情報流出が止まらない！タイムズカー160万件・セイコーマート57万人・OZmall…原因と問い合わせ窓口まとめ【2026年10月】

相次ぐ情報流出、何が起きているのか

2026年9月から10月にかけて、国内の企業や政府のシステムで不正アクセスによる情報流出・流出の可能性が相次いで公表された。被害規模は数十万件から100万件超まで広がり、流出した情報の種類も会員情報、本人確認書類、画像関連のメタデータ、職員情報と異なる。重要なのは「漏えいが確定した情報」と「閲覧・漏えいの可能性がある情報」を混同しないことだ。

AIによる自動攻撃が情報流出を加速させているのか

2026年10月7日の読売新聞の報道によると、同紙とトレンドマイクロが国内企業・団体の発表を集計した結果、サイバー攻撃による情報流出事案は10月5日時点で506件に達した。2024年の503件、2025年の473件と比較しても深刻な水準だ。専門家はAIを使った脆弱性探索と攻撃の可能性を指摘している。

AIが悪用されれば、攻撃者は大量のWebサイトを調査し、弱点を探す作業や偽メールの作成などを効率化できる。IBMが2026年8月に発表した調査でも、悪意あるデータ侵害の約4分の1でAIが利用されていたと報告された。ただし、この数字は世界規模の調査であり、今回の国内事件の4分の1がAI攻撃だったことを意味しない。

一方、マクニカの専門家による分析では、国内Webシステムからの情報窃取・漏えいのうち一定の特徴を持つ事案が2026年10月6日時点で119件に達し、そのうち81件が7月以降の公表だった。こうした増加は注目すべきだが、個々の企業が受けた攻撃でAIが使用されたと確認できる公開証拠は限られる。記事で紹介した各社についても、原因が公表されていない場合はAI攻撃と断定できない。

参照：読売新聞報道／IBM調査／マクニカ分析

2026年9月〜10月の情報流出・サイバー攻撃を時系列で整理

2026年10月8日時点。国内で公表・報道された主な事案を、初回公表日が判明しているものはその日付で、続報や正確な初回日が確認できないものは期間表示で整理した。「漏えい確認」「漏えいの可能性」「不正アクセス・障害のみ」を混同しない。同一事件の続報は内容の変化を示すため一部再掲している。

9月上旬〜中旬

9月下旬

10月1日〜5日

10月6日〜8日

これは公表事案の主要例であり、国内のすべての情報セキュリティ事故を網羅した全数表ではない。サイバー攻撃による障害と、実際に個人情報が外部へ流出した事件は分けて読む必要がある。

問い合わせ窓口・被害者向け案内

窓口の受付時間や対象範囲は変更される場合がある。電話番号は利用前に各社公式サイトでも確認してほしい。

原因別に整理：どこに弱点があったのか

1. Webアプリ・ソフトウェアの脆弱性

ホワイトエッセンス、infoQ、デジタル庁GSSなどでは、脆弱性の悪用が公表されている。修正されていないプログラムやVPN機器が入口になり得る。

2. 設定不備

OfferBoxではシステム設定の不備が公表された。高度な侵入技術がなくても、公開範囲やアクセス制御の誤りが情報閲覧につながる場合がある。

3. 委託先・外部システム

大和証券などでは委託先のサーバーへの不正アクセスが問題となった。自社が直接攻撃されていなくても、委託先で保管するデータが影響を受ける。

4. 大量データの一元管理

焼肉きんぐやタイムズカーのように大量の会員情報を扱うサービスでは、侵入された場合の影響が大きい。保存する情報の最小化、権限分離、異常な大量取得の監視が重要だ。

5. AI悪用の可能性と未確認の部分

生成AIを悪用した弱点の探索、攻撃の自動化、偽メールの作成は懸念されている。しかし、今回の各社の流出がすべてAIによる攻撃だったと裏付ける公表はない。特定できた原因と専門家の推測を分けて考える必要がある。

利用者が今すぐできる対策

自分が対象者かを公式発表で確認し、該当サービスからの案内を待つ。パスワードの使い回しがある場合は見直し、可能なら多要素認証を有効にする。心当たりのないメール、SMS、電話から認証コードやカード情報を渡さない。本人確認書類が漏えいした場合は、該当企業の専用窓口で案内される対応を確認する。

情報流出は「発表された件数」だけでは測れない

今回紹介した事案は、侵入経路も対象データも異なる。すべてを同一の原因で説明することはできないが、脆弱性管理、アクセス権限、保存データの最小化、異常検知、利用者への迅速な通知という共通の課題が浮かぶ。今後も調査によって対象人数や原因が更新される可能性があり、各社の続報を確認する必要がある。