10 月後半に公表・更新された主な事案
2026 年 10 月後半も、個人情報漏えいに関する発表が続いています。厚生労働省の委託事業やカーセンサーの発表に加え、Commune、Gyazo など過去に公表された事案の続報も出ました。同じ週のニュースでも、新たに判明した被害と、調査によって対象範囲が絞られた報告が混在しています。
この記事では、10 月 16〜22 日に公表・更新された主な 6 事案を、10 月 23 日時点で確認できた公式発表に基づいて整理します。期間中のすべての事案を集めた一覧ではありません。また、表の日付は公表・更新の日であり、その日に攻撃が起きたという意味ではありません。
発表が相次ぐ背景や全国の統計は、個人情報漏えいの発表はなぜ相次ぐのか で解説しています。本記事は直近の発表を読み、自分や自社が対象かを調べるためのまとめです。
| 公表日・サービス | 確認内容 |
|---|---|
| 10/22 厚生労働省「1FEdu」 | 6 名の認証情報の漏えいを確認。最大 595 名の登録情報に漏えいの可能性 |
| 10/21 カーセンサーnet・C-MATCH | 対象項目と最大件数を公表。最大 3,709,551 件の個人情報に漏えいの可能性 |
| 10/20 Studio | 10/16 の初報を更新。情報を外部から取得できる状態を確認。実際の取得は未確認 |
| 10/20 NEC | 委託先経由の影響を公表。顧客システムの障害と共有ファイルの漏えいを確認 |
| 10/21 Commune | 10/9 の初報の続報。漏えい対象を延べ 166,505 人に特定 |
| 10/21 Gyazo | 9 月の事案の第三報。データの種類ごとに調査結果と確認範囲を公表 |
出典は、厚生労働省、リクルート、Studio、NEC、Commune、Helpfeel の Gyazo に関する第三報 です。以降の説明も、それぞれの発表に基づきます。
表の数字は単位が揃っていません。人数のほか、保存された情報の件数やアカウント数があり、同じ人を重複して数える場合もあります。さらに、漏えいが確認された範囲と、可能性のある最大範囲は別です。数字だけを足して「今週の被害者数」とすることはできません。
FIXITえっ、また漏えいのニュース！ 自分の情報も漏れてるのかな……
Shiori不安になりますよね。まず、新しい事件か過去の続報かを、発生日と公表日で分けて見てみましょう。
FIXIT件数も変わってるよね。被害が広がってるのかと思うと、落ち着かないよ。
Shiori調査で対象が絞られて、件数が変わる場合もあります。何を数えた数字なのか、一緒に確認しましょう。
新たな公表で分かった対象範囲
厚生労働省の委託事業は、確認済み 6 名と最大 595 名を分ける
厚生労働省は 10 月 22 日、テクノヒルに委託している事業の Web サイト「1FEdu」で、個人情報の漏えいが判明したと公表しました。対象は、東京電力福島第一原子力発電所の廃炉等作業における被ばく低減対策を普及・啓発する事業です。対象は教育用の Web サイトです。
確認されたのは、6 名分のメールアドレスとパスワードの漏えいです。漏えいした認証情報を使った不正ログインも確認されています。一方、サイトに登録されていた最大 595 名分の情報には、漏えいの可能性があるとしています。595 名には確認済みの 6 名が含まれるため、両方を加算しません。
| 対象範囲 | 確認状況 |
|---|---|
| 6 名の認証情報 | メールアドレスとパスワードの漏えい、不正ログインを確認 |
| 最大 595 名の登録情報 | 漏えいの可能性。確認済みの 6 名を含む。登録項目は人によって異なる |
flowchart TB
accTitle: 1FEdu の漏えいの可能性がある範囲と確認済みの範囲
accDescr: 最大 595 名の登録情報に漏えいの可能性があり、そのうち 6 名はメールアドレスとパスワードの漏えいが確認されています。
A["最大 595 名<br/>登録情報に漏えいの可能性"]
B["6 名：漏えいを確認<br/>メールアドレスと<br/>パスワード"]
A -->|このうち| B
classDef possible fill:#f8fafc,stroke:#94a3b8,color:#0f172a,stroke-width:1px
