【2026年10月〜11月】情報漏洩まとめ｜アララメッセージ・ニトリ・MUJIなど主要事例と侵入経路

2026年10月末から11月上旬にかけて、情報漏洩の公表はさらに増えました。最大の事案は、メール配信サービス「アララメッセージ」への不正アクセスです。11月6日の第3報で、持ち出されたメールアドレスは重複を除いて81,329,467件（約8,100万件）と公表されました。契約企業は最大約380社と推計されており、三井住友銀行、ビックカメラ、アソビュー、TKCなどが自社の顧客への影響を相次いで発表しています。

単独の企業では、ニトリの最大3,762万件が最大です。良品計画は第二報で、MUJI Cardのカード番号（全桁）約109万件にもアクセスされた可能性があると明らかにしました。ロードサービスの受付を担うプレステージ、カードローンの保証会社であるSMBCコンシューマーファイナンスなど、利用者からは見えにくい委託先が入口になり、多くの企業に被害が広がった事例も目立ちます。11月6日には、政府が「サイバーセキュリティ緊急対策パッケージ」を決めました。

この記事では、2026年9月〜10月のまとめ記事に載せていない10月30日以降の公表分を中心に、各社・各機関の公式発表（2026年11月9日時点）をもとに整理します。どの企業で何が漏れたのかを一覧にし、事例に共通するパターンと、利用者がいま確認しておきたい対策をまとめます。

各社とも調査は続いており、件数や対象範囲は今後の続報で変わる可能性があります。最新情報は各社の公式発表で確認してください。

主な情報漏洩事例の一覧（2026年10月30日〜11月9日公表分）
アララメッセージ：持ち出されたメールアドレスは約8,100万件、契約企業は最大約380社
1. 配信を委託していた企業・自治体の公表が続く
ニトリ：最大3,762万件、注文データも対象
MUJI第二報：2021年まで連携していたMUJI Cardの番号が残っていた
大規模な会員情報：アイリスプラザ、ノジマ、クラブツーリズム、@cosme
委託先が入口になり、多くの企業に波及した事例
カード番号が狙われた事例：ロート製薬は電話の録音から
業務向けサービスと従業員の情報
保険・チケット・大学・行政でも
国の対応：11月6日に緊急対策パッケージを決定
侵入経路から見える特徴（考察）
事例に共通する3つのパターン
利用者がいまやるべき対策
まとめ：「影響なし」の第一報で安心しない
出典

主な情報漏洩事例の一覧（2026年10月30日〜11月9日公表分）

新しい公表日順（続報がある事案は最新の公表日）に並べました。一覧と本文は、各社・各機関の公式発表と当ブログの個別記事だけをもとにしています。件数の単位（件・人・名）は各社の発表に合わせています。同じ人の重複登録や1人が複数のメールアドレスを持つ場合があるため、件数と被害者の人数は一致しません。

