2026年9月のサイバー攻撃・不正アクセスまとめ、タイムズカーや京王、東京メトロなど

2026年9月、国内の企業や公共機関、Webサービスなどで、サイバー攻撃や不正アクセスによる被害の公表が相次いだ。

特に月後半には、タイムズカー、東京メトロ、京王電鉄、OZmall、セイコーマートなどで相次いで事案が公表された。画像共有サービス「Gyazo」については、約2362万件のユーザーに関するデータなどが外部に流出したことも公表されている。

以下、2026年9月に公表された主なサイバー攻撃、不正アクセスの事案をまとめる。

セイコーマートは9月29日、スマートフォン向け「セイコーマートアプリ」のサーバーを経由して、会員情報を保有するサーバに第三者から不正アクセスを受け、会員情報が漏えいした可能性があると発表した。

不正アクセスを受けた可能性があるユーザーIDは約57万アカウント。氏名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードへの入会年月日、退会年月日が第三者に閲覧された可能性がある。パスワードや購買履歴は漏えいしておらず、同社はクレジットカード情報を保有していないとしている。

9月24日22時～23時の間に、1件のアカウントで不正にクラブカードの退会処理が行われたことを確認。調査の結果、28日17時過ぎに会員サーバへ不正アクセスされた可能性が判明し、同日20時にサーバーへの接続を停止した。

同社は対象となる会員に個別に連絡し、パスワードの再設定を要請した。個人情報保護委員会への報告と警察への相談も行い、原因の究明と再発防止に向けた調査を続けている。

パーク24は9月28日、カーシェアリングサービス「タイムズカー」のWebシステムが第三者から不正アクセスを受け、約660万件のアカウント情報が取得されたことを明らかにした。

同社は9月25日9時7分に外部からの不正アクセスを検知。その後の調査で第三者による不正アクセスを確認し、26日7時25分までに不正アクセス経路と攻撃元との通信を遮断した。

対象にはタイムズカーの現会員や退会済み会員などが含まれ、氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報、本人確認書類情報などが漏えいした。

さらに同社は9月29日、運転免許証画像などの本人確認書類が漏えいしたアカウントが約160万件に上ることを確認したと発表した。漏えいが確認された本人確認書類には、運転免許証画像のほか、現住所確認書類画像、学生証画像、家族確認書類画像が含まれる。同社は対象となる会員への個別案内を開始している。

京王電鉄は9月26日未明、同社グループのサーバーに対するランサムウェア攻撃を確認した。

攻撃の影響により一部グループ会社の営業システムに障害が発生した。一方、鉄道の運行には支障はないとしている。

9月26日の公表時点では情報漏えいの事実は確認されておらず、外部の専門家とともに攻撃経路や被害状況などを調査している。

東京メトロ（東京地下鉄）は9月27日、メトロポイントクラブ（メトポ）の会員向けサービスが第三者から不正アクセスを受けたと発表した。

不正アクセスを受けたのは、メールの送信不能により配信を停止していたメールアドレスが格納されたサーバで、約5万9000件のメールアドレスが閲覧または取得された可能性がある。

同社は不正アクセスの被疑箇所に技術的な防御措置を実施し、委託先を含めて原因や影響範囲を調査している。

「OZmall」、最大約44.8万人の個人情報が漏えいした可能性

スターツ出版は9月27日、同社が運営する「OZmall（オズモール）」が第三者から不正アクセスを受け、会員の個人情報が外部に漏えいした可能性があると発表した。

漏えいした可能性があるのは、OZmall会員のメールアドレス最大44万7610名分と、一部の会員の氏名および住所（都道府県まで）。電話番号や番地を含む詳細な住所などが閲覧された形跡は確認されておらず、クレジットカード情報についても漏えいの可能性はないとしている。

画像共有サービス「Gyazo」を運営するHelpfeelは9月16日、第三者による不正アクセスを受け、ユーザーに関するデータや画像のメタデータなどが外部に流出したと発表した。

