2026年の情報漏えい・不正アクセス一覧｜クレジットカード情報が漏れたのはどれ？会社ごとの対象と今すぐやること

更新日
公開日
情報確認日
クレジットカード

カード情報は漏れた？

情報漏えい 2026年の一覧

2026年9月末から、お店・通販・アプリ・交通などのサービスで、不正アクセスによる情報漏えいの発表が続いています。「自分の使っているサービスは大丈夫か」「クレジットカード情報は漏れたのか」を確かめられるように、このページでは各社の公式発表と報道をもとに、事案ごとに何が漏れたか・カード情報が含まれるか・利用者がやることを1か所にまとめています。新しい事案が発表されたら、このページに追記します。

カード会社・証券会社そのものの事案は、別の記事で詳しく整理しています（JR東日本・ビューカードの不正アクセス・大和証券の不正アクセス）。運転免許証の画像が流出したタイムズカーは、なりすましによる口座開設・ローン契約への対策まで別の記事にまとめています。MUJI Card（クレディセゾン発行）のカード番号全桁が対象になった無印良品の事案は、対象者の確認方法と今すぐやることに詳しくまとめています。

結論：まず知っておきたい3つのこと

  1. ここにまとめた39件のうち、クレジットカード番号全体とセキュリティコードまで対象になったと報じられているのはツクツク（TSUKU TSUKU株式会社、最大19,115件）・グッドスマイルカンパニー（公式ショップ、最大2,800人）・VIPライナー（高速バス予約サイト、報道ベースで最大6,949件）で、この一覧の中でもっとも対象項目が広い事案。これとは別に、件数でもっとも規模が大きいのは無印良品「MUJI Card」（クレディセゾン発行）の約109万件で、カード番号の全桁が対象（有効期限・セキュリティコードは対象外）。ロート製薬は、通信販売の電話対応で録音した通話音声データから9,715人分のカード番号・有効期限が対象と公式発表しており、セキュリティコードは取得・保存していないため対象外。スカイチケットは2026年10月16日に最大6,140人分の番号全体の流出が判明し、2026年10月28日には別の約93万6,000件（マスク済みの番号が中心だが、12件は全桁が記録）が新たに対象として発表された。番号の一部（下4桁など）・名義・有効期限が対象になったのは、ローソン（アプリ予約26件）・NewsPicks・アエナ・IDARE・Eストアー・富士急ハイランド（一部の会員）・GETTIIS（約29,515件）・モスフードサービス（会社発表、113万3,070件）・楽天トラベル（海外ホテル予約サイトのシンガポール子会社管理分、最大36,000件）・グッドスマイルカンパニー（過去にカード情報を登録した利用者、最大402,466枚）で、阪急阪神百貨店は調査中。JR東日本/ビューカードの大人の休日倶楽部会員はカードの有効期限が対象。エディオンは、注文情報と組み合わされたログの一部で最大9,554名分のクレジットカードの有効期限が対象（カード番号本体・ログインパスワードは対象外）。沖縄ツーリスト（OTS）は会社発表の時点で対象項目・人数が未確定（報道では闇サイトで73万人分とされる情報との一致が指摘されている）。ユミルリンク（メール配信サービス）とJR東海・JR西日本・JR九州の新幹線ネット予約（エクスプレス予約・スマートEX）、エイチ・ツー・オー リテイリングの子会社「ペルソナ」（クレジットカード会社）、野村證券「i-Port」は、クレジットカード情報・証券取引口座情報が対象になったという発表・報道は確認できていない。残りの事案では、カード番号は対象外と発表されている
  2. 漏えいした情報は会社ごとに違う。氏名・メールアドレス・電話番号だけの事案と、口座番号や本人確認書類、カード番号の一部まで含む事案がある
  3. カード情報そのものが漏れていなくても、氏名やメールアドレスが漏れただけでフィッシング詐欺の材料にされる。どの事案でも「不審なメール・SMSに注意」が共通の対策

何が起きているか：時系列でみる39件

短期間に複数の発表が続いているため、まず起きたことを日付順に整理します。

発表日 会社・サービス 対象の規模
2026年10月3日（お見舞金は10月23日発表） タイムズカー（パーク24） 会員情報最大約660万件、本人確認書類画像の外部送信確認は約146万件に確定
2026年9月29日（最終報10月16日） ヤマト運輸「クロネコ代金後払い」 氏名・住所・与信番号など合計約531万件（クレジットカード情報・パスワード、請求金額・債権残高は対象外）
2026年10月5日 焼肉きんぐ（物語コーポレーション） 会員情報最大10,788,963件
2026年10月5日 大和証券 氏名・メールアドレス・口座番号など最大22万件
2026年10月6日 ミスターマックス・ホールディングス 会員情報最大1,735,154人
2026年10月6日 ニモカ（西日本鉄道の子会社） 利用履歴照会サービスの利用者521件
2026年10月8日 ローソン 「ローソンID」約215万5,345件（カード情報は対象外）、「ローソンアプリ予約」26件（クレジットカード番号の一部を含む）
2026年10月8日 NewsPicks（ユーザベース） 業務用管理ツールへの不正アクセス。氏名・勤務先・住所など、クレジットカード番号の下3〜4桁を含む可能性（対象者数は2026年10月9日時点で非公表）
2026年10月8日 第一興商 委託先（日本コロムビアグループ）の端末がマルウェアに感染。顧客・従業員情報、合計約872万4,000件（氏名・性別・生年月日・メールアドレス・電話番号。住所・クレジットカード情報・口座情報は対象外）
2026年10月9日 JR東日本・ビューカード 委託先IDCフロンティア社の障害に伴い、えきねっと約167万件（メールアドレスのみ）、大人の休日倶楽部約39万件（クレジットカード有効期限を含む）、ビューカード「VIEW’s NET」約403万件（メールアドレスのみ・報道ベース）、合計最大約609万件
2026年10月9日 ブックオフグループホールディングス 子会社の会員管理システムが対象。最大約643万件（会員番号ベース。クレジットカード情報は対象外）
2026年10月9日・10月16日・10月28日 スカイチケット（株式会社アドベンチャー） 発表が3回に分けて拡大。サーバー不正アクセスで最大約1,464万件（氏名・住所・ハッシュ化パスワードなど）、業務管理システムの不正アクセスで17,780件（返金先の銀行口座情報を含む）。2026年10月16日、2017〜2018年のプレミアム会費登録者の最大6,140人分のクレジットカード番号流出が新たに判明。2026年10月28日、過去のデータベースの複製（バックアップ）が未削除のまま残っていたことが判明し、返金先の銀行口座情報32,341件、クレジットカード情報（マスク済みの番号・名義など）約93万6,000件（約41万4,000人分、うち12件は全桁が記録）、旅行保険の申込情報約11万8,000件が新たに対象として発表
2026年10月13日 キャッシュレスアプリ「IDARE」（Fivot） 利用者129,659人。一部は入金用クレジットカード番号の先頭6桁・下4桁、銀行口座番号の下3桁も対象
2026年10月14日 格安小売り「アエナ」 ECアプリ会員最大817,215人。クレジットカードの下4桁・有効期限・名義も対象
2026年10月16日 Eストアー「ショップサーブ」 最終報で対象者数が約2,335万6,000人に確定。うち約209万6,900人はクレジットカード情報の一部（名義・番号の一部・有効期限）を含む
2026年10月19日 阪急阪神百貨店（エイチ・ツー・オー リテイリング） 予約サイト・通販サイトへの不正アクセスで「H2O ID」会員約126万件の個人情報の一部が漏えい（氏名・住所・メールアドレスなど、カード番号は対象外）。通販サイトで保持するクレジットカード情報の一部（番号下4桁など）の漏えいの可能性は調査中
2026年10月21日 リクルート「カーセンサーnet」「C-MATCH」 中古車情報サイトの問い合わせ利用者・口コミ投稿者・販売店など最大3,709,551件（氏名・住所が中心。クレジットカードなどの決済情報・ログインパスワードは対象外）
2026年10月20日 富士急ハイランド「CLUBフジQ」 リスト型攻撃による不正ログイン159件（氏名・メールアドレス・生年月日など。一部の会員はクレジットカード番号の一部・有効期限・名義も対象。カード番号全体・セキュリティコードは対象外）
2026年10月20日発表（10月22日に被害拡大を公表） チケット販売サービス「GETTIIS」（運営：リンクステーション） 会員ID約31万7,971件・氏名・電話番号・メールアドレス・ハッシュ化されたパスワードなど（項目ごとの件数）。クレジットカード関連情報29,515件（カード番号の先頭4桁・末尾4桁、名義、有効期限を暗号化したもの。カード番号全体・セキュリティコードは対象外）
2026年10月21日発表（会社未確定・10月23〜24日に続報） 沖縄ツーリスト（OTS） レンタカー・ホテルなどの予約サイトで不正アクセスの可能性。会社発表では対象項目・人数は未確定（調査中）。報道では、闇サイトで販売されていた情報が約73万人分に上るとされる（会社の確定発表ではない）
2026年10月23日16時（会社の適時開示） モスフードサービス（モスバーガー） 委託先バリューデザインへの不正アクセスで、プリペイドカード「MOS CARD」のカード番号・6桁PIN・残高情報が合計113万3,070件（流通済み約57万件・未流通約56万件）流出。氏名・住所・クレジットカード情報は対象外
2026年10月26日（第2報。初報は10月17日） 株式会社Joshin（家電量販店） 会員情報データベースで氏名・住所・電話番号・会員番号など最大約600万件、サブスクサービスで最大約23万件、リフォーム写真アップロードシステムで運転免許証画像・マイナンバーカード・口座番号など最大約800件。決済情報は非保持化済みでクレジットカード情報は対象外
2026年10月26日 楽天トラベル（楽天グループ） 海外ホテル予約サイトで最大約260万件（氏名・メールアドレス・電話番号など）。このうちシンガポール子会社が管理する一部ページの予約最大4万件は、最大36,000件がクレジットカード情報（発行者識別番号・番号下4桁・名義・有効期限・国際ブランド）の対象。別の多言語予約サイトでも最大約86万件のメールアドレス等が対象（カード情報は含まれない）
2026年10月26日 ユミルリンク（メール配信サービス）・JR東海・JR西日本・JR九州 ユミルリンクへの不正アクセスで延べ最大約5,162万件（初報は約900万件から拡大、調査中でさらに増える可能性）。同社のサービスを使うJR東海・JR西日本・JR九州の新幹線ネット予約「エクスプレス予約」「スマートEX」会員約17万件分のメールアドレス・会員ID・カタカナ氏名・会員種別も対象。クレジットカード情報が対象になったという発表・報道は確認できていないが、同社のドメインを使いカード会社などを装う不審なメールが確認されている
2026年10月26日 ツクツク（TSUKU TSUKU株式会社、ECモール「ツクツク!!!」） 2025年5月10日〜9月9日にサイトでクレジットカードを新規登録した利用者が対象。最大19,115件でカード名義・カード番号全体・セキュリティコードが対象になった可能性があると報じられている。登録個人情報362,750件は外部送信の痕跡は確認されていないが可能性を否定できないとしている
2026年10月23日発表（10月29日に拡大報道） グッドスマイルカンパニー（公式ショップ） 初報（10月23日）は氏名・住所・電話番号・メールアドレスと、カード情報はブランド・下4桁・有効期限のみと発表。その後の調査で、2026年10月21日13時55分〜23日7時に決済ページに不正プログラムが仕掛けられていたことが判明し、最大2,800人分でカード名義・カード番号全16桁・有効期限・セキュリティコードが対象になった可能性があると報じられた。過去にカード情報を登録した利用者は下4桁・有効期限のみが対象で、該当カードは最大402,466枚。注文情報は最大7,673人が対象
2026年10月29日発表（ANA）・10月28日発表（JAL） ANA（全日空）・JAL（日本航空） 旅客サービスシステムの委託先アマデウス社への不正アクセス。報道によると、JAL・JTA分は約9万2,000人の予約情報（予約番号・氏名・搭乗日など5項目が中心、うち約2,000人はメールアドレス・電話番号・パスポート番号も対象）で、クレジットカード番号・各種パスワードの漏えいはないと確認済み（JAL公式発表）。ANAは約3万7,800人分の情報漏えいの可能性を発表し、うち1,700人分はパスポート番号などを含むと報じられている（テレ朝NEWS・共同通信配信など）。航空会社そのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめる
2026年10月30日発表（第一報）・11月4日発表（第二報） 無印良品「MUJIアプリ」（良品計画） 公式アプリへの不正アクセスで、退会済みの利用者も含め最大約2,726万件の利用者情報（メールアドレス・生年月日・性別）が漏えいした可能性があると発表（第一報、クレジットカード情報は含まれないと説明）。11月4日の第二報で、2021年7月までにMUJI Card（クレディセゾン発行）に入会した約109万件でクレジットカード番号の全桁・MUJI Card ID・生年月日が対象に加わったことが判明（有効期限・セキュリティコードは対象外）。アプリ・ネットストアにカード情報を登録した利用者約120件はカード番号の先頭6桁・下2桁・名義が対象、ネットストア利用者約52万件（現時点）は氏名・住所・電話番号も対象。読売新聞・日本経済新聞・NHK・朝日新聞など多数が報道。詳しくは無印良品「MUJI Card」情報流出の記事にまとめた
2026年10月30日報道 「みまもりCUBE」ECサイト 運営会社への不正アクセスで、個人情報約5,400件・クレジットカード情報190件（本人確認書類・セキュリティコードも対象）が漏えいしたおそれがあると報じられた（セキュリティ対策Lab・Infoseekで確認）
2026年10月30日発表 日本交通（タクシー大手） ハイヤー利用者・従業員など約29万人分の個人情報が漏えいしたおそれがあると発表。マイナンバーを含むと報じられている。クレジットカード情報が対象かどうかは、2026年10月31日時点の報道では明らかにされていない。タクシー会社そのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめる
2026年10月30日発表 ワールド（子会社「ティンパンアレイ」、古着販売「RAGTAG」など運営） 子会社への不正アクセスで、約120万件の個人情報が漏えいした可能性があると発表。住所・電話番号などが対象で、クレジットカード情報は確認されていないと報じられている（産経ニュース）。小売会社そのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめる
2026年10月31日発表 クラブツーリズム（近畿日本ツーリストグループ） 自社サーバーの一部への不正アクセスで、会員情報など最大約432万件の個人情報が漏えいした可能性があると発表。読売新聞・NHKニュース・朝日新聞・テレ朝NEWS・47NEWSなど多数が報道。パスポート情報・クレジットカード情報は対象に含まれないと発表されている。詳細を調査中。旅行会社そのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめる
2026年11月2日発表（検知は11月1日） ノジマ（ノジマオンライン・中古端末買取サイト） ECサイトの会員管理システムへの不正アクセスで、退会者を除く約700万件の会員情報（氏名・住所・電話番号・ログインID・暗号化されたパスワード・メールアドレスなど）が漏えいした可能性があると発表。NHKニュース・朝日新聞・日本経済新聞・TBS NEWS DIG・GAME Watchなど多数が報道。クレジットカード情報は非保持のため対象外と発表されている。家電量販店そのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめる
2026年11月2日発表（11月3日に対象企業の事例が報道） アララ（運営：ペイクラウドホールディングス）・ビックカメラグループなど最大約380社 メール配信サービス「アララ メッセージ」への不正アクセスで、メールアドレスなど最大約7,700万件が流出したおそれがあると発表（初報は2026年10月29日時点で約301万件）。影響企業は最大約380社とされ、クレジットカード会社を装う不審メールが最大713万通送信されたことも判明。影響企業の一つであるビックカメラグループ（ビックカメラ・コジマ・ソフマップ）は、グループの顧客メールアドレスなど最大約1,490万件が対象と報じられている（2026年11月3日時点でテレビ朝日系・ANNのみが報道）。クレジットカード情報・ネット通販サイトのログイン情報は対象外と説明されている
2026年10月28日発表（不正アクセスは同日検知、11月4日以降に広く報道） 鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（共同運営の決済サービス「Payどん」） 決済時の利用明細メールの送信を委託していたアララ（上記の「アララ メッセージ」の不正アクセス事案）が第三者の不正アクセスを受けたことが原因。利用者・加盟店のメールアドレス最大25万7,639件が漏えいした可能性があると発表（実際の流出件数は調査中）。発表時点で氏名・銀行口座情報・パスワードは対象に含まれないとされ、クレジットカード情報が対象になったという発表・報道は確認できていない。発覚当日にPayどんの新規登録・メール通知機能を停止。4行庫を名乗る不審なメールへの注意が呼びかけられている
2026年11月5日発表（検知は11月2日）。11月5日以降、提携銀行が個別発表（続報・11月6日・11月7日追記） SMBCコンシューマーファイナンス（プロミス） 地方銀行・信用金庫・ネット銀行等と提携するカードローンの保証業務システムへの不正アクセス。氏名・性別・生年月日・住所・電話番号・メールアドレス・運転免許証番号・勤務先情報（電話番号・年収等）・契約情報（金融機関コード・顧客番号・保証額・保証開始日等）が最大320,118名分。クレジットカード番号・セキュリティコードは対象項目に含まれていない。本人確認書類の画像も対象外。続報として、保証業務の提携先である北洋銀行（カードローン「スーパーアルカ」）が2026年11月5日、自社の利用者情報が対象になったと発表。ほかの提携銀行も対象になったと報じられている。2026年11月6日、りそな銀行・関西みらい銀行・みなと銀行の3行も、解約済み顧客の情報が合計5,935件対象になったと発表
2026年11月4日〜5日報道（運営会社の公式発表は未確認） VIPライナー（高速バス予約サイト、運営：平成エンタープライズ） 予約サイトが不正アクセスを受けた可能性があると複数の報道機関が報じている。2026年9月の予約が対象とされ、クレジットカード情報6,949件（番号全体・セキュリティコードを含む）が漏えいした可能性があり、不正利用の相談も寄せられていると報じられている。運営会社・平成エンタープライズ（埼玉県志木市）自身の公式発表は、2026年11月5日20時台時点で確認できていない
2026年11月6日発表（検知は9月10日・初報は9月11日） ロート製薬 通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム・通話音声データに不正アクセス。顧客管理システムの対象者2,797,545人（氏名・住所・電話番号など、対象者により項目は異なる）。このうち通話音声データにクレジットカード番号・有効期限が含まれる対象者が9,715人（セキュリティコード・暗証番号などの認証情報は取得・保存していないため対象外）
2026年11月6日発表（不正アクセスは11月5日18時30分頃） エディオン ECサイトを設置するサーバーの「ログファイル」領域が、システムの脆弱性を突いた不正アクセスを受けた。顧客データベース本体への不正アクセス・漏えいは確認されていない。氏名・メールアドレス・電話番号・生年月日・性別・住所・お客様番号が最大4,131名、これに注文情報（注文番号・注文金額・郵便番号・住所コード・クレジットカードの有効期限・エディオンのギフトカード番号）を組み合わせた最大の情報が最大9,554名（両方に該当する人がいるため実対象は合計13,685名を下回る）。クレジットカード番号本体・ログインパスワードは対象外

