【2026年11月版】サイバー攻撃トレンドレポート｜ノジマ約700万件・@cosme約300万人、Cuenote FCなど委託先経由の流出

2026年10月は、1つの委託先やクラウドサービスへの侵入が、多数の利用組織の情報漏えいに広がった月でした。個人情報保護委員会の集計では、不正アクセスによる漏えい等の報告は9月に303件、10月は16日までで830件にのぼります。

• ユミルリンク「Cuenote FC」（メール配信サービス）：49システムで延べ51,628,280件
• ペイクラウドHD「アララメッセージ」（メール配信サービス）：持ち出されたメールアドレス 約77百万件（精査中）
• ソースネクスト：流出した可能性のある件数 22,519,960件
• skyticket：約1,464万件
• カプコン「CAPCOM ID」：11,774,247件（全世界合計）
• バーガーキング公式アプリ：約1,118万件
• 焼肉きんぐ公式アプリ：10,788,963件

本レポートでは、10月1日から10月31日までに公表された国内事案を各社の公表資料で照合し、11月に情シス担当者が確認すべき論点を整理します。11月2日に公表されたノジマ（約700万件）、@cosme（約300万人）などの事案も取り上げます。前号は【2026年10月版】サイバー攻撃トレンドレポートを参照してください。

2026年10月〜11月2日に公表された主な事案一覧

件数と侵入経路は、各社の公表資料の表現のまま記載しています。「公表なし」は、公表資料に記載がないことを示します。

11月2日の公表：ノジマ 約700万件・@cosme 約300万人・プレステージ 最大約550万件

11月に入っても大型の公表が続きました。11月2日には、家電量販店と化粧品の口コミサイトの会員情報、ロードサービスの受付業務のデータの漏えいが公表されています。

• ノジマ（11月2日 第1報）：11月1日、「ノジマオンライン」の会員管理システムへの第三者からの不正アクセスを検知しました。対象はノジマオンラインと中古スマホ買取サイトで、対象人数は約700万件（退会した人は含まない）です。氏名・生年月日・住所・電話番号・メールアドレス・ログインID・暗号化されたパスワードが含まれ、クレジットカード情報は保持していないとしています。侵入経路は公表されていません。漏えいの疑いがある会員のログインパスワードを強制的にリセットし、再設定を案内しています。
• アイスタイル（@cosme）（11月2日）：10月28日、@cosmeへの第三者による不正アクセスで、@cosme共通IDの会員情報の一部が外部に漏えいしたことを確認しました。対象は約300万人で、名前・住所・電話番号・メールアドレス・生年月日のほか、肌質や髪質も含まれます。ログイン時のパスワードとクレジットカード情報は含まれていないことを確認したとしています。不正アクセスの時点で会員だった人は、すでに退会していても対象です。侵入経路は公表されていません。
• プレステージ・インターナショナル（11月2日）：グループ会社のプレステージ・コアソリューションが取引先企業から受託しているロードサービス等の受付・手配業務のシステムが不正アクセスを受け、最大約550万件（重複を含む最大値）が外部に持ち出されました。氏名・住所・電話番号のほか、車両に関する情報と金融機関の口座に関する情報（一部）が含まれます。10月29日に検知して不正に利用された認証情報を無効化しましたが、不正アクセスが続いたため10月30日にシステムを停止しています。原因は調査中です。
• セブン‐イレブン・ジャパン「7NOW」（11月3日）：配達業務の一部を委託しているCBcloudの「ピックゴー」が不正アクセスを受け、注文者（届け先）の名前（カナ）164,180件などが取得されました。このうち4,762件は住所、209件は住所・電話番号・郵便番号も含みます。クレジットカード情報やID・パスワードは漏えいしていないとしています。

ノジマは退会者を対象に含めず、@cosmeは退会者も対象にしています。退会した人のデータをどこまで残しているかで、漏えいの範囲が変わります。7NOWとプレステージは、委託先や受託側のシステムから、発注元の顧客の情報が流出した事案です。

委託先1社から多数の組織へ：Cuenote FC 延べ51,628,280件・アララメッセージ・IDCF

最も影響が広かったのは、多くの企業や自治体が共通して使うサービスへの侵入です。利用組織は自社のシステムに侵入されていなくても、預けていたデータが流出しました。

ユミルリンク「Cuenote FC」— 5システムから49システムへ

メール配信サービス「Cuenote FC」を提供するユミルリンクは10月19日、10月16日未明に不正アクセスを検知したと公表しました。第一報では5システム・延べ約900万件と試算していましたが、10月26日の第二報で、漏えいを確認したシステムは49、件数は延べ51,628,280件に増えました。さらに16システムで件数を調査中で、延べ件数は増える可能性があるとしています。原因は「ライブラリの脆弱性」と説明されています。

