2026年9月号ニュースレター
2026年9月号サイバーセキュリティニュースレター
日本の最新サイバーセキュリティ・インシデント、脆弱性、研究情報を2分でチェック。
🚨 日本で相次ぐサイバーインシデント
9月は、日本国内でサイバー攻撃や不正アクセスに関する公表が相次いだ月となりました。
国内のあるインシデント追跡サイトでは、9月に36件の事案が公表されたと集計されています。また、別の調査では29件の情報漏えい・不正アクセス事案が確認されています。特に月末に集中しており、主要16事例のうち10件が9月25日から30日に公表または続報が発表されました。
カーシェア、コンビニ、鉄道、物流、政府システム、大規模オンラインサービスなど、幅広い分野が影響を受けています。
🚗 タイムズカー、約660万アカウントに影響
パーク24のカーシェアサービス「タイムズカー」ではWebシステムへの不正アクセスが発生し、約660万アカウントが影響を受けました。約160万件については、本人確認書類の情報流出も確認されています。
📖 詳細はこちら
🖼️ Gyazo、約2,362万ユーザーのデータが流出
Helpfeelが提供する画像共有サービス「Gyazo」への不正アクセスにより、約2,362万ユーザーに関するデータが外部に流出しました。また、約4.9億件の画像メタデータに加え、削除済み画像約1.74億件のメタデータも影響を受けたことが確認されています。
📖 詳細はこちら
🚆 京王電鉄、ランサムウェア攻撃を確認
京王電鉄は9月26日、グループのサーバーに対するランサムウェア攻撃を確認しました。一部グループ会社の営業システムに障害が発生しましたが、鉄道の運行には影響していません。情報流出については調査が続けられています。
📖 詳細はこちら
🏪 セイコーマート、約57万アカウントに影響の可能性
セイコーマートでは、アプリのサーバーを経由して会員情報を保存するサーバーへの不正アクセスが発生。約57万アカウントについて、氏名、住所、電話番号、メールアドレスなどが閲覧された可能性があります。
📖 詳細はこちら
🚇 東京メトロ、約5万9,000件のメールアドレスに影響
東京メトロの「メトポ」会員向けメールサービスのサーバーが第三者から不正アクセスを受け、約5万9,000件のメールアドレスが閲覧・取得された可能性があります。
📖 詳細はこちら
📦 ニチレイ、約5万4,000件の個人情報流出を確認
7月に発生したサイバー攻撃について、ニチレイは9月に侵害されたサーバーから個人情報が流出したことを確認しました。配送先、取引先、従業員・家族・求職者など、合計約5万4,000件が対象となっています。
📖 詳細はこちら
🔎 その他の注目インシデント
🏛️ Government Solution Service (GSS)
政府共通の業務実施環境「GSS」に不正アクセス - VPN機器の脆弱性を悪用
📖 詳細はこちら: Security NEXT
🛒 MURAUCHI.com
日本のECサイト「ムラウチドットコム」では、不正アクセスにより、約772万件の顧客情報が外部に流出したことが確認されました。調査によると、Webシステムの脆弱性が悪用され、攻撃者が複数のシステムにアクセスしたとされています。
流出した情報には、氏名、住所、電話番号が含まれ、一部のデータにはメールアドレス、生年月日、性別なども含まれていました。同社によると、ログイン認証情報およびクレジットカード情報への影響は確認されていません。また、公表時点で流出情報の不正利用は確認されていません。
📖 詳細はこちら： Security NEXT
🏨 OZmall（オズモール）
ホテルやレストランなどの予約サービス「OZmall」では、海外からの大量の不審な通信を検知したことをきっかけに、不正アクセスが判明しました。Webサイトの脆弱性により、現会員および過去の会員、最大約44万8,000人分の個人情報が閲覧された可能性があります。
対象となる可能性のある情報には、メールアドレスのほか、一部の会員については氏名や都道府県単位の住所情報が含まれていました。公表情報によると、クレジットカード情報や詳細な住所情報へのアクセスは確認されていません。同社は脆弱性への対応を行い、サービスを再開しました。関連する二次被害も、公表時点では確認されていません。
