大手企業が次々と不正アクセス被害！焼肉きんぐ・タイムズカー・大和証券…狙われた“アプリの裏口”と世界標準の守り方【2026年10月】

レンタカー、焼肉チェーンのアプリ、証券会社、学習サービス。2026年9月末からのわずか2週間で、誰もが知る会社から不正アクセスによる情報漏えいの公表が次々と続きました。10月8日と9日には、JPCERT/CC・IPA・内閣官房が立て続けに注意を呼びかける異例の事態です。

最新情報：10月7日〜10日に分かったこと

2026年10月10日に追記しました。被害の公表と国の動きは、いまも続いています。

新たに公表された主な被害

個人情報保護委員会が「新しい対策の例」を前倒しで公表

10月7日、個人情報保護委員会が「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を出しました。来年4月に確定する予定だった安全管理の決まりの見直し内容を、先取りして公表したのが大きな特徴です。偽サイトにだまされにくい多要素認証、常時監視による早期の検知、使わなくなった個人データの消去などが並んでいます。

同じ日に改訂された「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」には、「事例9 APIが悪用される事例」が載っています。ログイン後に番号などを書き換えると他の利用者の情報が取れてしまう、という、この記事の3章で説明した手口そのものです。対策例として、APIの定期的な棚卸し、毎回の権限の確認、会員番号を推測しにくい値にすること、回数の制限が挙げられています。

10月9日には経済産業省も、事業者に向けて注意喚起と情報提供への協力を依頼しています。

ローソンの件は、自動の見張りだけでは見逃すことがあることを示しています。仕組みに任せきりにせず、人の目で定期的に確かめることも欠かせません。（AQUAの見解）

1. 何が起きた？ 2週間で相次いだ被害の公表

主な事例を、公表日の順に並べました。業種も規模もばらばらで、「特定の業界だけの話」ではないことが分かります。

このほか、ヤマトホールディングス、第一生命、日本経済新聞社、大起水産なども不正アクセスの被害を公表・報道されています（マイナビニュース、NHK）。

数字で見ると「異常」な増え方

セキュリティ企業のマクニカが国内のWebシステムからの情報漏えい事案を数えたところ、2026年は10月6日時点ですでに119件。2025年の1年分（84件）を大きく超え、そのうち81件が7月以降に集中しています。分析した担当者は「これまでとは違う異常な事態」と書いています。

2. 国も2日間で3回、注意を呼びかけた

今回の特徴は、国の機関の動きの速さです。10月8日にJPCERT/CC（日本で不正アクセスの相談や調整を受け持つ専門機関）が注意喚起を出し、翌9日には更新。同じ9日にIPA（情報処理推進機構）と内閣官房 国家サイバー統括室も、経営者向けの呼びかけを公表しました。

JPCERT/CCは、一般向けのアプリだけでなく、BIツール（売上などを集計・分析する道具）や従業員向けの管理システムのように「不特定多数がアクセスする前提で作られていないシステム」まで被害に遭っていると指摘しています。

IPAは経営者に向けて、「経営責任として情報漏えいを起こさないための対策の点検や見直しを至急実施」するよう求めています。内閣官房も、事業者に技術的な情報を速やかに共有するよう呼びかけました。

3. どうやって侵入された？ 狙われた「アプリの裏口」

スマホアプリは、画面の裏でサーバーとやり取りしています。そのやり取りの「窓口」をAPIと呼びます。利用者がボタンを押すと、アプリがこの窓口に「この人の会員情報をください」と頼み、サーバーが答えを返す仕組みです。

問題は、アプリが誰でもダウンロードできることです。アプリを分解すれば、窓口の住所や、窓口を使うための合鍵（APIキー）が見えてしまうことがあります。画面にはボタンがなくても、窓口に直接頼めば、本来できない操作が通ってしまう。これが今回の中心にある手口です。

JPCERT/CCが確認した4つのパターン

JPCERT/CCは、すべてが同じ手口ではないと断ったうえで、次の4つを挙げています。

実際の事例でも、同じ形が見えます。スタディサプリでは、一部機能の仕様上の不備を突かれ、メールアドレスが登録済みかどうかを外から確かめられる状態でした。韓国の新韓銀行では、会員番号をでたらめに入力して、携帯電話での本人確認を飛ばせてしまったと報じられました。大和証券は自社のシステムではなく、問い合わせ管理を任せていた委託先が入口になりました。

4. 日本だけではない。韓国の銀行とAIの影

同じ時期、韓国でも金融機関が相次いで被害に遭いました。報道によると、新韓銀行で約2万5,000人、KB国民銀行で顧客99人と従業員20人、ハナ銀行で89人の情報が流出。侵入口は銀行の中心のシステムではなく、ローン仲介業者向けの照会サービスや、従業員用のモバイル業務システムといった周辺の仕組みでした（American Banker）。

