今日もどこかで情報漏えい第53回「2026年9月の情報漏えい」カメラが情報漏えいの瞬間を捉えた世紀の映像

　今日もどこかで情報漏えいは起きている。

　大きいところでは誰もが社名を耳にしたことがある東証プライム上場企業や霞ヶ関の政府機関、小さなところでは従業員数名規模の企業や市町村役場に至るまで、毎日、あなたの知らないところで漏えい事件は起き続けている。

　頼まれもしないのに月ごとの情報漏えいの動向を勝手にウォッチしている、刺身のつまのような本連載、今月も薄味な掲載である。

●インシデント原因内訳

　さて、先月 2026 年 9 月に本誌が取り上げた事故・インシデント記事は 2026 年 8 月の 126 本から 21 本減となる全 105 本だった。本来なら前月から 21 本減というのは、地球の夜明けの近さを感じるような結構な事件であるが、それでも 100 件超えているので、あまり減ったようには感じられなくなってしまった。事故原因最多は「不正アクセス」で 83 件（ 79.0 ％）を占め、「システム管理上のミス」が 6 件（ 5.7 ％）、「紛失」が 5 件（ 4.8 ％）で続いた。なお、記事として取りあげるインシデントは媒体方針（公知にすることで類似インシデントの発生低減に寄与する可能性の多寡ほか）に基づいているため、これらの比率は全体傾向を示すものではない。

情報漏えい原因別記事一覧：不正アクセス
https://scan.netsecurity.ne.jp/special/3359/recent/

情報漏えい原因別記事一覧：メール誤送信
https://scan.netsecurity.ne.jp/special/3358/recent/

情報漏えい原因別記事一覧：設定ミス
https://scan.netsecurity.ne.jp/special/3457/recent/

● 被害規模ワースト

　9 月に最も件数換算の被害規模が大きかったのは、株式会社イエローハットによる「イエローハットWEB作業予約システムへの不正プログラムによる攻撃、最大1,801,499名の会員情報が漏えいした可能性」の最大 1,801,499 名であった。九州最大の都市である福岡市の人口 1,671,323 人をも上回る凄い数である。筆者は車を運転しないので、そこまで馴染みがないのであるが、これだけの会員情報を持っているイエローハットの企業力に脱帽であるし、SCANも見習わなければと気持ちを新たにした筆者であった。

　3 位となったのは、日本におけるデジタル社会形成の司令塔である「デジタル庁」での情報漏えいである。

　なお、デジタル庁では 7 月 9 日に発覚していたが、実際の公表は約 2ヶ月後となる 9 月 11 日で、お役所らしい安全運転であった。デジタル社会形成の司令塔であるデジタル庁では、公表まで時間を要した理由について「検知当初の段階では不正アクセスの有無や影響範囲が判明しておらず、侵入経路の分析や漏えいした可能性のある情報の特定、漏えいした可能性のある個人情報の対象者の確認などに相当の時間を要したが、個人情報の漏えいの可能性が確認され、一定の事実関係を確認できた段階で、速やかに公表を行った」とのことだ。デジタル社会形成の司令塔であるデジタル庁のミッションは「誰一人取り残されない、人に優しいデジタル化を」である。

【 2026 年 9 月被害規模ワーストトップ 3 】
3 位：VPNの脆弱性を利用～デジタル庁が運用するガバメントソリューションサービス（GSS）に不正アクセス、約24.6万件の個人情報が漏えいした可能性
原因：不正アクセス
件数：約 24.6 万件
https://scan.netsecurity.ne.jp/article/2026/09/14/56223.html

2 位：Weverseサービスにセキュリティ脆弱性、韓国インターネット振興院から連絡
原因：不正アクセス
件数：422,584 件
https://scan.netsecurity.ne.jp/article/2026/09/14/56219.html

1 位：イエローハットWEB作業予約システムへの不正プログラムによる攻撃、最大1,801,499名の会員情報が漏えいした可能性
原因：不正アクセス
件数：最大 1,801,499 名
https://scan.netsecurity.ne.jp/article/2026/09/02/56108.html

● よく読まれた記事

　9 月の記事閲覧数ベスト 3 は下記の通りである。なお下記の閲覧数は Google Analytics 4 の数値に基づいて掲載している。儚い命のSCANとして、Top 2 まで 1 万ページビュー超えというのは、かなり好調で、しかも 1 位の「学生による不適切な行い「患者様を特定できる情報が映ってはいなかったものの SNS に投稿する行為は医療従事者として極めて不適切」京都府立医科大学」の 64,816 ページビューは本誌情報漏えいオブ・ザ・イヤーのページビュー部門が授与されてもおかしくない数字である。

【 2026 年 9 月閲覧数ベスト 3】
3 位：さくらインターネットへの不正アクセス、案内ページを公開
6,898 ページビュー
https://scan.netsecurity.ne.jp/article/2026/09/08/56156.html

2 位：データベース内の全てのデータを削除～「コープやまぐちLINEミニアプリ」に不正アクセス
11,099 ページビュー
https://scan.netsecurity.ne.jp/article/2026/09/17/56258.html

1 位：学生による不適切な行い「患者様を特定できる情報が映ってはいなかったものの SNS に投稿する行為は医療従事者として極めて不適切」京都府立医科大学
64,816 ページビュー
https://scan.netsecurity.ne.jp/article/2026/09/04/56130.html

　1 位となったのは、京都府立医科大学の「学生による不適切な行い「患者様を特定できる情報が映ってはいなかったものの SNS に投稿する行為は医療従事者として極めて不適切」京都府立医科大学」の 64,816 ページビューであった。またまた、長文なタイトルで読む前に記事内容が全て理解（わか）ってしまいそうであるが、京都府立医科大学の学生が実習の報告書を映した写真を SNS に投稿したというものだ。難関学部の筆頭である医大の受験を突破した賢い学生ですら、SNS に写真を UP して己に注目を集めたいという承認欲求に抗えないものなのかと、深く考えさせられた筆者であった。

● 9 月のカード情報漏えい

　9 月は 1 件のクレジットカード情報漏えい事故が本誌メルマガに掲載された。しかし本件は、よくあるECサイトへの不正アクセスによるカード情報漏えいではなかった。

いまでやが管理する注文情報が外部流出した可能性、フィッシングサイト上でカード情報を入力する被害も
件数：2 名
https://scan.netsecurity.ne.jp/article/2026/07/27/55784.html

　本件は、株式会社いまでやを装った不審なメール（フィッシングメール）を受信したとの問い合わせが 30 件ほどあり、不審メールには受信した顧客本人の氏名や注文番号、注文金額が正確に記載されていたことから、無作為に送信されたものではなく、同社が保有する注文情報が第三者に取得された可能性が高いと判断したというものだ。ただし、不審メールに記載のあったフィッシングサイトがクレジットカード情報の入力を求める内容であったことから、カード情報そのものは第三者に取得されていない可能性があると考えているそうだ。

　では、どこでカード情報が漏えいしたかというと、フィッシングサイト上でクレジットカード情報等を入力した顧客が 2 名いることをいまでやが確認したからだ。これまでSCANでは、フィッシングメールが送信された事例を数多く取り上げているが、実際にフィッシングサイトにカード情報を入力した顧客の具体的な数字を挙げた例はほとんどなかったように思う。氏名だけならいざ知らず、フィッシングメールに注文番号や注文金額が正確に記載されていたら、反射的に信じてしまいそうだ。改めてフィッシングの怖ろしさを実感した。