を含む）	発表

2026年11月（14件）

公表日	組織・対象	原因	公表規模	出典
11/02	ノジマ ノジマオンライン・中古スマホ買取サイトの会員システム	不正アクセス	約700万件（氏名・生年月日・住所・電話番号・ログインID・暗号化パスワード・メールアドレス）	発表
11/02	サントリーホールディングス 業務で使う外部クラウドサービス	不正アクセス	約10万人（従業員約9万人、採用応募者7,173人ほか）	発表
11/02	アイスタイル 「@cosme」共通IDの会員情報	不正アクセス	約300万人（氏名・住所・電話番号・メールアドレス・生年月日・肌質・髪質）	発表
11/02	ファンくる 覆面調査サービス「ファンくる」の会員情報取得API	不正アクセス	1,030,741件（第二報。退会者を含まない。会員ID・メールアドレス・ハッシュ化パスワード・氏名・性別・郵便番号・電話番号の下4桁）	発表
11/04	プレナス 「ほっともっと」メールマガジン配信サービス（外部委託先）	委託先経由	最大約700万件（メールアドレス・氏名・生年月日・電話番号を含む会員情報）	発表
11/05	NTTドコモ ドコモオンラインショップ・My docomo	不正アクセス	最大約30万件（氏名・住所・生年月日・電話番号）	発表
11/05	東京海上ダイレクト損害保険 「&e」「ドコモの自動車保険」のマイページ等	不正アクセス	74件（漏えいした可能性のある件数として公表。氏名・住所・生年月日・証券番号・契約内容・対応履歴など）	発表
11/05	ティーエッチエス ユニフォーム通販「ユニコレ」	不正アクセス	最大19,468名（氏名・会員ID・メールアドレス・生年月日・電話番号・住所・勤務先など）	発表
11/06	三井住友海上火災保険 「ご契約者さま専用ページ」	不正アクセス	約3.7万件（11月6日9時時点。証券番号・氏名・住所・電話番号・メールアドレスなど）	発表
11/06	あいおいニッセイ同和損害保険 「ご契約者さま専用ページ」	不正アクセス	約44.4万件（証券番号・専用ページID・氏名・住所・電話番号・メールアドレス。一部にカード番号下4桁・口座番号の一部）	発表
11/06	三井住友海上あいおい生命保険 損保2社の「ご契約者さま専用ページ」経由	不正アクセス	約5,300件（証券番号・氏名・生年月日・メールアドレスなど）	発表
11/06	三井ダイレクト損害保険 契約者向けWebサービス	不正アクセス	約23万件（氏名・住所・電話番号など）	発表
11/06	野村インベスター・リレーションズ 機関投資家・アナリスト向けIRサービス「機関Navi」（第一報11月4日）	不正アクセス	機関投資家・アナリスト等 約2,000件、元社員 約250件（氏名・メールアドレス・電話番号・所属など）	発表
11/06	ロート製薬 通信販売の電話システム・顧客管理システム	不正アクセス	2,797,545人（氏名・住所・電話番号）。うち9,715人は通話音声にクレジットカード番号・有効期限を含む	発表

