対象期間と読み方
対象は、2026年9月1日から10月1日までに公表・更新を確認した国内12事案です。国内のすべての事案を網羅したものではありません。
本稿では、各組織の公式発表を確認しました。 一覧では、公表・更新日と発生時期を別項目で示します。各事案の説明では、漏えいの確認と可能性を区別します。各事案の公表値は単位や対象が異なるため、単純に合算しても被害総数は示せません。
アカウントは、サービスが利用者を識別・管理するための登録情報です。
内数とは、全体の数に含まれる一部の数です。
不正アクセスは、許可なくシステムにアクセスする行為です。
NICTは国立研究開発法人情報通信研究機構、GSSはガバメントソリューションサービスの略称です。
以下の日付は2026年です。「検知」は組織が異常を把握した時点を指し、侵入開始日と同じとは限りません。
| 組織・サービス | 期間内の公表・更新 | 発生時期・検知時点 | 公表された規模と確度 | 主な対応・利用者への案内 |
|---|---|---|---|---|
| タイムズカー | 9月25日初報、9月28日第2報、9月29日第3報、10月1日よくある質問更新 | 9月25日検知。侵入開始日時は未記載 | 約660万アカウント分の情報取得を確認。本人確認書類の情報は約160万アカウント分（内数）[1, 9, 10, 39] | 個別連絡・よくある質問を更新[39] |
| セイコーマート | 9月30日第三報 | 9月24日の不正な退会処理、9月28日異常把握 | 572,022人分の情報の閲覧を確認[11, 12] | アプリの一部機能停止[40] |
| イープラス | 9月29日 | 9月11日〜12日の不正アクセス | 払戻し申請データ1,463件の漏えいを確認[2, 13] | 遮断・対象者にメール通知[2, 41] |
| デジタル庁GSS | 9月11日 | 6月25日異常検知、7月9日侵入把握・遮断 | 約24.6万件の情報に漏えいの可能性[6, 14] | 通信遮断・調査継続[6] |
| PFUダイレクト本店 | 9月18日 | Eストアー運営サービスで5月21日〜8月1日に不正アクセス | 漏えいを確認。対象となる可能性のある注文データは最大169,355件[7, 15, 17] | 個別対象・実数を調査中[15] |
| NICT | 9月28日第三報 | 3月12日の音声データ誤公開 | 音声の誤公開を確認。対象話者115名。アクセス元未特定3件[22, 35, 36] | 対象者へのお詫び状送付を完了[35] |
| 大阪市放課後事業 | 9月30日 | 1月31日、5月23日、6月5日の不正アクセス | 最大2,272名分に閲覧の可能性。児童114名の情報は内数[16] | 対象範囲と内訳を公表[16] |
| ApplyNow関連 | 9月9日提供元発表、9月17日入間市発表 | 8月9日〜9月7日の不正アクセス | 提供元の総数は調査中。入間市は1,276件の漏えいを確認[5, 18, 19] | 総数を調査・入間市対象者に個別案内[18, 34] |
| ABAHOUSE | 9月29日 | 9月28日の不審メール連絡を受け調査 | アクセス痕跡を確認、漏えいは可能性。対象顧客を特定中、期間・件数は未公表[3, 20] | 対象を調査・不審な返金メールに注意喚起[20] |
| @cosme | 9月16日発表、9月24日追記 | 9月2日の約20分間の公開設定不備 | 10,997人の情報に漏えいの可能性[4, 21, 42] | ファイル削除・未着者への追加通知[4, 42] |
| チャーム | 9月1日第三報、9月2日訂正 | 8月に不正アクセスが判明、8月12日に検知・遮断 | 確認約37万件、可能性約2万件。合計約39万件に訂正[23] | 件数を訂正・対象範囲の確認を継続[23, 24] |
| アフラック | 10月1日の口座情報保護に関する案内 | 6月10日〜25日の不正アクセス | 約440万人分の漏えいを確認。口座情報約22万人分は内数[8, 27, 43] | 該当金融機関への口座情報提供[43] |
後輩9月に公表された事案でも、発生はそれ以前なのですね。
先輩NICTは3月、アフラックは6月の事案だよ。9月や10月の公表は、調査や対応についての続報なんだ。
後輩公表日だけを並べても、その月の発生件数にはならないのですね。
先輩そうだね。この一覧も12事案の整理で、国内全体の発生傾向を示す集計ではないよ。
確認された取得・閲覧と、調査中の範囲
タイムズカー：本人確認書類は約660万アカウントの内数
タイムズカーは、約660万アカウントの情報が第三者に取得されたと発表しました。対象には退会済み会員や入会未完了の申込者なども含まれます。約660万アカウントは実人数を示す数ではありません[9]。
本人確認書類の情報が漏えいした約160万アカウントは、情報取得を確認した約660万アカウントの内数です[10]。利用者は、氏名や連絡先などの会員情報と、本人確認書類の画像が漏えい対象かどうかを分けて確認してください[29]。
