01
3日間で、3つの注意喚起
事件の概要
- 10月7日
- 個人情報保護委員会が「大規模な漏えい等事案を踏まえた対応について」を公表
- 10月8日
- JPCERT/CCが「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公表（23日に更新）
- 10月9日
- 国家サイバー統括室が「不正アクセスによる漏えい等の事案を踏まえた対応について」を公表
- 求める備え
- Webシステムの適切な管理、委託先を通じた侵害への対策、データの管理（国家サイバー統括室の3本柱）
国家サイバー統括室は、「いつ攻撃を受けてもおかしくない」という前提で備えるよう求めています。数字で見ても、2026年は漏えいが続いた年でした。
1.65億人分
607件
同じ時期に公表された、大きな漏えい
注意喚起と前後して、数百万〜数千万件規模の漏えいが続けて公表されました。どの手口だったかは、各社とも明らかにしていません。
ソースネクスト22,519,960件
会員情報を取り出すAPIが10月9日から不正に使われ、13日に検知。メールアドレス、パスワード、氏名、住所など。
焼肉きんぐ公式アプリ10,788,963件
10月2日に検知。会員番号、氏名、メールアドレス、電話番号。
ローソンID2,155,345件
9月12〜14日の不正アクセス。アプリに関連するシステムが不正に利用されたとしています。
出典：各社の公表（ソースネクスト・物語コーポレーション・ローソン）
02
JPCERT/CCが示した、5つの手口
JPCERT/CCは、相次ぐ事案で見られた手口を5つに分けて示しました。どれも「特別な攻撃」というより、ふだん目の届きにくい場所の管理の問題です。
既知の脆弱性と管理の不備弱点を探し、設定ファイルやバックアップファイルを盗む。
APIの悪用公開アプリを調べてAPIを突き止め、権限の変更や不正なアカウント作成に使う。
BIツールの脆弱性Metabase のSQLインジェクション（CVE-2026-72898）を悪用する。
Webシェルの設置公開しているWebサーバーを経由して、奥のサーバーに不正なプログラムを置く。
AIを使った攻撃の自動化AIを使ったペネトレーションテストの仕組みが悪用される（10月23日に追加）。
03
中小企業のサイトで、いま見直すこと
目の届きにくい場所を守る4つ
- 1使っていない管理画面やツールを外に出さないBIツールや試しに入れた管理画面が、インターネットから開ける状態になっていないか。
- 2設定ファイルやバックアップを公開の場所に置かないサーバーの公開フォルダに、古いバックアップや設定ファイルが残っていないか確かめます。
- 3APIに件数の上限と権限の確認を1回・一定時間に取り出せる件数を絞り、本人の情報以外は返さないようにします。
- 4修正版の適用と、不要なデータの削除使っているソフトを最新に。持っていなくてよいデータは消しておきます。
置きっぱなしのファイルや管理画面、外から見えていませんか
ドメインを入力するだけで、公開されたままのファイルや管理画面を含めて無料で点検します。
出典
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日、10月23日更新）
- 個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（令和8年10月7日）
- 内閣官房 国家サイバー統括室「不正アクセスによる漏えい等の事案を踏まえた対応について」（2026年10月9日）
- ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」（2026年10月15日）
- 物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）
- ローソン「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日）
- NHK「不正アクセスによる個人情報漏えい のべ1億6500万人分余に 利用者や企業の対策は?」（2026年10月16日）
- トレンドマイクロ「2026年1月～9月の国内セキュリティインシデントを振り返る」（2026年10月16日）
※ 本記事は公表された情報と公的統計に基づく一般向けの解説です。攻撃の再現手順は扱いません。各社の最新の発表もあわせてご確認ください。