「2026年の大規模情報流出22件 ── 95.5%は企業対策で防げた」 2026年に多発したハッキング被害（総流出規模：約1億1,924万件以上）は、企業側がしっかり対策していれば間違いなく防げました。 「誰が何をやっても防げなかった（不可抗力）」と言える事案は実質ゼロ。 大半の大規模流出は、セキュリティの基本を怠ったことによる「人災」です。 全22事案を検証し、そう断言できる【3つの理由】をまとめました。 ─────────────── ① 侵入原因の大半が「鍵のかけ忘れ」レベルだった ─────────────── 数百万〜数千万件規模の流出を出したソースネクスト（約2,252万件）やバーガーキング（約1,118万件）など、アプリ連携を狙われた事案（A2B攻撃）の実態は極めて初歩的です。 ・サーバー側で「ログイン中の本人か」を確かめる認可制御を怠り、会員番号等のパラメータを書き換えただけで他人のデータが次々と出力された ・短時間に何百万回も不審な要求が届いているのに、遮断する「通信制限（レートリミット）」すら設定していなかった ・skyticket（約1,464万件）では、管理画面が外部に露出していたうえ、予約完了画面がログイン不要で誰でも閲覧できる状態だった ・修正パッチがとっくに公開されている「既知の欠陥」を放置していた企業も多数 これらは「最新鋭の防御を破られた」のではなく、「玄関の鍵を開け放して泥棒に入られた」のと同じです。 ─────────────── ② 万が一侵入されても「流出」は防げた（データ管理の杜撰さ） ─────────────── 侵入を100%防ぐのが難しくても、「顧客情報を持ち出させない」「流出規模を極小化する」対策は完全に企業側の責任です。 ・第一興商（約872万件） 業務委託先PCわずか1台のウイルス感染が発端。そもそも現場のPC1台に800万人分もの生データを丸ごと保存させていた運用そのものが致命的な過失。 ・タイムズカー（約660万件） 何年も前に退会した元会員や、入会を途中でやめた人の「運転免許証画像」までオンライン上に漫然と放置。 「不要になった個人データは消去する（データ最小化）」という鉄則を守っていれば、被害規模は何分の一にも抑えられました。 ─────────────── ③ 唯一「未知の攻撃」だったKDDIすら、基本の手抜きで被害拡大 ─────────────── 2026年の主要事案で唯一、メーカー未認識の欠陥（ゼロデイ）を突かれたKDDIのメール基盤。 初期侵入自体は技術的に防ぐのが困難でしたが… ・流出した約762万件のパスワードの一部が、暗号化もハッシュ化もされていない「平文（生の文字列）」のまま保存されていた このため個人情報保護委員会から行政指導を受けています。侵入は不可抗力でも、パスワード暗号化という基本さえ守っていれば、メール盗み見などの二次被害は確実に防げました。 ─────────────── ▼ 95.5%が「防げた」と言える根拠データ ─────────────── 上記①〜③の視点から、2026年に公表された全22事案（2026年10月16日時点）を客観的に分類・検証した結果が以下のデータです。 ・【区分A】基本的対策で侵入自体を防げた（理由①に該当）：13件（59.1%） ・【区分B】多層防御・データ管理で流出を防げた（理由②に該当）：8件（36.4%） ・【区分C】当時の技術水準では侵入阻止が不可抗力（理由③に該当）：1件（4.5%） ★結論：全体の【95.5%（21件）】が企業側の適切な対策で防げた、あるいは被害を極小化できた事案です。唯一の区分C（KDDI）も平文保存の過失があるため、完全な不可抗力は実質ゼロと言えます。 以下、全22事案の攻撃手口・原因・可防性の検証リストです。 ━━━━━━━━━━━━━━━━━━━━ ◆ 2026年 国内不正アクセス・情報流出事案一覧（公表日 降順） ━━━━━━━━━━━━━━━━━━━━ 【2026/10/15】ソースネクスト株式会社 ［サービス］ 会員管理システム ［被害規模］ 約2,252万件（22,519,960件） ［流出情報］ 氏名、メアド、PW、住所、生年月日、電話番号、会社名等（クレカ除く） ［攻撃手口］ アプリ解析による会員情報取得APIへの不正アクセス（A2B攻撃） ［判定］ 【区分A：防げた】 ［技術的根拠］ APIのセッショントークン検証、オブジェクト単位の認可制御（BOLA対策）、大量照会を遮断するレートリミット未実装が原因。 【2026/10/15】株式会社ビーケー・ジャパン ［サービス］ バーガーキング公式アプリ ［被害規模］ 約1,118万件 ［流出情報］ 会員ID、メアド、氏名、電話番号、生年月日、性別、都道府県、注文履歴の有無 ［攻撃手口］ 公式アプリ会員管理システムへの不正アクセス ［判定］ 【区分A：防げた】 ［技術的根拠］ アプリ連携バックエンドAPIにおける認証・認可制御の不備。異常トラフィックの遮断が機能していれば防止可能。 【2026/10/15】株式会社メドレー ［サービス］ 産婦人科向け業務支援システム「アットリンク」 ［被害規模］ 最大787医療機関の患者情報（人数精査中） ［流出情報］ 氏名、診察券番号、受診予約、問診回答、最終月経日、マタニティダイアリー等の機微情報 ［攻撃手口］ Webシステム・管理領域への不正侵入 ［判定］ 【区分B：防げた】 ［技術的根拠］ 特権ID管理の厳格化、機微な医療データのテナント別暗号化、内部ログ監視があれば流出の極小化が可能。 【2026/10/13】株式会社アルカディア ［サービス］ 自治体・学校向け防災情報配信「SpeeCAN RAIDEN」 ［被害規模］ メール約313.6万件、電話約10.5万件、FAX約1.5万件 ［流出情報］ 氏名、連絡先（メール/電話/FAX）、契約担当者情報、配信本文履歴 ［攻撃手口］ サーバー（raiden3、s2）への外部侵入 ［判定］ 【区分A：防げた】 ［技術的根拠］ サーバー公開設定の不備、管理系ネットワークのアクセス制御・IP制限の欠如。管理網の分離とMFAで遮断可能。 【2026/10/13】株式会社ライドオンエクスプレスホールディングス ［サービス］ 「銀のさら」「釜寅」「すし上等」公式サイト・アプリ ［被害規模］ 最大約650万件 ［流出情報］ 氏名、住所、電話、メアド、生年月日、PWハッシュ値、注文履歴、家族情報、配達先情報 ［攻撃手口］ IDCFクラウドへのランサムウェア攻撃および自社サーバー不正アクセス ［判定］ 【区分B：防げた】 ［技術的根拠］ クラウド責任共有モデルに基づく別基盤への不変バックアップ保持、顧客データの分散・トークン化で被害を極小化可能。 【2026/10/09】株式会社アドベンチャー ［サービス］ 旅行予約サイト「skyticket」 ［被害規模］ 約1,464万件（うちPWハッシュ約413万件）、返金口座17,780件、バス予約約1.2万件 ［流出情報］ 氏名（パスポート名含む）、連絡先、住所、振込名義、返金先口座番号、予約内容等 ［攻撃手口］ 管理機能の不正操作、業務管理システムの脆弱性悪用、バス予約完了画面の未認証閲覧 ［判定］ 【区分A：防げた】 ［技術的根拠］ 管理機能へのMFA・IP制限、既知脆弱性の改修、Web完了画面へのセッション認可実装（IPA指針準拠）で完全に遮断可能。 【2026/10/09】ブックオフグループホールディングス株式会社 ［サービス］ 子会社会員管理システム ［被害規模］ 最大約643万件 ［流出情報］ 氏名、住所、生年月日、電話、メアド、ハッシュ化PW、カード番号等 ［攻撃手口］ 会員管理サーバーの脆弱性を突いた不正アクセス ［判定］ 【区分A：防げた】 ［技術的根拠］ Web/サーバーアプリケーションの脆弱性未改修。定期的な診断に基づくパッチ適用とWAF配備で防御可能。 【2026/10/08】株式会社第一興商 ［サービス］ 「ビッグエコー」「DKダイニング」等店舗予約・会員基盤 ［被害規模］ 約872万4,000件（顧客約863.1万件、従業員約9.3万件） ［流出情報］ 氏名、性別、生年月日、メールアドレス、電話番号 ［攻撃手口］ 業務委託先（日本コロムビアグループ）従業員PC1台へのマルウェア感染 ［判定］ 【区分B：防げた】 ［技術的根拠］ 委託先PCローカルへの大量顧客データ保存禁止、DLP（持ち出し防止）導入、シンクライアント化で流出を阻止可能。 