【2026年】サイバー攻撃・情報漏洩の最新事例|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月25日更新日時: 2026年08月04日

2026年に入り、国内外でサイバー攻撃による個人情報漏洩やランサムウェア被害が相次いでいます。本記事では、実際に発生した事例を「国内企業への攻撃」と「脅威アクター(サイバー犯罪集団)による攻撃」に分けて整理・解説します。

【30秒でわかる本記事の概要】

なりすましメール・チャットによる不正送金(BEC)の被害が深刻化しており、はてなの確定損失11億7,900万円をはじめ、上場企業だけで複数の億円単位の被害が発生している。
GitHub等の開発基盤・ソースコード管理システムが新たな主要攻撃対象となっており、マネーフォワード・CAMPFIREに加え、米当局CISA自身も認証情報管理の不備で情報漏洩を経験した。
東海大学(委託先経由で最大19万人超)、Axios(メンテナー1人の乗っ取りから週3億DL規模のライブラリが汚染)など、委託先・サプライチェーンを経由した被害が業種を問わず広がっている。
ロシアのGRU・FSBによる経済安全保障・重要インフラを狙った活動など、国家の関与が疑われるサイバー脅威の存在感が一段と増している。
スマレジ連携アプリやSalesforceのguest user設定など、高度な脆弱性ではなく基本的な設定不備が引き続き大規模な情報漏洩を招いている。
食品・物流業界の基幹システムを狙った攻撃も深刻化しており、アサヒグループホールディングスの受注・出荷全面停止に続き、ニチレイでも冷蔵倉庫の入出庫・冷凍食品出荷業務が停止し、取引先の外食・小売チェーンにまで影響が波及した。

2026年主要サイバー攻撃・情報漏洩インシデント一覧

※公表月(または事案発覚・注意喚起月)の新しい順に掲載

公表月	組織・対象名	インシデント概要	影響規模・主な被害	攻撃手法・アクター
2026年7月	ニチレイ	サーバーへの不正アクセスでシステム障害	冷蔵倉庫入出庫・冷凍食品出荷業務が停止、7月17日に順次再開。個人情報保護委員会へ漏えい可能性ありと届出	サイバー攻撃(手法非開示)
2026年7月	CISA(米政府機関)	委託業者がGitHubへ認証情報を公開	AWS GovCloud認証情報等が約6カ月間公開	内部管理不備・委託先管理
2026年7月	Accenture	不正アクセス、35GB窃取の主張	ソースコード・Azure認証情報	不正アクセス(脅威アクター「888」)
2026年7月	世界の重要インフラ全般	ルーター悪用による侵入(共同勧告)	ポーランド電力網攻撃(最大50万人に影響の恐れ)	国家(ロシアFSB第16センター)
2026年7月	日本(東京・GRU拠点)	GRU第20局による技術調達工作	対露輸出規制の回避	国家(ロシアGRU)
2026年7月	台湾(政治家・学者)	LINEアカウント転貸によるなりすまし	個人情報・端末侵害の恐れ	国家系(中国)
2026年6〜7月	アフラック生命保険	契約者専用サイトへの不正アクセス	約440万人(うち保険料振替口座22万人)	不正アクセス
2026年6月	ジェリービーンズグループ	なりすましメールによるBEC	4,500万円	BEC
2026年6月	はいチーズ！フォト(千株式会社)	不正アクセス	購入者の氏名・住所・電話番号・団体名	不正アクセス
2026年5月	マネーフォワード	GitHub不正アクセス、第二報で本番DB無事と確認	ビジネスカード370件、顧客識別子60,449名分。銀行口座連携は11日ぶりに再開	不正アクセス
2026年4月	はてな	なりすましによる虚偽送金指示	確定損失11億7,900万円	BEC(手段不明)
2026年4月	CAMPFIRE	GitHub不正アクセスの続報	最大22万5,846件(うち口座情報8万2,465件)	不正アクセス
2026年3月	Axios(npmパッケージ)	メンテナーアカウント侵害によるnpm汚染	週3億DL規模、RAT感染の恐れ	サプライチェーン攻撃(北朝鮮系UNC1069)
2026年3月	スマレジ (coastline)	連携アプリのバックエンド設定不備	氏名約11万件、電話番号約10万件	設定不備・不正アクセス
2026年3月	穴吹ハウジングサービス	ランサムウェア攻撃によるデータ暗号化	約49.6万人分の個人情報漏洩の恐れ	ランサムウェア (Qilin)
2026年3月	村田製作所	内部ネットワークへの不正アクセス	社外関係者・自社情報の不正読み出し	不正アクセス
2026年3月	Salesforce利用企業	guest user設定不備を狙う攻撃	顧客データ等の窃取・公開	設定不備 (ShinyHunters)
不明(米国子会社)	TOA	偽指示によるBEC	約9,000万円	BEC
2026年6月	KDDI	メールシステムへの不正アクセス	メールアドレス・パスワード最大1,422万件	不正アクセス
2026年2月	ブロードバンドタワー	c9 Flex Vシリーズ仮想サーバ6台の侵害	一部データの削除等 (最終報公表)	既知の脆弱性悪用 (ByteToBreach)
2026年2月	Nike (ナイキ)	プロバイダー経由でのサイバー攻撃	日本ユーザーへの通知開始	ランサムウェア (World Leaks)
2026年2月	美濃工業	社内サーバーへの不正アクセス・暗号化	従業員等の要配慮個人情報漏洩の恐れ	不正アクセス
2026年2月	東海大学 (委託先)	委託先サーバーのランサムウェア被害	最大19万3,118人の個人情報漏洩の恐れ	ランサムウェア (サプライチェーン)
2026年2月	信和 (子会社)	サポート詐欺による不正送金	2.5億円の特別損失を計上	サポート詐欺・遠隔操作
2026年2月	複数EC (ゴルフ用品等)	富裕層リストを装った顧客情報の販売	氏名・住所・注文情報等の流出	不正アクセス・情報販売
2026年2月	ベルトラ (子会社)	BECによる虚偽の送金指示	約5,000万円が海外へ流出	なりすましメール・SNS誘導
2026年2月	ビューティガレージ	ECサイトでのカード情報等流出懸念	クレジット決済の一時停止	Webスキミング等 (推定)
2026年2月	汎用ソフト (WinRAR)	CVE-2025-8088脆弱性の悪用	標的システムへの侵入	脆弱性悪用 (中国系APT)
2026年2月	サカタのタネ (米子会社)	サーバーへの不正アクセス	一部情報の漏洩の可能性	ランサムウェア (Qilin)
2026年2月	Tsunami Tsolutions	航空・MRO関連データの窃取	約562GBの技術資料等の漏洩懸念	ランサムウェア (Everest)
2026年2月	BEENOS (セカイモン)	海外ECデータベースへの不正アクセス	個人情報漏洩の恐れ、サービス一時停止	不正アクセス
2026年1月	関西総合システム	VPN機器の脆弱性を突く不正アクセス	業務データの暗号化 (第二報公表)	ランサムウェア (Brain Cipher)
2026年1月	LTS Group (ベトナム)	オフショア開発企業へのデータ窃取	データの公開	ランサムウェア (World Leaks)
2026年1月	SoundCloud等	Oktaのビッシングを用いた不正アクセス	不正アクセス被害の主張	ビッシング (MFA突破)

