AI活用読了 約32分

相次ぐ情報漏えい、どこから入られた？ 経路別に「本当に効く対策」をやさしく解説

最終更新: 2026年11月5日

11月5日追記： ショップサーブとタイムズカーの侵入経路が公表されました。10月12日以降の新しい大型事案（メール配信の委託先が破られた事案など）と一緒に、記事の後半「追記（11月5日）」の章にまとめました。10月12日に追記した国の機関の注意喚起（JPCERT/CC・IPAなど）は、その前の章にあります。

この記事は、動画でもお話ししています

はじめに

2026年9月下旬から、国内で情報漏えいの公表が止まりません。9月1日から10月6日までの約1か月で、国内の公表は約104件にのぼります。

「また漏えいか」と流してしまいがちですが、各社の公表文を1件ずつ読むと、どこから入られたのかがかなり見えてきます。しかもその多くは、特別な最新兵器ではなく「基本対策の抜け」を突かれたものでした。

この記事では、実際の公表文を読んで確認した事実をもとに、侵入の経路ごとに「どの対策が一番効くか」を、専門用語をできるだけ使わずに整理します。会社の規模や業種を問わず、明日から見直せる内容にしています。

何が起きたのか：主な大型事案

件数が10万件を超える大型事案だけでも、この1か月で20件近く公表されています。下の表は、当事者の公表文や報道の本文で中身を確認できたものです（新しい順）。

公表日 組織・サービス 件数（公表どおり） 侵入の経路（公表どおり）
10/9 ブックオフ（会員管理システム） 最大 約643万件（会員番号の件数） 非公表（「脆弱性を是正した」と公表）
10/8 ローソンID 215万5,345件 アプリ関連のシステムを不正に利用され、本人に情報を表示する仕組みが不正アクセスを受けたとみられる
10/6 ミスターマックス 最大173万5,154人 ソフトウェアの機能を不正に利用
10/6 楽天ドライブ 保存データ 1万5,382アカウント 管理用アカウントの認証情報を盗まれた
10/6 シチズン時計 約10万人（可能性） 委託先（i-ask）のサーバー
10/5 焼肉きんぐ公式アプリ 1,078万8,963件 非公表（調査中）
10/5 infoQ（GMOリサーチ&AI） 最大94万8,498件 ソフトウェアの脆弱性
10/5 大和証券 約22万件（うち顧客 約11万人、可能性） 委託先（i-ask）のサーバー
10/1 OZmall 最大44万2,779名（閲覧の可能性） 脆弱性
9/30 VOISING 約17万件 BIツールの既知の脆弱性
9/29 セイコーマートアプリ 約57万アカウント（可能性） アプリのサーバー経由（詳細は調査中）
9/28 タイムズカー 約660万アカウント（うち本人確認書類 約160万） 非公表（調査中）
9/24 EPARK リラク＆エステ 約2,218万レコード 非公表
9/16 Gyazo 利用者データ 約2,362万件 サーバーの脆弱性
9/15 LEAN BODY 約44万アカウント 分析ツール（Metabase）の脆弱性
9/11 デジタル庁 約24.6万件（可能性） VPN機器の脆弱性

数字を見るときは注意が必要です。「件」「人」「アカウント」は単位が違い、「確認」と「可能性」も重さが違います。たとえばGポイントの「最大約7万件」は、会員を識別する内部番号だけで、氏名やメールアドレスは含まれていませんでした。件数の大きさだけで深刻さは判断できません。

