2026年8月は、企業が利用するホスティングやECの基盤そのものが侵害され、その影響が利用企業の顧客情報にまで波及する事案の公表が相次ぎました。影響件数は、いずれも数十万から数百万の規模です。
- さくらインターネット：最大1,360,563アカウント（確定数ではない）
- Eストアー「ショップサーブ」：延べ8,853,839件
- イエローハット：最大1,801,499名
本レポートでは、8月に公表された国内インシデントを一次情報（各社の公表資料）で照合したうえで、9月に情シス担当者が確認すべき論点を整理します。前号は【2026年8月版】サイバー攻撃トレンドレポートを参照してください。
2026年9月の主要トレンド3選
トレンド1 — 基盤側の侵害が、利用企業の顧客情報まで一度に巻き込む
さくらインターネットは8月17日、同社の管理環境を経由して「さくらのレンタルサーバ」の一部顧客環境へ不正アクセスがあったと公表しました。8月9日に異常を検知し、583アカウントへの不正ログインと、一部サーバーへのマルウェア設置を確認しています。8月19日の第二報では、契約情報を管理する販売管理システムへの不正アクセスの可能性が加わりました。影響を受けた可能性のある会員情報は1,360,563アカウント（確定数ではない）です。クレジットカード情報は同社では保存しておらず、パスワードはハッシュ化されたものへのアクセスの可能性が一部顧客について確認されています。侵入経路は公表時点で調査中です。
この事案で利用企業が直視すべき点は、自社のサーバー設定や運用に落ち度がなくても、基盤側の管理環境が破られれば自社領域のファイルや認証情報が閲覧・取得されうることです。同社は顧客に対し、身に覚えのないファイル・ウェブサイト改ざん・心当たりのないログインの有無を確認し、サーバー（FTP）とメールアカウントのパスワードを変更するよう呼びかけています。
ECプラットフォームでも同じ構図が起きました。Eストアーの「ショップサーブ」では、5月21日から8月1日にかけて第三者が同社サーバー上で不正なプログラムを実行していました。購入者情報はこの間に外部へ送信されています（詳細は後述の「事例に学ぶ」）。出店企業は自社で何も操作していないのに、自社の顧客情報と管理画面の認証情報が漏えい対象になりました。
基盤や委託先を経由した被害の考え方と、契約・監査で押さえる項目はサプライチェーン攻撃対策の進め方で整理しています。
トレンド2 — 予約・ECの顧客接点システムから、氏名・電話番号・メールアドレスが大量に流出
イエローハットは8月28日、「イエローハットWEB作業予約システム」が不正プログラムによる攻撃を受けたと公表しました。漏えいした可能性があるのは最大1,801,499名の氏名・電話番号・メールアドレス・会員番号です。8月18日朝に検知し、外部接続の遮断とシステム停止を実施しています。クレジットカード情報・パスワード・車両情報は同システムで保持しておらず、漏えいはないとしています。
歯科医院を運営するホワイトエッセンスも8月12日、予約サイトおよび基幹システムへの不正アクセスを公表し、同日からシステムを一時停止しました。対象は氏名・連絡先・予約履歴等で、件数は公表時点で調査中です。
両社に共通するのは、「カード情報は含まれない」事案でも、氏名・電話番号・メールアドレスの組み合わせが大量に流出している点です。この3点は、実在の企業をかたるフィッシングメールやSMSの宛先リストとしてそのまま使えます。前号で取り上げた「漏えいしたアカウントの二次利用」と同じく、漏えいの公表後に便乗した詐欺メールが利用者へ届く前提で、注意喚起の文面と問い合わせ窓口を先に用意しておく必要があります。
中部電力は8月4日、同社が利用する一部のシステムの資格情報が不正に利用されたと公表しました。外部へ漏えいした可能性があるのは、役職員の電子メール約2,400件とグループ連絡先情報約71,700人分です。起点が「資格情報の不正利用」と明示されている点は、多要素認証の適用範囲を見直す材料になります。
2026年に公表された不正アクセス事案の傾向は不正アクセス事例2026に、なりすましメールへの備えはフィッシングメール対策の進め方にまとめています。
トレンド3 — 発覚から公表まで数か月。影響範囲の特定に時間がかかる
8月には、発生や検知から公表までに数か月を要した事案の公表も続きました。
- 楽天ブックスネットワーク（8月21日公表）：4月5日に一部PC端末への不正アクセスを検知。端末には楽天ブックスの配送先情報33,333件（2022年5月と2023年12月の注文データ）、取引先担当者2,101件、従業員339件が保存されていました。公表時点で漏えいの事実は確認されていません。
