2026年10月の情報漏洩・不正アクセス事案まとめと、取引先で事故が起きたときの判断・対応ガイド

No.01今月公表された主な情報漏洩・不正アクセス（2026年10月1日〜9日の公表分）

結論：10月1日〜9日に当事者が公式に発表した国内の事案を66件、参考に海外の1件を載せたよ。件数は公表文の書き方のまま（最大・約・延べなど）で、数え方がそろわないから合計はしていないんだ。

• 66件国内で公表された事案10月1日〜9日に当事者が公表したもの
• 14件委託先・クラウド経由自社の外の事業者の事故が影響したもの
• 22件漏えい等を「確認」ほかは「おそれ」34件・調査中8件・確認されていない2件

このページの一覧を数えた数だよ（2026年10月9日時点）。公表されていない事案は入っていないんだ。

状態の印は、公表文の言葉に合わせて4つに分けているよ。漏えい等を確認＝流出や不正な閲覧が確認されたもの、漏えいのおそれ＝可能性があるとして公表されたもの、調査中＝有無を含めて調べているもの、漏えいは確認されていない＝公表時点で確認されていないもの。枠線の形でも見分けられるようにしてあるよ。

業種ごとの早見表

会社の名前を押すと、その事案の行へ移って詳細が開くよ。

業種は、公表文の事業内容から編集部が大きく7つに分けたものだよ。当事者が公表していない報道だけの話、SNSや攻撃者の主張だけのもの、当事者が否定したもの、9月以前に公表された事案は、この一覧に入れていないんだ。

このすぐ下にボタンが出ていれば、重ねて押して「委託先・クラウド経由」×「金融・保険」のように絞り込めるよ。行を押すと、対象の情報・企業の対応・問い合わせ窓口・未確認のことが開くんだ。

事案の一覧（公表日の新しい順）

一覧を飛ばして「自社で確かめること」へ

一覧を見たら、自社で確かめること

• 自社が使っているサービスや委託先の名前が無いか。事故を起こした事業者の名前ではなく、利用企業の名前で公表されることもあるよ（スカラコミュニケーションズの「i-ask」は、利用企業を最大5社としつつ社名を出していない）。
• 取引先から、まだ連絡が来ていないか。公表より先に、取引先には個別の連絡が届いていることがある。総務・情報システム・営業の窓口あてのメールを確かめよう。
• 自社の顧客や従業員を装った連絡への備え。多くの公表文が「パスワードやカード番号を尋ねることはない」と書いている。自社名をかたった連絡があったときの案内文を準備しておくと慌てないよ。
• 同じパスワードの使い回し。漏えいしたサービスと同じパスワードを業務のアカウントに使っていないかを、従業員に確かめてもらおう。

No.02直接攻撃されなくても影響を受ける：10月の傾向とサプライチェーンの経路

結論：10月の公表分では、委託先やクラウドを経由した事案、IDとパスワードの悪用、メールアカウントの乗っ取りが多く見られたよ。どれも「自社のシステムは無事でも、預けたデータや業務が影響を受ける」形なんだ。

このページの一覧（国内66件）を数えたもの。1件に2つの種類が付くことがあるから、足すと66件より多くなるよ。公表されていない事案や、報道だけの事案は入っていないので、世の中全体の割合を表す数字ではないんだ。

「自社への攻撃」と「取引先経由」と「取引先の停止」は分けて考える

取引先の事故が自社に届く6つの経路

押すと、仕組み・10月の例・自社で確かめることが開くよ。

10月に公的機関が出した注意喚起

• 個人情報保護委員会（10月7日）：大規模な漏えい等が続いていることを受けて、講じなければならない技術的安全管理措置（アクセス制御、識別と認証、不正アクセスの防止・検知など）を改めて示した。その手法の例として、アクセス権限の最小化、多要素認証（フィッシングに耐性のあるものを含む）、ログの一定期間の保管などを挙げている。使わなくなった個人データは遅滞なく消去するよう努めること（努力義務）も求めているよ。（注意喚起）
• JPCERT/CC（10月8日）：既知の脆弱性の探索と悪用、アプリの管理用APIへの不正なリクエスト、BIツール Metabase の脆弱性（SQLインジェクション）を挙げた。対策として、APIの呼び出し回数の制限、全エンドポイントのアクセス制御、トークンの最小権限・有効期限・速やかな無効化、修正版への更新、不要な管理機能をインターネットに出さないこと、保存期間を過ぎたデータを残さないこと、顧客への二次被害防止の呼びかけなどを挙げている。（JPCERT-AT-2026-0030）