classDef confirmed fill:#eff6ff,stroke:#2563eb,color:#0f172a,stroke-width:2px
class A possible
class B confirmed登録情報には業務経験なども含まれますが、全員が同じ項目を登録しているわけではありません。自分の対象範囲を調べる場合は、人数だけでなく、登録した情報と個別の案内を照合してください。
同省はサービスを停止し、外部からのアクセスを遮断したと説明しています。原因は調査中です。攻撃の発生日は公表本文に記載されておらず、10 月 22 日は公表日です。
また、サイトのパスワードは機械的に付与され、利用者が任意に設定・変更できない仕様です。対象者は厚生労働省と運営側の案内を確認してください。
カーセンサーは、問い合わせ者と販売店などで項目が異なる
リクルートは 10 月 21 日、「カーセンサーnet」と中古車販売店向けの「C-MATCH」について、最大 3,709,551 件の個人情報が漏えいした可能性を公表しました。10 月 17 日に不審なアクセスを検知し、同日 17 時ごろに関連サービスを一時停止。20 日に対象となる項目と最大件数を把握したという経緯です。
この数字は、漏えいが確定した人数を示すものではありません。問い合わせ者、口コミ投稿者、販売店、従業員等で対象項目が異なります。
| 対象・件数 | 漏えいの可能性がある情報 |
|---|---|
| 問い合わせた利用者 3,210,421 件 | 氏名・住所など。問い合わせ内容や連絡先を含む範囲もある |
| 口コミ投稿者 5,289 件 | 氏名。一部はメールアドレスも含む |
| C-MATCH 登録販売店 483,168 件 | 代表者・担当者の情報、許認可情報、ログイン ID など |
| 従業員・委託先・販売代理店の関係者等 10,673 件 | 氏名、メールアドレス、ログイン ID |
問い合わせ者の住所は原則として市区町村までです。町名・番地・建物名・部屋番号等を含む可能性があるものは最大 447,670 件で、問い合わせ者の件数に含まれます。別の被害件数として足しません。メールアドレスや電話番号も、問い合わせ者全員について対象になっているわけではありません。
もう 1 点、金融情報の読み方にも注意が必要です。リクルートは、対象情報にクレジットカードなどの決済情報やログインパスワードは含まれないと説明しています。ただし、個人事業主の販売店については引落口座情報を対象項目に挙げています。「決済情報は対象外」を「すべての口座情報が対象外」と言い換えると、この区分が抜けます。
利用者は問い合わせや口コミの利用履歴、販売店は登録形態を確認したうえで、リクルートの専用窓口 と個別の案内を参照してください。詳細な原因と影響範囲は調査中です。
委託先・外部サービスを通じて影響が広がった事案
Studio は、サイト運営者とフォーム送信者の両方に関わる
Studio は 10 月 16 日に不正アクセスを公表し、20 日に案内を更新しました。9 月 30 日〜10 月 1 日に一部機能の脆弱性が悪用され、対象データを外部から取得できる状態になっていたとしています。問題は 10 月 14 日に解消済みです。
実際にデータが取得されたかどうかは確認できていませんが、同社は取得されたものとみなして対応しています。可能性の対象にはアカウント情報、フォーム、CMS、外部連携のキーなどが含まれ、機能ごとの件数は精査中です。自社が使っていた機能と、告知にある対象条件を照合してください。
Studio の事案は、サービスの契約者だけの問題とは限りません。Studio で作られた企業サイトのフォームに問い合わせた人も、保存された回答が対象に当たれば関係します。フォーム送信者は、Studio に会員登録していなくても、送信先企業の案内を確認してください。サイト運営者は、制作を外部に委託していた場合も、フォームの保存先や対象期間を確認してください。
外部サービスにフォームの回答を保存する構成の例です。
flowchart TB
accTitle: フォームの回答が外部サービスに保存される流れ
accDescr: 問い合わせる人が企業サイトのフォームに入力して送信し、その回答が外部サービスに保存される構成の例です。
