相次ぐ大規模な情報漏えい この1か月で何が起きた? 件数の比較と、漏れたときの動き方を図解

2026年9月25日から10月16日にかけて、不正アクセスなどによる個人情報の漏えいと、そのおそれの公表が相次ぎました。公表された件数が50万件・人以上のものは、編集部が当事者の発表で確認できただけで25件あります。その25件を件数で並べ、うち10件の数え方と漏れた項目、漏れたかもしれないときの動き方をまとめました(2026年10月17日に各公式ページで確認)。

50万件以上の公表は25件 件数と単位は公表のとおり

対象は、漏えい(おそれ・可能性を含む)を初めて公表したのが2026年9月25日から10月16日で、公表された件数が50万件・人以上のものです。件数の多い順に並べました。「件」「人」と「最大」「約」は、それぞれの発表に書かれたとおりです。

会社・サービスの名前から、それぞれの件をくわしく書いた記事に移れます(一部は姉妹メディアの情シスのミカタの記事です)。棒の幅は、25件でいちばん多い22,519,960件を100%として編集部が計算し、小数第2位を四捨五入しました。「約」「最大」の数は、その値で計算しています(約1,464万件なら1,464万件)。ファンケル・アテニアの834,947件は、ファンケル393,785件とアテニア441,162件を編集部が足した数です。

件と人、何を数えた数字か

25件のうち19件は「件」で公表しています。ミスターマックス、アエナ、ムーンスターの3件は「人」、セイコーマートは「人分」、旭化成セラピューティクスは「名」、ホワイトエッセンスは「アカウント」です。単位が違う数は同じ物差しではないため、そのままでは比べられません。

件数の大きさは、漏れた中身の重さや、会社の良し悪しを表すものではありません。何が漏れたかも、あわせて見てください。

棒に入れていない主な件

• Gyazo(Helpfeel)は、第一報が2026年9月16日で、期間の外です。ユーザーに関するデータ約2,362万件と、画像に関するメタデータの漏えいを公表しています。
• EPARKリラク&エステは、第一報が2026年7月31日で、期間の外です。9月24日の第二報では、約2,218万レコードとしています。
• 佐川急便(9月30日に第1報)は、10月9日の第4報でも、件数を確認中として公表していません。
• コミックシーモア(NTTソルマーレ・10月16日)は「対象件数:精査中」です。Studio(10月16日)は、登録しているすべてのお客様の情報が流出した可能性があるとし、件数は続報で知らせるとしています。
• 手間いらず(9月28日に第一報)は、公式のお知らせ(9月28日・10月7日)に件数が書かれていません。
• JR東日本の「えきねっと」「大人の休日倶楽部」(10月9日)は、JR東日本の発表の資料を編集部の環境から開けず、件数を公式の発表で確かめられなかったため、棒に入れていません。報道をもとにした記事は、情シスのミカタのJR東日本のえきねっと等で最大206万件、IDCFクラウド不正アクセスが原因です。

ムーンスターは3月に不正アクセスの疑いを公表しており、漏えいの可能性を公表したのは10月2日の第2報です。ホワイトエッセンスは8月12日に不正アクセスとシステムの一時停止を公表しており、漏えいの公表は10月5日です。この記事では、どちらも漏えいを公表した日で数えています。

この記事でくわしく見る10件

この記事では、25件のうち10件(図の朱色と黒の棒)の数え方と漏れた項目をくわしく見ます。件数の多い順に選んだ10件ではありません。

何が漏れたか パスワードとカード情報の扱い

くわしく見る10件で漏れた、または漏れたおそれのある主な項目を、各社の発表のとおりに並べました。パスワードとクレジットカード情報の扱いは、会社ごとに違います。

ハッシュ化は、パスワードを元に戻しにくい形に変えて保存することです。それでも油断はできません。skyticketは、解析でパスワードが分かり、同じパスワードを使うほかのサービスへの不正ログインに悪用されるおそれがあるとしています。

漏れたかもしれないときにやること 4つの段

くわしく見る10件のお知らせと、警察庁・消費者庁の案内から、動き方を4つにまとめました。図と本文の件数は、この10件で数えています。

1. 確かめる 公式サイトで対象の範囲を見る

使ったことのあるサービスかを思い出し、公式サイトのお知らせで対象の範囲を見ます。退会した人が対象に入る件もあります(タイムズカー、ブックオフ)。タイムズカーは、入会を完了しなかった人も含みます。

くわしく見る10件は、どれも対象の人に個別に連絡するとしています。メールで送ると書いているのは、ソースネクスト、skyticket、ブックオフ(10月15日から順次)、ローソン、ファンケル・アテニア、アエナ、ムーンスターの7件です。

2. 変える 使い回しのパスワードを変える

くわしく見る10件のうち、パスワードが漏れた項目に入るのは、ソースネクスト、skyticket、タイムズカー、ブックオフ、ファンケル・アテニア(一部の人)の5件です。ソースネクストは、すべての会員のパスワードを変更済みで、ログインの時に再設定を求めています。