出典：各社公式発表、一部は報道（下記「出典」欄に発表ページのURL・報道の媒体名・日付と確認日を記載）

このほか、GMOインターネットグループが運営する「お名前.comデスクトップクラウド」（ホスティングサービス）で2026年10月20日に不正アクセスが発覚し、FX・証券などの取引口座のログイン情報が対象になった可能性があると発表されています（影響の可能性があるサーバー26,739件）。同社はクレジットカード情報をこのサーバー上では保持していないと説明しており、カード情報は対象外です。GMOインターネット（お名前.com）はホスティング事業者で、カード会社・銀行・証券会社そのものではないため、本ページへの記載にとどめます。2026年10月30日の決算説明会では、グループ内のGMOクリック証券・GMO外貨・GMOコインの取引システムへの直接的な影響や顧客口座への不正アクセスは確認されていないと説明されています（日本経済新聞）。FX・証券の取引用VPSを利用している人は、取引口座のパスワード変更とログイン履歴の確認をおすすめします

いずれも発表時点では、漏えいした情報が実際に悪用された被害（二次被害）は確認されていません。発表後に状況が変わることがあるため、各社の公式サイトのお知らせを確認してください。

会社ごとの詳細：クレジットカード情報は含まれる？

自分が使っているサービスで、カード情報まで漏れたのかどうか。各社の公式発表の文言をもとに、会社ごとにまとめました。

焼肉きんぐ（物語コーポレーション）

2026年10月5日発表。公式アプリの会員管理システムが不正アクセスを受け、会員番号・氏名（アプリ登録名）・メールアドレス・電話番号が、登録ユーザーのほぼ全数にあたる最大10,788,963件漏えいしました。ログインパスワード・生年月日・性別・郵便番号・ポイント情報は対象外です。

決済情報については、物語コーポレーションが公式発表で「決済情報につきましては、当社で保持しておりません」と明記しています。クレジットカード情報は漏えいの対象になっていません。

出典: 物語コーポレーション公式発表「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日、2026年10月6日確認）

ミスターマックス・ホールディングス

2026年10月6日発表。公式アプリ「MrMaxアプリ」とECサイトのサーバーが不正アクセスを受け、会員ID・氏名・メールアドレス・電話番号が、最大1,735,154人分漏えいした可能性があります。

公式発表では「クレジットカード情報、パスワード、購入履歴につきましては、流出していないことを確認いたしております」と明記されており、住所・生年月日も対象外です。

出典: ミスターマックス・ホールディングス公式発表「不正アクセスによる情報流出に関するお詫びとお知らせ」（2026年10月6日、2026年10月6日確認）

ニモカ（西日本鉄道の子会社）

2026年10月6日発表。交通系ICカード「nimoca」の利用履歴照会サービスが不正アクセスを受け、登録メールアドレス・生年月日・nimocaのカード番号（裏面に記載されたNRで始まる17桁の番号）が521件漏えいしました。氏名・住所・電話番号・利用履歴の漏えいは確認されていません。

ここでの「カード番号」は、交通系ICカードであるnimoca自体の管理番号で、クレジットカードの番号や信用情報とは別のものです。nimocaカード自体は通常どおり利用できます。不正アクセスの原因は、2026年10月6日時点で「調査中」とされています。

出典: ITmedia NEWS「交通系IC『nimoca』ユーザー情報521件流出 履歴照会サービスへの不正アクセスで」（2026年10月6日配信）、日テレNEWS NNN・毎日新聞など複数の報道（いずれも2026年10月6日配信、2026年10月6日確認）

ローソン（2026年10月8日発表・2件を同時発表）

2026年10月8日発表。「ローソンID」と「ローソンアプリ予約」という2つのシステムで、別々の時期に不正アクセスがありました。

「ローソンID」（対象約215万5,345件）では、メールアドレス・氏名・性別・電話番号・住所・メルマガ取得情報（プレゼント応募時に入力された場合のみ）が対象です。クレジットカード情報はこのサービスの対象には入っていません。

一方、「ローソンアプリ予約」（対象26件）では、氏名・電話番号に加えてクレジットカード番号の一部が対象になりました。この時期の事案で、クレジットカードの番号の一部が対象になったと公式に発表された最初の事案です。ローソンはアプリ予約の機能を停止し、2026年10月中旬に再開する予定としています。

出典: ローソン公式発表「第三者による不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月8日、2026年10月9日確認）

NewsPicks（ユーザベース、2026年10月8日発表）

2026年10月8日22時25分、ユーザベースが発表しました。同日0時48分に、業務で使う管理ツールへの第三者からの不正アクセスを検知し、2時1分ごろに該当サーバーを停止したとしています。

同社は9時44分ごろに個人情報保護委員会へ報告し、警察にも相談したとしています。情報が実際に不正利用されたかどうかは、2026年10月9日時点では確認されていません。

2026年10月9日、ユーザベースは第2報を発表し、対象件数と内訳を明らかにしました。内訳はメールアドレス約32万3,000件、氏名約5万9,000件、生年月日約2万8,000件、配送先住所・宛名約3万1,000件、勤務先など所属約6万5,000件、所属先電話番号約2万9,000件、所属先の役職情報約27万3,000件、そしてクレジットカードの名義・番号の下3桁または下4桁など約36万2,000件です。カード番号の全体は決済代行会社が管理しており、同社のシステムには保存していないため対象外、セキュリティコードも保存していないとしています。法人向けサービスの運営担当窓口の連絡先122件も対象に含まれます。

これらの項目を単純に足すと約117万件になりますが、ITmediaは2026年10月9日20時12分、この「最大117万件」という数字が同じ人の情報を複数の項目で重複して数えたものだったとして訂正しました。重複を除いた正式な合計件数は、2026年10月9日時点の報道では明らかにされていません。

出典: ITmedia「NewsPicks、個人情報漏えいの可能性 業務ツールへの不正アクセスで」（2026年10月8日配信）、日本経済新聞「NewsPicks、個人情報漏洩の可能性 第三者が不正アクセス」（2026年10月8日配信）、ITmedia「NewsPicks、メアド32.3万件やクレカ情報の一部36.2万件漏えいか」（2026年10月9日18:05公開・20時13分更新、20時12分訂正。ユーザベースの第2報を伝える内容で、2026年10月9日時点でこの内訳の数字を報じているのはITmedia1社のみ）（いずれも2026年10月10日確認）

第一興商（カラオケ「ビッグエコー」など、2026年10月8日発表）

2026年10月8日発表。第一興商が個人情報の取扱いを委託している日本コロムビアグループ（NCG社）の従業員が使うパソコン1台が、2026年10月1日から2日にかけてマルウェアに感染しました。NCG社は10月2日に端末をネットワークから隔離し、10月5日に第一興商へ報告しています。

対象は、店舗で会員登録・予約をした顧客情報が約863万1,000件（重複約51万5,000件を除く）、従業員情報が約9万3,000件の合計約872万4,000件です。「ビッグエコー」関連が約555万8,000件、「DKダイニング」関連が約346万2,000件などを含みます。漏えいのおそれがある情報は、氏名（登録名）・性別・生年月日・メールアドレス・電話番号です。住所・クレジットカード情報・口座情報は対象に含まれておらず、パスワードも対象外のため、この情報だけでポイントが使われる心配はないとされています。2026年10月9日時点で、情報の外部流出や不正利用は確認されていません。

出典: 第一興商公式発表「委託先における個人情報漏えいのおそれについて」（2026年10月8日、2026年10月9日確認）、日本経済新聞・産経ニュース・NHKニュース・テレ朝NEWSなど複数報道（いずれも2026年10月8日〜9日配信、2026年10月9日確認）

JR東日本・ビューカード（2026年10月9日発表）

JR東日本・ビューカードとは別会社のIDCフロンティア社で2026年10月7日に発生したクラウド障害に伴い、2026年10月9日、えきねっと・大人の休日倶楽部・ビューカード「VIEW’s NET」の3サービスで合計最大約609万件の情報が漏えいした可能性があると発表されました。

えきねっと会員（約167万件）はメールアドレスのみが対象です。大人の休日倶楽部会員（約39万件）は、メールアドレス・会員番号・生年月日に加えてクレジットカードの有効期限が対象になりました。カード番号そのものは対象外です。ビューカード「VIEW’s NET」会員（約403万件、報道ベース）はメールアドレスのみが対象で、iiマークのあるカードとビュー法人カードは対象外とされています。氏名・住所・電話番号は3サービスとも対象外です。

くわしい内容・サービスごとの対象の確かめ方・今すぐやることは、JR東日本・ビューカード不正アクセス、クレジットカードの有効期限も対象で詳しく整理しています。

出典: 東日本旅客鉄道株式会社公式発表（2026年10月9日、2026年10月9日確認）、ITmedia「JR東日本、『えきねっと』『ビューカード』などで漏えいか」（2026年10月9日配信）、TRAICY「ビューカード、約403万件のメールアドレスが漏えいの可能性」（2026年10月9日配信）、NHKニュース・読売新聞・朝日新聞など複数報道（いずれも2026年10月9日配信、2026年10月9日確認）

ブックオフグループホールディングス（2026年10月9日発表）

2026年10月9日、ブックオフグループホールディングスが発表しました。子会社が提供する会員情報管理システムに、2026年10月6日、第三者による不正アクセスがあったことを確認したとしています。

漏えいした可能性のある会員データは最大約643万件（漏洩した可能性のある会員番号の件数で、対象となる方の実際の人数とは異なるとしています）。対象になりうる情報は、氏名・生年月日・性別・メールアドレス・電話番号・郵便番号/住所・パスワードのハッシュ値・ポイントカード番号・会員番号です。同社は公式発表で「クレジットカード情報等の決済情報は当該システムでは保有していないため含まれておりません」と明記しており、クレジットカード情報は対象に含まれていません。

発表時点（2026年10月9日）で、漏えいした情報が外部に公開された事実や第三者に悪用された事実は確認されていないとしています。個人情報保護委員会への報告を進めており、対象となる人には調査結果を踏まえて順次個別に連絡するとしています。

NHKニュース・日本経済新聞・読売新聞・ITmedia・時事通信・INTERNET Watchなど、複数の報道機関が2026年10月9日にこの発表内容を報じています。

