2026年7月サイバー攻撃の被害事例まとめ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月04日更新日時: 2026年08月04日

2026年7月は、ニチレイへの不正アクセスがケンタッキー・イオン・くら寿司など取引先約5,000社に波及し、食品物流業界のサプライチェーンリスクを改めて浮き彫りにしました。世界最大級のITコンサルティング企業Accentureでも不正アクセスが確認され、Azure関連の認証情報窃取が主張されています。KDDIでは6月の不正アクセス事案に関連し、パスワードの平文保存と22日間の公表遅延が総務省の行政指導の対象となりました。脆弱性面では、WordPress本体の「wp2shell」とSharePointの「CVE-2026-50522」がいずれもパッチ公開から短期間で実悪用され、公開直後のパッチ適用の重要性が改めて示されています。また、社長を騙りLINEやSNSのグループ作成へ誘導するなりすまし詐欺が、警察の公開アドレスまで標的にするなど手口を広げながら全国で継続しています。

2026年7月サイバー攻撃被害インシデント一覧

公表日	組織・対象名	被害の概要	件数・特記事項
7/30	楽天ドライブ	不審プッシュ通知の緊急調査	「支払い失敗」「アカウント停止」等を装う通知、原因未公表
7/29頃	佐賀県鳥栖市の企業	ニセ社長詐欺で500万円被害	SNSグループ作成型
7/20頃	SharePoint（CVE-2026-50522）	パッチ公開後にPoC公開・実悪用確認	CVSS 9.8、マシンキー窃取で持続的アクセス
7/20-21	山口県内法人	ニセ社長詐欺で500万円被害	LINEグループ作成型
7/17-18	WordPress本体（wp2shell）	緊急パッチ翌日にPoC拡散、実悪用兆候	CVE-2026-63030・CVE-2026-60137、未認証RCE
7/14	ファブリカHD子会社メディア4u（東証スタンダード:4193）	SMS送信システム不正アクセス	9万件超の情報漏洩
7/14	SharePoint（CVE-2026-50522）	Microsoftがパッチ公開	CVSS 9.8、オンプレミス版が対象
7/13	アフラック生命保険（第二報）	漏洩規模・発生日を訂正	438万人→440万人、6/15→6/10
7/13〜7/22	ニチレイ	不正アクセスによるシステム障害	取引先約5,000社へ波及、RansomHouse声明あり
7/9	沖縄県警本部長	なりすまし詐欺メールが公開アドレスに着弾	ニセ社長詐欺の手口が警察を標的に
7/6	Accenture	ハッカーによる不正アクセスを確認	35GB・Azure認証情報窃取の主張
7/1	朝日放送テレビ（グループ会社アイネックス）	従業員アカウント・クラウドサービス不正アクセス	関連情報が閲覧された可能性
7/1	Toyota GAZOO Racing	抽選結果メールで個人情報誤送信	GRヤリス特別仕様車の当選者情報
7月	KDDI	平文パスワード保存・公表遅延で行政指導	総務省が22日間の遅延を問題視
7月	Kubota North America	人事部門ファイルへ不正アクセス	SSN・運転免許証番号等が対象（3/16-4/20発生）

著名企業の不正アクセス・情報漏洩

ニチレイ、不正アクセスによるシステム障害が取引先約5,000社へ波及

株式会社ニチレイは2026年7月13日午前6時50分ごろ、同社グループのシステムに不正アクセスによる障害が発生していることを検知したと公表しました。ニチレイロジグループ各社が担う冷蔵倉庫の入出庫業務と、ニチレイフーズが担う冷凍食品の出荷業務が停止し、低温物流を利用する取引先約5,000社に影響が波及しました。日本ケンタッキー・フライド・チキンでは食材配送が滞り一部店舗で営業時間短縮や品切れが発生したほか、イオン・ドン・キホーテ・くら寿司・江崎グリコ・テーブルマーク等でも欠品や出荷停止が生じています。第2報（7/15）でサイバー攻撃を確認し個人情報保護委員会へ届出、第3報（7/17）で業務再開、第4報（7/22）で対象者への個別通知を実施中と公表しました。同日、ランサムウェアグループRansomHouseがダークウェブのリークサイトに犯行声明を掲載していますが、これは攻撃者側の一方的な主張でありニチレイによる確認は取れていません。基幹システムが停止した際の代替オペレーション（手作業での受発注切り替え等）をあらかじめ整備しておくことが、この業界に共通する構造的リスクへの対策として重要です。