公表日	企業・サービス	原因・手口	規模	主な対象情報
11/9	ニトリホールディングス	システムへの不正アクセス	最大3,762万件（流出の可能性）	氏名・住所・電話番号・メールアドレス・生年月日、ニトリネットなどの注文データ（パスワード・カード情報は対象外）
11/9	住友生命「Vitality」単独型サービス（NTTデータの受託システム）	受託システムへの不正アクセス	約8万名（うち約1,000名は一部をマスクしたカード番号も）	氏名、住所、電話番号、生年月日、メールアドレス
11/9	早稲田大学	個人情報を管理するシステムへの侵入	延べ3,342件	教職員番号、氏名、Wasedaメールアドレス、所属部署名、暗号化したパスワードなど
11/9	ラクスル	データ入稿の処理に関わるシステムへの不正アクセス（認証情報の不正取得）	集計中	印刷データ・請求書などに記載された氏名、会社名、住所、電話番号、メールアドレスなど
11/8	teket（電子チケット）	会員情報を管理するシステムへの不正アクセス	精査中	全会員の氏名・メールアドレス。一部は住所・電話番号・チケットの発券用コードなど
10/29〜11/6	アララメッセージ（第3報）	サービスのサーバーへの侵入、認証情報の不正使用	メールアドレス81,329,467件（重複を除く）。契約企業は最大約380社	メールアドレス。契約企業によっては氏名・生年月日・電話番号・住所など
11/6	TeamSpirit（チームスピリット）	開発用サーバーへの不正ログインと、保管していた認証情報によるクラウドからのデータ取得	28,824件（重複を除く。要配慮個人情報35件を含む）	利用企業の担当者の氏名・メールアドレス・ログインID、勤怠記録の一部、従業員の情報など
11/6	ロート製薬（電話通販）	電話システムのアカウントの不正利用	2,797,545人（うちカード番号・有効期限9,715人）	氏名・住所・電話番号、通話音声データ
11/6	三井住友海上「ご契約者さま専用ページ」	専用ページへの不正アクセス	約3.7万件	保険証券番号、氏名、住所、電話番号、メールアドレスなど
11/6	日本ネットワークセキュリティ協会（JNSA）	「情報セキュリティ理解度チェック」への不正アクセス	最大15,128件（漏えいの可能性）	管理者の氏名・企業名・メールアドレス、利用者のID・ハッシュ化したパスワード
11/6	ドトールコーヒー	社内システムの一部への不正アクセス	従業員・退職者951名（流出の可能性）	氏名、住所、電話番号、銀行口座番号など
11/6	沖縄銀行「チェキット」（LENDY債権回収経由）	督促委託先の補助システムへの不正ログイン	211名（流出の可能性）	氏名、電話番号、返済相談額、交渉内容など
11/6	タカラスタンダード（ピックゴー経由）	配送委託先の配車システムへの不正アクセス	約3,900件	配送先の名前・住所など（電話番号は対象外）
11/5・11/6	SMBCコンシューマーファイナンスと提携銀行	保証業務システムへの不正アクセス	最大320,118名（ドコモSMTBネット銀行は最大122,635人など）	氏名、住所、生年月日、電話番号、運転免許証番号、勤務先・年収、保証額など
11/2〜11/6	プレステージ（損保ジャパン、オリコ、チューリッヒ、2りんかんなど）	ロードサービス受付システムへの不正アクセス（設定上の不備）	最大約550万件（重複を含む）。損保ジャパンは約6.5万件	氏名、住所、電話番号、車両の情報、事故・故障の受付情報、口座情報の一部
11/5	ドコモオンラインショップ・My docomo	サーバーへの不正アクセス	最大約30万件	氏名、住所、生年月日、携帯電話番号など
11/5	アイリスプラザ（第2報）	外部クラウドサービスへの不正アクセス	約770万人（閲覧・取得の可能性）	氏名、住所、電話番号、メールアドレス、会員のパスワードなど（カード情報は対象外）
11/5	日本学術振興会、消防庁	電子申請システム・安否情報システムへの不正アクセス	漏えいは未確認	—（両システムとも停止）
11/4	MUJIアプリ・ネットストア（第二報）	外部からの不正アクセス	最大約2,726万件。MUJI Cardのカード番号（全桁）など約109万件	メールアドレス・生年月日・性別、約52万件は氏名・住所・電話番号も
11/4	ApplyNow（最終報）	データ分析ツールの公表済み脆弱性の悪用	396,920人	氏名・電話番号・メールアドレス。電子雇用契約の一部はマイナンバーや口座情報も
11/3	セブン‐イレブン「7NOW」（ピックゴー経由）	配達委託先の配車システムへの不正アクセス	名前（カナ）164,180件、住所を含むもの4,971件	注文者（届け先）の名前・住所など
11/2	@cosme（アイスタイル）	不正アクセス	約300万人	氏名、住所、電話番号、メールアドレス、肌質・髪質など
11/2	ノジマオンライン	会員管理システムへの不正アクセス	約700万件	氏名、住所、電話番号、ログインID、暗号化したパスワードなど
11/2	サントリーグループ	外部クラウドサービスへの不正アクセス	従業員など約9万名、新卒採用の応募者7,173名ほか	氏名、メールアドレス、電話番号など
11/2	丸井グループ（セキュリタイズ経由）	デジタル社債の管理委託先への不正アクセス	最大9,086名（うち54名は銀行口座番号も）	氏名、住所、電話番号、生年月日、投資口数など
11/2	良品計画（オーダーカーテン）	委託先が再委託したサーバーへの不正アクセス	19,933件（重複を含む）	氏名、住所、電話番号、注文情報
11/2	渋谷区（施設予約システム）	オンラインサービスへの不正アクセス	確認中	確認中（データの書き換えも）
11/2	セガフェイブ（ALL.Net・Aime）	サーバーへの不正アクセス	流出は未確認	—（関連サービスを停止）
10/31・11/2	Vプリカ（GMOペイメントゲートウェイ経由）	委託先システムでの情報窃取	69件（うち3件はカード番号・セキュリティコード・有効期限）	氏名、メールアドレス、電話番号など
10/31	クラブツーリズム	サーバーへの不正アクセス	約432万件（流出の可能性）	氏名、国籍、生年月日、住所、電話番号、メールアドレス、緊急連絡先
10/31	楽天証券・JR西日本（デジタル証券プラットフォーム）	NTTデータの委託先のプラットフォームへの不正アクセス	楽天証券は延べ362件、JR西日本は投資家2件	氏名、住所、電話番号など（ログイン情報は対象外）
10/31	セゾンのスマート不動産投資	委託先の認証の仕組みの不備を突いた不正アクセス	1,889名（うち39名は住所・配当金受取口座の情報も）	氏名、購入口数など
10/30	GMOトラスト・ログイン（第三報）	公開領域に置いたファイルを外部から取得できる設定	2,492社・45,030人	メールアドレス、氏名、連携サービス名、社員番号など

