2026年10〜11月の国内サイバー被害まとめと確認事項

2026年10月から11月にかけて、国内で大きなサイバー被害の公表が続いています。ECサイトの会員情報、メール配信サービス、クラウド基盤、大学のシステムと、被害の場所はさまざまです。

この記事では、各社の公式発表をもとに事実を整理し、自社で確かめておきたいことをまとめます。特定の会社を批判するためのものではありません。件数や原因は調査中のものが多く、2026年11月4日時点の内容です。今後変わる可能性があります。

公表された主な被害

ノジマ：ECサイトの会員情報 約700万件

ノジマは11月2日、「ノジマオンライン」の会員管理システムへの不正アクセスを11月1日に検知し、同日、個人情報の漏えいを確認したと公表しました。対象は「ノジマオンライン」と「中古スマホ買取サイト」で、約700万件です（退会者を除く）。

対象の情報は、氏名、生年月日、性別、住所、電話番号、メールアドレス、ログインID、暗号化されたパスワードです。この2つのサイトでは、クレジットカード情報を保持していないとしています。原因と二次被害は調査中で、対象サイトは休止しています。

アララ：メール配信サービスから契約企業へ広がる

アララは10月29日、メール配信サービス「アララメッセージ」への不正アクセスを公表しました。11月2日の第2報で、被害の範囲が広がったことを明らかにしています。

• 契約企業の環境：サーバー97台、最大約380社（推計）。メールアドレス約7,700万件。持ち出された恐れのあるものを含み、精査中で、利用者の人数を示すものではありません。
• 共用環境：契約企業61社。メールアドレス3,386,187件と、5社の顧客データ最大411,827件。
• サービスが悪用され、クレジットカード会社を装う不審なメールが最大約713万通送られました。
• 10月31日にサービスをすべて停止し、再開時期は未定です。クレジットカード番号は保有していないとしています。

原因については「Webサーバーの脆弱性およびシステム環境における問題」とし、侵入の経路と開始時期は調査中です。

IDCフロンティア：クラウド基盤のランサムウェア被害

IDCフロンティアは、10月7日未明に「IDCFクラウド」の東日本リージョン1の一部がランサムウェア攻撃を受けたと公表しました。495の企業・自治体が影響を受けています。

10月27日の第7報によると、原因は、管理ポータルの認証システムで使っていたオープンソースソフトウェアの脆弱性です。攻撃者は仮想化基盤の管理者権限を不正に取得し、仮想サーバーを暗号化しました。仮想サーバー内のデータが外部へ流出した痕跡は確認されていません。一方、管理ポータルでは最大71社の登録情報が不正に照会されました。バックアップからデータを取り出せた利用者は206社で、同社は身代金の支払いや交渉は行っていないとしています。

大阪公立大学：再委託先のアカウントが悪用

大阪公立大学では10月2日に情報基盤システムの大規模な障害が起き、授業にも影響が出ました。大学は10月21日、NECから報告を受けた内容を公表しました。NECがシステム開発・保守を再委託している事業者が9月下旬にサイバー攻撃を受け、その事業者の正規のアカウントを使って、大学のシステムに不正アクセスされたというものです。

NECが利用していたクラウドストレージにあった、大学に関する個人情報などの漏えいも報告されています。内容と件数は確認中で、大学の仮想化基盤からの漏えいの有無も調査が続いています。

JPCERT/CCの注意喚起

JPCERT/CCは10月8日（23日更新）、「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」を公開しました。上の4事例を説明したものではなく、2026年9月前後から国内で続く情報漏えいについて、確認された手口をまとめたものです。

注目したいのは、一般のお客様向けのサービスだけでなく、分析ツールや従業員向けの管理システムなど、社内の人しか使わないはずのシステムも被害を受けている点です。

4つの事例から見える共通点

自社で確かめたい8項目

1. 外部サービスの一覧を作る

   メール配信、EC、予約、クラウド、会計など、顧客情報を預けているサービスを書き出します。

2. 預けている情報を見直す

   メール配信に住所や生年月日まで必要でしょうか。使わない項目は登録しないのがいちばんの対策です。

3. 古いデータを消す

   JPCERT/CCも、保存期間を過ぎたデータや目的を終えたデータの削除を勧めています。

4. 委託先と再委託先を確かめる

   だれが保守用のアカウントを持っているか、再委託はあるか、退職者のアカウントが残っていないかを聞きます。

5. 管理画面を守る

   多要素認証を有効にし、接続できる場所を制限します。使わない管理機能は公開をやめましょう。

6. 社内向けシステムとAPIも点検する

   分析ツールや社内システムがインターネットから開けないか、APIに権限の確認と回数制限があるかを確かめます。

7. バックアップを別の場所に持つ

   同じクラウドの中だけでなく、別の環境にも保存し、実際に戻せるかを試します。

8. 連絡の手順を決めておく

   だれが判断し、お客様と関係機関へどう連絡するかを決めます。個人データの漏えいでは、個人情報保護委員会への報告と本人への通知が必要になる場合があります。

委託先への質問リスト

• うちの情報は、どのサーバーやクラウドに保存していますか？
• 再委託先はありますか？ その会社もうちのシステムに入れますか？
• 保守用のアカウントに多要素認証を使っていますか？
• 使っているソフトウェアの脆弱性を、どのように確認していますか？
• 事故が起きたとき、何時間以内に連絡をもらえますか？

ソフトウェアごとの対応は、「WordPress脆弱性の対応」「Ivanti脆弱性の対応」「PHP脆弱性への対応」「GitLab脆弱性の対応」で説明しています。委託先と連絡がとれない場合は「システム保守の引き継ぎ」をご覧ください。

Digi Dinosにおまかせください

Digi Dinos（デジダイノス）は、ベトナムと日本に拠点をもつシステム開発会社です。創業から8年、150件以上のプロジェクトを手がけてきました。ISO 27001の認証を取得しており、日本語ができるチームが対応します。

• 社内システムの現状調査：どのシステムに、どんな情報があり、だれが保守しているかを整理します。
• 古いシステムの保守を引き継ぎ：PHP、Java、Node.js、Python、.NETなど、主な言語に対応します。
• 新しい脆弱性への対応：更新が出たら、影響を調べて修正します。
• 資料がなくても大丈夫：作った会社がいない、仕様がだれにもわからないシステムでも、プログラムを読んで調べ、資料を作り直し、計画をまとめてご提案します。
• 永久保証：私たちが手を入れた部分に不具合が見つかったら、責任をもって直します。保守契約を続けていただいている間は、期限を区切らずに保証します。

よくある質問