2026年の個人情報流出・不正アクセス一覧｜企業別の件数と漏れた情報を総まとめ

2026年も、企業や通販サイト、飲食店の公式アプリ、インターネットサービス、医療機関などで、個人情報の流出や不正アクセスが相次いで公表されています。

普段使っているサービスの名前がニュースに登場し、「自分の情報も漏れた？」「パスワードやクレジットカードは大丈夫？」「何か手続きが必要なの？」と気になった人も多いのではないでしょうか。

しかし、一口に個人情報流出といっても、事件によって状況は大きく異なります。

メールアドレスだけが対象になった事件もあれば、パスワード、銀行口座情報、本人確認書類、履歴書などが外部に取得された事件もあります。

さらに、数千万件という大きな数字が発表されても、それが数千万人の被害を意味するとは限りません。

この記事では、2026年に公表・確認された主な個人情報流出、不正アクセス事件を企業・サービス別に整理しました。

最新の公式発表を優先し、対象件数、漏えいした情報、調査状況、利用者が確認すべきことをまとめています。

2026年の個人情報流出・不正アクセス一覧【企業・サービス別】

まずは、2026年に公表された主な事件を一覧で確認しましょう。

表では、実際に情報流出が確認された事件と、漏えいの可能性がある段階の事件を分けています。

また、数字の単位にも注意してください。「人数」「件数」「アカウント数」「レコード数」「延べ件数」は必ずしも同じ意味ではありません。

※スマートフォンでは表を左右にスクロールできます。

2026年に特に規模の大きかった個人情報流出事件

2026年の事件を見ていくと、通販サイトや会員サービス、メール配信システムなど、多数の利用者の情報を管理する仕組みが攻撃対象になった例が目立ちます。

なかでも、外部企業が提供する共通システムへの攻撃は、一度の事件が多くの企業や利用者へ波及する可能性がある点で特徴的です。

Eストアー「ショップサーブ」｜約2,335万6,000人の情報漏えい

2026年8月1日に第一報が公表された、EストアーのECサイト構築・運営支援サービス「ショップサーブ」の事件です。

10月16日の最終報では、2026年5月21日から8月1日にかけて、サーバー上のアプリケーションの脆弱性が悪用され、データベース内の情報が外部へ送信されたと説明されています。

最終的な対象者数は約2,335万6,000人、対象店舗は7,858店です。

対象には、通販サイトの購入者や会員だけでなく、店舗運営者やアフィリエイターなども含まれています。

また、約209万6,900人については、カード名義、カード番号の先頭6桁・下4桁、有効期限などの情報が対象となりました。

ただし、カード番号全桁やセキュリティコードが漏えいしたという発表ではありません。

この事件で分かりにくいのは、購入者自身がショップサーブを利用していたことを知らない場合があるという点です。

ネットショップでは、購入画面に表示される店名と、裏側で動いているシステムの運営会社が異なることがあります。

そのため、「Eストアーなんて使った覚えがないのに通知が届いた」という場合でも、過去に買い物をした店舗がショップサーブを利用していた可能性があります。

また、今回の攻撃期間中に買い物をした人だけが対象ではありません。過去に保存された注文データなども含まれています。

対象店舗や通知メールの確認方法については、Eストアーの個人情報漏えいメールとショップサーブの対象店舗を整理した記事で詳しく解説しています。

ユミルリンク「Cuenote FC」｜延べ5,162万8,280件

メール配信サービス「Cuenote FC」を提供するユミルリンクでも、大規模な不正アクセスが発生しました。

10月19日の第一報では、5システムで延べ約900万件の情報出力が確認されていました。

その後、調査が進み、10月26日の第二報では影響範囲が大幅に拡大しています。

不正アクセスが試みられたシステムは計81システム。そのうち49システムで情報漏えいの痕跡が確認され、対象は延べ51,628,280件となりました。

ただし、この数字は実際の被害人数ではありません。

メール配信システムには、同じ人のメールアドレスが複数登録されている場合があります。さらに、配信先情報だけでなく配信記録なども含まれるため、延べ件数と実人数が一致するわけではありません。

