脆弱性の悪用の情報漏洩まとめ（43件）
攻撃が成立する流れ
- 攻撃者はインターネットに公開された機器やサーバーを自動で探し、ソフトウェアの種類とバージョンを調べる
- 公表済みの脆弱性の修正（アップデート）が当たっていないものを見つける
- 脆弱性を突き、認証なしで命令を実行したり、管理者として入ったりする
- 入った後に、データを読み出す、またはランサムウェアなどを仕掛ける
起きやすい条件
- 修正が公開されてから適用するまでに時間がかかる
- サポートが終わった機器やソフトウェアを使い続けている
- 管理していない機器がインターネットに公開されている
事案一覧（43件）
| 公表日 | 組織・サービス | 分類・確認状況 | 公表規模 |
|---|---|---|---|
| 2026/10/13 | 株式会社Fivot キャッシュレスアプリ「IDARE」 | A 外部攻撃 漏えい確認 | 129,659人（2026年9月27日までの登録者。退会者を含む） |
| 2026/10/09 | ブックオフグループホールディングス | A 外部攻撃 漏えい確認 | 6,383,279人（会員データ6,427,735件） |
| 2026/10/09 | 琉球大学 産学官連携Webサイト | A 外部攻撃 漏えいなし・サービス改ざん | 非公表 |
| 2026/10/09 | ココナラ ココナラスキルマーケット | A 外部攻撃 漏えい確認 | 履歴書449件、職務経歴書関連書類1,845件 |
| 2026/10/08 | アドベンチャー 旅行予約サイト「skyticket」 | A 外部攻撃 漏えい確認・漏えいのおそれ | (1)約1,464万件（うちハッシュ化パスワード約413万件） (2)17,780件（重複含む・一部調査中） (3)予約 約12,000件 |
| 2026/10/08 | ユーザベース 「NewsPicks」 | A 外部攻撃 漏えいのおそれ | メールアドレス最大32.3万件、氏名5.9万件、クレジットカード情報の一部36.2万件ほか、取引先窓口122件 |
| 2026/10/08 | ワラウ（株式会社オープンスマイル） | A 外部攻撃／流出確認（期限切れ連携情報） | 非公表 |
| 2026/10/07 | 埼玉県 渋沢MIX 管理システム | A 外部攻撃 閲覧確認（窃取・不正利用は未確認） | 約2,200名（うち3名は詳細情報も閲覧） |
| 2026/10/06 | ナカバヤシ 新卒採用（ApplyNow利用分） | A 外部攻撃 漏えいのおそれ | 1,826件 |
| 2026/10/05 | GMOリサーチ＆AI（infoQ） | A 外部攻撃 個人情報の外部持ち出し確認／ポイント不正交換確認／調査継続 | 最大948,498件（保有個人情報全件、10月5日時点）；ポイント不正交換611件・2,869,500円 |
| 2026/10/05 | モンブランホテル ラフィネ名古屋駅前（TEMAIRAZU不正アクセス） 予約管理システム「TEMAIRAZU」 | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/10/02 | ワンダーテーブル（ApplyNow不正アクセス） アルバイト採用の採用管理サービス | A 外部攻撃 漏えい確認 | 資料に明記なし |
| 2026/09/27 | スターツ出版 「オズモール」 | A 外部攻撃 漏えいのおそれ | メールアドレス最大447,610名分（9/27初報）。10/01第2報の数値は報道で最大442,779人（公式本文は未照合） |
| 2026/09/25 | スマレジ スマレジEC・リピート／スマレジEC・B2B | A 外部攻撃 閲覧・取得の可能性 | 利用企業4社の環境（人数非公表） |
| 2026/09/18 | JGC Digital（日揮ホールディングス子会社） アザス、するーぷ | A 外部攻撃 漏えい確認 | 約6万件（アザス約4万件、するーぷ約2万件） |
| 2026/09/16 | Helpfeel／Gyazo | A 外部攻撃 ユーザー情報・画像メタデータ漏えい確認／画像閲覧の可能性は調査中 | ユーザーデータ約2,362万件（匿名約1,801万件、メール登録あり約562万件）、画像メタデータ約4.9億件＋240万件＋削除済み約1.74億件。件数は画像ファイル流出数・実人数ではない。 |
| 2026/09/16 | 大興印刷 「PhotoGoods」 | A 外部攻撃（カード情報窃取） 漏えいのおそれ | 資料に明記なし |
| 2026/09/15 | LEAN BODY 社内のデータ分析ツール「Metabase」 | A 外部攻撃 漏えい確認 | 約44万アカウント（退会者を含む） |
