2026年8月 サイバー攻撃の被害 事例 まとめ

2026年8月は、EC構築サービス「ショップサーブ」で最大885万3,839件、さくらインターネットの「さくらのレンタルサーバ」で136万563アカウントと、大手ホスティング・EC基盤事業者の不正アクセスが立て続けに大規模な数字を叩き出した月でした。KDDIウェブコミュニケーションズが公表した125万543件は、6月に発覚したKDDIのメールシステム不正アクセス事案の一角を占めるCPIサービスの最終報にあたり、一つの事案が個社ごとの続報として何か月にもわたって数字を更新し続ける構図が改めて浮き彫りになっています。脆弱性面では、Microsoftが同一週にAzure・Entra・Teamsをまたいでスコア10.0を含む脆弱性を立て続けに修正したほか、北朝鮮系のLazarus Groupが偽の求人でエンジニアに接触し、パッチ公開前からゼロデイを悪用して防衛関連企業を狙っていたことも判明しました。ハッカーがマクドナルドなど9社のデータをまとめて販売すると主張した一件は、Microsoft基盤そのものの侵害と断定できない点も含めて、情報の受け止め方に注意が必要な事案です。

2026年に発生した主要なサイバー攻撃を年間で確認したい方は「2026年 サイバー攻撃・情報漏洩の最新事例」をご覧ください。過去の代表的な攻撃事例を含めて確認したい方は「サイバー攻撃の事例」をご覧ください。

2026年8月 サイバー攻撃被害インシデント一覧

---

大手ホスティング・EC基盤事業者への攻撃

Eストアー「ショップサーブ」、最大885万3,839件の購入者情報漏洩

株式会社Eストアーは8月1日、ECサイト構築・運営支援サービス「ショップサーブ」のサーバーに外部から不正アクセスがあり、購入者情報が外部に漏えいしたと発表しました。翌2日の第2報で発生期間が5月21日から8月1日までの約2か月半に及ぶことが判明し、購入者情報に加えて会員ID・パスワード、クレジットカード情報の一部、さらには店舗管理画面やFTPのID・パスワードまでもが対象に含まれることが明らかになっています。ショップサーブは多数のネットショップが利用する共通基盤であるため、被害の実態は「Eストアー1社の漏洩」ではなく、同サービスを使う無数の店舗それぞれの顧客情報が同時に流出するという構造になります。店舗管理画面のID・パスワードまで流出した以上、各店舗運営者は自らのショップ管理画面のパスワード変更を急ぐ必要があります。

▶ 詳細記事：Eストアー「ショップサーブ」に不正アクセス、最大885万3,839件の購入者の個人情報漏洩の恐れ

さくらインターネット、「さくらのレンタルサーバ」で136万アカウントに影響

さくらインターネットは、「さくらのレンタルサーバ」の管理環境を経由して顧客環境へ不正アクセスが行われたことを公表しました。8月9日に異常を検知しており、583アカウントへの不正ログインと一部サーバーへのマルウェア設置がまず確認され、続報では影響範囲が136万563アカウントにまで拡大、うち30アカウントではハッシュ化パスワードも対象になったことが明らかになっています。注目すべきは、顧客側のWebアプリケーションが起点ではなく「当社管理環境を経由して」顧客環境へアクセスされたと説明されている点です。管理環境そのものへの侵入経路は公表されていませんが、ホスティング事業者の管理コンソールが突破されると、そこに紐づく全顧客が一斉に巻き込まれるという、レンタルサーバー特有のリスクが顕在化した形です。

▶ 詳細記事：さくらインターネット、「さくらのレンタルサーバ」で不正アクセス

KDDIウェブコミュニケーションズ、CPIメールサービスで125万543件確認

株式会社KDDIウェブコミュニケーションズは8月24日、法人向けレンタルサーバー「CPI」のメールサービスへの不正アクセスについて最終報告を公表し、メールアカウント情報125万543件の漏えいを事実として確認しました。「ビジネス スタンダード」と「KWCメール」ではハッシュ化されたパスワード情報も対象となった一方、平文のパスワードは漏えいしておらず、その他のプランはパスワードを別システムで管理していたため影響がないとしています。この事案はそもそも、KDDIが6月23日に公表したISP向けメールシステムへの不正アクセス（@nifty・BIGLOBE・J:COM等6社に影響、最大1,422万件）の一部であり、7月6日の集計時点でCPI分は125万543件と発表済みでした。今回の最終報告は、その数字を8月時点で改めて確定させたものにあたります。数か月にわたって関連する複数の会社が個別に続報を出し続ける展開は、大規模な共同インフラ障害の対応がいかに長期化しやすいかを示しています。

