なぜJRもヤマハも防災メールも? 相次ぐ情報漏えい・不正アクセスを「委託先」でつないでみた
| 項目 | 内容 |
|---|---|
| 対象 | 2025年10月〜2026年10月14日に公表された事案のうち、委託先の被害を受けて、利用していた組織が3つ以上公表したもの(19件) |
| 結び付けの基準 | 委託先とのつながりが、組織の公表文か報道に書かれているものだけを結んでいます |
| 時点 | 2026年10月14日 |
| 情報源 | 各事案の個別記事と、表内のリンク先の公表。利用組織の一覧は piyolog と セキュリティ対策Lab のまとめも参照。国家サイバー統括室の注意喚起は ITmedia NEWS(10月9日)、IPAの順位は 情報セキュリティ10大脅威 2026 |
2026年10月、「〇〇市の防災メールに不正アクセス」というニュースが各地で続きました。同じころ、JR東日本やJR九州、ピーチもメールアドレスなどの漏えいの可能性を公表しています。ヤマハやスズキのコミュニティサイトでも、会員の情報が漏れました。
これらは別々の事件ではありません。防災メールは、配信を請け負うアルカディア1社の被害でした。JRとピーチは、IDCフロンティアのクラウドが攻撃を受けた影響です。ヤマハとスズキは、コミュニティサイトの基盤を提供するコミューンの被害でした。
こうした委託先の被害には、国も注意を呼びかけています。内閣官房の国家サイバー統括室は10月9日、相次ぐ情報漏えいを受けて注意喚起を出しました。委託先の対策を契約時だけでなく継続して確認するよう、企業などに求めています。
情報処理推進機構(IPA)が毎年まとめる「情報セキュリティ10大脅威」の2026年版でも、「サプライチェーンや委託先を狙った攻撃」は組織向けの2位でした。この項目は8年続けて選ばれています。
当サイトでは、2025年10月以降の事案から、委託先の被害が複数の組織に広がったものを19件まとめました。委託先がどんなサービスを提供し、何が起きたかを一覧にしています。あわせて、どの組織の名前でニュースになったかも並べました。対象かもしれない人が発表を待たずにできることも、後半にまとめています。
1社の被害が多くのニュースになる理由
Section titled “1社の被害が多くのニュースになる理由”企業や自治体は、メールの配信や予約の受付などを専門の会社のサービスに任せています。同じサービスを多くの組織が使っているため、その1社が被害を受けると、影響は利用する組織すべてに及びます。IDCフロンティアは、影響が495の企業・自治体に及んだと公表しました。
委託先は、利用している組織の名前を公表しないことが多くあります。アルカディアやIDCフロンティア、コミューンも、利用している組織の一覧を出していません。そこで、利用する組織がそれぞれ「お客さまの情報が漏れた可能性がある」と公表します。新聞やテレビは、その組織の名前を見出しにして報じます。
公表の順番も、ばらばらです。i-askの件では、利用企業の大和証券が委託先より1日早く公表しました。手間いらずの件でも、宿泊施設の注意喚起が委託先の公表より先に出ています。ショップサーブの件では、委託先が8月1日に公表した後、10月になっても通販サイトの公表が続きました。
委託先の先に、さらに委託先がある場合もあります。JR東日本は、メールの配信を外部のサービスに任せていました。そのサービスが、IDCフロンティアのクラウドで動いていました。利用者から見ると、名前も知らない会社の被害で自分の情報が対象になります。
委託先のサービスの全体像
Section titled “委託先のサービスの全体像”19件の委託先は、提供していたサービスで3つに分かれます。名前を押すと、下の早見表の該当する委託先に移ります。
メールやメッセージの配信(4件)
Section titled “メールやメッセージの配信(4件)”IDCフロンティアの件でも、JR東日本・JR九州・高島屋はメール配信の仕組みが止まりました。
利用者が直接使う窓口(7件)
Section titled “利用者が直接使う窓口(7件)”- 手間いらず:ホテル・旅館の予約管理
- スカラコミュニケーションズ:企業サイトの問い合わせ受付
- ApplyNow:採用の応募受付・録画面接
- コミューン:企業のコミュニティサイト
- Eストアー:通販サイトのカート
