2026年10月12日 10:00
2026年9月から10月にかけて広範囲の国内企業や社会インフラを標的とした大規模な不正アクセスが発生し、ある報道によると累計で5000万人分を超える個人情報が漏えいする深刻な事態となりました。
国民生活に身近なメジャーサービスへの被害が相次ぎ、コンビニ大手のローソンではローソンID基盤への不正ログイン等により約215万件の情報が影響を受けました。
またカーシェア大手のタイムズカーを展開するパーク24では約660万件のアカウント情報とともに約160万件分の運転免許証画像データが流出し、JR東日本グループのビューカードでも最大約403万件のメールアドレス流出懸念が公表されるなど、社会的に大きな打撃を与えました。
ほかにもskyticketの約1464万件、焼肉きんぐの約1079万件、第一興商の約872万件など、様々な業界の大手サービスで大規模な漏えいが判明しています。
今回の被害拡大には構造的な要因と手口の高度化が背景にあります。
外部に公開されているウェブシステムやAPIの脆弱性、認証の突破が主な侵入経路となったほか、クラウド基盤であるIDCFクラウドやFAQシステムであるi-askといった委託先・提供サービスへの侵害を起点に、えきねっとや大和証券など利用企業へ被害が連鎖するサプライチェーン攻撃が猛威を振るいました。
さらに生成AIの悪用によって攻撃の自動化や効率化が進み大量の侵入試行が行われている点が指摘されています。
攻撃者の狙いも単なる個人名簿にとどまらず、クレジットカード情報や銀行口座番号など即金性の高い金融資産情報へとシフトしており、流出データを悪用した二次被害への懸念が高まっています。
こうした異常事態を受け内閣官房国家サイバー統括室、経済産業省、IPAなどの政府機関は10月9日に一斉に緊急注意喚起を発表しました。
政府はサイバーセキュリティを自社の経営課題と位置づけ、トップの主導のもとで外部公開システムやアクセスログ、不審アカウントの緊急点検を行うよう求めています。
また、万が一侵入された際の情報漏えい被害を抑えるために不要な個人情報は保持しないという原則の徹底、多要素認証の導入、委託先を含めたサプライチェーン全体での管理強化やゼロトラスト運用の推進を強く呼びかけています。