どこから入られたのか

経路が公表された事案は、ほぼすべて「外に公開しているソフトの穴」か「ログイン情報を盗まれた」かのどちらかでした。どちらも新しい手口ではありません。

  • ソフトウェアの脆弱性（穴）：8件。Gyazo、OZmall、LEAN BODY、VOISING、infoQ、デジタル庁のVPN機器など、経路が分かった大型事案の大半です。VOISINGとLEAN BODYは、修正版の適用が間に合わなかったことが原因だと自ら認めています。
  • ログイン情報を盗まれた（アカウント乗っ取り）：2件以上。楽天ドライブは管理用アカウント、日本エネルギー経済研究所はフィッシングでMicrosoft 365のアカウントを乗っ取られました。一覧ベースでは、メールアカウントの乗っ取りがさらに8件ほどあります。
  • 委託先・外部サービス経由：5件以上。大和証券とシチズン時計（同じi-ask）、PFU（ショップサーブ）、東京メトロ、ApplyNowなど。自社は無事でも、預け先がやられて漏れる型です。
  • ランサムウェア：7件。大阪公立大学、京王グループなど。侵入口はまだ公表されていません。
  • 人のミス・内部不正：約11件。メールの誤送信、設定ミス、生成AIへの誤アップロード、元社員の持ち出しなど。

一方で、焼肉きんぐ、タイムズカー、EPARKなど大型事案の多くは、経路が「調査中」または非公表です。初報の段階では原因が出ないのが普通で、本当の内訳は1〜2か月後の続報で見えてきます。デジタル庁のように、検知から公表まで2か月以上かかる例もあります。

攻撃者はAIで「速さ」と「量」を手に入れた

手口そのものは昔からあるものですが、攻撃者はAIを使って、そのスピードと数をケタ違いに増やしています。今回の国内事案で「AIが使われた」と公表した会社はありません。それでも、海外のセキュリティ企業の調査がその実態をはっきり示しています。

CrowdStrikeの2026年版の脅威ハンティングレポートによると、次のような状況です。

  • 脆弱性の悪用の88%が、攻撃方法の公開から48時間以内に起きている。速い集団は24時間以内に攻撃を始めている。
  • 攻撃者はAIで、侵入後に打ち込む命令（コマンド）や攻撃用のプログラムを作っている。
  • アカウントの乗っ取りからデータを盗むまで、5分もかからなかった例がある。
  • 電話でなりすます侵入は半年で2倍、「デバイスコード」を悪用したフィッシングの試みは月あたり15倍に増えた。

どこでAIが使われているか（筆者の見立て）

上の調査と今回の国内事案の傾向を突き合わせると、次の5か所で使われていると考えています。

  1. 修正版が出てから攻撃するまでの時間。 いちばん効いているのはここだと思います。今回「修正が間に合わなかった」と認めた会社が複数あるのは、このスピードに負けたからでしょう。
  2. 狙う相手を探す作業。 世界中から古いツールや機器を探して片っ端から試す作業は、AIと自動化に向いています。中小企業の小さなツールまで狙われるのは、人が「狙う価値があるか」を判断しなくてよくなったからです。
  3. フィッシングの文面と偽サイト。 不自然な日本語のメールは、もうほとんど見かけません。「日本語が変だから怪しい」という見分け方は通用しなくなっています。
  4. 声のなりすましと下調べ。 担当者の名前や組織を調べ上げたうえで、本物そっくりの電話をかけてきます。
  5. 侵入した後の作業。 どの命令を打つか、盗んだデータのどれがお金になるかの選別も、AIで速くなっていると見ています。

海外の例：推測しやすい番号と、回数制限のない照会窓口

「速さと量」の怖さがよく分かるのが、10月5日に発表されたデンマークの事件です。国の住民登録（CPR）から、約880万人分の氏名・住所・CPR番号（日本のマイナンバーに近い番号）にアクセスされました。死亡した人や国外に移った人の記録も含まれています。

攻撃者は国のシステムに直接侵入したわけではありません。住民登録を検索する正規の権限を持っていた国内企業のアクセスを悪用しました。デンマークのデータ保護当局は、有効なCPR番号を見つけ出すための非常に大量の自動検索が行われたと説明しています。不正な検索は9月中に行われ、10月2日になって異常が見つかりました。