アララメッセージ：持ち出されたメールアドレスは約8,100万件、契約企業は最大約380社

メール配信サービス「アララメッセージ」を運営するアララは、10月29日の第1報で約301万件としていた持ち出しの件数を、11月2日の第2報で約7,700万件に引き上げました。11月6日には親会社のペイクラウドホールディングスが第3報を出し、区分の間の重複を除いた件数を81,329,467件としています。件数はメールアドレスの数で、人数ではありません。

第3報によると、内訳は次のとおりです。

サービスのサーバーを経由した不正アクセス：78,102,937件
第1報で公表した共用環境：2,842,400件（第2報の3,386,187件から訂正）
第3報で新たに判明した別のクラウド環境：3,249,492件（メールアドレスのみ）

メールアドレスだけが持ち出されたのは34,285,087件で、残りの47,044,380件は氏名、性別、生年月日、電話番号、会員番号、住所などの属性情報も伴います。どの項目が含まれるかは契約企業によって異なります。クレジットカード番号は、サービスで保有していないとしています。別のクラウド環境への侵入は、認証情報を不正に使ったもので、10月28日〜31日の一連の攻撃の期間中に起きていました（第2報の解説記事）。

もう一つ深刻なのは、サービスそのものが悪用されたことです。10月28日〜30日に、正規の送信元「news@arara.com」から、「利用内容確認のご依頼」「ご利用明細確認のご依頼」などの件名でクレジットカード会社を装うメールが最大約713万通送られました。アララメッセージは10月31日から全面停止しており、再開の時期は未定です。

配信を委託していた企業・自治体の公表が続く

アララのサービスでメールを送っていた企業や自治体は、11月2日以降、自社の顧客への影響を次々に公表しました。件数の大きい順に並べます。

アソビュー！：会員情報15,821,184件。メールアドレスに加え、氏名・電話番号・生年月日や、チケットの購入・利用の履歴も含みます（解説記事）
ビックカメラ・コジマ・ソフマップ：メールマガジン登録者の情報がグループ合計で約1,490万件（解説記事）
TKC：同社のシステムを使う顧客のメールアドレス最大2,230,812件。11月4日の第3報で、漏えいはメールアドレスだけで、マイナンバーや市町村への申請情報は含まれないと確認したとしています
ワークマン：オンラインストアのメールマガジン会員のメールアドレス最大約145万件（解説記事）
松井証券：顧客のメールアドレス最大83万件。ログインIDや取引暗証番号はアララに預けていません（解説記事）
ベルク：メールアドレス786,739件と氏名2,352件（解説記事）
Payどん（鹿児島県の4金融機関）：利用者と加盟店のメールアドレス最大257,639件
三井住友銀行：主に法人向けの配信に使ったメールアドレス227,216件（三井住友銀行・Payどんの記事）
生活協同組合ユーコープ：210,495件、住友不動産（委託先のデータX経由）：205,208件、千葉興業銀行：171,260件
GMOペイメントサービス：委託先の弁護士法人Martial Arts経由で最大106,997件。うち最大5,771件は氏名や請求金額、購入した店舗・商品も含みます
琉球銀行：96,477件、栃木銀行：約1,000件（解説記事）
自治体：宮崎県（農政水産部のメール配信）は3,583件の漏えいの可能性を公表しました。大阪市・豊橋市・江戸川区は、マイナンバーカードの交付予約などに使うシステムのメール配信がアララメッセージ経由だったとして、影響を調べています（千葉興業銀行・宮崎県の記事）
チケプラ：Plus member IDの会員のメールアドレス（件数は調査中）（TKC・ユーコープ・チケプラの記事）