「おそれ」段階の主な事案（一覧には未収録）

規模が大きいものの、公表時点では「漏えいした可能性」「おそれ」にとどまる事案です。確認に切り替わった時点で、上の表に移します。

• ビックカメラ・コジマ・ソフマップ（11月2日、アララ経由）：グループ合計約1,490万件のメールアドレス。
• 良品計画「MUJI アプリ」（10月30日）：最大約2,726万件。メールアドレス・生年月日・性別。
• アイリスオーヤマ「アイリスプラザ」（第2報11月5日）：約770万人分が閲覧・取得された可能性。内訳は会員約580万人（退会者を含む。氏名・住所・電話番号・メールアドレス・性別・生年月日・暗号化されたパスワード）と非会員約190万人（氏名・住所・電話番号・メールアドレス）。10月28日に外部クラウド上の不審なファイルを検知してサイトを停止、10月29日に第1報。カード情報は当該クラウドに保存していないとしている。実際に漏えいした件数は調査中。
• さくらインターネット（8月19日、調査完了9月10日）：販売管理システムの会員最大1,360,563アカウントが閲覧・取得された可能性。外部への持ち出しの明確な証拠はないとして「可能性」のまま。
• ワークマン（11月4日、アララ経由）：最大約145万件。
• クレディセゾン「MUJI Card」（11月4日、良品計画への不正アクセスに伴う）：約109万件。
• ナバック「RESERVE GATE α」（11月4日、ホテル予約システム）：最大約35万件。大阪コロナホテルなどが利用。
• Joshin（第2報10月26日）：最大約623万件。会員約600万、サブスク約23万、リフォーム関連約800件。運転免許証画像・マイナンバーカード・口座番号を含む。
• グリーンモンスター「FXなび」（10月23日）：約619万件（個人情報以外を含む）。
• クラブツーリズム（10月31日）：約432万件。氏名・国籍・生年月日・住所・電話番号・緊急連絡先。
• アンドエスティホールディングス（10月23日）：顧客約250万件、取引先約1万件。
• ワールド（子会社ティンパンアレイ）（10月30日）：延べ約120万件。
• ライフカード（10月28日、Cuenote FC 経由）：339,610契約。
• iDA「MyBRANDS」（10月30日）：最大約13.5万件。
• ゼビオホールディングス（10月23日）：最大約12.8万件。決済ページの改ざんを伴う。
• KDDI・ライフネット生命（10月30日）：連携システム経由、22,541件。
• 日本成令「AI Lab 225」（10月23日）：約19,250件。パスワードを暗号化せずに保存していたと公表。
• デニーズジャパン「デニーズアプリ」（11月3日）：旧アプリから新アプリへの移行処理を悪用して認証情報が不正に作られ、一部会員のアカウントにアクセスされた。会員コード・メールアドレス・生年月日・性別・居住都道府県・キッズバースデー情報が漏えいした可能性。件数は確認中。
• 消防庁「安否情報システム」（11月5日）：武力攻撃事態等で避難所や病院から集めた安否情報を検索するシステム。運用保守の委託先（富士ソフト）が不正アクセスを確認し、サービスを停止。個人情報の漏えいは「確認されていない」として調査中。
• アルカディア「119RAIDEN」「NET119」（10月14日）：消防団員の参集メール・消防職員向けの指令メールと、聴覚・言語障害者向けの緊急通報サービス。横須賀市（消防団員757名・消防職員500名）、三重県内の9消防本部など、各地の消防本部が漏えいのおそれを公表。
• 日本ネットワークセキュリティ協会（JNSA）（11月6日）：「情報セキュリティ理解度チェックサービス」で最大15,128件。管理者の氏名・企業名・メールアドレス、利用者IDとハッシュ化パスワード。
• 九州電力送配電（11月5日）：一部システムへの不正アクセスで、4,139件の使用電力量・売電電力量と供給地点の番号（氏名・住所は含まない）。
• 外務省（10月30日）：約3,600件。7月の不正アクセスを10月末に公表。
• DHC（10月30日）：会員情報の書き換え5,096アカウント、不審な注文27件。
• そのほか、デジタルアーツ、サンケイリビング新聞社、ヤマダデンキ、NEXCO東日本、フジッコ、ドトールコーヒー、読売新聞西部本社、cotta、ヤクルト本社、松屋フーズの公式アプリ会員分など。

性質が異なるものとして、GMOインターネットグループ「お名前.com デスクトップクラウド」の件（10月21日、第2報22日）があります。FX自動売買に使われるVPS約26,739台に不正なプログラムが置かれ、保存されていた証券・FX口座のログイン情報が取られたおそれがあり、アヴァトレード・ジャパンなど複数のFX会社が顧客口座での不正取引を確認しています。個人情報の漏えいというより認証情報の窃取が直接の金銭被害につながった事案で、この一覧の基準には当てはめず、ここに記します。

数字で見る

原因の内訳は次のとおりです。外部からの攻撃が128件で、全体の78%を占めます。誤送信・誤送付も24件あり、件数が小さいぶん目立ちませんが、病院の患者情報や自治体の住民情報が含まれる事案が多くあります。

