2026年9月16日から10月9日までに公表された企業の情報漏えいのうち、各社が自分で出した公表を確かめられた分を一覧にした。侵入の方法まで書いた会社は一部で、委託先や外部のサービスを経由して何社にも広がった例があった。攻撃に AI が使われたと書いた会社は無かった。
- 2026年9月16日から10月9日までに公表された企業の情報漏えいのうち、各社が自分のサイトに出した公表で確かめられた分を、下の表にまとめた（件数は各社の公表のとおり）
- **1つの委託先から何社にも広がった例が3つあった。**問い合わせ受付の「i-ask」（スカラコミュニケーションズ）、コミュニティサービスの「Commune」（コミューン）、クラウドの「IDCFクラウド」（IDCフロンティア）
- 侵入の方法まで書いたのは、スカラコミュニケーションズ・Gyazo・NewsPicks・コミューンなど一部。ほかは「第三者による不正アクセス」「調査中」までで、原因はまだ明かしていない
- 攻撃に AI が使われたと書いた会社は、確かめた中には無かった（各社の公表の時点）
委託先・外部のサービスを経由した漏えい
| 委託先（サービス） | 公表から分かった手口 | 影響を受けた会社と件数 |
|---|---|---|
| スカラコミュニケーションズ（FAQ・問い合わせ受付の「i-ask」） | 10月2日20時30分ごろから3日8時ごろまで、第三者がi-ask の管理サイトに不正にログインし、不正なプログラムを置いた。同じサーバーで動いていた利用企業の環境のデータベースから、問い合わせの情報を取ったとみられるという | 同じサーバーの利用企業が最大5社、問い合わせ単位の延べで最大713,126件。シチズン時計は約10万名分、損保ジャパンは延べ約6万件（ドライブレコーダー「SMILING ROAD」の問い合わせ）。大和証券も問い合わせ管理の委託先で被害を受けたと、提携先の岩手銀行が公表した |
| コミューン（企業のコミュニティサービス「Commune」「Commune for Work」） | 10月5日18時ごろから。非公開コミュニティの招待リンクを不正に手に入れて会員になり、管理者になりすまして会員情報を見て取り出したとしている。7日にはメンテナンス中に残っていた経路も使われたという | 推計で約30.7万人。利用企業ではスズキが、公式コミュニティ「スズキヴィレッジ」の約3,000名分（メールアドレス、ニックネーム、所有車名など）を公表した |
| IDCフロンティア（クラウドの「IDCFクラウド」） | 10月7日3時40分ごろから、ランサムウェア攻撃。東日本リージョン1の4つのゾーンで仮想サーバーが止まった。侵入経路は調査中 | 495の企業・自治体に影響。4つのゾーンのデータは取り出しも復元も難しい見通しで、利用者自身のバックアップからの復元になるとしている |
自社のシステム・サービスでの漏えい
| 公表日 | 会社（サービス） | 公表から分かった入口・手口 | 漏れた（可能性がある）情報と件数 |
|---|---|---|---|
| 9月16日・25日 | Helpfeel（画像共有の Gyazo） | 画像を受け付けるサーバーの脆弱性を突かれ、外からコマンドを実行されてデータベースに入られた | ユーザーのデータ約2,362万件、画像のメタデータ約4.9億件、削除済み画像のメタデータ約1.74億件 |
| 9月28日・29日 | パーク24（タイムズカー） | 「タイムズカーWebシステム」に不正アクセス。原因は調査中 | 約660万アカウント。うち運転免許証の画像などの本人確認書類が約160万件 |
| 10月2日 | 第一生命 | 従業員向けの人事システムに不正アクセス。経路は公表に無い | 従業員と退職者の約12万名（従業員番号、氏名、住所など） |
| 10月5日 | 物語コーポレーション（焼肉きんぐの公式アプリ） | アプリの会員管理システムに不正アクセス。原因は調査中 | 登録10,808,784件のうち10,788,963件（会員番号、氏名、メールアドレス、電話番号） |
| 10月5日 | セイコーマート（セイコーマートアプリ） | アプリのサーバーに不正アクセス | 574,647人分 |
| 10月9日 | ユーザベース（NewsPicks） | 業務で使う管理ツールの脆弱性を突かれた。ツールの名前は公表に無い | 最大でメールアドレス32.3万件、クレジットカード情報の一部（名義と番号の下3〜4桁など）36.2万件など |
| 10月9日 | 佐川急便 | 荷物の問い合わせサービスに不正アクセス。起きた日時と経路は調査中 | 送り主・届け先などの情報。件数は確認中として公表していない |
委託先の3社は、どれも複数の企業が同じ仕組みを使うサービスだった。スカラコミュニケーションズは、対策として、管理者の認証を強める（多要素認証など）、利用企業ごとの環境を分ける、第三者による脆弱性診断を定期的に受ける、などを挙げている。シチズン時計と損保ジャパンは、委託先の管理を強めるとしている。
確かめた一次資料
- FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ ↗
- 当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について ↗
- シチズン時計のお知らせ（2026年10月6日） ↗
- 【大和証券との包括的業務提携】大和証券の外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について ↗
- コミューンのお知らせ（2026年10月9日） ↗
- 当社コミュニティサイト「スズキヴィレッジ」への不正アクセスに関するお知らせ ↗
- IDCフロンティアのお知らせ（第3報、2026年10月8日） ↗
- Gyazo のお知らせ（第二報、2026年9月25日） ↗
- パーク24のお知らせ（第3報、2026年9月29日） ↗
- 退職された皆さまへのお知らせ 当社の従業員向け人事システムへの不正アクセスについて ↗
- 物語コーポレーションのお知らせ（2026年10月5日） ↗
- 「セイコーマートアプリ」への不正アクセスによる個人情報の閲覧に関するお詫びとお知らせ（第四報） ↗
- NewsPicks のお知らせ（第二報、2026年10月9日） ↗
- 佐川急便のお知らせ（第4報、2026年10月9日） ↗
この記事は、上の一次資料の原文を読んで書いています。数字は原文のとおりで、計算した値はそう書いています。