「日本だけ、なぜこんなに多いのか」。私もこの質問を何度か受けました。海外のニュースではあまり見かけないのに、日本では毎日のように新しい事案が出てくる。そう感じている方は多いはずです。

今回は、セキュリティ企業の観測データ、JPCERT/CCの注意喚起、個人情報保護委員会の指摘をもとに、この「日本ばかり」の正体を分解します。結論から言うと、攻撃の量で日本が突出しているわけではありません。ただし、日本の企業が狙われやすい形で攻撃が増えたこと、そして被害が表に出やすい仕組みがあることは事実です。

「日本が特別に攻撃されている」というより、「日本のスキだらけのシステムが効率よく見つけられている」と考えるのが近いです。

1. 攻撃の「数」で見ると、日本は世界平均より少ない

1組織あたりの攻撃件数では、日本は毎月世界平均を下回っています。イスラエルのセキュリティ企業チェック・ポイントの脅威インテリジェンス部門（Check Point Research）は、毎月、国・地域別の攻撃件数を公表しています。直近3か月の数字は次のとおりです。

一方で、日本の増加率は世界平均を上回るペースが続いています。8月の世界平均の前年比は22%増で、日本の35%増はそれより高い水準です。「件数は少ないが、急速に増えている」というのが日本の現在地です。

ランサムウェアのリークサイト（犯行グループが被害企業を晒すサイト）の掲載数でも、国別の被害件数は米国が突出するのが通例です。やや古いデータですが、三井物産セキュアディレクション（MBSD）の集計では、2023年4月の被害国1位は米国の172件で、日本は9件の6位（アジアでは1位）でした。

数字の上では「日本が世界一やられている」わけではありません。ただ、増え方が速いので油断はできない、という状況です。

2. それでも7月以降、日本の公開Webシステムへの侵害は急増している

2026年に公表された国内Webシステムの侵害のうち、約7割が7月以降に集中しています。マクニカ セキュリティ研究センターが2024年1月〜2026年10月6日に公表された国内のWebシステム侵害事案を集計した結果は、次のとおりです。

マクニカは、特定の企業を狙い撃ちするのではなく、インターネットに公開されたシステムを広く探索し、侵入できる所から攻撃している可能性を指摘しています。特に個人情報を扱うサービスが狙われているとみられます。

9月末から10月上旬にかけて公表された大規模事案だけでも、規模は桁違いです。

増加の背景として、攻撃にAIが悪用されている可能性も指摘されています。NHKの報道によると、セキュリティー会社は7月以降の被害増加を受けて、AI悪用の可能性が高いとみています。脆弱性の探索やアプリの解析は、AIで最も自動化しやすい作業です。

今年の夏以降、「鍵のかけ忘れ」を自動で探して回る泥棒が一気に増えた、とイメージするとわかりやすいです。

3. 手口は「既知の脆弱性」「API」「BIツール」の3つ

JPCERT/CCは10月8日、国内で相次ぐ不正アクセスについて3つの攻撃パターンを公表しました。注意喚起番号はJPCERT-AT-2026-0030です。ランサムウェアとは別に増えている恐れがある攻撃として、次の3つを挙げています。

どれも未知の高度な攻撃ではなく、「すでに知られている穴」を突く手口です。Metabaseの脆弱性はMetabase社が8月にゼロデイ攻撃を確認し、JPCERT/CCも8月14日に注意喚起を出していました。それでも被害が続いたのは、パッチの適用が攻撃のスピードに追いつかなかったためです。実際、社内用BIツールを悪用され約17万件が漏えいしたVOISINGは、修正プログラムの適用が間に合わなかったことを直接の原因に挙げています。

個人情報保護委員会の指摘も同じ方向です。2026年度第1四半期の監視・監督状況では、既知脆弱性の放置、推測しやすいID・パスワード、データベースのアクセス制御の設定ミスが不正アクセスの主な原因とされています。

「社内でしか使っていないから大丈夫」は通用しません。ネットから見えている時点で、攻撃者の探索リストに載っています。

4. 1件の侵害が数百社の「被害公表」に増える共有基盤の問題

クラウドやSaaSが1か所侵害されると、利用企業がそれぞれ被害を公表するため、件数が一気に膨らみます。10月には、IDCフロンティアの「IDCFクラウド」で障害が発生し、原因はランサムウェア攻撃と判明しました。影響はニッスイや茨城県など495の企業・自治体に及んでいます。

同じ構図は他にもあります。FAQシステム「i-ask」への不正アクセスでは大和証券（約11万人）やシチズン（約10万人）が影響を受け、ECプラットフォーム「ショップサーブ」への攻撃では885万件超が対象となり、多数の出店企業が個別に公表しました。ニュース上では「○社が被害」と並びますが、元をたどると攻撃は1件というケースが少なくありません。

被害のニュースが多いのは、「みんなが同じ大家さんの建物に住んでいる」ことの裏返しでもあります。

5. 公表ルールと日本の報道で「日本ばかり」に見えやすい

ここからは統計で裏付けられた事実ではなく、私の見立てです。日本は被害を公表する仕組みが強く、海外なら表に出ない規模の事案も報道されやすいと考えています。

加えて、攻撃者から見ると、日本は「効率のいい狩り場」になっている可能性があります。大量の会員情報を持つアプリが多く、退会者や本人確認書類まで保管されている例もあります（タイムズカーでは退会済み会員も対象）。その一方で、パッチ適用が遅れる組織が一定数ある。この組み合わせは、探索型の攻撃にとって好都合です。

なお、Qilinについては警察庁への取材で国内53社の被害が確認されています。拘束されたロシア国籍の男はドイツに引き渡され、現地当局が逮捕しました。犯人の摘発で攻撃が止まるわけではない点には注意が必要です。ランサムウェアは分業化が進んでおり、別のグループがすぐに入れ替わります。

ニュースの多さだけで「日本は危ない国」と悲観する必要はありません。ただ、「狙われやすい条件」を自社が持っていないかは見直すべきです。

6. 中小企業が今週やるべき点検は5つ

今回の手口はどれも基本対策で防げる範囲なので、まずは外から見えている部分の棚卸しから始めます。中小企業のWebサイトやECで、私がクライアントに優先して勧めているのは次の5項目です。

あわせて、利用目的を終えた個人情報や退会者データは削除しておくと、万一の際の被害件数を直接減らせます。JPCERT/CCも今回の注意喚起で、保存期間を過ぎたデータを残さないことを対策として挙げています。

まずは「ネットから何が見えているか」を把握すること。これだけで、今回の攻撃パターンの多くは避けられます。

7. よくある質問

Q. 日本は世界で一番サイバー攻撃を受けている国ですか？

いいえ。チェック・ポイントの観測では、1組織あたりの攻撃件数は日本が世界平均を下回っています。ただし前年比の増加率は高く、2026年6月にはAPACで最大の伸びを記録しました。

Q. 一連の漏えいは同じ犯人によるものですか？

現時点では断定できません。JPCERT/CC自身が、すべての事案で同じ手口が使われたことを示すものではないと説明しています。共通しているのは、ネットに公開されたシステムが広く探索されている点です。

Q. 小さな会社でも狙われますか？

狙われます。今回の攻撃は企業規模ではなく「侵入できる穴があるか」で標的を選んでいるとみられます。警察庁の統計でも、2026年上半期のランサムウェア被害123件は統計開始以来の過去最多で、中小企業の被害が多くを占めています。

Q. 自分の情報が漏れたかもしれない場合、個人は何をすればいいですか？

該当サービスのパスワードを変更し、同じパスワードを使い回している他サービスも変更してください。漏えい後は、実際の注文内容などを装ったなりすましメールが届く例も確認されています。メール内のリンクは開かず、公式アプリや公式サイトから確認するのが安全です。

8. まとめ

9〜10月の相次ぐ漏えいは、「日本が特別に狙われた」というより、「放置されていた穴が一斉に見つかった」出来事だと私は見ています。ニュースを見て不安になったら、それを自社のWebサイトや預け先を点検するきっかけにしてください。

怖がるより、点検する。今回のニュースから得られるいちばんの教訓はそれです。

参考リンク

• JPCERT/CC：直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT-AT-2026-0030）
• JPCERT/CC：MetabaseのSQLインジェクションの脆弱性（CVE-2026-72898）に関する注意喚起
• マクニカ セキュリティ研究センター：相次ぐWEBシステムからの情報漏洩事案について
• LOGISTICS TODAY：日本企業へのサイバー攻撃35%増、週1907件（2026年9月14日）
• 財経新聞：チェック・ポイント・リサーチ、2026年7月の主要なサイバー脅威を発表
• DXマガジン：日本へのサイバー攻撃が急増 前年比30%増（2026年6月分）
• ScanNetSecurity：日本の被害件数 アジアでトップ、MBSD「暴露型ランサムウェア攻撃統計」（2023年4月分）
• NHK：個人情報流出なぜ相次ぐ？“異様な状況”AI悪用可能性の指摘も
• セキュリティ対策Lab：個人情報保護委員会、第1四半期に141件を指導
• 熊本日日新聞（共同通信）：ランサム集団、日本で53社被害 ドイツ移送の男、当局が逮捕
• 熊本日日新聞（共同通信）：政府、情報漏えい続出で企業に注意喚起へ
• DXマガジン：警察庁 2026年上半期のサイバー空間をめぐる脅威の情勢
• 個人情報保護委員会

※攻撃件数はチェック・ポイントの観測網に参加する組織を母集団とした値で、日本全体の全数ではありません。マクニカの集計は公表された事案のみが対象で、非公表の被害は含まれません。リークサイトの国別件数（2023年4月）は参考値です。第5章の「日本ばかりに見える背景」および「効率のいい狩り場」という見方は、公開情報をもとにした私の推測です。各社の被害件数は2026年10月8日時点の公表内容に基づきます。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

では、海外はどうなのか。アメリカ、イギリス、フランス、ドイツ、韓国で、不正アクセスによって個人情報を流出させた企業が実際にいくら払ったのかを、公的機関の発表や裁判資料をもとに一覧表にまとめました。

調べてみると、「海外は桁違いに厳しい」という単純な話でもありませんでした。お金が動く仕組みが国ごとにまったく違い、被害者1人あたりの金額は日本と大差ない国もあります。今回は、その違いを表で整理したうえで、日本の中小企業が何をしておくべきかまで落とし込みます。

海外で巨額になるのは「被害者への賠償」より「国からの罰金」と「アメリカの集団訴訟」。仕組みの違いを知ると、日本で何が変わりそうかも見えてきます。

1. 日本の「500円お詫び」は本当に安く済んでいるのか

日本の大規模漏洩の代表例が、2014年に発覚したベネッセの顧客情報流出事件です。ベネッセは漏洩が確認された顧客に、500円分の金券を送るか、同額を子ども支援の基金へ寄付するかを選んでもらう形で補償しました。

その後の裁判でも金額は低く、東京地裁は関連会社に1人あたり3,300円の支払いを命じています（このときベネッセ本体への請求は棄却）。判決では、氏名や生年月日はある程度他人に開示されることが前提の情報で、秘匿性が高いとは言えないという考え方が示されました。

つまり「被害者1人あたりの金額」で見れば、冒頭の印象どおり日本はかなり低い水準です。ただし、ベネッセは補償の原資として200億円を準備したと公表しています。1人あたりは少額でも、対象が数千万人になれば企業全体の負担は大きくなる。この点は海外の事例を読むときにも重要になります。

なお、ベネッセ事件は委託先の派遣社員による持ち出しで、インターネット経由の不正アクセスではありません。日本の判例は、漏洩の経路にかかわらず「実害がなければ慰謝料は低い」という傾向がある、と押さえておけば十分です。

日本は「1人あたり」が安いだけで、人数が多ければ総額は大きくなります。安く済むかどうかは、人数と仕組みの掛け算で決まります。

2. 5か国の支払額を一覧表で比較

まず全体像です。「民事」は被害者への賠償・和解金、「行政」は国の監督機関による制裁金・課徴金を指します。この2つを混ぜると比較を誤るので、表では分けています。

※円換算は1ドル=150円、1ポンド=200円、1ユーロ=170円、1ウォン=0.11円で計算した概算です。実際の為替レートとは異なります。各数値の出典は本文と参考リンクに記載しています。

表を見ると、アメリカだけが「民事」で巨額になっていて、欧州と韓国は「行政」が中心だとわかります。ここからは国ごとに、なぜそうなるのかを見ていきます。

3. アメリカ：集団訴訟の和解金が数百億円になる仕組み

アメリカで金額が大きくなる最大の理由は、クラスアクション（集団訴訟）です。代表者が訴えると、辞退しない限り被害者全員が自動的に原告グループに含まれます。数千万人規模の請求を一度に抱えることになるため、企業は判決まで争うより、大きな和解基金をつくって決着させることが多くなります。

Equifax：行政と民事をまとめた包括和解

信用情報会社のEquifaxは、2017年の侵害で約1億4,700万人に影響を出しました。2019年、連邦取引委員会（FTC）、消費者金融保護局（CFPB）、48州などとの包括和解で、最大7億ドルの救済と制裁金を支払うことになりました。内訳は、消費者向けの救済が最大4億2,500万ドル、民事制裁金が1億ドルなどです。

T-Mobile：和解金とは別に「セキュリティ投資」も約束

通信大手T-Mobileは、2021年のハッキングで約7,660万人の情報を流出させました。集団訴訟の和解で3億5,000万ドルを支払い、さらに2022〜2023年にデータセキュリティへ1億5,000万ドルを追加投資することを約束しています。和解は2023年6月に裁判所の最終承認を受けました。

Capital One：和解と銀行監督当局の制裁金

Capital Oneは、2019年にクラウド上の顧客データへの侵入を受け、約9,800万人が和解の対象になりました。集団訴訟は1億9,000万ドルの基金で和解し、これとは別に通貨監督庁（OCC）から8,000万ドルの制裁金を科されています。

アメリカでは、カリフォルニア州の消費者プライバシー法（CCPA）のように、セキュリティ不備による漏洩に対して消費者1人あたり100〜750ドルの法定損害賠償を定める州法もあります。被害者が損害額を証明しなくても請求できるため、人数が多いほど企業の負担が膨らみます。

アメリカでは、被害者全員がまとめて請求してくると考えておくのが現実的です。和解金に加えて、セキュリティ投資まで約束させられることもあります。

4. イギリス：制裁金と集団訴訟の二段構え

イギリスでは、まず情報コミッショナー事務局（ICO）が制裁金を科し、その後に被害者が集団で賠償を求める、という流れが典型です。

British Airways：当初案1億8,300万ポンドから大幅減額

2018年、British Airwaysのサイトとアプリが改ざんされ、利用者が偽サイトに誘導されて約42万人の情報が盗まれました。ICOは当初1億8,300万ポンドの制裁金を予告しましたが、同社の反論やコロナ禍の影響を考慮し、2020年に2,000万ポンドへ減額しています。