- チューリッヒ保険（8月27日公表）：ドライブレコーダーのデータをアップロードするシステムの一部に対し、4月1日から6日にかけて不正アクセスが発生。最大1,668件の保険契約管理番号・氏名・メールアドレス・住所が対象です。
- Eストアー（8月1日・2日公表）：第1報では不正アクセスの期間を8月1日の約2時間としていましたが、第2報で5月21日からの約2か月半に修正されました。
実務上の教訓は、公表の早さより手前にあります。どの端末・どのシステムに、いつの、誰のデータが残っているかを平時に把握していなければ、影響範囲の特定そのものに月単位の時間がかかるということです。楽天ブックスネットワークの事案では、業務用PCに数年前の注文データが残っていました。データの保管場所と保持期限の棚卸しは、検知能力の強化と同じ優先度で取り組む対象です。
検知から封じ込め、公表までの手順はインシデントレスポンスの進め方で、端末側で不審な挙動を捉える製品の選び方はEDR・XDRの比較と選び方で解説しています。
事例に学ぶ — 第1報から第2報で漏えい範囲が広がったECプラットフォーム事案
Eストアーは8月1日、ECサイト構築サービス「ショップサーブ」のサーバーへの不正アクセスにより、購入者情報が外部に流出したと公表しました。第1報の時点では、不正アクセスの期間は8月1日9時09分から11時06分ごろとされていました。対象は氏名・住所・電話番号・FAX番号・メールアドレス・勤務先などで、クレジットカード情報の扱いは調査中でした。
翌8月2日の第2報で、事案の輪郭が変わりました。
- 期間：8月1日の約2時間 → 5月21日から8月1日
- 購入者情報：会員IDとパスワード情報が追加
- クレジットカード情報：名義、番号の先頭6桁と下4桁、有効期限が対象に追加（セキュリティコードは対象外）
- 店舗関連情報：出店者の管理画面・メールシステム・FTPのIDとパスワード、振込先口座情報が追加
件数は延べ8,853,839件で、同一顧客の複数登録を含むため実人数ではないと注記されています。侵入経路と不正プログラムの設置経路は、公表時点で調査中です。
この事例から読み取れる実務的な論点は3つあります。
- 第1報は暫定値だという前提で動く。第1報だけを見て「カード情報は無事」と社内に報告していれば、翌日に訂正することになります。続報が出るまでは最悪側で準備しておくほうが、対応のやり直しが減ります。
- プラットフォームに預けた認証情報は、自社の認証情報と同じ扱いにする。出店者に対しては管理画面・メール・FTPのパスワード変更と二段階認証の設定が要請されました。委託先やSaaSに預けているIDとパスワードの一覧を持っていなければ、この指示に即応できません。
- カード番号の一部でも、他の情報と組み合わせれば不正利用の材料になる。先頭6桁は発行会社と券種の識別に、下4桁は本人確認の照合に使われます。氏名・住所・有効期限とそろえば、カード会社をかたる連絡の精度が上がります。
カード情報を扱う事業者が確認すべき項目はクレジットカード決済セキュリティ・チェックリストにまとめています。
業種別 注目すべき脅威
小売・EC事業者
自社サイトの脆弱性診断を済ませていても、利用しているECプラットフォームや決済代行の侵害は自社の顧客情報に直結します。委託先から漏えい通知を受けた場合の顧客対応（通知文・窓口・カード会社との連携）を、平時に文面まで用意しておいてください。
予約システムを持つサービス業（自動車・医療・美容など）
Web予約は氏名・電話番号・メールアドレスを必ず保持します。カード情報を持たない設計でも、流出すればフィッシングの宛先リストになります。予約システムの外部公開範囲と、ベンダー側の脆弱性対応の期限を契約で確認してください。医療機関の事例は病院・医療機関のサイバー攻撃事例【2026年版】で整理しています。
ホスティング・SaaSを利用する全ての企業
基盤側の侵害で利用企業にできるのは、通知を受けてから素早く認証情報を切り替えることです。FTP・メール・管理画面のパスワードを誰が管理しているかを一覧化し、変更手順を確認しておいてください。
出版・取次・保険など、過去データを長期保管する業種
数年前の注文データや契約データが業務端末に残っていると、端末1台の侵害で影響範囲が跳ね上がります。保持期限を過ぎたデータの削除と、端末へのデータ持ち出しの制限を点検してください。
製造業・重要インフラ
中部電力の事案は資格情報の不正利用が起点でした。OT環境に直結しないシステムでも、取引先や役職員の連絡先が流出すれば標的型メールの材料になります。製造業の事例は製造業のサイバー攻撃事例【2026年版】を参照してください。
