ソースネクスト、ヤマトなど数十社2026年10月総まとめ第2弾 やまぬ情報漏えい2週間を振り返る：セキュリティニュースアラート

セキュリティソフトも扱うソースネクストから、パスワードを含む最大約2252万件の情報が流出した可能性がある。前回のまとめから2週間、日本企業の情報漏えい公表は途切れなかった。何社で、どのような情報が漏れたのか。各社の公表資料を基に全容をまとめ、1社への攻撃が多数に波及する構図と、各社の対応の共通点を読み解く。

[ITmedia]

　ソースネクストは2026年10月15日、会員情報を管理するシステムが第三者による不正アクセスを受け、パスワードを含む最大2251万9960件の会員情報が流出した可能性があると発表した。前回のまとめでは、2026年9月中旬からの約3週間に情報漏えいを公表した企業や組織が21に上った。10月6日以降（以下、日付は全て同年）も「漏えい」や「漏えいの恐れ」の公表が相次いだ。

• タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ　公表が相次ぐ3週間に何が起きたのか

　この期間は規模の大きさが目立つ。バーガーキングの公式アプリで約1118万件、旅行予約サイト「skyticket」で約1464万件が対象となるなど、1000万件を超える事案が複数含まれる。クラウドサービスや委託先が攻撃を受け、それを利用する企業や自治体の公表に連鎖する構図も繰り返された。

　ただし、各社の公表は個別の資料に分かれており、全体像を把握しにくい。前回の約3週間を上回る規模なのか、期間を区切って集計した。なお、情報漏えいの公表を伴わないシステム障害などのITインシデントは、本稿の集計に含めていない。

　あわせて、1社への攻撃がなぜ多数の企業や自治体に波及するのか、各社の対応に何が共通するのかも読み解く。

約2週間で何社・何件が漏えいしたのか

　編集部が各社の公表資料を基に集計したところ、10月6〜19日の約2週間に情報漏えい（その恐れを含む）を公表した企業や組織は、本稿執筆時点で集計した主なものだけで33事案に上り、対象件数は単純合計で延べ約1億3000万件に達した。

　これは各社が公表した最大値を合算したもので、重複や、メールアドレスのみなど性質の異なる件数を含む。件数を公表していない事案は合計に含めていない。事案の数でみれば、約3週間で21だった前回を、2週間で既に上回った（1事案に複数社が含まれる場合は1と数えた）。集計最終日の19日にも、ニフティなど3社の公表が続いた。一覧は次の通りだ。

公表日	企業・サービス	対象件数・情報の内容
10月6日	ミスターマックス・ホールディングス「MrMaxアプリ」など	会員の個人情報最大173万5154人分
10月6日	シチズン時計（委託先スカラコミュニケーションズ）	問い合わせ情報約10万人分
10月6日	旭化成セラピューティクス「Pharma DIGITAL」	医療従事者の情報最大約51万4000人分など
10月7日	エイチ・アイ・エス（タイ現地法人）	パスポート情報など最大627人分
10月7日	IDCフロンティア「IDCFクラウド」	管理用ポータルで48社の登録情報が不正に照会（仮想サーバ内データの流出はなし）
10月8日	ローソン「ローソンID」など	個人情報215万5345件など
10月8日	第一興商（委託先日本コロムビアグループ）	顧客と従業員の情報約872万4000件
10月8日	ユーザベース「NewsPicks」	メールアドレス最大32万3000件、カード情報の一部最大36万2000件など
10月9日	ブックオフグループホールディングス	会員情報638万3279人分（第2報で確定）
10月9日	アドベンチャー「skyticket」	顧客情報約1464万件（パスワードのハッシュ値を含む約413万件）など3事案
10月9日	JR東日本「えきねっと」「大人の休日倶楽部」	メールアドレスなど最大約206万件（15日に漏えいなしと発表）
10月9日	ビューカード	メールアドレス約403万件（15日に漏えいなしと発表）
10月9日	コミューン「Commune」「Commune for Work」	会員情報推計約30万7000人分
10月9日	ディップ「バイトル」「バイトルNEXT」	メールアドレス最大388万5771件
10月9日	ココナラ「ココナラスキルマーケット」	履歴書など2294件
10月13日	ライドオンエクスプレスホールディングス（銀のさら、釜寅、すし上等）	登録者情報最大約650万件
10月13日	Fivot「IDARE」	会員情報12万9659人分（残高や取引履歴を含む）
10月13日	アルカディア「SpeeCAN RAIDEN」など	メールアドレス推定最大約313万6000件など
10月13日	楽天モバイル	支払い証明書が第三者に閲覧される可能性があった（件数非公表）
10月14日	アエナ	会員情報最大81万7215人分が閲覧された可能性
10月15日	メドレー「アットリンク」	最大787医療機関の患者情報（範囲は調査中）
10月15日	ビーケー・ジャパン（バーガーキング公式アプリ）	会員情報約1118万件
10月15日	ソースネクスト	会員情報最大2251万9960件（パスワードを含む）
10月15日	ACCESS（台湾子会社の「CROS」）	顧客ID15万5280件、カード関連延べ1671件など
10月16日	Studio「Studio」	クラウド環境への不正アクセスで情報流出（対象は個別案内）
10月16日	日本経済新聞社	個人情報約183万件
10月16日	ヤマト運輸「クロネコ代金後払いサービス」	顧客情報約526万件を含む計約531万件
10月16日	ファンケル、アテニア	会員情報計83万4947件
10月16日	日本郵便「国際郵便物の調査請求Web受付サービス」	登録情報約600件が閲覧可能な状態に
10月16日	Eストアー「ショップサーブ」（BASE子会社）	約2335万6000人分（最終報）
10月19日	ニフティ（回線申込の受付管理システム）	顧客情報最大54万2513件
10月19日	阪急阪神百貨店「H2O ID」（エイチ・ツー・オー リテイリング子会社）	会員情報約126万件
10月19日	ユミルリンク「Cuenote FC」	メールアドレスを含む延べ約900万件が出力されたと試算

