【インシデント速報】2026年10月6日｜大和証券22万件・infoQ最大95万件・集英社ブロガー情報漏えい
公開
①10月5日、大和証券グループでは問い合わせ管理を任せた委託先が不正アクセスを受け、顧客約11万人分の口座番号を含む約22万件が漏えいのおそれ。②アンケートサイトinfoQはソフトウェアの脆弱性を突かれ、最大約95万件という保有個人情報のほぼ全量が流出した可能性がある。③集英社のブロガー管理システムは「CMSの設定不備」が入り口となった。委託先・古いソフト・設定ミスという、中小企業でも同じ3つの穴から被害が起きている。
大和証券グループ、委託先への不正アクセスで顧客約11万人の口座番号など約22万件が漏えいのおそれ
大和証券は2026年10月5日、問い合わせ管理サービスを委託していたスカラコミュニケーションズ（東京都渋谷区）のサーバーが第三者による不正アクセスを受け、最大約22万件の情報が漏えいした可能性があると公表した。対象となるのは、大和証券に問い合わせをした顧客約11万人分で、氏名・メールアドレス・口座番号などが含まれる。
不正アクセスが行われたのは10月2日午後8時33分から3日午前8時1分ごろとされる。大和証券本体のシステムへの侵入は確認されておらず、現時点で追加の不正アクセスや情報の不正利用も確認されていないと説明している。委託先が顧客対応のために預かっていたデータが、本体の守りとは別の経路で抜き取られた、典型的なサプライチェーン（委託先）起点の漏えいである。
大和証券は緊急のセキュリティ強化策を実施済みで、委託先管理の強化策を検討するとともに、対象となる顧客への個別連絡を進めている。金融機関の口座番号が含まれる点は、なりすましや不審な連絡による二次被害に直結しやすく、注意が必要だ。
中小企業への影響
自社が顧客情報を外部の問い合わせ管理・コールセンター・SaaSに預けている場合、自社のサーバーをどれだけ固めても、委託先が破られれば同じ情報が流出する。しかも侵入の調査や公表の主導権は委託先側にあり、「自社は被害に気づくのが最後」になりやすい。大企業でも委託先が弱点になった以上、同じ仕組みを使う中小企業にとっても他人事ではない。
推奨対応
- 顧客情報を預けている委託先・クラウドサービスを一覧化し、「どこに・何の情報を・何件」渡しているか棚卸しする
- 委託先との契約に、不正アクセス検知の仕組み・アクセスログの保存・発覚時の連絡義務と期限が入っているか確認する
- 口座番号や連絡先が漏れた前提で、顧客向けに「当社から口座番号やパスワードを電話・メールで聞くことはない」と周知し、なりすまし被害を防ぐ
アンケートサイト「infoQ」に不正アクセス、最大約95万件の個人情報が漏えいのおそれ
GMOリサーチ&AIが運営するアンケートモニターサイト「infoQ」は2026年10月5日、第三者による不正アクセスを受け、最大948,498件の個人情報が漏えいした可能性があると公表した。これは同サイトが保有する個人情報のほぼ全量にあたる規模である。会員からの問い合わせをきっかけに10月3日午前に発覚した。
漏えいのおそれがあるのは、氏名・フリガナ・性別・生年月日・メールアドレス・住所・電話番号・会員ID・ニックネーム・暗号化されたパスワード・保有ポイント数・利用状況など。クレジットカード情報とマイナンバーは取り扱っておらず対象外とされる。原因は「infoQで使用していたソフトウェアの脆弱性を第三者に悪用されたこと」と説明されており、具体的な製品名やCVE番号は公表されていない。
同社は10月3日時点でポイント交換の停止・攻撃経路の遮断・外部からのアクセス遮断を実施し、サービスを停止して外部のセキュリティ専門会社と調査を続けている。611件・286万9,500円分のポイントが不正に交換されたことも判明しており、全額を補填する方針で、個人情報保護委員会にも報告済みだ。
中小企業への影響
「保有している個人情報のほぼ全部が一度に流出し得る」という点が、この事案の怖さだ。入り口は難しいハッキングではなく、使っていたソフトウェアの既知の脆弱性。つまり、更新を当てていれば防げた可能性がある。会員サイトやアンケート・予約フォームを自社やSaaSで運用している中小企業でも、土台のソフトを放置していれば同じ穴を突かれる。
推奨対応
- Webサイトや会員システムで使うCMS・プラグイン・サーバーソフトのバージョンを把握し、セキュリティ更新を定期的に適用する
- ポイントやクーポンなど「換金性のある機能」は、不正交換を検知・停止できる仕組みと、停止手順を事前に決めておく
- 異常に気づいたら即座にサービスを止められるよう、「誰が止める判断をし、誰が告知するか」を平時から決めておく
集英社「HAPPY PLUS COMMUNITY」に不正アクセス、ブロガーや取引先の個人情報が漏えい
集英社は2026年10月5日、ブロガー向けの情報管理システム「HAPPY PLUS COMMUNITY」が不正アクセスを受け、登録ブロガーや取引先の個人情報が漏えいしたと公表した。漏えいした可能性があるのは、ブロガー情報2,835件、案件情報630件、メール情報11,237件、取引先の会社名10,780件・メールアドレス26件・電話番号113件などである。
ブロガー情報には、氏名・住所・電話番号・生年月日・性別・職業・メールアドレスのほか、プロフィール情報や画像、SNSアカウント、フォロワー数、結婚状況、子どもの有無、身長、肌タイプといった、きわめて細かな属性情報まで含まれていた。侵害は、同システムから送信されたメールの受信者からの連絡で発覚した。
報道では原因として「CMSの設定不備」「API認証情報」「特権ユーザーアカウント」といった点が挙げられており、高度な攻撃というより、管理画面や権限設定の作り込みの甘さが突かれた可能性が示唆されている。氏名・連絡先に加え、嗜好や家族構成まで組み合わさった情報は、精度の高いなりすましや標的型のフィッシングに悪用されるおそれがある。
中小企業への影響
大手出版社でも、入り口になったのは「設定の不備」だった。WordPressなどのCMSや業務システムを導入したまま、管理者権限や公開範囲、API連携の初期設定を見直していない中小企業は多い。高価な製品を入れても、設定が甘ければ入り口は開いたままになる。集めた属性情報が細かいほど、漏れたときの悪用の精度も上がる。
推奨対応
- CMSや業務システムの管理画面について、公開範囲・管理者アカウント・初期パスワードが放置されていないか設定を点検する
- 外部連携（API）に使う認証情報（キー・トークン）を棚卸しし、不要なものは失効させ、権限は必要最小限に絞る
- 「どの情報を何のために集めているか」を見直し、嗜好・家族構成など不要に細かい情報は集めない・持ち続けないようにする
編集部まとめ
10月5日に公表された3件は、攻撃そのものより「入り口」が共通している。大和証券は委託先、infoQは更新されていなかったソフトの脆弱性、集英社は管理画面の設定不備。いずれも、派手な新手の攻撃ではなく、ふだんの管理の抜けを突かれた形だ。中小企業がまず取り組むべきは、顧客情報を預ける委託先の棚卸し、使っているソフトの更新、そして管理画面・権限・API設定の点検である。入り口の3点を締めるだけで、今日の3件と同じ被害の多くは防げる。委託先管理やシステムの守り方は、AND SECUREの過去記事でも実務目線で解説している。