▶ 詳細記事：KDDIウェブコミュニケーションズ、KDDIへの不正アクセスで125万543件のアカウントの情報漏洩 ▶ 詳細記事：KDDI、メールシステムへの不正アクセスで1,223万件のメールアドレスが漏洩

まんだらけ、通販利用者情報漏洩の可能性で通販・オークション停止

株式会社まんだらけは8月31日、サーバーへの不正アクセスにより通販利用者の氏名・住所・電話番号・メールアドレスが漏えいした可能性があると公表しました。不正アクセス自体は8月27日23時ごろに確認され、対象人数や注文期間の始点は本稿執筆時点で公表されていません。クレジットカード情報は同社が保持していないため対象外で、会員パスワードや買取会員情報の漏えいもないとしています。通販サイトは9月2日、大オークションと毎日オークションは9月7日からの再開が予定されており、サービス停止期間の長さからも調査の丁寧さがうかがえます。

▶ 詳細記事：まんだらけ、不正アクセスで通販注文者の個人情報漏えいの可能性

01銀行、システムへの不正アクセスで顧客情報漏洩

０１銀行株式会社（01Bank）は8月27日、システムへの不正アクセスについて、顧客が使用するシステム識別情報とメールアドレスの漏えいを確認したと公表しました。不正アクセス自体は8月17日に検知され、21日に第一報を公表済みで、最大100社分が対象です。8月27日時点で影響を受けた顧客の特定はできておらず、二次被害も確認されていません。銀行という業態でありながら漏えい情報が「システムが使用する顧客識別情報」という一般にはなじみの薄い項目である点は、システム間連携で用いる識別子が漏洩した場合の影響評価の難しさを物語っています。

▶ 詳細記事：01銀行、不正アクセスで顧客の情報漏洩

アフラック生命保険、漏洩口座情報を金融機関へ提供

アフラック生命保険は8月24日、6月に公表した不正アクセス事案に関連し、漏えいした保険料振替口座情報を金融機関側へ提供したことを明らかにしました。対象は約22万人で、金融機関側がすでに保有している口座情報と突合してもらう形での連携です。8月24日時点で情報の不正利用は確認されていませんが、マイナンバー・クレジットカード情報・「アフラックよりそうネット」のID・パスワードは漏えいしていないことも改めて確認されています。6月30日の第一報から数えて2か月が経過してもなお対応が続いている状況は、大規模な口座情報漏洩の事後対応がいかに長期戦になるかを示す事例です。

▶ 詳細記事：アフラック生命、サイバー攻撃で漏洩した口座情報を金融機関へ提供 ▶ 詳細記事：アフラック生命保険、不正アクセスで約438万人の顧客の個人情報漏洩

ボストン・サイエンティフィック、サイバー攻撃で世界的業務障害

世界最大級の医療機器メーカーであるボストン・サイエンティフィックは、8月25日にサイバーセキュリティインシデントを特定したとSECへのForm 8-Kで開示しました。ネットワーク障害により世界的な事業運営に支障が生じ、顧客注文の処理や製品出荷にも影響が出ています。ランサムウェアかどうか、個人情報や医療情報の流出があったかどうかを含め、詳細は本稿執筆時点で調査中です。医療機器メーカーという業態上、製造設備や機器そのものへの影響が及んでいないかという点も注視すべきポイントになります。