▶ 詳細記事：ニチレイ、不正アクセスによるシステム障害

▶ 詳細記事：ニチレイグループへのサイバー攻撃まとめ

Accenture、ハッカーによる不正アクセスを確認

世界最大級のITコンサルティング企業Accentureは、サイバー犯罪フォーラムに投稿された犯行声明を受け、不正アクセスがあったことを2026年7月上旬に確認しました。ハンドルネーム「888」を名乗る脅威アクターが2026年7月6日、約35GBのソースコードやAzure関連の認証情報（RSA鍵・SSH鍵・Azure個人用アクセストークン・Azure Storageアクセスキー等）を窃取したと主張し、データの販売を持ちかけています。Accentureは本稿執筆時点で被害の具体的範囲や侵入経路を明らかにしていません。なお同一の脅威アクターは2024年6月にも従業員データの販売を試みており、Accentureはその際の主張（3万2,826人規模）を大きく誇張されたもの（実際は3人分）だったと反論した経緯があります。犯行声明の内容を鵜呑みにせず、企業側の公式発表を待って評価する姿勢がここでも重要です。

▶ 詳細記事：Accenture、ハッカーによる不正アクセスを確認

楽天ドライブ、不審プッシュ通知の緊急調査を発表

楽天ドライブ（Rakuten Drive）は2026年7月30日、同サービス公式を装う不審なプッシュ通知が一部ユーザーに表示される事象を確認し、緊急調査中と発表しました。確認されている通知の文言は「支払いの失敗」「アカウントの停止」「ファイルの削除」「アカウントのハッキング」「支払いの要求」等で、これらの通知を開いたり操作したりしないよう呼びかけています。原因や影響範囲は現時点で未公表です。大手ECサービスを装う偽通知は、正規サービスの信頼性を逆手に取る手口であり、利用者への注意喚起と並行して、公式チャネル以外からの通知に対する社内リテラシー教育が有効な対策となります。

▶ 詳細記事：楽天ドライブ、不審プッシュ通知の調査を緊急発表

アフラック生命保険、第二報で漏洩規模と発生日を訂正

アフラック生命保険株式会社は2026年7月13日、6月30日公表の不正アクセスによる情報漏えい事案について第二報を公表し、発生時期を当初の6月15日から6月10日へ、漏えい件数を約438万人から約440万人へ更新しました。対象顧客には7月10日からお詫びとお知らせの文書を順次発送しており、保険料振替口座情報が含まれる顧客への発送を優先しています。あわせて、口座情報が第三者の手に渡った場合の実害を防ぐため、関係する金融機関との連携を順次開始したことも明らかにしています。初期公表後の調査進展で数値が上方修正される展開は珍しくなく、第一報時点の数字を最終値として扱わない姿勢が、報道・分析の両面で必要です。

▶ 詳細記事：アフラック生命保険、不正アクセスによる情報漏えいの件数を約440万人に変更

朝日放送テレビ、グループ会社アイネックスで不正アクセス

朝日放送テレビは2026年7月1日、同一グループの株式会社アイネックスで、従業員アカウントおよびクラウドサービスへの第三者による不正アクセスが判明したと発表しました。関連情報が閲覧された可能性があるとしています。放送局本体ではなくグループ会社が起点となった点は、グループ全体でのセキュリティガバナンス統一の必要性を示す事例です。

▶ 詳細記事：朝日放送テレビ、グループ会社アイネックスで不正アクセス

ファブリカホールディングス子会社メディア4u、SMS送信システム不正アクセスで9万件超漏洩

東証スタンダード上場の株式会社ファブリカホールディングス（証券コード:4193）は2026年7月14日、連結子会社の株式会社メディア4uが提供するSMS送信システムにおいて第三者によるサイバー攻撃（不正アクセス）が確認されたと発表しました。不正アクセス自体は6月24日に確認されており、事実関係の確認・影響範囲の精査に時間を要したため、発生確認から約3週間後の公表となっています。9万件超の情報漏洩が確認されており、公表までのタイムラグの妥当性についても、上場企業として説明責任が問われる事案です。