| 2026/09/11 | デジタル庁 GSS | A 外部攻撃 漏えいの可能性 | 約24.6万件（人数ではない） |
| 2026/09/09 | きちりホールディングス（子会社 ApplyNow） 採用管理プラットフォーム「Interview Cloud」「ApplyNow」「ApplyNow Sign」 | A 外部攻撃 漏えいのおそれ | 調査中 |
| 2026/09/04 | アップ（ベネッセグループ） 「洛西進学教室」「進学館」サイト | A 外部攻撃 漏えいのおそれ | 13名（応募者10名、従業員3名） |
| 2026/08/28 | ナカバヤシ 製品紹介サイト「REVEX」 | A 外部攻撃 漏えいのおそれ | 3,631件 |
| 2026/08/27 | 株式会社クー | A 外部攻撃 漏えい確認 | メールアドレス2,255件 |
| 2026/08/27 | チューリッヒ保険会社 Z-Dash（ドライブレコーダーデータのアップロード用システム） | A 外部攻撃 漏えいの可能性 | 最大1,668名（2026/08/27時点） |
| 2026/08/22 | 環境機器 通販サイト「虫退治ドットコム」 | A 外部攻撃（カード情報窃取） 漏えいのおそれ | 15名（うちカード情報6名） |
| 2026/08/18 | VOISING BIツール（アカウントサービス、ファンコミュニティ、オンラインストア） | A 外部攻撃 漏えい確認 | 約17万件 |
| 2026/08/17 | GHP クラブチャペルホテルズ公式HP | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/08/12 | ホワイトエッセンス 予約サイト・基幹システム（審美歯科チェーン） | A 外部攻撃 漏えい確認 | 約105万アカウント（顧客のほか加盟院関係者・本部社員等を含む全体数） |
| 2026/08/10 | 公益財団法人日産財団 Webサイト | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/08/04 | 学研メディカルサポート Web制作事業部が管理するWordPressサイト | A 外部攻撃 （個人情報・問合せ情報の流出は現時点で未確認） | 78サイト |
| 2026/07/29 | シー・コネクト 「インク革命」 | A 外部攻撃（カード情報窃取） 漏えいの可能性 | 24,166件 |
| 2026/07/27 | ファイン ファインオンラインショップ | A 外部攻撃 流出の可能性 | 912件 |
| 2026/07/24 | ムラウチドットコム 社内システム | A 外部攻撃 漏えい | 7,716,811件（9/15第二報。報道値、公式PDF本文は未照合） |
| 2026/06/30 | ピックルボールワン pickle-one.com | A 外部攻撃 漏えいのおそれ | 最大 約1,853名 |
| 2026/06/23 | KDDI（KDDI ISP向けメールシステム事案） ISP事業者向けメールシステム | A 外部攻撃（第三者製ソフトウェアのゼロデイ脆弱性悪用） 漏えい確認 | メールアドレス12,231,954名（うちパスワード7,616,173名） |
| 2026/06/23 | ニフティ（KDDI ISP向けメールシステム事案） @nifty メール | A 外部攻撃 漏えい確認 | メールアドレス2,248,708件（うちパスワード1,862,462件） |
| 2026/06/23 | ビッグローブ（KDDI ISP向けメールシステム事案） BIGLOBE メール | A 外部攻撃 漏えい確認 | 5,016,432人（うちパスワード4,631,775人） |
| 2026/06/15 | 株式会社佐嘉平川屋 | A 外部攻撃 漏えいの可能性 | 個人情報73,213件（30,170人）、カード6,303件（5,783人） |
| 2026/05/27 | アイコムソフト Webサイト・メールサーバ | A 外部攻撃 漏えいのおそれ | 資料に明記なし |
| 2026/05/21 | ソディック | A 外部攻撃 漏えいのおそれ | 非公表 |
| 2026/05/11 | 新日本検定協会 | A 外部攻撃（ランサムウェア） 漏えいのおそれ | 業務関連の関係者 約30,000件、従業員・退職者等 約300件、採用候補者 約50件 |
| 2026/04/28 | 内閣府 沖縄総合事務局 大容量ファイル転送サービス「FileZen」専用サーバ | A 外部攻撃 漏えいのおそれ | 15,091人（報道値。公式PDF本文は未照合） |
| 2026/04/17 | ホワイトエッセンス 歯科衛生士転職サイト「メグリー」 | A 外部攻撃 漏えいのおそれ | 非公表 |