原因（個別165件）	件数
外部からの攻撃	128件
誤送信・誤送付	24件
設定ミス	6件
内部不正	3件
紛失	2件
その他	2件

公表された規模が100万件を超える事案は46件ありました。公表値を単純に足すと約2.9億件になりますが、これは単位も重複もそろえていない延べの数字です。同じ人が複数のサービスに登録していれば何度も数えられますし、件数を公表していない事案は含まれていません。主なものを次の表に挙げます。

公表日	組織・対象	公表規模	出典
06/23	KDDI「ISP事業者向けメールシステム」 共通サービス経由	メールアドレス12,231,954名（うちパスワード7,616,173名）	発表
07/24	ムラウチドットコム 社内システム	7,716,811件（第二報）	発表
08/01〜09/30	Eストアー「ショップサーブ」（ECサイト構築サービス） 共通サービス経由	約2,335万人（10/16最終報）	発表
09/16	Helpfeel 画像共有サービス「Gyazo」	ユーザーデータ約2,362万件（匿名アカウントを含む）	発表
09/25	タイムズモビリティ カーシェア「タイムズカー」	約660万アカウント（本人確認書類画像 約160万を含む）	発表
09/29	ヤマト運輸 クロネコ代金後払いサービス	利用者情報 約526万件ほか（10/16調査結果）	発表
10/05	物語コーポレーション 焼肉きんぐ公式アプリ	10,788,963件	発表
10/08	アドベンチャー 旅行予約サイト「skyticket」	約1,464万件ほか	発表
10/09	ブックオフグループホールディングス 会員情報	6,383,279人	発表
10/15	ビーケー・ジャパン バーガーキング公式アプリ	約1,118万件	発表
10/15〜10/19	ソースネクスト（会員情報管理システム） 共通サービス経由	22,519,960件	発表
10/19	ユミルリンク メール配信サービス「Cuenote FC」	メールアドレスを含む情報 延べ約900万件（同社試算）	発表
10/22	カプコン 会員サービス「CAPCOM ID」	11,774,247件	発表
10/23	リンツ＆シュプルングリージャパン 委託先経由	3,147,469件	発表
10/23	ペイクラウドHD／バリューデザイン 共通サービス経由（モスカード 1,133,070件を含む利用企業）	1,424,748件	発表
10/24	カカオピッコマ 共通サービス経由（ブラストメール）	1,002,404件	発表
10/26	楽天トラベル 海外ホテル予約・多言語予約サイト	最大約260万件（支払情報 最大約3万6千件）ほか	発表
10/27	ソニーネットワークコミュニケーションズ So-net・ぷらら	2,585,481件	発表
10/28	花キューピット 会員情報	4,238,242件	発表
10/28	アララ メール配信「アララ メッセージ」	メールアドレス約301万件	発表
10/30	松屋フーズホールディングス 松弁ネット・モバイルオーダー	2,377,127件	発表
11/02	ノジマ ノジマオンライン	約700万件	発表
11/02	アイスタイル 「@cosme」会員情報	約300万人	発表
11/02	プレステージ・インターナショナル 共通サービス経由（ロードサービスの受付システム）	最大約550万件	発表
11/02	ファンくる 会員情報	1,030,741件	発表
11/02	TKC 共通サービス経由（アララ）	最大2,230,812件	発表
11/03	アソビュー 共通サービス経由（アララ）	15,821,184件	発表
11/04	モスフードサービス（モスWEB会員） 共通サービス経由（アララ）	7,517,087件	発表
11/04	ちょびリッチ 共通サービス経由（アララ）	1,348,525件	発表
11/04	プレナス 委託先経由（ほっともっとのメールマガジン）	最大約700万件	発表
11/05	GMOメイクショップ 共通サービス経由（アララ）	約1,260万件	発表
11/05	カカクコム 共通サービス経由（アララ）	約570万件	発表
11/05	日本サブウェイ 共通サービス経由（アララ）	最大1,107,494件	発表
11/06	ロート製薬 電話システム・顧客管理システム	2,797,545人	発表

公的な集計としては、個人情報保護委員会が10月28日、2026年4月1日〜10月16日に民間事業者から直接届いた不正アクセスによる漏えい等の報告（「おそれ」を含む）が2,094件、対象者が延べ約2億6,000万人にのぼると公表しています。月別では9月が303件、10月は16日までで830件と、1日あたり約10件から約52件に増えています。