- 加賀ソルネット:大学推奨パソコンの販売サイト
- Edv Future:学校向けの学習支援
登録や予約、問い合わせで組織に渡した情報は、こうした会社のサーバーにも置かれています。
利用者から見えにくい裏方(8件)
Section titled “利用者から見えにくい裏方(8件)”- IDCフロンティア:企業や自治体のシステムを置くクラウド
- 佐川急便:荷物の配送
- アスクル:ネット通販の物流
- 日本テレネット:FAXの一斉送信・コールセンター
- 新日本検定協会:損害保険の損害調査
- YCC情報システム:自治体などのシステム運用
- 両毛システムズ:自治体やガス会社のシステム運用
- リプロワーク:ハードディスクの破砕
起きたことは、情報の漏えいだけではありません。多くの自治体で、防災メールが10月13日11時から止まりました。茨城県のホームページは、10月13日時点でも臨時ページのままでした。アスクルの件では、無印良品やロフトのネット通販が一時止まりました。
早見表(2026年9月〜10月)
Section titled “早見表(2026年9月〜10月)”10月14日時点の状況です。各委託先の一覧は、つながりを公表した組織の名前を並べています。一覧の組織名から、それぞれの公表や報道に移れます。
アルカディア:自治体の防災メールの配信
Section titled “アルカディア:自治体の防災メールの配信”10/13公表|個別記事
- 起きたこと:各地の防災メールや安全安心メールが10月13日から停止
- 漏えいの可能性:メールアドレス最大約313万6,000件・電話番号約10万5,000件など
- 公表した団体:115団体(10月14日時点。一覧は下)
公表した115団体を見る
| 北海道・東北(16) |
|---|
| 帯広市 / 函館市 / 音更町 / 奈井江町 / 北広島市 / 富谷市 / 宮城県 / 秋田市 / 鹿角市 / 小坂町 / 横手市 / 由利本荘市 / 福島市 / 郡山市 / 棚倉町 / 北塩原村 |
| 中部(35) |
|---|
| 上越市 / 見附市 / 新潟市 / 高岡市 / 黒部市 / 入善町 / 砺波市 / 小矢部市 / 南砺市 / 県西部消防指令センター / 石川県 / 金沢市 / 中能登町 / 志賀町 / 福井県 / 福井県立病院 / 福井市 / 鯖江市 / 越前市 / 敦賀市 / あわら市 / 池田町 / 大野市 / 松本市 / 長野市 / 静岡市 / 島田市 / 牧之原市 / 菊川市 / 御前崎市 / 吉田町 / 伊豆の国市 / 東郷町 / 東海市 / 豊明市 |
コミューン:企業のコミュニティサイト
Section titled “コミューン:企業のコミュニティサイト”10/9公表|委託先の公表
- 起きたこと:全コミュニティが停止。10月10日から再び止まり、再開は未定
- 漏えい:約30.7万人分(同社の推計)。パスワードや決済情報は対象外
- 公表した組織:漏えいなど25組織、停止などのみ9組織(一覧は下)
公表した34組織を見る
| 漏えい・漏えいの可能性(25) |
|---|
| 青森県(2,950人) / VALX(2,950名) / ウイングアーク1st(約1,200名) / ヤマハ(約1,600名) / スズキ(約3,000名) / 湖池屋(最大1,800件) / 森永乳業(291名) / バンダイナムコエクスペリエンス / カルビー / LIXIL / LINEヤフー(1,750名) / Sansan(確認1,325名・可能性8,687名) / ZENB JAPAN(最大949名) / ちとせグループ(最大843名) / どっぷり高知旅キャンペーン推進委員会(358人) / 日本能率協会マネジメントセンター(2,950名) / ユニファ(1,450名) / ソフトブレーン(1,164名) / プログリット(約2,300名) / ベースフード(約1,500名) / パナソニック / 渋谷未来デザイン(495名) / ヤマハ発動機(約1,600名) / ユニリタ(最大1,169名) / 味の素 |
| 停止など(漏えいは確認されず)(9) |
|---|
| ダイドードリンコ / スタディスト / 東急不動産 / しずおか産業創造プラットフォーム事務局 / freee / 三起商行(ミキハウス) / T&S / Dr.BEAUTOPIA / 梅乃宿酒造 |
