2026年は、企業のECサイトや会員システム、メール基盤、行政機関のネットワークまで幅広い領域で不正アクセスや情報漏洩が相次いでいます。2026年10月3日時点で公表済みの主要事案では、タイムズカーで約660万アカウント、アフラック生命保険で約440万人、BIGLOBEで約501万人、@niftyで約225万人に関係する情報の漏洩が確認されています。
一方、すべての事案で「情報が外部へ流出した」と確定しているわけではありません。企業・団体の発表では、実際の漏洩を確認したケース、第三者による閲覧を確認したケース、ログ不足などから漏洩の可能性を否定できないケースが混在しています。本記事ではこの違いをできる限り区別し、2026年に発生または重要な調査結果が公表された国内関連の事案をまとめます。
※本記事は2026年10月3日時点の公式発表を基準にしています。調査継続中の事案は対象件数や内容が今後更新される可能性があります。また、公開情報から確認できた事案を広く収録していますが、国内で発生したすべてのインシデントを完全に網羅するものではありません。
2026年の主な不正アクセス・情報漏洩一覧
まず、2026年に企業・団体が公表した主要な不正アクセス・情報漏洩事案を整理します。件数は「人」「アカウント」「予約」「情報件数」など各社の集計単位が異なるため、単純比較はできません。
| 企業・団体 | 規模 | 主な対象情報 | 公表上の状態 |
|---|---|---|---|
| タイムズカー（パーク24） | 約660万アカウント | 会員情報等。約160万件で運転免許証画像など本人確認書類 | 漏洩確認 |
| アフラック生命保険 | 約440万人 | 契約者情報、保障内容等。約22万人は保険料振替口座情報を含む | 漏洩確認 |
| BIGLOBE | 5,016,432人 | BIGLOBEメールアドレス・BIGLOBE ID。4,631,775人はパスワードも対象 | 漏洩確認 |
| @nifty（ニフティ） | 2,248,708人 | メールアドレス。1,862,462人はメールパスワードも対象 | 漏洩確認 |
| セイコーマート | 572,022人 | セイコーマートアプリ登録者の情報 | 閲覧確認 |
| あなぶきハウジンググループ | 最大約49.6万件と公表後に精査 | 顧客・取引先等の個人情報を含むファイル | 外部流出確認 |
| デジタル庁 GSS | 約24.6万件 | 氏名約23.6万件、メール約23.1万件、電話約9.4万件、住所約0.1万件など | 漏洩の可能性 |
| CAMPFIRE | ユニーク225,846件 | 氏名、住所、電話、メール、口座情報など | 漏洩のおそれ |
| インク革命 | 24,166人 | 氏名等とカード情報（有効期限・セキュリティコード等） | 漏洩の可能性 |
| ボンフォームオンラインストア | 個人情報735件／カード3,463件（3,268人） | 顧客情報、クレジットカード情報 | 漏洩の可能性 |
| 科学技術振興機構（JST） | メール約18,000件 | 役職員12名のメールボックス内情報、外部メールアドレス約1,400件等 | 漏洩の可能性 |
| アバハウスインターナショナル | 全顧客が対象となる可能性 | 会員ID、氏名、住所、電話、メール、生年月日、性別、注文情報等 | 漏洩の可能性 |
| ヤマト運輸・クロネコ代金後払い | 調査中 | 氏名、住所、電話、メール、与信番号、請求金額、債権残高、商品明細等 | 漏洩の可能性 |
| 東京科学大学 | 調査中 | 現・旧大学の学生・教職員等の氏名、住所、メールアドレスを含む情報 | 漏洩の疑い |
| JOGMEC | 調査中 | 個人情報 | 漏洩の可能性 |
| 日本郵船 | 非公表 | 社員・退職者、取引先社員の氏名、会社名、電話、メール等 | 持ち出しの可能性 |
| 全日空商事・選べるe-GIFT | 調査中 | 一部契約企業担当者の個人情報 | 漏洩の可能性 |
| 象印マホービン台湾子会社 | 調査中 | 氏名、メールアドレス等と機密情報 | 流出の可能性 |
| アットホーム | 顧客408件ほか | 引越し見積もり利用者の氏名、メール、電話、住所等 | 漏洩の可能性 |
| いえらぶGROUP | 複数の連携事業者に波及 | 氏名、メール、電話、住所、希望物件条件、やり取り履歴の一部等 | 流出関連性が極めて高い |
| WEBLIFE | 調査・対象特定 | OEM向けHP作成サービスの契約法人・個人情報 | 漏洩の可能性 |
| レゴランド・ジャパン・ホテル | 影響可能性1,557予約 | 氏名、メールアドレス、電話番号 | 不正アクセス確認 |
| EPARKリラク＆エステ・PeakManager | 調査中 | 予約・顧客管理DB内の個人情報 | 漏洩の可能性 |
| テイン | 7,304名 | 社員・株主の個人情報 | 漏洩の可能性 |
| 青山メイン企画 | 調査中 | ランサムウェア被害サーバー内の個人情報 | 漏洩・毀損 |