出典: ブックオフグループホールディングス公式発表「不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月9日、2026年10月10日確認）、NHKニュース「ブックオフ 不正アクセスで最大643万件の会員情報漏えいか」、日本経済新聞「ブックオフ子会社、最大643万件の顧客情報流出か」、読売新聞「ブックオフ、不正アクセスで住所など会員データ最大643万件が漏えいか」、ITmedia「ブックオフに不正アクセス、最大約643万件の個人情報流出」、時事ドットコム、INTERNET Watch（いずれも2026年10月9日配信、2026年10月10日確認）

タイムズカー（パーク24）・大和証券・ライフカード

この3件は、別の記事で公式発表と報道をもとに詳しく整理しています。いずれもクレジットカードの決済情報そのものは漏えいしていないと公式に発表されていますが、タイムズカーは運転免許証画像の流出によるなりすましリスク、大和証券は口座番号の流出、ライフカードはETCカード番号の一部の流出が、カード・口座に関わる情報として注目されています。タイムズカー（パーク24）は2026年10月23日、本人確認書類画像データの外部送信が確認された約146万件を対象に、お見舞金3,000円相当（現金または金券）を支払うと発表しました。FNNプライムオンライン（2026年10月26日配信）は、被害者側が「見舞金3,000円では足りない」として損害賠償を求める集団訴訟を起こす方針を固めたと報じていますが、提訴の時期・原告数・請求額は2026年10月26日時点でも明らかにされていません。ライフカードは2026年10月28日、メール配信を委託する外部業者「ユミルリンク」への不正アクセスで、顧客情報339,610件（うちETCカード番号の一部60件）が漏えいした可能性があると発表しました。

スカイチケット（株式会社アドベンチャー、2026年10月9日発表・10月16日と10月28日に追加発表）

旅行予約サイト「skyticket」を運営する株式会社アドベンチャーが2026年10月9日に発表しました。規模の大きい事案で、3つの事案に分かれています。サーバーへの不正アクセス（最大約1,464万件、氏名・住所・ハッシュ化パスワードなど）、業務管理システムへの不正アクセス（17,780件、返金先の銀行口座情報を含む）、バス予約ページの閲覧（約12,000件の予約）です。当初の3つの事案ではクレジットカードの番号はいずれも保存しておらず、流出していないと発表されていました。

2026年10月16日、2017年2月〜2018年6月に「skyticketプレミアム」の会費支払いのため登録されたカード情報について、最大6,140人分の番号流出が新たに判明したと時事通信・TBS NEWS DIGなど複数の報道機関が伝えました。

2026年10月28日、さらに新しい事実が判明しました。時事通信・共同通信・朝日新聞・日本経済新聞・TRAICYなど複数の報道機関が伝えたところによると、アドベンチャーは過去に取得したデータベースの複製（バックアップ）を不要になった後も削除せずクラウド上に保管しており、2026年10月2日〜4日の不正アクセスで取得された認証情報を使って、この複製の一部が読み取られたと説明しています。新たに対象になったのは次の3つです。

  • 返金先の銀行口座情報：32,341件（2022年3月1日〜2024年5月に払い戻しなどのため口座を登録した利用者が対象。金融機関名・口座種別・口座番号・口座名義（カナ）。暗証番号・インターネットバンキングのID・パスワードは対象外）
  • クレジットカード情報：約93万6,000件（約41万4,000人分。2021年5月ごろ〜2024年5月中旬ごろにカード決済した利用者が対象。カード番号は下4桁のみ、または先頭6桁と下4桁のみを記録したマスク済みのものが中心で、全桁・有効期限・セキュリティコードは対象外。ただし12件はカード名義の欄に番号が入力されていたため、全桁が記録されていた）
  • 旅行保険の申込情報：約11万8,000件（契約者・国内旅行保険の被保険者の氏名（カナ）・生年月日・性別、契約者の携帯電話番号・メールアドレス・会員ID・予約内容（便名・搭乗日・区間・旅行代金）など）

スカイチケットは2026年10月7日ごろから保存済みカードによる決済とカード情報の保存機能を止め、対象者への個別メールの通知を進めています。2021年5月〜2024年5月中旬ごろにカードを登録・利用したことがある人は、カードの利用明細を確認し、同じパスワードをほかのサービスで使っていれば変更してください。返金先に銀行口座を登録したことがある人は、口座の入出金も確認してください。

出典: 株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日公表・TDnet開示）、共同通信・ITmedia・読売新聞・NHKニュースなど複数報道（2026年10月9日配信、2026年10月11日確認）、時事通信「旅行予約サイトのスカイチケット、クレカ情報流出」・共同通信「スカイチケット、銀行口座含む3万件流出」・TRAICY「スカイチケット、銀行口座情報32,341件が流出 カード情報や旅行保険情報も流出のおそれ」（いずれも2026年10月28日配信、2026年10月29日確認）

ヤマト運輸「クロネコ代金後払い」（2026年9月29日発表・10月16日に最終報）

2026年9月28日に不正アクセスが起き、ヤマト運輸は同日22時28分にクロネコ代金後払いサービスを停止しました（10月9日13時に再開）。10月16日の第4報で、持ち出された情報は利用者情報（氏名・住所・電話番号・メールアドレス・商品明細・申込番号・受注日・与信番号など）約526万件、お届け先情報約5万件、加盟店情報約4,100件の合計約531万件に確定しました。クレジットカード情報・パスワード情報は含まれません。第2報で可能性があるとされていた「請求金額」「債権残高」「ヤマト運輸社員の氏名」は、調査の結果、持ち出しは確認されませんでした。10月16日時点で二次被害は確認されておらず、対象者には順次個別に連絡するとしています。

出典: ヤマトホールディングス「「クロネコ代金後払いサービス」への不正アクセスの発生について」（2026年9月29日公表）、「【第4報】「クロネコ代金後払いサービス」への不正アクセスに関する調査結果と今後の対応について」（2026年10月16日公表・確認）

キャッシュレスアプリ「IDARE」（Fivot、2026年10月13日発表）

対象は2026年9月27日までにIDAREに登録した利用者（退会済みを含む）129,659人です。カスタマーサポート業務などで使っていた外部ソフトウェアの脆弱性を悪用され、2026年8月10日〜9月27日の間に複数回、データベースの情報が取得されました。全員について残高・取引履歴・電話番号・メールアドレスなどが対象で、一部の人は氏名・住所に加えて入金用クレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁、IDAREカード番号の下4桁なども対象です。ログインパスワード、カード・口座の全桁番号、暗証番号、本人確認書類の画像は対象外で、多要素認証が必須のため、発表時点で不正ログイン・不正取引は確認されていません。

入金用にクレジットカードや銀行口座を登録していた人は、カードの利用明細と口座の入出金を確認し、身に覚えのない取引があればカード会社・銀行に連絡してください。

出典: Fivot株式会社「『IDARE』における不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年10月13日公表、2026年10月14日確認）

格安小売り「アエナ」（2026年10月14日発表）

対象は、ECアプリに個人情報を登録した会員の最大817,215人です。LINE会員や、Amazon・楽天市場などの外部のECモールでアエナの商品を買った人は対象外です。閲覧された可能性があるのは、氏名・住所・電話番号・メールアドレス・生年月日などの登録情報と、クレジットカードの下4桁・有効期限・名義です。カード番号の全桁・セキュリティコード・ログインパスワードは、同社が保持していないため対象外です。2026年10月13日午前5時58分にシステムログの解析で発覚し、発表時点で悪用・二次被害は確認されていません。

出典: 株式会社アエナ「外部からの不正アクセスによるお客様情報流出の可能性について」（2026年10月14日公表・確認）

Eストアー「ショップサーブ」（2026年8月発表・10月16日に最終報）

ネットショップを作るサービス「ショップサーブ」への不正アクセスで、最終報により対象者数が約2,335万6,000人に確定しました。このページの事案の中で最大の規模です。このうち約209万6,900人はクレジットカード情報の一部（カード名義・番号の先頭6桁と下4桁・有効期限）が対象です。完全なカード番号とセキュリティコードはEストアーが保持しておらず、対象外です。8月の第2報で対象とされていた店舗メールシステムやFTPのID・パスワード、振込先口座情報は、調査の結果、対象外と訂正されました。対象店舗は7,858店で、2026年5月21日〜8月1日に「ショップサーブ」で作られたネットショップで買い物・会員登録をしたかどうかが、対象かどうかを確かめる出発点になります。

出典: 株式会社Eストアー「不正アクセスによる個人情報漏えいに関するお知らせ（最終報）」（2026年10月16日公表）、「同（第2報）」（2026年8月2日公表）（いずれも2026年10月16日確認）

阪急阪神百貨店「H2O ID」（エイチ・ツー・オー リテイリング、2026年10月19日発表）

予約サイト・通販サイトへの不正アクセスで、共通ID「H2O ID」会員約126万件（ほぼ全ての会員）の氏名・メールアドレス・住所・電話番号・生年月日などが漏えいしました。クレジットカード番号そのものは対象外です。一方、通販サイト「HANKYU HANSHIN E-STORES」「Remo Order」で保持しているクレジットカード情報の一部（カード種別・番号の下4桁・名義・有効期限）は、漏えいの可能性を調査中です。カード番号の全桁とセキュリティコードは保持していないとしています。10月19日時点で不正利用・二次被害は確認されていません。H2O IDを名乗る不審なメール・SMS・電話に注意してください。

出典: エイチ・ツー・オー リテイリング株式会社・株式会社阪急阪神百貨店「第三者による不正アクセス発生と個人情報漏えいに関するお詫びとお知らせ」（2026年10月19日公表・確認）

リクルート「カーセンサーnet」「C-MATCH」（2026年10月21日発表）

2026年10月17日、中古車情報サイト「カーセンサーnet」関連システムへの不審なアクセスを検知し、同日17時ごろから「カーセンサーnet」（アプリ版を含む）・中古車販売店向け業務支援サービス「C-MATCH」など関連する全サービスを一時停止しました。10月20日の調査で、漏えいした可能性のある情報の項目・件数（最大値）を把握したとして、10月21日に発表しました。

漏えいした可能性のある件数は最大3,709,551件です。最も多いのは「カーセンサーnet」で中古車販売店への問い合わせをした利用者（3,210,421件）で、氏名・住所が中心（うち町名・番地まで含む可能性があるのは最大447,670件）。口コミ投稿者（5,289件）、「C-MATCH」に登録のある中古車販売店（483,168件、代表者・担当者の氏名・電話番号・古物商許認可番号など。個人事業主は事業所の住所・引落口座情報も対象）、リクルート従業員（退職者含む）や委託先・販売代理店の従業員（10,673件、氏名・メールアドレス）も対象です。公式発表は、これら全てにクレジットカードなどの決済情報・ログインパスワードは含まれていないと明記しています。

原因は第三者による不正アクセスとされ、個人情報保護委員会へはすでに速報済みです。2026年10月21日時点で二次被害は確認されていないとして、不審なメール・SMS・郵送物・電話に応じない、リンクを開かない、添付ファイルを開封しないよう呼びかけています。

出典: 株式会社リクルート公式発表「『カーセンサーnet』、『C-MATCH』への不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」（2026年10月21日公表・確認）、ITmedia NEWS「『カーセンサー』などに不正アクセス、最大371万件の個人情報漏えいか」（2026年10月21日配信、2026年10月21日確認）

富士急ハイランド「CLUBフジQ」（2026年10月20日発表）

2026年9月4日（金）〜9月7日（月）、外部で入手されたメールアドレスとパスワードの一覧を使った「リスト型攻撃」により、公式アプリ・会員サイト「CLUBフジQ」に不正ログインが行われました。社内サーバーやデータベースへの侵入、会員データの一括流出は確認されておらず、不正ログインを受けた159名の会員アカウントだけが対象です。

閲覧された可能性のある情報は、氏名・メールアドレス・生年月日・性別・電話番号・郵便番号・都道府県・会員番号で、一部の会員は購入履歴・チケット情報も対象です。クレジットカード情報については、カード番号全体やセキュリティコードは対象外で、一部の会員のみカード番号の一部・有効期限・名義が対象とされています。2026年10月20日時点で、不正な購入・決済やチケットの不正利用などの二次被害は確認されていません。

対象アカウントはパスワードを初期化済みで、個人情報保護委員会と富士吉田警察署に報告済みです。対象の利用者には個別にメールで連絡しています。

出典: 富士急ハイランド公式発表「富士急ハイランド公式アプリ・会員サイト（CLUB フジQ）への不正ログインに関するお詫びとお知らせ」（2026年10月20日公表・2026年10月22日確認）、読売新聞オンライン・日本経済新聞・NHKニュース・TBS NEWS DIGなど複数報道（2026年10月21日配信、2026年10月22日確認）

チケット販売サービス「GETTIIS」（運営：リンクステーション、2026年10月20日発表・10月22日に被害拡大を公表）

チケット販売サービス「GETTIIS」を運営する株式会社リンクステーション（青森市）は、2026年10月18日午前0時ごろから7時ごろにかけて、主催者向けの公演登録サービス「Gettii-Lite」のプログラムの脆弱性を悪用した不正アクセスを受けました。GETTIISは演劇・ライブなどのチケット販売に使われるサービスで、劇団や公演の主催者がGETTIISを通じてチケットを販売していた利用者が対象です。

同社は2026年10月20日に発表し、2026年10月22日には被害状況の公表を更新して対象の件数が拡大しました。項目ごとの件数（合計人数ではなく、項目ごとの件数）は、会員ID約31万7,971件、氏名約30万9,759件、電話番号約30万9,668件、メールアドレス約31万1,426件、ハッシュ化されたパスワード約31万1,451件です。パスワードは平文ではなくハッシュ化された状態での漏えいで、平文のパスワードは流出していないとされています。

クレジットカードに関連する情報は29,515件が対象です。対象はカード番号の先頭4桁と末尾4桁、名義、有効期限を暗号化したもので、カード番号全体やセキュリティコードは保存しておらず、対象外です。同社は、今回漏えいした情報だけではカード決済はできないと説明しています。2026年10月22日時点で、二次被害（不正利用など）が確認されたという報道は見当たりません。

リンクステーションはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。同社はパスワードの変更や、便乗した不審なメール・SMS・電話への注意を呼びかけ、警察に相談を続けているとしています。

出典: 青森放送・Yahoo!ニュース「チケット購入サービス『GETTIIS』で会員情報など約30万件が漏えい 不正アクセスによる情報漏えい被害が拡大」2026年10月22日14:32配信、日テレNEWS NNN「チケット販売サービス『GETTIIS』でクレジットカード関連情報含む会員情報の約31万件が漏えい 不正アクセスを受け発表」2026年10月22日配信（確認日：2026年10月23日）