　各事案の経緯と対応は次の通りだ。

ミスターマックス・ホールディングス「MrMaxアプリ」など（10月6日公表）

　総合ディスカウントストア「MrMax」を展開するミスターマックス・ホールディングスは、アプリとオンラインストアのサーバが不正アクセスを受け、会員の個人情報最大173万5154人分が流出したと発表した。10月3日夕に不審なアクセスを確認し、同日中に外部からのアクセスを遮断した。対象は会員IDや氏名、メールアドレス、電話番号で、クレジットカード情報やパスワードの流出はないことを確認した。

シチズン時計（10月6日公表）

　問い合わせ受付業務を委託するスカラコミュニケーションズのサーバが不正アクセスを受け、腕時計ブランドのWebサイトで受け付けた問い合わせ情報約10万人分が漏えいした可能性がある。親会社のスカラによると、10月2日夜から3日朝にかけて第三者がFAQシステム「i-ask」の管理サイトに不正ログインした。同じサーバ上に保存されていた最大5社分、延べ最大71万3126件が漏えいした可能性があるという。前回のまとめに掲載した大和証券の事案と同じ委託先が原因となった。

旭化成セラピューティクス「Pharma DIGITAL」（10月6日公表）

　医薬品の製造販売を手掛ける旭化成子会社の旭化成セラピューティクスは、医療関係者向け情報提供サイト「Pharma DIGITAL」が不正アクセスを受け、医療従事者最大約51万4000人分の氏名や所属施設名、職種などが閲覧、取得された可能性があると発表した。サイトの運営と情報管理は医薬情報ネットに委託していた。旭化成セラピューティクスの従業員約700人分の情報も対象で、Webサイトは停止している。

エイチ・アイ・エス（10月7日公表）

　タイ現地法人のファイルサーバが不正アクセスを受け、最大627人分のパスポート情報とアレルギー情報が流出した可能性がある。不正アクセスの検知は2025年12月11日だった。サーバ内に個人情報と無関係のデータが大量に混在していたため、対象の特定と連絡先の抽出に相当の時間を要したと説明している。

IDCフロンティア「IDCFクラウド」（10月7日公表）

　ソフトバンク子会社のIDCフロンティアは10月7日未明に不正アクセスを検知し、クラウドサービス「IDCFクラウド」の一部に障害が発生したと発表した。原因はランサムウェア攻撃で、495の企業や自治体に影響が及んだ。当初、預かっていたデータは取り出しや復元が困難と見込まれていた。

