2026年 第39週 セキュリティ事故レポート

韓国金融業界で相次ぐハッキング、16社で約10万件の情報流出

10万被害: 金融会社16社で侵害、約10万件の情報流出

韓国の銀行・証券会社・キャピタル会社など金融業界で、ハッキングと情報流出が相次いだ。10月14日時点で被害を受けた金融会社は16社、流出情報は約10万件と集計された。金融当局は金融業界全体の緊急会議を開いて被害を点検し、10月28日には二次被害を防ぐための緊急点検会議が開かれた。

ガビア、ウェブサービスの脆弱性を突かれ顧客2,998人の情報が流出

2998被害: 顧客2,998人の個人情報

ガビアで、外部の攻撃者がウェブサービスのリクエスト検証の不備を突いて内部システムに侵入し、顧客2,998人の個人情報が流出した。ガビアは事案を認知した直後にアクセス経路を遮断し、韓国インターネット振興院と個人情報保護委員会に届け出た。追加被害を確認するための全数点検と調査にも着手した。

韓国銀行の研修委託業者に侵入、職員186人の個人情報流出

186被害: 職員186人の個人情報

2026年5〜6月、韓国銀行のオンライン研修の個人情報処理を受託する業者が使用するGitHubシステムに外部からの侵入があった。韓国銀行職員186人の氏名・所属・連絡先・職級・職務と暗号化されたパスワードなどが流出した。

通信大手3社のハッキング・個人情報流出と隠蔽疑惑

通信大手3社のハッキングと個人情報流出事故を受け、対応体制やセキュリティ面の事後措置が国政監査の点検対象となった。ハッキングの兆候を通知された後にサーバーを廃棄したという隠蔽疑惑や、証拠毀損の責任も争点として提起された。流出した連携情報（CI）の再発行と有効期限の導入が提案され、KTとLGユープラスに対する追加制裁の可能性にも言及があった。

マルグンソフトにハッキング、個人情報237万件の流出を届け出

237万被害: 個人情報流出の届出237万件、顧客企業22社が被害

マルグンソフトのハッキングにより、オンライン教育サイトの会員情報が外部に持ち出された。10月13日時点で、個人情報流出の届出規模は237万件で、被害を受けた顧客企業は22社と集計された。被害機関には、利用者4万人の個人情報が流出した韓国教育施設安全院が含まれる。

ムシンサの個人情報流出を受け、企業8社が追加で侵害を届け出

16万被害: ムシンサの29CMで個人情報16万件が流出、企業8社が追加で侵害を届け出

ムシンサの29CMで個人情報16万件が流出し、ハッカーからの情報提供を受けて企業8社が追加で侵害事故を届け出た。政府は、中国のハッカーが名指しした企業30社に侵害事故の届け出を案内し、調査を進めた。

政府24こどもポータルがハッキング、個人情報流出

被害: サーバーのメモリダンプファイルなどが盗まれ、住民登録番号・アカウント情報が流出した疑い

2026年8月17日、政府24こどもポータルの脆弱なページを狙った攻撃により、サーバーのメモリダンプファイルなどが盗まれた。住民登録番号やアカウント情報などの流出が推定され、事件は発生から約1か月後に明らかになった。9月29日時点でも正確な被害規模は把握されていない。

ディセントの暗号資産ウォレットがハッキング、リップル約1000万枚が盗まれた疑い

被害: リップル約1000万枚が盗まれたと推定

ディセントの暗号資産ウォレットのハッキングで被害が拡大していることが9月24日に明らかになった。リップル約1000万枚が盗まれたと推定されている。

SFAエンジニアリング、ハイビジョンシステムにランサムウェア被害の疑い

先端装置業界でランサムウェア被害の疑いが相次いで浮上した。SFAエンジニアリングに続き、ハイビジョンシステムも被害の疑いが取り沙汰された。

臍帯血バンクにランサムウェア被害、赤ちゃんの情報流出の可能性

被害: 赤ちゃんの情報が流出した可能性

臍帯血バンクがランサムウェア攻撃を受けた。赤ちゃんの情報も流出した可能性が指摘された。

FBIの採用システムに侵入、職員の機微情報が流出

被害: 職員の個人情報および特別捜査官の血液・尿検査結果が流出

米連邦捜査局（FBI）の採用サイトとPeopleSoftシステムが侵害され、職員の個人情報と特別捜査官の血液・尿検査結果が流出した。ShinyHuntersは全職員の情報を窃取したと主張し、FBIは調査に着手するとともに、セキュリティパッチを適用しなかった契約業者の従業員を業務から外した。その後、関連する容疑者が逮捕され、米司法省の職員にも被害が広がった可能性が指摘された。

ビットゲット、セキュリティ製品の脆弱性を突かれ約3億8750万ドル相当を窃取される

被害: 暗号資産約3億8750万ドル相当

ビットゲットは、外部セキュリティ製品のゼロデイ脆弱性を悪用した攻撃で、ホット・ウォームウォレットから約3億8750万ドル相当の暗号資産を窃取された。同社は出金を停止して調査に着手し、9月28日から出金を再開すると明らかにした。顧客口座の残高とコールドウォレットは影響を受けておらず、損失は保護基金で補填すると説明した。

米アリゾナ州の裁判所がハッキング被害、100万人超の個人情報を窃取

100万被害: 100万人以上の個人情報、里親委託児童の記録・保護命令の情報

米国アリゾナ州の裁判所システムがサイバー攻撃を受け、100万人を超える人々の個人情報が窃取された。攻撃者は2組のデータをコピーし、被害資料には里親委託児童に関する記録や保護命令の情報が含まれていた。米連邦捜査局(FBI)が捜査に乗り出した。

シンガポール通信会社シンバ、顧客2万3549人の個人情報が流出

2.4万被害: 顧客2万3549人の氏名・身分証番号・生年月日・携帯電話番号・メールアドレス

シンガポールの通信会社シンバで、顧客2万3549人の個人情報が流出した。流出した情報には氏名、身分証番号、生年月日、携帯電話番号、メールアドレスが含まれる。同社は事案を遮断したと発表し、シンガポール個人データ保護委員会が調査に着手した。

日本企業で不正アクセスと個人情報流出が相次ぐ

日本企業で不正アクセスと顧客の個人情報流出が相次いで確認された。東京の鉄道事業者のオンラインセキュリティ侵害と、大阪のIT企業の情報流出も伝えられた。個別の事案の共通の原因、全体の被害規模、具体的な対応措置は確認されていない。