IDCフロンティア:企業や自治体のシステムを置くクラウド
Section titled “IDCフロンティア:企業や自治体のシステムを置くクラウド”10/7公表|個別記事
- 起きたこと:ランサムウェアで一部の区画が停止。メール配信やサイトなどが止まった
- 10/14の第5報で、データの外部流出はなかったと判断
- スナップショット機能を使っていた194社は、バックアップを取り出せる
- 公表した組織:IDCFは495の企業・自治体に影響と公表。名前が分かるのは54組織(一覧は下)
IDCFの名前を挙げて公表した54組織を見る
| 会員情報などの漏えいの可能性(17) |
|---|
| JR東日本(約206万件) / ビューカード(約403万件) / JR九州(最大約130万件) / JR東海(約1万5,000件) / ピーチ(約189万件) / イズミ(最大約40万件) / 高島屋 / スカパーJSAT / NTT ExCパートナー(最大約9万件) / 日本ICTテレコムユーザー協会 / 千代田区(日比谷図書文化館) / 東武動物公園(東武レジャー企画)(最大約600件) / レック(ラヴィ・ファクトリー) / 森のスパリゾート北海道ホテル / 東京酒粋(日本酒類販売) / フューチャーショップ / avex entertainment(スマプラムービー) |
| サービスの停止(33) |
|---|
| ニッスイ/日水物流 / シックス・アパート / UDトーク(シャムロック・レコード) / フーバーブレイン / グリニッジ / SKIMA(ビジュアルワークス) / Fanplus(SKE48 Mail/NMB48 Mail) / ネットアシスト / メディアリンク / はてな(Mackerel) / オートサーバー / ソリトンシステムズ / クロスランゲージ / ファイバーゲート / ノバシステム / ジェイック / COLORFULLY / オーエムツー(肉の市場) / ダイショー / 海天気 / e-365「さぶみっと!メール配信」 / 家畜感染症学会 / THE SURF NEWS / インテグラル(ホームズ君) / メディウェル / フォースネット / 知多メディアスネットワーク / MONOCO / クリックス / ブロッコリー(Z/X等) / サイバー大学 / ポピンズ / ケアネット |
スカラコミュニケーションズ:問い合わせ受付「i-ask」
Section titled “スカラコミュニケーションズ:問い合わせ受付「i-ask」”10/6公表|個別記事
- 起きたこと:管理サイトに不正ログイン。問い合わせの内容や氏名などが延べ最大71万3,126件漏えいのおそれ
- 公表した組織:シチズン時計・損保ジャパン・オリックス生命・東武鉄道・大和証券の5社
佐川急便:荷物の配送と問い合わせ
Section titled “佐川急便:荷物の配送と問い合わせ”9/30公表|委託先の公表
- 起きたこと:Webの一部サービスが停止
- 流出の可能性:過去約100日分の送り主・届け先の氏名・住所・電話番号
- 公表した組織:流出の可能性9組織、追跡の停止のみ5組織(一覧は下)
公表した14組織を見る
| 顧客情報の流出の可能性(9) |
|---|
| 横須賀市(ふるさと納税) / 富士薬品 / BS朝日ショップ / クリスタルジェミー / カミオジャパンショップ / アースケア / シンリョウネットショップ / オリエンタルバイオ / ファイブ |
| 荷物の追跡の停止のみ(5) |
|---|
| アインズ&トルペ / @cosme SHOPPING / C smart / ライフスタイルウォーター / 富士吉田市(ANAふるさと納税) |
手間いらず:ホテル・旅館の予約管理
Section titled “手間いらず:ホテル・旅館の予約管理”9/28公表|個別記事
- 起きたこと:宿泊者の氏名・電話番号・宿泊日など最大約445万人分が閲覧・取得された可能性
- 本物の予約内容を使った詐欺メッセージが、WhatsAppやSMS、メールで宿泊客に届いた
- 公表した施設・運営会社:250(一覧は下)
公表した250の施設・運営会社を見る
| 日付の記載なし(23) |
|---|
