2026年7月個人情報漏洩の事例まとめ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月17日更新日時: 2026年08月17日

2026年7月は、認証・認可の設計不備、外部サービスやグループ会社への不正アクセス、システム不具合、メール誤送信、内部不正など、異なる原因から個人情報漏洩や漏洩の恐れが相次いで公表されました。

タカラトミーの「デュエル・マスターズサポートアプリ」では、認証機能の不備により最大約15万5,000人の個人情報が第三者から閲覧できる可能性がありました。生命保険協会の生命保険契約照会システムでも、約3万7,000件の利用者情報が特定の操作によって閲覧可能な状態だったことが判明しています。

一方、ムラタメイクでは親会社の村田製作所への不正アクセスが子会社の保険契約者情報に波及しました。加賀ソルネットでは、教育機関向けに利用されていた学生用PC販売サイトへの不正アクセスで最大約17万件が影響を受ける可能性が公表されています。

佐川急便「スマートクラブ」の誤表示やToyota GAZOO Racingのメール誤送信のように、外部からのサイバー攻撃を伴わない事案も発生しました。2026年7月の事例からは、Webアプリケーションの設計、委託先・グループ会社管理、システム変更時の品質管理、内部不正対策を個別ではなく並行して進める必要があることが分かります。

2026年7月個人情報漏洩のサマリー

タカラトミーでは、アプリの認証機能の不備により最大約15万5,000人の個人情報が閲覧可能となる恐れが公表されました。
生命保険協会では、契約照会システムの約3万7,000件が特定の操作で閲覧できる状態だったことが判明しました。
加賀ソルネットでは、学生向けPC販売サイトへの不正アクセスで最大約17万件の登録情報が漏洩した可能性があります。
ムラタメイクでは、親会社の村田製作所への不正アクセスが子会社の顧客情報へ波及しました。
佐川急便「スマートクラブ」では、システム不具合により約7万人分の情報が別の利用者へ表示される恐れが生じました。
Toyota GAZOO Racingでは、抽選結果メールに別の顧客情報を含めて送信する誤送信が発生しました。
「ヨプの王豚塩焼赤坂店」では、従業員によるスキミングでカード情報284件が窃取されていたことが公表されました。

2026年7月個人情報漏洩事例インシデント一覧

下表は、2026年7月に公表・続報があった主要な個人情報漏洩事例をまとめたものです。

公表日	組織・対象名	被害の概要	件数・特記事項
7/29	生命保険協会	契約照会システムで利用者情報が閲覧可能な状態	約3.7万件、WEB申請を停止
7/28	タカラトミー	「デュエル・マスターズサポートアプリ」の認証機能に不備	最大約15.5万人
7/24	JR東海高島屋	アルバイトスタッフ管理システムへの不正アクセスの追加調査	対象7,582人、外部流出の痕跡なし
7/22	ニチレイ	不正アクセス事案で対象者への個別通知を実施	既報の事案に関する第4報
7/19	佐川急便「スマートクラブ」	システム不具合による顧客情報の誤表示	約7万人、サイバー攻撃ではない
7/14	ファブリカHD子会社メディア4u	SMS送信システムへの不正アクセス	9万件超
7/13	アフラック生命保険（第二報）	個人情報漏洩の規模・発生日を訂正	約440万人
7/10	ムラタメイク	親会社の村田製作所への不正アクセスが波及	自動車保険契約者情報
7/2	加賀ソルネット	学生向けPC販売サイトへの不正アクセス	最大約17万件、発生は6/22
7/1	朝日放送テレビ・アイネックス	グループ会社の従業員アカウント・クラウドサービスへ不正アクセス	従業員関連情報が閲覧された可能性
7/1	Toyota GAZOO Racing	抽選結果メールの誤送信	他の顧客の氏名・お客様番号など
7月	KDDI	メールシステム事案を巡り総務省が行政指導	パスワード管理、公表までの対応が問題に
7月	Kubota North America	人事部門のファイルへ不正アクセス	SSNなど、3/16～4/20に発生
7月	「ヨプの王豚塩焼赤坂店」	従業員によるスキミング	カード情報284件、発覚から公表まで約1年9カ月