その後、約1万6,000人が集団で賠償を請求し、2021年7月に和解しました。和解金額や1人あたりの額は非公開ですが、請求の中身は金銭的被害ではなく、不便・精神的苦痛・データに対するコントロールの喪失といった「非金銭的損害」でした。

Capita：ランサムウェア対策の不備で1,400万ポンド

アウトソーシング大手のCapitaは、2023年3月のランサムウェア攻撃で約660万人の年金記録や従業員情報を盗まれました。ICOは2025年10月、1,400万ポンドの制裁金を科しています。当初案は4,500万ポンドで、事後の改善や被害者支援が考慮されて減額されました。

ICOは、ペネトレーションテスト（侵入テスト）で弱点が少なくとも3回指摘されていたのに修正されていなかった点を問題視しています。「わかっていたのに直さなかった」ことが、制裁金を重くする典型的な理由になるわけです。

5. フランス：制裁金71億円でも被害者には戻らない

フランスの監督機関CNILは2026年1月、通信事業者のFree MobileとFreeに、それぞれ2,700万ユーロと1,500万ユーロ、合計4,200万ユーロの制裁金を科しました。2024年10月の侵入で、2,400万件の契約者データ（一部は銀行口座番号IBANを含む）にアクセスされた事件です。

CNILが指摘した違反は3つあります。

• 攻撃を難しくするための基本的なセキュリティ対策が不十分だった
• 被害者への通知内容が法律で求められる水準に足りなかった
• Free Mobileが元契約者のデータを、必要な期間を超えて保存していた

注目したいのは3つ目です。使わなくなったデータを持ち続けていたこと自体が違反とされ、6か月以内に整理・削除するよう命じられています。

一方で、CNILの制裁金は国に納められるもので、被害者には一切支払われません。フランスのメディアもこの点を指摘しており、被害者が賠償を受けるには、GDPR第82条にもとづいて自ら裁判所に訴えるか、認定消費者団体による集団訴訟を利用する必要があります。現時点では、Freeが被害者に賠償金を支払った事例は確認できませんでした。

6. ドイツ：「データを失っただけ」で1人100ユーロ

ドイツは、被害者個人への賠償について重要な判断が出た国です。2021年4月、106か国・約5億3,300万人分のFacebookユーザー情報がネット上に公開されました。電話番号の照合機能などを悪用して、第三者が自動でデータを集めた「スクレイピング」によるものです。

ドイツでは同様の訴訟が多数起こされ、下級審の判断は分かれていました。そこで連邦通常裁判所（BGH）は2024年11月18日の判決（VI ZR 10/24）で、悪用などの実害がなくても、データに対するコントロールを失ったこと自体が損害になりうると判断しました。そのうえで、特別な事情がない場合の賠償額は100ユーロ程度が妥当だとしています。

100ユーロは約1.7万円です。ベネッセ事件の3,300円と比べれば高いものの、アメリカのような桁違いの金額ではありません。ただ、ドイツの判断が重要なのは、「被害者が具体的な損害を証明しなくても賠償が認められる」という道を開いた点です。対象者が数百万人いれば、1人100ユーロでも総額は数百億円規模になりえます。

※この事案は、厳密にはシステムへの侵入ではなく、公開機能の悪用によるデータ収集です。ただし「企業の安全対策が不十分だった」として責任が問われた点で、不正アクセス事案と同じ構図で整理しています。

ドイツの1人約1.7万円は、単価としては控えめです。それでも「実害を証明しなくても払う」という考え方が広がると、人数次第で総額は一気に膨らみます。

7. 韓国：過去最大の課徴金と経営トップの辞任

5か国のなかで、ここ1年ほどで最も動きが大きいのが韓国です。韓国の個人情報保護法は、違反企業に売上高の最大3%の課徴金を科せる仕組みになっています。

Coupang：課徴金687億円、補償クーポン1,860億円、CEO辞任

韓国最大級のECサイトCoupangでは、2025年11月に約3,370万アカウントの情報流出が発覚しました。元従業員による不正アクセスとされています。2025年12月には当時のCEOが辞任し、同月末には1.69兆ウォン規模の補償として、1アカウントあたり5万ウォン（約5,500円）分の自社クーポンを配ると発表しました。

ただしこのクーポンは、旅行サービスや高級品サイトなど利用の少ないサービス向けの枠が大きく、国会議員や消費者団体から「補償ではなく販促だ」と強い批判を受けています。

さらに2026年6月、個人情報保護委員会（PIPC）は過去最大となる総額6,246.8億ウォンの課徴金を決定しました。このうち約4,235億ウォンが情報流出に対するもので、残りは外部サイトでの閲覧履歴を無断で収集・保存していた別の違反に対するものです。Coupangは行政裁判所で争う方針を示しています。

SK Telecom：USIM情報の流出で148億円

通信大手SK Telecomは、ハッキングにより約2,300万人分のUSIM関連情報を流出させました。2025年8月、PIPCは約1,348億ウォンの課徴金を科しています。USIM認証キー約2,600万件を暗号化せずに保存していたことなどが問題視されました。

民事でも動きがあります。PIPCの紛争調停委員会は2025年11月、申請者3,998人に1人30万ウォン（約3.3万円）を支払うよう調停案を示しましたが、SK Telecomは受け入れず、訴訟で争われることになりました。

韓国の裁判所が認める賠償額は「1人10万ウォン」が目安

韓国の裁判で個人への賠償額の目安になっているのが、2014年のカード会社3社の情報流出事件です。最終的に3社とも1人あたり10万ウォン（約1.1万円）の慰謝料支払いが確定しました（この事件は委託先社員による持ち出しで、不正アクセスではありません）。一方、2012年のKTへのハッキング事件では、下級審で10万ウォンの賠償が認められたものの、最高裁は企業の賠償責任を認めませんでした。

韓国でも、裁判所が認める個人への賠償額は1人1万円前後が中心です。巨額になっているのは、課徴金と、世論の圧力を受けた企業の自主補償だと整理できます。

韓国では、国の罰金も世間からの批判も非常に厳しく、社長の辞任にまでつながっています。裁判で認められる1人あたりの額は、実は日本と大きくは変わりません。

8. 日本と海外の違いを4つの軸で整理

ここまでの事例を、日本と比べやすいように4つの軸でまとめます。

この表からわかるのは、「海外は被害者1人に何十万円も払っている」というイメージは正確ではないということです。違いの本質は次の2点にあります。

• 被害者全員が一度に請求できる仕組みがあるか（アメリカの集団訴訟）
• 売上高に連動する重い行政罰があるか（GDPR、韓国の個人情報保護法）

日本は、この2つがどちらも弱いため、経営上の最大損失が見積もりやすい構造になっています。「セキュリティにお金をかけなくても致命傷にはならない」という判断が、ある意味で合理的に成り立ってしまっているわけです。

ただし、日本でも2022年4月の個人情報保護法改正で、一定の漏洩が起きたときの個人情報保護委員会への報告と本人への通知が義務になりました。また、EUや韓国の居住者を相手に商売をしていれば、日本の会社でも現地の法律が適用されます。越境ECやインバウンド向けの予約サイトを運営している中小企業は、すでに対象になっている可能性があります。

9. 海外では流出企業は「被害者」ではなく「責任者」

日本で不正アクセスの被害が発表されるとき、「当社は不正アクセスを受けました」「当社も被害者です」という言い方がよく見られます。たしかに、システムに侵入した犯人は別にいます。

しかし海外では、情報を流出させた企業は「攻撃された被害者」である前に、「預かったデータを守れなかった責任者」として扱われる傾向がはっきりしています。ここまで見てきた事例にも、その考え方が表れています。

法律が「攻撃されたか」ではなく「守る義務を果たしたか」を問う

GDPRは、データを扱う企業に、リスクに見合った安全対策を取る義務を課しています（第32条）。違反とされるのは「攻撃を受けたこと」ではなく、「対策が不十分だったこと」です。

アメリカでも、消費者金融保護局（CFPB）はEquifaxの件を、2017年の侵害に関連した「不公正で欺瞞的な行為」として訴えました。犯人の行為とは別に、企業自身の落ち度が企業の違反として切り分けられているわけです。

当局が「防げたはず」と認定する

各国の監督機関は、処分の理由として「防げた可能性」を繰り返し指摘しています。

• 英国ICO（Capita）：侵入テストで少なくとも3回指摘された弱点を修正していなかった
• 韓国PIPC（SK Telecom）：委員長が、より強い投資をしていれば防げた侵害であり、それが違反を重くしたという趣旨を述べた
• 韓国PIPC（Coupang）：管理の根本的な怠慢によるものと判断し、課徴金に加えて刑事告発も決定した

ここまで来ると、扱いは「巻き込まれた被害企業」ではなく、「被害の発生に加担した企業」に近いと言えます。

隠したり、知らせるのが遅れたりすると「加害者」になる

攻撃そのものは防げなかったとしても、その後の対応の不誠実さは、企業自身の行為として厳しく裁かれます。象徴的なのがUberの事例です。

Uberは2016年、約5,700万人の利用者・ドライバーの情報を盗まれました。同社はハッカーに10万ドルを支払ってデータを削除させ、それを脆弱性報奨金プログラムの支払いに見せかけて、1年以上公表しませんでした。2018年には、報告を怠ったとして全50州とワシントンD.C.に1億4,800万ドルを支払う和解をしています。

さらに2022年10月、当時の最高セキュリティ責任者が、連邦取引委員会（FTC）の手続きを妨害した罪などで有罪判決を受けました。情報漏洩をめぐって企業幹部が刑事訴追された、初めてのケースとされています。

ほかにも、SK Telecomは72時間以内の通知義務に違反したとして別途処分を受け、フランスのFreeも被害者への説明不足が違反とされました。「攻撃を受けた」ことより「隠した・遅れた」ことのほうが、企業を加害者の側に押しやると考えておくべきです。

それでも「責任なし」とされるケースがある

海外でも、流出させた企業が常に加害者扱いされるわけではありません。分かれ目は「合理的な対策を取っていたかどうか」です。

わかりやすいのが韓国の2つのハッキング事件です。SKコミュニケーションズは、会員のパスワードや住民登録番号を暗号化し、侵入の検知・遮断の仕組みも運用していたため、裁判所は賠償責任を否定しました。一方、管理がずさんだったKTには、下級審で1人10万ウォンの賠償が命じられています（KTについては、その後最高裁が責任を否定）。同じ「ハッキングされた企業」でも、事前の対策しだいで評価は正反対になるのです。

※この表は、本記事で取り上げた監督機関の処分理由と裁判例から共通点を整理したもので、各国の法令上の要件を網羅したものではありません。

日本の「当社も被害者」という発表とのギャップ

日本の個人情報保護法にも、個人データの漏洩を防ぐ「安全管理措置」の義務があります（第23条）。法律の建て付けは、海外と大きくは変わりません。

違うのは、社会の受け止め方です。日本では、企業が自らを被害者として発表し、報道も企業を被害者の側に置くことが少なくありません。賠償額の低さとあわせて、「流出させた側の責任」を問う圧力が弱いことが、セキュリティ投資が後回しにされやすい背景の一つになっていると私は考えています。

ただ、お客様の目線で見れば、自分の情報を預けた相手が漏らしたことに変わりはありません。万一のときの発表では、「当社も被害者」を前面に出すより、お客様の何が漏れたのか、お客様は何をすればよいのか、会社として何をするのかを先に伝えるほうが、信頼の回復につながります。

海外では「攻撃されたかどうか」より「守る努力をしていたか」「正直に知らせたか」で、被害者にも加害者にもなります。日本でも、お客様から見た評価の基準は同じです。

10. 中小企業が今日からできる5つの対策

海外の制裁事例を読むと、問題にされたポイントは驚くほど基本的なことばかりです。高額なシステムを入れる前に、次の5つから見直すことをおすすめします。

自社だけで判断が難しい場合は、IPA（情報処理推進機構）の「サイバーセキュリティお助け隊サービス」のように、中小企業向けに監視・駆けつけ・保険をまとめた低価格のサービスもあります。

<p>

</p>
<p>

</p>
<p>

</p>
<p>

</p>

海外で処分された理由の多くは「古いデータを消していない」「権限がゆるい」「暗号化していない」といった基本の抜けです。お金をかける前に、まず棚卸しから始めましょう。

よくある質問

Q. 海外の制裁金は、被害者に分配されるのですか？

多くの場合、分配されません。フランスのCNILやイギリスのICOの制裁金は国庫に入ります。被害者が賠償を受けるには、別に訴訟や集団での請求が必要です。アメリカのEquifaxのように、行政との和解のなかに消費者向けの救済基金が含まれるケースもあります。

Q. 日本の中小企業でもGDPRの制裁金を受ける可能性はありますか？

EU域内の人に商品やサービスを提供していたり、サイト上でEU域内の人の行動を追跡していたりすれば、GDPRが適用される可能性があります。上限は全世界売上高の4%または2,000万ユーロの高い方なので、中小企業でも理論上は2,000万ユーロ（約34億円）が上限になります。実際の金額は違反の程度や対応状況で決まります。

Q. 日本でも賠償額が上がる可能性はありますか？

判例が大きく変わったわけではないため、現時点で「上がる」と断言はできません。ただ、ドイツのように「実害がなくても、コントロールを失ったこと自体が損害」という考え方が国際的に広がっていること、日本でも報告・通知の義務化が進んでいることから、漏洩時の企業の負担は今後重くなる方向にあると考えるのが妥当です。

Q. サイバー保険に入っていれば安心ですか？

保険は費用面の備えとして有効ですが、多くは「法的に賠償責任があると確定した場合」に支払われる仕組みです。また、保険では信用の低下や取引停止までは補えません。保険は対策の代わりではなく、対策をしたうえでの最後の備えと考えてください。

まとめ

「日本は漏れても安く済む」という見方は、被害者1人あたりの金額だけを見れば当たっています。しかし海外で企業を追い込んでいるのは、まとめて請求される仕組みと、売上高に連動する罰金でした。日本の会社でも、海外のお客様を相手にしていればその仕組みの対象になりますし、国内でも取引先や顧客からの信用を失う損失は金額以上に大きくなります。まずは自社が持っている個人情報の棚卸しから始めてみてください。