情報の内容も利用企業によって異なります。

メールアドレスだけの場合もあれば、氏名、都道府県、生年月日などを配信データとして登録している場合もあります。

第二報の時点では16システムについて件数の調査が続いており、今後数字が増える可能性があります。

一方、Cuenote SMS、Cuenote Auth、Cuenote Surveyなどについては、今回の情報漏えいによる影響はないと説明されています。

このように、同じ企業が提供するサービスでも、すべてが被害を受けたとは限りません。

ソースネクスト｜2,251万9,960件の会員情報に流出の可能性

ソースネクストは10月15日、同社サイトへの不正アクセスによる顧客情報流出を公表しました。

10月13日に異常を確認し、その後の調査によって、10月9日10時ごろから第三者が会員情報取得APIを不正に利用していたことが判明しています。

APIとは、システム同士が情報をやり取りするための仕組みです。今回の事件では、会員情報を取得する機能が不正に利用されました。

流出した可能性がある対象件数は22,519,960件です。

対象情報としては、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名、役職名などが挙げられています。

ただし、すべての対象者について、これらの項目がすべて漏えいしたわけではありません。登録状況によって対象項目は異なります。

また、全22,519,960件の流出が個別に確定したという意味でもありません。公式FAQでは、対象範囲について「流出した可能性のある個人情報」と説明しています。

同社は、パスワードを他サービスでも使い回している場合、該当サービス側のパスワードも変更するよう案内しています。

KDDI｜約1,223万名のメールアドレスが漏えい

KDDIがISP事業者向けに提供しているメールシステムでも、大規模な不正アクセスが確認されました。

7月21日の訂正後の公式値では、メールアドレスの漏えい対象は12,231,954名です。

そのうち7,616,173名については、パスワードも漏えいしています。

ここで重要なのは、メールアドレスの対象人数とパスワードの対象人数を足し合わせないことです。

パスワードの対象者はメールアドレスの対象者に含まれています。

また、今回対象となったのはISP事業者向けのメールシステムであり、auメール、UQ mobileメール、au one netメールは対象外と説明されています。

「KDDIが不正アクセスを受けたから、au利用者全員のメール情報が漏えいした」という理解は正確ではありません。

カプコン「CAPCOM ID」｜全世界で1,177万4,247件

カプコンは10月22日、CAPCOM IDへの不正アクセスによる顧客情報の漏えいを公表しました。

漏えいが確認された情報は、メールアドレス、アカウント作成日時、最終ログイン日時などのシステム固有の識別情報で、対象は全世界合計11,774,247件です。

このうち196アカウントでは、第三者によってログインパスワードが不正に変更されていたことも確認されています。

さらに10月23日の第二報では、その196アカウントのうち19件について、通販サイト「イーカプコン」のマイページへの不正アクセスと、住所や購入履歴などの漏えいが判明しました。

つまり、約1,177万件すべてで住所や購入履歴が流出したわけではありません。

また、11,774,247件は全世界の数字であり、日本国内だけの被害人数ではありません。

CAPCOM IDで利用者自身が設定していたログインパスワードについては、漏えいを確認していないと説明されています。

EPARKリラク＆エステ｜約2,218万レコードと健康関連情報

EPARKリラク＆エステが提供する予約・顧客管理システム「PeakManager」でも、大規模な情報流出が発生しました。

7月31日の第一報では約3,300万レコードに漏えいの可能性があるとされていましたが、9月24日の第二報では、名寄せなどの精査を経て約2,218万レコードと説明されています。

外部へのデータ転送と、データベース内のデータ削除が確認されました。削除されたデータは復旧済みです。

今回の事件で特に注意したいのは、店舗が顧客情報を管理するために入力していた備考欄の内容です。

備考欄には施術に関する申し送りなどが記録されており、健康状態などの要配慮個人情報に該当する内容も一部含まれていました。

さらに、カード情報に該当する可能性のある記載が5件確認されています。

ただし、実在する有効なカード情報だったかどうかは確認されておらず、いずれも有効期限は経過していると説明されています。

約2,218万レコードという数字も、約2,218万人の情報が漏えいしたという意味ではありません。同じ利用者の情報が複数の店舗に登録されている場合があるためです。

焼肉きんぐ・バーガーキングなど身近なアプリでも情報流出

2026年10月は、飲食店の公式アプリや通販サイト、会員サービスでも大規模な個人情報流出が確認されました。

日常的に利用するサービスだからこそ、対象となる情報を具体的に確認することが重要です。

焼肉きんぐ公式アプリ｜1,078万8,963件が漏えい

物語コーポレーションは10月5日、「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスによる個人情報漏えいを公表しました。

