【月間分析】2026年10月のインシデント90件｜攻撃の種類・漏えい情報・守り方

10月に、被害を受けた会社・団体が最初に公表した事案は90件でした。台帳は上場企業とその子会社を中心に集めているため、区分では上場企業が61件、その子会社が21件と、合わせて9割を占めます。

業種では、IT・ネットサービスが20件でいちばん多く、小売・通販が16件、金融・保険・決済が11件と続きます。IT・ネットサービスが多いのは、メール配信・Web 制作・SaaS など、ほかの会社が使うサービスを提供する会社の事故が目立ったためです。

いちばん多かったのは「原因不明・調査中」の31件です。発表に「不正アクセス」とだけあり、どのような手口で入られたかが書かれていない事案です。公表の時点では調査が終わっていないことが多く、続報で手口が書かれることもあります。

次に多いのが「委託先・クラウドサービスの侵害の波及」の30件です。自社ではなく、使っているクラウドサービス（Web 制作・メール配信・デジタル証券の基盤など）が侵害され、そこに預けていた自社の顧客の情報が影響を受けました。

手口が分かっている事案では、Web サイト・システムの弱点を突いた侵入が19件で最も多く、ID・パスワードの悪用が4件、ランサムウェアが3件、設定のミスが2件でした。弱点には、脆弱性やプログラムの不備のほか、会員情報を取り出す API や分析ツールなど、外から使える仕組みに機械的・連続的にアクセスされたものを含みます（ソースネクスト・ACCESS など）。

4〜9月に公表された事案のうち、公表のときに手口が書かれていなかったのは96件で、分類できた220件の44%でした。10月（35%）と同じく、公表の時点で手口が分からないのは珍しいことではありません。

その後の会社の続報（第2報・調査結果・最終報告など）を追うと、96件のうち35件で手口が分かりました。公表から分かるまでの日数は、中央値で32日です。いちばん多かったのは「Web サイト・システムの弱点を突いた侵入」の20件で、侵入口は自社の Web サイト・EC サイト・アプリが22件でした。ランサムウェアと分かった6件のうち3件は、VPN など外に開いた機器から入られていました。

手口が書かれないまま公表された事案も、あとで分かるのは「公開しているシステムの弱点」と「ID・パスワードの悪用」が中心です。手口の発表を待たずに、外に公開しているシステムの更新と、管理画面・クラウドの多要素認証を先に確かめておくのが近道です。残りの61件は、いまも手口が書かれていません。and secure は、最初の公表から180日まで続報を確かめます。

漏えいした情報（漏えいの可能性を含む）は、氏名・住所・電話番号が63件、メールアドレスが62件で、ほとんどの事案に含まれます。会員サービスの登録情報がまとめて狙われた形です。

ID・パスワードが含まれる事案は19件ありました。パスワードが暗号化（ハッシュ化）されていても、同じパスワードをほかのサービスで使い回していると、なりすましのログインに使われるおそれがあります。クレジットカード情報が含まれる事案は9件で、カード番号の一部だけのものも含みます。

漏えいを「確認」した事案は32件、「可能性」とした事案は50件です。公表の時点では、確認できていない事案のほうが多くなっています。

侵入口でいちばん多かったのは、自社の Web サイト・EC サイト・アプリ（36件）です。会員サイトやアプリ、会員情報を取り出す API、管理システムなど、外から使えるようにしている仕組みが入口になりました。

次が委託先・クラウドサービス（30件）で、この2つで全体の7割を超えます。下の表の「原因不明・調査中 × 自社の Web サイト・EC サイト」（17件）は、どのシステムが攻撃されたかは書かれていても、どう入られたかが書かれていない事案です。