国内のサイバー攻撃事例

スマレジ連携アプリで個人情報漏洩氏名11万359件、電話番号10万293件に影響 ─ 提供元coastlineの設定不備

スマレジは2026年3月9日、スマレジ・アプリマーケットで提供されていた外部アプリ「書類上手／見積・請求書＋invoice」に関連するデータ流出について最終報告を公表しました。アプリ提供元である合同会社coastlineも同日、連携設定していた店舗の顧客情報のうち、氏名11万359件・電話番号10万293件が流出したことを明らかにしています。

今回の問題はスマレジ本体ではなく、アプリマーケット上で提供されていた外部アプリのバックエンドシステム(データベース環境)が第三者の不正アクセスを受けたことに起因しています。

発覚のきっかけはソーシャルメディア上での情報拡散で、その後スマレジによる調査とcoastlineへの連絡を経て、対象アプリは利用停止・公開停止となりました。スマレジの自社サーバーへの不正アクセスや自社システムからの流出は確認されていないと説明されています。

▶︎ 詳細記事：スマレジ連携アプリで個人情報漏洩氏名11万359件、電話番号10万293件に影響-提供元coastlineの設定不備

穴吹ハウジングサービス、サイバー攻撃で約49.6万人分の個人情報漏洩の恐れ ─ ランサムウェアグループQilinが犯行声明

株式会社穴吹ハウジングサービスは2026年2月3日に確認したランサムウェア攻撃について、3月9日付の第4報で、攻撃者により公開された情報の中に同社に関連するとみられる情報が確認されたことを受け、同社が保有していた個人情報の一部が外部に漏えいした事実を確認したと公表しました。なお、ランサムウェアグループQilinが犯行声明を発表しています。

現時点で漏えいの可能性が否定できない個人情報は約49万6,000人分に上り、氏名・電話番号などが主な対象となっています。一方で、クレジットカード情報・金融機関口座情報・マイナンバーは含まれていないことが確認されています。

▶︎ 詳細記事：穴吹ハウジングサービス、サイバー攻撃で約49.6万人分の個人情報漏洩の恐れ-ランサムウェアグループQilinが犯行声明

村田製作所、不正アクセスを公表 ─ 社外関係者情報と自社情報の読み出し可能性が判明

村田製作所は2026年3月、不正アクセスの可能性を認識して初動調査を開始し、3月1日から本格調査に移行した結果、不正なアクセスが行われデータが不正に取得されたことが判明したと公表しました。同社は社内に危機対策本部を設置するとともに、外部のサイバーセキュリティ専門機関と連携して影響範囲の調査と被害拡大防止に当たっています。