▶ 詳細記事：ボストン・サイエンティフィック、サイバー攻撃によるインシデントで世界的な業務障害

ハッカーがマクドナルドなど9社のAzure/Entra IDデータを販売主張

脅威アクター「TheHatman」が、マクドナルド・Vodafone・TCS・HCLTech・Gapなど9社のAzure/Entra IDデータ約364万件を犯罪フォーラムで販売すると主張していることが8月19日までに確認されました。ただし、これはあくまで販売投稿とHudson Rockの調査レポートに記載された数字であり、実際の「対象人数」や「漏えい確認件数」とは異なります。単純合計は363万9,000件ですが対象者の重複や無効化済みアカウント、サービスアカウントの混在は確認できておらず、TCS・HCLTech・Gapはいずれも自社システムへの侵害を否定しています。Microsoft自身もこのキャンペーンに関する公式発表を出しておらず、Azure基盤そのものの脆弱性悪用と断定できる状況ではありません。犯行主張の数字がそのまま報道の見出しになりやすい典型例であり、一次情報と主張を分けて受け止める必要がある事案です。

▶ 詳細記事：ハッカーがマクドナルドなど9社へ不正アクセスしAzure／Entra IDデータ約364万件を販売

両毛システムズ、社内システムへの不正アクセス

行政・水道・文教・医療などにシステムを提供する株式会社両毛システムズは8月15日、社内システムへの不正アクセスを公表しました。発生確認は8月14日で、原因・侵入経路・被害範囲、情報流出の有無はいずれも調査中です。同社が提供する先が公共性の高い分野に及ぶだけに、自社システムだけでなく納入先の自治体・医療機関側への影響有無も今後の焦点になります。

▶ 詳細記事：両毛システムズ、社内システムへの不正アクセス

---

実悪用が確認された脆弱性

Microsoft、Azure・Entra・Teamsに最大値10.0を含む脆弱性を集中修正

Microsoftは8月6日、月例パッチ（Patch Tuesday、8月12日予定）に先立ち、Active Directory・Azure・Entra・SharePoint・Teamsなど広範な製品にまたがる十数件の脆弱性を修正するセキュリティ更新を公開しました。うち3件（Planetary Computer Pro、Azure SQL Database、Teams）はCVSSスコアの最大値10.0、さらに4件が9.9と評価されており、クラウド基盤の中核サービスに極めて深刻度の高い脆弱性が同じ週に集中するという異例の事態でした。同じ週にAppleもmacOSの画面共有機能における認証回避の脆弱性を修正しています。クラウドサービス側の脆弱性はオンプレミス機器のようにパッチ適用を利用者側で判断できないケースも多く、Microsoft側の対応状況とテナント設定の両方を点検する必要があります。

▶ 詳細記事：Microsoft、Azure・Entra・Teams関連にCVSS最大値10.0を含む重大脆弱性を多数修正

Lazarus Group、Windowsゼロデイで防衛関連企業を狙う

北朝鮮の国家支援ハッカー集団Lazarus Groupが、WindowsのゼロデイCVE-2026-68820を悪用し、防衛関連企業を攻撃していたことが判明しました。この脆弱性はMicrosoftが8月11日の月例パッチで修正しましたが、Lazarus Groupは少なくとも7月上旬からゼロデイとして悪用していたことが確認されています。攻撃は「Operation Dream Job」と呼ばれる手口で、著名企業の採用担当者を装いLinkedIn等の職業SNSやメッセージアプリを通じて標的に接触するというもので、偽の求人を入り口に2つの並行した感染経路が用意されていました。ロッキード・マーティンの名を騙る事例も確認されていますが、同社自体は本件に一切関与していません。国家支援グループが採用活動という業務プロセスそのものを攻撃経路にしている点は、技術対策だけでなく採用担当者への意識づけも必要であることを示しています。

▶ 詳細記事：Lazarus Group、Windowsゼロデイ脆弱性を悪用し防衛関連企業を攻撃 ▶ 詳細記事：Microsoft、2026年8月定例パッチで421件の脆弱性を修正

