脆弱性の悪用の被害を公表した企業一覧（95件）・攻撃の流れと起きやすい条件
修正されていない弱点を突かれ、VPN機器やサーバーから侵入される。公式資料に脆弱性の悪用にあたる記載がある事案を95件、公表日の新しい順に掲載しています。公表規模の大きい事案：Helpfeel／Gyazo、Eストアー、アドベンチャー、KDDI、ユミルリンク、ムラウチドットコム、タイムズモビリティ／タイムズカー、ブックオフグループホールディングス、ビッグローブ、リンツ＆シュプルングリージャパン。
攻撃が成立する流れ
- 攻撃者はインターネットに公開された機器やサーバーを自動で探し、ソフトウェアの種類とバージョンを調べる
- 公表済みの脆弱性の修正（アップデート）が当たっていないものを見つける
- 脆弱性を突き、認証なしで命令を実行したり、管理者として入ったりする
- 入った後に、データを読み出す、またはランサムウェアなどを仕掛ける
起きやすい条件
- 修正が公開されてから適用するまでに時間がかかる
- サポートが終わった機器やソフトウェアを使い続けている
- 管理していない機器がインターネットに公開されている
事案一覧（95件）
| 公表日 | 組織・サービス | 分類・確認状況 | 公表規模 |
|---|---|---|---|
| 2026/10/24 | チャリ・ロト 競輪・オートレースの投票サービス「チャリロト」アプリ | A 外部攻撃 漏えい確認 | 373名（チャリカ会員の一部） |
| 2026/10/23 | バリューデザイン（ペイクラウドホールディングス子会社） ハウス電子マネー発行サービス「Value Card」のサーバー | A 外部攻撃 漏えい確認 | 1,424,748件（発行済ID 569,224件、未発行ID 855,524件。個人情報は該当なし） |
| 2026/10/23 | トレジャー・ファクトリー 「出張買取」「トレファク引越」の案件管理システム | A 外部攻撃 漏えい確認 | お客様情報746,277件、取引先業者・従業員等750件、端末情報1,000件 |
| 2026/10/23 | リンツ＆シュプルングリージャパン（futureshop不正アクセス） オンラインショップ・Lindt公式アプリの共通会員アカウント | A 外部攻撃 漏えい確認 | 3,147,469件（2026/10/18 0時16分時点で退会済みの会員は含まない） |
| 2026/10/23 | フューチャーショップ SaaS型ECプラットフォーム「futureshop」のサーバー（利用店舗1店舗の会員情報） | A 外部攻撃 漏えい確認 | 3,147,469件（1店舗） |
| 2026/10/23 | グッドスマイルカンパニー ECサイト「グッドスマイルカンパニー公式ショップ」 | A 外部攻撃 漏えい確認 | 非公表 |
| 2026/10/23 | モニクルリサーチ（Studio不正アクセス） 旧コーポレートサイト（ナビゲータープラットフォーム時代）のお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 1,487件（807名）（2021/2/22〜2024/9/3の送信分） |
| 2026/10/22 | SmartHR（Studio不正アクセス） グループ5社（SmartHR・Smart相談室・AIRVISA・BYARD・Looper）のウェブサイトのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 2,012名（2026年10月22日時点） |
| 2026/10/22 | バルテック お客様向けWEBサービス（MOT/HG（MOT/Cloud）、WEB予約、MOT/Hotel、MOT勤怠管理、POSシステムなど） | A 外部攻撃 漏えいのおそれ（調査中） | 調査中 |
| 2026/10/22 | KOMOJU 決済プラットフォーム「KOMOJU」の決済システム・社内管理画面・業務用CRMシステム | A 外部攻撃 漏えい確認 | 個人データ約4,100件（KOMOJU決済システム）。CRMシステム分は調査中 |
| 2026/10/22 | ReFact（Studio不正アクセス） 事業者向けサービス紹介サイト（「ヌリカエ」「リフォスム」「Budii」）と「サイアタック」営業配信メールのフォーム | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/10/22 | ThinQ Healthcare（Studio不正アクセス） 「コンプル」「WorQ」の製品紹介サイトのフォーム | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/10/22 | 長野県（Studio不正アクセス） 長野県デジタル化一貫支援サイト・賃上げ・業務改善支援センター（Bizサポ）・NAGANOスカウトマッチ！のフォーム（受託事業者が利用） | A 外部攻撃 漏えいのおそれ | 341件（デジタル化一貫支援152件、賃上げ環境整備支援177件、スカウト型マッチング12件） |
