2026年10月号ニュースレター
2026年10月号サイバーセキュリティニュースレター
日本の最新サイバーセキュリティ・インシデント、脆弱性、研究情報を2分でチェック。
🚨 情報漏えいの波、10月も止まらない
10月も情報漏えいが相次ぎました。10月6〜19日の2週間だけで33事案（前3週間は21事案）、対象件数は延べ約1億3,000万件。特徴は「1つの基盤・委託先への攻撃が多数の企業・自治体へ波及」する構図で、AIを悪用した攻撃も指摘されています。
💻 ソースネクスト — 最大2,252万件（パスワード含む）
会員情報取得APIの不正利用により最大22,519,960件（メール、パスワード、氏名、住所、電話番号）が流出。同社はパスワードの再設定と使い回しの解消を要請しています。
☁️ IDCFクラウド — ランサムウェアで495社・自治体に影響
IDCフロンティアのクラウドがランサムウェア攻撃を受け、495の企業・自治体に障害。後続調査でVM内データの外部流出はなしと判断、JR東日本・ビューカードも「漏えいなし」と発表しました。
📦 ヤマト運輸 — 約531万件が流出
後払いサービス「クロネコ代金後払い」への不正アクセスにより約531万件（氏名、住所、電話番号など）が流出。
✈️ skyticket — 約1,464万件、経路が異なる3事案
顧客情報約1,464万件（うち約413万件にハッシュ化パスワード）のほか、返金口座情報や認証なし予約ページも影響。続報でカード情報最大6,140人分も追加公表。
🏛️ アルカディア「SpeeCAN RAIDEN」— 自治体の防災配信が被害
自治体の防災・一斉情報配信サービスが不正アクセスを受け、登録者情報が漏えい。20都府県警の警察官・職員など約12万5,000人分の可能性も報じられています。
🔎 その他の注目インシデント
- 🍔 バーガーキング・ジャパン — アプリ会員アカウント数で最大1,118万件
- 👥 コミューン — プラットフォームの不具合により約30.7万件の情報が流出。LINE Yahoo、青森県などが影響を受ける
- 📚 ブックオフ — 638万件（パスワードのハッシュ値を含む）
- 🎤 第一興商（ビッグエコー） — 業務委託先PCのマルウェア感染により872万件
- 🍣 ライドオンエクスプレス（銀のさら） — サーバー運営会社でのランサムウェア被害により最大650万件
- 💼 ディップ（バイトル） — 仕様上の不具合によりメールアドレス389万件
- 📮 ユーミリンク — メール配信システムを介して約900万件
アプリ・会員システム・委託先を経由した漏えいが幅広い業種で公表され、パスワードやハッシュ値が対象の事案も複数ありました。
📈 10月のインシデントから見える傾向
公表件数だけで攻撃の急増は断定できませんが、 3つの傾向が明確です。
1️⃣ 波及効果の常態化 — 1社の不備が多数組織のインシデントに（アルカディア、コミューン、IDCフロンティア）。 2️⃣ APIとロジックの不備が主要経路に — API不正利用、招待リンク、認証なしページ。 3️⃣ AIを悪用した攻撃の登場 — JPCERT/CCがAIによるスキャン・API攻撃を確認。
10月1日にインシデント報告義務化が施行、IPA・JPCERT/CC・ガートナーが注意喚起・提言を公表しました。
🐞 今月の脆弱性情報
10月のパッチは過去最大級。
- Microsoft 2026年10月更新: 1,400件超、悪用確認のWindows Shellゼロデイ（CVE-2026-96951）を含む
- PHP — CVE-2026-109618 / 109619: 複数の脆弱性、悪用が報告
- IPA・国家サイバー統括室（10月9日）: 速やかな対策実施を要請
📖 JPCERT/CC — MS更新 / JPCERT/CC — PHP / IPA 注意喚起
👨💻 バグバウンティハンターへ
APIこそが標的、モバイルアプリは攻撃の地図。
JPCERT/CCの調査では、攻撃者がAPKをリバースエンジニアリングして秘密情報や署名ロジックを抽出し、APIを直接不正呼び出ししていました。
🔎 今月の不備の発生箇所:
- オブジェクト単位の認可（IDOR）
- 招待・ロールロジックの不備
- 予約・確認フローの認証なしページ
- アプリ埋め込みの秘密情報
- URL取得機能のSSRF
AIが偵察を加速しても、インパクトは機能・データ・信頼のつながりの理解から生まれます。
💡 今月のセキュリティヒント
すべてのAPIは「公開」されている前提で設計を。全エンドポイントでサーバー側認証・認可を徹底し、アプリ埋め込みの秘密情報に依存せず、データ取得APIにはレート制限を。パスワード再設定の案内には直ちに対応し、使い回しをやめること。
🚀 BBHunt Japan
BBHunt Japanは、日本企業とエシカルハッカーをつなぎ、攻撃者より先に脆弱性を発見するバグバウンティプラットフォームです。
来月も最新のサイバーセキュリティ情報をお届けします。