2026年 第46週 セキュリティ事故レポート集計中

LNbits、ウォレット資産の不正出金攻撃でサーバー停止を要請

被害: ある運営者のウォレットから228万5,545サトシが不正出金、被害総額は非公表

LNbitsでウォレット資産を抜き取る攻撃が相次いだ。ある運営者は新規アカウントを通じた228万5,545サトシの不正出金を報告したが、被害総額や具体的な攻撃経路は公表されていない。LNbitsはすべての運営者にサーバーの即時停止を要請し、自社のホスティングサービスも停止した後、緊急のセキュリティ更新を推奨した。

アマデウス予約システムへの不正侵入、複数航空会社の旅客情報が露出

被害: 複数航空会社の旅客予約情報が露出

スペインの旅行IT企業アマデウスの予約システムに不正アクセスがあり、複数の航空会社の旅客予約情報が露出した。氏名や旅程情報に加え、一部の旅券番号と連絡先も露出し、日本航空、全日本空輸（ANA）、キャセイパシフィック航空などで被害が判明した。その後、大韓航空やアシアナ航空などでも被害報告が相次ぎ、タイの航空当局は主要航空会社7社のうちタイ国際航空とバンコク・エアウェイズが影響を受けたと確認した。

SMBCコンシューマーファイナンス、最大32万118人の顧客情報流出

32万被害: 顧客最大32万118人の個人情報

日本のSMBCコンシューマーファイナンスの融資保証業務システムに第三者が侵入し、最大32万118人の個人情報を含むデータを外部に送信した。流出対象には氏名・住所・生年月日・電話番号・メールアドレス・運転免許証番号のほか、勤務先・年収・保証契約情報などが含まれた。同社は11月2日に侵入を検知してアクセスを遮断し、システムを一時停止したほか、一部の提携金融機関でも融資の受け付けが停止された。

アララのメール配信サービスに不正侵入、アドレス8133万件流出

8132.9万被害: メールアドレス8132万9467件と一部顧客の会員情報

日本のアララのメール配信サービス「アララ メッセージ」がウェブサーバーの脆弱性を悪用した不正侵入を受け、メールアドレスと一部顧客の会員情報が流出した。追加調査により、重複を除いた流出メールアドレスは8132万9467件と集計された。攻撃者はサービスを悪用してカード会社をかたるメールも最大約713万通送信しており、同社はサーバーを隔離し、メール配信サービスを全面停止した。

Fireworks AIに再び不正アクセス、顧客データとモデルの重みが流出

被害: 一部顧客のアカウント情報・請求情報・シークレット情報・データセット・未完成モデルの重み

Fireworks AIでは、最初の侵害確認から18日後の10月24日、外部クラウド事業者への侵害を通じて開発用システムへの不正アクセスが再び発生した。調査では、顧客のアカウント情報・請求情報に加え、一部顧客のシークレット情報・データセット・未完成モデルの重みにまで影響が確認された。同社は認証情報の失効とシステムの隔離を実施し、影響を受けたすべての顧客に通知した。

トジョンビズオンのサーバー侵害、顧客企業の個人情報流出懸念が拡大

被害: 11月5日時点で28の企業・機関が個人情報流出の可能性を公表。実際の流出規模は未確定

トジョンビズオンで2度のセキュリティ侵害が確認され、顧客企業の個人情報や、顧客企業が保管していた第三者の個人情報が流出した可能性が浮上した。サービスの利用が終了した企業の過去の資料も影響範囲に含まれる可能性が明らかになり、11月5日時点で28の企業・機関が流出の可能性を公表した。トジョンビズオンは韓国インターネット振興院と個人情報保護委員会に自主申告し、160億ウォン規模のセキュリティ投資の進捗を公開した。政府は重大な事故と判断して官民合同調査に着手し、実際の流出の有無と範囲を調査している。