出典: ITmedia NEWS「不正アクセスによる漏えい人数、半年余りでのべ2億6000万人に」（2026年10月29日、個人情報保護委員会 第374回会合資料より）

一覧から読み取れること

漏れた場所は、自社の中とは限らない。共通サービスの表に加え、個別の表にも「委託先経由」の事案が並びます。顧客から見れば、お詫びを出すのは名前を知っている会社です。この構造は、委託先・外部サービス経由の漏えいについての記事で詳しく書いています。

件数が大きい事案は、会員アプリと会員サイトに集中している。焼肉きんぐ、バーガーキング、ブックオフ、ローソン、カプコン、花キューピット、松屋フーズ、ノジマ、@cosme。会員登録の窓口が1つのシステムにまとまっていて、そこが破られると会員全員の情報が一度に出ていきます。

「メールアドレスだけ」も漏えいとして公表されている。ディップ、KDDI、ブラストメール経由の各社のように、漏れたのがメールアドレスだけの事案も大規模です。氏名や住所が含まれていなくても、フィッシングやなりすましの起点になります。

本物のサイトでカード情報が盗まれる事案が出ている。グッドスマイルカンパニーとゼビオでは、本物の決済ページに不正なプログラムが置かれ、入力されたカード番号とセキュリティコードが抜かれました。仕組みと利用者にできることを別の記事にまとめています。

自社がこの一覧に載らないために

攻撃そのものを完全に防ぐことはできません。できるのは、漏れたときに出ていくものを小さくすることです。会員情報のうち、本当に保存しておく必要がある項目はどれか。委託先や外部のサービスに渡している項目はどれか。作業が終わったデータは消えているか。メールの一斉送信やWebへの掲載に、人の目以外の確認があるか。この一覧に並ぶ事案の多くは、どれか1つに答えられていれば、規模がずっと小さく済んだはずです。

私たちJumpStackは、お客さまの現場にチームを置いて開発する形をとっています。データを外に持ち出さずに作ること、外部サービスに渡す項目を最小にすることを、設計の最初に決めるためです。

更新履歴

• 2026年11月6日：11月2日〜6日公表分を追加（三井住友海上・あいおいニッセイ同和の契約者ページ、プレナス「ほっともっと」、ファンくる、東京海上ダイレクト、ユニコレ、三井ダイレクト損保・三井住友海上あいおい生命、ロート製薬、野村インベスター・リレーションズ）。共通サービス経由にプレステージ・コアソリューション（日産フィナンシャルサービス、損保ジャパン、ポルシェジャパンほか）とSMBCコンシューマーファイナンスの保証業務システム（提携銀行、りそなグループ3行を含む）を追加し、プレステージ・インターナショナルは個別の表からこちらへ移動。アララ経由にGMOメイクショップ・カカクコム・日本サブウェイ・松井証券などを追記。おそれ段階にデニーズ、消防庁、消防向け配信サービス、JNSA、九州電力送配電を追記）。
• 2026年11月5日：11月2日〜5日公表分を追加（NTTドコモ、プレステージ・インターナショナル、アララ経由の連鎖：アソビュー・モスWEB会員・TKC ほか。おそれ段階にアイリスオーヤマ、ビックカメラグループ、さくらインターネットを追記）。
• 2026年11月2日：10月29日〜11月2日公表分を追加（ノジマ、@cosme、松屋フーズ、サントリー、Amadeus・Japanticket・NTTデータ基盤の各系統など）。構成を月別の一覧に統合。
• 2026年10月30日：10月27日・28日公表分を追加（So-net、花キューピット、ソニー生命、日本航空など）。個人情報保護委員会の集計を追記。
• 2026年10月26日：10月21日〜26日公表分を追加（カプコン、リンツ、モスカード、楽天トラベルなど）。
• 2026年10月21日：公開（4月21日〜10月20日公表分、個別125件・共通サービス経由10事案）。

出典: 各組織の公式発表（表の出典欄）／事案の収集: 情報漏洩まとめ.site、satimo-blog ほか／参考: 個人情報保護委員会「漏えい等の対応とお役立ち資料」