同じメールアドレスとパスワードの組み合わせを、ほかのサービスでも使っている場合は、そちらも変えます。ソースネクスト、skyticket、ブックオフが、こう呼びかけています。警察庁も、安全なパスワードを使い回さないことと、ワンタイムパスワードなどの多要素認証が有効なことを案内しています。

3. 偽の連絡に注意 メールのリンクからは入らない

漏えいのあとは、会社からの本物の案内メールと、会社をかたる偽の連絡の両方が届くおそれがあります。skyticketとブックオフは、案内メールにパスワードの入力や変更の画面へのリンクを載せないとしています。変更は、公式サイトか公式アプリから直接行うよう求めています。警察庁も、メール内のリンクを安易にクリックしないよう呼びかけています。

くわしく見る10件のうち、タイムズカー、ブックオフ、skyticket、ファンケル・アテニア、アエナ、ムーンスターの6件は、会社からパスワードやクレジットカード情報などを尋ねることはないと書いています。そうした連絡が来たら答えず、公式サイトに載っている窓口に確かめます。

ムーンスターは、会社になりすましたフィッシングメールが、一部の客に届いたことを確認したと公表しています。skyticketは、返金・補償を名目にした振込みや手数料の支払い、アプリのインストールを求める連絡には応じないよう求めています。

4. 相談する #9110と188

くわしく見る10件の窓口は、次のとおりです(2026年10月17日に、各社の公式のお知らせで確認)。

大阪・関西に関わる例 mineo、WESTER ID、堺市の防災配信

25件の中には、関西で暮らす人に関わるものもあります。

mineoのオプションを使っていた人

本社が大阪市中央区にあるオプテージは10月16日、mineoのお知らせで注意を呼びかけました。オプションの「スマート留守電」「ジュニアパック」「シニアパック」の提供元が、ソースネクストだからです。ジュニアパックとシニアパックは、2025年6月30日で提供を終えています。

対象になる可能性があるのは、ソースネクストのサポートセンターに問い合わせる際に、これらのアプリ内のユーザー登録でソースネクストのアカウントを作った人です。解約済みの人も含みます。オプテージからソースネクストへ、お客さまの情報は連携していないとしています。同じパスワードを使い回している場合は、変更するよう求めています。

WESTER IDを使っている人

タイムズカーから漏れた情報には、連携サービスIDが含まれます。JR西日本の9月29日の続報によると、約660万件のうち連携サービスIDの情報は、JR西日本グループの会員サービスWESTER IDなど計9件です。

JR西日本は、自社のシステムへの不正アクセスは発生しておらず、WESTERのパスワードはこの件で流出するものではないとしています。漏れたIDが特定されしだい、個別に連絡するとしています。ほかのサービスと同じパスワードを使っている場合は、変更を考えるよう呼びかけています。

堺市の防災配信に登録している人

堺市は10月14日、避難情報などを配信するシステムと、職員を招集するシステムで、個人情報が漏えいしたおそれがあると公表しました。サービス提供事業者である、大阪府箕面市のアルカディアが不正アクセスを受けたためです。図の25件に入っているSpeeCAN RAIDENが、このサービスです。

漏えいの有無や範囲は、事業者が調査中です。堺市は、登録者にメール、ファックス、電話で個別に注意を呼びかけるとしています。問い合わせ先は、堺市危機管理室 危機管理課(072-228-7605)です。

アルカディアは10月13日の第2報で、SpeeCAN RAIDEN全体の、漏洩の可能性がある個人情報の最大件数を、メールアドレス約3,136,000件、電話番号約105,000件、FAX番号約15,000件としています。いずれも推定値で、調査は続いています。くわしくは堺市の防災配信システムで個人情報漏えいのおそれにまとめています。

国の機関も注意を呼びかけている

個人情報保護委員会は10月7日、事業者に向けて「大規模な漏えい等事案を踏まえた対応について(注意喚起)」を出しました。

国民に広く普及した、大量の個人情報を取り扱う個人情報取扱事業者が外部からの不正アクセスを受け、その取り扱う大量の個人データが漏えいし、又は漏えいのおそれが生じた漏えい等事案に接しています。

警察庁のページには、警察庁、個人情報保護委員会、国家サイバー統括室、総務省、経済産業省、金融庁の注意喚起がまとめられています。暮らしの中でできる備えは、個人情報の大規模漏えいが相次ぐ 国が事業者に対策強化を要請 わたしたちにできる備えはにもまとめています。10月第1週に公表された、50万件・人に届かない件を含む10件は、10月第1週の個人情報漏えい・不正アクセス10件を図解にあります。

覚えておきたいこと

• 2026年9月25日から10月16日に漏えい(おそれを含む)を公表した件のうち、50万件・人以上は、確認できただけで25件。最も多いのはソースネクストの22,519,960件。
• 件・人・アカウントなどの単位や、「最大」「約」の言い方は会社ごとに違う。件数だけで比べず、何が漏れたかも見る。
• 漏れたかもしれないときは、公式サイトで対象かを確かめ、使い回しのパスワードを変える。メールのリンクからは入らない。迷ったら#9110か188へ。

件数の大小より、自分が使うてたサービスかどうかが肝心や。心当たりがあったら、今日のうちに公式のお知らせを開いてみてな。