不正アクセス・情報漏洩相次ぐ｜大手企業6社の一次情報まとめ

2026年10月6日、GMOリサーチ＆AIの「infoQ」や「焼肉きんぐ」公式アプリ、楽天ドライブなど、
大手企業・著名サービスの不正アクセスと情報漏えいが相次いで報じられました。

ただし、報道された日と企業が公式発表した日は必ずしも同じではありません。
本記事では二次報道を根拠にせず、2026年10月4日から6日に公開された企業公式発表だけを確認して整理します。

本記事のスクリーンショット、件数、発表内容、URLは、すべて企業・団体の公式発表を出典としています。

不正アクセス・情報漏えいの公式発表が相次ぐ

今回確認できた事例は、Webサービスの脆弱性、管理用アカウントの認証情報、フィッシング、
委託先サーバーなど、侵入経路が一つではありません。

また、漏えい件数が非常に大きい事例だけでなく、メールアカウント一つの侵害から
なりすましメールや二次的な不正アクセスへ広がった事例もあります。

公式発表	企業・サービス	公式発表で確認できる主な影響
10月6日	楽天ドライブ	管理用アカウントの認証情報が不正取得され、アカウント情報や保存データが取得・閲覧
10月5日	GMOリサーチ＆AI「infoQ」	最大948,498件の個人情報を持ち出し、611件・2,869,500円分のポイントを不正交換
10月5日	物語コーポレーション「焼肉きんぐ」	公式アプリ登録情報10,788,963件の漏えい
10月5日	大和証券	委託先への不正アクセスにより約11万人、合計約22万件の情報が漏えいした可能性
10月4日	日本経済新聞社	Microsoft 365アカウントが攻撃され、なりすましメール約9,000件を送信
10月4日	日経BP	メールアカウントへの不正アクセスで26件の氏名・メールアドレスが漏えいした恐れ

「漏えいした」「持ち出された」と確認された事例と、現時点では「漏えいした可能性」とされる事例を、
同じ確度として扱うことはできません。以下では、各社の公式表現を区別して紹介します。

2026年10月の不正アクセス事例を一次情報で確認

楽天ドライブ｜管理用アカウントの認証情報が不正取得

楽天ドライブは、一部システムの管理用アカウントの認証情報を第三者が不正取得し、
システムへアクセスしたことを公式に発表しました。

公式発表では、687件のアカウント名など、313件の暗号化されたパスワードを含む情報、
さらに15,382件のアカウントで保存されていた写真・文書などのデータが取得・閲覧されたとしています。

同社は不正アクセス経路の遮断、監視体制の強化、アプリのダウンロードと新規アカウント発行の制限、
対象者への通知などを実施しました。発表時点で二次被害は確認されていません。

GMO「infoQ」｜最大約94.8万件とポイント不正交換

GMOリサーチ＆AIは、アンケートサイト「infoQ」が第三者から不正アクセスを受け、
会員の個人情報が外部へ持ち出されたことを確認したと発表しました。

対象は最大948,498件で、氏名、性別、生年月日、メールアドレス、住所、電話番号、
暗号化されたパスワード、会員ID、保有ポイント数や利用状況などが含まれます。

さらに611件、合計2,869,500円分のポイントが本人の意思によらずAmazonギフトコードへ交換されました。
同社は不正交換されたポイントを全額補填するとしています。

原因については、サイトで使用していたソフトウェアの脆弱性が悪用されたことを確認したと公表しています。
「更新を後回しにしない」という基本対策の重要性が改めて分かる事例です。

焼肉きんぐ公式アプリ｜約1,079万件の会員情報が漏えい

物語コーポレーションは、「焼肉きんぐ」公式アプリの会員管理システムが第三者から不正アクセスを受け、
10,808,784件の登録情報のうち10,788,963件が漏えいしたと発表しました。

漏えいした情報は、会員番号、氏名、メールアドレス、電話番号です。
ログインパスワード、生年月日、性別、郵便番号、保有ポイントを含む店舗利用履歴は漏えいしていないとしています。

クレジットカードなどの決済情報は同社が保持していないため、今回の対象には含まれません。
原因と不正アクセスが可能となった経緯は、発表時点で詳細調査中です。

大和証券｜委託先経由で約22万件が漏えいした可能性

大和証券は、インターネット経由の問い合わせ内容の管理などに利用していた委託先サービスが
不正アクセスを受け、顧客情報が不正取得された形跡が確認されたと発表しました。

氏名、メールアドレス、口座番号などを含む約11万人分の情報が漏えいした可能性があります。
個人を特定できない問い合わせ情報などを合わせると、約22万件です。

不正アクセスは委託先サーバーに対して行われ、大和証券のシステムへの侵入は確認されていません。
また、対象情報だけでは証券口座へのアクセスや取引はできず、発表時点で不正取引も確認されていません。

自社システムを守るだけでなく、問い合わせ管理、メール配信、予約管理などの委託先も含めて確認する必要があります。

日本経済新聞社｜なりすましメール約9,000件を送信

日本経済新聞社は、社員が利用していたMicrosoft 365のアカウントがサイバー攻撃を受け、
なりすましメール約9,000件が送信されたと発表しました。

第三者が不正ログインしたとみられ、送信先のメールアドレスや氏名、一部メール本文が漏えいした可能性があります。
同社は個人情報保護委員会へ報告し、影響範囲と漏えい件数を調査しています。