A["問い合わせる人"]
B["企業サイトのフォーム"]
C[("外部サービス<br/>回答を保存")]
A -->|入力・送信| B
B -->|回答データ| C
classDef entry fill:#ffffff,stroke:#94a3b8,color:#0f172a,stroke-width:1px
classDef storage fill:#eff6ff,stroke:#2563eb,color:#0f172a,stroke-width:2px
class A,B entry
class C storage外部サービスの API キーやトークンを登録していた場合には、利用者側で必要な操作があります。Studio 側の対策だけで、外部サービスが発行したキーまで失効するわけではありません。発行元で新しいキーへ切り替え、旧キーを失効させる対応が求められています。制作担当と運用担当が異なる場合は、誰が発行元の管理画面を操作できるかも確認してください。
暗号化されていた情報についても、復号に使う鍵が同じ不正アクセスで読み取られたと説明されています。「保存時に暗号化していた」という一文だけで影響を判断せず、鍵を含む対象範囲まで読む必要がある事例です。
NEC は、盗まれた正規の認証情報による影響を公表
NEC は 10 月 20 日、システムの開発・保守を委託している企業が 9 月下旬にサイバー攻撃を受けたことを起点とする、顧客への影響を公表しました。盗まれた正規の認証情報が悪用され、委託先の端末から顧客システムに不正アクセスが行われたとしています。
公表内容には、ファイルの暗号化に伴うシステム停止と、情報漏えいの両方が含まれます。関係者が共有していたクラウドストレージから、個人情報やシステム情報を含むファイルが漏えいしたことも確認されています。件数や委託先の名称は、参照した公表本文には記載されていません。
この発表から企業担当者が点検できるのは、保守のために渡したアカウントと、関係者で共有したファイルの管理です。委託先の名前だけを調べても、自社のどのシステムや資料にアクセスできるかが不明なら、影響範囲の確認は終わりません。後の節で、確認項目を整理します。
Studio と NEC は、いずれも外部とのつながりを通じた影響を考える事例ですが、公表された経緯は別です。日付が近いことや委託関係があることだけを理由に、同一の攻撃や原因だと結び付ける根拠はありません。また、同じ基盤を使う複数の組織がそれぞれ発表しても、その数が独立した攻撃の数になるとは限りません。
過去の事案の続報で更新されたこと
Commune は、初報の推計から対象人数を特定
Commune は 10 月 21 日、「Commune」と「Commune for Work」への不正アクセスについて、10 月 9 日の初報に続く報告を出しました。初報で最大約 30.7 万人としていた推計を見直し、漏えい対象を延べ 166,505 人と特定しています。うちメールアドレスを含むものは 125,601 人で、全体の内数です。
延べ人数である点も読み落とせません。コミュニティごとに会員 ID を数えて合計しているため、複数のコミュニティに登録した同じ人が重複して含まれます。166,505 人は、重複を除いた実人数ではありません。初報から数字が小さくなったのは、調査により対象範囲を特定した結果であり、確認された漏えいの事実は変わりません。
対応として、不正アクセスの経路の遮断、共通招待リンクの差し替えと未使用の招待の無効化、ログイン用の署名鍵の更新、不正に書き込まれたデータの除去などを説明しています。データベースは 10 月 6 日 18 時の状態へ復元し、16 日以降、希望する企業から順に機能を制限してサービスを再開しています。第三者機関による調査は準備中とされています。
コミュニティを運営する企業は、再開できる機能と利用者への案内を確認してください。登録者側は、参加しているコミュニティの運営者からの連絡も参照します。複数のコミュニティに所属している場合は、1 か所の案内を読んで他も同じ状態だと決めず、運営者ごとの対象範囲を確認してください。
Gyazo は、アカウント・画像メタデータ・画像本体を分ける