大事なのは、罰金の大きさに怯えることではなく、海外で問題にされた基本の抜けを自社で一つずつ潰しておくことです。

参考リンク

• 米国消費者金融保護局（CFPB）：Equifax, Inc.
• 米国証券取引委員会（SEC）：T-Mobile US Form 8-K（2022年）
• Keller Rohrback：T-Mobile 2021 Data Breach（和解の最終承認）
• Tycko & Zavareei LLP：Capital One Data Breach $190 Million Settlement
• Hunton Andrews Kurth：British Airways Settles UK Breach Class Action
• Doyle Clayton：British Airways settles group action personal data claim
• 英国情報コミッショナー事務局（ICO）：ICO fines Capita £14m（2025年）
• Clifford Chance：ICO fines Capita for UK GDPR infringements
• CNIL：Violation de données : sanction de 42 millions d’euros à l’encontre des sociétés FREE MOBILE et FREE（2026年）
• Journal du Geek：Free の制裁金と被害者への補償に関する記事（2026年1月）
• Otto Schmidt：BGH v. 18.11.2024 – VI ZR 10/24（Facebookスクレイピング判決）
• Haufe：Das Scraping-Urteil des BGH zum Facebook-Datenleck
• 米国証券取引委員会（SEC）：Coupang, Inc. Form 8-K（2026年6月）
• Retail Insight Network：South Korea issues Won624.68bn fine on Coupang
• Reuters（Yahoo News掲載）：Coupang announces $1.18 billion compensation（2025年12月）
• Korea JoongAng Daily：Coupang rolls out data breach vouchers
• Light Reading：Privacy watchdog hits SKT with record $97M fine
• Byline Network：個人情報委、SKTに損害賠償1人30万ウォン支払い決定（韓国語）
• ニューシス：SKT、紛争調停案を受け入れない方針（韓国語）
• Anadolu Agency：South Korea imposes record fine on telecom company for user data breach
• SBS：Coupang Hit With Record 624.6 Billion Won Fine Over Data Breach
• アジア経済：SKコミュニケーションズとKTの情報流出訴訟の判断の違い（韓国語）
• ボアンニュース：カード3社情報流出事件の最後の判決（韓国語）
• モノリス法律事務所：ベネッセ個人情報流出事件と損害賠償リスク
• 弁護士ドットコムニュース：ベネッセ情報流出、1人3300円賠償
• Fortune（AP配信）：Uber’s former chief security officer convicted over cover-up of 2016 data breach
• Computing：Uber CSO Joe Sullivan convicted of concealing 2016 hack
• APH Networks（CNET記事の紹介）：Uber’s Former Head of Security Convicted
• GDPR-info.eu：GDPR第32条（取扱いの安全性）
• GDPR-info.eu：GDPR第83条（制裁金の一般条件）
• GDPR-info.eu：GDPR第82条（損害賠償請求権）
• カリフォルニア州司法長官：California Consumer Privacy Act（CCPA）

※本記事の金額は、各国の監督機関の発表、米国SECへの提出書類、裁判所判決および報道にもとづきます（2026年10月時点で確認できた情報）。
※円換算は1ドル=150円、1ポンド=200円、1ユーロ=170円、1ウォン=0.11円で計算した概算であり、実際の為替レートとは異なります。
※Coupangの課徴金はPIPCの発表額で、同社は行政訴訟で争う方針を示しているため、最終的な金額は変わる可能性があります。SK Telecomの紛争調停案（1人30万ウォン）は同社が受け入れておらず、確定した賠償額ではありません。
※British Airwaysの集団訴訟の和解金額は非公開です。
※ベネッセ事件と韓国カード3社事件は、委託先社員によるデータ持ち出しで、インターネット経由の不正アクセスではありません。各国の個人賠償の水準を示す参考として掲載しています。
※韓国の課徴金上限（売上高の最大3%）、GDPRの制裁金上限、CCPAの法定損害賠償額は、各法令の規定にもとづく一般的な説明です。個別の事案への適用は専門家にご確認ください。本記事は法的助言ではありません。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

ウイルスを防ぐだけでなく、「ファイルが外に出ても読ませない」ところまで面倒を見てくれるソフトです。

1. EXOセキュリティはウイルス対策・情報漏洩対策・IT資産管理が1つになったソフト

EXOセキュリティは、株式会社JIRAN JAPANが提供する法人向けのエンドポイントセキュリティです。エンドポイントとは、社員が使うPCのことです。ウイルス対策、情報漏洩対策、IT資産管理を1つのソフトでまとめて行えます。 想定している利用者は、情報システムの担当者がいない中小企業です。管理者がWeb上の管理画面で社員を登録し、「インストール案内メール送信」を押すと、各社員にインストール案内のメールが届きます。クラウド（AWS）で提供されるため、管理サーバーを社内に置く必要はなく、PCの状況はブラウザから確認できます。初期費用はかかりません。 ウイルス対策のエンジンには、Norton・Avast・AVGなどを傘下に持つGen DigitalグループのAviraのエンジンを使っています。ウイルス対策性能テスト「VB100」の認証を取得しており、Microsoft Virus Initiative（MVI）のメンバーにも加入しています。機能のアップデートは年2回以上とされています。 機能は大きく3つに分かれます。

脆弱性チェックでは、OSのアップデート、ファイアウォールの使用、スクリーンセーバー、パスワードの設定、共有フォルダ、USBの自動実行、主なソフトの更新状況などを自動で確認します。管理者は社員のPCごとに、対策が必要な項目を管理画面で確認できます。

2. 一般的なウイルス対策ソフトとの違いは「DLP」の有無

市販のウイルス対策ソフトの多くは、外から入ってくる脅威を止めるための製品です。専門用語ではEPP（Endpoint Protection Platform）と呼ばれます。 EXOセキュリティは、EPPに加えてDLP（Data Loss Prevention：情報漏洩防止）の機能を持っています。DLPは、中にある大事な情報が外に出ていくのを防ぐための仕組みです。プランは、ウイルス対策中心の「EPP（Endpoint protection）」と、DLPまで含む「ALL（All-in-one protection）」の2つです。

入ってくるものを止めるのが普通のウイルス対策、出ていくものを止めるのがEXOの強みです。その強みを丸ごと使えるのはALLプランです。

3. 暗号化ファイルを開ける条件は「社内ネットワーク」ではなく「同じ企業ID」

EXOセキュリティの暗号化は、「社内では普通に使えて、外に出ると暗号化されたまま」と説明されることがあります。大筋はそのとおりですが、正確な条件は少し違います。

「社内の人＝EXOが入ったPC」「外＝EXOが入っていないPC」と言い換えると、「社内では普通に使えて、外に出ると暗号化されたまま」という説明はそのとおりです。テレワーク中の社員も問題なく開けるので、在宅勤務がある会社でも使いやすい仕組みです。

鍵は「場所」ではなく「会社が配ったソフト」です。社員のPCなら家でも開けて、それ以外のPCでは開けません。

4. 暗号化の3つの方法と、社員の操作はどう変わるか

暗号化の3つの方法

右クリックのメニューには、ファイルを復元できない形で消す「ファイル完全削除」もあります。こちらもEPP・ALLの両方で使えます。古い名簿を処分するときに便利です。

検出の対象になる情報（ALLプラン）

機能表で、検出の対象として挙げられている個人情報は次の7種類です。

• マイナンバー
• クレジットカード番号
• メールアドレス
• 電話番号
• 郵便番号
• 運転免許証番号
• 基礎年金番号

個人情報ごとに「何件以上含まれていたら検出するか」を設定できます。たとえばメールアドレスが1件書かれているだけの文書まで引っかかると、現場が混乱します。件数の基準を決めておくと、本当に守るべき名簿だけを拾えます。 個人情報とは別に、「社外秘」「企画書」「設計書」「顧客」など、会社が指定したキーワードを含むファイルを機密データとして検出することもできます。 検査の方法は、新しく作ったファイルや変更したファイルをその場で調べる「リアルタイム検査」と、時間を決めて行う「予約検査」の2つです。対象の拡張子や容量の上限、クイックスキャンと一般スキャンの切り替えも設定できます。ただし、ファイルの中身をすべて読む検査なので、時間がかかる場合があると注意書きしています。初回は業務時間外に予約検査を回すのが無難です。

暗号化されたファイルの開き方

暗号化されたファイルは拡張子が変更になり、鍵のマークが付いたアイコンで表示されます。社員の操作は次のとおりです。

1. 暗号化ファイルをダブルクリックする
2. EXOセキュリティ用のフォルダに元のファイルが一時的に作られ、ExcelやWordで開く
3. いつもどおり閲覧・編集する
4. 作業が終わってしばらくすると、変更内容が自動で暗号化ファイルに反映され、一時的に作られたファイルは削除される

社員から見ると「ダブルクリックで開くだけ」なので、日々の業務が大きく変わることはありません。

社員はダブルクリックで普段どおり使えて、外に出すときだけ会社の承認が要る、という形です。

5. 暗号化を支える持ち出し制御（USB・アプリ・印刷・画面キャプチャ）

暗号化だけでは、画面を撮影されたり印刷されたりする漏洩は防げません。EXOセキュリティのALLプランは、暗号化の周りを持ち出し制御で固めています。さらに、暗号化されていない個人情報・機密データのファイルがアプリを通じて持ち出されるのを止める「ファイル持ち出し制御」もあります。

LINEやDropbox、Googleドライブなど、社員が個人的に使い慣れたサービスは、悪気のない持ち出しの経路になりがちです。どのアプリで、誰が、どのファイルを外に出したかが記録に残るだけでも、社内の意識は変わります。 最初からすべてをブロックすると、現場の業務が止まって不満が出やすくなります。まずは記録だけで運用し、誰がどんなファイルを持ち出しているかを把握してから、段階的に制限を強めるのが現実的です。

いきなり全部ブロックせず、まず「見える化」から始めると現場とぶつかりにくくなります。

6. 社員が勝手に外せない仕組みと、承認・ログの管理

どれだけ良い設定をしても、社員がソフトをアンインストールできてしまえば意味がありません。EXOセキュリティには、管理者側でソフトを守る機能がEPP・ALLの両方に用意されています。

ALLプランでは、これに承認管理が加わります。暗号化の一時解除・例外、デバイスの接続、ファイルの持ち出し、印刷について、社員がボタンひとつで承認を申請し、承認者が判断する流れです。承認の履歴もCSVで残せます。

7. 料金はALLプランで1台あたり月額600円（税別）推測です

公式サイトでは見積もりベースの案内となっているため、実際の契約金額は必ず見積もりで確認してください。

※ 

5台で月3,000円、1台あたり月600円で、個人情報の自動暗号化から持ち出し制御まで付く計算です。

8. 年間契約・ライセンスの数え方・対応OSなどの契約条件

料金と同じくらい大事なのが契約条件です。月額表示なので月単位で解約できると思いがちですが、実際は年間契約です。

契約とライセンスの条件

3台の事務所でも5ライセンス分の契約になります。残りの2ライセンスは、将来の増員や買い替え時の予備として考えておくと無駄になりません。

対応OSと動作環境

管理画面はEdge・Chrome・Firefoxで使え、表示言語は日本語・英語・韓国語です。最近増えているARM版のWindows PC（Snapdragon搭載機など）には対応していないので、PCの買い替えを予定している会社は注意してください。

9. 導入前にベンダーへ確認したい6つのポイント

導入前に、無料トライアルやベンダーへの質問で確かめておくと安心です。

契約前にトライアルで「開く・直す・外に渡す・やめる」の4つを試しておけば失敗しません。

よくある質問

Q. 取引先に暗号化ファイルを送ったら、相手は開けますか？

開けません。相手のPCにはEXOセキュリティ（同じ企業ID）が入っていないためです。取引先に渡すときは、承認を得て暗号化を解除してから送る必要があります。誤って暗号化ファイルを送っても中身は読まれないので、誤送信対策としても役立ちます。

Q. テレワーク中の社員の自宅PCでも使えますか？

会社が支給したPCにEXOセキュリティが入っていれば、自宅のネットワークからでも暗号化ファイルを開けます。開けるかどうかはネットワークの場所ではなく、PCにEXOが入っているかどうかで決まります。なお、社員の私物の自宅PCにもインストールすると、その分1ライセンスを使います。

Q. 安いEPPプランでも暗号化はできますか？

右クリックで任意のファイルやフォルダを暗号化する「手動暗号化」はEPPプランでも使えます。個人情報を自動で見つけて強制的に暗号化する機能や、USB・アプリ・印刷などの持ち出し制御はALLプランのみです。

Q. 個人情報が入っていない見積書も暗号化できますか？

できます。右クリックメニューの「暗号化設定」から、任意のファイルやフォルダを手動で暗号化できます。ALLプランなら、「社外秘」「見積」など会社で決めたキーワードを含むファイルを機密データとして検出することもできます。

Q. 社員が勝手に暗号化を解除したり、ソフトを削除したりできませんか？

強制暗号化されたファイルは、社員が自分で解除することはできません。解除には承認者による「一時解除」または「例外」の承認が必要です。承認者はグループ（部署）ごとに設定できます。また、エージェント削除防止の設定をすれば、社員がEXOセキュリティ自体を削除することもできません。

Q. Macでも暗号化機能は使えますか？

使えます。機能表では、個人情報の検出・強制暗号化、デバイス制御、アプリケーション制御、印刷制御はWindowsとmacOSの両方に対応しています。ただし画面キャプチャ制御と印刷の承認申請はWindowsのみです。Macが混在する職場では、使いたい機能がMacで動くかをトライアルで確認してください。

Q. 途中で解約できますか？

できません。年間契約（最低1年）で、契約期間中の解約・返金には対応していないと資料に明記されています。解約する場合は、契約期間満了日の1ヶ月前までに申し出る必要があり、申し出がなければ自動更新されます。

まとめ

まずはトライアルで「うちのPCにどれだけ個人情報があるか」を見てみるのが第一歩です。

参考リンク

• JIRAN JAPAN：EXOセキュリティ 特徴
• JIRAN JAPAN：EXOセキュリティ アップデート（情報漏洩対策機能の強化）
• ASCII.jp（PR TIMES）：EXOセキュリティ、IT資産管理・ウイルス対策・情報漏洩防止機能を強化した最新アップデートを実施（2024年11月）
• サテライトオフィス：パソコンウイルス対策ソフト for EXO セキュリティ
• ITreview：EXOセキュリティの製品情報

※料金は公式サイトでは見積もりベースの案内となっており、販売代理店や台数によって実際の見積額が異なる場合があります。
※VB100認証、導入社数などは提供元の資料による記載です。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

中小企業がAIでつまずく原因は、能力不足ではありません。総務省の調査でも、導入の懸念として最も多く挙がるのは「効果的な活用方法がわからない」でした。つまり、何に使えばいいかが見えないことが最大の壁です。今回は、その壁を外すために、特徴・他モデルとの比較・自社業務での具体例の順に並べます。