現時点の調査では、社外関係者に関する情報および村田製作所に関する情報が不正に読み出された可能性が確認されています。件数や対象範囲の詳細はまだ明らかにされていませんが、単なる侵入可能性の段階ではなく、データの不正取得まで判明している点が本件の重大性を示しています。

▶︎ 詳細記事：村田製作所、不正アクセスを公表、社外関係者情報と自社情報の読み出し可能性が判明

Nike（ナイキ）がサイバー攻撃で個人情報漏洩の恐れ ─ 日本ユーザーへセキュリティインシデントを通知

2026年1月、ランサムウェア・恐喝グループ「World Leaks」が自身のデータリークサイト上でNikeを被害組織として掲載し、ファイルを公開したと主張しました。これを受けてNikeは2026年2月末から日本のユーザーへ個人情報漏洩の可能性とインシデントを通知しています。

▶︎ 詳細記事： Nike(ナイキ)がサイバー攻撃で個人情報漏洩の恐れ-日本ユーザーへセキュリティインシデントを通知

ブロードバンドタワー、サイバー攻撃の調査結果を公表 ─ c9 Flex Vシリーズ仮想サーバ6台が侵害

ブロードバンドタワーは2026年2月24日、2025年12月に公表したサイバー攻撃について最終報を公表しました。攻撃は2025年12月5日深夜から12月8日早朝にかけて発生し、c9 FlexサービスVシリーズの特定仮想サーバ3台と、運用に関わる仮想サーバ3台の合計6台が不正アクセスの対象となりました。

▶︎ 詳細記事：ブロードバンドタワー、サイバー攻撃の被害調査結果を公表-c9 Flex Vシリーズ仮想サーバ6台が侵害

美濃工業、サイバー攻撃で従業員等の個人情報漏洩の恐れ

美濃工業株式会社は2026年2月19日、2025年10月に外部からの不正アクセスによるサイバー攻撃で一部サーバーとPCが暗号化された事案に関連し、従業員および過去在籍者の個人情報について漏えいの可能性を否定できないと報告しました。

▶︎ 詳細記事：美濃工業、サイバー攻撃で従業員等の個人情報漏洩の恐れ

東海大学、委託先のランサムウェアによるサイバー攻撃で最大19万3,118人の個人情報漏洩の恐れ

学校法人東海大学は2026年2月18日、業務委託先である株式会社東海ソフト開発のサーバへの不正アクセスに関する調査状況を公表し、最大19万3,118人分の個人情報漏洩の恐れがあることを発表しました。

▶︎ 詳細記事：東海大学、委託先のランサムウェアによるサイバー攻撃で最大19万3118人の個人情報漏洩の恐れ

関西総合システムへのサイバー攻撃 ─ ランサムウェアグループBrain Cipherが不正アクセスを主張

関西総合システム株式会社は2025年12月26日、社内の一部サーバー・端末でランサムウェア感染を確認し、緊急対策本部の設置・ネットワーク遮断・外部専門機関との連携による調査・復旧対応を進めていると公表しました。

▶︎ 詳細記事：関西総合システムへのサイバー攻撃-ランサムウェアグループBrain Cipherが不正アクセスを主張

信和、子会社で発生したサポート詐欺で不正送金 ─ 2.5億円の損失を計上

仮設資材販売の信和株式会社は2026年2月9日、2025年に子会社で発生した資金流出事案について、外部専門機関と連携した調査結果と再発防止策を公表しました。損失額は約2億5,000万円に上ります。

▶︎ 詳細記事：信和、子会社で発生したサポート詐欺で不正送金 2.5億円の損失を計上

ハッカーが日本の富裕層リストを装い、ゴルフ用品購入者の個人情報を販売

2026年2月8日、ハッカーフォーラム上で「日本の富裕者層リスト」と称するデータ販売の投稿が確認されました。

▶︎ 詳細記事：ハッカーが日本の富裕層リストを装いゴルフ用品購入者の個人情報を販売

ベルトラ、子会社で約5,000万円が流出 ─ なりすましフィッシングメールからSNSへ誘導され送金指示

ベルトラ株式会社は2026年2月6日、子会社(リンクティビティ株式会社)において、悪意ある第三者による虚偽の指示に基づき資金が流出する事案が発生したと公表しました。約5,000万円が第三者の指定口座へ送金されました。

▶︎ 詳細記事：ベルトラ、子会社で約5,000万円が流出代表者語るなりすましフィッシングメールからSNSへ誘導され送金指示

ビューティガレージ、ECサイトでクレジットカードと個人情報漏洩の恐れ ─ カード会社から連絡受け決済を一時停止

株式会社ビューティガレージは2026年2月6日、第三者による不正アクセスにより、ECサイトの顧客情報の一部が不正に取得された可能性が判明したとして、注意喚起と謝罪を公表しました。