同社はクレジットカード情報を保持していないと説明しています。パスワードの取扱いに関する説明も同社の発表にあります[30]。これらの説明は、本人確認書類や連絡先が取得されたという確認を否定するものではありません。
10月1日更新のよくある質問は、退会済み会員などへの連絡方法も扱う、同じ事案の対応についての続報です[39]。
セイコーマート：9月30日の第三報は572,022人分の閲覧確認
セイコーマートは第三報で、アプリに登録したことがある572,022人分の情報について閲覧を確認したと発表しています。公表上、アプリ会員の49％に当たります[12]。
氏名、連絡先などが対象として挙げられています。パスワードやカード情報、購入履歴については、同社の対象項目の説明を確認してください[31]。
「閲覧を確認した」という公表だけでは、外部へのコピーや全データの取得まで確認したとは判断できません。利用者は初報の可能性だけで判断せず、第三報を確認してください。
イープラス：1,463件は会員数ではなく払戻し申請データ
漏えいを確認したデータの内訳は、銀行振込751件、クレジットカード返金644件、郵便振替払出証書68件です[13]。
「クレジットカード返金644件」は、カード番号644件の漏えいという意味ではありません。同区分を含め、全件に返金対象となった公演名、会場、開催日時の情報が含まれます[32]。
対象は、スマートフォンで使う電子チケットサービス「スマチケ」の払戻し申請を扱うデータベースです。 データベースは、情報を整理して管理する仕組みです。同社は、会員情報や購入履歴を管理する別のデータベースへの影響を否定しています。 イープラスは、クレジットカード情報も漏えい対象に含まれないと説明しています[32, 41]。
この申請データには同伴者の情報も含まれます。1,463件は、購入者本人の人数を示す数値ではありません。イープラスは、9月29日から対象者にメールを順次通知しました[41]。
デジタル庁GSS：約24.6万件は漏えいの可能性がある情報の件数
ガバメントソリューションサービス（GSS）の約24.6万件は、職員等に関する約18.9万件と、事業者・個人に関する約5.7万件で構成されます[14]。
この公表は漏えいの可能性を示します。この件数は、漏えいが確定した24.6万人を示す数値ではありません。一般国民のマイナンバーや口座情報、年金関連の情報などは、対象に含まれないとデジタル庁は説明しています[14]。
VPNは、拠点間などを接続する仕組みです。脆弱性は、ソフトウェアや機器のセキュリティ上の欠陥です。
デジタル庁は6月25日の異常検知後、7月9日にVPN機器の脆弱性を突いた侵入を把握して遮断しました。9月の発表時点でも調査は継続しています[6]。
PFU：外部サービスの事案と、注文データの上限を分ける
PFUダイレクト本店は、Eストアーが運営する「ショップサーブ」への不正アクセスに関連して、漏えいを確認したと発表しました[7, 15]。
対象となる可能性がある注文データは最大169,355件です。PFUは漏えいを確認していますが、実際の対象件数は調査中です[15, 17]。
PFUは、対象は過去の注文データで、カード情報やログイン情報は含まれないと説明しています[33]。注文件数は、購入者の実人数を示す数値ではありません。
Eストアーの全体値とPFUの注文件数は、同一事案に関する異なる範囲・単位の公表値です。これらを単純に足して被害総数とはできません。
公表された対象情報と確認できた範囲
NICT：3月の音声データ誤公開に関する第三報
NICTの9月28日発表は、3月12日に誤って公開した音声データについての第三報です。この事案は、9月に外部から不正侵入された事案ではありません[22]。
対象話者は115名です。音声に含まれる呼びかけから氏名が分かる情報が対象で、住所などは含まれません。NICTは、対象者への書面通知を9月7日に完了しました[22, 35]。
アクセスは最大12件で、うち9件のアクセス元は特定でき、3件は特定できていません。この12件は対象話者の人数とは別の指標です[36]。
取得したデータを別の目的で使う二次利用が確認されていなくても、データが取得されていないとは断定できません。3件はアクセス元が未特定で、NICTが確認できた利用状況とは区別されます[36]。
大阪市放課後事業：児童・保護者・職員、最大2,272名分
大阪市は、受託団体が運営する放課後事業のパソコンへの不正アクセスを公表しました。発生日は1月31日、5月23日、6月5日です[16]。
最大2,272名は、児童1,261名、保護者953名、職員58名で構成されます。配慮が必要な児童114名の情報は、児童の内数です[16]。
市の発表は閲覧された可能性を示します。大阪市は、公表した調査範囲で外部送信の形跡を確認していません。漏えいがなかったとは確定していません。
ApplyNow関連：提供元の総数と入間市の1,276件を合算しない
提供元は9月9日、Interview Cloud、ApplyNow、ApplyNow Signの3サービスについて発表しました。提供元は、8月9日から9月7日の不正アクセスを確認しました[5]。
発表は分析ツールの脆弱性に言及しますが、ツールの提供者名は示していません。
