情報漏えいはどこで起きたのか、2026年9〜10月の67件一覧、ミスターマックス173万件と第一興商872万件

2026年9〜10月に公表された67件

各社の公表を中心に、報道で確認できたものを公表日の順に並べました。件数は各社の発表の表記のままで、「件」「人」「レコード」は単位が違うため足し合わせていません。

9月に公表されたもの

9月は、タイムズカーやEPARK、Gyazoなど件数の大きい事案と、京王電鉄グループや佐賀大学のランサムウェアによる障害が重なりました。会社名のあとの①は会社・団体の公表を当社が直接確かめたもの、②は報道やセキュリティ情報サイトで確かめたものです。件数は発表の表記のままです。

EPARKリラク&エステの件数は、9月24日の第二報の数字です。7月31日の第一報（約3,300万レコード）を精査したもので、同じ人が重複して数えられている可能性があるため、人数ではありません。

出典：各社・各団体の公表と報道、セキュリティ情報サイト（piyolog、ロケットボーイズ、EnterpriseZineほか）。2026年10月10日に確認。

10月に公表されたもの

10月は、ミスターマックス、焼肉きんぐ、第一興商など会員数の多いサービスの公表が続き、IDCFクラウドへのランサムウェアで多くの企業・自治体のサービスが止まりました。NewsPicksでは、カードの名義と番号の下3桁または下4桁などが漏れたおそれがあると公表されました。IDCFクラウドへの攻撃では、メール配信の外部サービスを通じて、JR東日本のえきねっと・大人の休日倶楽部とビューカードも、メールアドレスなどが漏れたおそれがあると10月9日に公表しました。

出典：同上。「—」は件数の考え方がない障害の事案です。

67件から見えること

件数の大きさ、漏れた情報の種類、委託先への攻撃の3つの面から整理しました。

100万件を超えた13件

発表された件数が100万を超えるものは13件ありました。会員アプリや予約サイトなど、会員の多いサービスほど件数が大きくなっています。

単位が違うため順位は目安です。Gyazoは利用者関連の情報の件数で、ほかに画像のメタデータの件数が公表されています。EPARKリラク&エステはレコード数で、同じ人が重複している可能性があるため人数ではありません。skyticketは10月9日の続報で公表された、3件のうち最も大きい事案の件数です。

口座・本人確認書類・パスワードが含まれたもの

67件の多くは氏名・メール・電話番号などで、カード情報は「保有していない」「含まない」と公表した会社が大半でした。一方で、悪用されたときの影響が大きい情報を含むものもあります。

タイムズカーとskyticketは2つの区分に入っています。Gyazoは「認証関連情報」と公表しており、パスワードとしては数えていません。

パスワードはどれもハッシュ化か暗号化した状態で保存されていましたが、skyticketは、解読されるおそれがあるとして変更を求めています。

業務が止まったものと委託先への攻撃

ランサムウェアや不正アクセスで業務やサービスが止まったものは8件でした。京王電鉄グループでは京王ストアなどの決済が止まり、エスケーロジ、日本トレクス、日水物流では受注や入出荷に影響が出ました。IDCFクラウドへのランサムウェアでは、契約する495の企業・自治体のサービスが止まったと公表されています。

問い合わせ管理サービス「i-ask」への不正アクセスでは、大和証券、シチズン時計、損害保険ジャパンなど利用企業の情報に影響が出ました。委託先やクラウド1社への攻撃が複数の会社の利用者に広がる形が、この期間に目立ちました（当社の見方）。

自分の情報が含まれているかの確かめ方

多くの会社は、漏れたことを確認した人に個別のメールで知らせています。届いたメールが本物かどうかを確かめることが最初の一歩です。

通知メールが本物か確かめる

当社に届いたタイムズカーとskyticketの通知メールは、フィッシングと見分けやすいよう、URLを載せないか、公式サイトのURLだけを載せていました。メールのリンクから開かず、自分で開いた公式サイトのお知らせで、同じ内容が公表されているかを確かめます。

退会した人や、連絡先が変わった人にはメールが届かないことがあります。タイムズカーは、退会した人向けに問い合わせフォームを設けています。

漏れた情報ごとの対応

漏れた情報の種類によって、取るべき対応が違います。パスワードが含まれていれば変更し、同じパスワードを使う他のサービスも変えます。口座の情報なら明細を確かめ、免許証やパスポートなどの本人確認書類なら、信用情報機関への本人申告という手段があります。

情報漏えいの通知が届いた人が今できる3つのこと

各社の公表と、当社がこれまでに整理した個別の記事をもとにまとめました。どこまで対応するかは、漏れた項目にあわせて判断してください。

よくある質問

2026年9〜10月に情報漏えいを公表した会社は何社ありますか

2026年9月15日から10月9日までに当社が公表や報道で確認できたものは67件です。小さな事案や報道されていないものもあるため、すべてを網羅したものではありません。

いちばん件数が多かったのはどこですか

発表された件数では、Gyazoの約2,362万件、EPARKリラク&エステの約2,218万レコード、skyticketの約1,464万件が上位です。単位が違うため、順位は目安です。

クレジットカード情報が漏れた事案はありますか

カード番号とセキュリティコードまで漏れたおそれがあるのは、決済画面を改ざんされた大興印刷の1件です。カードの名義と番号の一部では、NewsPicksのユーザベースが最大36.2万件と公表しています（番号の全体とセキュリティコードは含まない）。ほかの多くの会社は、カード情報を保有していない、または含まないと公表しています。

自分の情報が含まれているか、どうやって確かめればいいですか

多くの会社は、漏れたことを確認した人に個別のメールで知らせています。メールのリンクは開かず、会社の公式サイトのお知らせで確かめてください。退会した人向けに問い合わせフォームを設ける会社もあります。

なぜプラスチックパレット株式会社がこの記事を書いているのですか

当社にもタイムズカーやskyticketから情報漏えいの通知が届きました。同じように通知を受け取った人が、自分の使うサービスと漏れた項目を確かめられるよう、各社の公表をもとに一覧にしました