INCIDENTS
セキュリティ事案一覧｜最近の漏えい・不正アクセスの入口と、防ぐ対策
2026年に公表された国内の漏えい・不正アクセスを、入口（原因）× 漏れたもの × その事案を防ぐ対策の表にしました。対策の列は、連載「事故から逆算するWebセキュリティ」の該当回へそのままつながります。
表の読み方
- 入口と件数は各社の発表の文言のままです。「最大」「おそれ」「可能性」も発表どおりに残しています。
- 入口が公表されていない事案は「未公表」と書きました。推測で埋めていません。
- 続報で数字が変わったら、この表も書き換えます。日付の列に何報目の数字かを書いています。
- 「準備中」の回は、連載の公開予定に沿って順に読めるようになります。
| 事案（公表） | 入口（原因） | 漏れたもの | その事案を防ぐ対策（連載の回） |
|---|---|---|---|
| 日本経済新聞社 2026-10-16 公表当サイトの解説 →日本経済新聞社のお知らせ（2026-10-16） | 認証情報システム開発に利用するクラウドサービスの認証情報が盗まれた（盗まれた手段は非公表） | 約183万件（個人情報約15万件、識別子のみ約168万件） |
|
| Studio 2026-10-16 第一報当サイトの解説 →Studio「不正アクセスによる情報流出に関するお詫びとお願い（第一報）」 | 脆弱性一部機能の脆弱性が悪用された（詳しい経路は続報待ち） | フォームの送信内容、外部サービスのAPIキーなど（件数は精査中） |
|
| メルカリ（販売者の主張） 2026-10-16 主張当サイトの解説 → | 未確認未公表。販売者の主張のみで、メルカリの公式発表は確認できていない | 販売者の主張で2,400万件（未確認） |
|
| 岩井コスモ証券／トレードワークス（委託先） 2026-10-16 公表岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について」 | 設定不備・委託先委託先システムの一部の管理機能に設定の不備があり、そこを悪用された | 顧客4,611人分の情報 |
|
| ソースネクスト 2026-10-15 公表当サイトの解説 →ソースネクスト「当社サイトへの不正アクセスによるお客様情報流出のお詫びとお知らせ」 | API会員情報を取得するAPIが悪用された（脆弱性の内容は非公表） | 会員情報 最大22,519,960件の流出の可能性（パスワードも対象） |
|
| 第一興商（委託先） 2026-10-08 公表Daiichikosho "Notice Regarding the Potential Leakage of Personal Information at a Contractor" | 委託先委託先のPC 1台のマルウェア感染 | 約872万人分の個人情報の漏えいの「おそれ」 |
|
| デジタル庁 2026-09-11 公表Digital Agency "Possibility of Leakage of Personal Information of Employees, etc. by Unauthorized Access to Government Solution Services" | VPN機器VPN機器の脆弱性を悪用した侵入（6月25日に保守運用担当者のアカウントによる大量のファイルアクセスを検知） | 職員等の個人情報 約24.6万件の漏えいの可能性 |
|
| さくらインターネット 2026-08-17 第一報／09-10 第三報当サイトの解説 →さくらインターネット 第三報（2026-09-10） | 管理環境第三者が同社の管理環境を経由し、レンタルサーバの一部のお客さま環境へアクセス（侵入経路は非公表） | 対象となる可能性のある会員情報 1,360,563アカウント、レンタルサーバへの不正ログイン 951アカウント（第三報） |
|
| アフラック 2026-07-31 調査結果アフラック「当社システムに対する不正アクセスの発生および情報漏えいに関する調査結果と再発防止策について」 | 大量照会通常の利用と同じ形式のアクセスで、短時間に大量のデータ照会。監視・制御の機能が足りなかった（同社の調査結果） | 約440万人 |
|
| KDDI（ISP向けメール基盤） 2026-06-23 公表／07-29 総務省の行政指導当サイトの解説 →KDDI「ISP 事業者向けメールシステムに対する不正アクセスの発生について」 | 脆弱性組み込んでいた第三者製ソフトウェアの脆弱性（KDDIの説明）。パスワードは平文で保存されていた | パスワード7,616,173名分（平文）、メールアドレス12,231,954名分 |
|
入口でまとめると
並べてみると、入口の多くは次の4つのどれかです。
- 鍵とアカウント：日経（クラウドの認証情報）、デジタル庁（VPN機器から入り、保守運用担当者のアカウントで大量のファイルにアクセス）。鍵の扱いは第7回・第8回、記録は第16回です。
- 公開しているAPIと機能：ソースネクスト（会員情報を取得するAPI）、アフラック（通常と同じ形式の大量照会）、Studio（一部機能の脆弱性）。止め方は第9回、気づき方は第16回です。
- 委託先と管理機能：岩井コスモ証券／トレードワークス、第一興商。管理機能の切り離しと委託先の扱いは第33回と第45回で書きます。
- 組み込んだソフトウェアの脆弱性と、保存のしかた：KDDI。入口は第三者製ソフトウェアの脆弱性ですが、被害を大きくしたのはパスワードの平文保存でした（第1回）。
侵入経路がまだ公表されていない事案は、入口と対策を結べないため、この表に入れていません。メルカリだけは、利用者がいまできることがあるので、販売者の主張の段階で載せています。入口が公表されたら追加・更新します。
連載の全50回の構成は連載のページにあります。