【2026/10/08】株式会社ローソン ［サービス］ 「ローソンID」および「ローソンアプリ予約」 ［被害規模］ 2,155,371件（ローソンID：約215.5万件、予約：26件） ［流出情報］ メールアドレス、氏名、性別、電話番号、住所、一部クレカ番号（26件） ［攻撃手口］ アプリの本人情報表示機能に対する不正アクセス（A2B攻撃） ［判定］ 【区分A：防げた】 ［技術的根拠］ アプリ連携バックエンドにおける本人識別・認可検証ロジック不備（IDOR）。セッション検証の実装で完全に防止可能。 【2026/10/07】株式会社IDCフロンティア ［サービス］ 「IDCFクラウド」（東日本リージョン1） ［被害規模］ 495の企業・自治体（データ暗号化・復元不能）、問い合わせ情報等約600件流出 ［流出情報］ 仮想サーバー内データ（多数の企業システム）、問い合わせ氏名・連絡先 ［攻撃手口］ クラウド基盤管理ネットワークに対するランサムウェア攻撃 ［判定］ 【区分B：防げた】 ［技術的根拠］ 管理網のゼロトラスト分離、ハードウェアMFA、管理層とテナント領域の完全分離により大規模障害・被害を封じ込め可能。 【2026/10/05】株式会社物語コーポレーション ［サービス］ 「焼肉きんぐ」公式アプリ 会員管理システム ［被害規模］ 約1,079万件（10,788,963件） ［流出情報］ 氏名、電話番号、メールアドレス、会員番号等 ［攻撃手口］ 公式アプリ会員管理システムへの外部侵入（A2B攻撃） ［判定］ 【区分A：防げた】 ［技術的根拠］ APIにおけるオブジェクト認可不備および大量データ要求の監視・レートリミット欠如が原因。API Gatewayで防御可能。 【2026/10/05】GMOリサーチ＆AI株式会社 ［サービス］ アンケートサイト「infoQ」 ［被害規模］ 894,082件（ポイント不正交換611件・約287万円） ［流出情報］ 氏名、生年月日、住所、電話、メアド、暗号化PW、会員ID、保有ポイント等 ［攻撃手口］ サイトで使用していたソフトウェアの脆弱性を突いた侵入 ［判定］ 【区分A：防げた】 ［技術的根拠］ 公開された既知脆弱性（CVE）に対するパッチ未適用。WAFによるシグネチャ遮断で防止可能。 【2026/10/02】第一生命保険株式会社 ［サービス］ 従業員向け人事システム ［被害規模］ 約12万人（現役約5万人、退職者約7万人） ［流出情報］ 従業員番号、氏名、住所、電話、性別、所属、職位、職務、上長氏名等 ［攻撃手口］ 人事管理システムに対する不正アクセス ［判定］ 【区分B：防げた】 ［技術的根拠］ 機密人事DBへの最小権限アクセス、退職者データのオフライン分離・早期廃棄（データ最小化）で流出を極小化可能。 【2026/09/29】株式会社セイコーマート ［サービス］ 「セイコーマートアプリ」および会員サーバー ［被害規模］ 574,647人（不正閲覧確認） ［流出情報］ 氏名、住所、生年月日、電話番号、メールアドレス等 ［攻撃手口］ アプリ中継サーバーを経由した会員保有サーバーへの侵入 ［判定］ 【区分A：防げた】 ［技術的根拠］ アプリ中継層と基幹DB層のファイアウォール分離、DB直接照会権限の剥奪、API認可検証で侵入遮断可能。 【2026/09/28】タイムズモビリティ株式会社 ［サービス］ 「タイムズカー」Webシステム ［被害規模］ 約660万アカウント（うち本人確認書類画像約160万件） ［流出情報］ 氏名、住所、生年月日、電話、メアド、免許証情報、運転免許証等の画像、ハッシュ化PW等 ［攻撃手口］ Webシステムに対する不正アクセス ［判定］ 【区分B：防げた】 ［技術的根拠］ 退会者・申込未完了者データの定時消去、画像データの暗号化・隔離保管、Web層からの直接閲覧権限分離で極小化可能。 