目立つのは、当初の報告が後から覆った例です。三井住友銀行は10月28日に「漏えいは確認されていない」と説明を受けていましたが、11月2日に漏えいの報告を受けました。ワークマン、ベルク、TKC、Martial Artsも、いったん「対象外」「影響なし」と伝えられた後で対象に含まれると分かっています。最初の「影響なし」は、調査の途中経過にすぎませんでした。

ニトリ：最大3,762万件、注文データも対象

ニトリホールディングスは11月9日、システムへの不正アクセスで最大3,762万件の個人情報が流出した可能性があると公表しました。個人会員とニトリグループでの購入者の氏名、住所、電話番号、メールアドレス、生年月日、性別に加え、法人会員の担当者の情報、ニトリネットとECモールの公式ショップを通じた注文データも対象です。ログインパスワードとクレジットカード情報は含まれていません。

不正アクセスが判明したのは11月6日ですが、その後のログ解析で、10月中旬〜下旬にもアクセスがあった可能性が分かりました。対象者にはメールか郵送で連絡するとしています。実際に買った商品や配送先を知っている連絡は本物と見分けにくいため、配送日の変更や返金をうたうメールにも注意が必要です（解説記事）。

MUJI第二報：2021年まで連携していたMUJI Cardの番号が残っていた

良品計画は11月4日の第二報で、MUJIアプリと無印良品ネットストアの利用者最大約2,726万件のうち約52万件は、氏名・住所・電話番号も対象になったと明らかにしました。さらに重いのは、クレディセゾンが発行するMUJI Cardのカード番号（全桁）とMUJI Card ID、生年月日の約109万件にもアクセスされた可能性があることです。いまも使えるカードは約34.5万件で、名義・有効期限・セキュリティコードは含まれていません。

良品計画は2021年7月まで、独自の特典を付けるためにカード番号を受け取っていました。ポイントの仕組みを変えた後は連携をやめていましたが、その情報がシステムに残っていたことになります。クレディセゾンは利用状況の監視を強めており、希望する人にはカードを再発行するとしています（第二報の記事）。

大規模な会員情報：アイリスプラザ、ノジマ、クラブツーリズム、@cosme

アイリスプラザ：アイリスオーヤマは11月5日の第2報で、通販サイト「アイリスプラザ」の顧客約770万人分（退会者を含む会員約580万人、非会員約190万人）が閲覧・取得された可能性があると公表しました。会員の項目にはパスワードも含まれ、パスワードを含む一部の項目は暗号化して保存していたとしています。不正アクセスを受けたのは外部のクラウドサービスで、カード情報は保存されていませんでした（第2報の記事）
ノジマオンライン：11月1日に会員管理システムへの不正アクセスを検知し、約700万件の氏名・住所・電話番号・ログインID・暗号化したパスワードなどが漏えいしました。サイトは一時休止しています（解説記事）
クラブツーリズム：インターネット会員約432万件の氏名・国籍・住所・電話番号・緊急連絡先などが流出した可能性があります。緊急連絡先として登録した家族の情報も対象です（解説記事）
@cosme：アイスタイルは、@cosme共通IDの会員約300万人の名前・住所・電話番号・メールアドレスに加え、肌質・髪質も漏えいしたと公表しました。退会した人でも、不正アクセスの時点で会員なら対象です（解説記事）
ドコモオンラインショップ・My docomo：NTTドコモは11月5日、最大約30万件の氏名・住所・生年月日・携帯電話番号などが流出したと公表しました。2つのサービスは緊急メンテナンスで手続きを止めています（解説記事）