要は、高いモデルを我慢して使う必要がなくなった、ということですね。中小企業にとっては追い風です。

1. GPT-6.1 Solとはどんなモデルか

GPT-6.1 Solは、OpenAIが2026年9月29日の開発者向けイベント（DevDay）で発表した推論モデルです。2026年9月22日に出たGPT-6 Solの改良版で、位置づけとしては最上位のGPT-6 Astraの下、小型のGPT-6 Lunaの上に収まります。

特徴を一言でいえば、「上位モデルにほぼ並ぶ実力を、5分の1の価格で出す」こと。公式発表でも「エージェント的なコーディング、コンピュータ操作、実務作業において、GPT-6 Astraの知能にほぼ匹敵し、Astraの標準入出力トークン価格の5分の1で提供する」と説明されています。

仕様面で中小企業が知っておくべき点を整理します。

性能が上がったというより、同じ仕事が安くなったモデル。そこが中小企業にとっての価値です。

2. 他モデルとの比較（価格とベンチマーク）

ここが判断の核心です。まず価格を、同じ価格帯の競合と並べます。

GPT-6.1 SolとClaude Sonnet 5.5は同じ$2／$10の帯に並びますが、キャッシュ入力はSolのほうが半額です。この差は、同じ資料を繰り返し読ませる運用でじわじわ効いてきます。

次に、実際の作業能力を主要ベンチマークで比べます。

実力が近いなら、差はコストに現れます。OpenAIが示した「1タスクあたりの実行コスト」では、こうなります。

ここまで読むと「安いだけ」に見えるかもしれませんが、精度面でも前世代からの改善があります。難しい質問での事実誤り率は、推論を弱くした設定で11.4%から7.7%へ減りました（約32%減）。つまり安い設定でも、以前ほど間違えなくなったということです。

上位モデルと遜色ない実力で、値段は5分の1。日常業務なら、もうSolで十分という判断になります。

3. 中小企業にとって何が変わるか

総務省の調査では、日本企業のうち中小企業ほど「生成AIの活用方針を明確に定めていない」割合が高く、約半数に達します。方針が決まらない理由の多くは、費用と効果の見合いが読めないことです。

GPT-6.1 Solは、この見合いを変えます。ポイントは3つです。

• 試すまでの心理的な壁が下がる：1つの業務で月に数百円〜数千円規模から試せるため、失敗しても痛手が小さい
• キャッシュ入力の半減が効く：自社のマニュアルや規程を読ませて使い回す運用と相性がよい
• 「高いから我慢する」が不要になる：Astra相当の作業を日常的に回せる

ここは誤解されやすい点ですが、安いこと自体が目的ではありません。安いから「試してやめる」ができることが中小企業にとっての価値です。全社導入の稟議を通す前に、1つの業務で結果を出し、それを持って広げる。この順番が取れるようになります。

効果を確かめてから広げられる。これが中小企業にとって一番ありがたい変化です。

4. 業務別の具体的な活用例

中小企業で効果が出やすいのは、次の3系統です。順に具体例を挙げます。

例1：見積書・請求書の内容を転記する

取引先から届くPDFの見積書から、品目・数量・単価を拾って社内の一覧表に起こす作業は、地味に時間を取られます。GPT-6.1 Solは表や細かい注記を含む複雑な文書の読み取りを評価するGDP.pdfで、Claude Opus 5.5を上回り、上位のAstraとほぼ同水準に達しています。月に数百枚を処理する会社なら、ここだけで効果が見えます。

例2：受注・経費精算の手順を自動で回す

「メールを確認 → 受注システムに入力 → 在庫を確認 → 確認メールを返す」のような複数ツールをまたぐ手順は、AutomationBenchで前世代より4.8ポイント改善しました。Opus 5.5を上回りつつ、コストは3分の1です。手順が決まっている定型業務ほど、AIに渡す価値があります。

例3：社内マニュアルをまとめて検索できるようにする

105万トークンの入力枠があるため、就業規則・業務マニュアル・過去の議事録をまとめて読ませ、「うちの経費精算の締め日は？」と聞けるようにできます。キャッシュ入力が半額になったことで、この使い方が現実的な費用に収まります。

例4：議事録とメールの下書き

総務省の調査で、生成AIの利用が最も進んでいる業務はメール・議事録・資料作成の補助です。この領域は特別な設定が要らず、明日から試せます。まずはここから慣らし、効果を体感してから次へ広げるのが安全です。

例5：社内の小さなツール・定型レポートの作成

「売上データを集計して毎週レポートにする」「Excelの集計作業を自動化する」といった軽い開発も、GPT-6.1 Solで十分こなせます。コーディングで最上位に並ぶ実力がありながら、1タスク約$1.50で回せるため、外注するほどでもない小規模な改善に向きます。

例6：問い合わせ対応の下書きとナレッジ化

よくある質問への回答案を作り、対応履歴をナレッジとして蓄積する運用も現実的です。担当者が回答をゼロから書く時間を減らしつつ、判断は人が行う形にすれば、品質を落とさずに件数をさばけます。

特別なことは要りません。身近で繰り返しの多い作業を1つ選ぶところから始めるのが正解です。

5. 導入時に押さえる3つの注意点

費用より先に確認すべき点が3つあります。

3つめは、情報管理です。取引先の情報や個人情報を扱う業務では、入力してよい情報の範囲を社内で先に決めておきます。これは特定のモデルの問題ではなく、AI活用全体の前提として整えておくべき事項です。

つまずくのは能力ではなく段取りです。使う画面と情報の線引きを決めておけば、あとは流れに乗るだけです。

よくある質問

GPT-6.1 Solは無料で使えますか？

無料プランは対象外です。ChatGPTのPlus、Pro、Business、Enterprise、Eduと、APIが対象になります。中小企業ならBusinessプランかAPI利用が現実的な選択肢になります。

GPT-6 Astraとの違いは何ですか？

Astraは最上位モデルで、最も難しい科学研究やセキュリティ業務向けです。価格は入力$10／出力$50とSolの5倍。日常業務ではGPT-6.1 Solで十分な精度が出るため、よほどの専門用途でない限りSolで問題ありません。

コストはどれくらいかかりますか？

入力$2／出力$10（100万トークンあたり、いずれも標準価格）です。20万トークンほどの資料を読ませて2,000トークンの回答を得る単発処理なら、入力約$0.40＋出力約$0.02で、1件あたり数十円程度の試算になります。ただし実際の費用は文書量と手順の回数で変わるため、PoC（小規模な試行）で実測するのが確実です。

導入に専門知識は必要ですか？

チャットから使う分には不要です。API連携や自動化まで進める場合は、簡単な設定作業が発生します。まずはチャットで1業務を試し、効果を確認してから次の段階へ進むのが安全です。

やることは3つです。使う画面を決める、情報の線引きを決める、最初の業務を1つ選んで1週間回してみる。ここまで来れば、AIが自社で使えるかどうかの判断は、もう目の前まで来ています。

高いから我慢する時代は終わりました。小さく試して、効いた業務だけ広げていくのが近道です。

参考リンク

• OpenAI：Introducing GPT-6.1 Sol
• Vellum：GPT-6.1 Sol Benchmarks Explained
• DataCamp：GPT-6.1 Sol Features, Benchmarks, Pricing, and Access
• Surge AI：GDP.pdf Benchmark（開発元）
• TechCrunch：OpenAI launches GPT-6.1 Sol
• 総務省：令和7年版 情報通信白書「企業におけるAI利用の現状」

※価格・ベンチマーク・仕様は2026年9月29日のOpenAI発表および各社報道に基づきます。1タスクあたりのコストは公開ベンチマーク上の平均値で、実際の費用は利用量により変動します。コスト試算は公開価格に基づく簡易的な目安です。中小企業の調査結果は総務省「令和7年版情報通信白書」の対象企業に基づくもので、企業規模により傾向が異なります。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

スーパーで缶ビールを手に取ったとき、「最近どのメーカーも値段が上がったな」「どれも似たような値段だな」と感じた方は多いと思います。その値上げが、もし各社の話し合いで決められていたとしたら……というのが今回の疑惑の核心です。

一方で、ニュースを見て「カルテルって何？」「談合とは違うの？」と疑問に思った方も少なくないはずです。言葉はよく聞くものの、違いを説明できる人は意外と多くありません。

今回は、ビール4社の疑惑の中身を報道ベースで整理したうえで、カルテルと談合の違いをたとえ話と表で分かりやすく解説します。最後に、中小企業が同じ落とし穴にはまらないための具体的な対策もまとめました。

要するに「ライバル同士が裏で値段をそろえる」のがカルテル。業界の集まりで値段の話をするだけでも危ない、と覚えておけば大丈夫です。

1. ビール大手4社に公取委が強制調査（何が起きたか）

2026年10月7日、公正取引委員会（公取委）は独占禁止法違反（不当な取引制限）の疑いで、ビール大手4社の本社などに強制調査に入りました。毎日新聞、TBS、時事通信などが関係者への取材として報じています。

ビール酒造組合には、4社に加えて沖縄のオリオンビールも加盟しています。ただ、海外メディアの報道によると、オリオンは問題とされる話し合いには参加していなかったとされています。

サントリーは顧客や取引先に心配をかけたことを謝罪する声明を出し、キリンホールディングスは業績への影響はまだ判断できないとしています。公取委の岩成博夫事務総長は定例会見で、調査が行われていることは否定しないものの、詳細についてはコメントを控える姿勢を示しました。

株式市場も反応し、報道によればサッポロが一時3%台後半、キリンが3%強、アサヒが2%台半ばの下落となりました（サントリーは非上場）。

日本のビールのほぼ全部を作っている4社が、そろって調べられているという状況です。

2. 疑われている手口：「一木会」に合わせた非公式の集まり

TBSの報道によると、疑われている手口は次のようなものです。

• ビール酒造組合では、毎月第1木曜日に「一木会（いちもくかい）」と呼ばれる会合が開かれていた
• その会合に合わせて、4社の本社の営業課長クラスが非公式に集まっていた
• そこで値上げ幅の具体的な目標を決めるなどしていたとみられる
• こうした不適切な情報交換は、数年前、あるいはそれ以上前から続いていた可能性がある

海外メディアがNHKの報道として伝えたところでは、焦点は2022年10月と2025年4月の値上げとされています。どちらも4社がほぼ同じタイミングで実施した値上げです。

正式な会議の「ついで」に、担当者同士で値上げの相談をしていたのでは、という疑いです。

3. 「強制調査（犯則調査）」が異例と言われる理由

公取委の調査には大きく2種類あります。

今回は後者の「犯則調査権限」が使われました。つまり公取委は、最初から刑事事件に発展させることを視野に入れているということです。

毎日新聞によれば、価格カルテルの疑いでビール大手に強制調査が入るのは初めてです。また、NHKの報道を引いたJapan Timesは、食品・飲料分野で公取委が犯則調査に踏み切ったのは初めてだと伝えています。犯則調査の行使自体も、2025年9月の軽油販売カルテル以来です。

「行政のお叱り」で終わらせず、「犯罪として裁く」ことを前提にした調査。それだけ重く見られているということです。

4. 背景：9割超を握る4社と、そろった値上げ

今回の疑惑がこれほど注目される理由は、市場の大きさと、4社の存在感にあります。

• シェア：4社で国内ビール市場の9割超を占める寡占市場
• 市場規模：国税庁のデータでは、2024年のビールの市場規模は約1兆1,500億円（TBS報道）。発泡酒などを含めると約1.61兆円（Japan Times報道）

直近の値上げの経緯も振り返っておきます。

各社はいずれも原材料費や物流費の高騰を値上げの理由に挙げてきました。コストが上がれば値上げすること自体は問題ありません。問題になるのは、その値上げの幅やタイミングを、競争相手同士で事前に話し合って決めていたかどうかです。

値上げそのものは悪くありません。ライバル同士で「いくら上げるか」を相談していたかどうかが問われています。

5. カルテルとは？ラーメン屋のたとえで理解する

カルテルとは、同業の会社同士が示し合わせて、本来それぞれが自由に決めるべき価格や販売量などを一緒に決めてしまうことです。

カルテルで取り決められる内容には、主に次のようなものがあります。

• 価格：値上げ幅、値上げ時期、最低価格（今回のビールの疑いはこれ）
• 数量：生産量や出荷量を絞って値崩れを防ぐ
• 市場・顧客の分割：「東日本はA社、西日本はB社」「この取引先には手を出さない」

契約書がなくても成立する

カルテルは、正式な契約書がなくても成立します。会合で目安を話し合い、お互いに「そうしよう」と了解した時点で違法になり得ます。過去の最高裁判決でも、合意をした時点で罪が成立し、実際にその価格で売ったかどうかは問わないという考え方が示されています。

「追随値上げ」はカルテルではない

逆に、1社が値上げしたのを見て、他社が自社の判断で追随するだけなら、それ自体はカルテルではありません。業界のトップ企業が値上げし、他社がそれに合わせる「プライスリーダーシップ」は、寡占市場ではよく見られる現象です。

違法かどうかの分かれ目は、事前に示し合わせた（意思の連絡があった）かどうかです。ビールの件で、営業課長たちが集まって値上げ幅の目標を決めていたかどうかが焦点になっているのはこのためです。

「様子を見て合わせる」はセーフ、「事前に相談して合わせる」はアウト。この差がとても大きいんです。

6. カルテルと談合の違いを表で整理

カルテルとよく並べて語られるのが「談合」です。

談合（正式には入札談合）とは、入札で、参加する業者同士が事前に「今回はどこが落札するか」「いくらで入札するか」を決めておくことです。

国や自治体の工事は、本来いちばん安い（または条件の良い）金額を出した業者が受注する仕組みです。ところが業者同士で「今回はA社の番。A社は9,800万円で入れるから、他の社はそれより高く入れて」と決めておくと、形だけの競争になり、発注者（公共工事なら税金）が割高な金額を払うことになります。順番に受注を回す「持ち回り」がよくあるパターンです。

カルテルは「売る値段をそろえる」、談合は「入札の勝ち負けを決めておく」。どちらも競争をなくして、買う側に余計なお金を払わせる行為です。

7. 今後どうなる？軽油カルテル事件から見る流れ

今後の展開を考えるうえで参考になるのが、直近の軽油カルテル事件です。

強制調査から告発までは約7カ月でした。ビールの件が同じようなペースで進むとすれば、告発するかどうかの判断は2027年前半ごろになる可能性があります（あくまで過去事例からの推測です）。

