Eストアーは10月16日、ECサイト構築サービス「ショップサーブ」への不正アクセスについて最終報を公表しました。5月21日～8月1日に、アプリケーションの脆弱性を悪用した不正なプログラムで、データベースの情報が外部に送られていました。漏えい対象は購入者・会員、店舗運営者、アフィリエイターを合わせた約2335万6000人で、重複をできる限り除いた概数です。このうち約209万6900人はカード名義、カード番号の一部（先頭6桁と下4桁）、有効期限を含みますが、完全なカード番号とセキュリティコードは対象外です。対象店舗は過去の利用店舗を含む7858店です。Eストアーや金融機関を装ったメール・SMS・電話に注意し、カード情報の再入力などを求める連絡には応じないでください。
日本経済新聞社は10月16日、システム開発に使うクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏洩したと公表しました。このうち氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含むものは約15万件で、残る約168万件は単体では個人を特定できない識別子のみです。クレジットカード情報は含まれていません。何らかの手段で盗まれた認証情報が使われ、7日未明から朝にかけて不正アクセスを受けました。日経BPも17日、自社サービス利用者の情報が一部含まれる可能性があるとして調査を進めています。対象者には個別に連絡するとしており、不審な連絡に注意して公式の案内を確認してください。
ファンケルとアテニアは10月16日、両社のECサイトが不正アクセスを受け、会員情報の一部が漏えいしたと公表しました。不正アクセスは10月3～10日に行われ、15日の内部調査で判明しました。対象はファンケルが36万8184人（39万3785件）、アテニアが41万7312人（44万1162件）です。氏名、住所、メールアドレス、電話番号、生年月日などが含まれ、一部の人が設定しているハッシュ化された2次パスワードも対象ですが、メインのパスワードとカードなどの決済情報は含まれません。原因となった機能は停止済みで、対象者には順次メールで連絡します。不審なメール・SMS・電話のリンクや添付を開かず、定期的にパスワードを更新してください。
Web制作サービス「Studio」を運営するStudio株式会社は10月16日、クラウド環境への不正アクセスで、登録者全員の情報が流出した可能性があると公表しました。第三者が一部機能の脆弱性を悪用し、14日に対処するまで環境内のデータを外部から取得できる状態にしていました。アカウント情報に加え、CMSの内容、フォームに送信された内容、外部サービスのAPIキーやトークンなども対象で、暗号化していた情報も復号用の鍵が読み出されたため内容を知られた可能性があります。利用企業では、Link-Uグループが問い合わせフォームの7663件、東北電力フロンティアが延べ182件について漏えいの可能性を公表しました。Studioの利用者はパスワードを変更し、ライブプレビューURLの削除や、APIキーなどの切り替えを行ってください。Studioで作られたサイトのフォームに入力したことがある人は、運営者からの案内を確認し、不審な連絡に注意してください。
株式会社Joshin（大阪市）は10月17日、社内ネットワークが第三者の不正アクセスを受け、一部のサービスを提供できない状態になっていると公表しました。16日に不正アクセスを認識し、外部からのアクセスを制限するなどの対策をとった結果としています。個人情報などの流出の有無は、外部の専門機関と確認しています。漏えいの可能性を否定できないため、個人情報保護委員会に第一報を入れています。利用者は会社の公式な続報を確認し、同社を装った不審な連絡に注意してください。
Astemoは10月16日、同社が使うデータ共有クラウド環境が第三者に不正アクセスされ、データの一部が流出したと公表しました。アクセス権を持つ業務委託会社の従業員のアカウントが侵害され、悪用されたものです。9月17日に、データを取得したと主張する第三者から従業員に連絡があり、調査を始めていました。流出したデータには、従業員や取引先の担当者など約350人の氏名、メールアドレス、電話番号、所属といった業務上の連絡先が含まれます。顧客企業の関係者や最終消費者の個人情報は含まれていないとしています。顧客や取引先、製品・開発に関する情報への影響は調査中です。
