今回は「攻撃の全体像を示す統計」と「足元で続く漏えい事案」を合わせて取り上げます。1本目は警察庁が公表した2026年上半期のランサムウェア被害状況で、報告件数は半期として過去最多の123件、しかもその6割超を中小企業が占め、初期侵入経路の約5割がVPN機器でした。2本目は女性向け情報サイト「オズモール」で、最大44万7,610名分のメールアドレスなどが外部から閲覧された可能性が公表された件。3本目はコンビニ「セイコーマート」のアプリ経由で会員情報サーバーに不正アクセスがあり、約57万件の会員情報が対象となった件です。統計が示す「狙われる中小企業」と、個別事案が示す「会員情報と認証の守り」を、明日から点検できる形で整理します。
NEWS 01
警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月公表・各社報道）
警察庁、2026年上半期のランサムウェア被害を過去最多の123件と公表――中小企業が79件と6割超、初期侵入の約5割がVPN機器
警察庁は2026年9月、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」を公表しました。企業・団体などから警察に報告されたランサムウェアの被害件数は123件で、統計を取り始めた2020年下半期以降、半期として過去最多となりました。被害は35都道府県に及んでいます。9月下旬には各セキュリティ機関がこの統計をもとに対策情報の紹介を始めており、あらためて注意が呼びかけられています。
被害を組織の規模別に見ると、中小企業が79件と全体の6割超を占め、大企業の31件、団体などの13件を大きく上回りました。業種別では製造業の37件が最も多く、卸売・小売業15件、情報通信業・不動産業・医療福祉がそれぞれ9件、建設業8件と続きます。「ランサムウェアは大企業が狙われる」という印象とは逆に、件数で見れば中小企業のほうがはるかに多く被害を受けているのが実態です。
侵入の入口も明確です。報告のうち感染経路が判明したもので、VPN機器の脆弱性や認証情報を突いた侵入が約5割を占めました。さらに被害の重さも数字に表れており、復旧に総額1,000万円以上を要した組織が全体の約6割、復旧までに1か月未満で済んだ組織は5割弱にとどまっています。一度侵入を許せば、規模の小さい組織ほど復旧の負担が経営に重くのしかかります。
▌中小企業への影響
この統計は、中小企業にとって「ランサムウェアは自社に関係ない話ではない」ことを数字で示しています。件数の6割超が中小企業であり、入口の約5割がVPN機器です。多くの中小企業はテレワークや拠点間接続のためにVPNを導入しており、そのファームウェアの更新や認証の強化が後回しになっていれば、そこが侵入口になります。復旧に1,000万円以上かかった組織が6割という数字は、人員や予算の限られた中小企業ほど「払えない・止まれない」痛手として跳ね返ることを意味します。
▌推奨対応
- 社内で使っているVPN機器・ファイアウォールの機種とファームウェアのバージョンを一覧化し、サポート期限と最新版への更新状況を確認する
- VPNや管理画面へのログインに多要素認証を設定し、退職者や委託先の不要なアカウントを削除する
- 重要データのバックアップを取得し、ネットワークから切り離した場所（オフライン）にも世代を分けて保管する
- バックアップからの復旧手順を一度実際に試し、「どのくらいの時間で業務が戻せるか」を把握しておく
- 被害時の連絡先（警察・取引先・保守ベンダー）と初動手順を1枚にまとめ、担当者間で共有する
NEWS 02
スターツ出版公表（各社報道）｜ 2026年9月27日公表
女性向け情報サイト「オズモール」に不正アクセス、最大44万7,610名分のメールアドレスなどが閲覧された可能性
女性向けのおでかけ・予約情報サイト「オズモール（OZmall）」を運営するスターツ出版は2026年9月27日、同サイトが不正アクセスを受け、会員の個人情報が外部から閲覧された可能性があると公表しました。閲覧された可能性があるのは、会員のメールアドレス最大44万7,610名分に加え、一部会員の氏名、および住所（都道府県まで）です。
同社は、海外から大量の不正アクセスが発生していることを検知し、2026年9月26日に該当ページへのアクセスを一時停止したうえで、原因の特定とシステムの修正、不正アクセスの遮断対策を実施したと説明しています。具体的な攻撃手法は公表されていません。クレジットカード情報については、外部の決済システムを利用しているため漏えいの可能性はないとしています。公表時点で情報が不正に利用された事実は確認されていないとしていますが、対象となる会員には個別に案内を進めるとしています。
▌中小企業への影響
