最近のサイバー攻撃事例まとめ【2026年秋】国内で公表された被害を侵入口別に整理｜VPN・Webの脆弱性・API・委託先・クラウド
2026年9月から10月にかけて、国内の大手企業・行政・大学でサイバー攻撃による情報漏えいやシステム停止の公表が相次ぎました。国も関係省庁の緊急会議を開いて注意を呼びかけています。この記事では、公表された事例を「どこから侵入されたか（侵入口）」別に整理し、業種や規模に関係なく当てはまる教訓をまとめます。攻撃が技術的に何をしているのかは、続編のサイバー攻撃の仕組みと対策で詳しく解説しています。
- 2026年秋の事例の多くは、VPN機器・Webシステム・API・委託先のPC・クラウドの認証情報など、外部とつながる部分から侵入されている
- 被害は「情報漏えい」だけではない。ランサムウェアで営業システムや大学の授業、クラウドを使う数百の組織のサービスが止まる事例も出た
- 自社が直接狙われなくても、委託先や利用しているクラウドが攻撃されれば業務が止まる。対策は「自社の中」だけでは足りない
- 攻撃側はAIで脆弱性探しや攻撃の自動化を進めている。守る側もAIを使う時代に入った（→OpenAI DaybreakとClaude Securityの解説）
2026年秋に何が起きたのか（全体像）
2026年9月中旬から10月中旬までのおよそ1か月だけで、国内で公表されたサイバー攻撃・不正アクセスの被害は20件を超えています。業種は小売・外食、交通、物流、出版、教育、行政、クラウド事業者と幅広く、1社あたり数百万〜2,000万件規模の会員情報が対象とされた公表も続きました。
こうした状況を受けて、国は10月8日に関係省庁の緊急会議を開き、翌9日には企業・団体向けに注意喚起を出しています。そこでは、サイバー攻撃は情報システム部門だけの問題ではないとしたうえで、主に次の3点の見直しが求められました。
- 公開しているWebシステムの管理：常に攻撃される前提でソフトウェアを更新し、サポートが終わった製品は使わない
- 委託先を含めた対策：委託先の対策状況を確認し、契約にセキュリティの条件を盛り込む
- 情報の持ち方：必要な情報だけを持ち、見られる人を絞り、アカウントとログを管理する
統計で見ても、状況は厳しくなっています。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」組織編では、1位がランサムウェア攻撃、2位がサプライチェーン・委託先を狙った攻撃で、AIの利用をめぐるリスクが初めて3位に入りました。警察庁によると、2026年上半期のランサムウェア被害の報告件数は半期として過去最多とされています。
主な事例一覧（2026年9〜10月公表）
公表内容が比較的はっきりしている事例を、侵入口とあわせて一覧にしました。件数は公表時点のもので、多くは「閲覧・取得された可能性がある」件数です。
| 組織 | 公表時期 | 種別 | 主な影響（公表内容） | 侵入口・原因（判明分） |
|---|---|---|---|---|
| パーク24（タイムズカー） | 9月28日 | 不正アクセス | アカウント情報約660万件が取得され、うち約160万件は本人確認書類の画像も漏えい | 調査・公表内容を確認中 |
| 京王電鉄グループ | 9月26日確認 | ランサムウェア | 一部グループ会社の営業システムに障害。鉄道の運行には影響なし | 外部専門家と調査中 |
| デジタル庁（GSS） | 9月11日 | 不正アクセス | 職員などの個人情報約24.6万件が漏えいした可能性 | VPN機器の脆弱性を利用し、保守担当者のアカウントを悪用 |
| Helpfeel（Gyazo） | 9月16日（第二報9月25日） | 不正アクセス | ユーザーデータ約2,362万件、画像のメタデータ数億件が流出 | 画像アップロード用サーバーの脆弱性 |
| ムラウチドットコム | 9月15日 | 不正アクセス | 顧客の個人情報約771万件が外部に持ち出された（カード情報・パスワードは対象外） | Webシステムの脆弱性 |
| ソースネクスト | 10月 | 不正アクセス | 会員情報 最大約2,252万件が対象 | 会員情報を取得するAPIの不正利用 |
| 第一興商 | 10月 | マルウェア感染 | 約872万件の情報が漏えいしたおそれ | 委託先の従業員PCのマルウェア感染 |
| 日本経済新聞社 | 10月 | 不正アクセス | 約183万件が対象 | クラウドサービスの認証情報の窃取 |
| IDCフロンティア（IDCFクラウド） | 10月 | ランサムウェア | 東日本リージョンが被害を受け、利用する約495の企業・自治体に影響 | 調査中 |