| 大川精螺工業 | 調査中 | 保有する個人情報の一部 | 漏洩の可能性 |
| 精電舎電子工業 | 調査済み | ランサムウェア被害を受けたシステム内情報 | 影響調査 |
| フラウ・インターナショナル | 3,560件 | 氏名、メール、電話、住所、生年月日、会員番号、口座情報等。カード情報1件を含む | 漏洩の可能性 |
この一覧だけでも、メールサービス、保険、カーシェア、クラウドファンディング、小売アプリ、EC、行政、大学、物流、不動産、ホテルなど業種は広範囲です。攻撃対象が特定業界に限られていないことが分かります。
特に規模が大きい2026年の事案
タイムズカーは約660万アカウント
パーク24は2026年9月25日にタイムズカーWebシステムへの不正アクセスを検知しました。調査の結果、約660万アカウントの情報が第三者に取得されたことを確認しています。対象にはタイムズカー会員・退会済み利用者、入会未完了者、タイムズビジネスサービス会員などが含まれます。
さらに約160万アカウントでは、運転免許証画像、現住所確認書類画像、学生証画像、家族確認書類画像などの本人確認書類が漏洩したことが確認されました。文字情報だけでなく、本人確認に使われる画像そのものが対象になった点が大きな特徴です。パーク24は対象会員への個別連絡を進めています。
アフラックは約440万人
アフラック生命保険では、2026年6月10日から25日までに複数回の不正アクセスが確認されました。漏洩した顧客関連の個人情報は約440万人分で、契約者や被保険者の氏名、生年月日、性別、住所、電話番号、証券番号、保障内容などが対象です。このうち約22万人については、金融機関名、支店名、口座番号、口座名義などの保険料振替口座情報も含まれます。
一方で、アフラックはマイナンバー、クレジットカード情報、メールアドレスは今回の漏洩情報に含まれていないとしています。情報漏洩を考える際は、人数だけでなく、どの種類の情報が含まれるかを見る必要があります。
BIGLOBEと@niftyは同じメール基盤が起点
BIGLOBEでは、メールアドレスとBIGLOBE IDが5,016,432人、メールシステムのパスワードが4,631,775人について漏洩した事実が確認されました。@niftyでもメールアドレス2,248,708人、メールパスワード1,862,462人の漏洩が確認されています。
両事案は、KDDIがISP事業者向けに提供していたメール基盤で利用する第三者製ソフトウェアの脆弱性が悪用されたものです。1社の自社システムだけで完結せず、共通基盤を利用する複数事業者へ影響が及ぶサプライチェーン型のリスクを示す事例でもあります。
セイコーマートは57万2,022人を閲覧
セイコーマートは、アプリに登録したことがある会員のうち572,022人分の情報が不正アクセスによって閲覧されたことを確認しました。同社によると、これはセイコーマートアプリ会員の49％にあたります。アプリに登録していない会員は対象外です。
直近ではアバハウスやヤマトでも発覚
アバハウスは全顧客が対象となる可能性
アバハウスインターナショナルでは、2026年9月27日深夜から28日にかけて第三者による不正アクセスがあったと推定されています。複数の顧客から「注文情報と一致する不審な返金案内メール」を受信したとの問い合わせがあり、調査したところ会員情報・EC受注情報への不正アクセスが確認されました。
漏洩の可能性がある情報は、会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別、注文日時・商品名・金額・届け先などの注文情報です。データベース全体に不正アクセスされた可能性があり、取得された範囲を特定できていないため、同社は会員情報を預かっているすべての顧客が対象となる可能性があると説明しています。退会済みでも過去の受注データが残る顧客には通知しています。
ヤマト運輸はクロネコ代金後払いで調査継続
ヤマト運輸は2026年9月28日、「クロネコ代金後払いサービス」への第三者による不正アクセスを確認しました。10月2日の第2報では、一部顧客の氏名、住所、電話番号、メールアドレス、与信番号、請求金額、債権残高、商品明細などが漏洩した可能性があると公表しています。加盟店名・加盟店コードや担当社員氏名も対象です。
現時点では影響範囲を調査中です。ヤマト運輸は、クレジットカード情報とパスワード情報は対象に含まれていないとしています。宅急便など他サービスは通常どおり利用できます。
クレジットカード情報はどこに保存されるのか
情報漏洩のニュースで「クレジットカード情報は漏洩していない」と説明されることがあります。その理由の一つが、EC事業者自身がカード番号を保存せず、決済代行事業者（PSP）の決済基盤を利用する「非保持化」です。
アバハウスは今回、クレジットカード番号とセキュリティコードについて「決済代行会社のシステムで管理され、当社システムには保存していない」と説明し、現時点で漏洩を確認していません。日本クレジット協会のクレジットカード・セキュリティガイドラインでも、EC加盟店はカード情報を保持しない方式、または保持する場合はPCI DSSに準拠することが求められています。