CYBERBIZのデータベースに不正アクセス、顧客企業の注文情報流出の恐れ

被害: 顧客企業4社が注文情報・個人情報の被害の可能性を開示

台湾の電子商取引サービス事業者CYBERBIZのデータベースの一部に不正アクセスがあり、顧客企業4社が注文情報・個人情報に被害が生じた可能性を開示した。Acer GadgetとAcerpureはオンラインストアを停止した。一部の顧客企業は影響範囲の通知を受けたが、台塩とFar East Bio-Tecは正確な被害範囲の確認を続けており、被害の全容も調査中である。

電子チケットサービスteket、全会員の氏名・メールアドレス流出

被害: 全会員の氏名・メールアドレスおよび一部会員の追加の個人情報が流出、全サービス停止

日本の電子チケットサービスteketの会員情報管理システムが不正アクセスを受け、全会員の氏名とメールアドレスが流出した。一部会員の生年月日、住所、電話番号、チケット発券コードなども流出対象に含まれた。2026年11月5日から全サービスが停止し、チケットの販売・表示やイベントの入場受付に支障が生じており、被害人数と影響範囲、サービス再開時期は調査中である。

日本のセキュリティ企業、開発環境への侵入で顧客情報流出の恐れ

被害: 一部顧客の企業名・氏名・メールアドレスとサービスの通信に関する情報が流出した可能性

日本のセキュリティサービス提供企業で、従業員のGitHub認証情報が流出し、開発用管理領域に第三者によるものと疑われるアクセスが発生した。一部顧客の企業名・氏名・メールアドレスとサービスの通信に関する情報が閲覧または取得された可能性を調査している。同社は再発防止と信頼回復に全社を挙げて取り組むと表明した。

カナダの児童支援機関でネットワーク不正アクセスとシステム暗号化

カナダのHighland Shores Children’s Aid Societyのネットワークで、不正アクセスとシステムの暗号化が発生した。同機関はThe Children’s FoundationにITサービスを提供していた。同財団は、関係者の個人情報が影響を受けた可能性があると公表した。

Bookeasyに不正アクセス、豪国立公園の予約者情報が流出した可能性

被害: オーストラリアの複数の州・準州の予約者の氏名・住所・連絡先・予約情報が流出した可能性

オーストラリアの予約プラットフォームBookeasyで不正アクセスが発生し、提携先の顧客の氏名・住所・連絡先・予約情報が閲覧または流出した可能性が確認された。複数の州・準州の国立公園予約者が影響を受け、実際の予約情報を使って追加の支払いを要求するWhatsAppの詐欺メッセージも報告された。ビクトリア州公園管理局はキャンプ場の新規予約を一時停止し、クレジットカード情報にアクセスされた証拠は見つかっていない。

レザービジョンで予約情報の不正閲覧、利用客にフィッシング

被害: 飲食店・ホテル利用客の個人情報と予約情報

予約サービスのレザービジョンで、顧客アカウントを通じた不正閲覧により、飲食店・ホテル利用客の個人情報と予約情報が流出した。盗まれた情報は支払いやカード情報の入力を求めるフィッシングメールに使われ、一部事業者が実際に使用するメール送信アカウントも悪用された。

電通デジタルのTONARIWAで顧客企業2社の個人情報流出

被害: 顧客企業2社の個人情報が流出、被害件数は調査中

電通デジタルのマーケティングプラットフォーム「TONARIWA」で、流出した管理者アカウントの認証情報を利用した不正アクセスと権限昇格が確認された。11月12日の続報で、顧客企業2社の個人情報が外部に持ち出されたログが確認され、氏名、生年月日、連絡先、LINE連携用アクセストークンなどが流出対象として示された。全サーバーを停止・隔離しており、被害件数は調査中である。

AllUnitedへの不正アクセスでオランダのスポーツクラブ会員情報流出

被害: 350を超えるスポーツクラブが流出を届け出、会員の個人情報と銀行口座情報が流出

オランダのスポーツクラブ向け会員管理プラットフォームAllUnitedのソフトウェアの不具合を悪用した攻撃者が、会員データベースをコピーした。流出情報には氏名、住所、生年月日、パスワード、銀行口座情報などが含まれた。同社は全パスワードのリセットを進め、350を超えるスポーツクラブが個人情報保護監督機関に流出を届け出た。