沖縄ツーリスト（OTS、2026年10月21日発表）

レンタカー「OTSレンタカー」やホテル予約などを手がける沖縄ツーリストは、2026年10月18日に社外からの指摘で個人情報漏えいの可能性を把握し、同日中に該当サイトへの外部アクセスを遮断しました。2026年10月20日16時30分から、OTSレンタカー・OTS HOTEL・OTS ACTIVITIES・デジタルDMOプラットフォーム・OTS Clubの新規予約受付を一時停止しています（同日時点までの申込分は、申込内容どおり利用可能）。

同社の発表時点では、漏えいした情報の項目・対象人数、第三者の侵入があったかどうかは明らかにされていません。外部専門家の協力を得て原因・影響範囲を調査中で、個人情報保護委員会への報告を含めて対応を進めているとしています。

一方、沖縄タイムス社は2026年10月24日、闇サイトで販売されていた情報と一致する顧客情報が最大73万人分にのぼると報じています。これは会社発表の確定件数ではなく、報道機関が独自に確認した内容である点に注意してください。沖縄ツーリストはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。クレジットカード情報が対象に含まれるかどうかは、本記事執筆時点（2026年10月24日）では会社発表・報道のいずれにも明記がありません。続報が出た場合は追記します。

出典: 琉球新報デジタル「【速報】沖縄ツーリストにサイバー攻撃か　一部サービスを停止『個人情報漏えいした可能性』」2026年10月21日配信、沖縄タイムス社「OTS流出 最大73万人　個人情報闇サイト販売一致」2026年10月24日配信、TBS NEWS DIG「沖縄ツーリストの顧客情報が闇サイトで販売か　会社は調査進める」2026年10月22日配信（確認日：2026年10月24日。沖縄ツーリスト公式サイトの発表文そのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

モスフードサービス（モスバーガー、2026年10月23日発表）

モスバーガーを展開するモスフードサービス（証券コード8153）は、2026年10月23日16時、「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」を適時開示しました。リチャージ式プリペイドカード「MOS CARD（モスカード）」のシステム運用・保守を委託していた株式会社バリューデザインが第三者の不正アクセスを受け、カード情報が流出したというものです。委託先の親会社ペイクラウドホールディングスは、Webサーバーの脆弱性が悪用されたと説明しています。不審なアクセス・不正ログイン試行は2026年10月14日〜18日に検知されました。

流出した件数は合計113万3,070件（発行総数約380万件の約3割）で、このうち流通済みカードが約57万件、未流通カードが約56万件です。前回の記載では「約57万〜113万件」と報道によって数字が分かれていましたが、NHKなどが先に報じた約57万件は流通済みカードの件数、朝日新聞・日本経済新聞・TBS NEWS DIGが報じた約113万件は合計件数だったことが、会社発表で確認できました。対象となったのは16桁のカード番号・6桁のPIN番号・残高情報で、氏名・住所・電話番号・クレジットカード情報は対象に含まれないと発表されています。モスフードサービスによると、2026年10月23日の発表時点で本件に起因する顧客被害の問い合わせは受けていません。

モスフードサービスはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。また、「MOS CARD」はクレジットカードではなくチャージ式のプリペイドカードで、クレジットカード番号そのものが対象になったという報道・発表は確認できていません。利用者への呼びかけは、チャージ額の引き去りなど身に覚えのない利用がないか確認し、あれば専用窓口（2026年10月26日までは03-3496-8322、10月27日以降は0120-395-126、受付9時〜22時）に連絡すること。店頭・ネット注文・「お席で注文」は利用できますが、公式アプリの新規登録やWeb上の残高照会ができない場合も同じ窓口に連絡するよう案内されています。

出典: モスフードサービス「不正アクセスに伴うプリペイドカード情報の流出に関するお知らせ」2026年10月23日16時（適時開示、日経会社情報DIGITALで確認）、日本経済新聞「モス、プリペイドカード情報113万件流出　委託先で不正アクセス」2026年10月23日配信、朝日新聞「モス、プリペイドカード情報113万件が流出　委託先に不正アクセス」2026年10月23日配信、NHKニュース「モスバーガー　流通済みプリペイドカード情報　約57万件が流出」2026年10月23日配信、TBS NEWS DIG「モスフード　不正アクセスでプリペイドカードの情報流出　残高情報も」2026年10月23日配信、セキュリティ対策Lab（合同会社ロケットボーイズ）「モスバーガー『モスカード』113万3,070件が流出、PIN番号・残高情報も」2026年10月23日配信（確認日：2026年10月25日）

株式会社Joshin（家電量販店、2026年10月26日発表・第2報）

家電量販店「Joshin（ジョーシン）」を運営する株式会社Joshin（大阪府大阪市、東証プライム上場）は、2026年10月17日に「不正アクセスによるシステム障害発生のお詫びとお知らせ」を公式発表し、2026年10月26日に調査の進展をまとめた第2報を公表しました。10月16日にネットワークの異常を検知し、不正アクセスの形跡があるサーバーを遮断したうえで外部専門機関に調査を依頼し、個人情報保護委員会・警察にも相談・報告しています。

第2報で判明した内容は、調査対象の3つのシステムで対象となる情報が異なります。

  • 会員情報データベース：漏えいした可能性がある件数は最大約600万件。対象は氏名・住所・電話番号・会員番号で、カード情報・運転免許証・マイナンバーは含まれません
  • ジョーシンのサブスクサービス：最大約23万件。対象は会員番号・電話番号・手書きサイン（バイナリデータ）・ログインIDの初期パスワード・請求履歴・契約番号・デバイスID・有効化コード
  • リフォーム写真アップロードシステム：最大約800件。対象は運転免許証画像2件・マイナンバーカード1件・口座番号5件とリフォーム施工中の工事写真データ。該当する利用者には個別に連絡しているとしています

一部の報道は「免許証の画像やマイナンバーカードなどの情報も漏洩した可能性」と600万件の規模とまとめて伝えていますが、公式発表を確認すると、運転免許証画像・マイナンバーカードが対象になりうるのはリフォーム写真アップロードシステムの最大800件に限られ、600万件規模の会員情報データベースの対象は氏名・住所・電話番号・会員番号です。報道では規模（600万件）と中身（免許証・マイナンバー）が一緒に語られがちですが、件数の桁が大きく違う別々のシステムの話である点に注意してください。

クレジットカード情報については、Joshinは決済情報の非保持化に対応しており保持していないため、今回の3システムいずれでも対象になっていません。件数はいずれも「漏えいした可能性がある総件数」で、確定した件数ではないと発表されています。

問い合わせ窓口は、株式会社Joshin お客様相談窓口（電話：06-6631-1323、受付9:30〜18:30、メール：joshin_otoiawase@joshin.co.jp）です。Joshinを装った不審なメール・SMS・電話への注意も呼びかけられています。

出典: 株式会社Joshin公式発表「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」（2026年10月26日公表・確認。初報は2026年10月17日公表、2026年10月19日東京証券取引所へ開示）

楽天トラベル（楽天グループ、2026年10月26日発表）

楽天グループは2026年10月26日、旅行予約サービス「楽天トラベル」で2件の不正アクセスがあったと発表しました。

1件目は海外ホテル予約サイトです。2026年9月10日に異常を検知し、9月15日に原因を特定、9月16日にシステム改修を完了しました。対象は最大約260万件（氏名・メールアドレス・電話番号・社内用識別番号など）です。このうち、シンガポール子会社が管理・運営する一部ページでの予約（最大4万件）については、氏名・電話番号・居住国に加えて最大36,000件がクレジットカード情報の対象になりました。対象項目は発行者識別番号・カード番号の下4桁・名義人名・有効期限・国際ブランド区分で、カード番号の全体・セキュリティコード・パスワード・パスポートなどの本人確認情報は対象外です。楽天はこの情報だけでは不正な決済・予約・キャッシングはできないとしています。

2件目は多言語予約サイトです。2026年10月20日に不正アクセスの可能性を検知し、10月21日に改修を完了しました。対象は顧客のメールアドレス最大約86万件と、宿泊施設スタッフ用の会員情報（アカウント名・メールアドレス・社内用識別番号）最大4万件で、クレジットカード情報は含まれません。

楽天は個人情報保護委員会などへ報告済みで、発表時点で二次被害や他サービスへの影響は確認されていないとしています。クレジットカード情報の対象になった人は、カードの利用明細を確認してください。

出典: 日本経済新聞「楽天トラベルに不正アクセス、顧客情報260万件流出か クレカ3万件も」（2026年10月26日配信）、ロイター「楽天トラベル、顧客情報260万件に不正アクセス クレジットカード情報3.6万件」（2026年10月26日配信）、読売新聞・朝日新聞・NHKニュース・共同通信・TBS NEWS DIG・INTERNET Watchなど複数報道（いずれも2026年10月26日配信、2026年10月27日確認。楽天グループ・楽天トラベルの公式発表ページそのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

ユミルリンク（メール配信サービス）・JR東海・JR西日本・JR九州（2026年10月26日発表）

企業・自治体向けのメール配信サービス「Cuenote」などを運営するユミルリンク株式会社は、2026年10月16日未明に不正アクセスを検知し、サーバーをネットワークから切り離す対応をとりました。2026年10月19日の第一報では対象を延べ約900万件としていましたが、調査の結果、対象システムと件数が拡大し、2026年10月26日の発表では延べ最大約5,162万件になったと報じられています。調査が続いている分野もあり、件数はさらに変わる可能性があります。

ユミルリンクのサービスを利用している企業・自治体は多数あり、そのひとつがJR東海・JR西日本・JR九州が共同で提供する新幹線のネット予約サービス「エクスプレス予約」「スマートEX」です。3社は2026年10月26日、会員約17万件分のメールアドレス・会員ID・カタカナの氏名・会員種別が漏えいした可能性があると発表しました。クレジットカード情報が対象になったという発表・報道は確認できていません。件数は調査中で、今後変わる可能性があります。

ユミルリンクはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。同社は、自社のドメインを使い、クレジットカード会社などを装う不審な迷惑メールが複数確認されているとして、パスワードの変更と、身に覚えのないメールのリンクを開かないよう呼びかけています。エクスプレス予約・スマートEXを利用している人は、会員サイトからの連絡や公式サイトのお知らせを確認し、ログインID・パスワードを他のサービスと共用している場合は変更してください。

出典: 日本経済新聞「ユミルリンクの情報漏洩、5162万件へ拡大 JR東海の新幹線予約も」（2026年10月26日配信）、TBS NEWS DIG「『ユミルリンク』延べ5162万件余りの個人情報漏えいを確認」（2026年10月26日配信）、朝日新聞「新幹線予約の個人情報17万件流出 エクスプレス予約・スマートEX」（2026年10月26日配信）、FBS福岡放送・CBCテレビなど複数報道（いずれも2026年10月26日配信、2026年10月27日確認。ユミルリンクの適時開示・JR3社の公式発表ページそのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

同じユミルリンクの不正アクセスをめぐっては、2026年10月28日、エイチ・ツー・オー リテイリングが、クレジットカード会社である子会社「ペルソナ」の会員メールアドレス最大28,052件が外部に漏えいした可能性があると発表しました。対象は2024年11月〜2026年2月に入会し、メールマガジンなどを受け取っている会員です。氏名・住所・クレジットカード番号は対象に含まれていないとされ、発表時点で不正利用は確認されていません。また、野村證券も2026年10月23日、金融機関向けポートフォリオ管理ツール「i-Port」の会員向けメール配信をユミルリンクに委託しており、顧客のメールアドレスなどが漏えいした可能性があると発表したと複数の専門メディア（rocket-boys.co.jp、dxmagazine.jpなど）が報じています。野村證券の発表では運用資産（ポートフォリオ情報）や証券取引口座に関する情報は対象に含まれていないとされています。いずれも、カード会社・証券会社そのものの会員情報がユミルリンク経由で対象になった事案ですが、クレジットカード番号・証券取引口座情報といった決済・資産に直結する情報は対象外と発表されており、このページへの追記で対応します。

出典: 読売テレビニュース「H2O 会員のメアド約2.8万件漏えいか」（ｄメニューニュース配信、2026年10月28日配信）、ABCニュース「エイチ・ツー・オーのクレカ子会社で情報漏洩の可能性『ペルソナ』会員のメールアドレスなど2万8000件分」（Yahoo!ニュース配信、2026年10月28日配信）、MBSニュース「H2Oリテイリング子会社でも流出か クレカ発行時に登録した会員メルアド」（TBS NEWS DIG配信、2026年10月28日配信）（いずれも2026年10月28日確認）、rocket-boys.co.jp「野村證券『i-Port』で顧客メールアドレスなど漏えいの可能性、委託先ユミルリンクへの不正アクセスが波及」、dxmagazine.jpの同件報道（いずれも2026年10月28日確認。野村證券の公式発表ページそのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

読売新聞は2026年10月27日、りそなグループについても「ユミルリンク」の不正アクセスで個人情報漏えいの可能性があると報じていますが、2026年10月28日時点でこの記事の内容を他の報道機関・公式発表で確かめられていません。確認できた場合は追記します。

ツクツク（TSUKU TSUKU株式会社、ECモール「ツクツク!!!」、2026年10月26日発表）

ECモール「ツクツク!!!」を運営するTSUKU TSUKU株式会社は、2026年10月26日、外部の専門機関によるフォレンジック調査の結果として、サイトを通じて登録されたクレジットカード情報が外部に漏えいした可能性があると発表しました。報道によると、2025年9月にカード会社から不正利用の疑いがあるとの連絡を受けて調査を始めたものの、対象者への案内やカード再発行の調整に時間がかかったとして、公表は発覚から1年以上あとになりました。

報道をまとめると、対象は2025年5月10日から同年9月9日までの期間にサイトでクレジットカードを新規登録した利用者です。サイトに不正なプログラムが埋め込まれ、入力されたクレジットカード情報が外部に転送されていた形跡が確認されたとされ、最大19,115件で、カードの名義・カード番号全体・セキュリティコードが対象になった可能性が高いと報じられています。これは、この一覧の中でもセキュリティコードまで対象になったと報じられている唯一の事案です。これとは別に、サイトに登録された個人情報362,750件についても、外部への転送を示す痕跡は確認されていないものの、漏えいの可能性を完全には否定できないとされています。現時点でTSUKU TSUKU株式会社自身の発表文そのものは本記事執筆時点で確認できておらず、ライフカードなど提携カード会社の案内ページと複数の報道をもとに記載しています。

楽天カード・ライフカード・三菱UFJニコスなど、対象になったカードを発行するカード会社各社も、2026年10月26日前後に相次いで会員向けの案内を発表しました。ライフカードは「ツクツク!!!」を過去に利用したことがある会員に、利用代金明細書やWebサービスで取引内容を確認し、身に覚えのない取引があればサポートへ連絡するよう案内しています。報道によると、楽天カードは対象者にカードの差し替えを案内し、差し替えにかかる手数料は発生しないとしています。各カード会社は、利用明細の確認とログインパスワードの変更、「カード番号を電話で聞く」といった不審な連絡への注意を呼びかけています。