公式アプリのユーザー登録数10,808,784件のうち、漏えいが確認されたのは10,788,963件です。

漏えいした情報は、会員番号、氏名（アプリ登録名）、メールアドレス、電話番号です。

一方、ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴については漏えいしていません。

クレジットカードなどの決済情報も、同社では保有していないと説明されています。

今回の数字は会員情報の件数であり、1,078万8,963人という実人数を示すものではありません。

10月20日の追加発表では、セキュリティ対策や監視体制の強化方針についても説明されました。

焼肉きんぐ公式アプリは、不正アクセスへの防御措置を講じたうえでサービスを継続しています。

詳しい経緯や対象者の確認については、焼肉きんぐ公式アプリの情報漏えいを解説した記事にまとめています。

バーガーキング公式アプリ｜約1,118万件の会員情報が漏えい

10月15日、ビーケー・ジャパンは「バーガーキング」公式アプリの会員情報が漏えいしたと公表しました。

調査によると、10月2日から7日にかけて第三者による不正アクセスが行われ、10月13日に情報漏えいが判明しています。

漏えいした公式アプリ会員情報は約1,118万件です。

対象となる情報には、会員ID、メールアドレス、登録種別、都道府県、性別、生年月日、氏名、電話番号、モバイルオーダー履歴の有無、メールアドレス認証の有無が含まれます。