社内や取材先とのやり取りがある相手へ悪性サイトに誘導するメールが送られた点は、
一つのアカウント侵害が取引先や関係者へ連鎖する危険を示しています。

日経BP｜フィッシングを起点にメール情報26件が漏えいした恐れ

日経BPは、従業員のメールアカウントへ不正アクセスがあり、
送受信先の個人名とメールアドレス26件が漏えいした恐れがあると発表しました。

不正アクセスされた従業員は、日本経済新聞社社員のメールアドレスから届いたフィッシングメールをきっかけに、
認証情報を入手されたと説明されています。

件数の大小だけで深刻度を判断してはいけません。正規の関係者を装ったメールは信用されやすく、
認証情報の入力や添付ファイルの実行を誘導し、被害を次の組織へ広げる恐れがあります。

大手企業でも不正アクセスを防ぎきれない理由

大手企業はセキュリティ予算も人員も多いはずですが、それでも被害は起きます。
今回の公式発表を並べると、攻撃者が狙う場所は社内サーバーだけではないことが分かります。

IPAの「情報セキュリティ10大脅威 2026」でも、組織向け脅威の1位はランサム攻撃、
2位はサプライチェーンや委託先を狙った攻撃、4位はシステムの脆弱性を悪用した攻撃です。

ランサム攻撃と委託先攻撃は4年連続で1位・2位に選ばれています。
攻撃が一時的な流行ではなく、継続して備えるべき経営課題であることを示しています。

セキュリティは「一度設定したら終わり」ではありません。更新、監視、バックアップ、権限管理、委託先確認を継続する運用が必要です。

あなたのWordPressサイトは大丈夫？今すぐ確認する項目

企業サイトや店舗サイトでは、WordPress本体だけでなく、プラグイン、テーマ、PHP、データベース、
管理者アカウント、サーバー、メールまで複数の要素がつながっています。

次の項目で一つでも確認できないものがあれば、現在の運用を見直すサインです。

更新だけ、バックアップだけ、セキュリティプラグインだけでは十分とは限りません。
たとえばバックアップが感染後のデータで上書きされていれば、必要な時点へ戻せないことがあります。

また、脆弱性が公表されてから攻撃されるまでの時間が短い場合、
月に一度だけ確認する運用では対応が間に合わない可能性もあります。

不正アクセス対策をクイックレスキュー365へ任せる

「自社サイトが安全か判断できない」「更新やバックアップまで手が回らない」場合は、
WordPressの復旧・保守・セキュリティを継続して任せられるクイックレスキュー365をご検討ください。

クイックレスキュー365は、単体のプラグインではありません。
WordPressのトラブル復旧、保守、バックアップ、更新、セキュリティ対策を専門家へまとめて任せる月額サービスです。

月額8,800円（税込）で、1申込みにつき1サイトが対象です。最低利用期間は6ヶ月で、
その後は1ヶ月単位で解約できます。すでにトラブルが起きているサイトも相談できます。

トラブルが起きてから復旧業者を探すのではなく、平常時から復旧できる状態を維持することが重要です。

不正アクセスと情報漏えいに関するよくある質問

大手企業でも攻撃されるなら、中小企業の対策に意味はありますか？

あります。完全にゼロへはできなくても、更新、認証強化、不要アカウント削除、監視、バックアップにより、侵入される可能性と被害範囲を下げられます。復旧時間を短くする準備も重要です。

セキュリティプラグインを入れれば十分ですか？

プラグインは有効な対策の一つですが、それだけでは十分とは限りません。WordPress本体やPHPの更新、権限管理、サーバー設定、バックアップ、異常監視を組み合わせて運用します。

不正アクセスの疑いがあるとき、最初に何をすべきですか？

むやみに更新や削除を繰り返す前に、証拠となるログとファイルを保全し、被害拡大を防ぐためにアクセス経路を遮断します。運営中サイトは業務影響もあるため、専門家へ早めに相談してください。

この記事の情報源は報道記事ですか？

いいえ。記事中の事例、件数、スクリーンショット、URLは、各企業およびIPAが公開した一次情報だけを使用しています。二次報道は出典にしていません。

大手企業の被害を他人事にせずサイトを点検しよう

2026年10月上旬だけでも、Webサービスの脆弱性、管理用アカウント、フィッシング、委託先など、
異なる経路から不正アクセスと情報漏えいが公表されました。

企業の規模が大きいから被害に遭うのではなく、インターネットへ公開されたシステム、認証情報、
委託先との接続がある限り、どのサイトにも攻撃対象となる可能性があります。

あなたのWordPressサイトは、今日マルウェアへ感染しても検知できますか。
明日サイトが表示されなくなっても、正常なバックアップから復元できますか。

答えに迷う場合は、トラブルが起きる前に運用体制を見直してください。
更新・バックアップ・セキュリティ対策・緊急復旧までまとめて任せたい方は、クイックレスキュー365へご相談ください。