違反と認定された場合のペナルティ

独占禁止法の一般的な規定では、不当な取引制限に対して次のようなペナルティがあります。

• 刑事罰（法人）：5億円以下の罰金
• 刑事罰（個人）：5年以下の拘禁刑または500万円以下の罰金
• 行政処分：排除措置命令、課徴金納付命令（対象商品の売上高の原則10%）

なお、カルテルの期間、リーニエンシー（自主申告による課徴金減免制度）の利用の有無、個人が告発対象になるかなどは、10月7日時点では報じられていません。

結論が出るまでには時間がかかりそうです。続報が出たら、どの値上げが対象になったのかに注目しましょう。

8. 中小企業が今日からできるカルテル予防

「大企業の話でしょう」と思われるかもしれませんが、実は今回の構図は中小企業にとっても他人事ではありません。業界団体の会合の「ついで」に、営業担当者同士が価格の目安を話すという状況は、地方の組合や同業者の集まりでも起こりやすいからです。

時々、中小企業の支援の現場で業界の集まりの話を聞くことがありますが、「みんな大変だから値上げしよう」という雑談が悪意なく出てくる場面は珍しくないと感じます。

値上げは自社の数字だけで決める。同業者と値段の話はしない。この2つを守れば、カルテルの疑いはまず避けられます。

よくある質問

Q. 4社とも同じ時期に値上げしたら、それだけでカルテルになるのですか？

なりません。原材料費の高騰など同じ外部要因があれば、各社が自主的に判断して同じ時期に値上げすることは十分にあり得ます。違法になるのは、事前に各社で値上げの幅や時期を示し合わせた場合です。

Q. 今回の疑惑で、ビールの値段は下がるのですか？

現時点では分かりません。調査はまだ始まったばかりで、違反が認定されるかどうかも決まっていません。各社がすぐに価格を改定するという報道も、10月7日時点ではありません。

Q. カルテルと談合、どちらが重い罪ですか？

独占禁止法上はどちらも同じ「不当な取引制限」で、罰則の枠組みも基本的に共通です。ただし入札談合には刑法の談合罪や、官製談合を防ぐための法律も別にあるため、事件によって適用される法律が異なります。

Q. 業界団体に参加すること自体がリスクなのですか？

いいえ。業界団体は、制度改正の要望や業界共通の課題への取り組みなど、正当な活動を行う場です。リスクになるのは、そこで価格や数量など競争に関わる情報を同業者とやり取りすることです。

Q. 自社がカルテルに関わってしまったかもしれない場合は？

早めに弁護士に相談してください。独占禁止法には、違反を自主的に公取委へ申告すると課徴金が減免されるリーニエンシー制度があり、申告の順番が早いほど有利になります。

まとめ

今回の件は、大企業のニュースであると同時に、「業界の集まりでの何気ない会話」がどれほど大きなリスクになり得るかを示す事例でもあります。自社の値段は自社の数字で決める。この当たり前を、改めて社内で確認するきっかけにしてみてください。

ニュースを「他人事」で終わらせず、自社の会議や同業者の集まりを一度見直してみましょう。

参考リンク

• 毎日新聞（Yahoo!ニュース）：ビール大手4社がカルテルか 公取委が強制調査、刑事告発も視野
• TBS NEWS DIG（Yahoo!ニュース）：「ビール」価格めぐり大手4社がカルテルか 公正取引委員会が強制調査
• TBS NEWS DIG（Yahoo!ニュース）：ビール大手4社にカルテル疑い 数年前から価格調整か
• 時事ドットコム：ビール４社、カルテルの疑い 数年にわたり出荷価格調整か
• The Japan Times：Japan watchdog raids four major brewers over suspected beer price cartel
• Time News：Japan Fair Trade Commission Raids Asahi, Kirin, Sapporo, and Suntory
• 政府広報オンライン：独占禁止法 不当な取引制限を禁じて公正な競争を促進
• 内閣府：独占禁止法と証券取引法の課徴金及び刑事罰の比較（資料）
• ニュースイッチ：ビール4社が酒類一斉値上げ…原料価格高騰響き
• macaroni：2025年4月に価格改定。ビールはどのくらい値上げされた?
• LOGISTICS TODAY：軽油カルテル疑いで石油販売5社を刑事告発、公取委
• 秋田魁新報：東京地検、石油販売会社を捜索 特捜部、軽油価格カルテル容疑で

※ビール4社の疑惑に関する内容は、2026年10月7日時点の報道（関係者への取材に基づくもの）を整理したものです。公取委による違反の認定や刑事告発はまだ行われておらず、今後の調査で事実関係が変わる可能性があります。
※オリオンビールの不参加、焦点となる値上げ時期（2022年10月・2025年4月）、株価の下落率は海外メディアの報道に基づきます。
※市場規模は国税庁のデータを報道機関が引用した数値です。ビール単体（約1兆1,500億円）と発泡酒等を含む数値（約1.61兆円）で集計範囲が異なります。
※値上げ率（2025年4月：3〜12%程度）は報道・酒販店の情報に基づく目安で、メーカーの公表値ではありません。
※刑事罰・課徴金は独占禁止法の一般的な規定であり、今回の事案で科されるペナルティを示すものではありません。2025年6月の刑法改正により「懲役」は「拘禁刑」に改められています。
※告発時期の見通しは、軽油カルテル事件の経過をもとにした推測です。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

そこで、SEOの現場で長く使われているのが Screaming Frog SEO Spider です。サイト全体を自動で巡回し、技術的な問題を一覧にしてくれるツールで、私も自社サイト（murakami.pro）のメタディスクリプション未設定ページを洗い出すのに使いました。

ただ、画面は英語でタブも多く、「結局なにができるのか」「無料版でどこまで使えるのか」がわかりにくいツールでもあります。今回は、中小企業のWeb担当者の方が最初につまずきやすいポイントに絞って、SEO Spiderでできること・便利な点・無料版と有料版の違いを整理します。

手作業では見落とすサイトの不具合を、まとめて見える化してくれる「サイトの健康診断ツール」です。

1. Screaming Frog SEO Spiderはサイト全体を巡回する診断ツール

Screaming Frog（スクリーミングフロッグ）は、イギリスのSEO・広告運用エージェンシーです。自社で開発したSEOツールを2つ提供しています。

今回取り上げるのは、利用者の多い SEO Spider です。公式サイトによると、300種類以上のSEO上の問題・警告・改善ポイントを検出できます。

特徴は、クラウドサービスではなく、自分のパソコンにインストールして動かすデスクトップアプリである点です。Windows・Mac・Linuxに対応しています。クラウド型のツールのようにURL数に応じた従量課金がないため、何度クロールしても追加費用はかかりません。

Googleのロボットと同じ目線で、自分のサイトを点検できるツールです。

2. 画面のタブ別にわかる「チェックできること」

SEO Spiderの画面は、大きく4つのエリアに分かれています。

上部のタブで確認できる主な内容は次のとおりです。

右側のパネルにある 「Issues」タブ には、検出された問題が重要度つきで一覧になっています。各問題には説明と対処方法も表示されるので、慣れないうちは まずIssuesを見る のが近道です。

タブが多くて迷ったら、右側の「Issues」から見れば大丈夫です。

3. 実務で便利な5つの使いどころ

① リンク切れとリダイレクトを一括で見つける

404エラーになっているリンクと、そのリンクが貼られている元ページをまとめて書き出せます。リダイレクトが何重にもつながっている「リダイレクトチェーン」や、ループしているものも検出できます。サイトリニューアル後の確認には特に役立ちます。

② title・descriptionの抜けと重複を洗い出す

WordPressで記事が増えてくると、ディスクリプションの書き忘れや、似たタイトルの重複が必ず出てきます。私も自社サイトで、メタディスクリプション未設定のページをSEO Spiderで抽出しました。対象URLが一覧で手に入るので、修正作業の段取りが一気に立てやすくなります。

③ 意図しないnoindexを見つける

テーマやプラグインの設定変更で、気づかないうちに大事なページにnoindexが付いていることがあります。「Directives」タブで、インデックスされない設定になっているページを確認できます。

④ Excel・CSVに書き出して改善リストにする

URL、タイトル、ディスクリプション、見出しなどの要素をスプレッドシートに書き出せます。クライアントへの改善提案や、制作会社への修正依頼の元データとしてそのまま使えます。

⑤ XMLサイトマップを作る

クロール結果から、XMLサイトマップや画像用のサイトマップを生成できます。含めるURLや更新日の設定も細かく調整できます。

「どこを直せばいいか」が一覧になるので、修正の段取りがぐっと立てやすくなります。

4. 無料版と有料版の違い｜連携機能は有料

SEO Spiderは無料でダウンロードでき、ユーザー登録やメールアドレスの入力も不要です。ただし、無料版には次の制限があります。

公式サイトでは、無料版で制限される機能として「クロール設定」「クロールの保存」「JavaScriptレンダリング」「カスタム抽出」「API連携」が挙げられています。GA4・Search Console・PageSpeed InsightsはいずれもAPI連携なので、有料版の機能です。

AI連携も各社のAPIで接続する仕組みなので、有料版の機能と判断しています。ただし、公式ページでAI連携を名指しして有料と書いた文言は確認できなかったため、表では「推定」としました。

まずは無料版で基本チェックを試し、データ連携や定期チェックが必要になってから有料版を検討すれば十分です。

5. 最新版v24の新機能｜AIから操作できるMCP連携

2026年5月19日にバージョン24.0が公開され、6月29日には修正版の24.3が出ています。主な新機能は次のとおりです。

中でも注目は MCP連携 です。「このサイトをクロールして、問題を重要度順にまとめて」とAIに頼むだけで、SEO Spiderの操作から集計までを任せられるようになりました。公式ブログでも、経験あるSEO担当者の代わりになるものではなく、日々の作業を効率化するための機能だと位置づけられています。

AIに「調べて」と頼むだけで、サイト診断ができる時代になってきました。

6. 日本語サイトで使うときの3つの注意点

注意① 文字数の判定基準は英語向け

Meta Descriptionの初期設定では、「155文字超」「70文字未満」が問題として判定されます。これは英語サイト向けの基準です。日本語のディスクリプションは70文字未満でも普通にあるため、そのままだと多くのページが「短すぎ」と表示されてしまいます。

日本語サイトでは、文字数ではなくPixel（画面上の表示幅）の判定を見るか、設定（Config → Spider → Preferences）で基準値を変更するのがおすすめです。

注意② 無料版の500URLはすぐ埋まることがある

WordPressでは、記事ページのほかにタグ・カテゴリー・日付アーカイブ・画像ファイルのURLもカウントされます。記事が100本程度でも、500URLの上限に届く場合があります。

注意③ 共用サーバーへの負荷に気をつける

クロールは短時間に大量のアクセスを送ります。共用のレンタルサーバーで運用しているサイトでは、設定（Config → Speed）で速度を落としてから実行すると安心です。クライアントのサイトをクロールするときは、事前に一言伝えておくとトラブルを避けられます。

英語向けの初期設定のまま使うと、問題でないものまで「問題」と表示されるので注意しましょう。

7. 中小企業サイトの初回診断は6ステップで進める

初めて使う場合は、次の順番で進めると迷いません。

ディスクリプションの書き直しが大量に必要な場合は、書き出したURLの一覧をもとに、内容のリライトとあわせて計画的に進めるのが効率的です。

よくある質問

Q. 無料版だけで十分ですか？

ページ数が数百程度の中小企業のサイトであれば、リンク切れやtitle・descriptionのチェックは無料版で十分に役立ちます。GA4やSearch Consoleのデータと組み合わせて分析したい場合や、定期的に自動チェックしたい場合は有料版を検討してください。

Q. Google Search Consoleがあれば不要ではありませんか？

役割が違います。Search Consoleは「Googleがどう認識したか」の結果を見るツールで、SEO Spiderは「今のサイトに問題がないか」を自分で点検するツールです。公開前や修正直後の確認はSEO Spider、検索での評価はSearch Consoleと使い分けるのがおすすめです。

Q. MacやLinuxでも使えますか？

使えます。Windows、macOS（Apple Silicon・Intel）、Linux（Ubuntu・Fedora）向けのインストーラーが公式サイトで配布されています。

Q. 安全に使えますか？

必ず公式サイトからダウンロードしてください。公式サイトでは各インストーラーにSHA256ハッシュ値が公開されており、ファイルが改ざんされていないかを確認できます。他人のサイトをクロールするときは、サーバーに負荷をかけないよう速度を落として実行しましょう。

Q. 有料ライセンスは社内で共有できますか？

ライセンスはユーザー単位なので、使う人数分が必要です。5ライセンス以上はまとめ買いの割引があります。

まとめ

サイトの不具合は、検索順位だけでなく、問い合わせや来店につながる導線にも影響します。まずは無料版でトップページからクロールして、Issuesタブに何が表示されるかを確認してみてください。最初の1回で、手作業では気づかなかった改善点がきっと見つかります。

まずは無料版で1回クロールしてみる。それだけで、サイトの「直すべき場所」が見えてきます。

参考リンク

• Screaming Frog：SEO Spider（製品ページ・無料版と有料版の比較）
• Screaming Frog：SEO Spider Pricing
• Screaming Frog：Screaming Frog SEO Spider Update – Version 24.0（2026年5月）
• Screaming Frog：SEO Log File Analyser

※価格・機能・バージョン情報は、2026年10月7日時点のScreaming Frog公式サイトの表示にもとづきます。価格は公式サイトの表示通貨（英ポンド・米ドル）で記載しており、日本円での支払額は為替レートによって変わります。
※AI連携が有料版限定である点は、公式の「API連携は無料版で制限」という記載からの推定です。MCP連携の無料版での可否は確認できていません。
※日本語サイトでの文字数基準の扱い、500URLに届く目安、クロール速度の調整などは、実務経験にもとづく一般的な目安であり、サイトの構成によって異なります。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

採用管理サービス「ApplyNow」1社への不正アクセスでは、吉野家や広島県福山市を含む12以上の企業・自治体が、応募者情報の流出を公表する事態になりました。予約システムのファインズでは約153万件、宿泊予約管理の「手間いらず」では予約者に不審なメッセージが届いています。

今回は、委託先・SaaS経由の被害、企業システムへのランサムウェア、メールの踏み台化、そして公共・研究・報道機関の事案をまとめて整理しました。外部サービスを使う側の会社がどこを確認すればよいかも、チェックリストにしています。