開発・設計段階の不備による個人情報漏洩

2026年7月は、不正アクセスによる侵入だけでなく、アプリケーションやWebシステムの認証・認可処理そのものに起因する事例が目立ちました。

タカラトミー、アプリ認証の不備で最大約15万5,000人が閲覧可能な状態に

株式会社タカラトミーは2026年7月28日、「デュエル・マスターズサポートアプリ」のユーザー認証機能に技術的な不備があり、特定の条件下で第三者が別の利用者の個人情報を閲覧できる可能性があったと公表しました。

対象は最大約15万5,000人です。原因は開発段階における認証機能の設計・実装上の不備とされています。

攻撃に必要だった具体的な条件や、認証を完全に回避できる状態だったのか、有効なアカウントが必要だったのかといった詳細は公表されていません。また、公表時点で利用者にパスワード変更などの対応は求めておらず、個人情報保護委員会への報告状況も公表資料では確認できませんでした。

今回の事案は、外部からシステムへ侵入されなくても、利用者ごとのアクセス制御が適切に実装されていなければ、大規模な情報閲覧につながり得ることを示す事例です。

タカラトミーのデュエル・マスターズアプリに認証脆弱性で最大約15万5,000人の個人情報漏洩の恐れ

生命保険協会、契約照会システムで約3万7,000件が閲覧可能な状態

生命保険協会は2026年7月29日、生命保険契約照会システムに保存されていた一部の利用者情報が、外部から特定の操作を行うことで閲覧できる状態だったと公表しました。

問題は外部のセキュリティ専門機関からの指摘で判明しました。対象は約3万7,000件で、氏名、住所、電話番号、メールアドレスが含まれます。

生命保険の契約内容や保険料振替口座情報は対象外で、第三者による不正取得や不正利用も公表時点では確認されていません。生命保険協会は安全性を確認するまでWEB申請を停止し、書面での申請を案内しています。

複数の生命保険会社が利用する業界共通の仕組みで問題が起きた場合、単独企業のシステム障害より関係者が広がりやすくなります。共通基盤についても、通常のWebサービスと同様に認証・認可処理を継続的に検証する必要があります。

生命保険協会の契約照会システムで約3万7,000件の個人情報漏洩の恐れ

不正アクセスによる個人情報漏洩と調査範囲の拡大

JR東海高島屋、不正アクセスの対象者が7,582人に拡大

株式会社ジェイアール東海髙島屋は2026年7月24日、アルバイトスタッフ管理システムへの不正アクセスについて追加調査の結果を公表しました。

5月の当初発表では、過去5年分の最大1,338件が対象とされていました。その後の調査で2015年9月13日以降の操作ログにも個人情報が残っていたことが判明し、対象者は合計7,582人となりました。

外部専門機関による調査では、個人情報が外部へ流出した痕跡や事実は確認されていません。7,582人は漏洩が確定した人数ではなく、影響を受けた可能性がある対象者数です。

同社は対象者に対し、当該システムで使用したパスワードの変更や、緊急連絡先・紹介者への注意喚起を求めています。

インシデント発生後の調査では、現在稼働しているデータだけでなく、古いログやバックアップに残る情報まで確認対象になることがあります。保存期間が長いシステムほど、侵害時の影響範囲も広がる可能性があります。

ジェイアール東海高島屋、不正アクセスの対象件数が7,582人に拡大

加賀ソルネット、学生向けPC販売サイトで最大約17万件漏洩の恐れ

加賀電子株式会社の子会社である加賀ソルネット株式会社が運営する学生向けPC販売ECサイト「アカデミコナビ」では、2026年6月22日に第三者による不正アクセスが発生しました。