▶ 詳細記事：ファブリカホールディングス子会社メディア4u、SMS送信システムへの不正アクセスで9万件超の情報漏洩

KDDI、パスワード平文保存と公表遅延で総務省が行政指導

総務省は2026年7月、KDDIが6月に公表したメールシステムへの不正アクセス事案について、パスワードの一部が平文で保存されていたことと、発覚から公表まで22日間の遅延があったことを問題視し、行政指導を実施しました。6月23日の当初公表時点では、漏洩したパスワードがすべてハッシュ化されていたのか一部平文が含まれていたのかは明示されておらず、今回の行政指導でこの点が是正対象として取り上げられた形です。漏洩規模の大きさだけでなく、パスワードの保管方式（ハッシュ化の詳細・平文の有無）と公表までのスピードの両方が、行政の評価ポイントになることを示す事例です。

▶ 詳細記事：総務省がKDDIに行政指導

Kubota North America、不正アクセスで従業員の個人情報漏洩の恐れ

農業機械大手クボタの米国統括会社Kubota North America Corporationは、2026年3月16日から4月20日にかけて自社ネットワークの一部システムへの不正アクセスが発生していたことを確認し、対象となった従業員および家族への通知を開始しました。人事部門のファイルが対象となり、SSN（社会保障番号）・運転免許証番号・給与振込口座情報等が漏洩した可能性があります。クボタグループ全体では120か国で事業を展開し従業員数52,000人超の大企業であり、海外子会社のセキュリティガバナンスが本社と同水準に統一されているかが、グローバル企業共通の課題として改めて示されています。

▶ 詳細記事：クボタ・ノースアメリカへの不正アクセス、従業員の個人情報漏洩の恐れ

Toyota GAZOO Racing、抽選結果メールで個人情報を誤送信

Toyota GAZOO Racingは、2026年7月1日15時ごろ「GRヤリス特別仕様車抽選結果のご連絡」メールにおいて、他の顧客の氏名・お客様番号・希望GRガレージ店舗を含む内容を一部の顧客に送信したと発表しました。対象は国内向けにそれぞれ100台限定の特別仕様車2車種の抽選結果連絡です。外部からの攻撃ではなく自社の送信プロセスの不備による漏洩であり、不正アクセスとは異なる形の情報漏洩リスクとして、メール送信時の宛先・本文チェック体制の再点検が求められます。

▶ 詳細記事：Toyota GAZOO Racing、GRヤリス特別仕様車の抽選結果メールで他人の個人情報を誤送信

BEC・なりすまし詐欺

山口県内法人、「ニセ社長詐欺」で500万円被害

宇部警察署によると、2026年7月20日、山口県内の法人の事務担当者宛に代表者を名乗る人物から「新しくメッセージアプリでグループを作成してください」というメールが届きました。事務担当者がLINEグループを作成し代表者と経理担当者2名を招待したところ、「きょう入金が1件ある」「500万円の振り込み手続きはできますか」といったやり取りが行われ、翌7月21日に経理担当者が指定口座へ500万円を振り込みました。この手口は全国で拡大しており、上場企業関連ではこれまでに9社でBEC・不正送金の被害総額が約20億9,000万円超に達しています。送金指示の正当性を電話など別経路で確認する二重確認プロセスの徹底が急務です。

▶ 詳細記事：山口県内の法人が「ニセ社長詐欺」で500万円の被害

沖縄県警本部長をかたる詐欺メール、県警の公開アドレスに着弾

沖縄県警生活安全企画課によると、2026年7月9日午前5時50分ごろ、井澤和生本部長になりすました人物から、振り込め詐欺の情報提供を呼びかける目的で県警がホームページ上に公開しているメールアドレスに「LINEグループの作成をお願いします」という内容のメールが届きました。標的が一般企業ではなく警察機関の公開アドレスであった点が特異であり、なりすまし詐欺の手口が対象を選ばず無差別に送りつけられている実態を示しています。公開されている問い合わせ先アドレスも標的になり得るという前提での注意喚起が必要です。