システムを外部に任せても、お客様の情報を預かっている責任は自社に残ります。「どこに、何を預けているか」を把握することが第一歩です。

1. この記事で扱う事案の一覧

2. ApplyNow：1社の穴から自治体・企業へ被害が連鎖

何が起きたか

採用管理プラットフォーム「ApplyNow」では、利用していたデータ分析ツールの脆弱性を突かれ、2026年8月9日から9月7日にかけて不正アクセスを受けました。ApplyNowは9月7日に異常を検知して遮断し、パッチの適用と新しいサーバーへの移行を行っています。

ApplyNowは自治体の職員採用試験や企業のアルバイト採用に使われていたため、9月中旬以降、利用していた組織が次々に応募者・受験者情報の流出を公表しました。piyologのまとめによると、影響を公表した組織は12以上にのぼります。

使い終わった外部サービスに、お客様や応募者のデータが残っていないか。解約したサービスこそ、一度確認してみる価値があります。

3. 予約・EC・サーバーなどSaaS事業者が破られた事案

ファインズ：予約システムから約153万件

ファインズは9月25日、同社が提供する予約システムに第三者による不正アクセスがあり、1,536,322件の個人情報が漏えいした恐れがあると公表しました。9月22日に異常を検知しています。対象は予約者の氏名、電話番号、メールアドレス、予約店舗、予約メニュー、予約日時です。利用していた店舗名は公表されていませんが、件数から見て多くの業種・店舗の予約者が含まれるとみられます。

手間いらず「TEMAIRAZU」：予約者に不審なメッセージ

ホテル・旅館向けの予約管理システム「TEMAIRAZU」に不正アクセスがあり、宿泊者情報が閲覧または取得された可能性があります。複数の施設の予約者に、WhatsApp・WeChat・メール・SMSで不審なメッセージが届いたことが確認されています。クレジットカード情報はシステムで保有していません。

スマレジEC：4社の環境に不正アクセス

ECサイト構築サービスのスマレジECは9月25日、管理画面のログイン機能にあった脆弱性を突かれ、4社の顧客環境に不正アクセスがあったと公表しました。

ConoHa WING：レンタルサーバーに不正プログラム

GMOインターネットのレンタルサーバー「ConoHa WING」では、収容ホストに不正アクセスがあり、不正なプログラムが設置されました。対象は426アカウントで、不正アクセスは9月3日に始まり、18日に排除されています。侵入経路は公表されていません。

予約やECの仕組みを外部サービスに頼っている会社は、事業者からの「重要なお知らせ」メールを見逃さないようにしてください。最初の連絡が遅れると、お客様への案内も遅れます。

4. 企業システムへの不正アクセスとランサムウェア

エスケーロジの事案は、物流会社のシステムが止まると荷主企業の出荷にも影響が出ることを示しています。前回まとめた京王電鉄グループや佐川急便と同じく、「自社は無事でも取引先が止まると業務が止まる」構図です。

取引先のシステムが止まったときに、電話やメールで受発注を続けられるか。紙1枚でいいので、代替手順を決めておくと安心です。

5. メールサーバー・アカウントが詐欺メールの踏み台に

ローソン：約70万件の英文メール

ローソンは10月1日、同社のメールサーバーが第三者に不正利用され、9月25日15時ごろから27日17時15分ごろにかけて、不審な英文メール約70万件（推計）が送信されたと公表しました。件名は「Mutual Benefit」や「RE」で、金銭の取得を示唆する内容です。送信先の大半は海外でした。個人情報の流出やデータセンターへの侵入、マルウェア感染は確認されていないとしています。

東洋紡せんい／東洋紡エムシー：受信側にも被害が連鎖

東洋紡せんいでは従業員のメールアカウントが乗っ取られ、約1,500件のフィッシングメールが送信されました。これを受け取ったグループ会社の東洋紡エムシーでも、従業員2名がアカウントの被害に遭っています。日本経済新聞社のなりすましメールから日経BPに被害が広がったのと同じ構図です。

6. 公共・研究・報道機関の事案

鳥取県：放射線モニタリングの主監視局が暗号化

鳥取県は9月3日、島根原発や人形峠環境技術センター周辺の環境放射線を監視するシステムが、9月2日にランサムウェアの被害を受けたと公表しました。県庁内の主監視局のサーバーが暗号化されて停止しましたが、遠隔地にある副監視局は無事で、監視は継続できています。システムは県庁の行政ネットワークとは分離された専用ネットワークで運用されていました。

バックアップの監視局を別の場所に置いていたことで、住民の安全に関わる機能が止まらずに済んだ例です。

日本原子力研究開発機構（JAEA）：身分証画像など175人分

JAEAは10月1日、研究用原子炉JRR-3の研究支援サイトに不正アクセスがあり、2026年5月以降に登録されたファイル2,419件が外部からダウンロードされたと公表しました。このうち367件・175人分に個人情報が含まれ、運転免許証・マイナンバーカード・パスポート・在留カードなどの身分証画像200件、放射線の特殊健康診断結果146件などが含まれています。9月25日に外部接続を遮断し、警察と個人情報保護委員会に報告しています。

そのほかの機関

公共機関でも、ランサムウェア対策の基本は同じです。鳥取県の例のように「止まっても別の場所で動き続ける仕組み」があるかどうかで、被害の大きさが変わります。

7. 外部サービスを使う会社のチェックリスト

中小企業でも、採用サイト、予約システム、ネットショップ、メルマガ配信など、複数の外部サービスを使っているのが普通です。全部を自社で守るのは無理でも、「何を、どこに、いつまで預けているか」を一覧にするだけで、事故が起きたときの初動が大きく変わります。

まずは「個人情報を預けている外部サービス」を思いつく限り書き出してみてください。5つ以上出てくる会社がほとんどです。

2026年秋の事案の一覧と共通点は、総まとめ記事でまとめています。

8. よくある質問

外部サービスが原因でも、自社が責任を負うのですか？

個人情報保護法では、業務を委託した会社は委託先を監督する義務があります。漏えいが起きた場合も、お客様への説明や個人情報保護委員会への報告は、委託した側（今回なら吉野家や各自治体）が行っています。委託先の事故でも、お客様から見れば「預けた会社」の問題です。

ApplyNowで採用試験を受けました。何をすればいいですか？

受験した自治体や応募した企業の公式サイトで、対象者への案内を確認してください。採用担当を名乗るメールや電話でお金や追加の個人情報を求められたら、公式の電話番号に問い合わせて確認するのが安全です。

レンタルサーバーやSaaSを選ぶとき、何を見ればいいですか？

管理画面の二段階認証に対応しているか、不正アクセス時の通知や公表の体制があるか、解約時にデータを削除してもらえるか、の3点は最低限確認しておきたいところです。

メールが踏み台にされたかどうかは、どうやって気づけますか？

送信済みフォルダに見覚えのないメールがある、取引先から「変なメールが来た」と言われる、メールの送信数が急に増える、といった兆候があります。Google WorkspaceやMicrosoft 365では、ログイン履歴や不審なアクティビティの通知を有効にしておくと気づきやすくなります。

まとめ

外部サービスを使うこと自体は、中小企業にとって欠かせない選択です。大事なのは、使っているサービスを把握し、使わなくなったら確実にデータを消し、管理画面とメールのアカウントを守ることです。それだけで、今回のような連鎖被害の多くは小さくできます。

「外に任せているから安心」ではなく「外に任せているからこそ確認する」。この意識の切り替えが、いちばんの対策です。

参考リンク

• piyolog：ApplyNowへの不正アクセスについてまとめてみた
• ITトレンド：吉野家HD、委託先ApplyNow経由で応募者情報が漏えい
• 富士市：職員採用試験受験者情報の流出の可能性について
• 入間市：職員採用試験に関する個人情報の流出について
• セキュリティ対策Lab：ファインズの予約システムに不正アクセス 約153万件の個人情報漏洩の恐れ
• EnterpriseZine：宿泊予約管理システム「TEMAIRAZU」に不正アクセス
• スマレジEC：不正アクセスに関するお知らせ
• セキュリティ対策Lab：ConoHa WINGのWebサーバーへの不正アクセス
• セキュリティ対策Lab：PFU、ショップサーブ不正アクセスで最大169,355件の注文データが対象
• ASCII：三井不動産に不正アクセス、最大5万5000件が漏えいの可能性
• セキュリティ対策Lab：日本トレクスの不正アクセスとシステム復旧
• INTERNET Watch：ニチレイ、サイバー攻撃による個人情報漏えいを確認
• セキュリティ対策Lab：エスケーロジにサイバー攻撃、受注システムが停止
• セキュリティ対策Lab：ユニリタへの不正アクセスとEverestの犯行主張
• アイホン：豪州子会社への不正アクセスについて
• ローソン：メールサーバーの不正利用について
• セキュリティ対策Lab：東洋紡せんい、メールアカウント不正アクセスでフィッシングメール送信
• 東洋紡エムシー：当社従業員のメールアカウントへの不正アクセスについて
• セキュリティ対策Lab：鳥取県の環境放射線モニタリングシステムにランサムウェア攻撃
• @IT：日本原子力研究開発機構の研究支援サイトに不正アクセス
• JOGMEC：不正アクセスによる個人情報漏えいの可能性について
• 国際文化会館：図書室蔵書検索システムへの不正アクセスについて
• ITmedia NEWS：ジャパンタイムズに不正アクセス
• Security NEXT：アップ（ベネッセグループ）のサイトに不正アクセス
• note（zephel01）：9月の不正アクセス公表34件、13件は委託先やSaaS経由だった

※本記事の内容は2026年10月6日時点で公表・報道されている情報に基づきます。件数は各組織の公表値で「最大」「可能性」を含み、調査の進展により変わる場合があります。ApplyNow経由で影響を公表した組織の一覧と件数はpiyologのまとめ、富士市は同市の公表、一宮市のデータ残存はnote（zephel01）の分析に基づきます。ユニリタの約128GBは攻撃者側の主張です。ジャパンタイムズのランサムウェアに関する記述は公表文書のURL表記に基づくもので、本文では明記されていません。参考リンクの記事タイトルは内容を要約した表記を含みます。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

この領域の事案は1件あたりの件数が大きく、Gyazoの約2,362万件、ムラウチドットコムの約771万件、ミスターマックスの最大約173万件など、数十万〜数千万単位の流出が目立ちます。さらに、アバハウスやnimocaのように、流出した情報を使ったと考えられる詐欺メールがすでに届いているケースもあります。

今回は、EC・アプリ・会員サービスで公表された17件を、公式発表と報道をもとに整理しました。利用者が今やるべきことと、自社でECやアプリを運営している事業者が見直すべき点もまとめています。

身近なアプリほど、氏名・電話番号・購入履歴がまとめて預けられています。「小さなお店のアプリだから大丈夫」とは言えない状況です。

1. EC・アプリで公表された17件の一覧

公表日順です。件数は各社の公表値（「最大」「可能性」を含む）で、10月6日時点のものです。

アプリや予約システムなど、外部のサービス事業者（SaaS）側が破られた事案は、別記事の「委託先・企業システム・公共機関編」でまとめています。

2. 数十万〜数千万件規模の会員情報流出

Gyazo：ユーザー情報約2,362万件と画像のメタデータ

画像共有サービス「Gyazo」を運営するHelpfeelは9月16日、アップロード用サーバーの脆弱性を突かれ、ユーザー関連情報約2,362万件と、画像のメタデータ約4.9億件が流出したと公表しました。9月25日の続報では、過去に削除された画像のメタデータ約1.74億件の流出も判明しています。9月29日にサービスを再開しました。

ユーザーには海外利用者も多く含まれるとみられ、国内の個人だけの数字ではない点には注意が必要です。仕事の画面キャプチャをGyazoで共有している会社は、社内でどんな画像を上げていたかを一度確認しておくと安心です。

ムラウチドットコム：約771万件を外部に持ち出し

家電通販のムラウチドットコムは9月15日、Webシステムの一部にあった脆弱性を悪用され、複数のシステムに不正アクセスを受けたと公表しました。7月15日に社内システムの障害が起き、その復旧作業中に不正アクセスの痕跡を見つけたのがきっかけです。第2報で、7,716,811件の顧客情報が外部に持ち出されたことを確認しています。

対象は氏名、住所、電話番号、メールアドレス、生年月日、性別で、クレジットカード情報とパスワードは別システムで管理されていたため含まれていません。

ミスターマックス：最大約173万人分

ディスカウントストアのミスターマックスは10月6日、アプリとオンラインストアに不正アクセスがあり、最大1,735,154人分の会員情報が流出したと発表しました。10月3日夕方に不審なアクセスを確認し、サービスを一時停止して同日中に外部からのアクセスを遮断しています。

• 流出：会員ID、氏名、メールアドレス、電話番号
• 流出していない：住所、生年月日、クレジットカード情報、パスワード、購入履歴
• 原因：サービスを構成するソフトウェアの機能を第三者が不正に利用してサーバーに侵入

infoQ：最大約95万件、ポイントの不正交換も

GMOリサーチ&AIが運営するアンケートサイト「infoQ」では、10月2日以降に不正アクセスがあり、10月3日午前に会員からの問い合わせで発覚しました。最大948,498件の個人情報（氏名、フリガナ、性別、生年月日、メール、住所、電話番号、暗号化されたパスワード、会員IDなど）が対象です。

さらに、会員のポイント611件・計2,869,500円分が、本人の意思と関係なくAmazonギフトコードに交換されていました。同社はサイトで使っていたソフトウェアの脆弱性が悪用されたとし、不正に交換されたポイントは全額補填するとしています。

セイコーマートアプリ：会員の約半数、約57万人

北海道を中心とするコンビニ「セイコーマート」を運営するセコマは、9月29日に可能性を、30日に確定を公表しました。アプリの情報管理サーバーに不正アクセスがあり、572,022人分（全会員の約49%）の氏名、性別、生年月日、住所、電話番号、メールアドレスなどが閲覧されました。パスワードとクレジットカード情報は対象外です。アプリの新規入会・会員情報変更、公式通販サイトを停止しています。

その他の大規模事案

数百万件単位の流出が、家電通販・ディスカウントストア・コンビニのアプリで起きています。「よく使うアプリの会社から連絡が来ていないか」を一度確認してみてください。

3. 本人確認書類・口座・購入履歴まで漏れた事案

件数は少なくても、詐欺やなりすましに直結する情報が含まれていた事案です。

らしんばん：本人確認書類の番号と銀行口座

中古アニメグッズの買取・販売を行う「らしんばん」は10月1日、9月14日〜16日に不正アクセスを受けたと公表しました。漏えいの可能性がある情報は、氏名、住所、電話番号、メールアドレス、生年月日、職業に加え、本人確認書類の種別と番号、銀行口座情報、買取・注文履歴です。買取サービスでは古物営業法に基づく本人確認が必要なため、こうした情報を保持していました。件数は公表されていません。