利用企業の公表は10月下旬に相次ぎました。DCM（753,272人）、カラーコンタクト通販のRise UP（延べ1,548,002件）、バンダイナムコエンターテインメント／BANDAI SPIRITS（346,247件）、ライフカード（339,610件）、朝日新聞社（延べ70,921件）などです。漏えいした項目はメールアドレスが中心で、一部に氏名や会員IDが含まれます。

この事案では、利用企業がいったん「影響なし」と案内した後に結論を変える例が続きました。りそなグループ3行は、10月21日にユミルリンクから「持ち出しはない」と報告を受けていましたが、10月26日に「外部へ持ち出された可能性が高い」と判明したと公表しています。サイボウズ、宣伝会議、日本能率協会マネジメントセンターも、10月20日前後の「対象外」「確認されていない」から10月26日に案内を変えました。

アララメッセージ — 第2報で持ち出されたメールアドレスは約77百万件

同じくメール配信サービスの「アララメッセージ」でも、10月末に不正アクセスが公表されました。提供会社の親会社ペイクラウドホールディングスは10月29日に第1報を出し、11月2日の第2報で被害の拡大を公表しました。第三者が子会社のサーバーを経由して本サービスの多数のサーバーに侵入し、データベースの内容を外部に持ち出しています。持ち出されたメールアドレスは現時点の調査で約77百万件で、精査中としています。1人が複数のアドレスを持っている可能性があり、利用者数を示すものではないと注記されています。メールアドレスに加えて、契約企業によっては氏名などの会員情報も含まれます。原因は「Webサーバーの脆弱性およびシステム環境における問題」で、10月31日にサービスの提供をすべて停止し、再開の時期は未定です。

IDCフロンティア「IDCFクラウド」— 第7報で「外部への流出はなかった」

IDCフロンティアのクラウドサービス「IDCFクラウド」は10月7日にランサムウェアの被害を受け、同社は「495の企業や自治体」に影響したと公表しました。10月27日の第7報で調査が完了し、仮想サーバー内のデータの外部流出は「ありませんでした」としています。一方で、ポータルの登録情報に対する不正な照会は最大71社に広がりました。原因は、ポータルの認証システムで使っていたオープンソースソフトウェアの脆弱性です。侵入後に仮想化基盤の管理者権限を取られ、仮想サーバーを停止・暗号化されました。

データの流出がなくても、預けていたデータは取り出しも復元も難しくなりました。当初は利用者自身のバックアップからしか復元できないとされ、その後、206社はバックアップを取り出せると判明しています。利用組織の側では、ニッスイのグループ会社の日水物流で入出荷が止まるなど、業務にも影響が出ました。

SpeeCAN RAIDEN・Commune・i-ask — 自治体の防災メールや企業のコミュニティ

• SpeeCAN RAIDEN（アルカディア）：自治体の防災メールなどの一斉配信サービスです。漏えいの可能性は最大（推定）でメール約313.6万件で、多数の自治体が影響を公表しました。10月23日の報告書で、侵入経路はメディアサーバーのディレクトリパストラバーサル脆弱性と説明されました。設定ファイルからサービス間ログイン用のシークレットキーが流出し、アカウントIDへの総当たりでログインされています。不正に送信されたメールは1,423,428通でした。
• Commune（コミューン）：企業のファンコミュニティなどに使われるサービスです。約30.7万人（推計）の情報が対象で、ヤマハ・スズキ・LINEヤフーなどの契約企業が影響を公表しました。
• i-ask（スカラコミュニケーションズ）：FAQシステムで、最大713,126件が対象です。大和証券は約11万名・約22万件、オリックス生命は約26,500件と公表しました。