TSUKU TSUKU株式会社はカード会社・銀行・証券会社そのものではないため、このページへの追記としています。クレジットカード番号・セキュリティコードという、決済にそのまま使える情報が対象になった可能性がある点で、この一覧の中でも特に注意が必要な事案です。

出典: ライフカード公式発表「『ツクツク!!!』における個人情報流出の可能性について」（2026年10月26日、2026年10月27日確認）、テレビ朝日系（ANN）「ECモール『ツクツク!!!』 クレカ情報大量漏洩 セキュリティーコード含む約2万件」（Yahoo!ニュース配信、2026年10月27日配信）、ABEMA TIMES「ECモール『ツクツク!!!』 セキュリティーコード含む情報漏洩」（2026年10月27日配信）、ライブドアニュース（2026年10月27日配信）（いずれも2026年10月27日確認。TSUKU TSUKU株式会社自身の発表ページそのものは本記事執筆時点で確認できておらず、提携カード会社の案内・報道各社の記事をもとに記載）

グッドスマイルカンパニー（公式ショップ、初報2026年10月23日・拡大報道2026年10月29日）

フィギュアメーカーのグッドスマイルカンパニーは、2026年10月23日、通販サイト「グッドスマイルカンパニー公式ショップ」で第三者による不正アクセスがあったと発表しました。アクセスの痕跡が確認されたのは2026年10月19日15時過ぎ〜22日22時ごろで、氏名・フリガナ・性別・住所・電話番号・メールアドレスなどの基本情報と注文情報（注文日・商品名・数量・金額・決済方法など）が対象になる可能性があるとされました。この初報の時点では、クレジットカード情報はブランド・番号の下4桁・有効期限のみが対象で、カード名義・番号の全桁・セキュリティコードは対象外と説明されていました。公式ショップはこの発表以降、閉鎖されたままになっています。

その後の調査で状況が変わりました。ITmedia NEWSなど複数の報道（2026年10月29日）によると、2026年10月21日13時55分から23日7時ごろまで、決済ページに不正なプログラムが仕掛けられていたことが新たに判明しました。システムの脆弱性を悪用して管理者権限が不正に取得されたとみられています。この不正プログラムにより、最大2,800人分で、カードの名義・番号全16桁・有効期限・セキュリティコードが漏えいした可能性があると報じられています。この2,800人には、実際に決済を完了した384人のほか、決済を試みた人・カートに商品を入れた人・予約後にカード情報を変更した185人などが含まれますが、2,800人全員の情報が漏えいしたと確定したわけではないとされています。これとは別に、同サイトに過去にカード情報を登録したことがある利用者については、カード番号の下4桁と有効期限が対象になる可能性があり、該当するカードは最大402,466枚に上るとされています。注文情報については、最大7,673人について氏名・住所・電話番号・注文内容などが漏えいした可能性があると報じられています。

カード番号全16桁とセキュリティコードの両方が対象になった可能性がある点で、この一覧の中でもツクツクと並んでもっとも注意が必要な事案です。グッドスマイルカンパニーはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。対象の可能性がある利用者には個別にメールで連絡するとされていますが、本記事執筆時点でグッドスマイルカンパニー自身による2026年10月29日時点の続報（第2報）の公式発表ページは確認できておらず、複数の報道各社の記事をもとに記載しています。カードの利用明細をこまめに確認し、身に覚えのない請求があればすぐにカード会社に連絡してください。同社や関係者を名乗る不審なメール・SMS・電話にも注意してください。

出典: ITmedia NEWS「グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分」（2026年10月29日配信）、ITmedia NEWS「グッスマに不正アクセス、公式EC閉鎖 会員の住所や注文履歴など漏えいか 再開目処立たず」（2026年10月26日配信）、ASCII.jp「グッドスマイルカンパニー、カード番号全桁とセキュリティコードが漏えいか 最大2800人に影響の可能性」（Yahoo!ニュース配信、2026年10月29日配信）、KAI-YOU「グッドスマイルカンパニー、クレカ番号全16桁が情報漏洩か 該当者は2800人のユーザー」（2026年10月29日配信）、おたくま経済新聞「グッスマ公式ショップの決済ページに不正プログラム 一部利用者のカード番号全桁も漏えいの可能性」（2026年10月29日配信）（いずれも2026年10月29日確認。グッドスマイルカンパニー自身の2026年10月29日時点の続報の発表ページそのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

アララ（運営：ペイクラウドホールディングス）・ビックカメラグループなど最大380社（2026年11月2日発表・拡大）

企業向けメール配信サービス「アララ メッセージ」を運営するアララ株式会社（親会社はペイクラウドホールディングス）は、2026年10月29日に不正アクセスを公表した時点では対象を約301万件としていました。2026年11月2日の発表で対象が大きく広がり、最大約7,700万件のメールアドレスなどが流出したおそれがあると発表しています。影響を受けた契約企業は最大約380社に上るとされ、企業によっては氏名・電話番号・住所といった会員情報も対象に含まれます。同社のサービスを経由して、クレジットカード会社を装う不審なメールが最大約713万通送信されたことも判明しています。

影響企業の一つとして、ビックカメラ・コジマ・ソフマップを展開するビックカメラグループは、2026年11月3日、グループの顧客メールアドレスなど最大約1,490万件が流出した可能性があると発表したと報じられています。クレジットカード情報、ネット通販サイトへログインするための情報は対象に含まれていないと説明されています。この件は、2026年11月3日時点でテレビ朝日系（ANN）の報道（Yahoo!ニュース配信）のみが確認できており、ほかの報道機関では確認できていません。ビックカメラグループ自身の公式発表ページは、クラウド環境からの接続がサーバーエラーで失敗し、本記事執筆時点で直接確認できていません。

アララ・ペイクラウドホールディングスはカード会社・銀行・証券会社そのものではないため、このページへの追記としています。北陸電力「ほくリンク」・TKC・小田急トラベル・大阪ガス「FitDish」・生活協同組合ユーコープ・神戸新聞NEXTなど、ほかにも多数の企業が対象になったと公表しており、各社の件数はアララ側の集計と重複する可能性があるため単純に合算はできません。このサービスからのメールを受け取っている人は、カード会社などを名乗る不審なメールのリンクを開かず、パスワードを他のサービスと共用している場合は変更してください。

出典: Yahoo!ニュース「『アララ』7700万件のメアド流出」（2026年11月2日配信）・Yahoo!ニュース「メールアドレス7700万件流出 ペイクラウド子会社が運営する『アララメッセージ』に不正アクセス 対象企業最大380社 氏名・生年月日などが含まれる場合も」（TBS NEWS DIG Powered by JNN配信、2026年11月2日配信）・INTERNET Watch「ペイクラウドHD、『アララ メッセージ』への不正アクセスで約7700万件のメールアドレスが流出」（2026年11月2日配信）・Yahoo!ニュース「ビックカメラGの顧客アドレス約1490万件漏洩か クレジットカード情報などは被害なし」（テレビ朝日系・ANN配信、2026年11月3日配信）（いずれも2026年11月3日確認。アララ・ペイクラウドホールディングス、ビックカメラグループそれぞれの公式発表ページそのものは、本記事執筆時点でクラウド環境から確認できておらず、報道各社の記事をもとに記載）

鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫「Payどん」（2026年10月28日発表）

鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫の4行庫が共同で運営する決済サービス「Payどん」について、決済時の利用明細メールの送信業務を委託していたアララ株式会社（上記のメール配信サービス「アララ メッセージ」の事案と同じ会社）が、2026年10月28日に第三者からの不正アクセスを受けました。これにより、Payどんの利用者と加盟店のメールアドレス最大25万7,639件が漏えいした可能性があると発表されています（実際に流出した件数は調査中）。発表時点で、氏名・銀行口座情報・パスワードは対象に含まれないとされ、クレジットカード情報が対象になったという発表・報道は確認できていません。

4行庫は不正アクセスを確認した同日、Payどんの新規登録とメール通知機能を停止しました。本記事執筆時点で不正利用の報告はないとされています。銀行自身が共同運営するサービスの事案のため、本ページに記載しています。4行庫を名乗る不審なメールが届いても、記載されたURLや添付ファイルは開かないよう注意してください。

出典: Yahoo!ニュース「Payどん『個人情報漏えいは利用者や加盟店のメールアドレス』最大25万件 鹿児島」（MBC南日本放送配信、2026年11月4日配信）・Yahoo!ニュース「鹿児島銀行の決済サービス『Ｐａｙどん』メールアドレス最大２５万件超が流出…『アララ』不正アクセス」（読売新聞オンライン配信、2026年11月6日配信）・Yahoo!ニュース「最大２５万件流出の可能性も　『Ｐａｙどん』登録者のメアドが流出　鹿児島」（KKB鹿児島放送配信、2026年11月5日配信）・Yahoo!ニュース「Ｐａｙどんメールアドレス漏えい最大２５万７０００件超」（鹿児島ニュースKTS配信、2026年11月4日配信）（いずれも2026年11月7日確認。鹿児島銀行自身の公式発表ページそのものは、クラウド環境から本文を確認できておらず、報道各社の記事をもとに記載）

SMBCコンシューマーファイナンス（プロミス、2026年11月5日発表）

2026年11月5日、消費者金融大手でSMBCグループの「SMBCコンシューマーファイナンス株式会社」（プロミスを展開）が、保証業務で使うシステムへの第三者による不正アクセスを発表しました。同社は地方銀行・信用金庫・インターネット銀行などと提携し、カードローンなどの保証業務を行っており、一部の提携先にはカードローンのWeb申込フォームも提供しています。今回、この保証業務システムが不正アクセスを受け、外部に送信されたデータに個人情報が含まれていたことを確認したと発表しています。

公式発表によると、2026年11月2日に不正アクセスを検知し、被害拡大の防止を最優先に同日中に保証業務システムへのアクセスを遮断。そのほかに不正なアクセスがないかの調査を進める過程で、今回の情報漏えいを確認したとしています。

対象となった情報は、氏名・性別・生年月日・住所・自宅電話番号・携帯電話番号・メールアドレス・運転免許証番号・勤務先情報（電話番号・年収等）・契約情報（金融機関コード・顧客番号・保証額・保証開始日等）で、対象人数は最大320,118名。運転免許証等の本人確認書類の画像は含まれていないと明記されています。クレジットカード番号・セキュリティコードは、公式発表の対象項目一覧に含まれていません。

このニュースのポイントは、プロミスを直接利用していない人も対象になりうることです。SMBCコンシューマーファイナンスは複数の地方銀行・信用金庫・ネット銀行のカードローンの保証会社を務めており、今回漏れたのはその保証業務システムのデータです。自分が対象かどうかすぐに分からない場合は、カードローンの契約時の書面や明細に「保証会社：SMBCコンシューマーファイナンス」といった記載がないかを確認してください。

2026年11月5日の発表時点で、本件に起因する二次被害は確認されていません。同社は、対象となる顧客には範囲の特定後、提携先の金融機関と相談のうえメールやSMS等で個別に案内するとしています。同社や金融機関をかたる不審な電話・メール・SMSに注意し、心当たりのない連絡を受けた場合は記載されたURLにアクセスせず、専用窓口か警察に相談するよう呼びかけています。問い合わせ窓口はSMBCコンシューマーファイナンス 問合せ窓口（平日9時〜18時、03-5677-9228）です。

消費者金融・信販会社そのものの事案で、カード番号・セキュリティコードが対象の事案ではないため、本記事執筆時点（2026年11月5日18時台）では単独記事にはせず、本ページへの記載としています。

出典: SMBCコンシューマーファイナンス株式会社公式発表「当社保証システムへの不正アクセスによるお客さま情報の漏えいについて」（2026年11月5日発表、2026年11月5日確認）、NHKニュース「三井住友Ｇ保証会社 個人情報最大32万人分漏えい 住所や年収も」、日本経済新聞「『プロミス』展開する三井住友系の消費者金融大手、年収など顧客情報を32万人分漏洩」、朝日新聞「カードローンの借入額、32万人分漏洩 三井住友系の消費者金融大手」、テレ朝NEWS「年収や保証額も漏えい 約32万件 三井住友Ｇ保証会社」、時事通信（Yahoo!ファイナンス配信）「借入額など最大32万人分漏えい＝SMBC系消費者金融」、ニッキンONLINE「SMBCCF、最大32万人の情報漏えい 保証システムに不正アクセス」（いずれも2026年11月5日配信、2026年11月5日確認）

【11月6日追記】提携する銀行が、自社の顧客向けに個別の発表を始めています。北洋銀行（本店・札幌市）は2026年11月5日、カードローン「スーパーアルカ」の利用者・申込者情報が対象になったと発表しました。日本経済新聞をはじめ、HBCニュース北海道・STVニュース北海道・UHB北海道文化放送・HTB北海道テレビなど北海道の複数の報道機関が2026年11月5日・6日に伝えています。北洋銀行自身のシステムへの不正アクセスは発生していないとしており、原因は保証会社であるSMBCコンシューマーファイナンスのシステムへの不正アクセスとしています。漏えいした可能性がある情報は氏名・メールアドレス・勤務先情報・年収・保証額などで、2026年11月6日時点で対象件数は確定していません。カードローンの新規申し込み・限度額増額の受け付けを停止しており、二次被害は確認されていないとしています。

このほか、NHKニュース（11月6日）は筑波銀行のカードローン申込者の個人情報が漏えいしたと報じ、TBS NEWS DIG（CBCニュース、11月6日）は大垣共立銀行にカードローンを申し込んだ人の情報が流出したと報じています。日テレNEWS NNN系列（南海放送、11月5日）は愛媛銀行の提携先への不正アクセスによる情報漏えいを報じています。セキュリティ専門ブログ「セキュリティ対策Lab」（合同会社ロケットボーイズ、11月6日）は、SMBCコンシューマーファイナンスの保証業務と提携する「少なくとも14の銀行」に影響が及んでいるとの独自集計を公開していますが、この14行という数・銀行ごとの対象人数は同ブログの集計によるもので、北洋銀行以外の各行の公式発表そのものは本記事執筆時点（2026年11月6日12時台）で確認できていません。カードローンを契約している人は、契約時の書面や明細に「保証会社：SMBCコンシューマーファイナンス」と記載がないかを確認し、利用している銀行・信用金庫の公式サイトの「お知らせ」も確かめてください。続報が出れば、この項目に追記します。