委託先が入口になり、多くの企業に波及した事例

11月上旬の公表で最も多かったのは、利用者が契約した企業の業務を請け負う会社のシステムが侵入された事例です。

プレステージ：ロードサービスの受付から最大約550万件

プレステージ・インターナショナルは11月2日、グループ会社のプレステージ・コアソリューションが取引先から受託するロードサービスの受付システムが不正アクセスを受け、最大約550万件（重複を含む）が持ち出されたと公表しました。氏名、住所、電話番号、車両の登録番号や車台番号、事故・故障の受付情報、一部の口座情報が含まれます。委託元の損保ジャパンは11月5日、原因はアクセス制御と認証情報の管理に関する設定上の不備だったとの報告を受けたと明らかにしています（解説記事）。

委託元の公表も続いています。損保ジャパンは自動車保険の契約者約6.5万件、オリコは一部のゴールドカードなどでロードサービスを使った会員が対象だとしています。チューリッヒ保険会社は委託契約が2026年1月末に終わっていましたが、当時預けた情報が含まれていました。2りんかんイエローハットも影響を公表しています（オリコの記事、チューリッヒ・2りんかんの記事）。

SMBCコンシューマーファイナンス：カードローンの保証システムから年収や免許証番号まで

SMBCコンシューマーファイナンスは11月5日、銀行などのカードローンの保証業務に使うシステムが不正アクセスを受け、最大320,118名の情報が外部に送信されたと公表しました。氏名、住所、電話番号に加え、運転免許証番号、勤務先・年収、保証額まで含みます。本人確認書類の画像は対象外です（解説記事）。

保証を任せていた銀行も11月5日〜6日に公表を続けました。ドコモSMTBネット銀行は最大122,635人、山陰合同銀行は1,585名、三十三銀行は914名、りそな・関西みらい・みなとの3行は計5,935件です。横浜銀行や北洋銀行など、対象ローンの新規申込を止めた銀行もあります。山陰合同銀行の対象は2012年に取扱いを終えた商品の利用者で、りそなグループ3行も契約を終えた人が対象です（提携銀行の一覧）。

そのほかの委託先・共通基盤

ピックゴー（CBcloud）：配車システムへの11月1日の不正アクセスで、セブン‐イレブン「7NOW」の注文者の名前（カナ）164,180件などと、タカラスタンダードの配送先約3,900件が取得されました（7NOWの記事）
NTTデータ：住友生命から受託するシステムが11月2日に不正アクセスを受け、Vitalityを単独で使う利用者約8万名の情報が漏えいしました。約1,000名は一部をマスクしたカード番号も含みます（解説記事）。NTTデータの委託先が提供するデジタル証券プラットフォームの件では、野村證券と同じ10月31日に、楽天証券（延べ362件）とJR西日本（投資家2件）も公表しました（楽天証券の記事、JR西日本の記事）
デジタル社債・不動産投資の委託先：丸井グループはデジタル社債を管理するSecuritize Japan経由で最大9,086名（うち54名は銀行口座番号も）、クレディセゾンは「セゾンのスマート不動産投資」の委託先経由で1,889名の情報が漏えいしたと公表しました。後者は、外部からアクセスできる認証の仕組みの不備を突かれ、10月29日未明の約2時間半に不正アクセスが続いていました（丸井グループの記事、セゾンの記事）
Vプリカ（GMOペイメントゲートウェイ）：ライフカードは11月2日の続報で、委託先での情報窃取は69件、うち3件はカード番号・セキュリティコード・有効期限がそろって漏えいしたと公表しました。サービスは同日に再開しています（続報の記事）
LENDY債権回収：沖縄銀行は、ローン「チェキット」の督促を委託する会社の補助システムに10月30日の不正ログインがあり、211名の返済相談額や交渉内容などが流出した可能性があると公表しました。外部の第三者がアカウントを作れてしまう状態だったことが原因とされています（解説記事）
ユミルリンク「Cuenote FC」：10月の事案の影響はまだ続いており、カラーミーショップが11月6日、一部のショップオーナーのメールアドレスが流出した可能性があると公表しました