| 2026/10/21 | フューチャーショップ SaaS型ECサイト構築プラットフォーム「futureshop」のサーバー（c02、c05、c12、g06） | A 外部攻撃 調査中（現時点で購入者の個人情報の流出は確認されていない） | 調査中（対象サーバー4台。c02はトライアル用環境） |
| 2026/10/21 | ONE FUKUOKA HOTEL（Studio不正アクセス） 開業前ティザーサイトのフォーム（メールマガジン登録・宴会・会議のお問い合わせなど） | A 外部攻撃 漏えいのおそれ | 252名 |
| 2026/10/21 | CINRA（Studio不正アクセス） コーポレートサイトのフォーム（作企画のご依頼、ご提案・営業、採用やその他のお問い合わせ、ニュースレター登録） | A 外部攻撃 漏えいのおそれ | 6,323件（同じ人の複数回送信を含む。フォームに保存されていた全件数で、流出が確定した件数ではない） |
| 2026/10/21 | 山梨県（Studio不正アクセス） 「やまなしキャリアアップ・ユニバーシティ（CUU）」の講座申込専用ページ・相談窓口ページ、社会人基礎力養成講座の申込・問い合わせフォーム（受託事業者が利用） | A 外部攻撃 漏えいのおそれ | CUU 323名（講座申込 299名・272社、相談窓口 24名・24社）、社会人基礎力養成講座 16名（無償受講申込 8名、問い合わせ 8名） |
| 2026/10/20 | Schoo（Studio不正アクセス） enpeer（Schoo for Business）・Schoo Swing・リスキリング関連事業（公開型ゼミ等）・オンラインセミナー・LoLLL キャリア・LoLLL ビルドのWebサイトのフォーム | A 外部攻撃 漏えいのおそれ | 延べ2,936件（対象者は約2,600名） |
| 2026/10/20 | アイドマ・ホールディングス 在宅ワーク求人サイト「ママワークス」 | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/10/20 | ピックルボールワン（Studio不正アクセス） 旧社名ピックルボールジャパンの旧Webサイト、同社旧Webサイト、PICKLEBALL ONE GINZA SHIMBASHI、採用サイト、コーポレートサイトのフォーム | A 外部攻撃 漏えいのおそれ | 計1,959件（7フォームの送信件数。同じ人の複数回送信を含む） |
| 2026/10/19 | Voicy（Studio不正アクセス） パーソナリティ応募フォーム・法人向けお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | フォーム送信15,088件（応募14,927件、法人問い合わせ161件） |
| 2026/10/19 | 羅針盤（Studio不正アクセス） Japan Wonder Travel・TOUR GUIDE RECRUITMENT・COMPASS STAYのお問合せフォーム | A 外部攻撃 漏えいのおそれ | 2,129件（2026年10月16日時点） |
| 2026/10/19 | メディアリンク（Studio不正アクセス） AIto・MediaVoice オートコール・DXでんわのサイトのフォーム | A 外部攻撃 漏えいのおそれ | 延べ901件 |
| 2026/10/19 | Awarefy（Studio不正アクセス） コーポレートサイト・サービスページのフォーム | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/19 | YAMAGATA（Studio不正アクセス） コーポレートサイトの相談・問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 最大1,463件 |
| 2026/10/19 | ユミルリンク メール配信サービス「Cuenote FC」 | A 外部攻撃 漏えい | メールアドレスを含む情報 延べ約900万件（同社試算） |
| 2026/10/19 | リンクステーション チケット購入サービス「GETTIIS」（主催者向け公演登録サービス「Gettii-Lite」のサーバー） | A 外部攻撃 漏えい確認 | 会員ID 317,971件（項目別件数。合計人数ではない） |
| 2026/10/19 | ユーザベース（Studio不正アクセス） Studioで作成・運営していたWebサイトのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/19 | 芦屋学園 学内システム | A 外部攻撃 漏えいのおそれ（調査中） | 調査中 |