ただし、モバイルオーダー履歴の有無と、具体的に何を注文したかという注文内容は別です。

また、クレジットカード番号は同社が保有しておらず、ログインパスワードの漏えいも確認されていません。

バーガーキングは対象者へのメール連絡を進めるとともに、同社を装った不審なメール、SMS、電話などへの注意を呼びかけています。

焼肉きんぐとバーガーキングは同じ10月に大規模な情報漏えいを公表しましたが、運営会社も対象システムも異なる別々の事件です。

So-net・plala（Sコース）｜約258万件の会員情報

ソニーネットワークコミュニケーションズは10月27日、So-net会員データベースへの不正アクセスと情報漏えいを公表しました。

対象となった会員情報は、So-netが2,141,986件、plala（Sコース）が443,495件で、合計2,585,481件です。

氏名、電話番号、メールアドレス、生年月日、ユーザーIDなどが含まれています。

さらに、一部メールサービスではメールアドレスとメール用パスワード54,401件の漏えいも確認されました。

ここで注意したいのは、一般的な会員ログイン用パスワードと、対象メールサービス用パスワードは異なるという点です。

全So-net会員のログインパスワードが漏えいしたわけではありません。

同社は対象メールサービスのパスワードを10月27日に初期化しています。該当者は、メールを再び利用するための再設定が必要です。

なお、銀行口座情報16件、会員通知書情報7件の漏えいも確認されています。

一方、クレジットカード情報は対象外であり、NUROを含むその他のサービスへの情報漏えいは確認されていません。

対象条件やパスワード再設定については、So-netの個人情報漏えいと利用者の対処法でも詳しく整理しています。

ふるさとチョイス｜445万4,097件の会員情報が流出

ふるさと納税サイト「ふるさとチョイス」では、10月17日に不正アクセスが発生し、10月20日に個人情報の外部流出が公表されました。

対象は4,454,097件で、氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額などが含まれます。

10月26日更新の公式FAQでは、2名の寄附者についてカード番号下4桁、名義、有効期限の流出も判明しています。

ただし、カード番号全桁やセキュリティコードが漏えいしたという発表ではありません。

また、寄附控除試算額が対象となったことは、年収や家族構成などの情報がそのまま漏えいしたことを意味しません。

同社は、ふるさとチョイスと同じメールアドレス・パスワードを別サービスでも使用している場合、他サービス側のパスワードも変更するよう呼びかけています。

ローソンID｜10月24日に漏えい情報の項目を訂正

ローソンは10月8日、ローソンIDとローソンアプリ予約への不正アクセスを公表しました。

ローソンIDの対象は2,155,345件、ローソンアプリ予約は26件です。

この事件で特に重要なのが、10月24日に行われた訂正です。

当初、ローソンIDの漏えい情報にはメールアドレスやメルマガ取得情報が含まれていましたが、その後の調査で、この2項目は漏えいしていなかったと修正されました。

一方、生年月日は漏えいの可能性がある情報として説明されています。

ローソンアプリ予約の26件では、氏名、電話番号、クレジットカード番号の一部が対象です。

第一報だけを見て「ローソンIDのメールアドレスが流出した」と説明すると、現在の公式発表と食い違います。

ブックオフ｜638万3,279人の会員情報が漏えい

ブックオフでは、10月13日の第二報により、外部に送信された会員データが6,427,735件、漏えい対象者数が6,383,279人と公表されました。

会員データの件数と対象人数は異なります。

対象には退会済み会員も含まれているため、現在ブックオフを利用していないからといって、必ずしも対象外とは限りません。

10月23日には、漏えい対象かどうかをWeb上で確認する照会機能と専用フリーダイヤルの開設も案内されました。

自分が対象なのか確認できる仕組みが用意された事件としても重要です。

花キューピット｜423万8,242件の会員情報

10月28日、花キューピットは「インターネット花キューピット」「ビジネス花キューピット」への不正アクセスによる会員情報の漏えいを発表しました。

対象件数は4,238,242件で、該当する可能性のある顧客の範囲を示しています。

漏えいが確認された情報項目は、ログインID、ハッシュ化されたパスワード、PC用・携帯用メールアドレスです。

一方、氏名、住所、電話番号、クレジットカード番号、配送先情報などは漏えいしていないと説明されています。

そのため、「花を送った相手の住所や氏名まで漏えいした」と受け取るのは正確ではありません。

対象となるのは公式ECサイトでメールアドレスを登録した顧客です。外部ショッピングモールからの注文、電話注文のみの利用者、加盟店での購入者などは対象外とされています。

OZmall｜最大44万2,779名分の情報が閲覧された可能性

OZmallでは9月26日に不正アクセスが検知され、翌27日にスターツ出版が個人情報流出の可能性を公表しました。

10月1日の第二報では、対象が最大442,779名分に訂正されています。

対象となる可能性があるのはメールアドレスと、一部会員の氏名、都道府県までの住所です。退会者の一部も含まれます。

クレジットカード情報については、外部決済システムを利用しているため漏えいの可能性はないと説明されています。

ただし、442,779名分すべての情報が実際に外部取得されたと確認されたわけではありません。

OZmallの不正アクセスと対象者の確認についての解説では、第一報時点の経緯も整理しています。第一報の最大447,610名分から数字が訂正されている点に注意してください。

クレジットカード・銀行口座・本人確認書類が関係する事件

情報流出による影響を考える場合、単純な件数以上に重要なのが漏えいした情報の種類です。

メールアドレスだけが対象の場合と、カード番号全桁や銀行口座情報、本人確認書類などが関係する場合では、利用者が取るべき対応も変わります。

グッドスマイルカンパニー｜カード番号全桁・セキュリティコードにも影響のおそれ

グッドスマイルカンパニー公式ショップでは、10月23日に不正アクセスが公表されました。

10月29日の第三報では、新たにクレジットカード決済ページへ不正なプログラムが設置されていたことが判明しています。

問題の期間は10月21日13時55分から10月23日7時までです。

この期間にカード情報を入力した可能性がある案内対象者は2,800名とされています。

漏えいした可能性がある情報には、カード名義、カード番号全16桁、有効期限、セキュリティコードが含まれます。

ただし、2,800名の中には決済を完了した人だけでなく、決済を試みた人やカートに商品を入れた人も含まれています。

すべての人についてカード情報全体の漏えいが確認されたという意味ではありません。

これとは別に、過去にカード情報を登録したことのある利用者について、カード番号下4桁と有効期限の漏えいの可能性も発表されています。

こちらの対象カードは、重複を除いて402,466枚です。

さらに注文情報については、不正閲覧が確認された注文が202件、閲覧された可能性のある顧客が7,673名と説明されています。

これらは異なる集計であり、合算して被害人数とすることはできません。

カード情報全体の漏えい可能性について個別連絡を受けた場合は、カードの利用明細を確認し、身に覚えのない請求があればカード発行会社に相談してください。

なお、10月29日の第三報時点では、公式ショップの再開時期は未定です。

skyticket｜最大6,140名の過去のカード決済情報が流出

skyticketでは10月9日に不正アクセスが公表されました。

10月2～4日のサーバーへの攻撃では、約1,464万件の情報が対象となり、このうち約413万件にハッシュ化されたログインパスワードが含まれています。

さらに10月16日の第二報では、過去のカード決済情報について重要な訂正が発表されました。

2017年2月から2018年6月までに「skyticketプレミアム」の会費をカードで支払った最大6,140名について、カード番号、名義、有効期限の情報流出が判明しています。