| オリンピックインホテルズ / プラザホテル下関 / ステーションホテル新宮 / HOTEL HOUSEN 草加 / 川崎グリーンプラザホテル / ホテルニュープラザ久留米 / 箱根強羅温泉 紬 / ホテル ブリランテ武蔵野 / 新宮サンシャインホテル(サンシャイン株式会社) / 高知共済会館 COMMUNITY SQUARE / ガロアホテル新大久保 / 歴史の宿 金具屋 / 月岡温泉 摩周 / ホテル ニューニシノ / 里山十帖 / 板橋センターホテル / オーベルジュ フレンチの森(株式会社パソナふるさとインキュベーション) / 帯広天然温泉ふく井ホテル / 睦館(下呂温泉・睦館) / ハセベ町屋イン / Aカードホテルネットワーク(一部のAカード加盟ホテルの予約情報連携) / 宮若虎の湯 / ホテルベルビュー長崎出島 |
ApplyNow:採用の応募受付・録画面接
Section titled “ApplyNow:採用の応募受付・録画面接”9/9公表|委託先の公表
- 起きたこと:8月9日から約1か月、システムが不正アクセスを受けた
- 漏えい:応募者の氏名・連絡先など約39万人分(調査中)
- 電子雇用契約のサービスでは、マイナンバーや口座情報も対象
- 公表した組織:企業5社・自治体9団体(一覧は下)
公表した14組織を見る
早見表(2025年10月〜2026年8月)
Section titled “早見表(2025年10月〜2026年8月)”Eストアー:通販サイトの構築・カート「ショップサーブ」
Section titled “Eストアー:通販サイトの構築・カート「ショップサーブ」”8/1公表|個別記事
- 起きたこと:5月から8月にかけて、購入者の情報が外部に送信された
- 漏えい:氏名・住所・電話番号やカード番号の一部など延べ約885万件
- 利用をやめた店の、何年も前の購入者も対象になった
- 公表した組織:71(一覧は下)
公表した71組織を見る
| 自店の顧客が対象と公表(36) |
|---|
| デザインフィル / 珈琲香坊 / 丸八製茶場 / ビースタイル本店(三嶋商事) / 魚重 / 明神水産 / ノフル / 有木 / メディアナビ / ココ・ファーム・ワイナリー / アーテック / 大倉陶園 / テンヴィクトリーズ / Saint James Japon / 博多ふくいち / レメディコム / 滝野川自動車(観音温泉飲泉ショップ) / ドリーミュージックパブリッシング(音プリ) / サンヨウ(環境スマイル) / トヨダプロダクツ / 権太呂食品 / シダックス中伊豆ワイナリーヒルズ(旧オンラインショップ) / キングジム / PFU(PFUダイレクト本店) / 満果惣 / 東京ユーキ(粗供養ドットコム) / 絵具屋三吉 / プロギア / サンコーマーク工業 / マガジンハウス / 北海道ぎょれん / ショップベルナティオ / 山小屋からの贈り物 / マンズワイン / SINCERE GARDEN / ガウディ |
| 対象かどうか確認中と公表(35) |
|---|
| 細江酒店 / 八重洲長谷川酒食品(リカーズハセガワ本店・北口店) / オフィスニンナ / 青い海 / オカベ / 七味家本舗 / Milk tea運営事務局 / アルインコ(フィットネス事業部) / 柿の葉ずし(平宗) / KTS(ラベル.e-STORE) / 信州健康倶楽部 / 金澤屋珈琲店 / 水槽屋.com / ディースタイル(景品パーク) / 紅茶専門店シルバーポット / 小西酒造(BEER SHOP) / アムトランス / 川淵帽子店 / 和田珍味 / 岩深水 / 小林(とじ郎倶楽部・小林ネット支店) / マルキユー / JAライフクリエイト福島(e牛ショップ) / 巽繊維工業所(ガッツマンドットコム) / C-NEXT(カレンダー卸センター) / 池利 / スズラン / ハリマ食品 / えのもとサーキット(えのもと玩具店) / 香住屋(干物海産物通販かすみ屋) / ソフトウェア・トゥー / フランスベッド / ベノア / ゆるんふる / 日本製紙クレシア |
両毛システムズ:自治体やガス会社のシステム運用
Section titled “両毛システムズ:自治体やガス会社のシステム運用”8/15公表|委託先の公表
- 起きたこと:ランサムウェアの被害。委託元の過去のデータや保守用のデータに漏えいのおそれ
- 公表した組織:大東ガス・長野都市ガス・名張近鉄ガス・広島ガス・伊勢崎市
