2026年 第45週 セキュリティ事故レポート

トジョンビズオンのサーバー侵害、顧客企業の個人情報流出懸念が拡大

被害: 11月5日時点で28の企業・機関が個人情報流出の可能性を公表。実際の流出規模は未確定

トジョンビズオンで2度のセキュリティ侵害が確認され、顧客企業の個人情報や、顧客企業が保管していた第三者の個人情報が流出した可能性が浮上した。サービスの利用が終了した企業の過去の資料も影響範囲に含まれる可能性が明らかになり、11月5日時点で28の企業・機関が流出の可能性を公表した。トジョンビズオンは韓国インターネット振興院と個人情報保護委員会に自主申告し、160億ウォン規模のセキュリティ投資の進捗を公開した。政府は重大な事故と判断して官民合同調査に着手し、実際の流出の有無と範囲を調査している。

アマデウス予約システムへの不正侵入、複数航空会社の旅客情報が露出

被害: 複数航空会社の旅客予約情報が露出

スペインの旅行IT企業アマデウスの予約システムに不正アクセスがあり、複数の航空会社の旅客予約情報が露出した。氏名や旅程情報に加え、一部の旅券番号と連絡先も露出し、日本航空、全日本空輸（ANA）、キャセイパシフィック航空などで被害が判明した。その後、大韓航空やアシアナ航空などでも被害報告が相次ぎ、タイの航空当局は主要航空会社7社のうちタイ国際航空とバンコク・エアウェイズが影響を受けたと確認した。

フロントライン・エデュケーションでハッキング、308万人超の情報流出

308.5万被害: 児童・生徒と教職員308万5266人の個人情報

フロントライン・エデュケーションで8月14～15日、第三者製ソフトウェアの脆弱性を悪用した不正アクセスが発生し、米国の学区の児童・生徒と教職員の情報が盗まれた。Frontline Centralと学校保健管理サービスの氏名、社会保障番号、生年月日、政府発行の身分証明書番号、メディケイド・児童生徒の識別番号、学校保健・請求記録などが影響を受けた。被害者への個別通知が始まり、少なくとも6件の集団訴訟が進行中である。インディアナ州への届け出で確認された被害者数は308万5266人である。

NTTデータの委託先SaaSに不正アクセス、社債購入者情報流出の恐れ

2678被害: 近鉄関連情報2,678件、SBI証券の顧客1,169人などの個人情報が流出した可能性。全体の規模は非公表

NTTデータの社債購入者向け特典支援サービス「STdirectServices」が利用する委託先のSaaSで不正アクセスが発生した。投資家の氏名や購入金額などの個人情報が流出した可能性が確認され、近鉄は関連情報2,678件、SBI証券は顧客1,169人に影響が及ぶ可能性を公表した。NTTデータは10月31日に事故を公表し、サービスを停止して調査に着手した。

欧州のスーパー冷蔵・冷凍設備にハッキング、食品損失や火災

被害: 欧州9カ国で冷蔵・冷凍設備に被害、フランスの数百カ所のスーパーで食品損失、一部で火災

2026年10月、フランスの数百カ所のスーパーの冷蔵・冷凍設備を狙ったサイバー攻撃で温度が上昇し、食品の損失や火災が発生した。その後、欧州の複数の国でも同様の被害が続き、被害地域は9カ国に拡大した。フランス当局は11月、イラン革命防衛隊のサイバー組織「シャヒド・カベ」を攻撃主体と特定した。

CBcloudのピックゴーに不正アクセス、顧客・配送ドライバー情報流出の恐れ

被害: 顧客企業の利用者、荷主、配送ドライバーの情報が流出した可能性

CBcloudの配送プラットフォーム「ピックゴー」が不正アクセスを受け、顧客企業の利用者と配送ドライバーの情報が流出した可能性が確認された。荷主関連情報も流出した可能性が公表され、利用企業と配送ドライバーへのさらなる影響範囲について調査が続いている。

山形県のメールマガジン委託先で不正アクセス

山形県のメールマガジン運営を受託する事業者で不正アクセスが発生した。県は11月12日に調査結果を公表し、県が運営するサービスからの情報流出は確認されなかった。

アララのメール配信サービスに不正侵入、アドレス8133万件流出

8132.9万被害: メールアドレス8132万9467件と一部顧客の会員情報

日本のアララのメール配信サービス「アララ メッセージ」がウェブサーバーの脆弱性を悪用した不正侵入を受け、メールアドレスと一部顧客の会員情報が流出した。追加調査により、重複を除いた流出メールアドレスは8132万9467件と集計された。攻撃者はサービスを悪用してカード会社をかたるメールも最大約713万通送信しており、同社はサーバーを隔離し、メール配信サービスを全面停止した。

