【2026年10月】大手企業8社の情報漏洩：被害の公表内容とAI時代のセキュリティ
情報漏洩のニュースでは、「何万件」という数字だけでなく、何の情報が、どこから、どの程度確認されたのかを見る必要があります。2026年10月には、買い物アプリ、通販サイト、問い合わせ管理サービスなど、身近なサービスに関する公表が相次ぎました。
今月はNICT（情報通信研究機構）も、公開アプリを解析して裏側のサーバーを狙う「A2B攻撃」について注意を呼び掛けています。この記事では企業8社・7事案の公表内容と、AIが変える攻撃・防御の関係を整理します。ファンケルとアテニアは別会社として数えています。情報の確認日は2026年10月26日です。以下の数字・対応状況は、各項目に記した公表日時点の内容です。
1. 企業8社は、何を公表したのか
「漏洩を確認」と「漏洩した可能性」は分けて記載します。件数には会員情報や問い合わせ記録など異なる単位が含まれるため、以下の数字を足して被害人数にすることはできません。全国の事案を網羅する一覧でもありません。
物語コーポレーション：「焼肉きんぐ」会員情報10,788,963件
10月5日公表／漏洩を確認。公式アプリの会員管理システムが対象です。10月2日に不正アクセスを確認し、翌3日に漏洩が判明しました。対象には会員番号、氏名（アプリ登録名）、メールアドレス、電話番号が含まれます。同社は、ログインパスワードや店舗利用履歴などの漏洩はなく、決済情報は保持していないと説明しています。公表時点で、情報の不正利用は確認されていません。［1］
大和証券：約11万名分、問い合わせ等の記録では約22万件
10月5日公表／漏洩の可能性。問い合わせ管理等を委託するスカラコミュニケーションズのサーバーが不正アクセスを受けた事案です。約11万名に係る氏名、メールアドレス、口座番号等が対象となる可能性があり、個人を特定できる情報のない問い合わせ等も含めると約22万件です。大和証券自身のシステムへの不正アクセスは確認されていません。同社は、この情報だけでは証券口座へのアクセスや取引はできないとしています。［2］
LINEヤフー：「DS.LAB」利用者1,750名
10月9日公表／閲覧・取得された可能性。委託先コミューンが提供する基盤への不正アクセスにより、「DS.INSIGHT」内のコミュニティ機能「DS.LAB」の利用者情報が対象になりました。氏名、メールアドレス、プロフィール項目などが含まれます。LINEヤフー自身のシステムに対する不正アクセスは確認されていないと説明しています。公表時点ではサービスを停止して対応しています。［3］
ソースネクスト：流出した可能性のある会員情報22,519,960件
10月15日公表／流出自体は判明、対象件数は「流出した可能性のあるお客様情報」として公表。10月9日頃からの不正アクセスを13日に確認し、会員情報取得APIが不正利用されたと説明しています。APIとは、アプリやシステムが情報をやり取りするための窓口です。対象項目にはメールアドレス、パスワード、氏名、住所等がありますが、全員について全項目が流出したという意味ではありません。決済用カード情報は対象システムに保存しておらず、流出対象に含まれないとしています。［4］
ファンケル・アテニア：件数と人数をそれぞれ公表
10月16日公表／漏洩を確認。両社のECサイトが10月3～10日に不正アクセスを受けた事案です。ファンケルは393,785件・368,184名、アテニアは441,162件・417,312名と公表しました。対象は氏名、住所、メールアドレスなどで、決済情報は対象外です。原因となった機能を停止し、公表時点では事業活動・サービスへの影響はないとしています。同じ事案でも、情報の件数と対象人数は異なります。［5］
トラストバンク：「ふるさとチョイス」4,454,097件
10月20日公表／流出を確認。10月17日の不正アクセスを19日に確認した事案です。会員の氏名、連絡先、ハッシュ化されたパスワード、寄附控除試算額が対象です。ハッシュ化とは、パスワードをそのまま読めない形に変換して保存する処理です。同社は、調査によって件数が変わる可能性があると説明しています。10月19日に関連サービスを停止し、20日の発表では再開時期は未定としています。［6］
リンツ＆シュプルングリージャパン：会員情報3,147,469件
10月23日公表／漏洩を確認。委託先のEC運用システム会社フューチャーショップで、17日夜から18日未明に不正アクセスがあり、19日に報告を受けた事案です。対象はオンラインショップと公式アプリの会員情報で、18日0時16分時点で退会済みの会員は含みません。氏名、住所等に加え、ハッシュ化されたログインパスワードも含まれますが、決済情報は対象外です。オンラインショップを一時停止し、23日11時時点では情報の悪用は確認されていないとしています。［7］