最大約17万件のユーザー登録情報が漏洩した可能性があり、氏名、住所、連絡先、メールアドレス、暗号化されたマイページパスワードが対象です。クレジットカードなどの決済情報は決済代行事業者が保持しているため、対象外とされています。

影響対象は2021年10月から2026年4月までにアカデミコナビへ登録した利用者で、複数の教育機関が在学生や保護者へ注意喚起を行いました。

教育機関が学生情報を加賀ソルネットへ直接提供していた事案ではなく、学生自身が販売サイトへ登録した情報が対象です。ただし、大学や専門学校が学生向けPCの購入先として外部ECサイトを案内する運用では、委託・提携先のセキュリティ事故が学生へ直接影響します。

加賀ソルネット、学生向けPC販売サイトアカデミコナビに不正アクセス

グループ会社・委託先を経由した情報漏洩

ムラタメイク、村田製作所への不正アクセスが保険契約者情報へ波及

株式会社ムラタメイクは2026年7月10日、親会社である村田製作所のIT環境への不正アクセスにより、同社が扱う自動車保険契約者の個人情報の一部が外部へ漏洩したことが判明したと公表しました。

対象となった可能性があるのは、2015年3月末、2020年1月末、2021年7月末時点の自動車保険契約に関する氏名、証券番号、車両番号、契約保険会社、保険始期日・満期日です。

直近の契約情報や住所、電話番号、金融機関口座情報、クレジットカード情報は対象に含まれていません。

村田製作所は2026年2月28日に不正アクセスの可能性を認識し、3月1日から本格調査を開始しました。4月27日の第三報では約8.8万件の個人情報が不正取得された恐れがあると公表しています。

グループ会社間でIT基盤やデータを共有している場合、親会社への攻撃が子会社の顧客情報へ波及することがあります。侵害されたシステムだけを見るのではなく、そのシステムにどの会社・部門のデータが保存されていたかまで確認する必要があります。

ムラタメイク、村田製作所への不正アクセスに伴い自動車保険契約者の個人情報漏えいが判明

朝日放送テレビ、グループ会社アイネックスで不正アクセス

朝日放送テレビは2026年7月1日、グループ会社の株式会社アイネックスで、従業員アカウントとクラウドサービスへの第三者による不正アクセスが判明したと公表しました。

関連情報が閲覧された可能性があるとしています。

本体ではなくグループ会社のアカウントが侵害の起点となった事案で、グループ各社で認証設定やクラウド利用ルールが異なる場合、セキュリティ水準の差が全体のリスクになります。

朝日放送テレビ、グループ会社アイネックスで不正アクセス

ニチレイ、個人情報漏洩の可能性がある対象者へ個別通知

ニチレイは2026年7月22日の第4報で、7月13日に発生した不正アクセスによるシステム障害に関連し、個人情報漏洩の可能性がある対象者への個別通知を進めていることを明らかにしました。

本件では取引先約5,000社に業務影響が及びました。システムの復旧を進める一方で、漏洩の可能性がある情報の特定と対象者への通知も並行して行われています。

大規模なサイバー攻撃では、業務復旧と情報漏洩調査は同じ速度では進みません。システムが再開しても、対象データの確認や本人通知が長期化することがあります。

ニチレイグループへのサイバー攻撃まとめ

システム不具合・誤送信による個人情報漏洩

佐川急便「スマートクラブ」、システム不具合で約7万人に誤表示

佐川急便株式会社は2026年7月19日、会員制Webサービス「スマートクラブ」で、配達予定通知メールの一部に本来とは異なる顧客の氏名、メールアドレス、お問い合せ送り状番号が表示される事象が発生したと公表しました。

事象は7月15日夕方頃に確認され、原因はシステムの不具合でした。第三者による不正アクセスやサイバー攻撃ではないとしています。

住所やクレジットカード情報は対象外です。

外部攻撃がなくても、顧客と表示データを結び付ける処理に不具合があれば、大規模な個人情報漏洩につながります。システム改修時は機能が正常に動くかだけでなく、別利用者の情報が表示されないかを確認するテストが必要です。