▶ 詳細記事：沖縄県警本部長をかたる詐欺メール

佐賀県鳥栖市の企業、ニセ社長詐欺で500万円被害

佐賀県鳥栖市の企業が、社長を騙る人物からのSNSグループ作成の指示をきっかけに500万円を騙し取られる被害が2026年7月に発生しました。山口県・大分県・沖縄県警の事例と共通して、社長になりすましたメールからLINEやSNSのグループ作成へ誘導し、経理担当者を巻き込んだ上で送金を指示するという同一パターンの手口が全国で継続的に確認されています。業種・規模を問わず、代表者をかたるメールが幅広い組織に送りつけられている状況を踏まえ、普段からの社内コミュニケーションと、不審なメールを即座に報告・相談する体制の整備が有効な対策です。

▶ 詳細記事：佐賀県鳥栖市の企業がニセ社長詐欺で500万円被害

実悪用されたソフトウェア脆弱性

WordPress本体の脆弱性「wp2shell」が公開翌日から実悪用

WordPressは2026年7月17日、緊急のセキュリティリリースとしてバージョン7.0.2を公開し、致命的な脆弱性1件（CVE-2026-63030、REST APIのバッチルート混同）と高深刻度の脆弱性1件（CVE-2026-60137、WP_QueryのSQLインジェクション）を修正しました。この2つを組み合わせた攻撃手法「wp2shell」は、プラグインを一切導入していない標準的なWordPressサイトに対しても、未認証の攻撃者が事前条件なしでリモートコード実行を達成できるというものです。翌18日には公開の概念実証（PoC）コードが多数出回り、セキュリティ企業watchTowrは実際の悪用の兆候もすでに確認していると報告しています。WordPressは世界のWebサイトの相当割合を占めるCMSであり、自動更新が有効化されていないサイトは早急な手動アップデートが必要です。

▶ 詳細記事：WordPress本体で危険度の高い脆弱性wp2shell、サイバー攻撃への悪用が発生

SharePointの深刻なRCE脆弱性CVE-2026-50522、PoC公開後に実悪用

Microsoftは2026年7月14日、オンプレミス版SharePoint Serverに存在する深刻なリモートコード実行脆弱性CVE-2026-50522を修正しました。CVSSスコアは最大値に近い9.8で、認証も利用者の操作も一切必要とせず、ネットワーク経由で攻撃者が任意のコードを実行できるものです。パッチ公開後の7月20日ごろには、この脆弱性を狙った実際の攻撃の試みが複数の研究者によって観測され、動作するPoCコードも公開されました。とりわけ深刻なのは、攻撃者がこの脆弱性を悪用してSharePointサーバーのマシンキーを窃取し、パッチ適用後も認証トークンを偽造して持続的なアクセスを維持しようとしている点です。2025年に大規模悪用された「ToolShell」（CVE-2025-53770）と同じ、デシリアライゼーションの不備とマシンキー窃取という手口の系譜にあり、オンプレミスのSharePointを運用する組織は、パッチ適用に加えてマシンキーのローテーションも検討する必要があります。

▶ 詳細記事：SharePointの深刻なRCE脆弱性CVE-2026-50522、PoC公開後に実際のサイバー攻撃への悪用を確認

まとめと対策のポイント

パッチ公開後、数日という短期間での実悪用を前提とした対応体制が必要です。 WordPress「wp2shell」もSharePoint「CVE-2026-50522」も、パッチ公開から1週間以内にPoCが出回り実悪用が確認されています。パッチ適用の優先順位付けと、緊急パッチ公開時の即日〜数日以内の適用体制をあらかじめ整備しておくことが重要です。

サプライチェーン全体への影響を見据えたインシデント対応計画が求められます。 ニチレイの事案のように、基幹システムの停止が自社にとどまらず取引先約5,000社にまで波及するケースがあります。基幹システム停止時の代替オペレーション（手作業での受発注切り替え等）をあらかじめ整備しておくことが、サプライチェーン上のリスク低減につながります。

なりすまし詐欺の手口の広がりに対する組織的な備えが必要です。 山口県・沖縄県警・佐賀県鳥栖市の事案が示すように、社長を騙りLINEやSNSのグループ作成へ誘導する手口は業種・組織の規模を問わず、警察の公開アドレスにまで送りつけられています。送金指示の正当性を電話など別経路で確認する二重確認プロセスの徹底と、不審なメールを即座に報告・相談できる社内体制の整備が基本対策です。