【随時更新】国内の不正アクセス・情報漏えい一覧。2026年夏から急増、10月は月100件ペースで100万件超が11件

国内の企業や団体が公表する不正アクセスが、2026年の夏から急に増えています。当サイトが2025年10月から2026年10月19日までに公表された事案を1件ずつ集めたところ、月の公表件数は2026年6月までは平均37件前後で推移していましたが、7月に60件、8月に67件、9月に73件と増え、10月は19日までで62件、1か月に直すと約100件のペースです。

規模も跳ね上がりました。漏えい（またはそのおそれ）が100万件を超える事案は、6月までは月に0〜2件でしたが、10月は19日までで11件に達しています。焼肉きんぐ、バーガーキング、skyticket、ローソン、ブックオフ、日経電子版と、毎日のように使うアプリや会員サービスが立て続けに名前を連ねました。

この記事では、集めた593件の一覧と、月別・規模別・手口別の推移をまとめます。一覧は続報に合わせて随時更新します。以下は2026年10月19日時点の内容です。

不正アクセスの公表件数は、2026年7月から急増

2025年10月から2026年6月までの9か月は、月27〜43件の間で上下していました。7月から月60件前後に増え、9月は73件、10月は19日までで62件です。件数は、組織が最初に不正アクセスを公表した日で数えています。

国も動いています。10月9日には、金融庁が金融機関に対策の点検を求め、経済産業省は約1,000の業界団体を通じて企業に注意喚起を出しました。同じ日に国家サイバー統括室、総務省、IPAも、相次ぐ漏えいを踏まえた対応を呼びかけています。

100万件を超える漏えいは、10月だけで11件

件数の増え方以上に変わったのが、1件あたりの規模です。100万件以上の事案は、2025年10月から2026年7月までの10か月で計8件でしたが、8月と9月に4件ずつ、10月は19日までで11件と急増しました。期間中の100万件以上の事案は次のとおりです（件数は各組織の最新の公表値）。

件数の数え方は組織によって違います。人数で出すところ、アカウント数やレコード数で出すところがあり、「最大」「おそれ」を含む数字もあります。並べて比べるときは、単純な大小ではなく規模の目安として見てください。

自分が対象かどうか確かめる方法と、いまやること

1. 使っているサービスが一覧にあれば、出典の「公表」から組織のお知らせを開く

   対象者への個別の連絡方法（メール・郵送）や、問い合わせ窓口が書かれています。退会済みの人まで対象になっている事案もあります。

2. 同じメールアドレスとパスワードを、ほかのサービスで使い回していたら変える

   漏れた組み合わせで別のサービスに入られる被害（リスト型攻撃）がいちばん起きやすい二次被害です。重要なサービスから順に変え、使えるところは二段階認証をオンにします。

3. 「お詫び」「補償」「再ログインのお願い」をうたうメールやSMSのリンクを開かない

   漏れたメールアドレスや電話番号あてに、運営を名乗る偽の連絡が届きやすくなります。案内が届いたら、リンクからではなく、自分で公式サイトを開いて確かめてください。

4. カード情報が対象の事案なら、利用明細を確かめる

   身に覚えのない請求があれば、カードの裏面の番号に連絡します。カード情報が対象かどうかは、各組織のお知らせに書かれています。

増えたのはランサムウェア以外の攻撃

データを暗号化して身代金を求めるランサムウェアは、むしろ減っています。ランサムウェアと公表・報道された事案は、2025年10月の16件から、2026年9月は5件、10月は19日までで6件でした。増えているのは、システムに入り込んで情報を盗み出す攻撃や、不正ログインです。

警察庁の統計では、2026年上半期のランサムウェアの被害報告は123件で、半期としては統計を取り始めてから最多でした。ランサムウェア自体が減ったわけではなく、それ以上に「盗むだけ」の攻撃が増えた、と読むのが自然です。

9月から目立つのは、スマホアプリとAPIを狙った攻撃

サービス名や公表された侵入経路に「アプリ」や「API」（アプリがサーバーとやり取りするための窓口）が出てくる事案は、8月までは月に0〜3件でしたが、9月は10件、10月は19日までで12件に増えました。焼肉きんぐ、ローソン、ミスターマックス、銀のさら、タイムズカーなど、会員証やクーポンをアプリで配るサービスが並びます。

公的機関も同じ手口を確認しています。JPCERT/CC（国内のセキュリティ事故の対応を調整する組織）は10月8日の注意喚起で、スマホアプリを解析してAPIの入口や鍵を見つけ、内部のAPIを不正に操作する手口を挙げました。NICT（情報通信研究機構）は10月13日、公開されているアプリを解析してつながる先のサーバーを狙う手口を「A2B攻撃」と名付けて注意を呼びかけ、「AIの活用によってアプリの解析や脆弱性の発見が効率化され」攻撃が広がるおそれを指摘しています。