調査では、AIで侵入テストを自動化するツール「ARTEX」の痕跡が見つかったと報じられ、李在明大統領も「AIが使われた兆候がある」と述べています。ただし韓国の金融当局の幹部は「AIが人間の関与なしに単独で動いたわけではない」とも指摘しています（The Korea Times）。

マクニカの集計では、似た事案が13の国と地域で99件（韓国30件、フランス11件など）確認されています。日本の内閣官房も文書の中で「AIの悪用を含むサイバー攻撃の手法が高度化・巧妙化」していると書いています。日本の件でAIが使われたかは確定していませんが、マクニカは「人間による手作業は現実的ではなく、AIの活用を否定する方が難しい」としています。

5. AQUAの見解：「アプリは壁ではない」時代の守り方

ここからは、AIの開発と教育に携わる私たちAQUAの意見です。事実の部分と区別して読んでください。

6. 世界の標準的な守り方

APIの守り方には、すでに世界で使われている「教科書」があります。新しく考える必要はありません。足りないのは、それを実際に使うことです。

報告のルールも世界でそろってきています。欧州のGDPR（個人データの保護のための法律）は、漏えいに気づいてから72時間以内に当局へ届け出るよう定めています。日本でも、不正アクセスによる漏えいなどは個人情報保護委員会への報告が義務で、速報は発覚から3〜5日以内、確報は30日以内（不正な目的のおそれがある場合は60日以内）です。

会社として今日から確認したいこと

JPCERT/CC・IPA・内閣官房の呼びかけと、上の世界の基準を、すぐ動ける形にまとめました。

• 窓口の一覧をつくる：自社のアプリ・Webサービス・管理ツール・委託先のシステムに、外から使える窓口がいくつあるか、すべて書き出す。一覧にないものは守れません。
• 窓口ごとに「誰が・何を」を確かめる：サーバー側で毎回、本人か、その情報を見てよい人かを確認しているか。番号を1つずらすだけで他人の情報が見えないか、実際に試す。
• アプリに秘密を入れない：アプリの中にAPIキーや管理用の合言葉が入っていないか確認し、入っていたら作り直す。漏れた疑いのある鍵はすぐに無効にする。
• 試行回数に上限をつける：同じ相手からの大量の依頼を止める。特に、ログインや会員情報の照会など危険な機能には個別の上限を。
• ログを1か月分さかのぼる：エラーの急増や、ふだんと違う大量の取得がないか。IPAは直近1か月、その後3か月と範囲を広げて確認するよう勧めています。
• 直していない弱点をふさぐ：OS・CMS（WordPressなどのサイト管理の仕組み）・分析ツールなどの更新を後回しにしない。使っていないサービスは止める。
• 管理画面は多要素認証で：パスワードだけで入れる管理画面をなくす。退職者などの不要なアカウントはすぐ消す。
• 委託先も同じ基準で：問い合わせ管理やメール配信など、データを預けている先の対策と報告ルールを契約で確認する。
• 持っているデータを減らす：使い終わったデータ、保存期間を過ぎたデータを消す。本人確認書類の画像などは、確認後に残さない設計を検討する。

7. 利用者として、今日できること

漏れたのがパスワード以外でも、安心はできません。氏名・電話番号・利用しているサービス・口座番号。1つずつは小さな情報でも、組み合わさると本物そっくりの詐欺の材料になります。マクニカも、今回集められた情報が詐欺に使われる可能性を指摘しています。

• 「知っているはずの情報」を信用の根拠にしない：名前や口座番号の一部を言われても、本物とは限りません。いったん切って、公式サイトに載っている番号にかけ直しましょう。
• メールやSMSのリンクからログインしない：アプリか、自分で登録したブックマークから開きます。
• パスワードの使い回しをやめる：被害を受けたサービスと同じパスワードを、ほかでも使っていれば変更を。
• パスキーや二段階認証を有効にする：対応しているサービスでは、今日のうちに設定を。
• お知らせは公式サイトで確認する：「漏えいのお詫び」を名乗る偽メールも出回ります。

まとめ：守りの基準を「AIの速さ」に合わせる

今回の一連の被害は、特別な天才ハッカーによる一度きりの事件ではありません。基本的なすき間が、かつてない速さと広さで探されている。これが本質です。

だからこそ、対策も特別なものではありません。窓口の一覧をつくり、サーバーで毎回確かめ、アプリに秘密を置かず、持つデータを減らす。世界の教科書にすでに書いてあることを、AIの速さに負けない頻度で回し続けることです。AIは攻撃の道具にもなりますが、同じだけ守りの道具にもなります。どちらの速さで動けるかが、これからの会社の信頼を分けます。