出典: 日本経済新聞「北洋銀行、カードローン利用者情報漏洩 保証会社への不正アクセスで」（2026年11月5日配信）、STVニュース北海道・HBCニュース北海道（いずれもYahoo!ニュース配信）・UHB北海道文化放送・au Webポータル（いずれも2026年11月5日・6日配信）、NHKニュース「筑波銀行 カードローン申込者の個人情報漏えい」（2026年11月6日配信）、TBS NEWS DIG「SMBCコンシューマーファイナンスのシステムに不正アクセス 提携している大垣共立銀行にカードローン申し込んだ人の情報も流出」（CBCニュース、2026年11月6日配信）、日テレNEWS NNN系列・南海放送NEWS NNN「愛媛銀行提携先が不正アクセス 運転免許証番号や勤務先など漏えいか」（2026年11月5日配信）、セキュリティ対策Lab（合同会社ロケットボーイズ）「SMBCコンシューマーファイナンスへの不正アクセスによるサイバー攻撃のまとめ」（2026年11月6日公開、2026年11月6日確認。筑波銀行・大垣共立銀行・愛媛銀行以外の個別行名はこのまとめ記事のみで確認し、各行の公式発表そのものは確認できていません）

【11月7日追記】りそな銀行・関西みらい銀行・みなと銀行の3行は2026年11月6日、SMBCコンシューマーファイナンスのシステムへの不正アクセスにより、解約済みの顧客情報が漏えいしたと発表しました。対象は合計5,935件で、りそな銀行139件（旧奈良銀行で契約されたカードローン分）、関西みらい銀行5,793件（旧近畿大阪銀行分を含むカードローン・フリーローンの契約分）、みなと銀行3件という内訳です。2001年から2026年7月末までに保証を受けた解約済みの契約が対象で、漏えいした情報は氏名・住所・年収・運転免許証番号などの契約情報です。クレジットカード番号は対象に含まれていません。2026年11月7日時点で、二次被害は確認されていないと報じられています。なお、りそな銀行・埼玉りそな銀行・関西みらい銀行は、これとは別に、メール配信の委託先「ユミルリンク」への不正アクセスでメールアドレス等が漏えいした可能性があるとも報じられており（上の注意書き参照）、今回のSMBCコンシューマーファイナンス関連の事案とは別の出来事です。

出典: 共同通信配信「りそな、カードローン情報漏えい グループで過去の6千件」（47NEWS・琉球新報デジタル・dメニューニュースなど配信、2026年11月6日）、読売新聞オンライン「りそな・関西みらい・みなとの3銀行、提携先の不正アクセスで解約済み顧客の個人情報5,935件漏えい」（Yahoo!ニュース配信、2026年11月7日1時13分配信、2026年11月7日確認）

VIPライナー（高速バス予約サイト、報道ベース・2026年11月5日追記）

高速バスの予約サイト「VIPライナー」（運営：株式会社平成エンタープライズ、埼玉県志木市）で、クレジットカード情報が流出した可能性があると複数の報道機関が報じています。日テレNEWS NNN（2026年11月4日）、ABEMA（2026年11月5日）、khb東日本放送（2026年11月4日）などが、2026年9月の高速バス予約が対象で、クレジットカード情報約6,949件（カード番号全体・セキュリティコードを含む）が漏えいした可能性があると一致して報じています。カード情報が不正に利用されたという相談も寄せられていると報じられています。

この事案は、運営会社である平成エンタープライズ自身の公式サイト・公式発表を、2026年11月4日の第一報以降、本記事の各回のリサーチ（11月4日・5日の計4回）で探しましたが、2026年11月5日20時台時点でも確認できていません。WRITE_ROUTINE.mdの「報道で知った話題の書き方」にもとづき、報道の内容は報道機関名・配信日がわかる形で記載し、当事者の公式発表が出ていないことも明記しています。公式発表が確認でき次第、対象項目・人数・問い合わせ窓口などを更新します。

VIPライナーを2026年9月に予約してクレジットカードで決済した人は、カード会社から届く利用明細を確認し、身に覚えのない請求があればカード会社に速やかに連絡してください。高速バス予約サイトそのものの事案でカード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめています。

出典: 日テレNEWS NNN「高速バス予約サイト『不正アクセス』でクレカ情報が約7000件漏えいか 不正利用の報告も 埼玉・志木市『平成エンタープライズ』」（2026年11月4日配信）・khb東日本放送「『VIPライナー』クレカ漏えいか 不正利用報告も…9月の高速バス予約が対象」（2026年11月4日配信）・ABEMA「『VIPライナー』クレカ漏えいか 不正利用報告も…9月の高速バス予約が対象」（2026年11月5日配信）・合同会社ロケットボーイズ配信記事「高速バス『VIPライナー』、サイバー攻撃でカード情報6,949件が漏えいの可能性 セキュリティコードも対象、不正利用の相談も」（2026年11月5日配信）（いずれも2026年11月5日確認。平成エンタープライズの公式発表ページは確認できていない）

ロート製薬（2026年11月6日発表・初報は9月11日）

ロート製薬株式会社は、通信販売のお客様対応に使う電話システムのアカウント情報が第三者に不正利用され、同システムと顧客管理システムに不正アクセスされたと発表しています。不審なアクセスを確認したのは2026年9月10日で、2026年9月11日に第一報、9月15日に調査状況を発表したあと、2026年11月6日に対象人数や対象項目を確定した発表を公開しました。

対象になった情報は、顧客管理システムでは氏名・住所・電話番号など（対象者により項目は異なる）で、対象者は2,797,545人。このうち、通信販売の電話対応で録音していた通話音声データ（対象期間は2025年9月10日〜2026年9月5日の一部期間）に、クレジットカードの番号と有効期限が含まれる対象者が9,715人いたと公式発表しています。セキュリティコードや暗証番号などの認証情報は取得・保存していないため、対象に含まれていません。

会社が把握している範囲では、本件に起因する不正利用などの二次被害は現時点で確認されていないとしています。対象者には郵送またはメールで個別に案内し、2026年9月以降のカード利用明細に身に覚えのない請求がないかの確認を呼びかけています。再発行費用を利用者に負担させないよう、会社からカード会社に依頼しているとも説明しています。あわせて、電話でのカード番号の聴取を停止し、書面による支払い手続きに切り替えたとしています。

製薬会社の通販事業の事案で、カード会社・銀行・証券会社そのものには当たらないため、本ページへの記載にとどめます。ロート製薬の通信販売を利用し、2025年9月〜2026年9月に電話で注文した人は、案内の有無にかかわらず、この期間のカード利用明細を確認してください。不審な電話・メール・SMSでカード番号や暗証番号を聞かれても応じないでください。問い合わせ窓口は0120-610-654（9時〜18時、土日祝日も対応）です。

出典: ロート製薬株式会社公式発表「不正アクセスによるお客様の個人データ漏えいに関するお詫びとお知らせ」（2026年11月6日発表、2026年11月6日確認）

エディオン（2026年11月6日発表・不正アクセスは11月5日）

株式会社エディオンは2026年11月6日、ECサイトを設置しているサーバーへの不正アクセスにより、顧客の個人情報の一部が漏えいした可能性があると発表しました。不正アクセスが確認されたのは2026年11月5日18時30分頃です。

原因は、ECサイトの稼働状況や通信処理を一時的に記録する「ログファイル」が格納されたサーバー領域の一部に対し、システムの脆弱性を突いた不正アクセスが行われたことです。お客様会員情報などを管理する顧客データベース本体への不正アクセス・情報漏えいは確認されていません。該当機能への不正な通信はすでに遮断し、現在、外部からの不正な操作は確認されていないとしています。

対象になった情報は3つに分かれます。

  1. 氏名（漢字・カナ）・メールアドレス・電話番号・生年月日・性別・住所・お客様番号が、複数の情報が紐づいた状態で記録されていたログとして最大4,131名
  2. 注文情報（氏名・お客様番号・注文番号・注文金額）と、別のログを照合できた場合の最大の情報として、氏名・お客様番号・注文番号・注文金額・メールアドレス・電話番号・郵便番号・住所コード（都道府県・市区町村まで）・クレジットカードの有効期限・エディオンのギフトカード（プリペイドカード）番号が最大9,554名
  3. 氏名やお客様番号と結びつかない状態で記録されていたメールアドレス・電話番号・クレジットカードの有効期限・郵便番号・住所コード・ギフトカード番号（件数は精査中）

1と2の両方に該当する人が重複して含まれるため、実際の対象人数は合計値の13,685名を下回るとしています。クレジットカード番号そのもの・ログインパスワードは、いずれの区分にも含まれていません。

エディオンは個人情報保護委員会に報告済みで、サーバーへのアクセス制御の強化など技術的対策を完了し、外部のセキュリティ専門機関から運営継続の安全性について評価を得ているとしています。EC サイトは引き続き通常どおり利用できます。家電量販店そのものの事案で、カード会社・銀行・証券会社には当たらないため、本ページへの記載にとどめます。エディオンの通販サイトを利用したことがある人は、同社を装った不審なメール・SMS・電話に注意してください。

出典: 株式会社エディオン公式発表「当社ECサイトへの不正アクセスによる個人情報漏洩の可能性に関するお詫びとお知らせ」（2026年11月6日発表、2026年11月8日確認）

なぜ同じ時期に漏えいが相次いでいるのか

複数の報道（日本経済新聞、沖縄タイムス社配信記事など、いずれも2026年10月6日配信）は、2026年9月末から短期間に企業・大学への不正アクセスが相次いでいると報じています。原因について、生成AIを使った攻撃の巧妙化を指摘する報道もありますが、各社の発表を見ると侵入の手口は委託先サーバーの認証情報の不正取得、ソフトウェアの脆弱性を悪用した侵入など、事案ごとに異なります。「1つの原因で一斉に起きている」と断定できる発表は、2026年10月6日時点では確認されていません。

※「相次いでいる背景」については報道で見方が分かれており、特定の原因に断定した書き方は避けています。今後、各社・捜査機関の発表で原因が明らかになれば更新します。

自分が対象か確かめる方法

  1. 該当サービスを使っているかを確認する：焼肉きんぐの公式アプリ、ミスターマックスのアプリ・ECサイト、nimocaの利用履歴照会サービス、ブックオフの会員サービスなど、対象サービスの利用・登録があるかをまず確かめる
  2. 対象者への通知を確認する：各社は対象者に個別のメール通知を進めている、または進めると発表している。登録しているメールアドレス宛ての連絡を確認する（迷惑メールフォルダも含めて）
  3. 公式サイトのお知らせページを確認する：各社とも専用の問い合わせ窓口を設けている。会員番号や登録情報を伝えて、自分が対象かどうかを確認できる場合がある
  4. SNS・まとめサイトの情報はそのまま信じない：「対象者リストが出回っている」といった未確認の投稿も見られるが、公式発表にない内容は確かめようがない。公式サイトと大手報道機関の情報を基準にする

今すぐやること

  1. 該当サービスのパスワードを変更する：メールアドレスが漏えいした事案では、同じパスワードを他のサービスでも使っている場合、まとめて変更する（パスワードの使い回しをやめる）
  2. クレジットカードの利用明細を確認する：直接カード情報が漏れたと発表された事案ではないが、不審な請求がないか、念のため直近の利用明細を確認する
  3. 口座番号が漏れた可能性がある場合（大和証券の事案など）は、口座を持つ金融機関に相談する：口座番号だけで不正に資金を動かすことは通常できないが、心配な場合は金融機関のコールセンターに確認する
  4. 不審なメール・SMS・電話に注意する：氏名・メールアドレス・電話番号が漏れると、漏えいした会社を名乗るフィッシングメールや、サポートを装った電話の材料にされることがある。メール内のリンクは開かず、公式サイトを自分でブックマークして確認する
  5. クレジットカードの不正利用に気づいたら、すぐにカード会社に連絡する：手順は[クレジットカードの不正利用に気づいたら｜最初にやることの順番と補償の条件](/posts/fusei-riyou-taisho/)で整理しています

氏名・電話番号・メールアドレスだけの漏えいでも、なりすましの連絡から少額決済を経て不正利用につながる「2段階方式」という手口が報じられています。仕組みと対策は[クレジットカード不正利用の新しい手口「2段階方式」とは｜情報漏えいから二次被害までの仕組みと今すぐやること](/posts/fusei-riyou-2dankai-houshiki-taisaku/)で整理しました。

お金への影響

このページの事案のうち、スカイチケットでは最大6,140人分のクレジットカード番号の流出が報じられています。グッドスマイルカンパニーでは、決済ページに仕掛けられた不正プログラムにより最大2,800人分でカード番号全16桁・セキュリティコードまで対象になった可能性があり、ツクツクと並んでこの一覧の中でもっとも注意が必要な事案です。ローソン（アプリ予約26件）・NewsPicks・アエナ・IDARE・Eストアー・GETTIIS（29,515件）・楽天トラベル（シンガポール子会社管理分、最大36,000件）・グッドスマイルカンパニー（過去にカード情報を登録した利用者、最大402,466枚）では、番号の一部（下4桁など）・名義・有効期限が対象です。番号の一部だけでは、それ単体で不正利用が成立するわけではありませんが、ほかの情報と組み合わされるリスクはゼロではありません。対象になりうる人は、利用明細のチェックを続けることが実質的な対策になります。番号そのものやセキュリティコードが流出した可能性がある人は、カード会社に連絡してカードの再発行を相談してください。セキュリティコードは暗証番号と違い自分で変更できないため、流出した場合の対処が変わります。詳しくはクレジットカードのセキュリティコードとは？暗証番号と違い自分で変更できない理由と、流出したときにやることで整理しています。

残りの事案では、クレジットカードの番号が漏えいしたと公式に発表されたものはありません。

ただし、氏名・メールアドレス・電話番号といった個人情報は、フィッシング詐欺や、別のサービスで使っているパスワードを試す「パスワードリスト攻撃」の材料になります。実際に被害が出るかどうかは、漏えいした情報の種類と、ご自身がパスワードを使い回しているかどうかで変わります。カード番号の一部が対象の人は利用明細の確認、それ以外の人は二次的な詐欺への警戒が重要な場面だと考えてください。

漏えいした情報の種類と、注意したいリスク 氏名・メール・電話番号 → フィッシング詐欺の材料に 口座番号・与信番号 → なりすましの確認材料に カード番号の一部 → ローソン・NewsPicksが対象 共通：パスワードの使い回しをやめる・不審なメールのリンクを開かない カード番号が対象の人は、利用明細をこまめに確認する
どの事案でも共通する対策はパスワードの使い回しをやめることと不審な連絡への注意。カード番号の一部が対象になった人は、利用明細の確認も必要

