国内サイバー被害まとめ｜2026年11月上旬の公表事例

2026年11月に入り、国内の大きな組織から不正アクセスの公表が続いています。11月6日だけでも、NTTドコモ、ロート製薬、あいおいニッセイ同和損保、三井住友海上、チームスピリット、日本ネットワークセキュリティ協会（JNSA）が相次いで公表しました。

この記事では、各組織の公式発表をもとに事実を整理し、自社で確かめておきたいことをまとめます。特定の組織を批判するためのものではありません。内容は2026年11月8日時点のもので、調査が続いているため、今後変わる可能性があります。

公表された主な被害

※件数の単位は組織ごとに異なり（人、件）、合計や比較には向きません。

NTTドコモ：オンラインショップとMy docomo

NTTドコモは11月4日、ドコモオンラインショップとMy docomoへの外部からの不正アクセスを確認し、11月5日午前1時5分ごろから各種手続きを停止したと公表しました。11月6日午後6時時点の第三報では、流出の対象は最大約30万件です。6日の記者会見については、最大29万4,839件（個人20万4,157件、法人9万682件）と報じられています。

すべての対象者で、氏名、生年月日、住所、電話番号、メールアドレス、本人確認書類の番号、契約内容などが含まれます。一部の人では、金融機関名や口座番号なども含まれます。

原因について、第三報は「外部からの不正アクセス」とし、侵入経路などの調査を続けるとしています。報道によると、同社は会見で「システム自体の脆弱性ではなく、複数のシステムを連動させた仕組みの悪用」と説明し、「いわゆるAPI攻撃ではない」と述べています。緊急メンテナンスの復旧の見込みは未定です。お見舞金の支払いを検討していることも報じられています。

ロート製薬：通話の録音と顧客情報

ロート製薬は11月6日、2026年9月に確認した不正アクセスの調査結果を公表しました。通信販売のお客様対応に使う電話システムと顧客管理システムへの不正アクセスにより、2,797,545人の氏名、住所、電話番号（項目は人によって異なります）が不正に取得されたとしています。

さらに、2025年9月10日から2026年9月5日までのうち一定の期間の通話音声データも取得され、そのうち9,715人分にはクレジットカード番号と有効期限が含まれていました。セキュリティコードは取得・保存しておらず、含まれていないとしています。

原因については、電話システムのアカウント情報が第三者に不正に利用され、顧客管理システムの情報も電話システムを経由して取得されたことを確認した、としています。同社は電話でのカード番号の聴取をやめ、書面での手続きに変えました。カード再発行の費用は負担しないよう、カード会社に依頼しています。11月6日時点で、二次被害は確認されていません。

あいおいニッセイ同和損保・三井住友海上：契約者ページ

MS&ADグループの2社は11月6日、それぞれの「ご契約者さま専用ページ」への不正アクセスと情報漏えいを公表しました。両社とも11月2日夜間に検知し、翌3日深夜にサービスを止めたとしています。

どちらも、原因と影響範囲は外部の専門機関が調査中で、情報の不正使用は確認されていないとしています。

チームスピリット：開発用サーバーから

勤怠管理などのサービスを提供するチームスピリットは11月6日、10月27日に第三者が開発用サーバーに不正ログインし、サーバーに保管されていた認証情報を使ってクラウド環境からデータを取得したと公表しました。流出した個人情報は、確認できた範囲で重複を除き28,824件、うち要配慮個人情報が35件です。

原因は「未知の脆弱性によるものではなく」「設定と情報管理の不備が重なった」としています。一方、お客様がサービス上で運用している勤怠・工数のデータへの不正アクセスは、現時点で確認されていないとしています。

JNSA：セキュリティ理解度チェック

情報セキュリティの啓発に取り組むJNSAは11月6日の第一報で、「情報セキュリティ理解度チェックサービス」への不正アクセスを11月4日に確認したと公表しました。最大15,128件の個人情報が漏えいした可能性があり、対象は管理者の氏名、企業名、メールアドレス、利用者のIDとハッシュ化されたパスワードなどです。不正アクセスは10月30日夜ごろから行われた可能性があり、詳細な侵入経路は調査中としています。

これらの事案から学べること

原因がまだ公表されていない事案が多いため、次の点は確認できた範囲からの整理です。

自社で確かめたい7項目

1. 会員ページの異常を検知できるか

   ドコモは大量アクセスのアラートで気づいたと報じられています。短い時間に多くの情報を見られたときに、気づける仕組みがあるかを確かめます。

2. 本人確認書類の番号を保存していないか

   どうしても必要な情報だけを保存し、残す場合は見られる人を絞ります。

3. 録音・文字起こしデータを見直す

   電話で番号を聞かない仕組みにする、録音の保存期間を決める、といった対策があります。

4. 開発環境に本番の鍵を置かない

   開発用サーバーやリポジトリに、本番のパスワードやクラウドの鍵が残っていないかを探します。

5. 外部サービスのアカウントを守る

   電話システムやクラウドのサービスに多要素認証を設定し、退職者のアカウントを消します。

6. APIとアプリの中身を点検する

   JPCERT/CCは、公開アプリを解析してAPIを狙う手口を報告しています。秘密の鍵をアプリに埋め込まず、サーバー側で権限を確かめましょう。今回の各事案との関係は発表されていません。

7. 発表のしかたを決めておく

   第一報、続報の出し方、問い合わせの窓口、個人情報保護委員会への報告の手順を決めておきます。

以前の事例と共通点については「2026年10〜11月の国内サイバー被害まとめ」を、続報は「アララ不正アクセスの続報」をご覧ください。システムの土台の更新については「古いシステムの脆弱性対策」が参考になります。

Digi Dinosにおまかせください

Digi Dinos（デジダイノス）は、DX、セキュリティ、システムの運用・保守を支援する会社です。ISO 27001の認証を取得しており、日本語ができるチームが対応します。

• システムの現状整理：どこに、どんな情報があり、だれが管理しているかを整理します。
• 脆弱性への対応と更新：新しい修正が出たら、影響を調べて反映します。
• 運用と監視：サーバーやクラウドの24時間365日の監視（NOC）に対応します。
• システムの引き継ぎ：資料がないシステムも、プログラムを読んで調べ、引き継ぎます。

よくある質問