メディア4u:SMS(ショートメッセージ)の送信
Section titled “メディア4u:SMS(ショートメッセージ)の送信”7/14公表|個別記事
- 起きたこと:管理用の情報9万5,412件が流出し、不正なSMSが280件送られた
- 公表した組織:館山市・エンバーポイント・ブロードリーフ
加賀ソルネット:大学推奨パソコンの販売サイト
Section titled “加賀ソルネット:大学推奨パソコンの販売サイト”7/1公表|個別記事
- 起きたこと:個人情報16万5,587名分の漏えいを確認
- 公表した学校:京都芸術大学・神戸学院大学・大妻女子大学・敬愛大学・羽衣国際大学・尾道市立大学・穴吹カレッジ
KDDI:プロバイダー向けのメールシステム
Section titled “KDDI:プロバイダー向けのメールシステム”6/23公表|個別記事
- 起きたこと:5月16日から不正アクセスが続き、6月17日に確認
- 対象:メールアドレス1,223万1,954名分。うち761万6,173名分はパスワードも
- 公表した組織:BIGLOBE・J:COM・@nifty・CPI・コミュファ光・ピカラ
6社の公表を見る
| プロバイダー | 対象(メールアドレス) |
|---|---|
| BIGLOBE | 501万6,432名 |
| J:COM | 247万3,191名ほか |
| @nifty | 224万8,708名 |
| CPI(KDDIウェブコミュニケーションズ) | 125万543名 |
| コミュファ光(中部テレコミュニケーション) | 72万7,176名 |
| ピカラ(STNet) | 39万7,152名 |
ディライトフル:メールマガジンの配信「める配くん」
Section titled “ディライトフル:メールマガジンの配信「める配くん」”6/19公表|個別記事
- 起きたこと:配信先のメールアドレスなどの一部が第三者に取得された
- 業種も地域もばらばらの組織が、同じ配信サービスを使っていた
- 公表した組織:41(一覧は下)
公表した41組織を見る
| 漏えいを確認(12) |
|---|
| トモウェルペイ(Bizプリカ) / 佐渡トキファンクラブ / 東京都国民健康保険団体連合会 / アジア保健研修所 / KYOTO EXPERIMENT / インクルード / アクセプト・インターナショナル / 天涯文化財団(盛田昭夫塾) / 日本応用地質学会 / 日本スポーツ協会 / クー / トゥインクルワールド |
| 漏えいの可能性(25) |
|---|
| 佐渡市 / プリマハム / ユニリタ / 21世紀の医療医学を考える会 / ANDMAMACO / RAFIQ 難民との共生ネットワーク / 日本在来工法住宅協会 / アクアポニックス・陸上養殖設備展事務局 / 英語教育協議会(ELEC) / キューブフィルム / ギンギラ太陽’s / 淡海文化振興財団 / タカタレムノス / 徳丸商店 / 銀のステッキ / スパークル法律事務所 / FLOW(LyuVie Online Shop) / 新和プラスチック / KSHS / パズルリング / あわら市観光協会 / 精進同窓会 / お母さん業界新聞社 / アニコム損害保険 / メリービズ |
| 利用を公表(漏えいは未確認)(4) |
|---|
| 東京書籍 / センチュリーアークス / 日本医療安全調査機構 / 建設ニュース |
リプロワーク:ハードディスクの破砕
Section titled “リプロワーク:ハードディスクの破砕”6/8に委託元が公表|まとめ(piyolog)
- 起きたこと:破砕を頼んだハードディスクが壊されずに転売され、オークションで流通した
- 公表した組織:北海道医療センター(約17万人)・北海道がんセンター・北海道庁
新日本検定協会:損害保険の損害調査
Section titled “新日本検定協会:損害保険の損害調査”5/11調査結果|個別記事
- 起きたこと:ランサムウェアの被害。損保各社から預かった顧客情報が流出した可能性
- 公表した組織:大手損保4社が5月11日に公表し、ほかに2社が続いた
YCC情報システム:山形の自治体などのシステム運用
Section titled “YCC情報システム:山形の自治体などのシステム運用”4/3公表|個別記事