代わりの選択肢・比べるときのポイント

不正利用やフィッシングへの備えとして、普段使うクレジットカード・銀行口座の不正利用の検知体制や補償条件を見直すのも一つの方法です。

よくある質問

このページの事案のうち、クレジットカードの番号が漏えいしたものはありますか？

あります。もっとも対象項目が広いのはツクツク（TSUKU TSUKU株式会社）とグッドスマイルカンパニー（公式ショップ）です。ツクツクは、報道では2025年5月10日〜9月9日にサイトでカードを新規登録した利用者のうち最大19,115件で、カード番号全体とセキュリティコードまで対象になった可能性があるとされています。グッドスマイルカンパニーは、決済ページに仕掛けられた不正プログラムにより最大2,800人分でカード名義・番号全16桁・有効期限・セキュリティコードが対象になった可能性があると報じられています（過去にカード情報を登録した利用者は下4桁・有効期限のみが対象で、最大402,466枚）。スカイチケットでは、2026年10月16日に最大6,140人分のクレジットカード番号の流出が判明したと報じられています。ロート製薬は、通信販売の電話対応で録音した通話音声データから、クレジットカード番号・有効期限が含まれる対象者が9,715人いたと公式発表しています（セキュリティコードは取得・保存していないため対象外）。番号の一部（下4桁など）が対象になったのは、アエナ（下4桁・有効期限・名義）、IDARE（入金用カード番号の先頭6桁・下4桁）、Eストアー「ショップサーブ」（名義・先頭6桁・下4桁・有効期限、約209万6,900人）、GETTIIS（先頭4桁・末尾4桁・名義・有効期限を暗号化、29,515件）、楽天トラベル（海外ホテル予約サイトのシンガポール子会社管理分、発行者識別番号・下4桁・名義・有効期限・国際ブランド、最大36,000件）です。阪急阪神百貨店の通販サイトで保持するカード情報の一部は、漏えいの可能性を調査中です。このほか、ローソンの「ローソンアプリ予約」（26件）とNewsPicks（最大約36万2,000件、名義と下3〜4桁）では、クレジットカード番号の一部が漏えいした可能性があると発表・報道されています。JR東日本・ビューカードの大人の休日倶楽部会員（約39万件）は、番号そのものではなくクレジットカードの有効期限が対象です。エディオンも同様に、注文情報と組み合わせたログの一部で最大9,554名分のクレジットカードの有効期限が対象で、カード番号本体は対象外です。ほかの事案では、クレジットカードの決済情報そのものが漏えいしたと明記されたものはありません。ニモカの事案で漏えいした「カード番号」は、交通系ICカードnimoca自体の管理番号で、クレジットカードの番号とは別のものです。第一興商とブックオフの事案は、クレジットカード情報が対象外と公式に発表されています（第一興商は口座情報も対象外）。株式会社Joshin（会員情報など最大約600万件）も、決済情報を非保持化しているためクレジットカード情報は対象外と公式発表で明記されています。ユミルリンク・JR東海・JR西日本・JR九州の新幹線ネット予約も、クレジットカード情報が対象になったという発表・報道は確認できていません（会社のドメインを使うなりすましメールへの注意は呼びかけられています）。スカイチケットは当初3事案いずれもクレジットカード番号は対象外と発表されていましたが、2026年10月16日、別途最大6,140人分のクレジットカード番号の流出が新たに判明したと報じられています。業務管理システムの事案（17,780件）では返金先の銀行口座情報も対象になっています。

自分がこれらのサービスを使っていたかどうか覚えていません。どう確認すればいいですか？

各社とも対象者にメール通知を進めています。登録しているメールアドレス（迷惑メールフォルダも含む）を確認するほか、各社の公式サイトのお知らせページに記載された問い合わせ窓口に、会員番号や登録情報を伝えて確認する方法があります。

氏名やメールアドレスだけ漏れた場合でも、対策は必要ですか？

必要です。氏名・メールアドレス・電話番号だけでも、漏えいした会社を名乗るフィッシングメールや、サポートを装った不審な電話の材料にされることがあります。メール内のリンクを開かず、公式サイトを自分でブックマークして確認する習慣をつけてください。

複数のサービスで同時期に漏えいが起きているのはなぜですか？

生成AIを使った攻撃の巧妙化を指摘する報道もありますが、各社の発表を見ると侵入の手口は委託先サーバーの認証情報の不正取得やソフトウェアの脆弱性の悪用など、事案ごとに異なります。1つの原因で一斉に起きていると断定できる発表は、2026年10月6日時点では確認されていません。

これらの会社から「情報が漏えいした可能性があります」というメールが来ました。本物か確認する方法はありますか？

メール内のリンクはクリックせず、検索エンジンや公式サイトのブックマークから各社のお知らせページに直接アクセスして、同じ内容の発表が掲載されているかを確認してください。不安な場合は、メールのリンクではなく、公式サイトに記載された電話番号・問い合わせ窓口から確認するのが安全です。

これだけ漏えいが相次いでいますが、対象になった人はお金の補償を受けられますか？

タイムズカー（パーク24）は2026年10月23日、本人確認書類画像データの外部送信が確認された人（約146万件）に、お見舞金3,000円相当（現金または金券）を支払うと発表しました。それ以外の、この一覧で取り上げた会社では、2026年10月23日時点で金銭の補償についての案内は見当たりません。個人情報保護法が会社に義務づけているのは個人情報保護委員会への報告と本人への通知までで、金銭の補償は義務づけられていません。過去の判例（1人3,300円〜35,000円）や、タイムズカーのお見舞金・集団訴訟の状況は個人情報漏えいでお金はもらえるのか整理した記事で確認してください。

続報が出たら、この記事は更新されますか？

各社の続報や原因の公表があれば、この記事に追記して更新日を直します。最新の内容は各社の公式サイトのお知らせページも併せて確認してください。

まとめ・出典

2026年9月末から、不正アクセスによる情報漏えいの発表が相次いでいます。SMBCコンシューマーファイナンス（プロミスを展開する消費者金融大手。地方銀行・信用金庫・ネット銀行のカードローンの保証業務システムが不正アクセスを受け、氏名・運転免許証番号・勤務先〈年収等〉・保証額など最大320,118名分が対象。クレジットカード番号・セキュリティコードは対象外）が2026年11月5日に発表されました。アララ（運営：ペイクラウドホールディングス、メール配信サービス「アララ メッセージ」、最大約7,700万件・影響企業最大約380社。影響企業の一つビックカメラグループは最大約1,490万件が対象と報じられ、クレジットカード情報は対象外）が2026年11月2日に発表され、ノジマ（ノジマオンライン・中古端末買取サイト、約700万件、クレジットカード情報は非保持のため対象外）が2026年11月2日に新たに発表されました。このページでまとめた38件のうち、高速バス予約サイト「VIPライナー」（運営：平成エンタープライズ、報道ベースで最大6,949件のクレジットカード情報・セキュリティコードを含む可能性。運営会社自身の公式発表はまだ確認できていません）が2026年11月4日〜5日に報じられ、ロート製薬（通信販売の電話対応システムへの不正アクセスで、顧客管理システム対象者2,797,545人、このうち通話音声データにクレジットカード番号・有効期限が含まれる対象者9,715人。セキュリティコードは対象外）が2026年11月6日に発表されました。無印良品「MUJIアプリ」（良品計画、最大約2,726万件、退会者も含む、カード情報は対象外）・ANA（約3万7,800人分、一部パスポート番号を含む）・「みまもりCUBE」ECサイト（個人情報約5,400件・カード情報190件）が2026年10月30日に、クラブツーリズム（近畿日本ツーリストグループ、最大約432万件、パスポート・カード情報は対象外）が2026年10月31日に新たに報じられました。このうちANA・JALの事案は委託先アマデウス社への不正アクセスで、JAL分はクレジットカード番号・パスワードの漏えいはないと確認されています。ツクツク（TSUKU TSUKU株式会社）とグッドスマイルカンパニー（公式ショップ、最大2,800人でカード番号全16桁・セキュリティコードまで対象）ではカード番号全体とセキュリティコードまで対象になった可能性が報じられ、この一覧の中でもっとも対象項目が広い事案です。スカイチケットではクレジットカード番号の流出が報じられ、ローソン・NewsPicks・アエナ・IDARE・Eストアー・富士急ハイランド（一部の会員）・GETTIIS（29,515件）・モスフードサービス（会社発表、113万3,070件・プリペイドカードの残高情報含む）・楽天トラベル（シンガポール子会社管理分、最大36,000件）では番号の一部や残高情報などが対象になりました。株式会社Joshinは会員情報データベース最大約600万件に加え、リフォーム写真アップロードシステムで運転免許証画像・マイナンバーカード・口座番号など最大約800件が対象になりましたが、クレジットカード情報は非保持のため対象外です。ユミルリンク・JR東海・JR西日本・JR九州の新幹線ネット予約（延べ最大約5,162万件・約17万件）は、クレジットカード情報が対象になったという発表・報道は確認できていません。沖縄ツーリスト（OTS）は会社発表の時点で対象項目・人数が未確定です。阪急阪神百貨店は、カード情報の一部の漏えいの可能性を調査中です。リクルート「カーセンサーnet」「C-MATCH」は最大3,709,551件と規模が大きいものの、クレジットカードなどの決済情報は対象外と公式発表で明記されています。富士急ハイランドは不正ログインを受けた159件のみが対象で、規模としては小さい事案です。JR東日本・ビューカードの大人の休日倶楽部会員は、カードの有効期限が対象です。ブックオフは会員番号・氏名・住所・パスワードのハッシュ値など最大約643万件が対象ですが、クレジットカード情報は対象外と公式発表で明記されています。スカイチケットは最大約1,464万件規模でもっとも大きく、当初はクレジットカード番号は対象外とされていましたが、2026年10月16日に別途最大6,140人分のクレジットカード番号の流出が新たに判明し、2026年10月28日にはデータベースの古い複製が未削除だったことによる約93万6,000件のクレジットカード情報（大半はマスク済み）と返金先の銀行口座情報32,341件が新たに対象として発表されました。残りの事案では、クレジットカードの決済情報そのものが漏えいしたと公式に発表されたものはなく、口座番号・与信番号・交通系ICカード番号など、カードや口座に関わる情報が対象になった事案があります。

カード番号の一部が対象になりうる人は、利用明細をこまめに確認してください。カード情報が直接漏れていなくても、氏名やメールアドレスが漏れただけでフィッシング詐欺の材料にされます。対象サービスを使っていた人は、パスワードの使い回しをやめ、不審なメール・SMS・電話に注意してください。

出典：物語コーポレーション公式発表（2026年10月5日）／ミスターマックス・ホールディングス公式発表（2026年10月6日）／ITmedia NEWS「交通系IC『nimoca』ユーザー情報521件流出」（2026年10月6日配信）／日テレNEWS NNN・毎日新聞ほか複数報道（2026年10月6日配信）／ローソン公式発表（2026年10月8日）／ITmedia「NewsPicks、個人情報漏えいの可能性」（2026年10月8日配信）、日本経済新聞（2026年10月8日配信）、ITmedia「NewsPicks、メアド32.3万件やクレカ情報の一部36.2万件漏えいか」（2026年10月9日18:05公開・20時13分更新、20時12分訂正）／第一興商公式発表（2026年10月8日）、日本経済新聞・産経ニュース・NHKニュースなど複数報道（2026年10月8日〜9日配信）／東日本旅客鉄道株式会社公式発表（2026年10月9日）、ITmedia・TRAICY・NHKニュースなど複数報道（2026年10月9日配信）／ブックオフグループホールディングス公式発表（2026年10月9日）、NHKニュース・日本経済新聞・読売新聞・ITmedia・時事通信・INTERNET Watchなど複数報道（2026年10月9日配信）／株式会社アドベンチャー「不正アクセスによるお客様情報の流出に関するお詫びとお知らせ」（2026年10月9日公表・TDnet開示）、共同通信・ITmedia・読売新聞・NHKニュースなど複数報道（2026年10月9日配信）（いずれも2026年10月11日確認）／株式会社リクルート公式発表（2026年10月21日）、ITmedia NEWS（2026年10月21日配信）（いずれも2026年10月21日確認）／富士急ハイランド公式発表（2026年10月20日）、読売新聞オンライン・日本経済新聞・NHKニュース・TBS NEWS DIGなど複数報道（2026年10月21日配信）（いずれも2026年10月22日確認）／青森放送・Yahoo!ニュース「チケット購入サービス『GETTIIS』で会員情報など約30万件が漏えい 不正アクセスによる情報漏えい被害が拡大」、日テレNEWS NNN「チケット販売サービス『GETTIIS』でクレジットカード関連情報含む会員情報の約31万件が漏えい」（いずれも2026年10月22日配信、2026年10月23日確認）／パーク24「タイムズカーWebシステムへの不正アクセスによる個人情報漏えいに関するご報告と今後の対応について（第5報）」、朝日新聞「タイムズカー免許証画像流出『お見舞い金3千円』146万人が対象」（いずれも2026年10月23日発表・配信、2026年10月23日確認）／株式会社Joshin「不正アクセスによるシステム障害発生のお詫びとお知らせ（第2報）」（2026年10月26日公表・確認、初報は2026年10月17日公表）／日本経済新聞「楽天トラベルに不正アクセス、顧客情報260万件流出か クレカ3万件も」、ロイター「楽天トラベル、顧客情報260万件に不正アクセス クレジットカード情報3.6万件」（いずれも2026年10月26日配信、2026年10月27日確認）／日本経済新聞「ユミルリンクの情報漏洩、5162万件へ拡大 JR東海の新幹線予約も」、朝日新聞「新幹線予約の個人情報17万件流出 エクスプレス予約・スマートEX」（いずれも2026年10月26日配信、2026年10月27日確認）／ライフカード公式発表「『ツクツク!!!』における個人情報流出の可能性について」（2026年10月26日）、テレビ朝日系（ANN）「ECモール『ツクツク!!!』 クレカ情報大量漏洩 セキュリティーコード含む約2万件」、ABEMA TIMES「ECモール『ツクツク!!!』 セキュリティーコード含む情報漏洩」（いずれも2026年10月27日配信、2026年10月27日確認）／ITmedia NEWS「グッスマ、顧客の2800人のカード番号全16桁＋セキュリティコードなど流出か 下4桁は40万枚分」、ASCII.jp「グッドスマイルカンパニー、カード番号全桁とセキュリティコードが漏えいか 最大2800人に影響の可能性」、KAI-YOU「グッドスマイルカンパニー、クレカ番号全16桁が情報漏洩か 該当者は2800人のユーザー」、おたくま経済新聞「グッスマ公式ショップの決済ページに不正プログラム 一部利用者のカード番号全桁も漏えいの可能性」（いずれも2026年10月29日配信、2026年10月29日確認）

クラブツーリズムは2026年10月31日、自社サーバーの一部に不正アクセスがあり、会員情報など最大約432万件の個人情報が漏えいした可能性があると発表しました。パスポート情報・クレジットカード情報は対象に含まれないとされており、ホームページの一部機能を一時停止して詳細を調査しています。