ジャパンタイムズとニューズ・ツー・ユーホールディングスは10月16日、9月18日に確認したランサムウェア被害の第2報を公表しました。10月15日、攻撃者が窃取したと主張するデータが外部のウェブサイトで公開されたことを確認しました。対象のサーバーは2022年8月まで使っていた管理部門用のファイルサーバーで、2001年から2022年8月までの人事関連情報や取引先に関する情報が含まれる可能性があります。電子版サービス、購読者データベース、決済システムなどは別のインフラで運用されているとしています。公開データの内容と範囲は特定できておらず、該当者には順次連絡します。同社を装った不審なメールのURLや添付ファイルは開かないでください。
岩井コスモ証券は10月16日、ネット取引システムの運用・保守を委託するトレードワークスのシステムが不正アクセスを受け、顧客4611人の氏名やメールアドレスなどが漏洩したと公表しました。14日に検知し、アクセス制限などの緊急措置をとりました。トレードワークスによると、システムの一部の管理機能の設定不備が悪用されたもので、パスワードが取得されたことは確認されていません。両社は、漏洩した情報だけでは口座へのログインや取引はできないとしています。岩井コスモ証券を装った不審な電話やメールに注意してください。
ゴルフダイジェスト・オンライン（GDO）は10月16日、13日に公表した不正アクセスの続報を出しました。攻撃者にダウンロードされたファイルから、従業員、退職者、委託先・パートナー企業の人の氏名と社用メールアドレス1789件の流出を確認しました。別のサーバーを経由して会員情報55件が照会された可能性もあり、うち4件は氏名や住所などの個人情報を含みます。パスワードやカード番号などの決済情報の流出は確認されていません。業務連絡を装ったメールが届くおそれがあるため、不審な連絡は開かずに同社の窓口へ確認してください。
ネットショップ向けシステム「WASABI SWITCH」の運営会社は10月16日、システムへの不正アクセスで、利用店舗の注文情報などが外部に流出したと公表しました。15日に店舗から、実際の注文内容が書かれた不審なメールが購入者に届いているとの連絡があり、調査で14日の不正アクセスが分かりました。メールは返金手続きを装ってLINEアカウントへの連絡を促す内容で、流出した情報が悪用されたとみています。16日午前4時頃にも別の原因による不正アクセスを確認し、対策を進めています。流出した範囲は調査中です。購入者は返金などを理由にLINEへ誘導する連絡に応じず、購入した店舗の公式窓口で確認してください。
日本郵便は10月16日、「国際郵便物の調査請求Web受付サービス」のサーバーへの不正アクセスについて、調査結果を公表しました。申請時に登録された約600件の情報が、第三者が閲覧できる状態にありました。差出人の氏名・住所・電話番号・メールアドレス、受取人の情報、調査対象郵便物の問い合わせ番号などが含まれます。実際に閲覧されたかは確認できていませんが、不正利用の形跡は見つかっていません。同サービスのメールアカウントからスパムメールが送られていたことも分かっており、[email protected]からの心当たりのないメールは開かずに削除してください。
リゾートトラストは10月16日、統合予約サイトのシステムへの不正アクセスについて続報を出しました。9日の初報では、グループ会員の情報約2万6千件と、ザ・カハラ・ホテル＆リゾート 横浜の予約者の情報約3万6千件が漏えいしたとしていました。続報では、会員本人の氏名や住所などに加え、勤務先の会社名や家族の氏名・生年月日、会員番号や契約内容も含まれると説明しています。クレジットカード、銀行口座、医療情報、メールアドレスの漏えいは確認されていません。統合予約サイトなどは休止中で、予約は電話で受け付けています。なりすまし防止のため詳しい本人確認を求める場合があるとしており、不審な連絡には応じないでください。