カード番号が狙われた事例：ロート製薬は電話の録音から

ロート製薬は11月6日、通販で使っていた電話システムのアカウントが不正に使われ、顧客管理システムの2,797,545人分の氏名・住所・電話番号と、通話音声データが取得されたと公表しました。電話注文の録音のうち9,715人分には、口頭で伝えたクレジットカード番号と有効期限が含まれていました。楽天カード・UCカード・三菱UFJニコスは同じ日に会員へ明細の確認を呼びかけ、楽天カードは連絡を受けた会員にカードの差し替えを案内しています。ロート製薬は、電話口でカード番号を聞き取る運用をやめました（解説記事）。

カード番号はネットの決済画面だけで扱われるとは限りません。MUJI Cardの件も含め、11月上旬には「決済システムではない場所に残っていた番号」が漏れた事例が重なりました。

業務向けサービスと従業員の情報

TeamSpirit：勤怠管理サービスのチームスピリットは11月6日、第三者が開発用サーバーに不正ログインし、そこに保管されていた認証情報を使ってクラウド環境からデータを取得したと公表しました。利用企業の担当者や従業員の情報など28,824件（重複を除く）で、要配慮個人情報35件を含みます。原因は設定と情報管理の不備が重なったことで、未知の脆弱性によるものではないとしています。サービス上の勤怠・工数のデータへの不正アクセスは確認されていません
ラクスル：11月9日、データ入稿の処理に関わるシステムの認証情報が不正に取得され、保管していた印刷データなどに含まれる個人情報が流出したおそれがあると公表しました。名刺やはがきに記載された人の情報も含まれる場合があります。件数は集計中で、カード情報・ログインID・パスワードは漏えいしていないとしています
ApplyNow：11月4日の最終報で、漏えいは396,920人と確定しました。電子雇用契約サービスで契約した人の一部は、マイナンバー、口座情報、基礎年金番号なども対象です。8月9日に、データ分析ツールの公表済みの脆弱性を突かれて侵入されていました（最終報の記事）
GMOトラスト・ログイン：10月30日の第三報で、対象は2,492社・45,030人と確定しました。ロゴ画像を配信する公開領域に顧客情報を含む一時ファイルも保存される設計で、2017年11月ごろから約9年間、外部から取得できる状態でした（第三報の記事）
サントリー：グループが使う外部のクラウドサービスから、従業員や取引先の従業員約9万名、新卒採用の応募者7,173名などの情報を含むファイルがダウンロードされました（解説記事）
ドトールコーヒー：4店舗の従業員・退職者951名の氏名、住所、銀行口座番号などが流出した可能性があります。顧客の情報への不正アクセスは確認されていません（解説記事）
JNSA：セキュリティ団体の日本ネットワークセキュリティ協会も、「情報セキュリティ理解度チェックサービス」で最大15,128件の漏えいの可能性を公表しました（解説記事）

保険・チケット・大学・行政でも

三井住友海上：「ご契約者さま専用ページ」が11月2日夜に不正アクセスを受け、約3.7万件の保険証券番号・氏名・住所などが漏えいしました。ネットで申し込む保険やインターネット事故受付など、多くのWebサービスを止めています（解説記事）
teket：電子チケットサービスのteketは11月8日、会員情報を管理するシステムから情報が流出したと公表しました。全会員の氏名・メールアドレスと、登録・購入した会員の住所・電話番号・チケットの発券用コードなどです。サービスを止めており、公演の入場は購入完了メールの提示で受け付けるよう案内しています
早稲田大学：ポータルサイトのログインに使うユーザー情報を管理するシステムに侵入され、教職員番号・氏名・暗号化したパスワードなど延べ3,342件が取得されました。PHPの脆弱性への対応を機にシステムを確認する中で、8月31日の不正アクセスの痕跡が見つかったとしています
渋谷区：施設予約システムから個人情報が流出した可能性があり、データの書き換えも確認されました。渋谷マイポータルは停止しています（解説記事）
漏えいは未確認だが停止中：日本学術振興会の電子申請システム、消防庁の安否情報システム、セガフェイブのアーケード向けサービス「ALL.Net」「Aime」も不正アクセスを受け、システムやサービスを止めています（学振・消防庁の記事、セガフェイブの記事）