原因は、決済方式の変更後も古いカード決済の記録がサーバーに残っていたことです。

カード情報は暗号化されていましたが、暗号化に用いる情報も取得されたため、読み取られるおそれがあると説明されています。

現在カード情報を保存していない仕組みでも、過去のログが残っていた場合には影響を受けることがある事例です。

なお、セキュリティコードは今回の流出情報に含まれていません。

タイムズカー｜暗号化された本人確認書類画像約146万件

タイムズカーでは9月25日に不正アクセスが検知され、その後の調査で会員情報への影響が明らかになりました。

10月23日の第5報では、運転免許証などの本人確認書類画像について、約146万件に外部送信の痕跡が確認されたと公表しています。

これらの画像は暗号化されており、外部送信されたことが直ちに画像内容を読み取られたことを意味するわけではありません。

一方、将来的に復号される可能性を完全には否定できないとも説明されています。

同社は、画像データへのアクセスまたは外部送信の痕跡が確認された利用者を対象に、3,000円相当の現金または金券を渡す方針を公表しました。

対象者への案内は進められていますが、10月23日時点では具体的な渡し方などは検討中とされています。

また、カード番号全桁とセキュリティコードについては、同社が保持していないため今回の対象外です。

当初は漏えい人数などが未確定でしたが、その後の調査で具体的な影響範囲が明らかになった事件です。

タイムズカーの不正アクセスと退会済み会員への影響については、個別記事でも経緯を整理しています。

アフラック生命保険｜約440万人、うち約22万人に口座情報

アフラック生命保険では、システムへの不正アクセスにより、約440万人の顧客関連情報が漏えいしたと公表しています。

対象となった情報には、契約者の氏名、住所、電話番号、保険証券番号、保障内容などが含まれます。

さらに約22万人については、保険料振替口座の金融機関名、支店名、口座番号、口座名義なども対象となりました。

ただし、マイナンバー、クレジットカード情報、メールアドレスは対象外と説明されています。

約440万人全員の銀行口座情報が漏えいしたわけではない点に注意が必要です。

また、同社は7月10日から対象者への文書発送を順次開始し、7月30日に発送を完了したと案内しています。

NEL「osina」｜銀行口座情報やSNS連携情報が対象

10月29日、NEL株式会社は、利用していたデータ分析ツールの脆弱性を悪用した不正アクセスによる個人情報漏えいを公表しました。

10月17日に個人情報保護委員会へ報告した速報対象者数は235,329人です。

対象となり得る情報には、osina会員の氏名、住所、電話番号、生年月日、銀行口座情報、報酬額、SNS連携用の認証情報などが含まれます。

ただし、対象者全員について、これらすべての情報が漏えいしたわけではありません。

また、osina会員のメールアドレスやパスワード、クレジットカード情報は対象外と説明されています。

SNS連携用の認証情報と、通常のサービスログイン用パスワードも別のものとして扱う必要があります。

履歴書・医療情報・大学の個人情報が漏えいした事件

個人情報流出の影響は、件数だけで判断できません。

数百万件のメールアドレスと、数百件の履歴書や医療関連情報では、情報の内容も本人への影響も異なるからです。

ココナラ｜履歴書449件と職務経歴書関連書類1,845件

10月9日、ココナラは「ココナラスキルマーケット」への不正アクセスによる個人情報漏えいを公表しました。

外部への持ち出しが確認されたのは、履歴書449件と職務経歴書関連書類1,845件です。

これらの数字は、2,294人の会員が被害を受けたことを意味するわけではありません。同じ人物が複数の書類を登録している可能性もあるためです。

履歴書や職務経歴書には、本人の職歴、学歴、資格など、一般的な会員登録情報より詳しい内容が含まれる場合があります。

なお、クレジットカード情報や各種パスワードは今回の対象外と説明されています。

日本医科大学武蔵小杉病院｜患者約13万人の情報漏えい

2026年2月、日本医科大学武蔵小杉病院で患者情報などの漏えいが確認されました。

第一報では患者約1万人とされていましたが、その後の調査で対象が拡大し、2月27日の第5報では患者約13万人、職員・臨床実習医学生約1,700人と公表されています。