9月25日に公表した第二報によると、流出した約2362万件のユーザーに関するデータのうち、メールアドレスの登録がない匿名ユーザーは約1801万件、メールアドレスを登録しているユーザーは約562万件だった。約2362万件すべてでメールアドレスなどが流出したわけではないとしている。

また、主に2019年1月以前にアップロードされた画像に関するメタデータ約4.9億件に加え、主に2023年2月以前に削除された画像に関するメタデータ約1.74億件が流出していたことも判明した。いずれも画像ファイルそのものの流出件数ではない。

ムラウチドットコムは9月15日、同社が運用するシステムへの不正アクセスについて、外部の情報セキュリティ専門会社による調査結果を公表した。

調査の結果、同社が管理するWebシステムの一部に存在していた脆弱性を悪用され、複数のシステムに不正アクセスを受けたことが判明。顧客の個人情報771万6811件が外部に持ち出されたことを確認した。

漏えいした情報には氏名、住所、電話番号、メールアドレス、生年月日、性別が含まれる。クレジットカード情報とパスワードは対象に含まれていない。

同社は7月15日未明に社内システムで障害が発生し、翌16日の復旧作業中に第三者による不正アクセスの痕跡を確認。その後、外部の情報セキュリティ専門会社によるフォレンジック調査を進めていた。

GSS、VPNの脆弱性を悪用され約24.6万件の個人情報漏えいの可能性

デジタル庁は9月11日、同庁が運用するガバメントソリューションサービス（GSS）が外部から不正アクセスを受け、職員などの個人情報約24.6万件が漏えいした可能性があると発表した。

デジタル庁は6月25日、保守運用担当者のアカウントを利用してサーバ上の大量のファイルにアクセスする動きを検知。調査の結果、第三者がネットワーク接続機器（VPN）の脆弱性を利用してシステムに侵入し、不正アクセスしていたことが7月9日に判明した。

漏えいした可能性があるのは、氏名約23.6万件、メールアドレス約23.1万件、電話番号約9.4万件、住所約0.1万件など。GSSを利用する各府省庁などの職員や、その業務に携わった事業者・個人などの情報が対象で、一般の人の個人情報は含まれていない。マイナンバー、金融機関口座情報、年金番号なども含まれていないとしている。

デジタル庁はVPNへのパッチ適用や当該アカウントの停止、外部との通信遮断などを実施。脆弱性管理方法の見直しや外部からの接続方法の改善などを進めるとしている。

ニチレイは9月18日、サイバー攻撃を受けたサーバーに保存されていた個人情報の漏えいを確認したと発表した。

この事案について同社が最初にシステム障害を公表したのは7月13日。その後、外部の専門家や関係機関と調査を進め、9月に調査結果を公表した。

漏えいした個人情報は、配送先や取引先、従業員などに関する約5万件。同社によると、9月18日時点で不正利用などの二次被害は確認されていない。

ロート製薬は9月15日、同社の通販で使用しているシステムへの不正アクセスについて、調査状況を公表した。

調査の結果、通販の問い合わせ対応に使用するシステムに保存されていた顧客との通話音声データや関連情報が、第三者に不正取得された可能性があることが判明した。また、顧客管理システムへの不正アクセスにより、情報が取得された可能性も確認している。

同社は外部の専門機関とともに、取得された可能性がある情報の範囲や件数、対象者などを調査している。9月15日時点で主要な業務への影響は確認されていない。

9月に公表された事案を見ると、Webサービスへの不正アクセス、大量の個人情報漏えい、ランサムウェアによる業務システムへの影響など、被害の形態はさまざまだ。

また、公表された時期と実際に攻撃が発生した時期が異なるケースもある。各社・機関では原因や影響範囲の調査を続けており、今後の調査によって被害規模などが更新される可能性がある。

本文の著作権はマイナビニュースにあります。