| 大阪公立大学 | 10月 | ランサムウェア（報道） | 約500台が停止し全キャンパスで休講。少なくとも約13万人分の情報流出のおそれ（報道ベース） | 調査中 |
| 東京地下鉄（東京メトロ） | 9月27日 | 不正アクセス | ポイントクラブ会員のメールアドレス約5.9万件が閲覧・取得された可能性 | 調査中 |
| セイコーマート | 9月29日 | 不正アクセス | 会員情報約57万アカウントが閲覧された可能性（カード情報・パスワードは対象外としている） | 調査中 |
出典：各組織の公表内容、マイナビニュース「2026年9月のサイバー攻撃・不正アクセスまとめ」、国内の不正アクセス・サイバー攻撃 被害まとめ（2026年10月18日更新）、リバーズエッジ「相次ぐ大手企業の情報漏えい（2026年9〜10月）」をもとに編集部が整理。
侵入口① VPN・ネットワーク機器の脆弱性
VPN（社外から社内ネットワークに入るための入口）は、ランサムウェアの侵入口として最も多い場所です。警察庁の統計でも、ランサムウェアの感染経路はVPN機器が大半を占めています。
デジタル庁の事例では、すでに公表されていたVPN機器の脆弱性が利用され、保守担当者のアカウントが悪用されたと説明されています。2025年に大きく報じられたアサヒグループの事例でも、ネットワーク機器経由の侵入が指摘され、同社はその後VPN装置の全面廃止を打ち出しました。
- なぜ狙われるか：インターネットに常に公開されていて、攻撃者が自動で探しやすい。機器の脆弱性が公表されると、更新が終わる前に一斉に狙われる
- 何が起きるか：入口を通過すると「社内の人」と同じ扱いになり、ファイルサーバーや管理用のアカウントに手が届く
攻撃の流れと技術的な中身は仕組み編の「VPN機器の脆弱性を突く攻撃」で図解しています。
侵入口② Webシステム・APIの弱点
2026年秋の事例で目立ったのが、会員サイトやアプリの裏側（Webシステム・API）からの大量流出です。Gyazoでは画像アップロード用サーバーの脆弱性、ムラウチドットコムではWebシステムの脆弱性、ソースネクストでは会員情報を取得するAPIの不正利用が原因とされています。
APIとは、アプリやWebページが裏側のサーバーとデータをやり取りするための「窓口」です（詳しくはAPI入門）。この窓口で「この人に、このデータを見せてよいか」の確認が甘いと、IDの数字を1つずつ変えて問い合わせるだけで、他人の情報を次々に取り出せてしまいます。また、短時間に大量の問い合わせが来ても止める仕組み（レート制限）がなければ、何百万件もの情報が一気に抜かれます。
国の研究機関NICTは、公開されているスマホアプリを解析して、その裏側のサーバーを狙う手口に注意を呼びかけています。アプリの中に埋め込まれたAPIの鍵やURLが手がかりにされるためです。
侵入口③ 委託先・取引先・認証情報の盗用
「自社のシステムは守っていたのに、委託先や社員の個人PCから破られた」——これも今回目立ったパターンです。
- 委託先のPCの感染：第一興商では、委託先の従業員のPCがマルウェアに感染したことが原因とされています
- クラウドの認証情報の窃取：日本経済新聞社では、クラウドサービスの認証情報が盗まれたことが原因とされ、個人のPCの感染でチャットツールの認証情報が流出したと報じられています
- 多要素認証のない管理者アカウント：2025年のアスクルの事例では、多要素認証を適用していなかった委託先の管理者アカウントが侵入に使われたと説明されました
ここで盗まれているのは「パスワード」だけではありません。ログイン後のセッション（ログイン状態の証明）やAPIキーが盗まれると、多要素認証を設定していても突破されることがあります。AIエージェントやクラウドを使う会社ほど、こうした「鍵」の数は増えていきます。AIエージェントに渡す認証情報の考え方はAIエージェント本番運用の安全設計で詳しく解説しています。
侵入口④ ランサムウェアで「止まる」被害
ランサムウェアは、侵入した組織のデータを暗号化して使えなくし、元に戻す代わりに身代金を要求する攻撃です。最近は暗号化の前にデータを盗み出し、「払わなければ公開する」と二重に脅す手口が主流です。
2026年秋には、京王電鉄グループの営業システムの障害、大阪公立大学の全キャンパス休講（報道）に加え、クラウド事業者そのものが被害を受け、そこを使う約495の企業・自治体のサービスに影響が出たIDCフロンティアの事例がありました。自社が直接攻撃されなくても、使っているサービスが止まれば自社の業務も止まることを示した例です。
また警察庁の調査では、被害を受けた組織のうちバックアップを取っていたのにそこから復元できた組織は一部にとどまるとされています。バックアップごと暗号化されたり、復元の手順を試していなかったりするためです。