No.03委託先の事故が利用企業へ広がった10月の事例

結論：委託先やクラウドの1か所の事故が、何社もの利用企業の顧客情報や業務に届いた例が続いたよ。タブを切り替えると、事例ごとに「何が起きて、利用企業は何を確かめればよいか」が見られるんだ。

No.04【重要】取引先が被災したとき、取引を続ける・止める・解約するをどう判断するか

結論：先に「自社とどうつながっているか」と「止めたら業務がどうなるか」を確かめて、そのうえで4つの選択肢（継続・条件付き継続・一時停止・解約や乗り換え）から選ぶよ。どれを選んでも、見直す条件と日付をセットで決めておこう。

4-1. 自社への影響を確かめるチェックリスト

8つの項目を押すと、確かめる理由・確かめ方・問題が見つかったときの動き方が開くよ。

4-2. リスクを整理する評価の目安

7つの観点ごとに、いまの状況がどこに当たるかを見てね。「分からない」は「高い」と同じに扱うのが決まりだよ。分からないことは、安全という意味ではないんだ。

読み方の目安：上の6行（データ・認証情報・確認状況・封じ込め・開示・法令や契約の義務）は自社への二次被害や義務の大きさ、下の3行（サービスの継続・切り替え・事業への影響）は止めること自体のリスクの大きさを表すよ。組み合わせの目安は次のとおり。

あくまで考え始める順番の目安で、どれを選ぶかは個別の事情で決まるよ。

4-3. 取引先の説明が十分かを見る

調べている途中であること自体は、不誠実という意味ではないよ。大事なのは、分かっていないことを分かっていないと言い、次にいつ何を知らせるかを示しているかなんだ。

表は横にすべらせて見られるよ。

4-4. 4つの選択肢を比べる

タブを切り替えて、選ぶ条件・良い点・リスク・やること・見直す条件を見比べてね。

• 乗り換えにもリスクがある：データ移行の失敗、設定ミス、古いアカウントの残り、移行中の業務停止が起きやすい。急ぐほど起きやすいので、並行して動かす期間を取ろう。
• 解約しても、預けたデータは戻らない：すでに漏れたかもしれない情報のリスクは、解約では消えない。データの返却・削除の証明をもらうところまでがセットだよ。
• 一律の正解は無い：同じ事故でも、つながり方と事業への影響で答えが変わる。迷ったら、間の選択肢（B・C）で時間を作り、材料がそろってから決め直そう。
• 解約を今決められなくても：乗り換えの準備（データの取り出し・候補の選定）だけを先に始めることはできるよ。

4-5. 経営会議で使える判断の流れ

1. 取引先の事故を把握する — 誰から・いつ・どの経路で知ったかを記録する。報道で知った場合も、取引先に事実を確かめる。
2. 自社との接続経路とデータの所在を確かめる — 4-1 の8項目。分からない項目は担当と期限を決める。
3. 個人データが絡むなら、報告の要否の検討を並行して始める — 速報の目安は、自社が知った日から3〜5日（05の8）。確定を待たない。
4. 必要なら、暫定的な封じ込めを検討する — 取引先から入れる経路や共有の認証情報があるなら、止めるかを業務への影響とあわせて決める（05の2）。
5. 取引先から影響範囲と対応状況を聞く — 4-3 の10項目。文書でもらう。
6. 自社へのリスクと事業への影響を評価する — 4-2 の7観点。分からない項目は「高い」として扱う。
7. 継続・条件付き継続・一時停止・解約を決める — 決める人（社長など）と決める期限を最初に決めておく。4-4 の4つから選び、理由・条件・見直す日を記録する。
8. 状況が変わったら、決め直す — 続報・自社側の点検結果・決めた期限のどれかで、もう一度 1 から確かめる。