📖 詳細はこちら： INTERNET Watch | Security NEXT
💊 ロート製薬
ロート製薬は、通販事業に関連するシステムへの不正アクセスについて公表しました。9月15日の発表によると、顧客対応システムに保存されていた顧客との通話録音データや関連情報が、第三者に取得された可能性があります。また、顧客管理システムに保存された情報についても、不正アクセスの可能性があるとしています。
影響を受けた顧客数や対象情報の詳細については、発表時点で調査が続いていました。同社は対象システムへのアクセスを制限し、個人情報保護委員会への報告や関係当局との連携を進めました。また、同社を装った不審な電話、メール、SMSなどに注意するよう、顧客に呼びかけています。
📖 詳細はこちら： ロート製薬 — 公式発表
📈 9月のインシデントから見える傾向
9月の公表件数だけで、攻撃そのものが急増したと断定することはできません。 検知、調査期間、公表方針、続報の有無などによって公表件数は変動するためです。
一方で、9月は公表件数と大型インシデントの集中が目立ちました。原因が公表された10件を分析した調査では、6件が脆弱性の悪用によるものでした。VPN、管理画面、ファイルアップロード機能など、外部からアクセス可能な領域が攻撃経路となったケースも目立っています。
🐞 今月の脆弱性情報
9月は、企業や組織で広く利用されている製品を対象に、優先度の高いセキュリティ更新や脆弱性情報が複数公開されました。主な対象は以下のとおりです。
- Microsoft製品 — 9月のセキュリティ更新プログラム
- Adobe Acrobat / Reader
- Next.js ImageResponse — リモートコード実行につながる可能性のある脆弱性
- ServiceNow AI Platform — SQLインジェクションを含む複数の脆弱性
- Cisco製品
- Check Point製品
- Fortinet製品
- GitLab
- Google Chrome / Microsoft Edge
情報処理推進機構（IPA）は、9月のMicrosoft製品の脆弱性情報について、重要度を**「緊急」**に分類しました。一部の脆弱性については、すでに悪用が確認されており、迅速なセキュリティ更新の適用が重要です。
📖 詳細はこちら
👨💻 バグバウンティハンターへ
9月のインシデントから学べる教訓：目立つ攻撃対象だけに注目しないこと。
今月発生した主なインシデントでは、次のような領域が繰り返し問題となりました。
- 🌐 インターネットに公開されたアプリケーション
- 🔑 認証機能と認証情報
- 🛡️ VPN・リモートアクセス基盤
- ☁️ クラウドサービスとサードパーティサービス
- 📤 ファイルアップロード機能と管理画面
バグバウンティの研究者にとって、脆弱性の発見は出発点にすぎません。外部に公開された機能が、機密データ、特権機能、ほかのシステムとどのようにつながっているかを理解することが、大きな影響につながる脆弱性の発見につながります。
🎯 注目したい調査ポイント
プログラムで許可された範囲内で、次の点を確認してみましょう。
- 認証・認可の境界とアクセス制御
- 外部に公開された管理機能
- ファイルのアップロード・処理フロー
- サードパーティとの連携機能
- APIとバックエンド間の信頼関係
- クラウドやストレージの設定
- 脆弱なコンポーネントや古い依存ライブラリ
9月のインシデントは、AIによる調査や基本的な脆弱性発見の自動化が進むなかでも、攻撃対象領域の把握と複数の脆弱性を組み合わせた攻撃経路の発見が、依然として重要なスキルであることを示しています。
💡 今月のセキュリティヒント
インシデントが発生してから、自社の公開範囲を把握するのでは遅すぎます。
インターネット公開システム、API、VPN、クラウドサービス、第三者連携、特権アカウントを正確に把握し、それらに影響する脆弱性を優先的に修正しましょう。
🚀 BBHunt Japan
JA: BBHunt Japanは、日本企業とエシカルハッカーをつなぎ、攻撃者より先に脆弱性を発見するバグバウンティプラットフォームです。
来月も最新のサイバーセキュリティ情報をお届けします。