ただし、「カード情報を自社保存していない＝ECサイトが安全」という意味ではありません。日本クレジット協会は、非保持化したEC加盟店でもWebサイトの脆弱性などを原因としたカード情報窃取が発生しているとして、サイト自体の脆弱性対策も必要としています。実際、2026年公表の「インク革命」では24,166人についてカード情報の漏洩可能性が判明し、ボンフォームオンラインストアでも3,463件・3,268人のカード情報が漏洩した可能性が公表されています。
個人情報保護委員会も、個人データであるクレジットカード番号だけの漏洩であっても、財産的被害が生じるおそれのある漏洩に該当するとしています。カード情報が対象になった事案では、利用明細を継続的に確認し、身に覚えのない請求があればカード会社へ確認することが重要です。
運転免許証画像の漏洩が重い理由
タイムズカーの事案では、約160万アカウントで運転免許証画像などの本人確認書類が漏洩しました。氏名やメールアドレスだけの漏洩とは異なり、本人確認書類には氏名、生年月日、住所、顔写真、免許証番号など複数の識別情報が一つにまとまっています。
そのため、免許証画像が漏洩したからといって直ちに何らかの契約が成立するわけではありませんが、本人になりすました連絡や、漏洩情報を組み合わせた精巧なフィッシングなどには注意が必要です。今回のようなケースでは、企業からの個別通知を確認するとともに、不審なSMS・メール・電話で追加の本人確認情報や認証コードを渡さないことが重要です。
なお、免許証の再交付や番号の扱いについては個別事情や手続きによって異なるため、「画像が漏れたら必ず免許証を交換すべき」「末尾の数字が増えることで信用が下がる」といった一律の説明は適切ではありません。必要性を感じる場合は、警察・運転免許センターなど公的窓口で現在の制度と対応を確認するのが確実です。
2026年の事案から見える共通点
2026年の公表事案を見ると、侵入経路は一つではありません。デジタル庁のGSSではVPN機器の脆弱性が悪用され、BIGLOBEや@niftyでは共通メール基盤の第三者製ソフトウェアの脆弱性が起点となりました。CAMPFIREではGitHubアカウントへの不正アクセスを端緒にクラウド環境まで調査が拡大し、ランサムウェアによって業務サーバーやファイルサーバーが被害を受けた企業もあります。
個人情報保護委員会の令和7年度年次報告でも、不正アクセスによる漏洩原因として、VPN機器やECアプリケーションの既知の脆弱性を放置したケース、推測されやすいID・パスワード、設定ミスによる不適切なデータベースアクセス制御などが挙げられています。つまり、攻撃者だけを見るのではなく、パッチ適用、認証、権限管理、監視、委託先管理まで含めた対策が必要です。
さらに、いえらぶGROUPやKDDIのメール基盤のように、利用企業側のシステムが直接侵入されていなくても、クラウドサービスや共通基盤を経由して顧客情報が影響を受ける事案があります。利用者から見ると「どの会社に情報を渡したか」だけでは実際の保存先や処理経路を把握しにくいことも、現代の情報管理の難しさです。
自分の情報が対象だった場合に確認すること
対象企業から通知を受けた場合は、まず公式サイトの発表と通知内容を照合してください。漏洩事故に便乗し、企業、金融機関、警察、公的機関などを装って追加情報を聞き出すフィッシングや電話詐欺が発生する可能性があります。メールやSMS内のリンクからではなく、普段使っている公式アプリや自分で開いた公式サイトから確認する方が安全です。
パスワードが対象になった場合は、対象サービスだけでなく、同じパスワードを使い回している他サービスも変更する必要があります。カード情報が対象なら利用明細、口座情報が対象なら金融機関からの不審な連絡や取引、本人確認書類が対象なら本人確認を装う連絡など、漏洩した情報の種類に応じて警戒点が変わります。
2026年10月3日時点でも、ヤマト運輸、JOGMEC、東京科学大学など調査が継続している事案があります。初報では「可能性」だったものが後日「漏洩確認」に変わったり、対象件数が増減したりすることもあるため、対象者は企業・団体の続報を確認することが重要です。
まとめ
2026年は、数百万人規模の会員情報から、運転免許証画像、保険契約・口座情報、メールパスワード、ECのクレジットカード情報まで、性質の異なる情報が不正アクセスの対象になりました。タイムズカー約660万アカウント、BIGLOBE約501万人、アフラック約440万人、@nifty約225万人など、大規模な事案も複数確認されています。
重要なのは件数だけではありません。漏洩した情報の種類、漏洩が確定しているのか可能性なのか、パスワードや本人確認書類、金融情報が含まれるのかによって利用者が取るべき対応は変わります。LUMARION Mediaでは、今後各社から重要な調査結果が公表された場合、本記事の内容も必要に応じて更新します。
コメント