▶︎ 詳細記事：ビューティガレージ、ECサイトでクレジットカードと個人情報漏洩の恐れカード会社から連絡受け決済を一時停止

KDDI、メールシステムへの不正アクセスでメールアドレス・パスワード最大1,422万件が漏洩の恐れ ─ @nifty・BIGLOBE・J:COMなど6社に影響

KDDI株式会社は、同社のメールシステムへの不正アクセスにより、メールアドレス・パスワードが最大1,422万件漏洩した恐れがあると公表しました。影響は@nifty・BIGLOBE・J:COMなど、同社のメールシステムを利用する6社にまたがっており、通信インフラを担う大手キャリアの基盤システムが侵害されることで、複数のブランド・サービスへ同時に影響が波及する典型例となりました。

▶︎ 詳細記事：KDDI、メールシステムへの不正アクセスでメールアドレス・パスワード最大1,422万件が漏洩の恐れ@nifty・BIGLOBE・J:COMなど6社に影響

Axiosへのサプライチェーン攻撃-メンテナーアカウント侵害からRAT投下、北朝鮮系UNC1069が関与

2026年3月31日、世界中のWeb開発で事実上の標準となっているJavaScriptのHTTPクライアントライブラリ「Axios」のnpm配布パッケージ(バージョン1.14.1・0.30.4)が改ざんされ、悪意あるコードを含んだ状態で公開される大規模なソフトウェアサプライチェーン攻撃が発生しました。

攻撃者は偽のMicrosoft Teams会議を用いた高度なソーシャルエンジニアリングにより、Axiosのリードメンテナーの端末を遠隔操作マルウェア(RAT)で乗っ取り、npmアカウント認証情報を奪取したうえで、正規リリースの体裁を保ったまま悪意ある依存関係を注入しました。Google Threat Intelligence Groupは、この攻撃が北朝鮮を拠点とする金銭目的の脅威アクター「UNC1069」によるものと分析しています。Axiosは週3億回超ダウンロードされる広範な利用基盤を持つため、影響範囲は非常に大きく、該当バージョンを導入済みの環境は侵害前提での対応が求められました。

▶︎ 詳細記事：Axiosへのサプライチェーンサイバー攻撃はどう起きたのか-メンテナーアカウント侵害から見る不正公開の手口

はてな、なりすましによる不正送金指示で確定損失額11億7,900万円

株式会社はてな(東証グロース:3930)は2026年4月24日、従業員が悪意ある第三者から虚偽の送金指示を受け、会社の銀行預金口座から外部口座へ資金が送金されたとして適時開示を行いました。その後の調査で確定損失額は11億7,900万円(当期純損失7億6,700万円)に確定しており、これは同社の2026年7月期通期営業利益予想の約8.7倍に相当します。個人情報・顧客情報の流出は現時点で確認されていません。

▶︎ 詳細記事：はてな、BEC詐欺による不正送金被害で最大損失額1,179百万円確定-当期純損失767百万円へ転落

はいチーズ！フォトへ不正アクセス、購入者の氏名・住所・電話番号・団体名が漏洩

写真販売サービス「はいチーズ！フォト」を運営する千株式会社は2026年6月、2026年6月4日18時頃から6月5日9時頃にかけて発生した不正アクセスにより、一部の注文内容に紐づく購入者の氏名・住所・電話番号・団体名(園名・学校名等)が外部に漏えいしたことを確認したと公表しました。写真データ自体、サムネイル画像URL、クレジットカード情報、パスワード、メールアドレスについては漏えいがないことを確認しています。同社は原因特定と安全対策を完了し、6月8日にサービスを再開しました。

▶︎ 詳細記事：はいチーズ！フォトへ不正アクセス、個人情報漏洩の恐れ

マネーフォワード、GitHubへの不正アクセスでビジネスカード情報370件・ソースコード流出の可能性

株式会社マネーフォワード(東証プライム:3994)は2026年5月1日、同社グループが利用するソースコード管理サービス「GitHub」の認証情報が漏洩し、第三者による不正アクセスでリポジトリがコピーされたことが判明したと公表しました。マネーフォワードビジネスカードに関わる370件のカード保持者名・カード番号下4桁が流出した可能性があるほか、従業員2,300名分および顧客固有識別子60,449名分の情報漏洩の恐れが確定しています。5月11日の第二報では、詳細調査の結果、本番データベースの漏えい・侵害はなく、パスワード変更等の対応も不要と確認されたことを公表しました。一時停止していた銀行口座連携機能は、第二報から11日後に順次再開されています。