なぜ大量の自動検索が成り立つのか。CPR番号は10桁のうち最初の6桁が生年月日なので、残りの候補はかなり絞られます。番号の作り方が推測しやすく、照会できる窓口に十分な回数制限がなければ、機械で候補を次々に試せてしまいます。

なお、この事件で「AIが使われた」とは公式には発表されていません。ただ、こうした大量の自動処理は、まさにAIと自動化で攻撃者が得意になった分野です。

教訓は日本の会社にもそのまま当てはまります。自社のAPIや管理画面に「番号で検索・照会できる機能」があるなら、短時間の大量アクセスを止める制限と、いつもと違う使われ方を見つける仕組みが必要です。取引先や委託先に照会の権限を渡している場合は、その権限が乗っ取られる前提で考えておきます。

守る側にとっての意味

速さと量で来る相手に、人の注意力や「時間があるときに対応する」で対抗するのは無理があります。怪しいメールを人が見抜く、手が空いたら修正版を当てる、といった対策の効き目は落ちています。代わりに、パスキー、自動アップデート、外から見えなくするといった「仕組みで防ぐ」対策の価値が上がっています。次の章のケース別対策も、この考え方で並べています。

ケース別：効果が大きい対策から順に

各ケースとも、上にある対策ほど「その経路をふさぐ力」が大きいものです。確率を数字で出すことはできませんが、今回の事例で実際に突かれた穴を直接ふさぐものを上に置いています。

ケース1：ソフトウェアの穴を突かれる

今回いちばん多かった型です。ECサイト本体だけでなく、社内の分析ツールやFAQシステムなど「周辺のソフト」が狙われています。

  1. 修正版（アップデート）をすぐ当てる。 VOISINGもLEAN BODYも、既知の穴の修正が間に合わず入られました。まず「何のソフトを使っているか」の一覧を作り、修正版が出たら何日以内に当てるかを決めておきます。
  2. 管理画面やツールを外から見えないようにする。 社内でしか使わない分析ツールや管理画面は、インターネットに出す必要がありません。IPアドレスで接続元を絞るだけでも、狙われる入口が減ります。
  3. アップロードしたファイルを実行させない設定にする。 i-askでは、管理画面から不正なプログラムを置かれて実行されました。ファイルを置けても動かせなければ被害は止まります。

ケース2：ログイン情報を盗まれる

楽天ドライブの管理用アカウントや、Microsoft 365のメールアカウントが典型です。

  1. 管理者アカウントにはパスキーを使う。 偽サイトでは仕組み上ログインが成立しないため、フィッシングに強い方式です（詳しくは次の章）。
  2. 管理者用と普段使いのアカウントを分ける。 普段のメールやネット閲覧で引っかかっても、管理権限までは奪われないようにします。
  3. いつもと違うログインに気づける仕組みを作る。 海外からのログイン、夜中の大量ダウンロード、知らないメール転送設定などを通知させます。

ケース3：預け先（委託先・SaaS）がやられる

i-askは、1台のサーバーに最大5社分の環境が同居しており、1回の侵入で全社分が抜かれた可能性があります。最大71万3,126件（延べ）が対象です。ショップサーブも、多数の店舗が同じ基盤の上にありました。

  1. 預けるデータを減らし、期限を決めて消す。 PFUはショップサーブを「過去に使っていた」だけで対象になりました。シチズン時計も、移行中で新規受付を止めていたシステムに過去の問い合わせが残っていました。
  2. 委託先に確認する。 他社と同じサーバーに同居していないか、事故の時は何時間以内に連絡が来るかを、契約前と更新時に聞いておきます。
  3. 問い合わせフォームに機微な情報を書かせない。 自由記述欄に口座番号やカード番号を書く人がいるため、そこまで漏れる可能性があります。注意書きを入れるだけでも違います。

