サイバー攻撃
（続報）顧客向けサイトなどへの不正アクセスで、保険契約の証券番号・氏名・住所・電話番号など約290万件の漏えいを新たに確認 ― ソニー生命保険
発表：発端は10月27日に契約者専用サイト「お客さまWEBサービス」などへの不正アクセスが判明し、10月28日に公表した件。11月9日の第二報で、新たな漏えいを確認したと公表した。保険契約の個人情報は、証券番号、氏名、住所、電話番号などで約290万件（解約などで契約が終わった分を含む）。このほか、代理店の募集人のメールアドレスと募集人番号が約780件、従業員のメールアドレスと社員番号が約1万2500件。健康状態・病歴などの要配慮個人情報、マイナンバー、クレジットカード情報、口座情報、メールアドレスは含まれていないとしている。本人確認書類・年収・勤務先・口座に当たる項目は含まれていない
関連報道：https://news.web.nhk/newsweb/na/nd-20261109de73115
システムへの不正アクセスで、商品購入者・会員と法人会員の個人情報が最大3762万件流出した可能性 ― ニトリホールディングス
発表：11月9日に公表した。11月6日に同社が管理するシステムへの不正アクセスを確認して遮断し、ログ解析で10月中旬から下旬にも第三者がアクセスしていた可能性が分かった。流出の可能性があるのは、ニトリグループの商品購入者と個人会員の会員番号、氏名、メールアドレス、住所、電話番号、生年月日、性別と、法人会員の会員番号、会社名、部署名、代表者氏名、会社の住所・電話番号、担当者の氏名・メールアドレス・電話番号。ニトリネットやECモールのニトリ公式ショップの注文データも含む可能性がある。ログインパスワードとクレジットカード情報は対象外。本人確認書類・年収・口座に当たる項目は公表されていない。侵入経路と影響範囲は調査中で、件数は変わる可能性がある。個人情報保護委員会と警察へ報告・相談している
関連報道：https://www.itmedia.co.jp/news/article/2611/09/2000003039/
（続報）停止中の「無印良品ネットストア」の再開を延期 リスト型攻撃で新たに約27万件、代金引換の受取先約44万件も漏えいの可能性 ― 良品計画
発表：発端は10月30日、公式アプリ「MUJIアプリ」への不正アクセスで最大約2726万件の会員情報が漏えいした可能性を公表した件。11月9日の第4報で、他で不正に手に入れたとみられるIDとパスワードを使う「リスト型攻撃」を受け、新たに約27万件（メールアドレス、生年月日、氏名・住所・電話番号、購入履歴・ポイントなど）が漏えいした可能性が分かったと公表した。既発表の約2726万件のうち氏名・住所・電話番号を含むものを52万件程度から75万件程度に改め、2020年1月2日〜2025年2月10日に店舗とネットストアで受注した代金引換の受取先約44万件も流出の可能性があるとした。ネットストアの再開は延期し、再開時には全利用者にパスワードの再設定を求める方向。対象者には良品計画と、MUJI Cardを発行するクレディセゾンが11月10日から順次連絡する
関連報道：https://www.itmedia.co.jp/news/article/2611/09/2000003038/
印刷通販「ラクスル」のデータ入稿システムに不正アクセス、顧客が入稿した名刺・はがき・請求書などに載った氏名・住所・電話番号などが漏えいした可能性 ― ラクスル
発表：11月9日に公表した。11月8日0時20分ごろに発覚し、第三者がシステムの認証情報を不正に取得していたこと、保管データの一部が外部からアクセスできる状態だったことを確認した。顧客が入稿した印刷データ、請求書、Web郵便などから、注文者の情報と、そこに記載された人の氏名、会社名、住所、電話番号、メールアドレスなどが漏えいした可能性がある。件数と期間は調査中。クレジットカード情報とログインID・パスワードは漏えいしていない。本人確認書類・年収・口座に当たる項目は公表されていない。悪用された認証情報を無効にし、経路のアカウントを止めた。個人情報保護委員会に報告する予定
関連報道：https://www.itmedia.co.jp/news/article/2611/09/2000003004/
メールマガジンの配信を委託していたアララのシステムへの不正アクセスで、配信先のメールアドレス219万6044件が流出 ― セガ
発表：11月9日に公表した。セガとセガ フェイブの製品・サービスの一部のメールマガジンの配信にアララのシステムを使っており、アララが不正アクセスを受けた。流出したのはメールアドレス219万6044件で、うち9万2273件には配信に付随する情報も含む。氏名、生年月日、性別、住所、電話番号、クレジットカード情報、ログインパスワードは流出していない。SEGA Accountのメールアドレスは別の配信システムのため対象外。悪用は確認されていない
学内ポータルのユーザー情報を管理するシステムに不正アクセス、教職員・学生・卒業生などの情報約3400件が取得される ― 早稲田大学
発表：11月9日に公表した。PHPの脆弱性への対応で学内システムを確かめる中で、8月31日に不正アクセスを受けた痕跡を見つけた。ポータルサイト「MyWaseda」へのログインに使うユーザー情報を管理するシステムに侵入され、教職員・学生・卒業生などの情報81件（氏名・資格名、Wasedaメールアドレス、暗号化したパスワードの組み合わせ）と、職員などのユーザー情報3261件（教職員番号、氏名、メールアドレス、所属部署名、資格名、暗号化したパスワード）が取得された。卒業生向けにはWaseda IDを使うサービスを一時停止した
関連報道：https://www.itmedia.co.jp/news/article/2611/09/2000003012/
（続報）9月の不正アクセスは、攻撃者が自社のシステム基盤の認証情報で生成AIサービスを約7時間大量に呼び出したもので、個人情報の漏えいはなし ― キングプリンターズ
発表：発端は9月10日に検知した不正アクセス（9月25日の第2報で生成AIサービスの不正利用が目的とみられると公表）。11月9日の最終報で、攻撃者が9月10日6時51分以降、複数のIPアドレスから同社の認証情報を使ってAIサービスを大量に呼び出そうとし、13時44分にAIサービス側が利用制限をかけて止まったと公表した。攻撃者は新しい認証情報も作っていた。フォレンジック調査で、顧客情報を扱うシステムへのアクセスや情報取得の形跡はなかった。再発防止として、固定の認証情報の運用をやめ、必要なときに一時的な認証情報を発行する方式に統一する
関連報道：https://www.itmedia.co.jp/news/article/2611/09/2000003016/