▶︎ 詳細記事：マネーフォワード、GitHubへの不正アクセスでビジネスカード情報370件・ソースコード流出の可能性

CAMPFIRE、GitHubへの不正アクセスによるサイバー攻撃で最大22万5,846件の個人情報漏洩の恐れ

クラウドファンディングサービスを運営する株式会社CAMPFIREは2026年4月24日、同年4月3日に公表したGitHubアカウントへの不正アクセスの続報として、顧客情報を管理するシステムの一部で個人情報が漏洩した可能性があると発表しました。対象ユニーク件数は最大225,846件に上り、うち口座情報を含む件数は82,465件です。クレジットカード情報は対象外としています。

▶︎ 詳細記事：CAMPFIRE、GitHubへの不正アクセスによるサイバー攻撃で最大22万5,846件の個人情報漏洩の恐れ

アフラック生命保険、不正アクセスで約440万人の個人情報漏洩-発生時期を6月10日に訂正、金融機関と連携開始

アフラック生命保険株式会社は2026年6月30日、契約者専用サイト「アフラックよりそうネット」等への第三者による不正アクセスにより、顧客約438万人の個人情報が漏洩したと公表しました。同社は7月1日、金融庁から保険業法および個人情報保護法に基づく報告徴求命令を受領したことも明らかにしています。

その後2026年7月13日の第二報で、情報漏えいの最初の発生時期を当初の6月15日から6月10日へ訂正するとともに、漏えい件数を約438万人から約440万人へ更新しました。保険料振替口座情報(約22万人分)の漏えいを踏まえ、二次被害防止のため関係する金融機関との連携も開始しています。マイナンバー・クレジットカード情報・メールアドレスは対象に含まれていません。

▶︎ 詳細記事：アフラック生命保険、不正アクセスで約438万人の顧客の個人情報漏洩-約23万人は保険料振替口座情報も対象

Accenture(アクセンチュア)、ハッカーによる不正アクセスを確認-35GBのソースコード・Azure認証情報窃取の主張

世界最大級のITコンサルティング企業Accentureは、サイバー犯罪フォーラムに投稿された犯行声明を受け、不正アクセスがあったことを2026年7月上旬に確認しました。ハンドルネーム「888」を名乗る脅威アクターは約35GBのソースコードやAzure関連の認証情報(RSA鍵・SSH鍵・Azure PAT・Azure Storageアクセスキー等)を窃取したと主張しています。同一の脅威アクターは2024年6月にもAccenture従業員データの販売を試みており、Accentureはその際の主張(3万2,826人規模)を大きく誇張されたもの(実際は3人分)だったと反論した経緯があります。

▶︎ 詳細記事：Accenture、ハッカーによる不正アクセスを確認-Azure関連の認証情報も漏洩か

ジェリービーンズグループ、なりすましメールによるBEC詐欺で4,500万円の資金流出

株式会社ジェリービーンズグループ(東証グロース:3070)は2026年6月19日、6月3日に発生した資金流出事案の経過と再発防止策を公表しました。被害対象額は4,500万円にのぼります。

▶︎ 詳細記事：ジェリービーンズグループ、なりすましメールによるBEC詐欺で4,500万円の資金流出

TOA、米国子会社で約9,000万円の資金流出-偽指示によるビジネスメール詐欺

音響機器メーカーのTOA株式会社(東証プライム:6809)の米国子会社において、偽の指示によるビジネスメール詐欺(BEC)で約9,000万円の資金流出が発生しました。

▶︎ 詳細記事：TOA、米国子会社で約9,000万円の資金流出、偽指示による詐欺

ニチレイ、不正アクセスによるシステム障害-冷蔵倉庫の入出庫・冷凍食品の出荷業務に影響

株式会社ニチレイは2026年7月13日、不正アクセスによるシステム障害が発生したと公表し、ニチレイロジグループ各社の冷蔵倉庫入出庫業務、ニチレイフーズの冷凍食品出荷業務に影響が生じました。7月15日の第2報では自社サーバーがサイバー攻撃を受けたことを確認し、個人情報が保管されていたサーバーの一部が被害を受けたため、個人情報保護委員会へ漏えいの可能性がある事案として届出済みであることも明らかにしています。外部のセキュリティ専門会社と安全対策を講じたうえで、停止していた業務は7月17日から順次再開されました。なお、この障害はケンタッキーフライドチキン・イオン・くら寿司など多数の取引先にも波及しています。

▶︎ 詳細記事：ニチレイ、不正アクセスによるシステム障害-冷蔵倉庫の入出庫・冷凍食品の出荷業務に影響

脅威アクターのサイバー攻撃と最新動向

代表や役員を騙るなりすましメール（詐欺メール）の実例と注意点 ─ LINEへ誘導

2025年12月頃から、会社の代表者や役員をかたるなりすましメール・詐欺メールが広く確認されています。

▶︎ 詳細記事：代表や役員を騙るなりすましメール(詐欺メール)の実例と注意点-LINEへ誘導

ハッカーグループがSoundCloud（サウンドクラウド）やCrunchbaseへのサイバー攻撃を主張 ─ Oktaへのビッシングか

2026年1月、Oktaは電話を使ったソーシャルエンジニアリング(ビッシング)に最適化されたフィッシングキットを複数解析し、攻撃が増加しているとして情報を公開しました。