出典: 読売新聞「クラブツーリズムに不正アクセス、会員情報４３２万件流出の可能性…ＨＰ機能を一時停止」、NHKニュース「クラブツーリズム 不正アクセスで約432万件の個人情報漏えいか」、朝日新聞「クラブツーリズムで約432万件の個人情報が漏れたか 不正アクセス」、テレ朝NEWS「クラブツーリズム 400万件超の個人情報が漏洩か 自社のサーバーの一部に不正アクセス」（いずれも2026年10月31日配信、2026年11月1日確認。クラブツーリズム自身の公式発表ページそのものは本記事執筆時点で確認できておらず、報道各社の記事をもとに記載）

この記事の内容は2026年11月6日時点で確認できた公式発表・報道にもとづきます。状況は変わる可能性があるため、最新の情報は各社の公式サイトで確認してください。

更新履歴：2026年11月8日（18時台）、エディオン（2026年11月6日発表、不正アクセスは11月5日18時30分頃。ECサイトのログファイル格納サーバー領域への不正アクセスで、顧客データベース本体への不正アクセスは確認されていない。氏名・メールアドレス・電話番号など最大4,131名、注文情報と組み合わせたクレジットカードの有効期限・ギフトカード番号などが最大9,554名〈重複を除く実対象は合計13,685名を下回る〉。クレジットカード番号本体・ログインパスワードは対象外。家電量販店そのものの事案のため本ページへの記載にとどめる。エディオン公式発表PDF〈edion.co.jp〉で確認）を追記しました。2026年11月7日（20時台）、鹿児島銀行・南日本銀行・鹿児島相互信用金庫・鹿児島信用金庫（4行庫が共同運営する決済サービス「Payどん」。決済の利用明細メール送信を委託していたアララ株式会社〈上記のアララの事案と同一社〉への不正アクセスにより、利用者・加盟店のメールアドレス最大25万7,639件が漏えいした可能性があると2026年10月28日に発表〈実際の流出件数は調査中〉。氏名・銀行口座情報・パスワードは対象外とされ、クレジットカード情報が対象になったという発表・報道は確認できていない。4行庫が共同運営するサービスの事案のため本ページに記載。MBC南日本放送・読売新聞オンライン・KKB鹿児島放送・鹿児島ニュースKTS〈いずれもYahoo!ニュース配信〉の報道で確認。鹿児島銀行自身の公式発表ページそのものは本記事執筆時点でクラウド環境から本文を確認できておらず、報道各社の記事をもとに記載）を追記しました。2026年11月6日（20時台）、ロート製薬（通信販売で使う電話システムのアカウント情報が不正利用され、顧客管理システム・通話音声データに不正アクセス。2026年9月10日に検知、9月11日に第一報、11月6日に対象人数・対象項目を確定した発表。顧客管理システムの対象者2,797,545人〈氏名・住所・電話番号など〉。通話音声データ〈2025年9月10日〜2026年9月5日の一部期間〉にクレジットカード番号・有効期限が含まれる対象者が9,715人。セキュリティコード・暗証番号は取得・保存していないため対象外。二次被害は現時点で確認されていない。製薬会社の通販事業の事案のため本ページへの記載にとどめる。公式発表〈rohto.co.jp〉で確認）を追記しました。2026年11月5日（20時台）、VIPライナー（高速バス予約サイト、運営：平成エンタープライズ。2026年11月4日〜5日の複数報道にもとづき、報道ベースで新規追記。2026年9月の高速バス予約が対象で、クレジットカード情報約6,949件〈番号全体・セキュリティコードを含む〉が漏えいした可能性があり、不正利用の相談も寄せられていると報じられている。運営会社自身の公式発表は、2026年11月4日の第一報以降この記事の4回のリサーチでも確認できなかったため、未発表であることを明記した上で、日テレNEWS NNN・khb東日本放送・ABEMA・合同会社ロケットボーイズ配信記事〈いずれも2026年11月4日〜5日配信〉にもとづき記載。高速バス予約サイトそのものの事案のため本ページへの記載にとどめる）を追記しました。2026年11月5日（18時台）、SMBCコンシューマーファイナンス（プロミスを展開する消費者金融大手。2026年11月5日発表、保証業務で使うシステムへの不正アクセスで、11月2日に検知・同日中にシステムを遮断。氏名・性別・生年月日・住所・電話番号・メールアドレス・運転免許証番号・勤務先情報〈電話番号・年収等〉・契約情報〈金融機関コード・顧客番号・保証額・保証開始日等〉が最大320,118名分対象。クレジットカード番号・セキュリティコード、本人確認書類の画像は対象外。地方銀行・信用金庫・ネット銀行のカードローンの保証会社を務めており、直接のプロミス利用者以外も対象になりうる。SMBCコンシューマーファイナンス公式発表のPDF、NHK・日本経済新聞・朝日新聞・テレ朝NEWS・時事通信・ニッキンONLINEなど多数の報道で確認）を追記しました。2026年11月5日（7時台）、無印良品「MUJIアプリ」（良品計画）の行を更新しました。11月4日の第二報で、2021年7月までにMUJI Card（クレディセゾン発行）に入会した約109万件でクレジットカード番号の全桁・MUJI Card ID・生年月日が対象に加わったことが判明（有効期限・セキュリティコードは対象外）。アプリ・ネットストアにカード情報を登録した利用者約120件はカード番号の先頭6桁・下2桁・名義が対象、ネットストア利用者約52万件（現時点）は氏名・住所・電話番号も対象。10月30日の第一報では「クレジットカード情報は含まれない」としていたが、この点が第二報で更新された。読売新聞・日本経済新聞・NHKニュース・朝日新聞など多数の報道で確認（良品計画の公式発表ページ〈ryohin-keikaku.jp〉はアクセス集中のため直接確認できず、報道各社の記事をもとに記載）。詳しい対象確認方法は[無印良品「MUJI Card」情報流出の記事](/posts/muji-card-joho-roei-2026-11/)にまとめた。2026年11月3日（18時台）、アララ（運営：ペイクラウドホールディングス。企業向けメール配信サービス「アララ メッセージ」への不正アクセスで、2026年11月2日発表時点でメールアドレスなど最大約7,700万件が流出したおそれ〈初報は2026年10月29日時点で約301万件〉。影響企業最大約380社、クレジットカード会社を装う不審メール最大713万通も判明。影響企業の一つビックカメラグループ〈ビックカメラ・コジマ・ソフマップ〉は最大約1,490万件のメールアドレスが対象と報じられている〈2026年11月3日時点でテレビ朝日系・ANNのみ報道〉。クレジットカード情報・ネット通販サイトのログイン情報は対象外。アララ・ビックカメラグループいずれも公式発表ページそのものはクラウド環境から確認できておらず、報道各社の記事をもとに記載）を追記しました。2026年11月3日（7時台）、ノジマ（ノジマオンライン・中古端末買取サイトを運営する家電量販店。2026年11月1日に不正アクセスを検知し、2026年11月2日に公式お知らせ「ノジマオンラインの不正アクセスに伴う個人情報漏えいに関するお詫びとお知らせ」で発表。ECサイトの会員管理システムへの不正アクセスで、退会者を除く約700万件の会員情報〈氏名・住所・電話番号・ログインID・暗号化されたパスワード・メールアドレスなど〉が対象。NHKニュース・朝日新聞・日本経済新聞・TBS NEWS DIG・GAME Watchなど多数の報道で確認。クレジットカード情報は非保持のため対象外と発表されている。家電量販店そのものの事案のため本ページへの記載にとどめる）を追記しました。2026年10月31日（20時台）、日本交通（タクシー大手。2026年10月30日発表、ハイヤー利用者・従業員など約29万人分の個人情報漏えいのおそれ。マイナンバーを含むと報じられ、クレジットカード情報の対象の有無は本日時点の報道では不明）とワールド（子会社「ティンパンアレイ」。2026年10月30日発表、約120万件の個人情報漏えいの可能性。クレジットカード情報は確認されていないと産経ニュースが報道）を追記しました。2026年10月31日（7時台）、無印良品「MUJIアプリ」（良品計画。2026年10月30日発表、退会済み利用者を含め最大約2,726万件の利用者情報が漏えいした可能性。読売新聞・日本経済新聞・朝日新聞・時事通信・ITmediaなど多数の報道で確認。クレジットカード情報は対象外）、ANA・JAL（旅客システムの委託先アマデウス社への不正アクセス。JALは2026年10月28日発表で約9万2,000人の予約情報が対象〈クレジットカード番号・パスワードは対象外と確認済み〉、ANAは2026年10月29日に約3万7,800人分の漏えいの可能性を発表、うち1,700人分はパスポート番号などを含むと報じられています。航空会社のため本ページへの記載にとどめます）、「みまもりCUBE」ECサイト（2026年10月30日報道、個人情報約5,400件・クレジットカード情報190件が漏えいしたおそれ。セキュリティ対策Lab・Infoseekの報道で確認）を追記しました。あわせて、GMOインターネットグループの「お名前.comデスクトップクラウド」への不正アクセス（2026年10月20日発覚、FX・証券の取引口座ログイン情報が対象、クレジットカード情報は対象外、GMOクリック証券等への直接の不正アクセスは確認されていない〈2026年10月30日の決算説明会、日本経済新聞〉）を、カード会社・銀行・証券会社そのものではないホスティング事業者の事案として注記しました。2026年10月29日（18時台）、グッドスマイルカンパニー（公式ショップ。2026年10月23日の初報では氏名・住所・メールアドレスと、カード情報はブランド・下4桁・有効期限のみが対象でしたが、2026年10月29日の続報で、決済ページに仕掛けられた不正プログラムにより最大2,800人分でカード名義・番号全16桁・有効期限・セキュリティコードが対象になった可能性があると判明。過去にカード情報を登録した利用者は下4桁・有効期限のみが対象で最大402,466枚。複数の報道にもとづき記載）を新たに追記しました。2026年10月29日（7時台）、スカイチケット（株式会社アドベンチャー）について、2026年10月28日の発表にもとづき、過去のデータベースの複製が未削除のまま残っていたことで新たに判明した返金先の銀行口座情報32,341件、クレジットカード情報約93万6,000件（うち12件は全桁が記録）、旅行保険の申込情報約11万8,000件を追記しました。同時に、ライフカード（カード会社そのものの事案。2026年10月28日発表、外部のメール配信サービス「ユミルリンク」への不正アクセスで顧客情報339,610件、うちETCカード番号の一部60件が対象）の詳細記事へのリンクを追加しました。2026年10月28日（18時台）、ユミルリンクの不正アクセスに関連して、エイチ・ツー・オー リテイリングの子会社「ペルソナ」（クレジットカード会社、会員メールアドレス最大28,052件。氏名・住所・クレジットカード番号は対象外）と野村證券「i-Port」（金融機関向けポートフォリオ管理ツール。運用資産・証券取引口座情報は対象外）を追記しました。りそなグループについての報道（読売新聞）は、他の報道・公式発表で確かめられていないため追記を見送りました。2026年10月27日（20時台）、ツクツク（TSUKU TSUKU株式会社。ECモール「ツクツク!!!」で2025年5月10日〜9月9日にカードを新規登録した利用者のうち最大19,115件で、カード番号全体・セキュリティコードが対象になった可能性。登録個人情報362,750件も漏えいの可能性を否定できず。ライフカードなど提携カード会社の案内と報道にもとづき記載）を追記しました。2026年10月27日、楽天トラベル（楽天グループ。海外ホテル予約サイトで最大約260万件、うちシンガポール子会社管理分でクレジットカード情報最大36,000件が対象。多言語予約サイトでも最大約86万件のメールアドレス等が対象）と、ユミルリンク・JR東海・JR西日本・JR九州（メール配信サービスへの不正アクセスで延べ最大約5,162万件に拡大、新幹線ネット予約会員約17万件のメールアドレス等が対象。クレジットカード情報が対象になったという発表・報道は確認できていません）を追記しました。2026年10月26日、株式会社Joshinについて、2026年10月26日公表の第2報にもとづき、会員情報データベース最大約600万件（氏名・住所・電話番号・会員番号）、サブスク最大約23万件、リフォーム写真アップロードシステムで運転免許証画像・マイナンバーカード・口座番号など最大約800件を追記しました（クレジットカード情報はJoshinが非保持のためいずれも対象外）。2026年10月25日、モスフードサービス（モスバーガー）について、2026年10月23日16時の会社の適時開示にもとづき、流出件数113万3,070件（流通済み約57万件・未流通約56万件）、対象はカード番号・6桁PIN・残高情報（氏名・住所・クレジットカード情報は対象外）、原因は委託先バリューデザインへの不正アクセスであることを確定情報に更新しました。2026年10月24日、モスフードサービス（モスバーガー、報道ベース。プリペイドカード「MOS CARD」情報が約57万〜113万件流出、残高情報も対象。公式発表は確認できず）と沖縄ツーリスト（OTS、会社発表では対象項目・人数未確定。報道では闇サイト販売情報との一致が最大73万人分と報じられる）を追記しました。2026年10月23日、タイムズカー（パーク24）が第5報で発表したお見舞金3,000円相当（対象約146万件、外部送信確認件数を約160万件から確定）と特別損失55億円の計上を追記しました。2026年10月22日、富士急ハイランド「CLUBフジQ」（不正ログイン159件。一部の会員はクレジットカード番号の一部・有効期限・名義が対象）を追記しました。2026年10月21日、リクルート「カーセンサーnet」「C-MATCH」（最大3,709,551件。クレジットカードなどの決済情報・ログインパスワードは対象外）を追記しました。2026年10月20日、IDARE・アエナ・Eストアー「ショップサーブ」・阪急阪神百貨店・ヤマト運輸（最終報）の詳細をこのページにまとめ、情報漏えいの事案の一覧ページにしました。2026年10月9日、ローソン（ローソンID約215万件・ローソンアプリ予約26件でカード番号の一部も流出）とNewsPicks（カード番号下3〜4桁も対象の可能性）を追記し、「カード決済情報の漏えいはない」としていた結論を更新しました。同日、第一興商（委託先端末のマルウェア感染で合計約872万件。クレジットカード情報・口座情報は対象外）も追記しました。同日18時台、NewsPicksの対象件数を第2報の内容（うちクレジットカード情報約36万2,000件）に更新し、JR東日本・ビューカード（えきねっと・大人の休日倶楽部・VIEW's NETで合計最大約609万件、大人の休日倶楽部はクレジットカード有効期限も対象）を追記しました。2026年10月10日、NewsPicksの対象件数について、ITmediaが「最大117万件」を各項目の重複カウントだったとして訂正したことを追記しました（正式な合計件数は報道で明らかにされていません）。2026年10月26日、タイムズカー（パーク24）について、FNNプライムオンラインが報じた、被害者側が損害賠償を求める集団訴訟を起こす「方針を固めた」とする続報を追記しました（提訴の時期・原告数・請求額は未確認）。