| 2026/10/19 | アクティブリテック（Studio不正アクセス） 「digitaltwin.active-rt.com」「paamo.active-rt.com」のお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 147件（digitaltwin 134件、paamo 13件） |
| 2026/10/19 | 南房タクシー（Studio不正アクセス） Webサイトのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/19 | フーディソン（Studio不正アクセス） コーポレートサイトのお問い合わせフォーム（取材・メディア掲載、各サービス・その他、採用、IR、資本提携・会社売却の相談） | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/17 | 東北電力フロンティア（Studio不正アクセス） イベント関連Webサイトの問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 延べ182件 |
| 2026/10/17 | スマートラウンド（Studio不正アクセス） 問い合わせ、SOC2報告書の開示申込フォーム | A 外部攻撃 漏えいのおそれ | 1,371件・約1,050名 |
| 2026/10/16 | Studio株式会社 Web制作プラットフォーム「Studio」 | A 外部攻撃 漏えいのおそれ | 全登録顧客（件数は精査中） |
| 2026/10/16 | Luup（Studio不正アクセス） Webサイトのフォーム（ポート設置リクエスト・Unimo問い合わせ・改正道路交通法の質問・ポート設置相談） | A 外部攻撃 漏えいのおそれ | 合計21,368件（重複送信を含む） |
| 2026/10/16 | 南日本放送（Studio不正アクセス） 「動き出す浮世絵展」ほか4サイトの応募・問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 38件（鹿児島市「デジタルの日」5件を含む） |
| 2026/10/16 | SIGQ（Studio不正アクセス） コーポレートサイト・「Incident Lake」サービスサイトのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/16 | ワサビ 「WASABI SWITCH」 | A 外部攻撃 漏えい確認 | 調査中 |
| 2026/10/16 | かるがもクリニック（Studio不正アクセス） ホームページのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/10/16 | LastResort（Studio不正アクセス） 当社Webサイトのお問い合わせフォーム | A 外部攻撃 漏えいのおそれ | 調査中 |
| 2026/10/16 | waypoint venture partners（Studio不正アクセス） ホームページのお問い合わせ・調査レポートダウンロードのフォーム | A 外部攻撃 漏えいのおそれ | 334名 |
| 2026/10/13 | 株式会社Fivot キャッシュレスアプリ「IDARE」 | A 外部攻撃 漏えい確認 | 129,659人（2026年9月27日までの登録者。退会者を含む） |
| 2026/10/13 | JR九州フードサービス（トイポ不正アクセス） 顧客管理アプリ「トイポアプリ」 | A 外部攻撃 漏えい確認 | 約26,900名（会員約61,500名のうち） |
| 2026/10/13 | 京都教育大学 学科・附属学校の6サイト | A 外部攻撃 サービス停止（漏えいは確認されていない） | 非公表 |
| 2026/10/09 | ブックオフグループホールディングス | A 外部攻撃 漏えい確認 | 6,383,279人（会員データ6,427,735件） |
| 2026/10/09 | 琉球大学 産学官連携Webサイト | A 外部攻撃 漏えいなし・サービス改ざん | 非公表 |
| 2026/10/09 | ココナラ ココナラスキルマーケット | A 外部攻撃 漏えい確認 | 履歴書449件、職務経歴書関連書類1,845件 |
| 2026/10/08 | アドベンチャー 旅行予約サイト「skyticket」 | A 外部攻撃 漏えい確認・漏えいのおそれ | (1)約1,464万件（うちハッシュ化パスワード約413万件） (2)17,780件（重複含む・一部調査中） (3)予約 約12,000件 ほかにskyticketプレミアム利用者のカード情報 最大6,140名 |