今月の推奨対策チェックリスト
- 利用中のホスティング・ECプラットフォーム・SaaSの一覧と、それぞれの管理者アカウント（FTP・メール・管理画面）の所在を確認する
- さくらのレンタルサーバ・ショップサーブの利用有無を確認し、該当する場合は各社の依頼事項（パスワード変更・二段階認証・改ざん確認）を完了する
- 委託先・基盤側から漏えい通知を受けた場合の社内エスカレーション先と、顧客への通知文の雛形を用意する
- 予約・EC・会員サイトが保持する個人情報の項目を棚卸しし、不要な項目を削る
- 業務端末に残っている過去の顧客データ（注文・配送・契約）を洗い出し、保持期限を過ぎたものを削除する
- クラウドサービスと外部システムの資格情報に多要素認証を適用し、適用漏れのアカウントを洗い出す
- 自社をかたるフィッシングメール・SMSが出回った場合の注意喚起文と問い合わせ窓口を準備する
- 端末とサーバーのログ保全期間を確認し、数か月前まで遡って調査できる状態にする
- ランサムウェア被害時の業務停止を36日規模で想定したBCPになっているか見直す
よくある質問
Q1. 利用しているホスティング会社が侵害された場合、自社に責任はありますか？
A. 委託先の侵害であっても、顧客から見れば情報を預けた相手は自社です。個人情報保護法では、委託先で漏えいが起きた場合も委託元に個人情報保護委員会への報告と本人への通知の義務があります。通知を受けたら自社としての報告と顧客対応が必要になるため、契約で委託先の通知義務と期限を定めておくと初動が早くなります。
Q2. カード番号の一部（先頭6桁・下4桁）だけの漏えいでも、利用者に案内すべきですか？
A. 案内が必要です。先頭6桁で発行会社と券種が特定でき、下4桁は本人確認の照合に広く使われます。氏名・有効期限と組み合わせると、カード会社をかたる不審な連絡の精度が上がります。利用明細の確認と、不審な連絡に応じないよう注意喚起を出してください。
Q3. インシデントの公表は、どの時点で行うべきですか？
A. 個人情報保護委員会への報告は、速報を発覚からおおむね3〜5日以内、確報を30日以内（不正アクセスなど不正の目的による場合は60日以内）に行う決まりです。8月の事案でも、第1報で判明している範囲を公表し、続報で範囲を広げる形が取られました。影響範囲の確定を待って公表を遅らせるより、暫定値であることを明示して早く出すほうが、利用者側の防御が早まります。
Q4. 自社の認証情報が既に流出しているかを確認する方法はありますか？
A. 基盤側の事案では、流出した認証情報が後日ダークウェブで売買・公開されるケースがあります。自社ドメインのアカウントやパスワードが流通していないかを継続的に監視するサービスがあり、選び方と費用はダークウェブ監視サービスの選び方と費用相場で整理しています。あわせて、流出の有無にかかわらず多要素認証を適用しておけば、パスワード単体の流出では侵入されにくくなります。
まとめ
2026年8月に公表された事案は、自社の防御が破られなくても顧客情報が漏れる経路が増えていることを示しています。ホスティングやECの基盤、予約システム、委託先の端末は、いずれも自社の管理外にあります。利用企業ができるのは、通知を受けてから認証情報を切り替え、顧客へ案内する速さを上げることです。
トレンドマイクロとCIO Loungeは8月21日、「セキュリティ成熟度と被害の実態調査 2026」を公表しました（従業員500人以上の法人、306人回答）。過去3年以内にランサムウェア被害を受けた企業の累計被害額は平均約3億4,800万円です。業務停止時間の平均は約862.9時間（約36日）でした。基盤側の侵害が重なれば、この停止期間は自社の努力だけでは短くできません。
9月は、利用中の基盤とSaaSの一覧、管理者アカウントの所在、業務端末に残る過去データの3点を棚卸しすることをおすすめします。AEVUSでは、外部公開資産の把握から脆弱性診断・ペネトレーションテストまでを一貫して支援しています。
参考にした公表情報
- さくらインターネット（8月17日・19日公表、8月26日更新）
- Eストアー（8月1日・2日公表）
- イエローハット（8月28日公表）
- ホワイトエッセンス（8月12日公表、19日更新）
- 中部電力（8月4日公表）
- 楽天ブックスネットワーク（8月21日公表）
- チューリッヒ保険（8月27日公表）
- トレンドマイクロ・CIO Lounge「セキュリティ成熟度と被害の実態調査 2026」（8月21日公表）
