2026年秋の日本の情報漏えい連鎖 ── クラウド、 メール配信、 通販、 携帯キャリアへ続いた侵入

2026年の秋、 日本の企業が大規模な不正アクセスを次々に公表した。 1つの攻撃ではない。 クラウド事業者がランサムウェアに襲われ、 メール配信サービスは顧客企業の配信リストを持ち出されたうえ自社のサーバーからフィッシングメールを送られ、 通販サイトは外部のクラウドサービスで不審なファイルを見つけ、 携帯キャリアはオンラインショップを止めた。 共通していたのは時期と、 政府の見立てである。 国家サイバー統括室は11月5日、 これらの多くは基本的な対策が十分でなかったことに起因するとみられ、 攻撃者は標的の調査や侵害に AI を使っている可能性も高いと事業者に伝えた。

4つの事案

IDCフロンティア ── クラウドへのランサムウェア

10月7日午前3時40分ごろ、 IDCFクラウドの東日本リージョン1の一部を使う顧客で、 仮想サーバーが停止し再起動できなくなった。 ソフトバンクグループのデジタルインフラ企業である IDCフロンティアは同日午前9時に緊急対策本部を設け、 IDCFクラウドポータルを止め、 影響を受けた4ゾーン（tesla・henry・pascal・joule）のストレージ機器を切り離し、 その後ほかのリージョンのポータルも止めた。

調査を終えて10月27日に出た第7報が経路を示している。 攻撃者は、 顧客が仮想サーバーの起動や請求情報の確認に使う「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性を突いて侵入し、 管理コンソールを経由して仮想化基盤の管理者権限を不正に取得し、 顧客の仮想サーバーを停止させたうえで仮想サーバー自体を暗号化した。 ソフトウェアの名称は書かれていない。

同社は、 暗号化された仮想サーバー内のデータの外部流出はなかったとしている。 持ち出しを示す痕跡もそれを裏付ける事実も確認されておらず、 この結論は10月14日の第5報で初めて示された。 実際に起きたのはもっと小さなことだった。 ポータルでは最大71社の登録情報が不正に照会され（第5報の48社から増加）、 うち最大31社（31件）に個人名や個人名を含む可能性があるメールアドレスなどが含まれ、 最大4件のログインパスワードが不正に変更されていた。 これらの情報についても持ち出しの痕跡は確認されていない。 同社は攻撃者と接触しておらず、 身代金の支払いも交渉も一切していないと述べた。 スナップショット機能を使っていた顧客のうち、 バックアップデータを取り出せるのは206社（194社から増加）で、 それ以外の顧客は親会社のソフトバンクと連携して代替環境への移行を支援している。

アララ ── メールの裏側の配信業者

アララメッセージは、 企業が自社の顧客にメールマガジンや通知を送るためのメール配信サービスである。 運営するアララは3回報告を出した。 10月29日の第1報は、 1つの共用環境から Web サーバーの脆弱性を通じて約301万件のメールアドレスが持ち出されたという内容だった。 11月2日の第2報で範囲は広がった。 本サービスのサーバーに不正にアクセスした第三者が、 10月28日から31日にかけてそこを経由して多数のサーバーに侵入し、 データベースの内容を持ち出していた。 対象の97台には顧客企業のアドレス帳があり、 項目は企業により異なる（氏名、 性別、 生年月日、 電話番号、 会員番号、 住所など）。 アララは10月31日に本サービスの提供をすべて停止し（同日19時53分に停止完了）、 再開時期は未定としている。

11月6日の第3報は、 同じ期間に別のクラウド環境から持ち出された3,249,492件を加え、 区分間の重複を除いて8,132万9,467件とした。 サービスは一般の人々に向けても使われた。 10月28日から30日にかけて、 2つの環境から送信元「news@arara.com」で、 クレジットカード会社を装った不審メールが最大約713万通、 攻撃者が外部から持ち込んだアドレスあてに送られた。 アララは10月29日に個人情報保護委員会と警察に、 11月4日に総務省関東総合通信局に報告した。

アイリスプラザとドコモ

アイリスオーヤマは通販サイト「アイリスプラザ」を運営している。 ビジネス+IT によれば、 10月28日に外部のクラウドサービス上で不審なファイルが見つかり、 同日アイリスプラザと関連システムを止め、 10月29日に警察と個人情報保護委員会に報告した。 11月5日の第2報は、 最大約770万人分の個人情報が漏えいした可能性があるとした。 退会者を含む会員約580万人と、 会員登録をせずに購入した人やキャンペーンに応募した非会員約190万人である。 会員の情報には氏名、 住所、 電話番号、 メールアドレス、 性別、 生年月日、 暗号化されたパスワードが含まれる。 クレジットカード情報はそのクラウドサービスに保存されていなかった。

NTTドコモは、 11月4日にドコモオンラインショップと My docomo への外部からの不正アクセスを確認し、 11月5日午前1時5分ごろから両サービスの各種手続きを止めたと発表した。 同日夕方の第二報では、 最大で約30万件の情報が流出し、 氏名、 住所、 生年月日、 携帯電話番号、 連絡先電話番号などが含まれるとした。 原因と侵入経路は調査中で、 復旧時期は未定である。

政府の見立て

国家サイバー統括室は10月8日に緊急の関係省庁会議を開き（29組織が参加）、 10月9日、 大量の個人情報を扱う事業者に注意喚起を出した。 ウェブシステムなどの適切な管理、 サプライチェーンを通じた侵害への対策、 データの適切な管理の3点で、 経営層には、 もはや情報システム部門だけの問題ではないと伝えた。

11月5日にはさらに踏み込んだ。 文書は、 不正アクセスによる情報漏えいで、 モバイルアプリ開発時のセキュリティ対策不足、 ウェブサイトの設定不備、 サポートが終了したソフトウェアや既知の脆弱性が未対策のソフトウェアの使用など、 自組織や委託先の基本的な対策が十分でなかったことが原因とみられる事例を複数確認したとする。 攻撃者は日本のウェブサイトを大規模に調べ、 侵入方法が見つかったサイトに入って個人情報を盗んだとみられ、 標的の調査や侵害に AI を使っている可能性も高い。 これまでの脆弱性診断で比較的低いと評価されたリスクも、 組み合わされて侵入の原因になったとみられる例があり、 攻撃の大規模化が容易になったことで、 事業規模の大小を問わず幅広い事業者が狙われているという。 文書は、 ソフトウェア構成の把握（SBOM など）、 実際に悪用が確認された脆弱性の優先対応、 インターネットに露出した攻撃面の縮小、 アプリが使う API の対策、 防御側での AI の活用検討などを求めている。

注意喚起は企業名を挙げておらず、 上の4社のいずれも、 自社の事案をほかの事案と結びつけていない。 同じ秋には、 セキュリティ企業が、 多数の侵入を並行して進めるエージェント型 AI 攻撃フレームワークの実例を相次いで報告していた。 10月初めのデンマーク CPR 不正アクセスと同じく、 日本の事案も、 特殊な攻撃手法より、 企業とその顧客のあいだにあるありふれた仕組みを通って広がった。