攻撃側のAI活用：自動化される攻撃
国内の公表事例でAIの悪用が原因と明言されたものは多くありませんが、海外のAI企業は攻撃者がAIをどう使っているかを詳しく報告しています。
Anthropic（Claudeの開発元）が2026年9月に公表した脅威レポートでは、次のような事例が紹介されています。
- ある攻撃グループは、AIに機器のプログラムを解析させ、脆弱性の仮説を立て、攻撃コードを書いて試す作業を昼夜自動で回し、1か月で十数件の未知の脆弱性の候補を見つけていた
- 別のグループは、180万本のAndroidアプリをダウンロードして、中に埋め込まれた鍵やパスワードを自動で探す仕組みを作っていた
- レポートは「高度な攻撃に、もはや高度な攻撃者は必要ない」と表現し、AIによって攻撃の手間とコストが大きく下がったと指摘している
一方で、使われている手口そのものは既知のものが中心で、変わったのは「速さと量」だという分析もあります。つまり、基本的な対策の価値は下がっていないということです。そして守る側も、AIで脆弱性を先回りして見つける取り組みを始めています。OpenAIの「Daybreak」やAnthropicの「Claude Security」についてはAIで脆弱性を見つけて直すツールの解説記事でまとめています。
事例から分かる共通の教訓
業種も規模もばらばらな事例ですが、並べてみると共通点がはっきり見えてきます。
| 教訓 | 具体的に見直すこと |
|---|---|
| 入口は「外とつながる所」 | VPN・Webサイト・API・クラウドの管理画面を一覧にし、更新状況と多要素認証の有無を確認する |
| 自社の外も範囲に含める | 委託先・制作会社・クラウド事業者の対策状況と、止まったときの代わりの手段を確認する |
| 「鍵」の管理が要 | パスワード・APIキー・管理者アカウントを洗い出し、不要なものの削除、退職者アカウントの停止、権限の最小化を行う |
| 持たない情報は漏れない | 古い会員情報・問い合わせデータ・本人確認書類の画像など、不要な個人情報を消す |
| 止まる前提で準備 | オフラインのバックアップと復元手順、障害時の連絡先と判断の流れを決め、一度試しておく |
それぞれの対策を、攻撃の仕組みとセットで理解したい方はサイバー攻撃の仕組みと対策へ。クラウドの基本的な守り方はクラウド入門でも解説しています。
よくある質問
なぜ2026年秋にサイバー攻撃の公表が相次いだの？
単一の原因は公表されていません。ただし公表内容を並べると、VPN機器やWebシステムの脆弱性、APIの不正利用、委託先のパソコンの感染、クラウドの認証情報の窃取など、外部とつながる部分から侵入された事例が多く見られます。攻撃側がAIで脆弱性探しや攻撃の自動化を進めていることも、各社の脅威レポートで報告されています。
中小企業も狙われる？
狙われます。Webサイトや問い合わせフォーム、VPN、クラウドのアカウントを持っていれば、大企業と同じ入口を持っていることになります。また、大企業の委託先・取引先として、そこへの足がかりにされる例もあります。規模に関係なく、更新・多要素認証・バックアップといった基本対策が重要です。
自分の情報が漏えいしたと通知が来たら？
同じパスワードを使っている他のサービスも含めてパスワードを変更し、可能ならパスキーや多要素認証を有効にします。漏えいを装ったフィッシングメールも増えるため、メールやSMSのリンクではなく公式アプリやブックマークから確認します。クレジットカードの利用明細もしばらく確認しましょう。
まとめ｜「よくある弱点」を1つずつふさぐ
2026年秋に相次いだサイバー攻撃は、特別な手口よりも更新されていない機器、盗まれた認証情報、チェックの甘いAPI、委託先の弱点といった「よくある弱点」から始まっていました。攻撃がAIで速く・大量になった今こそ、入口の一覧化・更新・多要素認証・バックアップといった基本を確実に回すことが、いちばん効果の大きい対策です。
次は、それぞれの攻撃が技術的に何をしているのかをサイバー攻撃の仕組みと対策で、AIで守る最新の取り組みをOpenAI DaybreakとClaude Securityの解説で確認してみてください。
セキュリティとAIのスキルを、キャリアにつなげる
サイバー攻撃が増えるほど、システムを安全に作り・守れる人材の価値は上がっています。AIとITの基礎から学びたい方に役立つ記事です。
- AI・IT業界への転職ガイド【2026】：未経験からの進め方と転職エージェントの選び方
- AI・プログラミングのオンラインスクール比較【2026】：体系的に学びたい方向け