クアンタム・システムズのサーバーにマルウェア、独軍がドローン運用停止

被害: ドイツ連邦軍が同社製ドローンの運用を一時停止

ドイツのドローンメーカー、クアンタム・システムズは2026年10月下旬、社内サーバーへのサイバー攻撃を検知した。サーバーにはマルウェアを含む更新ファイルが仕込まれており、更新を通じてドローンの運用に影響を及ぼす試みだったとされる。同社は当局と共同調査を開始し、ドイツ連邦軍は予防措置として同社製ドローンの運用を一時停止した。

台湾のnetiCRM提供事業者で管理サーバー侵害、顧客資料流出

被害: 非営利の顧客団体の連絡先、契約・請求資料、顧客サポート記録の盗難

台湾のnetiCRM提供事業者の内部管理サーバーが侵害され、非営利の顧客団体の連絡先、契約・請求資料、顧客サポート記録が盗まれた。30以上の非営利団体が寄付者に詐欺への注意を呼びかけた。提供事業者は約500の顧客のサーバーを点検・再構築の対象に含めており、11月12日時点で寄付者情報が盗まれた形跡は見つかっていない。

ファイアワークスAIへの侵入で顧客企業の情報流出

2026年10月、ウーバーにAIサービスを提供するファイアワークスAIが侵入被害を受け、顧客企業の情報流出につながった。攻撃者はサービス提供業者の内部認証情報を窃取し、それを使って同業者にあるウーバーのアカウントにアクセスした。ウーバーは米国のドライバーに対し、個人情報と運転免許証情報の流出を通知している。

オープンロジに不正アクセス、7カ月分の配送個人情報が流出

被害: 約7カ月分の出荷データの一部が流出、総件数は調査中

日本の物流企業オープンロジが11月8～9日に不正アクセスを受け、4月8日から11月8日までに受け付けた配送データの一部が外部に持ち出された。データには受取人の氏名・住所・電話番号・メールアドレスや商品情報などが含まれていた。11月12日までに顧客企業・サービス13社・件が影響を公表し、流出の全容は調査中である。

Amicus Lexに不正アクセス、利用者2万28人の個人情報流出

2万被害: LawForm利用者2万28人の個人情報

11月11日午前5時38分、Amicus Lexで不正アクセスが発生し、LawForm利用者2万28人の氏名・電話番号・メールアドレスが流出した。管理者ページを狙ったSQLインジェクション攻撃と脆弱なAPIが確認され、脆弱なAPIのコードは削除された。中小ベンチャー企業部は、事故の把握から約60時間後に公表した。

日産フィナンシャルサービス、顧客情報最大23万6000件流出の恐れ

23.6万被害: 顧客情報最大約23万6000件が流出した可能性

日本の日産フィナンシャルサービスのロードサービス委託先の業務システムが侵害され、最大約23万6000件の顧客情報が流出した可能性が浮上した。対象情報には、氏名・住所・連絡先・メールアドレス・車両情報と、事故・故障の受付履歴が含まれる可能性がある。同じ委託先を利用する他の企業への影響も報告された。

メタエムの顧客相談システムに不正侵入、電話番号・相談内容流出

被害: 一部の顧客相談システム内の電話番号・相談時の会話内容

メタエムの一部の顧客相談システムが外部から攻撃を受け、電話番号や相談時の会話内容が無断で閲覧されたり、外部に持ち出されたりした形跡が確認された。メタエムは2026年11月12日午前6時3分、顧客相談サービスの障害をきっかけに事案を認知した。調査の過程で、事案の認知以前から一部のサービスに異常なアクセスがあったことを把握し、追加の流出範囲や侵入経路を調査している。