国の対応：11月6日に緊急対策パッケージを決定

相次ぐ漏えいを受けて、国も動きました。内閣官房の国家サイバー統括室は11月5日、ウェブサイトやモバイルアプリを運用する事業者に向けて、基本的な対策の徹底を求める文書を出しています。原因として挙げたのは、モバイルアプリ開発時の対策不足、ウェブサイトなどの設定の不備、サポート切れや既知の脆弱性を放置したソフトウェアの使用です。攻撃者がAIを使って日本のウェブサイトを大規模に調べている可能性が高いとも指摘しました（解説記事）。

翌11月6日には、サイバーセキュリティに関する関係閣僚会議が「サイバーセキュリティ緊急対策パッケージ」を決めました。利用者に関係するのは、運転免許証の画像による本人確認をマイナンバーカードなどのICチップの読み取りへ広げる方針、消費生活センター（188）を入口とする相談体制、漏えいした情報を使った詐欺などの二次被害への対策です（解説記事）。

侵入経路から見える特徴（考察）

公式発表で原因まで踏み込んでいる事案は限られます。以下は公表内容をもとにした筆者の考察で、推測を含みます。

1. メール配信や受付など「裏方」のサービスが、数百社分の入口になった

アララメッセージの最大約380社、プレステージの損保・カード・バイク用品店、SMBCコンシューマーファイナンスの提携銀行と、11月上旬は1社への侵入が十数〜数百の企業に波及しました。利用者が契約したのは銀行や家電量販店でも、実際に情報を持っていたのはメール配信や保証、ロードサービスの会社です。

委託元の企業が最初に受けた「影響なし」の報告が、数日で覆った例が続いたことも見逃せません。委託先の調査が終わるまで、委託元は自社の顧客が対象かどうかを判断できません。利用者側も、最初の公表で「対象外」とされていたサービスについて、続報を確認しておく必要があります。

2. 未知の脆弱性より、認証情報と設定の不備

原因が公表された事案の多くは、高度な攻撃というより基本的な管理の隙でした。TeamSpiritは開発用サーバーに保管していた認証情報を使われ、ラクスルとアララメッセージの別環境も認証情報の不正使用を挙げています。プレステージは設定上の不備、LENDY債権回収は外部の第三者がアカウントを作れる状態、GMOトラスト・ログインは公開領域へのファイル保存、ApplyNowは公表済みの脆弱性の修正の遅れでした。国家サイバー統括室が11月5日の文書で示した見立てとも一致します。

なお、TKCの発表によると、アララメッセージは10月22日にPHPの脆弱性対応のため一時停止していました。早稲田大学も、PHPの脆弱性への対応を機に侵入の痕跡を見つけています。ただし、どちらの発表もPHPの脆弱性を侵入の原因とは書いていません（PHPの脆弱性についてはこちらの記事）。

3. 気づくまでの時間に大きな差がある

ドコモは不正アクセスを確認した翌日に公表し、ニトリも判明から3日で公表しました。一方で、ApplyNowは8月9日の侵入に9月7日まで気づかず、早稲田大学の侵入は8月31日、ロート製薬は9月10日に事業者から報告を受けてからの公表が11月6日です。GMOトラスト・ログインは、ファイルが約9年間取得できる状態でした。ニトリのように、判明後のログ解析で「それ以前にもアクセスがあった」と分かる例もあり、検知した日が攻撃の始まりとは限りません。

事例に共通する3つのパターン

1. 使い終わったデータが被害を広げている

MUJI Cardの番号は、2021年7月に連携をやめた後もシステムに残っていました。山陰合同銀行の対象は2012年に取扱いを終えたローンの利用者で、チューリッヒは1月末に委託を終えた先から当時の情報が漏れています。ApplyNowは利用を終えた企業のデータを削除しておらず、アイリスプラザや@cosmeでは退会者も対象に入りました。持っていない情報は漏れません。サービスを使い終えた後も、自分の情報が相手先や委託先に残っている可能性があります。