佐川急便「スマートクラブ」、システム不具合で約7万人の個人情報漏洩の恐れ

Toyota GAZOO Racing、抽選結果メールで別の顧客情報を誤送信

Toyota GAZOO Racingは2026年7月1日15時頃、「GRヤリス特別仕様車抽選結果のご連絡」メールで、他の顧客の氏名、お客様番号、希望GRガレージ店舗を含む内容を一部の顧客へ送信したと公表しました。

外部からの攻撃ではなく、メール送信時の処理で発生した事案です。

大量配信メールでは、宛先だけでなく本文へ差し込む顧客情報が正しい受信者と紐付いているかを確認する必要があります。配信前のテストデータ確認や少数配信による検証、送信処理の自動チェックが事故防止につながります。

Toyota GAZOO Racing、GRヤリス特別仕様車の抽選結果メールで他人の個人情報を誤送信

KDDI、パスワード管理と公表までの対応を巡り総務省が行政指導

総務省は2026年7月、KDDIが6月に公表したメールシステムへの不正アクセス事案について行政指導を行いました。

本件では、パスワードの一部が平文で保存されていたことに加え、事案の把握から公表まで22日間を要した点が問題となりました。

個人情報漏洩への対応では、侵入を防ぐ技術だけでなく、認証情報の保存方式や、事案判明後にどの時点で利用者へ知らせるかも評価対象になります。

総務省がKDDIに行政指導

内部不正による個人情報漏洩

「ヨプの王豚塩焼赤坂店」、従業員がカード情報284件をスキミング

「ヨプの王豚塩焼赤坂店」では、従業員がスキミング機器を使用し、顧客のカード情報284件を窃取していたことが公表されました。

発覚から公表までは約1年9カ月を要しています。

スキミングは正規の決済業務に紛れて行われるため、ネットワークやシステムのログ監視だけで検知することは困難です。決済端末周辺の物理点検、操作権限の管理、不審な行為を報告できる内部通報制度など、店舗運営を含めた対策が必要になります。

「ヨプの王豚塩焼赤坂店」従業員がスキミング機器でカード情報284件を窃取

2026年7月の事例から確認したい3つのポイント

2026年7月の事例では、侵入経路や原因が一つに偏っていません。Webアプリケーションの設計不備、グループ会社・委託先への不正アクセス、システム不具合、メール誤送信、内部不正がそれぞれ個人情報漏洩につながっています。

1つ目は、認証だけでなく認可まで含めた設計レビューです。ログインできるかどうかだけではなく、ログイン後に本人以外のデータへアクセスできないかを確認する必要があります。タカラトミーや生命保険協会の事例では、利用者ごとのデータ分離を開発・テスト段階で確認することの必要性が表れました。

2つ目は、グループ会社・委託先を含めたデータ所在の把握です。ムラタメイクや加賀ソルネットのように、自社以外のシステムで発生したインシデントが顧客や利用者へ影響する事例は続いています。委託先で事故が起きた際に、自社に関係するデータが保存されているかを短時間で確認できる状態にしておく必要があります。

3つ目は、サイバー攻撃を前提としない漏洩対策です。佐川急便やToyota GAZOO Racingの事例では、外部からの侵入がなくても大規模な個人情報漏洩につながりました。システム変更時のテスト、メール配信前の検証、決済端末の物理管理など、通常業務の品質管理も情報セキュリティ対策の一部として扱う必要があります。

2026年7月に公表された事例は、個人情報漏洩が「サイバー攻撃を受けたときだけ起きる事故」ではないことを示しています。自社システムの設計、外部サービスとの接続、グループ会社とのデータ共有、従業員による操作まで含め、個人情報がどこで扱われ、どこから漏れる可能性があるかを整理しておくことが対策の出発点になります。

2026年7月個人情報漏洩の事例まとめ

2026年7月個人情報漏洩のサマリー

2026年7月個人情報漏洩事例インシデント一覧