イープラス：払戻し用の振込先口座

チケット販売のイープラスは9月29日、「スマチケ」の払戻し情報を管理するシステムが9月11日〜12日に複数回の不正アクセスを受け、1,463件が漏えいしたと公表しました。このうち751件には、払戻しの振込先である金融機関名・支店名・口座番号・口座名義が含まれます。

アバハウス：注文内容と一致する「返金」詐欺メールで発覚

アパレルのアバハウスインターナショナルは10月2日、9月27日深夜〜28日に会員・EC受注のデータベースが不正アクセスを受け、退会者を含む全会員の情報が漏えいした可能性があると公表しました。

発覚のきっかけは、9月28日に複数の顧客から「実際の注文内容と一致する不審な返金案内メールが届いた」という問い合わせがあったことです。会員ID、氏名、住所、電話番号、メールアドレス、生年月日、性別のほか、注文日時・商品名・金額・配送先などの注文情報も対象です。カード番号とセキュリティコードは含まれていません。

ロート製薬：通販顧客との通話音声

ロート製薬は9月15日、通販システムに第三者による不正アクセスの可能性があると公表し、その後、通販顧客との通話音声データや顧客管理情報が不正に取得された可能性があるとして個人情報保護委員会に報告しました。攻撃者側は約4TBのデータ（顧客情報や通話録音を含むと主張）を取得したと主張していますが、これは攻撃者の主張であり、ロート製薬が確認した内容ではありません。

nimoca：カード番号521件

九州を中心に使われる交通系ICカード「nimoca」の利用履歴照会サービスで、10月4日午前0時ごろから不正アクセスがあり、同日17時40分にサービスを停止しました。登録メールアドレス、生年月日、nimocaカード番号の521件が漏えいしています。10月4日朝に「身に覚えのないメールが届いた」という利用者の問い合わせから発覚しました。nimocaカード自体は通常どおり使えます。

口座番号や本人確認書類の番号は、それだけで引き出しはできなくても、「本物らしい連絡」を作る材料になります。届いた連絡ではなく、自分で公式窓口を調べて確認する習慣が大切です。

4. ポイント・キャンペーン・クラウド保存の事案

楽天ドライブの事案は、侵入が約8カ月続いていた点と、「利用者が預けたファイルの中身」が見られた点で、ほかの事案と性質が異なります。業務の書類をクラウドストレージに保存している場合は、どのサービスに何を置いているかを把握しておくことが重要です。

ポイントやクラウドの保存データも、乗っ取られれば実害につながります。重要なサービスほど、パスワードの使い回しをやめて二段階認証をオンにしましょう。

5. 共通する入口：ソフトウェアの脆弱性と更新遅れ

原因が公表された事案を並べると、多くが「自社で使っているソフトウェアの弱点」を突かれています。

メインのECサイトだけでなく、「分析用」「管理用」に後から入れたツールも、更新の対象リストに入れておきましょう。

6. 利用者とEC・アプリ運営者がやるべきこと

利用者

EC・アプリを運営する事業者

中小のネットショップでも、プラグインや分析ツールの更新漏れは起こりがちです。まずは「何を使っているか」の一覧作りから始めてみてください。

2026年秋の事案全体の一覧と共通点は、総まとめ記事で整理しています。

7. よくある質問

アプリを退会すれば、情報は消えますか？

今回、大起水産・LEAN BODY・アバハウスなどでは退会者の情報も対象になりました。退会後もしばらく情報を保持する会社は多いため、退会だけで安心とは言えません。退会時にデータ削除を依頼できるか、プライバシーポリシーで確認するのが確実です。

Gyazoを使っていました。何をすればいいですか？

Gyazoのパスワードを他サービスと共用していれば変更し、二段階認証を設定してください。過去に機密性の高い画面をアップロードしていた場合は、その内容を把握し、社内で共有が必要か検討してください。

infoQのポイントが勝手に交換されていました。

GMOリサーチ&AIは、不正に交換されたポイントを全額補填するとしています。公式サイトの案内に沿って問い合わせてください。あわせて、同じメールアドレスとパスワードを使っている他のサービスがあれば変更しておきましょう。

小さなネットショップでも狙われますか？

狙われます。攻撃者は会社の規模ではなく、「脆弱性のあるソフトウェアが動いているか」で対象を探します。同じECパッケージやプラグインを使っていれば、規模に関係なく同じ手口が使われます。

まとめ

普段使いのアプリや通販サイトは、件数が大きくなりやすく、届く詐欺も具体的になります。利用者は「本物そっくりの連絡」を疑う習慣を、運営者は「使っているソフトの棚卸し」と「持ちすぎないデータ設計」を、この機会に見直してみてください。

アプリのお知らせ欄、一度のぞいてみてください。自分が対象になっていないかを知るだけでも、詐欺への備えになります。

参考リンク

• マイナビニュース：2026年9月のサイバー攻撃・不正アクセスまとめ
• セキュリティ対策Lab：2026年9月の最新サイバー攻撃事例
• ITmedia NEWS：Gyazoに不正アクセス ユーザー情報約2362万件、画像メタデータ約4.9億件が流出
• INTERNET Watch（Yahoo!ニュース）：Gyazo、不正アクセスで続報。削除された画像のメタデータ約1.74億件も流出
• ASCII：ミスターマックスのアプリとオンラインストアに不正アクセス
• GMOリサーチ&AI：「infoQ」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• ITmedia NEWS：セイコーマート、会員のほぼ半数に当たる情報漏えい 約57万人分
• ScanNetSecurity：LEAN BODY が利用する分析ツール「Metabase」の脆弱性を悪用した不正アクセス
• ITmedia NEWS：「大起水産アプリ」に不正アクセス、17万人の個人情報漏えいか
• ITmedia NEWS：中古アニメグッズ「らしんばん」に不正アクセス 口座情報や本人確認書類の番号など漏えいの恐れ
• セキュリティ対策Lab：アバハウスに不正アクセス、実際の注文内容と一致する「返金」詐欺メールも確認
• Security NEXT：ロート製薬の不正アクセス、顧客との通話音声データが流出の可能性
• セキュリティ対策Lab：ロート製薬 ECサイトへの不正アクセスでハッカーが約4TBのデータ取得を主張
• ITmedia NEWS：nimocaの利用履歴照会サービスに不正アクセス
• ITmedia NEWS：「Gポイント」に不正アクセス、システムと関連サービスを停止
• ASCII：「楽天ドライブ」に不正アクセス、1万5382アカウントの保存データが閲覧される
• セキュリティ対策Lab：集英社「HAPPY PLUS COMMUNITY」の個人情報漏えい
• 株式会社アクト：サイバーセキュリティ・ニュース（QUOカードのLINEキャンペーンシステム不正アクセスほか）

※本記事の内容は2026年10月6日時点で公表・報道されている情報に基づきます。件数は各社の公表値で「最大」「可能性」を含み、調査の進展により変わる場合があります。Gyazoのユーザー情報約2,362万件は国内外の利用者を含むとみられます（内訳は未公表）。OZmallの件数は報道により44万7,610件と44万2,779件の表記があり、本記事では「約44万人」としています。ロート製薬の約4TBは攻撃者側の主張で、同社が確認した数字ではありません。LEAN BODYと大起水産、QUOカード、集英社の内容はセキュリティ専門メディアの報道に基づきます。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

今回の一連の事案で特に深刻なのは、件数の多さだけではありません。運転免許証の画像、証券口座番号、社員の上司の名前など、「なりすまし」や「本物そっくりの詐欺」に直接使える情報が含まれている点です。

今回は、タイムズカー（パーク24）、焼肉きんぐ（物語コーポレーション）、ニッポンレンタカー、第一ライフグループ、日本経済新聞社、大和証券の6件を、公式発表と報道をもとに整理しました。対象になったかもしれない方が今日からできる対策も、具体的にまとめています。

今回は「件数」より「中身」が問題です。免許証の画像や口座番号は、詐欺やなりすましにそのまま使われるおそれがあります。

1. 生活サービス・金融・メディアの6件の全体像

2. タイムズカー：約660万件と本人確認書類の画像約160万件

何が起きたか

カーシェア「タイムズカー」を運営するタイムズモビリティ（パーク24の子会社）は、2026年9月25日午前9時07分にWebシステムへの不正アクセスを検知し、9月26日午前7時25分までに通信を遮断しました。その後の発表は次のとおりです。

漏えいした情報

• 約660万アカウント：氏名、住所、生年月日、電話番号、メールアドレス、運転免許の情報など。現会員だけでなく、退会者、入会手続きを完了しなかった人、法人会員なども含まれます
• うち約160万件：運転免許証の画像、現住所確認書類（公共料金の請求書など）、学生証、家族確認書類などの画像

クレジットカード情報の漏えいは確認されておらず、10月6日時点で今回の流出に起因する不正利用も確認されていないとされています。サービスは通常どおり利用できます。

報道では、本人確認書類の画像流出としては国内最大規模とされ、被害者による集団訴訟に向けた動きも伝えられています。信用情報機関には「本人申告」の申し込みが殺到し、JICC（日本信用情報機構）ではアプリでの受付を一時休止する事態になりました。

退会したから関係ない、とは言えないのが今回のポイントです。過去にタイムズカーへ入会したことがある人は、まず自分が対象かを確認しましょう。

3. 焼肉きんぐ：アプリ会員約1,079万件、ほぼ全員が対象

何が起きたか

「焼肉きんぐ」を運営する物語コーポレーションは2026年10月5日、公式アプリの会員管理システムが不正アクセスを受け、会員情報1,078万8,963件が漏えいしたと発表しました。アプリの登録数は1,080万8,784件で、ほぼ全員が対象です。

10月2日にアプリの管理を委託している外部企業からの報告で不正アクセスがわかり、通信の遮断などを実施しましたが、翌3日に会員情報の漏えいが確認されました。原因と、不正アクセスが可能になった経緯は調査中です。

漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないとしています。アプリは防御措置を講じたうえで提供を継続しており、「丸源ラーメン」など他ブランドのアプリでは漏えいは発生していないとされています。

名前・電話番号・メールの組み合わせは、SMS詐欺の材料になります。「焼肉きんぐからお詫びのクーポン」などのSMSが来ても、リンクは開かずアプリから確認しましょう。

4. ニッポンレンタカー：別手法の不正アクセスが2件

ニッポンレンタカーサービスでは、公式「ニッポンレンタカーアプリ（NRアプリ）」のシステムに対し、手口の異なる2件の不正アクセスが公表されました。

閲覧されたおそれがある情報は、氏名、電話番号、メールアドレス、ログインID、利用履歴、予約情報です。運転免許証やクレジットカードを登録していた会員は、免許証番号、住所、生年月日、カード番号の下4桁、名義人名も対象になります。41名と55名に重複があるかは公表されていないため、単純に合算はできません。

件数は少なくても、免許証番号まで見られた可能性があります。対象の連絡が来た人は、パスワードの再設定を後回しにしないでください。

5. 第一ライフグループ：退職者を含む約12万人分の人事情報

何が起きたか

第一ライフグループと第一生命保険は2026年10月2日、2社が共同で使う従業員向けの人事システムが不正アクセスを受け、約12万人分の個人情報が流出した可能性があると発表しました。不正アクセスの検知は9月24日です。

対象項目は、従業員番号、氏名、住所、電話番号、性別、所属、職位、職務、上長の氏名です。顧客情報への不正アクセスは確認されておらず、退職者についての二次被害の報告もないとしています。

6. 日本経済新聞社：クラウドのアカウント乗っ取りが2件

日本経済新聞社は2026年10月4日、業務で使うクラウドサービスのアカウントについて、別々の2件の被害を公表しました。

Microsoft 365：なりすましメール約9,000件

社員のMicrosoft 365のアカウントがサイバー攻撃を受け、第三者が不正にログインしたとみられます。9月30日、社内のほか、複数の社員とやりとりがあった取材先などに、悪性サイトへ誘導するなりすましメール約9,000件が送信されました。送信先の氏名・メールアドレスに加え、一部のメールの内容が漏えいしたとみられ、件数は調査中です。

Google Workspace：1,646人分が漏えいの疑い

別の社員が使っていたGoogle Workspaceのアカウントに、7月下旬以降、外部から不正ログインがありました。8月上旬にGoogleからの通知で判明し、すぐにパスワードを変更しています。社員や取引先など1,646人分の氏名・メールアドレスなどが漏えいした疑いがあり、読者や取材先に関する情報は含まれていないとしています。

同じ日には、グループの日経BPも従業員のメールアカウントへの不正アクセスを公表しました。日経は両事案とも個人情報保護委員会に報告済みです。

知っている人の本物のアドレスから届くメールは、つい開いてしまいます。添付やリンクに違和感があれば、電話など別の手段で本人に確認するのが確実です。

7. 大和証券：問い合わせ管理の委託先から約11万人分

何が起きたか

大和証券は2026年10月5日、インターネット経由の問い合わせ内容の管理を委託していたスカラコミュニケーションズ（SC社）のサーバーが不正アクセスを受け、顧客情報が不正に取得された可能性があると発表しました。不正アクセスは10月2日20時33分ごろから3日8時01分ごろにかけて発生し、大和証券は3日にSC社から報告を受けています。

• 対象：約11万人の氏名、メールアドレス、証券口座番号など
• 個人を特定できない問い合わせ情報なども含めると約22万件
• 大和証券本体のシステムへの不正アクセスは確認されていない
• 漏えいした可能性のある情報だけでは口座へのアクセスや取引はできず、10月5日時点で不正取引やネット上への公開も確認されていない

朝日新聞の報道によると、SC社が大和証券の問い合わせ管理を請け負っていた期間は2013年4月から2025年12月までとされています。契約期間の終了後もデータが残っていたのかどうかは発表からは明らかではありませんが、委託先のデータをいつ消すかは、多くの企業に共通する課題だと私は考えています。

大和証券は対象顧客に個別連絡するとともに、同社を装ったメールや電話に、取引用のID・パスワード・暗証番号・ワンタイムパスワードなどを伝えないよう呼びかけています。

証券会社が電話やメールでパスワードや暗証番号を聞くことはありません。口座番号を言い当てられても、それは今回の流出情報かもしれないと考えてください。

8. 対象かもしれない人が今日からやること

免許証の画像などが漏れた人（タイムズカーの対象者など）

本人申告は万能ではありませんが、免許証の画像が出回ってしまった以上、できる備えの中では効果が見込める方法の一つです。

事業者として学べること

6件を事業者の目で見ると、「本人確認書類の画像を何年も持っていた」「数十年前の退職者のデータが残っていた」「委託先に問い合わせ履歴が残っていた」など、持ちすぎたデータが被害を大きくした例が目立ちます。自社でも、会員登録時に預かった画像や、外部のフォーム・メール配信サービスに残っているデータを、保存期間とあわせて見直しておくことをおすすめします。