Metabaseのゼロデイ、Framework・Tallyの顧客データが窃取される

BI・データ可視化ツールを提供するMetabaseは8月6日、自社のMetabase Cloudがバージョン1.58以降に存在する未知の脆弱性を悪用した攻撃を受けたと公表しました。認証を経ずにアプリケーションデータベースへ任意のSQLを注入できる欠陥で、CVSSスコアは最大値の10.0です。攻撃を受けたことが確認されている企業には、ノートPCメーカーのFrameworkとオンラインフォーム作成サービスのTallyが含まれ、攻撃発生は8月3日、Metabaseは8月6日に両社へ通知しています。Metabase Cloud利用者のインスタンスはすでにパッチ適用済みですが、自己ホスト型で運用している利用者は依然として影響を受ける可能性があり、速やかなアップデートが必要です。分析基盤という「裏側」のツールが顧客データ窃取の直接的な入口になった点は、可視化・分析用SaaSであってもデータ保護の観点で本番システムと同等の警戒が必要であることを示しています。

▶ 詳細記事：Metabaseにゼロデイ脆弱性、Framework・Tallyの顧客データが窃取される

macOS Screen Sharingの脆弱性が実悪用、Moneroマイナー設置まで確認

オランダ国家サイバーセキュリティセンター（NCSC-NL）は8月12日、macOSの画面共有機能「Screen Sharing」における認証不備の脆弱性CVE-2026-65400が実際のサイバー攻撃に悪用されていると発表しました。Appleは8月6日に修正版を公開済みでしたが、インターネットからTCPポート5900へ接続できる複数のシステムが標的となり、確認されたすべての事例でrootアクセスの取得とMonero暗号資産マイナーの設置が確認されています。CVSSスコアはCISA-ADP基準で9.8と評価されており、侵害済みの端末はアップデートだけでは設置済みマルウェアを除去できないため、ネットワーク隔離と個別調査が必要です。Screen Sharingをインターネットに公開したまま運用しているケースが実際に存在していたこと自体が、この種の管理系サービスの露出管理の甘さを物語っています。

▶ 詳細記事：macOS Screen Sharingの脆弱性CVE-2026-65400が実際のサイバー攻撃に悪用

---

なりすまし詐欺

利他フーズ・映画製作委員会、公式を騙るPR案件詐欺で金銭・個人情報被害

ドッグフードブランド「健康いぬ生活」を運営する株式会社利他フーズと、映画『さとこはいつも』の製作委員会が、それぞれ自社・作品を騙る偽のSNSアカウントと偽のPR案件による、なりすまし詐欺行為への注意喚起を公表しました。手口は共通しており、SNS上でPR案件を持ちかけたのち偽の公式LINEアカウントへ誘導し、契約締結日に数万円から10万円台の支払いを求めるというものです。支払先には個人名義のPayPayアカウントや銀行口座が指定される事例が確認されています。映画側は8月6日に注意喚起を行った後、8月12日には実際に高額な金銭被害と、マイナンバーカードの表裏画像を含む個人情報の詐取被害が発生したことも公表しています。企業・ブランド側の公式SNSアカウントやLINEアカウントのIDを公式サイト上で明確に公開し、それ以外からの連絡はなりすましである旨を周知することが、インフルエンサーやクリエイター側の被害を防ぐ有効な対策です。

▶ 詳細記事：企業・映画公式を騙る「PR案件詐欺」が横行

---

まとめと対策のポイント

共通基盤・ホスティング事業者の管理環境が突破された際の影響範囲を軽視できません。 ショップサーブの885万件、さくらインターネットの136万アカウントのように、多数の顧客企業が同じ基盤を利用している場合、一つの侵害が連鎖的に膨大な件数へ膨れ上がります。共通基盤を利用する側も、提供元のセキュリティ体制や過去のインシデント対応履歴を選定基準に含めることが重要です。

クラウドサービスの脆弱性はパッチ適用のタイミングを利用者側で完全にコントロールできません。 MicrosoftのAzure・Entra・Teams関連脆弱性やMetabaseのゼロデイのように、SaaS・PaaS側の脆弱性は提供元の対応に依存する部分が大きくなります。自社が利用するクラウドサービスのセキュリティアドバイザリを定期的に確認し、影響範囲の通知が来た際に即座に対応できる体制を整えておく必要があります。

攻撃者側の主張をそのまま被害の確定情報として扱わない姿勢が引き続き重要です。 マクドナルドなど9社の事案のように、犯行主張の数字と実際に確認された被害には開きがあることが少なくありません。ダークウェブや犯罪フォーラムでの主張は、被害企業側の公式発表と突き合わせたうえで評価する必要があります。