第三者が、許されていない方法でサーバーやシステムに入り込み、情報を見たり持ち出したりした事故の記録です。
最新の発表が新しい順 40件
電子書籍の販売サイト「Renta」が第三者の不正アクセスを受け、会員登録している一部の人のメールアドレスなどの会員情報が流出したおそれがあります。クレジットカードなど支払いの情報はもともと持っていないため流出はなく、購入履歴とマイリスト（本棚）の流出は確認されていません。会社は2026年10月18日に不正アクセスの可能性に気づいてサービスを止めていて、再開のときにはパスワードを設定し直すよう頼む予定です。
デジタルアーツの6つのクラウドサービス（i-FILTER@Cloud など）で、運用に使う認証情報が第三者に取られて運用環境に入り込まれ、サービスを使う一部の客の情報が見られた可能性があります。見つかった跡には2025年7月頃にさかのぼるものがあり、客の情報が外に持ち出されたことは2026年10月21日正午の時点で確認されておらず、悪用や二次被害の報告も受けていないとしています。会社は、対象のサービスを使うすべての客に、管理者用と利用者用のパスワードを変えるよう頼んでいます。
佐川急便のWebサイトの「お荷物問い合わせサービス」が不正アクセスを受け、2026年6月21日から9月30日までに預かった荷物の送り主とお届け先、運賃の契約をしている客、「スマートクラブ」の会員の、氏名・住所・電話番号などが流出した可能性があります。流出した可能性のある個人情報は、重複を含めて最大約5,323万件で、実際の人数を示す数ではありません（2026年10月23日時点）。クレジットカードの情報とパスワードは含まれておらず、不正な利用などの二次被害は確認されていません。
カプコンのWebサービスや一部のオンラインゲームで使う共通のアカウント「CAPCOM ID」が不正アクセスを受け、登録している人のメールアドレスなどが、全世界の合計で11,774,247件漏れました。このうち196件はログインのパスワードを勝手に変えられていて（会社がリセット済み）、そのうち19件（日本国内）では通販サイト「イーカプコン」のマイページに入られ、氏名・住所・電話番号・購入履歴なども漏れました。利用者が自分で設定したパスワードの漏えいは確認されておらず、クレジットカードの情報は漏れた対象に含まれず、会社は影響の範囲の調査を終えたとしています（2026年10月23日の第二報）。
「お名前.com デスクトップクラウド」が不正アクセスを受けて一部の利用者のサーバーに不正なプログラムが置かれ、サーバーの中に保存されていた、証券会社・FX会社などの取引口座のログインの情報などが取られ、不正に使われた可能性があります。会社は、サーバーで取引ツール（MT4/MT5 など）を使う人に、FXの取引に使っていない端末からパスワードを至急変え、ログイン中のすべてのセッションを切るよう頼んでいます（2026年10月23日の第3報）。影響の可能性があるサーバーは26,739件（情報が取られたと確認された数ではありません）で、全プランのサーバーが10月21日から止まっていて、再開の時期は決まっていません。
トラストバンクが運営する「ふるさとチョイス」の会員情報に不正アクセスがあり、会員登録している寄附者の氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額が、4,454,097件、外に流出したことが確認されました。2026年10月23日の第2報で、このうち5名については、ポイント履歴なども流出していて、そのうち2名はクレジットカードの下4桁・名義・有効期限も流出していたことが分かりました（カードの情報だけで決済はできないとしています）。会社は10月19日から関連サービスを止めていて、10月21日からは会員に流出の有無と項目を個別のメールで順に知らせています。
日本経済新聞社がシステム開発に使っているクラウドサービスに不正アクセスがあり、そこに保管していた個人情報が、10月16日の時点で約183万件漏れました。このうち名前・メールアドレス・住所・電話番号・生年月日のどれかを含むものが約15万件で、残りの約168万件は、それだけでは誰のものか分からない識別子だけの情報です。日経BPのサービスを使う人の情報も約80万件含まれていたと日経BPが発表していて、クレジットカードの情報は含まれず、漏れた情報の悪用などの二次被害は確認されていません。
カーシェアリングのタイムズカーで、会社のWebシステムが脆弱性を悪用されて不正アクセスを受け、会員などの氏名・住所・生年月日・電話番号・メールアドレス・運転免許の情報が6,628,007件分漏れました（漏れた項目は人によって違います）。運転免許証などの本人確認書類の画像（暗号化して保管）は、1,464,800件で外に送られた跡が、ほかに891,602件でアクセスされた跡が確認されています。2026年10月23日の第5報で調査の結果が公表され、マイページで自分について漏れた情報を確かめられるようになり、画像が外に送られた跡がある人にはお見舞い（3,000円相当）が渡されます。
メドレーの、医療機関の業務を支えるシステム「@link（アットリンク）」と患者向けの「アットリンクアプリ」などが不正アクセスを受け、登録された患者などの個人情報が外に漏れた可能性があります。対象になる可能性がある医療機関は、最大でアットリンクなどを使うすべての医療機関（787件）で、漏れたかどうかとその範囲は調べている最中です。サービスは2026年10月14日の深夜から止まっていて、10月22日の時点で、一部の機能の再開も不具合で遅れ、目処は立っていません。
クリプトン・フューチャー・メディアが運営する「SONICWIRE」と「D2R」が不正アクセスを受け、会社の調べで、SONICWIRE の会員 362,137件の氏名・メールアドレス・ハッシュ化されたパスワードなどが見られ、取られたことが確認されました（2026年10月22日の更新）。ほかに、2021年11月19日までに領収書・請求書・見積書を出すときに入れた会社名・氏名・住所・電話番号など 671件と、ニュースレターだけを購読している人のメールアドレスなど 11件も対象です。クレジットカードの情報が漏れた可能性は無いとしていて、サービスは新しいサーバーで作り直し、2026年11月1日までの再開を目指しています。
日本サッカー協会（JFA）の公式アプリ「JFA Passport」が2026年10月17日に不正なアクセスを試みる攻撃を受けましたが、JFA が調べた結果、この件による個人情報の漏えいは確認されませんでした（10月21日の第2報）。JFA が使う関連システムでも、この件による情報の漏えいや不正利用などの影響は確認されていません。10月22日に、安全の確認と必要な対策を終えてアプリのすべての機能を再開していて、使うには最新版への更新が必要です。
メール配信システム「ブラストメール」で、提供する株式会社ラクスライトクラウドのサーバーに外部の第三者が入り込み、すべての契約者の会社名・担当者名・電話番号・メールアドレスなどが持ち出されたことが確認されました。一部の契約者は、配信先リストなどメール配信に関する情報も漏れていて、該当する契約者には会社が個別に連絡するとしています。サービスは2026年10月21日0時30分から止まっていて、再開の日時は決まっていません。