2026年9月末から10月にかけて、日本の企業で大規模な情報漏洩の公表が相次いでいる。公表の口火を切ったのは9月25日で、カーシェアリングの「タイムズカー」が外部からの不正アクセスを検知し、9月28日の第2報で約660万件の漏洩を公表。翌29日には運転免許証の画像などの本人確認書類が漏れたアカウントが約160万件にのぼると発表している。

その後、別の形の漏洩の公表が続いた。10月2日夜から3日朝にかけて、問い合わせ対応のFAQシステム「i-ask」の管理サイトに第三者が不正にログインし、不正なプログラムを設置した上で利用企業の情報を取得した可能性があることが判明した。提供元のスカラコミュニケーションズの10月6日の発表では、影響は利用企業の最大5社、問い合わせ単位の延べ最大713,126件だ。利用企業側では、大和証券が10月5日に約11万名、シチズン時計が6日に約10万名、損害保険ジャパンが7日に延べ約6万件の漏洩の可能性を公表した。3社とも自社のシステムへの不正アクセスは確認されていないと説明している。

さらに10月5日には「焼肉きんぐ」の公式アプリで10,788,963件、8日にはローソンIDで2,155,345件（不正アクセスは9月中旬）の漏洩が公表され、9日にはブックオフグループが最大約643万件の会員情報が漏洩した可能性があると公表した。東京商工リサーチによると、上場企業とその子会社による100万件以上の漏洩は、2026年は10月5日時点で既に10件と、2025年の年間6件を上回っている。

今回の連鎖からは二つの新しい漏れ方が見える。一つは、自社は無事でも顧客の情報が漏れうることだ。大和証券など3社で破られたのは自社のシステムではなく、問い合わせ窓口に使っていた外部のサービスだった。金融庁もサードパーティリスク管理の点検を金融機関に求めている。二つ目は、持ち続けたデータが被害を広げることだ。タイムズカーでは退会した人の情報まで漏れた。個人情報保護委員会は、不要になった個人データの消去が徹底されず漏洩がより深刻になった事例があるとして、改めて注意を促した。

国と専門機関の動きも速かった。10月7日に個人情報保護委員会、8日にJPCERT/CCと警察庁、9日には国家サイバー統括室、金融庁、IPA、経済産業省が相次いで注意喚起を出した。サイバーセキュリティクラウドは、同じとみられる攻撃者が約40分間に326のIPアドレスを使い分けながら攻撃していたことを観測し、AIエージェントが関わった可能性を指摘している。