漏えいした情報の中心はメールアドレスで、クレジットカードのような直接的な金銭被害に結びつく情報ではありません。しかし大量のメールアドレスが流出すれば、それ自体がフィッシングや標的型メールの送信先リストとして悪用されます。「オズモールを装った偽メール」が会員に届けば、本物と見分けるのは容易ではありません。会員制サイトやメール配信の仕組みを持つ中小企業にとっては、保有する顧客のメールアドレスも同じ価値を持つ資産であり、流出すれば自社の顧客が詐欺の標的になります。「カード情報さえ守れば十分」という発想では守りきれません。
▌推奨対応
- 自社で保有する顧客のメールアドレス・氏名・住所がどのシステムに・どれだけ蓄積されているか棚卸しする
- 会員サイトや問い合わせフォームに、海外からの大量アクセスや連続ログイン試行を検知・遮断する仕組み（WAF・レート制限）を導入する
- 外部からの不審なアクセス増加を早期に把握できるよう、アクセスログの監視と異常時の通知を設定する
- 決済は自社で保持せず、外部の決済代行サービスを利用してカード情報を手元に残さない構成にする
- 漏えい時に顧客へ速やかに案内できるよう、通知文面と連絡手順をあらかじめ用意しておく
NEWS 03
セイコーマート公表（各社報道）｜ 2026年9月29日公表（第二報9月30日）
「セイコーマートアプリ」経由で会員情報サーバーに不正アクセス、約57万件の会員情報が閲覧された可能性
北海道を中心にコンビニエンスストアを展開するセイコーマートは2026年9月29日（第二報は9月30日）、公式スマートフォンアプリ「セイコーマートアプリ」のサーバーを経由して、第三者が会員情報サーバーに不正にアクセスしたと公表しました。閲覧された可能性があるのは約57万件の会員情報で、内容は氏名、性別、生年月日、住所、電話番号、メールアドレス、クラブカードの入会年月日・退会年月日などです。具体的な侵入手法は公表されていません。
同社は不正アクセスを検知した後、2026年9月28日20時に当該サーバーへの接続を停止し、アプリのマイページログイン・新規入会・会員情報変更などの機能を停止しました。あわせて公式ホームページ・公式通販・ネット予約サイトからのログインも一時停止しています。クレジットカード情報はセイコーマート側では保有していないため、漏えいの対象には含まれないとしています。会員の利便性に配慮し、9月末に失効するポイントの有効期限を1か月延長する対応もとっています。
▌中小企業への影響
この事案は、スマホアプリやその裏側のサーバーが社内の会員データへの入口になり得ることを示しています。アプリの機能そのものに不備がなくても、アプリが接続するサーバーの設定や認証が甘ければ、そこを経由して会員情報の本体にたどり着かれます。自社でアプリやWeb会員サービスを提供している、あるいは開発を外部に委託している中小企業では、「表に見えるアプリ」だけでなく「その裏でつながっているサーバーやデータベース」まで含めて守る必要があります。利用者側の視点でも、複数のサービスで同じID・パスワードを使い回していると、一つの漏えいが他サービスの乗っ取りに連鎖します。
▌推奨対応
- 自社アプリ・Webサービスが接続するサーバーやデータベースのアクセス権限を点検し、必要最小限に絞る
- 会員情報を保持するサーバーへの通信元を制限し、アプリ側だけでなくサーバー側のログも監視対象にする
- 従業員・顧客の双方に、サービスごとに異なるパスワードを使うこととパスワード管理ツールの利用を周知する
- 重要なログインには多要素認証を導入し、連続したログイン失敗を検知してアカウントを保護する
- 開発を外部委託している場合、脆弱性診断とサーバー設定の確認を「誰が・いつ行うか」契約で明確にする
編集部まとめ
今回は、警察庁の統計が示す「中小企業こそ最も狙われている」という事実と、オズモール・セイコーマートという2つの漏えい事案を並べて取り上げました。統計の教訓は明快で、被害の入口の約5割はVPN機器であり、復旧には多額の費用と時間がかかります。まず着手すべきは、VPN・ゲートウェイ機器の更新と多要素認証、そしてオフラインを含むバックアップの確保です。2つの漏えい事案が示すのは、カード情報以外の「メールアドレスや会員情報」も狙われ、アプリやサーバーの裏口が入口になるという点です。顧客データの棚卸し、会員サービスのアクセス制限とログ監視、パスワードの使い回し防止を、規模の大小にかかわらず今日から点検してください。
参考情報
- 「ランサムウェア被害件数が過去最多の123件に、警察庁が対策情報を紹介」ScanNetSecurity（2026年9月30日）
- 「ランサムウェア被害は過去最多 警察庁が明かした2026年上半期の異変――最も狙われる初期侵入経路も判明」＠IT（ITmedia）
- 「オズモールに不正アクセス 最大44万7,610名分のメールアドレスなどが閲覧された可能性」セキュリティ対策Lab（スターツ出版 2026年9月27日公表）
- 「セイコーマートアプリ経由で会員情報サーバーに不正アクセス、約57万件の会員情報が対象」セキュリティ対策Lab（セイコーマート 2026年9月29日公表）