同じ時期には、ミスターマックス、セイコーマート、infoQ、アバハウスなど、アプリや通販サイトでも大規模な流出が相次いでいます。全体の一覧と、EC・アプリの事案は次の記事にまとめています。

9. よくある質問

タイムズカーを何年も前に退会しました。対象になりますか？

約660万件には退会者も含まれています。報道では本人確認書類の画像は退会から7年保存されていたとされているため、退会時期によっては対象になり得ます。タイムズカーが案内している退会者向けの問い合わせフォームで確認してください。

免許証は手元にあるのに、再発行したほうがいいですか？

流出したのは画像なので、再発行しても過去の画像の記載内容（氏名・住所・生年月日など）は変わりません。再発行で免許証番号が変わる場合もありますが、効果や手続きは警察・免許センターで確認のうえ判断してください。まずは本人申告と、身に覚えのない契約の通知に注意することが現実的です。

焼肉きんぐのアプリは退会したほうがいいですか？

すでに流出した情報は、退会しても取り戻せません。退会するかどうかより、届くSMSやメールを疑うこと、パスワードを使い回していないか確認することのほうが大切です。今後使わないのであれば、退会して保有データを減らすのも一つの考え方です。

大和証券の口座番号が漏れると、勝手に取引されますか？

大和証券は、漏えいした可能性のある情報だけでは口座へのアクセスや取引はできないとしています。危険なのは、口座番号を使った偽の連絡にだまされてIDやパスワードを入力してしまうことです。ログインは必ず公式アプリかブックマークから行ってください。

まとめ

身近なサービスほど、私たちは本人確認書類や電話番号を気軽に預けています。今回の事案は、その預け先や、さらにその委託先が破られると何が起きるかを示しました。対象かもしれない方は、詐欺への警戒と本人申告などの備えを、できるところから始めてください。

「正しい名前や番号が書いてある連絡ほど疑う」。しばらくはこの一点を家族とも共有しておくと安心です。

参考リンク

• パーク24：タイムズカーWebシステムへの不正アクセスに関する調査結果
• ITmedia ビジネスオンライン：「タイムズカー」で約660万件の情報漏えい
• 日本経済新聞：タイムズカー免許証画像流出、勝手にクレカ発行の恐れ とるべき対策は
• 共同通信（Yahoo!ニュース）：タイムズカー、情報保護法を軽視 160万件の免許証画像流出
• Yahoo!ニュース：免許証画像流出 集団訴訟動き進む
• 物語コーポレーション：『焼肉きんぐ』公式アプリ 会員管理システムへの不正アクセスに関するお詫び
• ASCII.jp：焼肉きんぐに不正アクセス、1078万人分の情報流出
• 日本経済新聞：「焼肉きんぐ」、顧客情報漏洩 不正アクセスで1000万件超
• ITmedia NEWS：ニッポンレンタカーで別の不正アクセス発覚 新たに55人分情報漏えいか
• セキュリティ対策Lab：ニッポンレンタカー アプリで別手法の不正アクセスが判明
• ITmedia NEWS：第一生命に不正アクセス 従業員情報12万人分漏えいか 退職者も対象
• 株式会社アクト：第一生命の人事システムに不正アクセス、退職者約7万人を含む約12万人分
• ITmedia ビジネスオンライン：日経で相次ぐ不正アクセス 1646人分の個人情報漏えい
• piyolog：日本経済新聞社へのサイバー攻撃となりすましメール送信についてまとめてみた
• 朝日新聞（Yahoo!ニュース）：大和証券、顧客11万人の口座番号など漏洩か 委託先に不正アクセス
• ASCII（Yahoo!ニュース）：大和証券、約11万人の顧客情報漏えいか 委託先に不正アクセス
• 大和証券：フィッシング詐欺による不正ログインにご注意ください
• よつば総合法律事務所：タイムズカーの個人情報漏えいから考える企業の報告・通知義務と免許証画像流出への対策

※本記事の内容は2026年10月6日時点で公表・報道されている情報に基づきます。件数は各社の公表値で、調査の進展により変わる場合があります。タイムズカーの約660万件は「アカウント数」で、退会者・入会未完了者・法人会員を含みます。ニッポンレンタカーの41名と55名は重複の有無が公表されていません。本人申告の手数料は各機関の公式発表ではなく、申告した個人のブログ等の報告をもとにした目安です。大和証券の委託期間後のデータの扱いに関する記述は私見で、同社は公表していません。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.

9月25日から10月初めにかけて、佐川急便、ヤマト運輸、日本郵便の物流大手3社と、京王電鉄グループ、東京メトロで、不正アクセスやランサムウェアの被害が相次いで公表されました。トラックも電車も止まっていないのに、周辺のWebサービスや決済が止まり、ネットショップの運営者にも影響が広がりました。

今回は、物流・鉄道の5社で何が起きたのか、どんな情報が対象になったのかを、公式発表と報道をもとに整理します。荷物を送った・受け取った人が今気を付けること、EC事業者が備えておくことも最後にまとめました。

荷物は届いているのに、問い合わせや支払いの仕組みが止まった――今回の物流・鉄道の被害は、そんな形で暮らしに出てきました。

1. 物流・鉄道で起きた5件の全体像

5件とも「列車の運行」や「荷物の集配」は止まっていません。一方で、ネットで荷物を調べる、後払いで買う、カードで支払うといった日常の動作が止まりました。

2. 佐川急便：追跡サービスから約100日分の送り主・届け先

何が起きたか

佐川急便は2026年9月30日、Webサイトの「お荷物問い合わせサービス」で第三者による不正アクセスを確認し、アクセスを一部制限したと発表しました。10月1日の第2報で個人情報が流出した可能性を公表し、同日の第3報で専用の問い合わせ窓口を開設しています。

流出の可能性がある情報

クレジットカード情報とパスワードは含まれていないとしています。なお「約100日分」は対象期間であって、件数（人数）ではありません。件数は調査中です。

止まったサービス

被害拡大を防ぐため、次の9サービスが停止されました。

• インターネット貨物お荷物問い合わせ、および同サービスのAPI
• 飛脚宅配便受付、飛脚往復便受付、飛脚往復便（ゴルフ）受付
• 商品回収返金サービス
• 受取先変更（配達予定段階・不在発生後）
• 回収くん

荷物の集荷・配達は通常どおり行われています。ただし、ネットショップが配送状況の表示に使う追跡APIも止まったため、ショップ側の注文画面で「配送状況が確認できない」と案内する事業者も出ました。

最近荷物を送った・受け取った人は、「宅配業者を名乗るSMSのリンクは押さない」をしばらく徹底するのが一番の自衛策です。

3. ヤマト運輸：後払いサービスで請求額や購入明細も対象に

何が起きたか

ヤマト運輸は2026年9月28日、ネット通販向けの決済サービス「クロネコ代金後払いサービス」が第三者による不正アクセスを受けたことを確認しました。外部からのアクセス制限などを行ったうえで、同日22時28分にサービスを停止しています。9月29日に公表し、10月2日の第2報で情報の一部が漏えいした可能性があると発表しました。

漏えいの可能性がある情報

クレジットカード情報やパスワードは含まれていないとしています。対象範囲と件数は引き続き調査中です。宅急便など他のサービスは通常どおり利用できます。

報道によると、ヤマト運輸は加盟店に対して、決済方法の選択肢から後払いを外すよう依頼しており、通販サイト側でも対応が必要になりました。復旧時期は10月6日時点で示されていません。

金額や商品名が正確でも、それだけで本物と判断しないこと。支払いの前に、必ず自分で公式サイトを開いて確かめましょう。

4. 日本郵便：郵便局アプリと国際郵便の調査請求受付

郵便局アプリ：19名分・69件を不正取得

日本郵政と日本郵便は2026年9月29日、スマートフォン向けの「郵便局アプリ」が外部から不正アクセスを受け、19名分・69件の顧客情報が不正に取得されたと発表しました。9月25日22時30分ごろに「ゆうID」と郵便局アプリの緊急メンテナンスを行い、調査と対策のうえ9月26日にサービスを再開しています。

人数は19名と少ないものの、アプリを使っていない「住所録に登録された相手」や「荷物の受取人」の情報まで含まれている点が特徴です。該当者には書面などで個別に連絡するとしています。

国際郵便物の調査請求Web受付

報道によると、日本郵便は9月25日、国際郵便物の亡失・破損の調査を申し込む「調査請求Web受付サービス」のサーバーに不正アクセスの疑いがあるとして、サービスを停止しました。このサービスは神奈川県・山梨県で試行していたものです。詳細は調査中とされています。

自分は何もしていなくても、知人のアプリの住所録経由で情報が漏れることがあります。「心当たりのない差出人」からの連絡こそ慎重に。

5. 京王電鉄グループ：ランサムウェアでホテル・小売の決済が停止

何が起きたか

京王電鉄は2026年9月26日、同日未明（報道では午前5時台〜6時台）にグループのサーバーがランサムウェアによる攻撃を受けたことを確認したと発表しました。ネットワークの遮断など被害拡大を防ぐ措置をとり、警察に通報したうえで外部専門家と攻撃経路や被害を調べています。京王プラザホテルも同日、自社サーバーへの攻撃を確認したと公表しました。

鉄道の運行システムは別系統のため、列車の運行には影響がありませんでした。

グループ各社への影響

京王グループは9月28日正午の時点で、攻撃者からの身代金要求は確認していないと説明していると報じられています。顧客情報の漏えいは確認されておらず、引き続き調査中です。

「全部つながっていると便利」は、攻撃されたときには「全部止まる」の裏返しです。止まると困る業務だけは、別の線で動くようにしておくと安心です。

6. 東京メトロ：委託先に残っていた約5.9万件のアドレス

何が起きたか

東京メトロは2026年9月27日、ポイントサービス「メトロポイントクラブ（メトポ）」の会員向けサービスで不正アクセスがあり、メールアドレス約5万9,000件が閲覧または取得された可能性があると発表しました。

• 9月20日：メトポ会員向けのメール配信サービスで不具合が発生
• 9月25日：メール配信を委託する会社のサーバーに、国外からとみられる第三者の不正アクセスを確認
• 9月27日：公表。被害拡大を防ぐ技術的な措置は実施済み

不正アクセスを受けたサーバーには、メールが届かないために配信を止めていたアドレスが保存されており、メールアドレス以外の会員情報は含まれていないとしています。鉄道の運行には影響していません。

7. 利用者とEC事業者が今やるべきこと

荷物を送った・受け取った人

ネットショップを運営している事業者

配送や決済は外部サービスに頼るのが当たり前の時代です。だからこそ「止まった日」の段取りを紙1枚にまとめておくと、慌てずに済みます。

同じ時期には、物流会社のエスケーロジでも受注システムが止まり、宿泊予約管理の「手間いらず」や予約システムのファインズなど、外部サービス経由の被害も相次ぎました。全体の一覧と、委託先・SaaS経由の事案は次の記事にまとめています。

8. よくある質問

佐川急便で荷物を受け取っただけでも対象になりますか？

佐川急便の発表では、9月30日からさかのぼって約100日間に預かった荷物の「送り主」と「届け先」の両方が対象になる可能性があります。受け取っただけでも対象に含まれ得ます。詳細は佐川急便の専用窓口やFAQで確認してください。

クロネコ代金後払いで買った商品の支払いはどうなりますか？

サービスが停止しているため、請求や支払いの扱いは購入したショップやヤマト運輸の案内に従うことになります。メールやSMSで届いた振込先へ急いで支払うのではなく、公式の案内を確認してからにしてください。

京王ストアや京王プラザホテルを利用しましたが、カード情報は大丈夫ですか？

10月6日時点では、顧客情報の漏えいは確認されていないとされています。念のため、利用したカードの明細に身に覚えのない請求がないかを確認しておくと安心です。

メトポ会員ですが、何をすればいいですか？

対象はメールアドレスのみとされています。東京メトロを名乗る不審なメールに注意し、メトポのパスワードを他サービスと共用しているなら変更しておきましょう。

まとめ

物流や鉄道の「本業」は止まりませんでしたが、問い合わせ、受付、決済といった周辺のWebサービスが次々に止まりました。利用者にとっては、実在の荷物情報を使った詐欺がこれから本格化する可能性があります。事業者にとっては、外部サービスが止まる前提で段取りを用意しておくことが求められます。

しばらくは「宅配・後払い・ポイントを名乗る連絡」は全部いったん疑う、くらいでちょうどいいと思います。

参考リンク

• 佐川急便：「お荷物問い合わせサービス」への不正アクセスの発生について（第1報）
• ECのミカタ：佐川急便、不正アクセスによる個人情報流出の可能性を発表【第1報〜第3報】
• 日本ネット経済新聞：佐川急便、不正アクセスで個人情報流出の可能性 荷物追跡APIなど9サービス停止
• ヤマト運輸：【第2報】「クロネコ代金後払いサービス」への不正アクセスの発生について
• ITmedia NEWS：ヤマト運輸、「クロネコ代金後払いサービス」への不正アクセスで続報
• piyolog：ヤマト運輸のクロネコ代金後払いサービスへの不正アクセスについてまとめてみた
• ITmedia NEWS：「郵便局アプリ」に不正アクセス 氏名や送り先住所など漏えい 19人分・69件
• Security NEXT：日本郵便のサーバに不正アクセスか – 詳細は調査中
• 日本経済新聞：京王電鉄にランサム攻撃 鉄道に影響なしもホテルやスーパーに障害
• piyolog：ランサムウェア攻撃による京王電鉄グループのシステム障害についてまとめてみた
• ITトレンド：京王グループにランサムウェア攻撃――京王ストアの決済やホテル予約などに影響
• 毎日新聞（Yahoo!ニュース）：東京メトロ、5.9万件のメールアドレス流出か 「メトポ」会員
• INTERNET Watch（Yahoo!ニュース）：東京メトロ、「メトポ会員向けサービス」で不正アクセス

※本記事の内容は2026年10月6日時点で公表・報道されている情報に基づきます。佐川急便とヤマト運輸は漏えい件数を公表しておらず、「約100日分」は対象期間を示すもので件数ではありません。日本郵便の調査請求Web受付と京王グループ各社の影響（京王百貨店・宿泊施設の設備停止・身代金要求の有無）は報道・解説記事による情報で、公式発表の表現と異なる場合があります。EC事業者側の影響に関する記述は、公表された停止内容から想定される一般的な影響を含みます。

Copyright © 2026 ムラカミドットプロ All Rights Reserved.