【インシデント速報】2026年5月10日｜JR東海高島屋ランサム被害1,338件・インテグラルWeb改ざん5,441件・大阪市個人情報誤り16件一括公表
secure応募者・問い合わせ者など「本業の顧客以外」のデータを抱えるサーバが立て続けに攻撃されている。営業システムから切り離していても、採用や問い合わせフォームの裏側は手薄になりがちで、流出件数も四桁規模に達する。フォーム経由で取得する個人情報の保管期間と保管場所をいま一度棚卸ししたい。
1. ジェイアール東海高島屋｜アルバイト応募サーバが不正アクセス、最大1,338件にランサムウェア感染の疑い
名古屋市の百貨店ジェイアール東海高島屋は2026年5月8日、アルバイト従業員の応募受付サーバが不正アクセスを受けたと発表した。流出のおそれがあるのは2021年3月1日以降に契約したアルバイトの氏名・連絡先・給与振込口座など最大1,338件の個人情報で、サーバはランサムウェアに感染した疑いがある。
不正アクセスは2026年5月1日に検知され、同社は直ちにサーバを社内ネットワークから遮断した。営業システムや顧客情報を扱う基幹システムとは独立した構成で、現時点で商品販売や来店客への影響は確認されていない。攻撃者からの金銭要求も今のところなく、外部の専門機関と連携して被害範囲の特定と原因調査を進めている。
中小企業への影響
採用応募管理サーバや問い合わせフォームのデータベースは、本業の顧客情報を扱うシステムから切り離して運用しているケースが多く、結果として監視やパッチ適用が手薄になりがちだ。今回の事案のように振込口座まで含む情報が長期間蓄積されていると、四桁の流出が一度に発生する。中小企業でも採用ページや問い合わせフォームの裏側のサーバが「忘れられた資産」になっていないか確認が必要。
推奨対応
- 採用応募・問い合わせフォーム等の「業務系から切り離されたサーバ」の一覧化と、最終パッチ適用日の確認
- 応募者・退職者など「使い終わった個人情報」の保管期間ポリシーを見直し、自動削除の仕組みを導入する
- サーバ単位でEDR/アンチランサムウェア製品を導入し、感染検知から遮断までを自動化する
- 振込口座など金融情報を保持するDBは、暗号化＋アクセスログ取得を最低限の要件とする
2. インテグラル｜Webサイト改ざんで不正リダイレクト、最大5,441件の個人情報漏えいのおそれ
医療機器の輸入販売を手掛ける株式会社インテグラル（東京都文京区）は、運営する3サイトのウェブサーバが不正アクセスを受け、最大5,441件（延べ）の個人情報が漏えいした可能性があると最終報告を公表した。ScanNetSecurityが2026年5月8日に詳細を報じた。
同社は2026年1月23日、自社ホームページが不適切なサイトへリダイレクトされる事象を発見。調査の結果、2026年1月中旬以前から不正なファイルがサーバに設置され、外部から一定期間にわたり操作されていたことが判明した。フォレンジック調査では情報窃取の成功記録は確認されなかったが、不正プログラムの実行痕跡が残っており、漏えいの可能性は否定できないと判断した。漏えい対象は問い合わせフォームから取得した氏名・所属施設名・部署・職種・住所・電話番号・メールアドレスで、対象者には個別連絡を行っている。
中小企業への影響
「Webサイトの改ざん→外部サイトへのリダイレクト」は中小企業のコーポレートサイトで頻発する典型的な攻撃で、検知が遅れがちなパターンだ。今回は1月中旬から発生し、発見まで1か月程度を要している。問い合わせフォームに蓄積された情報まで芋づる式に流出のおそれが指摘されるなど、コーポレートサイト1つの侵害が顧客との信頼関係を直撃する。
推奨対応
- WAF（Web Application Firewall）またはCMS用のセキュリティプラグインを必ず導入し、不正ファイル設置を検知する
- WebサイトのファイルをハッシュチェックするFIM（File Integrity Monitoring）を月次以上で実施する
- コーポレートサイトの問い合わせフォームのデータは、Webサーバと別のDBに保管し、保存期間を限定する
- 外部のセキュリティ業者による脆弱性診断を年1回以上実施し、サーバ設定ミス・脆弱なCMSプラグインを発見する
3. 大阪市｜個人情報事務処理誤り16件を5月8日に一括公表、紛失・誤送付・誤交付が中心
大阪市は2026年5月8日14時、令和8年3月21日から4月20日までに発生した個人情報に係る事務処理誤り等16件（うち1件は別途個別公表）を一括公表した。市はインシデント発生の都度公表する個別公表に加え、月次で事務処理ミスをまとめて公表する仕組みを運用しており、今回は5月分の取りまとめにあたる。
公表内容は紛失・誤送付・誤交付・誤廃棄など人為的な事務処理ミスが中心で、サイバー攻撃ではなく内部の取扱い不備に起因する。大阪市は「市民の信頼を大きく損ねた」として再発防止に努める旨を表明している。同様に行政機関では月次・四半期で事務処理ミスを取りまとめる動きが広がっており、自治体・公的機関と取引する企業は委託業務での個人情報取扱いの厳格化を求められる流れにある。
中小企業への影響
サイバー攻撃ではなく「ヒューマンエラー」が個人情報漏えいの主要因であることを大阪市の公表は示している。中小企業が陥りやすい誤送付・誤交付・誤廃棄は、技術的対策だけでは防げず、業務フローの見直しが必須。委託先として自治体や大企業から個人情報を扱う業務を受託している場合、月次レポート・年次監査の強化が求められるケースが今後増える。
推奨対応
- メール送信前にダブルチェックを必須化する（特に複数宛先BCC送信時）
- 紙の個人情報書類は、保管→廃棄まで台帳管理し、廃棄時はシュレッダー・溶解処理の証跡を残す
- 個人情報を扱う業務の手順書をマニュアル化し、年1回以上の社内研修を実施する
- 誤送付・誤交付発生時のエスカレーションフロー（30日以内の確報報告など）を事前に整備する
編集部まとめ
本日のインシデントは「営業の本流から外れたサーバ・サイト・業務」が突かれた点で共通する。応募者管理・問い合わせフォーム・事務処理ミスといった日常業務の周辺に、四桁の個人情報が静かに溜まり、一度の侵害で大きく流出する構造だ。中小企業も自社が抱える「忘れられた個人情報」を棚卸しし、不要なデータは消し、必要なデータは守る——この当たり前を改めて徹底したい。