医療機器の保守に使用するVPN装置を経由した侵入が判明しており、患者の基本情報が外部に取得されたことが確認されています。

一方、患者カルテ情報やクレジットカード情報、マイナンバーカード情報の漏えいは確認されていません。

患者情報の漏えいと、診療記録の漏えいは区別する必要があります。

NEC委託先・大阪大学｜77,851人の個人情報が漏えい

10月21日、大阪大学は、NECの協力会社が関係するクラウドストレージから、大学関係者の個人情報が漏えいしたことを公表しました。

対象は重複を除いて77,851人で、内訳は卒業生59,014人、在学生15,035人、教職員3,802人です。

氏名、大阪大学個人ID、大学が付与するメールアドレス、学籍番号や職員番号、所属情報などが含まれます。

NECによる調査では、大学の全学教育用電子計算機システム自体への不正アクセスの痕跡は確認されていません。

委託先側で保管されたファイルが漏えいした事件であり、大学本体のシステムが直接侵入された事件として説明するのは不正確です。

旅行・電子書籍・画像共有サービスなどでも不正アクセス

Gyazo｜約2,362万アカウントと実画像432件

画像共有サービスGyazoでは、9月11日に発生した不正アクセスについて、10月21日に第三報が公表されました。

外部流出が確認されたユーザー関連情報は約2,362万アカウント分です。

このうち約1,801万アカウントはメールアドレス登録のない匿名ユーザーで、メールアドレス登録のあるアカウントは約562万です。

画像関連のメタデータは約4.9億件に上りますが、これは画像ファイルそのものが4.9億枚流出したという意味ではありません。

一方、133人が保存していた画像ファイル432件については、第三者による閲覧・取得が確認されています。

メタデータと実際の画像ファイルを区別する必要がある事件です。

コミックシーモア｜会員情報319件とシステムログ最大約420万件

電子書籍ストア「コミックシーモア」では、10月21日の第4報で、会員データベースの319件と、システムログファイル上の最大約420万件の情報流出が公表されました。