Securitize Japanへの不正アクセス、デジタル証券の顧客情報流出

9086被害: ソニー銀行の顧客621人、丸井グループの申込者最大9086人などの顧客情報が流出

Securitize Japanで認証機能の脆弱性を悪用して管理者権限が奪取され、複数の委託元企業のデジタル証券に関する顧客情報が外部に持ち出された。ソニー銀行の顧客621人や丸井グループの申込者最大9086人などが影響を受け、氏名・住所・連絡先・生年月日・投資情報と一部の口座情報が含まれていた。NTTデータ、ソニー銀行、丸井グループなどの委託元企業が流出を公表した。

ETSの情報流出、カリフォルニア州の在学生・元学生の記録が露出

被害: カリフォルニア州の在学生・元学生の記録

米国のEducational Testing Service（ETS）で情報流出が発生し、カリフォルニア州の在学生や元学生の記録が露出した。露出した機微な記録には、2023年にまでさかのぼる資料が含まれていた。この事故を巡り、ETSに対する訴訟が提起された。

セガ フェイブのサーバー侵害、日本のアーケード向けオンラインサービス停止

被害: 日本のゲームセンターでALL.Net・Aimeを利用したオンラインプレイやカード認証などのサービスが停止

セガ フェイブのALL.Net・Aime関連サーバーに外部からの不正アクセスがあり、11月1日から関連サービスを停止した。日本のゲームセンターでオンラインプレイやカード認証、ゲームの進行情報の利用に支障が生じたが、初期調査では顧客・取引先情報の流出は確認されなかった。11月8日にバンダイナムコの対象ゲームが試験運用を再開したものの、セガのゲームのオンラインサービスは11月10日時点でも再開時期が未定だった。

CYBERBIZのデータベースに不正アクセス、顧客企業の注文情報流出の恐れ

被害: 顧客企業4社が注文情報・個人情報の被害の可能性を開示

台湾の電子商取引サービス事業者CYBERBIZのデータベースの一部に不正アクセスがあり、顧客企業4社が注文情報・個人情報に被害が生じた可能性を開示した。Acer GadgetとAcerpureはオンラインストアを停止した。一部の顧客企業は影響範囲の通知を受けたが、台塩とFar East Bio-Tecは正確な被害範囲の確認を続けており、被害の全容も調査中である。

GMOインターネットのクラウド侵害、顧客情報流出と取引損失

被害: 最大2万6739台のサーバーに影響、2943口座から計29億9000万円の損失補償申請

GMOインターネットの「お名前.com デスクトップクラウド」がマルウェア攻撃を受け、最大2万6739台のサーバーに影響が及び、顧客情報の流出と不正取引による資産損失が発生した。同社は顧客にPCの電源を切るよう勧告し、攻撃者の追跡に向けた懸賞金を提示するとともに、過去のセキュリティ脆弱性に関する警告に十分対応していなかったと認めた。11月12日までに2943口座から計29億9000万円の損失補償申請が寄せられたが、最終的な損失額は確定していない。

台湾91APPの注文データベース侵害、480万人の情報流出の恐れ

479.8万被害: 最大1329ブランドの消費者479万8255人の情報が流出した可能性

台湾の電子商取引プラットフォーム91APPの注文データベースが侵害され、最大1329ブランドの消費者479万8255人に影響が及ぶ可能性が浮上した。氏名、電話番号、配送先住所、メールアドレス、注文履歴が流出の対象となる可能性があり、実際の不正閲覧・窃取の範囲は確定していない。91APPは金銭的被害のない消費者も補償を申請できるようにし、申請窓口をGoogleフォームから公式サイトに変更した。台湾のデジタル発展部は、AIハッキングツールARTEXとの関連性を示唆した。

米ワシントン州の眼科ネットワーク、患者3,059人の情報流出の可能性

3059被害: 約3,059人の個人情報・医療情報が流出した可能性

米ワシントン州の眼科ネットワークでファイルへの不正アクセスが確認され、約3,059人が影響を受けた。氏名、住所、生年月日のほか、診断、検査結果、投薬などの医療情報が流出した可能性がある。その後、個人情報侵害に関する訴訟の検討が進められた。

Web3Authのセキュリティ上の欠陥でKeplrウォレットの秘密鍵が侵害

被害: 一部のKeplrウォレットの秘密鍵侵害と資産窃取、実際の窃取額は非公表

Web3Authのインフラのセキュリティ上の欠陥により、Google・Appleアカウントで作成された一部のKeplrウォレットの秘密鍵が侵害され、不正な取引が発生した。Web3Authはサービスを停止し、さらなる窃取を防ぐため約560万ドルを復旧用ウォレットに移した。攻撃者による実際の窃取額は公表されていない。

SMエンタテインメントの業務システムに不正アクセス、役職員情報が流出

被害: 役職員の個人情報および契約書などの内部文書が流出、規模は調査中

SMエンタテインメントは11月4日、外部の攻撃者による業務システムへの不正アクセスと文書の流出を確認した。流出した情報には、役職員の住民登録番号、銀行口座番号、携帯電話番号、住所、契約書の情報などが含まれていた。同社は謝罪し、正確な被害規模を調査している。