提供元の全体件数は調査中です。3サービスの対象項目は同じではありません。ApplyNow Signでは契約関連の口座やマイナンバーなども挙げられています。一方、提供元は画像・PDFなどのファイル本体や面接動画を対象外と説明しています[18]。
導入先の入間市は、職員採用試験の応募者情報1,276件について漏えいを確認しました。市の公表は提供元の事案に含まれる個別範囲であり、全体件数を示すものではありません[19, 34]。
ABAHOUSE：アクセス痕跡を確認、漏えい範囲は特定中
ABAHOUSEは、注文に関係する不審な返金メールの連絡を受け、アクセス痕跡を確認したと発表しました[3]。
同社は漏えいの可能性を公表しており、対象顧客の特定を進めています。ABAHOUSEは、発生期間と件数を公表していません。決済情報の漏えいを確認していないという説明は、調査を完了して対象外と確定したという意味ではありません[20]。
同社は不審な返金案内への注意も呼びかけています。届いたメールだけで判断せず、公式の案内を確認してください[20]。
@cosme：9月2日の公開設定不備、9月24日は通知の続報
@cosmeでは、ファイル転送の公開設定不備により、9月2日14時20分頃から14時40分まで情報が閲覧可能になりました。運営元は、対象ファイルを削除しました[4]。
漏えいの可能性があるのは10,997人分です。メールアドレス、メールマガジン配信設定、ユーザIDなどが含まれます。氏名、住所、電話番号、パスワード、カード情報は含まれないと説明されています[21]。
9月24日の追記は、メールが届かなかった対象者へのアプリ内通知などの案内です。@cosmeは、全員分が実際に外部へダウンロードされたとは公表していません[42]。
訂正された件数と、過去事案の対応続報
チャーム：訂正後は確認約37万件、可能性約2万件
チャームの初報は、8月12日に不正アクセスを検知し、接続を遮断したと説明しています。
チャームは9月1日に第三報を公表し、9月2日に件数を訂正しました。チャームは重複を精査し、漏えい確認を約37万件、漏えいの可能性があるものを約2万件、合計約39万件と訂正しました。訂正前の約43万件を最終値として使いません[23]。
約2万件は、確認できる記録が限られ、漏えいの有無を確認できない範囲です。チャームは、退会済み利用者などの対象範囲も引き続き調査しています[24]。
不正ログインが確認された239名は、データの約39万件とは別の指標です。239名を約39万件に足した数値は、被害者の総数を示しません[25, 26]。
ハッシュ値は、元のデータに計算処理を施した値です。 同社は対象項目にパスワードのハッシュ値を挙げ、平文（暗号化されていない状態）のパスワードやカード情報は含まれないと説明しています[37]。ハッシュ値について、この発表だけから不正利用の可能性を否定することはできません。
アフラック：10月1日は6月事案の口座情報保護に関する案内
アフラックは6月30日に初報を出し、7月31日に調査結果を公表しました。アフラックは約440万人分の情報の漏えいを確認しました。口座情報を含む約22万人分は、その内数です[8, 27]。
約4万店の代理店情報は、個人の人数とは別の公表値です。約440万人分と約4万店の情報を合算して人数を算出することはできません[27, 28]。
同社はカード情報、マイナンバー、メールアドレス、「よりそうネット」のID・パスワードは漏えい情報に含まれないと説明しています[38]。
10月1日の案内は、口座情報を金融機関へ提供し保護や監視に役立てる対応の続報です。アフラックは、口座情報が漏えいしても、それだけで直ちに預金を引き出せるわけではないと説明しています。アフラックは、不審な連絡に注意するよう利用者へ案内しています[43]。
利用者が公式資料で確認する項目
利用者は、各事案が対象とする期間にサービスを利用・登録したか、退会済みでも対象か、対象項目は何かを確認してください。利用者本人と同伴者、現会員と退会済み会員などで範囲が異なる事案があります。
利用者は、公表値を人数、アカウント数、注文・申請件数、アクセス件数の各単位のまま確認してください。利用者は、内数や委託先の全体値と導入先の一部、訂正前後の値を重複して足さないでください。
利用者は、「漏えいを確認」「閲覧を確認」「漏えいの可能性」「調査中」を区別して公表内容を確認してください。利用者は、カード情報が対象外という説明とは別に、連絡先や本人確認書類への影響も確認してください。
後輩約660万アカウントと約160万アカウントは、足さないのですね。
先輩タイムズカーの本人確認書類は内数だよ。ApplyNow全体と入間市の公表も、同じ事案の全体と一部を分けて読む必要があるね。
後輩件数が大きくても、実人数とは限らないのですね。
先輩注文や申請の件数、アカウント数、話者の人数は別の単位だよ。自分への影響は公式の対象条件と項目で確認しよう。
利用者は、不審な返金・本人確認の連絡が届いても、文面のリンクだけに頼らないでください。 公式サイトで案内や問い合わせ先を確認してください。通知の有無だけで対象外と判断せず、更新された発表も確認してください。