319件の会員情報には、メールアドレス、ハッシュ化されたパスワード、ニックネーム、生年月日、性別などが含まれます。

一方、約420万件はシステムログの件数であり、420万人のパスワードが流出したという意味ではありません。

ログ情報にパスワードは含まれていないと説明されています。

また、カード情報や購入履歴、MY本棚についても、今回公表された流出対象情報とは分けて考える必要があります。

楽天トラベル｜海外予約関連の2事象を確認

10月26日、楽天グループは楽天トラベルの海外ホテル予約関連ページと多言語予約サイトへの不正アクセスを公表しました。

海外ホテル予約関連では、ログイン利用者情報最大約260万件、予約情報最大約4万件などが対象となっています。

多言語予約サイトでは、ログイン利用者情報最大約86万件、宿泊施設従業員のアカウント情報最大約4万件などが対象です。

これは異なる2つの事象として公表されています。

いずれも最大対象件数を、そのまま実際に漏えいした人数と置き換えてはいけません。

また、支払情報にはカード番号の一部が含まれる場合がありますが、カード番号全桁やセキュリティコードは対象に含まれないと説明されています。

JAL・JTA｜約9万2,000名の予約情報に不正参照の痕跡

10月28日、日本航空と日本トランスオーシャン航空は、Amadeusが提供する旅客サービスシステムへの不正アクセスを公表しました。

対象は約92,000名で、このうち約90,000名については予約番号、氏名、搭乗日、搭乗区間、搭乗クラスなどが対象です。

さらに約2,000名については、メールアドレス、電話番号、パスポート番号、国籍、マイレージ番号なども含まれます。

対象となる予約記録の期間は2023年8月10日から2026年9月23日ですが、これは3年以上にわたり不正アクセスが続いていたという意味ではありません。

カード番号や各種パスワードの漏えいはないと説明されています。

FXなび｜約619万件のユーザー情報等に取得のおそれ

グリーンモンスターは10月23日、デモトレードアプリ「FXなび」におけるユーザー情報等の漏えいのおそれを公表しました。

調査により、4月27日から30日にかけて、第三者が継続的にユーザー情報を取得したおそれがあることが判明しています。

対象は約619万件ですが、個人情報には該当しない情報も含まれています。

また、FXなびの登録情報には、氏名、住所、電話番号、銀行口座情報、クレジットカード情報、マイナンバーなどの項目は含まれていないと説明されています。

10月17日に検知された別の不正アクセスについては、同日時点で情報漏えいを確認していません。

4月の第三者取得のおそれと、10月の不正アクセスを混同しないことが重要です。

アララ メッセージ｜約301万件のメールアドレスが流出

10月28日、アララが提供するメール配信サービス「アララ メッセージ」の一部システムで不正アクセスが確認されました。

利用企業が保有するメールアドレス約301万件の外部流出が確認され、対象システムの停止などの対応が行われています。

メール配信サービスへの攻撃という点ではCuenote FCと似ていますが、現時点で同一事件と確認されているわけではありません。

それぞれ独立した事件として扱う必要があります。

同じ不正アクセスで複数企業に影響が広がるのはなぜ？

2026年の情報流出を整理するうえで、特に分かりにくいのが委託先や共通システムへの攻撃です。

企業が自社の顧客情報を、すべて自社サーバーだけで管理しているとは限りません。

通販サイトの運営、メールマガジンの配信、予約システム、会員情報管理などを外部企業へ委託している場合、その委託先への攻撃が複数の企業に波及することがあります。

ショップサーブの場合

Eストアーのシステムが攻撃されたことで、ショップサーブを利用していた多数の通販店舗の顧客情報に影響しました。

店舗ごとに漏えいのお知らせが出ていても、同じシステムへの一連の攻撃であれば、独立した事件として何度も数えるべきではありません。

メール配信サービスの場合

メール配信会社では、多数の企業から預かったメールアドレス等を管理しています。

そのため、配信基盤が攻撃されると、メールを送っていた複数の企業から同時期に情報漏えいのお知らせが出ることがあります。

ただし、メールアドレスを預けていたことと、その企業自身の会員管理システムが侵入されたことは同じではありません。

また、ユミルリンクのCuenote FC、ラクスライトクラウドのブラストメール、アララ メッセージは、公式に同一攻撃と確認されていないため、別々の事件として管理する必要があります。

大学・行政機関の場合

大学や行政機関でも、システム管理や保守、情報処理を外部企業へ委託することがあります。

大阪大学の事件では、委託先側で保管されたファイルから情報が漏えいしました。

このように、被害が公表された組織と、実際に侵入されたシステムの運営主体を区別することが大切です。

「100万件流出」は100万人の被害という意味？

個人情報流出のニュースで、もっとも誤解されやすいのが件数の読み方です。

企業の発表には「人数」「件数」「レコード数」「アカウント数」「延べ件数」など、さまざまな単位が登場します。

※表は左右にスクロールできます。

たとえば、ユミルリンクの延べ5,162万件と、Eストアーの約2,335万6,000人は、そもそも集計方法が異なります。

この2つを同じ尺度で比較して「どちらの方が多くの人が被害に遭った」と判断することはできません。

不正アクセスと情報流出は同じではない

不正アクセスが確認されても、個人情報が外部に取得されたかどうかは別の調査になります。

さらに「不正アクセスの痕跡がある」「第三者が閲覧できた可能性がある」「情報の外部転送が確認された」「不正利用まで確認された」では、判明している内容が違います。

具体的な違いについては、不正アクセスと情報流出の違いを解説した記事でも整理しています。

自分の情報が漏えいしたかもしれない場合、何をすればいい？

利用しているサービスで情報流出が発表された場合、まず確認したいのは、自分が対象者かどうかと、どの情報が対象になっているかです。

1．公式のお知らせで対象サービスを確認する

同じ企業が運営していても、すべてのサービスが影響を受けるとは限りません。

たとえば、So-netでは一部メールサービスのパスワードが対象となりましたが、一般的な会員ログイン用パスワードについては漏えいを確認していないと説明されています。

