情報漏えい・不正アクセス7件を図解 10月7日〜9日の件数・原因・公表日数

2026年10月7日から9日に、委託先、クラウド、会員サイト、管理ツールと、入口の違う不正アクセスの公表が続きました。当事者の公式の発表で確かめた7件を、件数、原因の型、公表までの日数、カード情報の有無で並べます。1件はJR東日本で、公式の発表を開けなかったため報道から整理しています。

前の週の公表は情報漏えい・不正アクセス12件を図解 9月末〜10月6日の件数・原因・公表日数にまとめました。この記事は、10月7日以降の公表だけを扱い、期間を重ねていません。

7件の一覧 並びは公表日の順

件数の単位(件・人・名・契約数)と原因の言葉は、各社の公表のとおりです(2026年10月10日確認)。並びは公表日の順で、件数や深刻さの順ではありません。単位が違うので、合計は出しません。

数え方の違いにも注意が要ります。第一興商の件数は重複を除いた数で、人数とは書かれていません。skyticketの(2)は重複を含む件数で、件数を調査中のものが別にあります。コミューンの約30.7万人には、従業員とテスト用アカウント約4.2万人が含まれます。

原因の型は3つに分かれる

公表に書かれた範囲で分けると、次のとおりです。

• 委託先の端末(1件): 第一興商。委託した業務の個人データが、委託先の端末に一時的に保管されていました。
• クラウド・提供元の側(3件): IDCフロンティア、コミューン、JR東日本。JR東日本は、報道によるとIDCFクラウド上のメール配信用のサービスが関わります。
• 自社の管理ツール・システム(3件): NewsPicks、skyticket、BOOKOFF。BOOKOFFは原因の詳細が書かれていません。

IDCフロンティアの障害はIDCFクラウド東日本リージョン1にランサムウェア攻撃、JR東日本はJR東日本のえきねっと等で最大206万件で、つながりを整理しています。

確認から公表まで 同じ日から11日

会社が不正アクセスを確認した日から、公表した日までを数えました。両方の日付が公表にある7行だけで、編集部の計算値です。

第一興商の委託先は、10月1日から2日にかけて感染を把握し、10月2日に端末を隔離しています。表は、第一興商が報告を受けた日からです。IDCフロンティアは障害の発生が10月7日の午前3時40分ごろで、第1報も同じ日です。気づいた日の記載がないため、日数は計算していません。JR東日本も計算していません。

日数には、範囲を確かめる調査の時間が入ります。短い長いだけで、対応の良し悪しは決められません。

漏れた項目とカード情報

主な項目、パスワード、カード情報を並べました。「記載なし」は、公表にその項目が書かれていないことです。

カード番号の全体が漏えいしたと公表した件はありません。ただし、NewsPicksとJR東日本は、カード情報の一部が対象です。ハッシュ化したパスワードが対象に入ったのは、skyticketの(1)とBOOKOFFです。

原因の型ごとに自社で確かめること

7件の記事の「情シスが今日やること」から、型ごとにまとめました。公表した会社が、他社に求めたものではありません。

• 委託先の端末: 個人データを渡している委託先の一覧を作り、渡す項目と件数を見直します。委託先のPCの扱いと、契約の報告期限も確かめます。詳しくは第一興商の記事にあります。
• クラウド・提供元の側: 使っているSaaSと預けている項目を書き出し、提供元からの連絡が管理者の窓口に届くかを確かめます。バックアップは、同じ事業者の外に持ちます。コミューンの記事に確認の手順があります。
• 自社の管理ツール・システム: 顧客情報を見られる管理画面のアカウントを棚卸しし、多要素認証を必須にします。閲覧の記録も確かめます。NewsPicksの記事に点検表があります。
• 会員サイトと社員の使い回し: 会員だった社員に、仕事のパスワードとの使い回しを確かめてもらいます。BOOKOFFの記事とskyticketの記事が詳しいです。

内閣官房国家サイバー統括室は10月9日、ウェブシステム等の適切な管理、サプライチェーンを通じた侵害への対策、データの適切な管理の3つの柱で対策を呼びかけました。項目は国家サイバー統括室が不正アクセス事案で注意喚起 情シスの点検表に整理しています。

今週記録した、この記事に入れなかった5件

次の5件は、公表が10月6日以前のため、この記事の7件には入れていません。当サイトで今週記録したものです。

アドバンテストの日本語の公表は2月19日と3月4日で、10月の届け出は米国のカリフォルニア州の公開です。日本での通知の状況は、日本語の発表に書かれていません。

今日からできること

1. 7件のサービスに、会社のメールアドレスや電話番号で登録した社員がいないかを聞く。公表を装うメールやSMSのリンクは開かないよう、今日中に知らせる
2. 会員だった社員に、仕事のアカウントと同じパスワードを使っていないかを確かめてもらう。使っていれば会社の側を変える
3. 個人データを渡している委託先と、使っているSaaS、クラウドの一覧を作る。預けている項目と、事故のときの連絡先を書き添える
4. 顧客情報を見られる管理画面のアカウントを棚卸しし、多要素認証が付いていないものを洗い出す
5. 自社で事故が起きたときの時系列(確認した日、止めた日、公表した日)を、書き込む様式にしておく。相次ぐ漏えいと「返金します」を装う詐欺メールは、9月末から相次ぐ情報漏えい一覧にあります

委託先で漏えいが起きたときの報告の流れは、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れにまとめています。