アルカディアは10月16日の第11報で、NET119と119RAIDENでも不正アクセスにより個人情報が漏洩した可能性があると公表しました。SpeeCAN RAIDENの調査の過程で、14日に不正アクセスが疑われる痕跡を見つけていました。NET119では、9020件のメールアドレスに紐づく利用者の名前、生年月日、住所、電話番号などが対象で、要配慮個人情報は漏洩していないとしています。119RAIDENでは、連絡先のメールアドレス約9万7000件、電話番号約1万7000件などが対象です。侵入経路は遮断済みで、サービスは通常どおり使えます。漏洩した可能性のあるメールアドレスは各消防本部に個別に知らせる予定で、利用者は不審な連絡に注意してください。
バーガーキングを運営するビーケー・ジャパンは10月15日、公式アプリの会員情報約1118万件が不正アクセスで外部に漏えいしたと公表しました。10月2～7日に会員情報を管理するシステムへの不正アクセスがあり、13日に判明しました。対象は会員ID、メールアドレス、氏名、電話番号、生年月日、性別、都道府県などです。クレジットカード番号は保持しておらず、ログインパスワードの漏えいは確認されていません。公表時点で二次被害は確認されておらず、対象者にはメールで案内しています。同社を装った不審なメール・SMS・電話のURLや添付を開かないでください。
Ahold Delhaize傘下のスーパー、アルバート・ハインは10月16日、11日午後から続くサイバー事案の最新状況を公表しました。ネットで注文された商品は少なくとも20日（火）までの分がすべてキャンセルとなり、新しい注文もまだできません。支払い済みの客には、システム復旧後に補償するとしています。これまでのところ個人データが関係している兆候はないとし、調査を続けています。店舗は営業を続けており、品ぞろえも回復しています。混乱に便乗したフィッシングに注意してください。
米連邦裁判所事務局は米国時間10月15日、破産裁判所の通知を担うBankruptcy Noticing Center（BNC）が、運用を受託するBAE Systemsのサイバー事案の影響を受けたと公表しました。BNCは全米の連邦破産裁判所の通知を作成・送付しており、関連サイトへのアクセスと通知の作成・配布が止まっています。アイダホ州の連邦破産裁判所は、10月9日から全国的な障害が続いていると案内しています。BAEが調査と復旧を進めていますが、情報が持ち出されたかどうかは公表されていません。関係者は各裁判所の案内を確認し、通知が遅れる前提で期限などを確かめてください。
米CISAは10月16日、BeyondTrustのリモートサポート製品「Remote Support」の認証回避の脆弱性（CVE-2026-102764）が攻撃に悪用されているとして、パッチの適用を呼びかけました。同日、悪用が確認された脆弱性の一覧（KEV）にも追加しました。対象は26.2.3以前の版で、攻撃者は初期侵入に使い、権限の昇格や内部での横展開を行っているとしています。BeyondTrustが運用するSaaS版は修正済みですが、自社運用の機器はBT26-05-RSパッチの適用が必要で、24.3.1より古い版は先に更新が要ります。管理者はパッチを適用したうえで侵害の痕跡を調べ、疑いがあれば機器の隔離や、保存していた認証情報の変更などを行ってください。
米CISAは10月16日、FortiOSなどFortinetの複数製品の脆弱性（CVE-2025-61624）を、悪用が確認された脆弱性の一覧（KEV）に追加しました。コマンドライン機能のパストラバーサルの問題で、読み書き権限のある管理者プロファイルを持つ攻撃者が、任意のファイルを書き込んだり削除したりできるおそれがあります。Fortinetは4月14日にアドバイザリを公表しており、同社の情報でも悪用確認済みとされています。修正版はFortiOS 7.6.5以降、7.4.10以降などで、7.2・7.0・6.4系は修正済みの系列への移行が必要です。FortiProxy、FortiPAM、FortiSwitchManagerも対象のため、管理者は製品ごとの対象版を確認して更新してください。