| 2026/10/08 | ユーザベース 「NewsPicks」 | A 外部攻撃 漏えいのおそれ | メールアドレス最大32.3万件、氏名5.9万件、クレジットカード情報の一部36.2万件ほか、取引先窓口122件 |
| 2026/10/08 | ワラウ（株式会社オープンスマイル） | A 外部攻撃／取得確認（連携トークン）・会員情報の取得の可能性 | 非公表 |
| 2026/10/07 | 埼玉県 渋沢MIX 管理システム | A 外部攻撃 閲覧確認（窃取・不正利用は未確認） | 約2,200名（うち3名は詳細情報も閲覧） |
| 2026/10/06 | ナカバヤシ 新卒採用（ApplyNow利用分） | A 外部攻撃 漏えいのおそれ | 1,826件 |
| 2026/10/05 | GMOリサーチ＆AI（infoQ） | A 外部攻撃 個人情報の外部持ち出し確認／ポイント不正交換確認／調査継続 | 894,082件（外部持ち出しの確定値、10月14日時点）；ポイント不正交換611件・2,869,500円 |
| 2026/10/05 | モンブランホテル ラフィネ名古屋駅前（TEMAIRAZU不正アクセス） 予約管理システム「TEMAIRAZU」 | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/10/02 | ワンダーテーブル（ApplyNow不正アクセス） アルバイト採用の採用管理サービス | A 外部攻撃 漏えい確認 | 資料に明記なし |
| 2026/09/27 | スターツ出版 「オズモール」 | A 外部攻撃 漏えいのおそれ | メールアドレス最大447,610名分（9/27初報）。10/01第2報の数値は報道で最大442,779人（公式本文は未照合） |
| 2026/09/25 | タイムズモビリティ／タイムズカー | A 外部攻撃 漏えい確認 | 6,628,007件（タイムズカーWebシステム。うち暗号化された本人確認書類画像の外部送信の痕跡1,464,800件、アクセスのみの痕跡891,602件）。タイムズクラブWebシステムでも連携サービスID135,436件、タイムズクラブカード番号19,510件などが外部送信 |
| 2026/09/25 | スマレジ スマレジEC・リピート／スマレジEC・B2B | A 外部攻撃 閲覧・取得の可能性 | 利用企業4社の環境（人数非公表） |
| 2026/09/18 | JGC Digital（日揮ホールディングス子会社） アザス、するーぷ | A 外部攻撃 漏えい確認 | 約6万件（アザス約4万件、するーぷ約2万件） |
| 2026/09/16 | Helpfeel／Gyazo | A 外部攻撃 ユーザー情報・画像メタデータ漏えい確認／特定ユーザー133名の画像ファイル432件の閲覧・取得確認 | ユーザーデータ約2,362万件（匿名約1,801万件、メール登録あり約562万件）、画像メタデータ約4.9億件＋240万件＋削除済み約1.74億件。件数は画像ファイル流出数・実人数ではない。特定ユーザー133名が所有する画像ファイル432件（10/21第三報）。 |
| 2026/09/16 | 大興印刷 「PhotoGoods」 | A 外部攻撃（カード情報窃取） 漏えいのおそれ | 資料に明記なし |
| 2026/09/15 | LEAN BODY 社内のデータ分析ツール「Metabase」 | A 外部攻撃 漏えい確認 | 約44万アカウント（退会者を含む） |
| 2026/09/11 | デジタル庁 GSS | A 外部攻撃 漏えいの可能性 | 約24.6万件（人数ではない） |
| 2026/09/09 | きちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」 | A 外部攻撃 漏えい確認 | 約39万人（うちApplyNow Sign利用者約3万人。外部機関の調査結果で確定予定） |
| 2026/09/04 | アップ（ベネッセグループ） 「洛西進学教室」「進学館」サイト | A 外部攻撃 漏えいのおそれ | 13名（応募者10名、従業員3名） |
| 2026/08/28 | ナカバヤシ 製品紹介サイト「REVEX」 | A 外部攻撃 漏えいのおそれ | 3,631件 |
| 2026/08/27 | 株式会社クー | A 外部攻撃 漏えい確認 | メールアドレス2,255件 |
| 2026/08/27 | チューリッヒ保険会社 Z-Dash（ドライブレコーダーデータのアップロード用システム） | A 外部攻撃 漏えいの可能性 | 最大1,668名（2026/08/27時点） |
| 2026/08/22 | 環境機器 通販サイト「虫退治ドットコム」 | A 外部攻撃（カード情報窃取） 漏えいのおそれ | 15名（うちカード情報6名） |