決めたことは、下の記録用テンプレートに書いて残しておこう。あとで顧客・取引先・監査に説明するときの根拠になるよ。

【取引先の事故に関する判断の記録】
※事実・出典・判断の理由を書き、推測や「どちらに責任があるか」の評価は書かない
記録日時：［　年　月　日　時　分］　記録者：［　］
■ 事故の概要
　取引先・サービス名：［　］
　把握した日時と経路：［　］（取引先からの連絡／報道／その他）
　取引先の説明（要点）：［　］
■ 自社とのつながり
　預けている情報：［　］（個人データ：あり／なし／不明）
　接続・連携：［　］（VPN／API／SSO／共有アカウント）
　止まったときの業務への影響：［　］
■ 確認できていること／できていないこと
　確認済み：［　］
　未確認（担当・期限）：［　］
■ 法令・契約上の対応
　個人情報保護委員会への報告：要／不要／検討中（理由・判断日・相談先：［　］）
　　速報の期限の目安：［　月　日］　確報の期限：［　月　日］
　本人への通知：要／不要／代わりの措置（理由：［　］）
　契約上の報告・通知：［　］　業種ごとの決まり・所管官庁：［　］
　保険会社（代理店）への連絡：［　年　月　日］
■ 判断
　決めた人（決裁者）：［　］
　4-2の評価（高い／中くらい／低いの数）：［　］
　選んだ対応：A 継続／B 条件付き継続／C 一時停止・接続遮断／D 解約・乗り換え
　理由：［　］
　選ばなかった選択肢と理由：［　］
　条件・実施する措置：［　］
■ 見直し
　見直す条件：［　］
　次に見直す日時：［　］　担当：［　］
■ 関係者への共有
　共有した相手と日時：［　］（経営層／法務／顧客対応／取引先）
　取引先に判断を知らせた日時：［　］
■ 費用・損害（分かる範囲）
　時間外の対応・調査費・顧客対応など：［　］

No.05重大なインシデントに直面したら：被害を広げず、判断を進めるための初動

結論：最初にやるのは、慌てて全部を止めることではなく、状況を書き出して責任者を決めることだよ。いまも不正な操作が続いている疑いがあるときだけは、封じ込めと専門家への連絡を同時に進めよう。

5-1. まず状況を整理する

次の6つを、1枚のメモ（時刻つき）にまとめよう。分からない項目は空けずに「未確認」と書いておくのがコツだよ。

• 事故の概要：何が起きたと言われているか（取引先の言葉のまま）
• 把握した時刻と経路：誰から、いつ、どの手段で知ったか
• 対象のサービス・取引先：契約名・サービス名・担当窓口
• 確認済みの事実：自社で確かめたこと、取引先が文書で示したこと
• 未確認のこと：まだ分からないこと、それを誰がいつまでに確かめるか
• 次に確認する時刻：取引先の次回報告予定と、社内で集まる時刻

5-2. 被害を広げないための暫定措置

止めるのは、目的と条件がはっきりしているときだけにしよう。どの措置にも、業務が止まる・調査に要る記録が消える、という裏面があるんだ。

5-3. 情報と証拠を保全する

5-4. 時間の流れに沿った優先順位

5-5. 関係者の役割分担

5-6. すぐに使える初動チェックリスト

押すと済みの印が付いて、数を数えるよ。チェックの状態は保存も送信もしない（ページを閉じると消える）から、残したいときは印刷するか、記録テンプレートに書き写してね。

5-7. 取引先への確認依頼テンプレート

コピーして、［ ］の中を書き換えて使ってね。口頭で聞いた内容も、この形で文書の返事をもらっておくと、あとで判断の根拠になるよ。

件名：［サービス名］のセキュリティ事故に関するご確認のお願い

［取引先名］
［ご担当者名］様

いつもお世話になっております。［自社名］の［氏名］です。
［日付］にご連絡（または公表）いただいた［事故の名称］について、弊社への影響を確認するため、［契約書第◯条（事故時の報告）に基づき、］現時点で分かっている範囲で、次の点を文書でお知らせいただけますでしょうか。調査中の項目は「調査中」とお書きいただき、分かる時期の見込みを添えていただけると助かります。

1. 発生時期（不正アクセス等があった期間）と、検知された日時
2. 影響を受けたシステム・サービスと、影響を受けていない範囲
3. 弊社のデータ（項目・件数）が影響を受けた環境に含まれるか、その根拠
4. 弊社との接続（VPN・API・連携・共有アカウント等）への影響の有無
5. 実施済みの措置（遮断・アカウント停止・修正等）と、その日時
6. 弊社側で実施すべき対応（パスワードやキーの変更等）があれば、その内容と順番
7. 外部専門機関による調査の有無と、結果の見込み時期
8. 個人情報保護委員会等への報告状況（差し支えない範囲で）。弊社が個人データの取扱いを委託している場合は、本件のご連絡を個人情報保護法第26条第1項ただし書の通知として扱われるかどうか
8-2. 影響を受けたおそれのある弊社関係の本人の数、要配慮個人情報・クレジットカード情報の有無、暗号化の有無、二次被害またはそのおそれの有無、本人への連絡・公表の状況や予定
9. 再発防止策と実施予定時期
10. 次回のご報告予定日時と、窓口のご担当者・連絡先
11. 弊社が利用しているサービスの稼働状況、停止の予定、復旧の見込み、弊社データの取り出し（エクスポート）の可否と方法
12. 弊社に関係する記録（ログ）の保全と、必要に応じたご提供のお願い
13. 再委託先の関与の有無