ケース4：ランサムウェア（データを人質に取られる）

大阪公立大学では約500台のサーバーが止まり、バックアップの多くまで暗号化されました。警察庁によると、侵入口の約5割はVPN機器です。

  1. VPN機器の修正版を最優先で当て、当てた後にパスワードも変える。 修正前に盗まれたパスワードが残っていると、修正後でも入られます。
  2. ネットから切り離したバックアップを持つ。 つながったままのバックアップは一緒に暗号化されます。
  3. VPNを使う人と機器を最小限にする。 使っていないアカウントや古い機器は止めます。

ケース5：人のミス・内部不正

誤送信、設定ミス、生成AIへの誤アップロード、元社員の持ち出しなどです。

  1. 一斉メールはBCCではなく配信システムを使う。 誤送信の多くは手作業から起きます。
  2. 生成AIに入れてよい情報のルールを決める。 RIZAPでは、健保の加入者情報が生成AIにアップロードされました。
  3. 退職者のアカウントはその日に止める。

「MFAしているのに」乗っ取られる理由（Microsoft・Google共通）

今回は、MicrosoftのアカウントもGoogleのアカウントも乗っ取られています。日本エネルギー経済研究所はMicrosoft 365のアカウント6件、立教大学はGoogleアカウント6件が不正アクセスを受け、立教大学では1万7,668件の迷惑メールが送られました。どちらか一方の問題ではなく、今の手口が「パスワード」ではなく「ログイン済みの状態」を盗むことに原因があります。

そもそもMFAとは

MFA（多要素認証）は、パスワードだけでなく、別の種類の確認を組み合わせてログインする仕組みです。確認の種類は、大きく次の3つです。

  • 知っているもの：パスワード
  • 持っているもの：スマホに届く確認コードや承認通知
  • 自分自身：指紋や顔

このうち2つ以上を使うので、パスワードが盗まれても、スマホがなければ入れません。家の鍵と暗証番号の両方がないと開かないドア、というイメージです。

パスキーとは

パスキーは、パスワードの代わりに、スマホやパソコンに保存された「見えない鍵」を使ってログインする仕組みです。使うときは、指紋や顔認証、スマホのロック解除をするだけで、覚える文字列はありません。

最大の特徴は、その鍵が「登録した本物のサイトにしか反応しない」ことです。偽のログイン画面に誘導されても鍵が反応しないので、そもそもだまされようがありません。

MFAでも乗っ取られる手口

MFAは無駄ではありません。パスワードだけで入ってくる攻撃は、MFAでちゃんと止まっています。問題になるのは次のような手口です。

  • 中継型フィッシング：偽サイトが裏で本物のログイン画面を中継します。利用者がMFAまで正しく通すと、そのあとの「ログイン済みの証明」を攻撃者が横取りします。本人は普通にログインできているので気づきません。
  • 承認通知の連打：パスワードを知った攻撃者が承認通知を何十回も送り、うっかり「承認」を押させます。
  • アプリへの権限付与：「このアプリにメールの読み取りを許可しますか」に同意させます。パスワードを変えてもアクセスが残ります。

効く対策

  1. パスキーに切り替える。 MicrosoftはMicrosoft Authenticatorアプリで、GoogleはGoogleアカウントのセキュリティ設定で登録できます。偽サイトでは鍵が反応しないため、中継型フィッシングにいちばん効きます。まずは管理者アカウントからで構いません。
  2. ログインできる場所を絞る。 「会社のPCからだけ」「海外からは拒否」といった条件を付けると、盗まれたログイン状態を攻撃者の環境で使えなくなります。Microsoft 365・Google Workspaceとも、この機能は上位プランで使えます。
  3. どのプランでもできる設定をしておく。 外部アプリへの権限付与を管理者の承認制にする、メールの外部への自動転送を禁止する、受信トレイに知らない転送ルールがないか点検する。この3つは、Microsoft・Googleどちらでも追加費用なしでできます。