　同社は10月14日の第5報で、障害の影響を受けたゾーンの顧客の仮想サーバ内のデータについて、外部への流出はなかったと判断したと公表した。あわせて、スナップショット機能を利用していた194社はバックアップデータの取り出しが可能になったこと、管理用の「IDCFクラウドポータル」で48社の登録情報が不正に照会されたことを明らかにした。18日には停止していたバックアップサービスの提供を再開した。この攻撃を受け、後述するJR東日本グループなどが漏えいの可能性を公表したが、JR東日本とビューカードは15日に漏えいはなかったと発表した。

• 「流出なし」で終わらないIDCFクラウド障害　「何をいつまで預けたか」で分かれた明暗

ローソン「ローソンID」など（10月8日公表）

　アカウントサービス「ローソンID」と「ローソンアプリ予約」が不正アクセスを受け、ローソンIDの個人情報215万5345件とアプリ予約の26件が漏えいした。利用者本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明している。被害期間はローソンIDが9月12日から14日、アプリ予約が9月17日で、10月7日の調査で判明した。停止していたアプリ予約機能は10月19日に再開した。

第一興商（10月8日公表）

　個人情報の取り扱いを委託する日本コロムビアグループの従業員PC1台がマルウェアに感染し、カラオケ店「ビッグエコー」などの顧客情報約863万1000件と従業員情報約9万3000件、計約872万4000件が漏えいした恐れがある。当該PCには委託業務に関する個人データが一時的に保管されていた。パスワードは含まれない。

ユーザベース「NewsPicks」（10月8日公表）

　経済ニュースサービス「NewsPicks」の業務用管理ツールが不正アクセスを受けた。10月8日12時48分に検知し、14時1分に遮断した。翌9日の第2報で、メールアドレス最大32万3000件、クレジットカード名義と番号の一部最大36万2000件など項目ごとの件数を示した。

ブックオフグループホールディングス（10月9日公表）

　子会社ブックオフコーポレーションの会員管理システムが不正アクセスを受け、初報では最大約643万件の会員情報が外部から取得されたとした。10月13日の第2報で、対象は638万3279人（うち退会者21万2371人）と確定した。氏名や住所、電話番号、パスワードのハッシュ値などが対象で、10月4日から6日にかけて外部に送信された。決済情報は対象システムで管理していない。対象者には10月15日から順次連絡し、パスワードの変更を求めている。

アドベンチャー「skyticket」（10月9日公表）

　旅行予約サイト「skyticket」などで、経路が異なる3件の不正アクセス事案が発生した。10月2日から4日の同社サーバへの不正アクセスでは、一部の管理機能が不正に操作され、顧客情報約1464万件が流出した。このうち約413万件にはハッシュ化されたログインパスワードが含まれる。

　業務管理システムからは、返金先の口座情報を含む1万7780件が流出した恐れがある。バス予約サービスでは予約完了ページが認証なしで表示できる状態となっており、約1万2000件の予約情報が閲覧された恐れがある。同社はその後の第2報で、「skyticketプレミアム」の旧会費支払いに関する記録からカード番号や有効期限など最大6140人分が流出したと公表し、カード番号は流出していないとした第1報の内容を訂正した。

JR東日本、ビューカード（10月9日公表、15日に漏えいなしと発表）

　IDCフロンティアへの不正アクセスに伴い、メール配信用外部サービスからメールアドレスなどが漏えいした可能性がある。対象は「えきねっと」会員約167万件と「大人の休日倶楽部」会員約39万件で、大人の休日倶楽部では会員番号やクレジットカードの有効期限、生年月日も含まれる。ビューカードも同日、メールアドレス約403万件の漏えいの可能性を公表した。いずれも氏名や住所、カード番号は対象に含まれない。両社は15日、メール配信の委託先から漏えいはなかったと判断したとの報告を受けたと発表した。

コミューン「Commune」（10月9日公表）

　企業向けコミュニティプラットフォーム「Commune」「Commune for Work」の一部顧客コミュニティで、推計約30万7000人分の会員情報が漏えいした。このうちメールアドレスを含むものは約12万6000人分だ。コミューンによると、第三者がシステムの不備を突き、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧や取得、データの上書きを行った。LINEヤフーやウイングアーク1st、青森県など、利用する企業や自治体の公表が相次いだ。

ディップ「バイトル」「バイトルNEXT」（10月9日公表）

　求人情報サイト「バイトル」「バイトルNEXT」が、システムの一部機能における仕様の不備を突いた海外からの不正アクセスを受け、会員のメールアドレス最大388万5771件が漏えいした。10月6日に確認し、海外からのアクセスの全面遮断とプログラムの改修を実施した。対象はメールアドレスのみとしている。

