2026年10月は、セキュリティの事案が途切れない月でした。月の初めに会員アプリからの大規模な漏えいが相次ぎ、21日にはPHPとNode.js(どちらもWebサービスを動かす土台のソフト)の重大な脆弱性(悪用されうる欠陥)の修正版が同じ日に出て、同じ日にGMOのクラウドサービスへの不正アクセスが公表されました。
この記事では、2026年10月の情報漏えいや不正アクセスの主な事案を、各社の公式発表をもとに一覧にし、手口を4つの型に分けます。件数は公表時点のもので、「おそれ」の段階の数字も含みます。10月27日時点の情報です。
主な事案の一覧
公表 | 会社・サービス | 何が起きたか |
|---|---|---|
10月5日 | 焼肉きんぐ公式アプリ(物語コーポレーション) | 会員管理システムへの不正アクセス。約1,079万件の会員情報の漏えいを確認 |
10月5日〜 | infoQ(GMOリサーチ&AI) | ソフトウェアの脆弱性を突かれ、約89万件の会員情報が持ち出され、ポイントが不正に交換された |
10月6日 | ミスターマックス | アプリとオンラインストアのサーバーへの不正アクセス。最大約173万5,000人分 |
10月13日(停止は7日) | ライドオンエクスプレスHD(銀のさらなど) | データの保管を委託していたサーバー運営会社へのランサムウェア(データを使えなくして身代金を要求するウイルス)攻撃。最大約650万件の漏えいのおそれ |
10月8日 | 第一興商 | 委託先の従業員のパソコンがマルウェア(悪意のあるプログラム)に感染。約872万件の漏えいのおそれ |
10月21日 | PHP | 重大な脆弱性(PHP2Shell)の修正版。国内の多くのサービスが一時停止 |
10月21日 | Node.js | 10件の脆弱性の修正版。圧縮データを開く処理の欠陥で、外から勝手に命令を実行されるおそれ |
10月21日〜 | お名前.com デスクトップクラウド(GMO) | 不正アクセス、取引口座の不正操作、顧客情報の持ち出しの確認(第4報)、約80億円の要求 |
infoQを運営するGMOリサーチ&AIも、デスクトップクラウドのGMOインターネットと同じGMOグループの会社です。
型1 会員アプリの管理システムが狙われる
焼肉きんぐ、ミスターマックスなど、月の初めに続いたのは、飲食や小売のアプリやオンラインストアの会員情報を置くサーバーからの漏えいでした。メールアドレスや電話番号が中心ですが、焼肉きんぐ1件で1,000万件を超えます。
アプリは店舗の集客に欠かせない一方、会員の情報が1か所に集まります。外から見えるサーバーの更新が止まっていないか、管理画面に誰でもたどり着けないかは、まず確かめたいところです。
型2 委託先から入られる
銀のさらや第一興商の件は、自社ではなく、データの保管や業務を任せている会社が狙われました。自社のシステムをいくら固めても、同じ情報を扱う委託先が破られれば、漏えいは起きます。
委託先と契約するときに、事故のときに何時間で連絡が来るか、どんな対策をしているかを確かめておくことが、型2への備えになります。
型3 土台のソフトの重大な欠陥
PHPとNode.jsは、どちらもWebサービスの土台になるソフトです。修正版が出た日に、国内のサービスが一斉に止まったPHPの件は、別の記事で時系列にまとめました。
自社のサービスがどのソフトのどの版で動いているかの一覧を持っているかどうかで、この型への対応の速さが決まります。
型4 クラウドの基盤そのものが破られる
GMOのデスクトップクラウド(FXの取引ソフトを24時間動かすために借りる、インターネット上のWindowsのパソコン)は、利用者が借りていたクラウドの基盤が破られた例です。利用者の側に落ち度がなくても、中に置いていたもの、今回なら取引口座にログインしたままの取引ソフトが、まとめて危険にさらされました。
借りているクラウドに何を置いているか、そこが破られたら何を失うかを、一度書き出しておくと備えになります。
自分のサイトで確かめたこと
私もこの月の事案を追いながら、このメディアの周りを見直しました。サイトを公開用に組み立てる(ビルドする)ときに使うNode.jsのバージョンを、決めていなかったことに気づきました。大きな事故の多くも、こうした「決めていなかったこと」から始まっているように思います。
今月の事案から自社で確かめること
4つの型を、自社の確認項目に直すと次のようになります。
- 外から見えるサーバーと管理画面の一覧と、それぞれの更新の状況
- 個人情報を扱う委託先の一覧と、事故のときの連絡の決まり
- 使っているソフトと、その版の一覧
- 借りているクラウドに置いているものと、破られたときの影響
事故が起きたときに、個人情報保護委員会への報告の期限がいつ来るかは、別の記事で整理しています。