今日からできるチェックリスト

全部は無理でも、上から順に手をつければ、今回突かれた経路の多くをふさげます。

今週中に（費用ほぼゼロ）

  • 管理者アカウントをパスキーに切り替える
  • メールの外部への自動転送を禁止し、知らない転送ルールがないか点検する
  • 外部アプリへの権限付与を管理者の承認制にする
  • 退職者・使っていないアカウントを止める

今月中に

  • 使っているソフト・クラウドサービスの一覧を作る（周辺ツールも含めて）
  • 修正版が出たら何日以内に当てるかを決める
  • 社内でしか使わない管理画面・ツールを、外から見えないようにする
  • VPN機器を最新にし、その後パスワードを変える

次の契約更新までに

  • 委託先・SaaSに預けているデータを棚卸しし、不要なものを消してもらう
  • 委託先に「他社と同じサーバーに同居しているか」「事故の連絡は何時間以内か」を確認する
  • ネットから切り離したバックアップを用意する

自分の情報が漏れたかもしれない人へ

漏えいの次に来るのは、漏れた氏名や電話番号を使った「本物っぽい」詐欺の連絡です。すでに実害も出ていて、infoQでは会員611件分、約287万円分のポイントがAmazonギフトコードに勝手に交換されました。

  • メールやSMSのリンクから手続きしない。 「流出の確認はこちら」「パスワードを再設定してください」は、まず疑います。公式アプリかブックマークから開きます。
  • 名前を知っている電話でも信用しない。 名前や口座番号を知っていることは、本物の会社である証明になりません。認証コードや暗証番号は絶対に伝えません。
  • 同じパスワードを使い回していたら、ほかのサービスも変える。
  • ポイントや残高の履歴を見る。 カード情報が漏れていなくても、ポイントはお金と同じ価値があります。
  • 「退会したから関係ない」と思わない。 タイムズカーや第一生命では、退会者・退職者も対象に含まれています。

追記（10月12日）：国の機関が手口を公表した

この記事を出した翌日から、国の機関が相次いで注意喚起を出しました。10月7日に個人情報保護委員会、8日にJPCERT/CC、9日にIPA・国家サイバー統括室・経済産業省・総務省・金融庁と続いています。

JPCERT/CCが示した4つの手口

JPCERT/CC（国内のセキュリティ事故の連絡・調整を担う組織）は、実際に確認された手口を4つに分けて公表しました。

  • 既知の穴を探して突く。 相手ごとに、使っているソフトの古い穴を調べて試します。設定ファイルやバックアップファイルを盗もうとする動きもあります。
  • APIを使って不正に操作する。 公開しているスマホアプリを解析して、APIの入口や鍵を割り出します。画面からは使えない内部のAPIを直接呼び出して、権限を書き換えたり、勝手にアカウントを作ったりします。ほかで盗んだAPIの鍵が使われた例もあります。
  • 分析ツールMetabaseの穴を突く。 本文の表にあるLEAN BODYと同じ系統です。
  • 公開サーバーの奥にあるサーバーに、遠隔操作用のプログラムを置く。

注意喚起は、一般向けのアプリだけでなく、BIツールや従業員向けの管理システムなど「社内向けのシステム」も被害に遭っていると明記しています。ケース1で「周辺のソフトが狙われている」と書いたのと同じ状況です。

国が勧める対策は、本文とほぼ同じ

JPCERT/CCとIPAが挙げた対策は、この記事のケース別対策とほぼ重なります。

  • 修正版（アップデート）を当てる
  • 業務で使わない管理機能を、インターネットに出さない
  • APIに回数の上限をかけ、画面から使わないAPIにもアクセス制限をかける
  • 保存期間を過ぎたデータ、使い終わったデータを残さない

IPAはさらに、経営者に向けて「そのデータを持ち続けるべきか」から見直すよう求めています。新しい特効薬は出てきていません。基本の抜けをふさぐ、という結論は変わりません。