利用組織ごとの影響と公表内容はクラウド・SaaS経由の情報漏えい 影響組織一覧で整理しています。

会員情報の大量流出：ソースネクスト 22,519,960件・skyticket・カプコン・バーガーキング

消費者向けサービスの会員情報が大量に流出した事案は、10月を通して続きました。件数が100万件を超えた事案だけでも10件を超えます。

10月前半：skyticket・焼肉きんぐ・第一興商・ブックオフ・銀のさら

• skyticket（アドベンチャー、10月9日）：約1,464万件（うちハッシュ化したパスワードを含むもの約413万件）。管理機能の不正な操作から他のサーバーやクラウドに広がった経路など、3つの経路を公表しています。別件で返金先の口座情報17,780件も対象になりました。
• 焼肉きんぐ公式アプリ（物語コーポレーション、10月5日）：漏えいした件数は10,788,963件です。ログインパスワードと生年月日は漏えいしていないとしています。原因と経緯は調査中です。
• 第一興商（10月8日）：ビッグエコーやDKダイニングの顧客など約8,724,000件で、漏えいのおそれを否定できないとしています。委託先の日本コロムビアグループの従業員のPC1台がマルウェアに感染したことが発端です。
• ブックオフ（10月13日 第2報）：6,427,735件（会員番号ベース）で確定しました。パスワードのハッシュ値も含まれます。攻撃手法は公表を差し控えるとしています。
• 銀のさら・釜寅など（ライドオンエクスプレス、10月13日 第3報）：最大約650万件が漏えいした可能性があります。サーバーの運営会社がランサムウェアの被害を受け、預けたデータの取り出しや復元が難しい状態です。

10月後半：ソースネクスト・カプコン・バーガーキング・ふるさとチョイス・So-net・松屋

• ソースネクスト（10月15日）：10月9日10時頃から不正アクセスがあり、会員情報取得APIを不正に利用して会員の情報が取得されました。流出した可能性のある件数は22,519,960件で、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などが含まれます。
• カプコン（10月22日 第一報・10月23日 第二報）：「CAPCOM ID」のメールアドレスなどの漏えい対象は11,774,247件（全世界合計）です。利用者が設定したパスワードの漏えいは確認されていませんが、196件のアカウントでパスワードが不正に変更され、そのうち19件では通販サイト「イーカプコン」のマイページから氏名や住所などが漏えいしました。
• バーガーキング（10月15日）：10月2日から7日にかけて公式アプリの会員情報を管理するシステムに不正アクセスがあり、約1,118万件が漏えいしました。経緯と原因は調査中です。
• ふるさとチョイス（トラストバンク、10月20日）：会員情報4,454,097件の流出を確認しました。ハッシュ化されたパスワードと寄附控除試算額も含まれ、件数は今後の調査で変動する可能性があります。
• So-net（ソニーネットワークコミュニケーションズ、10月27日）：So-net会員2,141,986件、plala（Sコース）会員443,495件が漏洩しました。2026年3月以降に退会した元会員も含まれます。原因は調査中です。
• 松屋（松屋フーズ、10月30日）：10月28日、松屋公式アプリの管理システムへの不正アクセスで、会員ID・届け先住所・氏名・電話番号など2,377,127件が漏えいしたことが判明しました。原因は調査中です。

このほか、バイトル（最大3,885,771件、メールアドレス）、ローソンID（2,155,345件）、宿泊施設向け予約管理のTEMAIRAZU（最大約445万人）、ファンケル（393,785件、368,184名）とアテニア（441,162件、417,312名）も10月に公表されました。外食の事例は外食・飲食業のサイバー攻撃事例で、小売・ECの事例はEC・小売業のサイバー攻撃事例で整理しています。

タイムズカー第5報：6,628,007件で確定、原因は「Webシステムに存在した脆弱性」

前号で取り上げたタイムズカー（パーク24）の事案は、10月23日の第5報で件数と原因が示されました。外部送信の痕跡が確認されたデータは6,628,007件、外部送信の痕跡がある本人確認書類の画像は1,464,800件です。原因は、外部の専門機関によるフォレンジック調査の結果、「Webシステムに存在した脆弱性が悪用された」と判断されました。攻撃手法の詳細は、二次被害防止の観点から公表を差し控えるとしています。

本人確認書類の画像の外部送信の痕跡がある会員には、3,000円相当の現金または金券を渡すとしています。特別損失は5,500百万円の見込みです。経緯と利用者の確認事項はタイムズカー不正アクセス事案の解説記事にまとめています。

金融：お名前.com経由のFX不正取引・岩井コスモ証券・ソニー生命 約38.5万件

お名前.com デスクトップクラウド — VPSに保存したログイン情報で取引口座へ

GMOインターネットは10月21日、FXの自動売買などに使われる「お名前.com デスクトップクラウド」への不正アクセスを公表しました。影響の可能性のあるサーバー数は26,739件です。サーバー内に保存されていた取引口座のログイン情報などが第三者に取得され、証券会社やFX会社の口座で身に覚えのない取引が起きました。

金融担当大臣は10月27日の会見で、FX業者5社からGMOインターネット関連と考えられる顧客被害の報告を受けたと述べています。GMOインターネットは攻撃者からの要求には応じないとし、全利用者へのお見舞金と、不正取引で生じた損失の補償を案内しました。侵入経路は公表されていません。