Helpfeel は 10 月 21 日、画像共有サービス「Gyazo」への不正アクセスについて第三報を公表しました。報告に記載された情報の基準日は 10 月 20 日です。初報は 9 月 16 日で、今回の発表は 9 月 11〜12 日未明の攻撃に関する調査結果です。
公表された原因は、画像アップロードサーバーでの変換処理における入力の扱いの不備です。不正なコマンドが実行され、データベース内の情報が外部へ送信されたと説明しています。同社は自社システムの脆弱性による事案とし、委託先を起点としたものではないことも明記しています。
数字は、データの種類を分けて読む必要があります。約 2,362 万件というユーザー情報の数字はアカウント数であり、実人数ではありません。画像メタデータの件数も、画像ファイルそのものが取得された件数とは異なります。画像本体について閲覧・取得が確認された範囲は、133 人の 432 件です。
ただし、この確認範囲だけを示して、ほかの情報への影響が否定されたと理解するのも適切ではありません。外部専門機関は、送信内容のログがないため、流出した項目や件数を直接確認できなかったと説明しています。第三報の対象範囲は、外部専門機関の結果と Helpfeel 自身の調査を踏まえて公表されたものです。
パスワードはハッシュ値として扱われています。不正アクセス以前の画像は、所有者本人が内容を確認したうえで配信を再開する方式です。一部の認証情報は無効化されています。Helpfeel は、事件後に Gyazo のパスワードを変更していない利用者に変更を依頼しています。他のサービスで同一または類似のパスワードを使っている場合も変更対象です。利用者は第三報の対象データと、自分に当てはまる依頼を確認してください。
利用者は対象範囲と公式の依頼を確認する
発表を読んだら、自分が使ったサービス名だけでなく、利用方法を確認します。登録、問い合わせ、口コミ投稿、コミュニティへの参加、画像のアップロードでは、保存される情報も変わります。利用した企業サイトの裏側で別のサービスが使われている場合もあります。
確認の順序は、次のようにすると対象の見落としや不要な操作を減らせます。
- 普段利用している公式サイトや公式アプリから告知を開く
- 自分の利用方法、利用期間、登録した項目が対象に当たるか確認する
- 個別通知がある場合は、告知と照合して依頼された操作を行う
- 自分で判断できない項目は、告知に記載された窓口へ問い合わせる
- 確認した日と告知の URL を控え、調査中の項目は続報で見直す
メールが届いたことだけで本物と判断しないようにします。氏名や利用サービスを知っている相手からでも、漏えいした情報を利用した連絡である可能性を考える必要があります。不審な通知のリンクや添付ファイルを開かず、公式サイトから窓口を確認してください。カーセンサーの発表でも、漏えいした可能性のある情報を悪用した不審な連絡への注意が案内されています。
パスワード変更と外部連携の変更は、別の作業
「漏えいの発表を見たらパスワード変更」と一括りにすると、必要な対応を取り違えます。今回の 6 事案でも、ログインパスワードが対象外と説明されているサービス、利用者が変更できない仕様のサービス、外部連携のキーを切り替える必要があるサービスがあります。
| 確認する情報 | 利用者・管理者が読む箇所 |
|---|---|
| ログインパスワード | 対象に含まれるか、変更や再設定が求められているか |
| 外部サービスの API キー・トークン | 発行元での切り替えや旧キーの失効が必要か |
| メールアドレス・電話番号 | 対象の区分に含まれるか、不審な連絡への案内があるか |
| 画像・投稿・フォーム回答 | 対象の保存期間や機能、確認手続きが示されているか |
問い合わせる際は、窓口が求める範囲を確認し、パスワードや秘密のキーそのものを送らないでください。
企業はフォーム・共有環境・委託先の保管先を点検する
ここからは、各社の事故原因の説明とは分けて、企業の情報管理を点検するための提案を整理します。公表された内容を自社に当てはめて、同じ被害が起きていると判断するものではありません。
「契約しているサービス一覧」は出発点になりますが、個人情報の保管先を調べるには、業務の担当者と制作・保守の委託先の確認も必要です。会社の Web サイト、イベント用のフォーム、利用者コミュニティ、画像共有、保守用のファイル置き場など、用途から確認すると契約名だけでは分からない保存先を探せます。