▶︎ 詳細記事：ハッカーグループがSoundCloud(サウンドクラウド)やCrunchbaseへのサイバー攻撃を主張-Oktaへのビッシングか

圧縮・解凍ソフト WinRARの脆弱性を中国系ハッキンググループがサイバー攻撃へ悪用（CVE-2025-8088）

Check Point Research(CPR)は2026年2月4日、「Amaranth-Dragon」と呼ぶ脅威アクターがWinRARの脆弱性(CVE-2025-8088)を悪用したサイバー攻撃を展開していることを公表しました。

▶︎ 詳細記事：圧縮・解凍ソフト WinRARの脆弱性を中国系ハッキンググループがサイバー攻撃へ悪用(CVE-2025-8088)

サカタのタネ、米子会社がサイバー攻撃の被害 ─ ランサムウェアグループQilinが犯行声明

サカタのタネは2026年2月13日、米国の連結子会社Sakata America Holding Company, Inc.のサーバーがサイバー攻撃を受けたことを確認したと発表しました。

▶︎ 詳細記事：サカタのタネ、米子会社がサイバー攻撃の被害、ランサムウェアグループQilinが犯行声明

EverestランサムウェアグループがTsunami Tsolutionsへのサイバー攻撃を主張 ─ 航空・MRO関連データ漏洩の恐れ

2026年2月11日、ランサムウェアグループEverestが米国のTsunami Tsolutionsに対するサイバー攻撃を行い、データを窃取したとリークサイト上で主張しました。

▶︎ 詳細記事： Everest ランサムウェアグループがTsunami Tsolutionsへのサイバー攻撃を主張、航空・MRO関連データ漏洩の恐れ

BEENOSの子会社運営海外ECサービス「セカイモン」へ不正アクセス ─ 個人情報漏洩の恐れ

BEENOSは2026年2月13日、連結子会社のショップエアラインが運営する海外ショッピングサービス「セカイモン」のデータベースに対し、不正アクセスが確認されたと発表しました。

▶︎ 詳細記事： BEENOSの子会社運営海外EC セカイモンへ不正アクセス-個人情報漏洩の恐れ

TENGA（テンガ）、米国向け窓口でサイバー攻撃か ─ 従業員アカウントへの不正アクセスで個人情報漏洩の恐れ

大人のおもちゃメーカーTENGAについて、米国向けの案内メールを通じて、従業員の業務用メールアカウントが第三者に不正アクセスされ、顧客情報が閲覧・取得された可能性があるサイバーセキュリティインシデントが通知されました。

▶︎ 詳細記事： TENGA(テンガ)、米国向け窓口でサイバー攻撃か従業員アカウントへの不正アクセスで個人情報漏洩の恐れ

オランダ通信大手Odido、不正アクセスで個人情報漏洩 ─ 最大620万アカウント規模か

オランダの通信事業者Odidoは、サイバー攻撃により顧客データが影響を受けたことを公表しました。

▶︎ 詳細記事：オランダ通信大手Odido、不正アクセスで個人情報漏洩最大620万アカウント規模か

ランサムウェアグループ World Leaksがベトナムのオフショア開発企業 LTS Groupへのサイバー攻撃を主張

2026年1月26日、ランサムウェアグループWorld Leaksが、ベトナムのオフショア開発企業LTS Groupに関する犯行声明をダークウェブのリークサイトで掲示し、データを公開したと主張しています。

▶︎ 詳細記事：ランサムウェアグループ、World Leaksがベトナムのオフショア開発企業 LTS Groupへのサイバー攻撃を主張

日本のフリーランスエンジニアへ海外から名義貸し依頼 ─ 北朝鮮ITワーカーの偽装就労と同型の手口

X(旧Twitter)上で、国内フリーランスエンジニアに対して名義貸し・なりすまし就労を前提にした勧誘が広がっています。

▶︎ 詳細記事：日本のフリーランスエンジニアへ海外から名義貸し依頼-北朝鮮ITワーカーの偽装就労と同型の手口

ハッカーグループ、複数のSalesforce（セールスフォース）利用企業へ不正アクセスし窃取した情報を公開

ハッカーグループShinyHuntersがダークウェブ上のリークサイトで複数企業名を並べた犯行声明を掲出しました。Salesforceは2026年3月7日、公開されたExperience Cloudサイトのguest user設定不備を悪用した攻撃について説明しています。

