サイバー攻撃
（続報）ブックオフの会員管理システムへの不正アクセス、漏えいした会員データは642万7735件・638万3279人と確定 ― ブックオフグループホールディングス
発表：10月13日公表の第2報。発端は10月9日の第1報。子会社ブックオフコーポレーションの会員管理システムに第三者が不正アクセスし、10月4日〜6日に会員情報が外部から取得された。対象はアプリ・オンラインストア・Webの会員で、会員データ642万7735件、人数で638万3279人（有効会員617万908人、退会会員21万2371人）。漏えいしたのは氏名、生年月日、性別、メールアドレス、電話番号、郵便番号・住所、パスワードのハッシュ値、ポイントカード番号、会員番号。クレジットカード情報、銀行口座情報、店頭買取時の本人確認書類の文字情報、宅配買取の集荷先住所と本人確認書類の画像は対象外としている。脆弱性や攻撃手法は再攻撃を招くおそれがあるとして公表せず、グループ全システムの緊急総点検、個人情報保護委員会への報告と警察への相談を進め、10月15日から対象者へ順次メールで連絡する
関連報道：https://www.nippon.com/ja/news/yjj2026100900441/
「銀のさら」「釜寅」「すし上等」の公式サイト・アプリの登録者情報、最大約650万件が漏えいした可能性 保管を委託していたサーバ運営会社がランサムウェア被害 ― ライドオンエクスプレスホールディングス
発表：10月13日公表。10月7日に公表したサイト・アプリ停止の続報。10月5日以降に第三者の不正アクセスを検知し、7日早朝に一部サーバで障害が発生、サーバ運営会社からランサムウェア攻撃を受けたと報告を受けてシステムを止めた。運営会社からは、委託していたデータの取り出しや復元が難しいとの報告も受けた。漏えいの可能性があるのは氏名、住所、電話番号、メールアドレス、性別、生年月日、パスワードのハッシュ値、注文履歴、デリポイント会員IDで、登録内容によっては家族の氏名・誕生日、届け先の氏名・住所・電話番号も含む。出前館・Uber Eats・電話だけで注文した人は対象外で、クレジットカード情報は保有していないとしている。13日時点で漏えいの明確な痕跡は確認できていない
関連報道：https://www.itmedia.co.jp/news/article/2610/13/2000002232/
キャッシュレスサービス「IDARE」で12万9659人の個人情報が漏えい 残高・取引履歴に加え、一部で本人確認書類の番号やカード番号・口座番号の一部も ― Fivot
発表：10月13日公表。カスタマーサポートなどに使っていた外部ソフトウェアの脆弱性を突かれ、8月10日〜9月27日に複数回、データベースの情報を取得された。対象は9月27日までの登録者（退会済みを含む）12万9659人。全員分で電話番号、メールアドレス、生年月日、ユーザーID、表示名、アカウント設定、残高情報、取引履歴、IDAREカードの名義・有効期限が、一部の利用者では氏名、住所、本人確認書類の番号などの申請内容、IDAREカード番号の下4桁、入金用に登録したクレジットカード番号の先頭6桁と下4桁、銀行口座番号の下3桁が漏れた。ログインパスワード、本人確認書類の画像、各カード番号の全桁、セキュリティコード、暗証番号は対象外としている。当該ソフトウェアの利用をやめ、認証情報を更新した
関連報道：https://www.itmedia.co.jp/news/article/2610/13/2000002233/
（続報）カインドオルへのフィッシングを入り口にした不正アクセス、漏えいの対象者は13万6464人と確定 ― トレジャー・ファクトリー
発表：10月13日公表の第三報。発端は8月28日と9月2日の公表。連結子会社カインドオルの調査が終わり、漏えいした個人情報の対象者は13万6464人（うち住所を含むのは10万9311人）で確定した。項目は8月28日の公表から変わらず、クレジットカード情報とECサイトのログインパスワードは含まない。原因は第一報のとおり、フィッシングメールを通じたスタッフのアカウントの不正利用で、フィッシングメールを受けた従業員のPCのログとECプラットフォーム運営会社のアクセス・操作履歴を突き合わせて経路を特定した
自治体なども使う一斉同報サービス「SpeeCAN RAIDEN」に不正侵入、登録先の氏名・連絡先や配信本文が流出した可能性 ― アルカディア
発表：10月11日16時半ごろに不審な挙動を確認し、12日3時ごろに侵入経路を遮断、13日に外部からの侵入経路を特定して同日11時から「SpeeCAN RAIDEN」と「ライデン・スクール」の一部環境を止めた。災害情報などをメール・電話・ファックス・SNSで一斉配信するクラウドサービスで、自治体も導入している。流出した可能性があるのは、登録された連絡先の氏名、メールアドレス、電話番号、ファックス番号、担当者や契約者の情報、配信履歴として保存された本文など
関連報道：https://www.security-next.com/191371
NICTの脅威情報分析チーム「LETTICE」、公開アプリを解析して裏側のサーバを狙う「A2B攻撃」を、国内で相次ぐ情報漏えいの原因の一つとして公表
10月13日公表。攻撃者は一般公開されているAndroidアプリを解析し、接続先のサーバやAPIを調べたうえで、個々のサーバに合わせた攻撃をする。アプリ自体に脆弱性がなくても、サーバ側の認証・アクセス権限の確認・入力の検証に不備があれば漏えいにつながり、iOSアプリやWebサービスでも同じことが起きうる。AIでアプリの解析や脆弱性の発見が効率化され、攻撃が広がるおそれも指摘した。事業者には、公開しているAPIとサーバの洗い出しとログの確認、APIのアクセス権限の不備（IDOR／BOLA）・SSRF・RCE・SQLインジェクションの重点点検、不要なAPIの停止・アクセス制限・監視強化・認証情報の再発行を勧めている。関連報道：https://www.itmedia.co.jp/news/article/2610/13/2000002230/
アプリそのものではなく、アプリがつながる先のサーバの設定の不備が狙われている点