岩井コスモ証券・ソニー生命 — 委託先のシステムと契約者向けサイト

• 岩井コスモ証券（10月16日 第1報・10月20日 第2報）：インターネット取引のシステム運用・保守を委託しているトレードワークスのシステムが不正アクセスを受け、4,975名のお客様情報（氏名、メールアドレスなど）が漏洩しました。同じ10月14日に売買管理システムへの攻撃もあり、7口座で意図しない売買注文が出されました（うち5口座で約定）。対象の口座は取引前の状態に戻されています。トレードワークスは、損失を約50百万円と見込んでいます。
• ソニー生命保険（10月28日公表）：契約者専用サイト「お客さまWEBサービス」などのシステムが不正アクセスを受け、保険代理店として扱ったメディケア生命の契約情報 約38.5万件の漏えいが確認されました。マイナンバー、カード情報、保険料の振替口座の情報は含まれていません。原因は調査中で、お客さまWEBサービスなどを停止しています。

金融機関の事例は金融機関（銀行・証券・保険）のサイバー攻撃事例で整理しています。

大学：大阪公立大学・大阪大学はNECの委託先を経由

10月2日にシステム障害が起きた大阪公立大学は、10月21日の第5報で原因を公表しました。保守・運用を委託しているNECの再委託先が9月下旬にサイバー攻撃を受け、再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされたというものです。NECが利用していたクラウドストレージから、大学に関連する個人情報とシステム関連情報の漏洩も確認されましたが、件数は公表されていません。

同じ10月21日、大阪大学も、NECと大学に報告されていなかった協力会社のクラウドストレージにあった共有ファイルが、第三者にダウンロードされたと公表しました。対象は77,851人（重複を除く）です。教育機関の事例は教育機関（大学・学校）のサイバー攻撃事例にまとめています。

統計と政府の動き：漏えい等した延べ本人数は約2億6,000万人

個人情報保護委員会は10月28日、2026年4月1日から10月16日までに不正アクセスで漏えい等した延べ本人数が約2億6,000万人になると公表しました。報告件数は9月が303件、10月は16日までで830件です。この集計は委員会に直接報告されたものだけで、金融業や電気通信業など委任先の省庁を経由した報告は含まれていません。速報時点の数で、確報の段階で変わることがあります。

10月26日には第1回の「サイバーセキュリティに関する関係閣僚会議」が開かれ、総理が「来週中を目途に、政府としての『緊急対策パッケージ』を取りまとめます」と述べました。11月4日時点で、取りまとめの公表は確認できていません。

注意喚起も続きました。10月7日の個人情報保護委員会に続き、10月8日にJPCERT/CCが注意喚起を出し、手口を4つに分類しました（既知の脆弱性の探索、アプリを解析したAPI経由の不正な操作、BIツールMetabaseの脆弱性、Webシェル）。10月9日には総務省・経済産業省・IPA・金融庁が相次いで注意喚起を出しています。JPCERT/CCは10月23日、この注意喚起に「AIを用いたペネトレーションテスト基盤を悪用した攻撃試行」を5つ目の類型として追加しました。IPAは10月16日に「不正アクセス特別相談窓口」を開設しています。

今月の推奨対策チェックリスト

• メール配信・FAQ・コミュニティ・クラウドなど、顧客データを預けている外部サービスを一覧にし、預けている項目と件数を把握する
• 委託先から「影響なし」と連絡を受けた案件も、続報が出るまで追跡する担当者を決める
• 利用している外部サービスに、自社が付与したアカウントや招待リンクが残っていないか棚卸しする
• 委託先・再委託先に発行しているアカウントに多要素認証が設定されているか確認する
• インターネットに公開している会員サイト・アプリ・APIの脆弱性診断の実施日を確認する
• VPSやクラウドのサーバーに、証券口座や業務システムのID・パスワードを平文で保存していないか確認する
• 退会者のデータと本人確認書類の画像の保管期間を決め、期間を過ぎたものを削除する
• 自社をかたるフィッシングメールが出回った場合の注意喚起文と問い合わせ窓口を準備する

委託先の管理と契約で押さえる項目はサプライチェーン攻撃対策の進め方で、認証の強化は多要素認証（MFA）の導入ガイドで解説しています。

よくある質問

Q1. 利用しているメール配信サービスが侵害されたら、何から確認しますか？

A. まず、そのサービスに預けていたデータの項目と件数、配信リストの範囲を確認します。次に、提供元が公表している影響範囲に自社の環境が含まれるかを問い合わせます。Cuenote FCの事案では、メールアドレスのほか氏名や会員IDが含まれる例がありました。漏えいが確認されたら、個人情報保護委員会への報告と本人への通知を進め、自社をかたるフィッシングメールへの注意を呼びかけます。