ロシア軍参謀本部情報総局「第20局」の東京拠点-アエロフロート職員を偽装したGRU工作員による技術調達工作

ニューヨーク・タイムズ紙は2026年7月12日、ロシア軍参謀本部情報総局(GRU)の「第20局」と呼ばれる秘密部隊が、東京を拠点にウクライナ侵攻に必要な先端技術・部品の調達工作を続けているとする調査報道を公表しました。東京での工作を統括しているとされるのは、ロシア国営航空会社アエロフロートの東京支社に偽装身分で勤務するマクシム・ウラジミロヴィチ・フィルチェンコフ氏(49)です。東京の物流会社を経由し、スリランカ・ウズベキスタン等の第三国でアエロフロート便に貨物を積み替えるという具体的な迂回輸送ルートの実態が明らかにされています。

▶︎ 詳細記事：ロシア軍参謀本部情報総局「第20局」の東京拠点-アエロフロート職員を偽装したGRU工作員と、対露輸出規制の抜け道の実態

米英加豪など18機関、ロシアFSB「第16センター」によるルーター悪用の重要インフラ攻撃を共同警告-ポーランド電力網攻撃も正式に帰属

NSA・FBI・CISA(米国)を中心に、英国・カナダ・オーストラリア・ニュージーランド・エストニア・フィンランド・フランス・イタリアなど12カ国18機関は2026年7月、ロシア連邦保安庁(FSB)の「第16センター」(別名Berserk Bear、Static Tundra等)に帰属するハッカーが、脆弱なルーターを標的に世界の重要インフラネットワークへ侵入を試みているとする共同勧告を公表しました。英国とEU加盟国は2025年12月に発生したポーランドの電力網への攻撃も同グループによるものと正式に認定しており、成功していれば最大50万人が停電の影響を受けていた可能性があるとされています。

▶︎ 詳細記事：米英加豪など18機関、ロシアFSB「第16センター」によるルーター悪用の重要インフラ攻撃を共同警告

台湾、中国系サイバースパイ活動を幇助した業者2名を起訴-LINEアカウントを転貸し記者になりすまし

台湾の法務部調査局は2026年7月7日、中国政府系のサイバー部隊による諜報活動を幇助したとして、台湾の業者2名を起訴したと発表しました。台湾人名義のLINEアカウントを収集し中国側企業へ転貸、国際調査報道ジャーナリスト連合(ICIJ)所属の記者になりすまして台湾の政治家・学者へ接触し、暗号化ソフトを装ったマルウエアで端末への侵入を狙う手口が確認されています。

CISA、自らの認証情報漏洩事案の教訓を公表-AWS GovCloud認証情報が半年間GitHubに公開されていた顛末

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年7月11日、委託業者の担当者が個人のGitHubリポジトリにAWS GovCloudの管理者認証情報を約6カ月間公開していた事案について、対応の経緯と教訓を公式に公表しました。フォレンジック調査では漏洩した認証情報がCISAの環境外で使用された形跡はなく、顧客・業務データの流出も確認されていません。一方でCISAは、GitHub・クラウド向けインシデント対応手順書が未整備だったこと等を、明確な課題として自ら認めています。

▶︎ 詳細記事：CISA、自らの認証情報漏洩事案の教訓を公表-AWS GovCloud認証情報が半年間GitHubに公開されていた顛末

まとめ:2026年のサイバー攻撃・情報漏洩の傾向

ここまで紹介してきた事例を振り返ると、2026年前半のサイバー攻撃・情報漏洩には、いくつかの明確な傾向が見えてきます。

1つ目は、なりすましメール・ビジネスチャットを起点にした不正送金(BEC)の被害額が桁違いに拡大している点です。 はてなの確定損失11億7,900万円をはじめ、ジェリービーンズグループ(4,500万円)、TOA(米国子会社、約9,000万円)、ベルトラ(約5,000万円)と、上場企業を含む複数の組織が数千万円から十数億円規模の被害を受けています。手口自体はマルウェアや高度な脆弱性の悪用を伴わない、なりすましメール・チャットによる送金指示という古典的なソーシャルエンジニアリングですが、被害額の規模は年々深刻化しています。

2つ目は、GitHubをはじめとする開発基盤・ソースコード管理システムが新たな主要攻撃対象になっている点です。 マネーフォワード、CAMPFIREといった国内企業に加え、米国のサイバーセキュリティ当局であるCISA自身までもが、GitHub上での認証情報管理の不備によって情報漏洩を経験しました。外部の開発者向けサービスに登録したアカウントの認証情報が窃取・悪用されることで、本番環境のデータベースへのアクセスパスが開かれるという攻撃経路は、業種・組織の性質を問わず共通のリスクとして定着しつつあります。もっとも、マネーフォワードの事例が示すように、リポジトリの認証情報が漏洩したこと自体と、本番データベースが実際に侵害されたかどうかは別問題であり、初動での被害範囲の切り分けと段階的な情報開示が、混乱を抑えるうえで重要な役割を果たしています。