企業名だけで判断せず、対象となるサービス名、利用期間、登録条件などを確認しましょう。

2．パスワードが対象なら変更案内を確認する

漏えいした情報にパスワードが含まれる場合、対象サービスの公式案内に従って対応します。

特に、同じパスワードを別サービスでも使用している場合は、そちらも変更することが重要です。

ただし、情報流出のニュースを見たからといって、無関係なすべてのサービスで一斉変更が必須になるわけではありません。

公式発表にある対象範囲を確認し、必要なアカウントから対応しましょう。

3．カード情報が対象なら利用明細を確認する

カード番号全桁や有効期限、セキュリティコードが漏えいした可能性がある場合は、カード発行会社の案内を優先してください。

身に覚えのない利用履歴があれば、速やかにカード発行会社へ相談します。

一方、カード番号下4桁だけが対象の事件と、番号全桁が対象の事件では、情報の性質が異なります。

「カード情報流出」という表現だけで判断せず、何桁の番号やどの情報が対象だったかを確認することが重要です。

4．届いたメールやSMSのリンクを安易に開かない

情報漏えいが公表された後は、その事件を装ったフィッシングメールにも注意が必要です。

「漏えい対象者の確認」「補償手続き」「アカウントの安全確認」などと書かれていても、送信元の表示名だけで本物とは判断できません。

可能な限り、メール内のリンクではなく、検索やブックマークから公式サイトを開いて確認してください。

5．通知が届いていなくても対象外とは限らない

事件によっては、対象者へのメール通知や書面発送に時間がかかる場合があります。

また、退会済みの人、古いメールアドレスを登録していた人、複数サービスを利用していた人なども対象になることがあります。

ブックオフのように対象者向けのWeb照会機能が設けられた事件もありますが、すべての企業が同じ仕組みを用意しているわけではありません。

通知がないことだけを根拠に、対象外と断定しない方がよいでしょう。

漏えいした情報の種類別に必要な対処を詳しく知りたい場合は、個人情報が流出したときの対処法をまとめた記事も参考にしてください。

2026年の情報流出・不正アクセスでよくある疑問

退会したサービスでも情報が漏れることはある？

あります。

企業は法令対応、取引履歴の保存、問い合わせ対応などの理由で、退会後も一部情報を一定期間保管している場合があります。

今回の事件でも、Eストアー、ブックオフ、So-netなどでは退会者や過去の利用者が対象に含まれています。

ただし、どの程度過去の利用者まで対象になるかは、企業と事件によって異なります。

ハッシュ化されたパスワードなら安全？

ハッシュ化はパスワードをそのまま保存しないための対策ですが、どのような場合でも絶対に安全と保証するものではありません。

特に短いパスワードや推測しやすいパスワードを使用していた場合は注意が必要です。

企業から変更案内が出ている場合は、その案内を優先してください。

情報が漏えいしたら必ず詐欺に使われる？

いいえ。情報漏えいが確認されたことと、実際に詐欺や不正決済に使われたことは別です。

一方、2026年のinfoQでは、個人情報の持ち出しに加え、本人の意思によらないポイント交換が611件、合計286万9,500円分確認されています。

運営会社は全額補填する方針を公表しました。

この事件の詳しい経緯については、infoQの個人情報流出とポイント不正交換についての解説でも確認できます。

個人情報保護委員会への報告があれば漏えい確定？

必ずしもそうではありません。

個人情報保護委員会への報告は、個人データの漏えい等が発生した場合だけでなく、一定の条件では発生したおそれがある段階でも必要になります。

そのため、企業が「個人情報保護委員会へ報告済み」と説明していても、それだけで全対象情報の流出が確定したと判断することはできません。

2026年の情報漏えいは合計何人？

この記事では、企業別の公表数値を単純に合計した人数は掲載しません。

同一人物が複数事件で対象となった可能性や、同じ事件が委託先と利用企業の双方で発表された可能性があるためです。

また、人数ではなく延べ件数やレコード数を公表している企業もあります。

正確に重複を除外できない数字を「2026年の被害人数」として提示すると、実態より大きく見せてしまうおそれがあります。

2026年の個人情報流出・不正アクセス一覧の更新履歴

この記事は、2026年に公表された主要事件を追加しながら更新する年間まとめです。

※スマートフォンでは表を左右にスクロールできます。

今後は、新しい事件の公表だけでなく、調査によって対象人数が訂正された場合や、当初の漏えいの可能性が否定された場合についても、確認できた内容を更新します。

なお、過去の第一報と最新の調査結果が食い違う場合は、原則として企業が後日公表した正式な調査結果・訂正情報を優先します。

主な公式発表・確認資料

本記事の数値や対象情報は、企業・サービス運営者が公表した資料を優先して整理しています。主要な公式発表は以下から確認できます。

まとめ｜2026年の情報流出は件数だけでなく、漏れた情報の種類が重要

2026年には、通販サイト、会員サービス、飲食店の公式アプリ、メール配信システム、金融・保険関連サービス、医療機関など、幅広い分野で個人情報流出や不正アクセスが確認されました。

特に、大規模な情報を管理する共通システムへの攻撃では、一度の事件が多数の企業や利用者に影響することがあります。

ただし、公表された件数が多いことと、すべての利用者について重大な情報が漏えいしたことは同じではありません。

利用サービスで情報流出が発表された場合は、自分が対象なのか、何の情報が対象なのか、漏えいが確認されたのか、必要な対応が案内されているのかを分けて確認することが大切です。

この記事では、2026年の主要事件について公式の続報を反映しながら、今後も新しい情報を追加していきます。