| 2026/08/18 | VOISING BIツール（アカウントサービス、ファンコミュニティ、オンラインストア） | A 外部攻撃 漏えい確認 | 約17万件 |
| 2026/08/18 | 原田産業 ECサイト「ビールの縁側」 | A 外部攻撃 漏えいのおそれ（調査中） | 9名（カード情報を含む。その他の影響範囲は調査中） |
| 2026/08/17 | GHP クラブチャペルホテルズ公式HP | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/08/12 | ホワイトエッセンス 予約サイト・基幹システム（審美歯科チェーン） | A 外部攻撃 漏えい確認 | 約105万アカウント（顧客のほか加盟院関係者・本部社員等を含む全体数） |
| 2026/08/10 | 公益財団法人日産財団 Webサイト | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/08/04 | 学研メディカルサポート Web制作事業部が管理するWordPressサイト | A 外部攻撃 （個人情報・問合せ情報の流出は現時点で未確認） | 78サイト |
| 2026/08/01 | Eストアー ショップサーブ | A 外部攻撃 漏えい | 約23,356,000人（うちカード情報の一部を含む 約2,096,900人）、対象店舗 7,858店 |
| 2026/07/31 | セントラルコンサルタント コーポレートサイト | A 外部攻撃 漏えいの可能性（漏えいは未確認） | 非公表（影響範囲確認中） |
| 2026/07/29 | シー・コネクト 「インク革命」 | A 外部攻撃（カード情報窃取） 漏えいの可能性 | 24,166件 |
| 2026/07/27 | ファイン ファインオンラインショップ | A 外部攻撃 流出の可能性 | 912件 |
| 2026/07/24 | シーエスエム 社内ネットワーク | A 外部攻撃 漏えいは確認されていない（最終報告） | 非公表（調査中） |
| 2026/07/24 | ニデック 当社Webサイト | A 外部攻撃 漏えいの痕跡なし（最終報告） | 漏えいのおそれとした対象：会員約28,000名、問い合わせ者約4,500名（8/7公表）。最終報告で漏えいの痕跡は確認されず。 |
| 2026/07/24 | ムラウチドットコム 社内システム | A 外部攻撃 漏えい | 7,716,811件（9/15第二報。報道値、公式PDF本文は未照合） |
| 2026/06/30 | ピックルボールワン pickle-one.com | A 外部攻撃 漏えいのおそれ | 最大 約1,853名 |
| 2026/06/23 | KDDI（KDDI ISP向けメールシステム事案） ISP事業者向けメールシステム | A 外部攻撃（第三者製ソフトウェアのゼロデイ脆弱性悪用） 漏えい確認 | メールアドレス12,231,954名（うちパスワード7,616,173名） |
| 2026/06/23 | ニフティ（KDDI ISP向けメールシステム事案） @nifty メール | A 外部攻撃 漏えい確認 | メールアドレス2,248,708件（うちパスワード1,862,462件） |
| 2026/06/23 | ビッグローブ（KDDI ISP向けメールシステム事案） BIGLOBE メール | A 外部攻撃 漏えい確認 | 5,016,432人（うちパスワード4,631,775人） |
| 2026/06/15 | 株式会社佐嘉平川屋 | A 外部攻撃 漏えいの可能性 | 個人情報73,213件（30,170人）、カード6,303件（5,783人） |
| 2026/05/27 | アイコムソフト Webサイト・メールサーバ | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/05/21 | ソディック | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/05/11 | 新日本検定協会 | A 外部攻撃（ランサムウェア） 漏えいのおそれ | 業務関連の関係者 約30,000件、従業員・退職者等 約300件、採用候補者 約50件 |
| 2026/04/28 | 内閣府 沖縄総合事務局 大容量ファイル転送サービス「FileZen」専用サーバ | A 外部攻撃 漏えいのおそれ | 15,091人（報道値。公式PDF本文は未照合） |
| 2026/04/24 | キャネット 顧客マイページ | A 外部攻撃 漏えいのおそれ | 9,987名 |
| 2026/04/17 | ホワイトエッセンス 歯科衛生士転職サイト「メグリー」 | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/04/14 | STARTDASH Kyuun | A 外部攻撃 漏えいのおそれ | 39,267名 |