3つ目は、委託先・サプライチェーンを経由した被害の広がりです。 東海大学の事案では業務委託先のランサムウェア被害が最大19万人超の個人情報漏洩につながり、Axiosのサプライチェーン攻撃では、たった1人のメンテナーの端末が乗っ取られたことで週3億回ダウンロードされる基盤ライブラリ全体が汚染される事態に発展しました。自組織のセキュリティ対策がどれほど堅牢であっても、委託先・取引先・利用しているオープンソースの管理体制次第で被害を受けうるという構造が、繰り返し確認されています。

4つ目は、国家が背後にいるとみられるサイバー脅威の存在感が一段と増している点です。 ロシアのGRU第20局・FSB第16センターによる経済安全保障・重要インフラを狙った活動、中国系とみられるサイバースパイ活動など、単なる金銭目的の犯罪にとどまらない、地政学的な緊張を背景にした脅威が、企業活動にも直接・間接に影響を及ぼす場面が増えています。

5つ目は、設定不備という基本的な原因が依然として大規模な被害を引き起こしている点です。 スマレジ連携アプリ、Salesforceのguest user設定など、高度な脆弱性の悪用ではなく、基本的な設定確認を怠ったことに起因する事案が後を絶ちません。

6つ目は、食品・物流業界の基幹システムを狙った攻撃が相次いでいる点です。 アサヒグループホールディングスでは2025年9月のサイバー攻撃により受注・出荷が全面停止し、通期決算発表が異例の延期に追い込まれました。ニチレイでも2026年7月、サーバーへの不正アクセスにより冷蔵倉庫の入出庫業務・冷凍食品の出荷業務が停止し、ケンタッキーフライドチキン・イオン・くら寿司など多数の取引先にまで影響が波及しています。両社ともEDRやセキュリティ診断など一定の対策を講じていたにもかかわらず被害を防げなかった点、そして影響が自社にとどまらずサプライチェーン全体、ひいては店頭での品揃えにまで及ぶ点は、この業界に共通する構造的なリスクだといえます。基幹システムが停止した際の代替オペレーション(手作業での受発注切り替え等)をあらかじめ整備しておくことの重要性を、改めて示す事例です。

対策:今すぐ着手すべき5つのポイント

こうした傾向を踏まえ、情報システム部門・経営層が優先的に取り組むべき対策を整理します。

①送金・支払いプロセスの多重チェック体制の構築

なりすましメール・チャットによる送金指示に対しては、技術的な対策だけでは防ぎきれません。金額の大小にかかわらず、送金先口座の変更や新規の送金依頼があった場合は、メールやチャットとは別の経路(電話・対面)で必ず本人確認を行うルールを組織全体に徹底してください。特に、経営幹部を名乗る「緊急」「極秘」の指示ほど、平常時の承認フローを省略させようとする典型的な手口であるため、金額に応じた複数人承認のプロセスを一切の例外なく適用する体制が重要です。

②開発基盤・ソースコード管理システムの認証情報管理の強化

GitHub等の外部開発者向けサービスへのアクセスには、多要素認証を必須化し、APIキー・トークン等の機密情報がリポジトリ内にハードコーディングされていないかを定期的に監査してください。個人アカウントと業務用アカウントの分離を明確なポリシーとして定め、組織の機密情報を含むコードを個人のリポジトリへアップロードすることを技術的・組織的に禁止する仕組みも有効です。

③委託先・サプライチェーンのセキュリティ体制の点検

業務委託先・取引先が保有・アクセスする自組織のデータの範囲を明確化し、委託先のセキュリティ対策状況を定期的に確認する体制を整えてください。オープンソースソフトウェア・ライブラリを利用している場合は、そのメンテナー体制・更新履歴に不自然な点がないかを注視し、依存関係の急な変更があった際には導入前に検証する運用を検討することをお勧めします。

④基本的な設定確認とアクセス権限の棚卸し

クラウドサービス・SaaSの利用が拡大する中、guest userの権限設定、公開範囲の設定、外部連携アプリの権限範囲など、基本的な設定項目の定期的な棚卸しを行ってください。高度な脆弱性対策に注力するあまり、こうした基本的な設定確認がおろそかになっていないか、今一度点検する価値があります。

⑤インシデント対応体制と情報開示方針の整備

万が一被害が発生した際に備え、対策本部の設置基準、外部専門機関・警察・監督官庁への報告フロー、顧客・取引先への情報開示のタイミングと内容を、平時のうちに文書化しておくことが重要です。CISAの事案が示すように、セキュリティを本業とする組織であっても内部管理の不備は起こりうるものであり、発生を前提とした対応体制の整備こそが、被害の拡大を防ぐ最後の砦になります。また、ニチレイやアサヒグループホールディングスの事例が示すように、基幹システムが停止した場合の代替オペレーションをあらかじめ整備しておくことも、事業継続の観点から欠かせません。

【2026年】サイバー攻撃・情報漏洩の最新 事例

2026年 主要サイバー攻撃・情報漏洩インシデント一覧