アンドエスティHDは10月23日、22日朝に業務サーバーが外部から不正アクセスを受け、顧客約250万件の氏名・生年月日・性別・住所・電話番号・メールアドレス・会員IDが流出した可能性があると公表しました。取引先約1万件の担当者情報も対象で、従業員情報は範囲を確認中です。クレジットカードなどの決済情報や、利用者が設定したパスワードは含まれていないとしています。店舗とWEBストアは使えますが、会員ポイントは現在使えません。対象者には順次連絡するとしています。
トレジャー・ファクトリーは10月23日、「出張買取」と「トレファク引越」の申し込みに使う案件管理システムが20日に脆弱性を突かれて不正アクセスを受け、顧客のメールアドレス74万6,277件が取得されたと公表しました。このうち11件は氏名と住所も含みます。取引先・従業員などの情報750件と端末の情報1,000件も対象です。決済情報は含まれず、店舗やアプリの顧客情報は別のシステムで対象外としています。原因は先日公表されたPHPの脆弱性とは関係ないとしています。申込フォームは28日をめどに再開する予定です。
パーク24は10月23日、タイムズカーのWebシステムへの不正アクセスについて第5報を公表しました。これまで約160万件としていた本人確認書類の画像のうち、外部に送られた痕跡があったのは約146万件と判明しました。画像は暗号化して保管していたため、すぐに中身が見られる状態になったわけではないとしつつ、将来復号される可能性は否定できないとしています。会員登録後は画像を持たないルールに改め、保有中の画像は10月末までに削除します。対象者には3,000円相当のお見舞いを渡す予定で、専用窓口は0120-25-8924（24時間）です。
日本ピザハットは10月23日、国内向けオンライン注文サービスに関わる決済API（システム間で決済の情報をやり取りする仕組み）が19日に不正アクセスを受け、顧客ID・メールアドレス・電話番号・セッションログイントークン・取引記録などが漏えいしたと公表しました。クレジットカード情報は含まれていません。漏えい件数は示しておらず、原因と影響範囲を調べています。同社を装うメールやSMS、電話に注意するよう呼びかけています。窓口は0120-679-023（10〜19時）です。
カプコンは10月23日、「CAPCOM ID」への不正アクセスの第二報を公表しました。パスワードを不正に変更された196件のうち19件（日本国内）で、通販サイト「イーカプコン」のマイページに第三者が入り、氏名・電話番号・住所・生年月日・購入履歴・問い合わせ履歴などが漏えいしたと判明しました。クレジットカード情報は含まれていません。ほかのアカウントではパスワード変更による漏えいは確認されず、影響範囲の調査は完了したとしています。
トラストバンクは10月23日、「ふるさとチョイス」の不正アクセスの第2報を公表しました。すでに公表した445万4,097件のうち5人で、ポイント履歴・寄附履歴・生年月日・送付先などが追加で流出していたと判明しました。2人はクレジットカードの下4桁・名義・有効期限も含みます。カード情報は表示のたびに決済代行会社から取得する仕組みで、この情報だけでは決済できないとしています。5人には個別に連絡済みです。
PFUは10月23日、以前使っていたECサイト管理システム「ショップサーブ」への不正アクセスで、通販サイト「PFUダイレクト本店」の漏えい対象データが78,873件と判明したと公表しました。件数は人数ではないとしています。氏名・住所・電話番号・メールアドレス・勤務先などが対象で、クレジットカード情報や会員ID・パスワードは含まれていません。現在の同店はショップサーブを使っていません。
アルクは10月23日、メールマガジン配信に使う「ブラストメール」への不正アクセスで、「ALC News +」に登録している約31万件のメールアドレスが漏えいしたと公表しました。氏名・住所・パスワード・カード情報などは登録しておらず対象外です。ブラストメールを運営するラクスライトクラウドは21日、すべての契約者の会社名・担当者名・連絡先などが持ち出され、一部の契約者では配信先リストも漏えいしたと公表しています。問い合わせ先は privacy[at]alc.co.jp です。
インプリムとJVNは10月23日、業務アプリ基盤「プリザンター」1.1.0.0〜1.5.9.0のLDAP認証に、細工したリクエストでパスワードを確かめないままログインを許す脆弱性（CVE-2026-113438）があると公表しました。Linux環境（Docker版を含む）か、Windowsで「DsProvider」に「Novell」を指定し、接続先がActive Directoryまたは匿名バインドを許すLDAPサーバーの場合に該当します。有効なログインIDを知る第三者がその利用者として情報を見たり書き換えたりできるおそれがあります。修正版は1.5.9.1で、10月13日公開の1.5.9.0には修正が含まれていません。
JPCERT/CCは10月23日、国内で相次ぐ不正アクセスについての注意喚起（JPCERT-AT-2026-0030）を更新しました。CairnやCyberStrikeAI、ARTEXなどAIを使う侵入テスト基盤を悪用し、インターネットに公開したWebアプリの脆弱性や設定ファイルを狙う攻撃の試み（公開WSUSサーバーへの試行を含む）を新たな型として加え、不審な送信元IPアドレスも追加しました。公開しているシステムのログに、掲載されたIPアドレスからのアクセスがないか確かめるよう求めています。