お忙しいところ恐れ入りますが、［希望日時（例：受信から2営業日以内）］までにご返信いただけますと幸いです。
取り急ぎ、弊社では［実施した暫定措置があれば記載］を行っております。

［自社名・部署・氏名・連絡先］

5-8. 法令・契約上の対応と、専門家への相談

個人データの漏えい等（そのおそれを含む）が次の条件に当たると、個人情報保護法で、個人情報保護委員会への報告と本人への通知が義務になるよ。委託先で起きた事故でも、自社が委託元なら自社に義務がかかる場合があるんだ。当てはまるかは、預けた情報・件数・原因で変わるから、早めに法務や弁護士と確かめよう。

出典：個人情報保護委員会「漏えい等の対応とお役立ち資料」。業種によっては、報告先が所管の省庁になる場合がある。報告するときは必ず最新の案内を確かめてね。

個人情報保護法のほかに、次の決まりにも当てはまらないかを確かめよう。

• 業種ごとの法令・監督官庁の決まり：金融・通信・医療など、業種によっては別に報告の決まりがある。
• 契約上の報告義務：顧客や取引先との契約に、事故の報告期限や方法が書かれていることがある。自社が「委託先」の立場になる取引も確かめる。
• 上場会社の開示：業績や事業への影響が大きい場合は、取引所の適時開示の対象になることがある。
• 警察への相談：不正アクセスや脅迫を受けたときは、都道府県警察のサイバー事案の窓口に相談・通報できる（警察庁の案内）。

専門家の支援が要りそうな状況

• 自社のシステムにも侵入された疑いがある
• 影響の範囲が分からず、取引先の説明も足りない
• 個人データの件数が多い、または要配慮個人情報・カード情報などが含まれる
• 身代金を求められている、データを公開すると脅されている
• 解約・損害賠償・契約違反が論点になりそう

相談先

表は横にすべらせて見られるよ。

相談の前に、5-1の状況メモ、取引先からの通知の原本、預けているデータとつながりの一覧（4-1）、これまでにとった措置と時刻をそろえておくと、話が早く進むよ。

No.06再発防止：委託先のリスクを平時から管理する（TPRM）

結論：事故が起きてから慌てないために、委託先を「預けている情報」「つながり方」「止まったときの影響」で分けて、大事なところから確かめていこう。専任の担当がいなくても、一覧表と契約の見直しから始められるよ。

10の対策を押すと、目的・確認方法・できあがるもの・担当・完了の条件が開くよ。

契約前・更新時に送る質問票（例）

委託先に送る質問の例だよ。全部に「はい」と答えられる会社は多くないから、答えを見て、高リスクの委託先との話し合いの材料にしてね。

【情報セキュリティに関するご質問】
1. 弊社のデータを保管している場所（国・事業者・サービス名）を教えてください。
2. 管理画面・VPN・クラウドの管理者アカウントに多要素認証を設定していますか。
3. 弊社のデータにアクセスできる担当者の人数と、権限の見直しの頻度を教えてください。
4. アクセスの記録（ログ）をどのくらいの期間保存していますか。
5. ソフトウェアの脆弱性の修正は、公開からどのくらいの期間で適用する決まりですか。
6. バックアップは別の場所・別の権限で保管し、戻す訓練をしていますか。
7. 事故が起きたとき、何時間以内に、誰に、どの方法で弊社へ知らせますか。
8. 弊社の業務に関わる再委託先（クラウド・ツールを含む）を教えてください。
9. 契約が終わったとき、弊社データの返却・削除とその証明はどう行いますか。
10. 外部の認証や第三者による点検（受けていれば名称と時期）を教えてください。

中小企業でもできる90日間の改善計画

手引きを使うなら、IPA の「中小企業の情報セキュリティ対策ガイドライン」第4.0版（2026年3月公開）に、付録として「中小企業のためのクラウドサービス安全利用の手引き」と「中小企業のためのセキュリティインシデント対応の手引き」があるよ。経営者向けには、経済産業省の「サイバーセキュリティ経営ガイドライン Ver 3.0」が、取引先を含めたサプライチェーン全体での対策を求めている。相談や見守りを外に頼みたいときは、IPA が案内している中小企業向けの「サイバーセキュリティお助け隊サービス」も選択肢になるよ。

用語解説

このページに出てくる言葉を、できるだけ短く説明したよ。