ココナラ「ココナラスキルマーケット」（10月9日公表）

　スキルマーケットに登録された履歴書449件と職務経歴書関連書類1845件、計2294件が外部に持ち出された。10月8日未明に不正アクセスを検知して遮断した後、同日午後に再度の不正アクセスと持ち出しの形跡を確認し、同日21時27分までに脆弱（ぜいじゃく）性の修正を完了した。クレジットカード情報やパスワードは対象に含まれない。

ライドオンエクスプレスホールディングス（10月13日公表）

　宅配ずし「銀のさら」「すし上等」と宅配御膳「釜寅」の公式サイトとアプリの登録者情報を保管するサーバがサイバー攻撃を受け、最大約650万件が漏えいした可能性がある。10月5日以降に不正アクセスを検知して調査を進めていたところ、7日早朝にサーバの運営会社からランサムウェア攻撃を受けたとの報告があり、システムを停止した。氏名や住所、注文履歴、パスワードのハッシュ値などが対象だ。クレジットカード情報は保有していない。公式サイトとアプリからの注文は停止し、電話や店頭、出前館などでの注文に切り替えている。

• 「銀のさら」最大650万件漏えいか　委託先ランサム被害で預けたデータ取り出せず　点検すべき4項目

Fivot「IDARE」（10月13日公表）

　キャッシュレスサービス「IDARE」で、外部ソフトウェアの脆弱性を悪用した不正アクセスによって、12万9659人分の個人情報が漏えいした。残高や取引履歴などの情報も含まれる。

アルカディア「SpeeCAN RAIDEN」など（10月13日公表）

　自治体の防災情報配信などに使われる一斉情報配信サービス「SpeeCAN RAIDEN」が不正アクセスを受け、メールアドレス推定最大約313万6000件、電話番号約10万5000件などが漏えいした可能性がある。

　アルカディアは10月11日16時30分に不審な挙動を確認し、翌12日未明に侵入経路をふさぐ応急措置を講じた。13日11時からは侵入経路となった一部サービスを緊急停止し、15日に復旧した。さいたま市や横須賀市などの自治体が相次いで影響を公表した。調査の過程で、緊急通報関連サービス「NET119」と「119RAIDEN」でも不正アクセスの形跡が確認された。NET119では9020件のメールアドレスにひも付く利用者情報が、119RAIDENでは約9万7000件のメールアドレスなどが漏えいした可能性がある。

楽天モバイル（10月13日公表）

　「my 楽天モバイル」からダウンロードできる支払い証明書が、第三者に閲覧される可能性があったと発表した。同社が実施した脆弱性診断テストで判明したもので、6月20日にシステム改修を完了している。氏名や住所、利用料金などが対象で、第三者による閲覧や二次被害は確認されていない。

アエナ（10月14日公表）

　化粧品や日用品を販売するアエナは、ECアプリの会員マイページが不正に閲覧されていたことが判明したと発表した。閲覧された可能性のある会員は最大81万7215人で、氏名や住所、クレジットカード番号の下4桁や有効期限などが対象となる。外部からの機械的な連続アクセスが原因だとしている。カード番号の全桁やパスワードは閲覧されておらず、会員情報の改ざんや不正な購入も確認されていない。

メドレー「アットリンク」（10月15日公表）

　産婦人科などの医療機関向け業務支援システム「アットリンク」と患者向けアプリ、周辺サービスが不正アクセスを受け、患者の個人情報が漏えいした可能性がある。10月11日に外部の専門機関から情報提供を受けて調査し、14日深夜にサービスの提供を停止した。対象になり得る医療機関は最大787件で、漏えいの有無と範囲は調査中だ。

ビーケー・ジャパン（10月15日公表）

　「バーガーキング」公式アプリの会員情報を管理するシステムが不正アクセスを受け、会員情報約1118万件が漏えいした。不正アクセスは10月2日から7日にかけて発生し、13日に判明した。対象は会員IDや氏名、メールアドレス、電話番号、生年月日など10項目で、カード番号は保持しておらず、パスワードの漏えいも確認されていない。