- 起きたこと:ファイルサーバがランサムウェアの被害。預かっていた情報に漏えいのおそれ
- 市の健診データや大学、バス会社の情報が、地元の1社に集まっていた
- 公表した組織:9(一覧は下)
公表した9組織を見る
日本テレネット:FAXの一斉送信・コールセンター
Section titled “日本テレネット:FAXの一斉送信・コールセンター”3/17公表|委託先の公表
- 起きたこと:ランサムウェアの被害。委託元から預かった約104万件に漏えいのおそれ
- 委託元の公表は4月から7月まで、3か月にわたって続いた
- 公表した組織:9(一覧は下)
公表した9組織を見る
| 組織 | 件数 |
|---|---|
| ハウスプラス住宅保証 | 4万3,362件 |
| ユーピーアール | 記載なし |
| MaaS Car(モビリティプラットフォーム) | 記載なし |
| セシール | 記載なし |
| ニッポンレンタカー | 記載なし |
| 九電不動産 | 記載なし |
| 大和リース(Dシェア) | 記載なし |
| RTCテックソリューションズ | 記載なし |
| リンドスポーツ | 3,075件 |
Edv Future:学校向けの学習支援「Edv Path」
Section titled “Edv Future:学校向けの学習支援「Edv Path」”2025/12/4公表|個別記事
- 起きたこと:生徒の氏名や学校のアカウント、回答データなどが持ち出された可能性
- 各地の「県立高校で漏えい」という報道は、同じ1社の被害だった
- 公表した組織:15の自治体・学校(一覧は下)
公表した15の自治体・学校を見る
アスクル:ネット通販の物流
Section titled “アスクル:ネット通販の物流”2025/10/19被害|個別記事
- 起きたこと:物流が止まり、配送を任せていた取引先のネット通販も止まった
- 良品計画は、配送用に預けた顧客情報に流出の可能性があると公表
- 公表した組織:良品計画(無印良品)・ロフト・そごう・西武・ネスレ日本
自分が対象かを知るには
Section titled “自分が対象かを知るには”対象かどうかの連絡は、委託先ではなく、登録や利用をした組織から届きます。JR東日本やJR九州は、対象の可能性がある人に順次メールで連絡すると公表しています。
使うのをやめたサービスや、何年も前の利用が対象になることもあります。北海道ぎょれんの通販では、2007年から2017年までの利用者が対象でした。リンドスポーツは、2014年に取引を終えた委託先の被害で、当時の顧客情報が対象になりました。
止まった防災メールの代わりに、各自治体はホームページやLINE、防災行政無線などで発信しています。
対策 — 発表を待たずにできること
Section titled “対策 — 発表を待たずにできること”詐欺のメッセージは、漏えいの発表より先に届くことがあります。手間いらずの件では、実際の氏名や宿泊日が書かれた詐欺メッセージが9月21日から届き始めました。委託先の公表は9月28日です。横須賀市とさいたま市も、登録者からの不審なメールの問い合わせで本件を把握しています。
そのため、自分が対象かどうか分からない段階から、次のことができます。
- メールやSMSのリンクは開かず、公式アプリやブックマークから確かめる
- 予約や注文の内容は、予約した施設や店の公式窓口で確かめる
- 本物の氏名や予約内容が書かれていても、本物の連絡とは限らない
- パスワードやワンタイムパスワードは、聞かれても伝えない
- 同じパスワードを使い回しているなら、ほかのサービスも変える
- 支払いや送金を求められても、その場では応じない
多くは、手間いらず・大和証券・Eストアーが利用者に出した案内と同じ内容です。
- アルカディアの侵入経路と、実際に取得された情報の範囲
- IDCフロンティアの侵入経路
- 防災メールとコミューンの再開時期
- 新たに影響を公表する利用組織
- 本物の情報を使った詐欺メッセージの広がり
新しい公表があれば、本記事の表に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-14 | 公開 |
| 2026-10-15 | IDCフロンティアの第5報(外部流出はなかったとの判断、194社のバックアップ取り出し)を反映。漏えいの可能性を公表した組織にイズミを追加 |