その後の続報

  • i-ask（委託先）の被害企業が増えました。 大和証券・シチズン時計に続いて、損保ジャパン（10月7日、延べ約6万件。業務用ドライブレコーダーの問い合わせ窓口）、オリックス生命（10月8日、延べ約2万6,500件。問い合わせ内容に医療情報が含まれる場合がある）が公表しました。最大5社のうち4社が分かったことになります。
  • タイムズカーは、本人確認書類を7年間保管していました。 親会社のパーク24は、問い合わせ対応のために「独自判断で7年間保管」していたと説明しています。専門家からは、本人確認をした時点で消すべきだったという指摘も出ています（時事通信）。ケース3の「預けるデータを減らし、期限を決めて消す」は、自社で持っているデータにもそのまま当てはまります。
  • 侵入経路は、まだ多くが分かっていません。 10月12日時点で確認できた範囲では、焼肉きんぐとタイムズカーは経路を公表していません。ショップサーブ（Eストアー）も、8月2日の第2報が最新で、その後の発表はありません。
  • 新しい大型事案も続いています。 ローソン（10月8日、ローソンID 215万5,345件）とブックオフ（10月9日、最大約643万件。会員番号の件数で、人数ではありません）です。ブックオフは「脆弱性を是正した」と公表していますが、どの脆弱性かは出ていません。

追記（11月5日）：経路が分かったものと、新しい大型事案

10月12日の追記から3週間あまりで、続報と新しい公表がさらに続きました。ここでは、当事者の公表文や国の機関の資料で中身を確かめられたものだけを書きます。

経路が分かったもの

  • ショップサーブ（Eストアー）： 10月16日の最終報で、経路は「当社サーバー上で稼働するアプリケーションの脆弱性を悪用」と公表されました。対象は約2,336万人（名寄せ後の概数）、そのうちカード情報の一部を含むのが約210万人、店舗は7,858店です。第2報の885万3,839件は、重複を含む数字でした。
  • タイムズカー： 10月23日の第5報で、原因を「Webシステムに存在した脆弱性が悪用された」と公表しました。外に送られた痕跡がある本人確認書類の画像は、約146万件です。画像は確認が済んだらすぐ消す運用に変え、持っている画像は10月末までに全部消すとしています。
  • infoQ： 持ち出されたのは89万4,082件と確定しました。経路は第1報と同じ「ソフトウェアの脆弱性」です。
  • 損保ジャパン： i-ask とは別の委託先で、また被害が出ました（11月5日、約6.5万件の可能性）。原因は「システムへのアクセス制御」と「認証情報の管理」の設定の不備と報告されています。

一方で、ブックオフ（人数は638万3,279人と確定）は経路の公表を差し控えています。焼肉きんぐも、再発防止策は出しましたが、経路はまだ書いていません。

新しい大型事案

10月12日から11月5日までに公表されたもののうち、10万件を超え、当事者の公表文で確認できたものです（公表日順）。

公表日 組織・サービス 件数（公表どおり） 侵入の経路（公表どおり）
10/14 アエナ 閲覧の可能性 最大81万7,215人 機械的な連続アクセス
10/15 ソースネクスト 2,251万9,960件（パスワードを含む） 会員情報を取り出すAPIを不正に利用
10/16 日本経済新聞社 約183万件（うち個人情報 約15万件） クラウドサービスに入るための認証情報を盗まれた
10/16 ファンケル・アテニア 36万8,184名・41万7,312名 通販サイトの機能（詳細は非公表）
10/19 H2O リテイリング H2O ID 約126万件 予約サイトを経由して顧客管理システムへ（調査中）
10/20 GETTIIS 会員ID 31万7,971件 チケット販売の仕組みの脆弱性
10/21 リクルート（カーセンサーnet ほか） 最大370万9,551件 非公表
10/26 ユミルリンク（メール配信） 49システムで延べ約5,163万件（調査中） ライブラリの脆弱性。その後、担当者の認証情報を取られて広がった
10/27 So-net・plala 214万1,986件・44万3,495件 調査中
10/28 花キューピット 423万8,242件（可能性） 非公表
10/29 NEL（osina） 23万5,329人 データ分析ツールの脆弱性
11/2 アララ（メール配信） メールアドレス 約7,700万件（精査中。人数ではありません） Webサーバーの脆弱性と環境の問題。管理画面に不正ログイン
11/2 ノジマ 約700万件 非公表
11/2 プレステージ・インターナショナル 最大約550万件（重複を含む） 調査中。盗まれた認証情報を止めたあとも不正アクセスが続いた