2. 自分が使ったサービスの「裏側」が入口になる

カードローンの保証会社、カードに付いたロードサービスの受付会社、デリバリーの配達委託先、メール配信会社を、利用者が意識することはほとんどありません。それでも、そこに氏名や年収、車両の番号、注文内容が預けられています。どの会社が自分の情報を持っているのか、利用者が把握しきるのは困難です。

3. 漏れた情報が「本物らしい詐欺」の材料になる

アソビューではいつ・どの施設を利用したかという履歴、SMBCコンシューマーファイナンスでは勤務先・年収・保証額、沖縄銀行では返済相談の内容まで漏れました。取引の中身を知っている連絡ほど、本物と見分けにくくなります。アララメッセージの件では、実際に正規の送信元からカード会社を装うメールが送られました。送信元のアドレスが見慣れたものでも、本物とは限りません。

利用者がいまやるべき対策

公式サイトで自分が対象か確認する

ニトリ、MUJI、アイリスプラザ、ノジマ、@cosmeなどを使った覚えがある人は、まず各社の公式サイトで発表を確認します。メールやSMSに書かれたリンクは使わず、ブックマークや公式アプリから開いてください。アララメッセージの件のように、ふだんメールを受け取っている企業が配信を委託していた場合もあるため、銀行や通販サイトから「対象者への個別連絡」が届いたら、公式サイトの発表と照らし合わせます。

メールのリンクからログインしない

アララメッセージの件で、正規の送信元から偽のメールが送られうることがはっきりしました。カードの明細確認や証券口座へのログインは、公式アプリかブックマークから行います。松井証券や楽天証券がすすめているように、パスキーを設定できるサービスでは設定しておくと、偽サイトにログイン情報を入力してしまう被害を防ぎやすくなります。

パスワードの使い回しをやめ、二段階認証を設定する

ノジマ、アイリスプラザ、早稲田大学、JNSAなどでは、暗号化・ハッシュ化したパスワードも対象になりました。対象のサービスだけでなく、同じパスワードを使っているほかのサービスも変更し、使えるものは二段階認証を有効にします。

カード番号が対象になった人は、明細を確認する

MUJI Card（2021年7月までに入会し、同じカードを使っている人）、ロート製薬の電話通販でカード払いをした人、Vプリカの対象者は、利用明細に身に覚えのない請求がないか確認します。不審な請求があれば、カード裏面の番号に連絡してください。再発行は、カード会社の公式窓口から申し込めます。

免許証番号や年収が漏れた人は、身に覚えのない契約を確認する

SMBCコンシューマーファイナンスの対象者は、運転免許証番号や勤務先・年収まで漏れています。身に覚えのないローンやカードの申込み、携帯電話の契約がないか、しばらく注意してください。信用情報機関（CICやJICC）に本人開示を請求すれば、自分の名義の契約を確認できます。「借り換えで金利が下がる」「保証料が戻る」といった連絡が来ても、案内された番号は使わず、借入先の公式サイトにある窓口に自分で問い合わせます。

困ったら相談窓口へ

政府は、個人情報流出の被害や不安について、消費生活センター（188）を最初の相談先にしています。犯罪被害の不安は警察相談専用電話（#9110）、クレジットカード情報の流出は日本クレジット協会など、内容ごとの窓口は首相官邸の相談先ページにまとまっています。情報を入力してしまった場合の手順は、入力情報別の対処手順にまとめました。

まとめ：「影響なし」の第一報で安心しない

10月末から11月上旬の事例を並べると、被害の大きさを決めたのは、侵入された会社がどれだけ多くの企業の情報を預かっていたか、そして使い終えた情報をどれだけ残していたかでした。アララメッセージの約8,100万件、プレステージの最大約550万件、MUJI Cardの約109万件は、いずれもそこから生まれています。

利用者にできるのは、メールのリンクから操作しないこと、パスワードの使い回しをやめること、そして心当たりのあるサービスの続報を確認することです。当初「対象外」とされた企業が数日後に対象に含まれた例が続いているため、一度の発表で判断せず、件数や対象範囲の更新を追ってください。9月〜10月の事例は前回のまとめ記事にまとめています。