AIとの関係については、10月12日放送のBSフジ「プライムニュース」で、脆弱性診断の会社を経営する上野宣氏が「この1か月は、各社が自分で作ったWebやアプリが狙われている。穴を探すところから始める攻撃で、そこにAIが使われているのではないか」という見方を示しました。同じ番組で安野貴博氏は、8月末に公開された中国製のオープンウェイト（中身が公開され、誰でも手元で動かせる）AIモデル「GLM5.3」の能力が、米Anthropicの「Claude Mythos」に近いとの見方を紹介しています。どちらも出演者の見立てで、個々の事案の原因として公表されたものではありません。

当サイトの集計でも、手口までは言い切れません。593件のうち侵入経路を公表していないものが半数近くあり、自社開発のシステムの不備と公表された事案の割合は月によって大きくぶれています。ただ、政府は2026年5月18日の時点で、高性能なAIによって「脆弱性の発見から悪用までの時間が極めて短くなる」として重要インフラ事業者などに対策を求めており、IPAの「情報セキュリティ10大脅威2026」でも「AIの利用をめぐるサイバーリスク」が初めて選ばれて3位に入っています。

公的な統計でも、2026年は大型の漏えいが多い

• 東京商工リサーチ：上場企業とその子会社の調査で、100万件以上の漏えい・紛失事故は2026年10月5日時点で10件となり、2025年の1年間の6件を超えた（東京商工リサーチ）
• 警察庁：2026年上半期のランサムウェア被害の報告は123件で、半期として最多（令和8年上半期の情勢）
• 個人情報保護委員会：2026年度第1四半期（4〜6月）の漏えい等の報告は計6,101件で、2025年度の四半期平均（4,854件）を上回った。報告の件数は事故の数ではなく、委託元と委託先の両方が報告するため、大きな事案1件で増える（四半期の公表）

10月の主な注意喚起は次のとおりです。

• 10/7 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について」
• 10/8 JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」
• 10/9 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」
• 10/9 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」
• 10/9 経済産業省「不正アクセスによる情報漏えい等の事案を踏まえた注意喚起」、大臣会見
• 10/9 IPA「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」
• 10/13 NICT「相次ぐ情報漏えい、その原因の一つは「アプリ解析からのサーバ攻撃」」

公表された不正アクセスの一覧（593件）

月ごとに、公表日の新しい順に並べています。経路は組織が公表した内容に基づく分類で、公表していないものは「非公表・調査中」としました。「解説記事」は当サイトで個別に詳しく書いた記事です。

数え方と限界

• 対象：国内の企業・団体（自治体・大学・病院を含む）が自ら公表した、第三者による不正アクセス。ランサムウェア、Web・アプリの不備の悪用、機器の脆弱性、不正ログイン、委託先経由、設定の不備を含む。漏えいがなかった事案も含む
• 対象外：メールの誤送信、PC・書類の紛失、従業員の持ち出し、攻撃ではないシステム障害、海外子会社だけの事案、攻撃者が名前を挙げただけで組織が公表していない事案
• グラフから外したもの：サポート詐欺（偽の警告画面から遠隔操作させる手口）11件、外部スクリプト（polyfill.io）の乗っ取りで偽の画面が出たもの8件、SNSアカウントの乗っ取り7件。企業のシステムへの侵入とは性質が違うため、件数の推移から外した
• 日付：組織が最初に公表した日で数える。最初に「システム障害」とだけ告知し、後で不正アクセスと認めた事案は、障害の告知日に寄せたものがある。公式の日付が取れないものは報道の初出日を使った
• 確かめ方：593件のうち439件は組織の公式発表で日付・件数・経路を確かめた。残りは報道で確かめた
• 取りこぼし：セキュリティ専門の報道（Security NEXT、ScanNetSecurityなど）と各組織の発表から集めたため、報道されなかった小さな組織の公表は漏れている可能性がある。集め方は期間を通じて同じだが、2025年分は報道の索引をたどれた範囲が狭く、少なめに出ている可能性がある。100万件以上の大型事案は報道されやすいため、こちらの推移はより確かと考えている
• 件数：各組織の最新の公表値。人数と件数が両方あれば人数を使った。件数を公表していない事案は大型漏えいのグラフに入っていない

一覧に漏れや誤りがあれば、出典とあわせてお知らせください。確かめたうえで反映します。

更新履歴：2026年10月19日 公開（2025年10月1日〜2026年10月19日の公表分）。