Q2. 委託先から「影響なし」と連絡を受けたら、対応を終えてよいですか？

A. 調査の途中で結論が変わることがあるため、続報を確認してから終えてください。Cuenote FCの事案では、りそなグループ3行やサイボウズが、最初に受けた「対象外」「持ち出しはない」という報告から数日後に案内を変えました。連絡を受けた日時と内容を記録し、提供元の続報を追う担当者を決めておくと、公表の訂正に早く対応できます。

Q3. 「延べ件数」と「人数」は何が違いますか？

A. 延べ件数は、同じ人が複数のリストに登録されていればその分だけ数えた数です。Cuenote FCの延べ51,628,280件やRise UPの延べ1,548,002件は、同一の人を複数含みます。大阪大学の77,851人のように重複を除いた人数とは比べられません。公表資料を読むときは、件数の単位と「延べ」「最大」「可能性」などの注記を確認してください。

Q4. 証券やFXの口座を不正取引から守るには、何をすればよいですか？

A. 取引口座のID・パスワードをサーバーやファイルに保存しないこと、ほかのサービスと同じパスワードを使わないこと、ワンタイムパスワードなどの追加認証を有効にすることが基本です。お名前.com デスクトップクラウドの事案では、サーバー内に保存されていたログイン情報が使われました。証券会社やFX会社が提供するログイン通知や海外からのアクセス制限も設定しておくと、不正なログインに早く気づけます。

まとめ

2026年10月には、メール配信やクラウドなど多くの組織が共通して使うサービスへの侵入が、数十〜数百の組織の情報漏えいに広がりました。11月2日にもノジマや@cosmeが数百万件規模の漏えいを公表しています。侵入の入口は、公開されたシステムの脆弱性と、委託先や再委託先の正規アカウントが目立ちます。利用組織の側では、提供元の調査が進むにつれて「影響なし」から「漏えい」へ案内が変わる例も続きました。

11月は、顧客データを預けている外部サービスの一覧、委託先に発行しているアカウントの多要素認証、公開しているシステムの脆弱性診断の3点を確認することをおすすめします。AEVUSでは、外部公開資産の把握から脆弱性診断・ペネトレーションテストまでを一貫して支援しています。

参考にした公表情報

• ノジマ（11月2日 第1報・ノジマオンライン 11月3日更新）／アイスタイル（11月2日）／プレステージ・インターナショナル（11月2日 適時開示）／セブン‐イレブン・ジャパン（11月3日）
• ペイクラウドホールディングス（10月29日・11月2日 第２報 適時開示）
• ユミルリンク（10月19日 第一報・10月26日 第二報）／DCM（10月30日）／Rise UP（10月28日）／バンダイナムコエンターテインメント（10月27日）／ライフカード（10月28日）／朝日新聞社（10月29日）／りそなホールディングス（10月27日）／サイボウズ（10月26日）／宣伝会議（10月27日）／日本能率協会マネジメントセンター（10月26日）
• IDCフロンティア（10月7日 第1報〜10月27日 第7報）
• アルカディア（10月13日〜10月30日、10月23日 報告書）／コミューン（10月9日）／スカラコミュニケーションズ（10月6日）／大和証券（10月5日）／オリックス生命（10月8日）
• ソースネクスト（10月15日）／カプコン（10月22日 第一報・10月23日 第二報）／バーガーキング（10月15日）／トラストバンク（10月20日）／ソニーネットワークコミュニケーションズ（10月27日）／松屋フーズ（10月30日）／ファンケル（10月16日）
• アドベンチャー（10月9日）／物語コーポレーション（10月5日）／第一興商（10月8日・10月9日）／ブックオフグループホールディングス（10月9日・10月13日）／ライドオンエクスプレスホールディングス（10月8日・10月13日）／ディップ（10月9日）／ローソン（10月8日）／手間いらず（10月9日）
• パーク24（10月23日 第5報）
• GMOインターネット（10月21日 第1報〜10月30日）／財務大臣兼金融担当大臣 閣議後会見（10月27日）／岩井コスモ証券（10月16日）／トレードワークス（10月23日）／ソニー生命保険（10月28日）
• 大阪公立大学（10月21日 第5報）／大阪大学（10月21日）
• 個人情報保護委員会（10月7日 注意喚起・10月28日 第374回 参考資料２）／首相官邸（10月26日 サイバーセキュリティに関する関係閣僚会議）／JPCERT/CC（10月8日 注意喚起・10月23日 更新）／総務省・経済産業省・金融庁（10月9日）／IPA（10月9日 注意喚起・10月16日 特別相談窓口）