サービス名と、実際に保存した情報を結び付ける
まず、発表にあるサービスを使っている部署を調べます。直接契約していない場合は、制作・運用の委託先にも確認します。使っていることが分かったら、どの機能に何を保存したかを聞いてください。
| 点検する場所 | 担当者に確認する内容 |
|---|---|
| 問い合わせ・申込フォーム | 回答の保存先、通知メールの宛先、保存期間、削除済みかどうか |
| コミュニティ | 運営主体、会員情報の項目、利用している外部サービス、告知の担当 |
| 画像・ファイルの共有先 | 顧客情報を含む資料の有無、公開範囲、共有リンク、管理者 |
| 保守用アカウント | 委託先の利用者、アクセスできるシステム、契約終了後の扱い |
| 外部連携の認証情報 | 発行元、利用目的、切り替え担当、旧キーを失効できる管理者 |
たとえばフォームについては、サイト制作を発注した部署が、回答の保存先を把握していない場合を想定して点検します。制作担当者には「当社サイトで使っているフォームのサービス名」「回答を保存している場所」「今回の告知に当たる機能と期間」をまとめて確認すると、単に「影響はありますか」と聞くより回答の範囲が明確になります。
一方、調査のために顧客情報を新しい表へ丸ごと複製すると、管理対象を増やしてしまいます。棚卸しの表には情報の種類や保管先、管理者を記載し、個人情報の実データを必要以上に転記しないようにします。項目の決め方は、個人情報リスクアセスメントの実務ガイド も参照してください。
委託先への質問は、対象範囲と担当を分ける
委託先から「確認中です」と返ってきたときは、何が未確認なのかを分けます。サービスを使っていたか、個人情報を保存していたか、対象の機能だったか、必要な対処を終えたかは別の質問です。未確認の項目が残る場合には、次に回答をもらう日と社内の担当者を決めておきます。
外部連携のキーの変更を例にすると、制作会社が設定を変更できても、発行元で旧キーを失効させる権限は自社の管理者にしかない場合があります。誰がどの管理画面を操作するかを分け、変更後の動作確認まで担当を決めてください。作業依頼を送った日だけで完了とせず、何を実施したかを記録します。
保守用アカウントも、委託先の社名だけでは管理できません。利用者と用途、アクセス可能な範囲を確認し、不要な権限や終了した契約のアカウントが残っていないかを調べます。共有ファイルについては、取引が終わった後も共有が続いていないか、保存目的が終わった資料をどう扱うかを管理者と確認します。
社内報告には、確認済みと回答待ちを残す
経営者や関係部署への説明では、「影響なし」の一言でまとめず、判断した対象と根拠を添えます。たとえば「対象サービスの利用は確認したが、対象機能の利用有無は委託先に照会中」と書けば、次に何を待っているかが伝わります。公式発表が更新されたときも、どの項目を見直せばよいか分かります。
社内の確認票には、サービス名、担当部署、委託先、保存情報の種類、対象条件への該当、公式告知の URL、最終確認日、次の作業と担当者を記載します。件数を記す欄には、単位と確認状況も併記してください。推計値を確定値へ変更した場合は、以前の報告を読んだ人にも変更点を知らせます。
自社の利用状況を整理したうえで、規程や権限管理の見直しが必要になった場合は、情報セキュリティコンサルタント の支援内容をご覧ください。FIXIT は AI 駆動開発のクリエイティブスタジオとして、情報資産の棚卸しやリスク評価、運用ルールの整備を支援しています。
まとめ
10 月後半の発表には、新たに対象範囲が公表された事案と、過去の事案の調査結果が更新された続報があります。確認済みの漏えい、可能性のある最大範囲、人数とアカウント数を区別して読むことで、自分や自社に必要な確認を絞れます。
最初に行うのは、利用しているサービスや委託先を公式発表と照合することです。対象に当たる場合は、情報の項目と利用者への依頼を読み、担当者を決めて対応します。確認できていない項目は、調査中のまま記録し、続報で更新してください。
社内のどこに個人情報が保存されているか分からず、確認の担当も決まっていない場合は、FIXIT へのご相談 で現在の管理状況をお知らせください。把握できている保管先と、委託先へ確認が必要な範囲を整理するところから相談できます。