2. 自社が攻撃されなくても、委託先から影響が及ぶ
大和証券、LINEヤフー、リンツの公表では、問い合わせ管理、コミュニティ機能、EC運用という外部サービスが関係しています。各サービスの機能や侵入経路は異なり、同じ攻撃者や同じ原因だったと結び付ける根拠はありません。［2・3・7］
確認範囲は、自社のサーバーだけでは足りません。顧客情報の保存先、外部サービスとの接続、事故時の連絡先も含まれます。「委託先が調査中」「自社システムへの侵入は未確認」「顧客情報への影響は調査中」は、それぞれ別の状態です。
3. AIと情報漏洩は、どこで関係するのか
今月の注意喚起：アプリの裏側を狙うA2B攻撃
NICTは10月13日、公開Androidアプリの解析情報を悪用し、接続先のバックエンドサーバーを狙うA2B攻撃を特定したと発表しました。バックエンドとは、ログインや利用者情報の管理などを担う裏側のシステムです。AIによって解析や弱点の探索が効率化され、攻撃が広がる可能性にも注意を促しています。［8］
この注意喚起は、上記8社の事件の原因を一括して説明するものではありません。今回参照した各社の公表文には、攻撃者がAIを使用したという記載はありません。APIが悪用された事実と、AIが使われたかどうかは別に確認する必要があります。
AIは攻撃を効率化する一方、防御にも新しい確認が必要
背景資料として、英国NCSCが2025年に公表した、2027年までを対象とする評価もあります。AIは標的の下調べ、脆弱性の調査、相手をだます連絡の作成など、既存の攻撃手順を効率化するとされています。これは将来を含む脅威評価であり、特定企業の事件の調査結果ではありません。［9］
またIPAの10月号「AIセキュリティ短信」では、AIを悪用した攻撃だけでなく、AIエージェント自体が情報漏洩の経路になる問題も取り上げています。AIに社内データや外部ツールへの操作権限を与えると、その接続も保護対象になります。［10］
4. 事業者が確認するのは、アプリ・API・委託先
NICTの具体的な注意喚起は、侵害の確認、脆弱性の点検、暫定的な緩和策という3つの対応を示しています。アプリ自体に問題がなくても、接続先の認証やアクセス権の確認に不備があれば情報漏洩につながるおそれがあります。［11］
接続先を洗い出す：アプリ・Webサイトが利用するAPIと、その管理者を確認する。
ログと権限を点検する：不審な取得がないか、他人の情報を参照できる不備がないかを調べる。
不要な接続を減らす：使っていないAPIや権限を止め、必要に応じてアクセス制限や認証情報の再発行を行う。
委託先については、顧客データの種類と保存期間、事故の連絡窓口、ログの確認を依頼する方法を整理しておくと、影響範囲を確かめやすくなります。AIに調査を補助させる場合も、生の顧客名簿や認証情報を未承認のサービスへ渡さず、利用環境と権限を先に確認する運用が必要です。実際の侵害調査や改修は、社内担当者・委託先・専門事業者と進めてください。
5. 利用者は「お詫びメール」のリンクから手続きしない
各社は、不審なメールやSMSへの警戒、同じパスワードを使う他サービスでの変更などを呼び掛けています。漏洩した氏名や問い合わせ内容を知っている相手でも、正規の担当者とは限りません。メール内のリンクではなく、公式アプリや自分で開いた公式サイトから案内を確認してください。サービス停止中のパスワード変更は、再開時の公式案内に従います。［2・4・6・7］
カード情報が対象外でも、連絡先を使ったなりすましへの警戒は必要です。一方、「悪用は未確認」は「悪用された」と同じではありません。通知の対象項目と、自分に必要な対応を分けて確認することが大切です。
6. まとめ：数字と原因を分けて、守る範囲を確認する
10月の公表事例では、自社の会員システムだけでなく、委託先に預けた情報も問題になっています。AIによって攻撃の調査や実行が効率化する一方、個別事件のAI関与は企業の調査結果で確認する必要があります。被害の規模を見るときは、件数・人数、確認済み・可能性、公表日・発生日を分けて読むと、状況をつかみやすくなります。
参照URL
企業の公表資料と公的機関の資料を使用しています。件数や対応は続報で変わる場合があります。
D-aerial関連リンク
AI・テクノロジーの記事一覧 ／ D-aerial AI映像制作サービス
「紹介リンク（招待コード）を含みます」
AI映像制作プラットフォーム Higgsfield
見出し画像はAIで生成した概念イメージです。実際の被害企業の設備や事件の現場を示すものではありません。