このほかにも、報道ベースでは10万件を超える公表がまだ何十件もあります。

目立ってきたのは「メール配信の委託先」

今回新しく目立ったのは、メール配信サービスの会社が破られた事案です。ユミルリンクとアララの2社で、アララの契約企業は最大約380社にのぼります。

メールマガジンや通知メールの配信は、多くの会社が外の会社に預けている仕事です。その1社が破られると、預けていた会社がまとめて巻き込まれます。自社のサイトやシステムが無事でも、「漏えいしました」と公表する側に回ることになります。

ここで効くのは、本文のケース3と同じ対策です。メール配信の会社に、メールアドレス以外の情報（氏名や購入履歴など）まで渡していないか。配信が終わった古いリストを、向こうに残したままにしていないか。一度確かめておくと安心です。

国の機関の動き

  • JPCERT/CC（10月23日更新）： 先の注意喚起に、AIを使った攻撃用の道具が悪用されている手口を追加しました。設定ファイルを盗もうとする動きも、引き続き書かれています。
  • IPA（10月16日）： 企業・組織向けに「不正アクセス特別相談窓口」を開きました。
  • 個人情報保護委員会（10月28日）： 4月1日から10月16日までの、不正アクセスによる漏えい等の報告は延べ約2億6,000万人分。10月は16日までで830件と、9月（303件）の倍を大きく超えています。安全管理のガイドラインに載せる対策の例を見直す時期も、前倒しするとしています。

経路が分かったものは、ソフトの脆弱性、盗まれた認証情報、APIの不正利用、委託先でした。本文の経路の分け方から外れるものは出てきていません。新しい特効薬もありません。基本の抜けをふさぐ、という結論は今回も変わりません。

引き続き、続報で経路が分かったものから追記します。

おわりに

今回の公表ラッシュで分かったのは、大きな会社でも「修正版を当てる」「ログインを強くする」「預けたデータを消す」という基本の抜けから入られている、ということです。逆に言えば、規模の小さい会社でも同じ基本で守れる部分が大きいということでもあります。

なお、大型事案の多くはまだ調査中です。この記事は2026年10月6日時点の公表内容にもとづいて書き、10月12日に国の注意喚起と続報を、11月5日に経路の続報と新しい大型事案を追記しました。続報で経路が判明したら、さらに追記していきます。

出典

関連するコラム:

自社のサイトやシステムの点検を相談したい方へ。診断結果の読み解きから、 直す順番、制作・保守会社との調整まで伴走します。

無料相談を申し込む

まず中身を知りたい方はサイトセキュリティ伴走サポートの内容現場開発プラン（FDE）現場アプリ内製化ブートキャンプ導入事例：システムパック株式会社・豊前市のパン屋「ぱんのこ」

セキュリティ情報漏えいパスキーランサムウェア中小企業
Author
遠藤 友治

フォワード フィールド テクノロジーズ株式会社 代表取締役。 1996年から業務システムの保守・開発に従事。官公庁・保険・製造業を経て、2007年からコンサルティング会社の開発部門を統括。2026年にFFTを創業。一般社団法人日本生成AI推進協会 技術部長。

著者の経歴・開発実績を見る
← コラム一覧へ
どちらのプランか
決めきれなくても大丈夫ですまず30分、話す