• バーガーキング、会員情報約1118万件が漏えい　顧客データを預かる企業が点検すべき3項目

ソースネクスト（10月15日公表）

　会員情報を管理するシステムが不正アクセスを受け、最大2251万9960件の会員情報が流出した可能性がある。第三者は10月9日から会員情報取得APIを不正に利用しており、同社は13日朝に検知して同日13時36分までに封じ込めた。メールアドレスやパスワード、氏名、住所などが対象で、同社は利用者にパスワードの再設定と、他サービスで使い回している場合の変更を求めた。

ACCESS（10月15日公表）

　海外進出するEC事業者向けにACCESSの台湾子会社が提供する業務支援サービス「CROS」が不正アクセスを受け、取引先企業の通販サービス利用者の個人情報が流出した。顧客ID15万5280件と受注ID23万1998件に関わる氏名や住所などが対象で、台湾や香港などの利用者が含まれる。クレジットカード関連情報も延べ1671件が流出し、うち4件はセキュリティコードを含む全項目が漏えいした。侵入の起点は、取引先1社のみに提供していたBIツールだったという。

Studio「Studio」（10月16日公表）

　Webサイトの制作・運用プラットフォーム「Studio」を提供するStudioは、クラウド環境への不正アクセスによる情報流出を公表した。専用ポータルで共通の案内を掲載し、フォームの回答やAPI連携、パスワード保護ページなど機能別の対応を示している。顧客ごとの対象情報は、メールとログイン時の画面で個別に知らせている。利用企業の公表も相次ぎ、サーバプラットフォーム事業を手掛けるLink-Uグループは同日、コーポレートサイトの問い合わせフォームで取得した個人情報7663件に漏えいの可能性があると発表した。

日本経済新聞社（10月16日公表）

　システム開発に利用するクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏えいした。このうち氏名やメールアドレスなどのいずれかを含むものは約15万件で、残る約168万件は単体では個人を特定できない識別子のみだった。クラウドサービスの認証情報が窃取され、10月7日未明から朝にかけて不正アクセスを受けたもので、同社は当該の認証情報を無効にした。

ヤマト運輸「クロネコ代金後払いサービス」（10月16日公表）

　9月28日に確認した「クロネコ代金後払いサービス」への不正アクセスについて調査結果を公表した。顧客情報約526万件（メールアドレスを含むものは約49万件）を含む計約531万件の持ち出しが判明した。残りは届け先情報約5万件と加盟店情報約4100件で、クレジットカード情報とパスワードは含まれない。顧客情報の対象期間は2018年10月1日から2026年9月28日までに及ぶ。サービスは10月9日に再開している。

ファンケル、アテニア（10月16日公表）

　ファンケルとグループのアテニアのECサイトが10月3日から10日にかけて不正アクセスを受け、会員情報計83万4947件（78万5496人分）が漏えいした。10月15日の内部調査で判明し、原因となった機能を特定して停止した。メールアドレスや氏名、住所、生年月日などが対象で、決済情報は含まれない。

日本郵便（10月16日公表）

　「国際郵便物の調査請求Web受付サービス」のサーバが不正アクセスを受け、調査請求の申請時に登録された差出人や受取人の氏名、住所など約600件が、第三者に閲覧可能な状態にあったことが判明した。9月25日に公表した不正アクセスの続報に当たる。同サービスのメールアカウントからスパムメールが送信されていたことも判明したが、登録情報の不正利用は確認されていない。

Eストアー「ショップサーブ」（10月16日公表）

　BASE子会社のEストアーは、ECサイト構築支援サービス「ショップサーブ」への不正アクセスに関する最終報を公表し、漏えい対象は購入者や店舗運営者ら約2335万6000人、7858店と確定した。このうち約209万6900人分にはクレジットカード番号の先頭6桁と下4桁、カード名義、有効期限が含まれる。攻撃は5月21日から8月1日まで続いた。サーバ上で稼働するアプリケーションの脆弱性を悪用した不正プログラムにより、データベースの情報が外部へ送信された。8月の初報時点の約885万件から対象が拡大した。外部専門機関の調査では、ダークWeb上への流出は確認されていない。

ニフティ（10月19日公表）

　インターネット接続サービスのニフティは、回線申込の受付管理システムが外部からの不正アクセスを受け、顧客情報最大54万2513件が漏えいした可能性があると発表した。10月19日10時20分ごろに不正アクセスを確認し、直ちに通信元からのアクセスを遮断した。対象は2019年以降に回線を申し込んだ顧客（同社Webサイト経由を除く）で、「@nifty光」などの会員IDや氏名、住所、メールアドレスが含まれる。同システムは同社側で情報登録をする管理用ツールで、口座やクレジットカード情報は保有していない。漏えいした情報の特定は調査中だ。