【2026/08/28】株式会社イエローハット ［サービス］ WEB作業予約システム ［被害規模］ 最大1,801,499名 ［流出情報］ 氏名、電話番号、メールアドレス、会員番号 ［攻撃手口］ 予約システムに対する不正プログラムによる攻撃 ［判定］ 【区分A：防げた】 ［技術的根拠］ Web予約アプリにおける入力値検証不備（IPA「安全なウェブサイトの作り方」準拠で防止可能）。 【2026/08/01】株式会社Eストアー ［サービス］ EC基盤「ショップサーブ」 ［被害規模］ 延べ8,853,839件 ［流出情報］ 氏名、住所、電話、暗号化PW、一部カード情報、店舗管理ID/PW等 ［攻撃手口］ サーバー上で不正プログラム（Webシェル等）を実行され外部送信 ［判定］ 【区分A：防げた】 ［技術的根拠］ サーバーOS/ミドルウェアの適時パッチ適用、Webシェル等の不正実行検知（EDR）、ファイルの整合性監視で防止可能。 【2026/06/30】アフラック生命保険株式会社 ［サービス］ 「アフラック よりそうネット」等 ［被害規模］ 約440万人（うち口座情報約22万人） ［流出情報］ 氏名、生年月日、住所、電話、証券情報、口座情報等 ［攻撃手口］ 正規照会形式を模倣した短時間・大量データ照会型攻撃 ［判定］ 【区分A：防げた】 ［技術的根拠］ API/Webエンドポイントにおけるレートリミット（流量制限）、Bot対策、大量データ照会時の自動セッション遮断で防止可能。 【2026/06/23】KDDI株式会社 ［サービス］ ISP事業者向けメールシステム ［被害規模］ メアド約1,223万件、パスワード約762万件 ［流出情報］ 電子メールアドレス、メールパスワード（一部平文保存） ［攻撃手口］ 第三者製ソフトウェアの未知の脆弱性（ゼロデイ）悪用 ［判定］ 【区分C：不可抗力（※ただし平文保存は明確な過失）】 ［技術的根拠］ メーカー未認識のゼロデイ侵入は当時防止が極めて困難。ただしPWの平文保存は明確なガイドライン違反（個人情報保護委員会が指導）。 【2026/04/15】株式会社イエローハット（子会社） ［サービス］ 子会社会員専用サーバー ［被害規模］ 3,179,454件 ［流出情報］ 氏名、電話番号、会員データ等 ［攻撃手口］ 子会社サーバーに対する不正アクセス ［判定］ 【区分A：防げた】 ［技術的根拠］ 親会社・子会社間のセキュリティパッチ適用ガバナンス、定期的な脆弱性診断で防止可能。 【2026/02/16】学校法人東海大学 ［サービス］ 業務委託先システム ［被害規模］ 最大延べ193,118人 ［流出情報］ 氏名、所属、学生・教職員情報等 ［攻撃手口］ 業務委託先事業者に対するランサムウェア攻撃 ［判定］ 【区分B：防げた】 ［技術的根拠］ 委託先へのセキュリティ要件定義の厳格化、定期的な監査、暗号化データの隔離保管で極小化可能。 【2026/01/13】株式会社スマレジ ［サービス］ 外部連携アプリベンダー管理下データ ［被害規模］ 136,000件 ［流出情報］ 顧客関連データ ［攻撃手口］ 外部連携アプリベンダーの管理システムに対する不正アクセス ［判定］ 【区分B：防げた】 ［技術的根拠］ APIトークンの最小スコープ設定、外部連携先に対するセキュリティ基準適合評価の徹底で極小化可能。 ━━━━━━━━━━━━━━━━━━━━ ◆ 総括 ━━━━━━━━━━━━━━━━━━━━ データを見れば明らかなとおり、映画に出てくるような超絶技巧のハッカーに破られたわけではありません。 ・「やるべき認可・通信制限をしていない」 ・「公開済みのパッチを当てていない」 ・「不要な顧客データを消さず放置している」 ・「パスワードを生データのまま保存している」 高度な攻撃（ゼロデイ）を突かれたKDDIの初期侵入1件を除き、すべては企業側の「初歩的な手抜き（セキュリティ怠慢）」が引き起こした人災です。企業がやるべき基本対策さえ講じていれば、これら1億件超の被害は間違いなく防げました。