阪急阪神百貨店「H2O ID」（10月19日公表）

　エイチ・ツー・オー リテイリングと子会社の阪急阪神百貨店は、「阪急百貨店・阪神百貨店予約サイト」を経由して顧客管理システムが不正アクセスを受け、「H2O ID」会員約126万件の個人情報の一部が漏えいしたと発表した。10月16日に不正アクセスを確認して同サイトのシステム全体を停止し、17日には不正アクセスが確認された「HANKYU HANSHIN E-STORES」と「Remo Order」も停止した。

　漏えいの対象はほぼ全てのH2O ID会員に及んだ。氏名やメールアドレス、住所、生年月日などが対象となる。E-STORESなどが保持するクレジットカード番号の下4桁を含む情報は漏えいの可能性を調査中で、カード番号の全桁とパスワードの漏えいは確認されていない。個人情報保護委員会への報告と警察への被害申告を実施した。

ユミルリンク「Cuenote FC」（10月19日公表）

　メール配信システム「Cuenote」シリーズを提供するユミルリンクは、同シリーズの「Cuenote FC」の一部サーバシステムが外部からの不正アクセスを受け、個人情報が外部に持ち出されたことを確認したと発表した。

　10月16日未明に不正アクセスを確認し、当該サーバを直ちにネットワークから切り離した。プログラムの脆弱性を突かれ、サポートや品質管理の担当者の認証情報が取得され、不正プログラムによってデータベースからデータが出力されたという。専用ASPプランの計5システムが対象で、メールアドレスを含む延べ約900万件の情報が出力されたと試算している。脆弱性の修正や認証情報の削除などの対策を実施し、捜査機関に届け出た。

1社への攻撃がなぜ多数の企業や自治体に波及するのか

　原因が公表されている事案をみると、基盤となるサービスへの攻撃が利用企業に連鎖する構図が目立つ。アルカディアへの不正アクセスは多数の自治体の防災配信に、Communeへの不正アクセスはLINEヤフーや青森県などに波及した。IDCフロンティアへのランサムウェア攻撃でもJR東日本グループなどが漏えいの可能性を公表したが、JR東日本とビューカードは後に漏えいはなかったと発表した。スカラコミュニケーションズの事案では、シチズン時計を含む最大5社の問い合わせ情報が対象となった。ACCESSの台湾子会社では、取引先1社のみに提供していたBIツールが侵入の起点となり、取引先の通販サービス利用者の情報流出に波及した。集計最終日に公表されたユミルリンクの事案も、メール配信サービスの計5システムから延べ約900万件が出力されたもので、同じ構図だ。

　委託先を経由した事案もある。第一興商は委託先従業員のPC1台のマルウェア感染を、旭化成セラピューティクスはサイト運営委託先への攻撃を、ライドオンエクスプレスホールディングスはサーバ運営会社へのランサムウェア攻撃を、それぞれ原因に挙げた。

　自社システムでは、APIや機能の不備を突かれた事案が相次いだ。ソースネクストは会員情報取得APIの不正利用を、ディップは仕様の不備を突いた海外からの不正アクセスを、ローソンは利用者本人に情報を表示する機構への不正アクセスを公表した。一方で楽天モバイルは、外部からの攻撃ではなく、自社の脆弱性診断で支払い証明書の閲覧リスクを発見して公表した。

各社の対応は「遮断」が中心　パスワードが対象なら再設定を要請

　対応にも共通項がある。多くの企業が検知後に通信経路を遮断し、外部専門機関による調査を進めていると説明した。メドレーやライドオンエクスプレスホールディングス、阪急阪神百貨店はサービス自体を一時停止した。

　パスワードが対象となったソースネクストは再設定と、他サービスで使い回している場合の変更を求めた。ブックオフグループホールディングスも対象者にパスワードの変更を求めている。利用者への注意喚起もほぼ共通しており、漏えいした情報を使ったなりすましメールやSMS、電話への警戒を呼び掛けている。

　多くの事案で原因や影響範囲の調査が続いており、件数や漏えい項目は今後の続報で変わる可能性がある。パスワードやそのハッシュ値が対象となった事案も複数ある。本稿で挙げたサービスの利用者は各社の案内を確認し、同じパスワードを他のサービスで使い回していないかを見直したい。