サイバー攻撃
発表：10月16日公表の最終報（発端は8月1日の公表）。外部の第三者が5月から8月にかけてショップサーブ上で不正なプログラムを実行し、情報を外部に送信していた。8月1日に攻撃元からの通信を遮断した。漏えいしたのは購入者の氏名、住所、電話番号、メールアドレスなどで、約209万6900人分にはクレジットカードの名義、先頭6桁と下4桁の番号、有効期限が含まれる。完全なカード番号とセキュリティコードは保持しておらず、漏えいした情報だけではカード決済はできないとしている。具体的な二次被害の報告は確認していない
関連報道：https://www.nikkei.com/article/DGXZQOUC16B0O0W6A011C2000000/
（続報）カーシェア「タイムズカー」、退会後も7年間保管していた運転免許証などの本人確認書類の画像を10月末までに全て削除し、今後は登録確認後に保有しない方針へ ― パーク24
発表：10月16日公表の第4報。発端は9月25日公表のタイムズカーWebシステムへの不正アクセスで、約660万アカウント分の個人情報が漏えいし、うち約160万アカウント分には本人確認書類の画像（運転免許証、学生証、現住所確認書類など）が含まれていた。これまで本人確認書類の画像は会員期間中に加え退会後7年間保有していたが、会員登録完了後は保有しない方針に改め、現在保有している画像も申し出の有無にかかわらず10月末までに全て削除する。会員ごとの漏えい情報の詳細の案内は、外部専門機関の調査に時間を要するため10月中旬から10月23日に延期した。漏えいした項目は氏名、住所、生年月日、電話番号、メールアドレス、本人確認書類の画像など
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002346/
（続報）「クロネコ代金後払いサービス」への不正アクセス、利用者の氏名・住所・商品明細など約531万件が持ち出されたと判明 ― ヤマト運輸
発表：10月16日公表の第4報（発端は9月29日の公表）。2018年10月1日〜2026年9月28日の一部利用者の氏名、住所、電話番号、メールアドレス、商品明細（商品名・数量・単価など）、申込番号などが約526万件（うちメールアドレスを含むものは約49万件）、一部の届け先の氏名・住所・電話番号・送り状番号が約5万件、加盟店情報が約4100件漏えいした。クレジットカード情報とパスワードは含まない。10月2日の第2報で流出の可能性があるとしていた請求金額、債権残高、社員の氏名は、調査の結果漏えいを確認しなかった。対象者には順次個別に連絡する
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002339/
ECサイトに不正アクセス、会員情報が計約83万件漏えい 2次パスワードのハッシュ値も ― ファンケル、アテニア
発表：10月16日公表。両社のECサイトが10月3日〜10日に外部から不正アクセスを受けていたことが15日の内部調査で判明し、原因となった機能を特定して停止した。対象はファンケルが39万3785件（36万8184人）、アテニアが44万1162件（41万7312人）。漏えいしたのは氏名、住所、メールアドレス、電話番号、生年月日、性別、顧客番号、サブメールアドレスとそのハッシュ化したパスワード（一部会員が設定している2次パスワードで、メインのパスワードは対象外）、本人認証の質問項目（回答は含まない）、ポイント・会員ステージ情報。クレジットカードなどの決済情報は含まない。不特定多数への公開や不正利用は確認していない
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002340/
システム開発用のクラウドサービスの認証情報を盗まれ、約183万件の個人情報が流出 ― 日本経済新聞社
発表：10月16日、日本経済新聞社が自社の電子版で公表した。システム開発に使っているクラウドサービスへの不正アクセスは10月7日未明から朝にかけて発生し、アクセスのための認証情報が何らかの方法で盗まれていた。流出したのは、氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含む個人情報約15万件（うちメールアドレスを含むものは約12万件）と、単体では個人を特定できない識別子のみの約168万件。二次被害、システム停止、データ改ざんは確認していない。同社は10月4日にも、社員のMicrosoft 365とGoogle Workspaceのアカウントへの不正ログインによる被害を公表していた
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002337/
ノーコードWeb制作ツール「Studio」、全ユーザーの情報が流出した可能性 フォームに送信された内容や外部サービスのAPIキーも ― Studio
発表：10月16日公表の第一報。一部機能の脆弱性を悪用されてクラウド環境に不正にアクセスされ、環境内のデータを外部から取得できる状態になっていた。確認している不正アクセスの期間は9月30日〜10月1日で、10月13日に社内調査で確認し、14日までに脆弱性を修正した。流出した可能性があるのは、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、利用者のサイトのフォームに送信された内容、デザインエディタとCMSの内容、公開前ページのプレビューURL、外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Googleスプレッドシート連携の認証情報など。暗号化して保存していたものも、復号に要る鍵が同じ不正アクセスで読み出された。件数は精査して続報で公表する。Studioは企業のコーポレートサイトなどに広く使われ、ユーザー数は90万人以上
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002332/
（続報）電子書籍ストア「コミックシーモア」、会員情報を管理するシステムへの不正アクセスと情報流出を確認 メールアドレス・ハッシュ化パスワード・生年月日など ― NTTソルマーレ
発表：10月16日公表。発端は10月15日のサービス停止の告知。15日11時35分にサービスを止め、16日に会員情報を管理するシステムへの不正アクセスと情報流出を確認した。流出したのはメールアドレス、ハッシュ化されたパスワード、生年月日、性別、ニックネームで、件数は精査中。クレジットカード情報は対象のシステムに持っておらず、購入履歴や「MY本棚」のデータの流出・消失も現時点で確認していない。サービス再開時には全会員にパスワードの再設定を求める
関連報道：https://www.itmedia.co.jp/news/article/2610/16/2000002345/
IPA、サイバー攻撃による情報流出の被害を受けた企業・組織向けに「不正アクセス特別相談窓口」を開設 被害が疑われる段階でも相談できる
10月16日、Security NEXTが報じた。個人情報を扱うオンラインサービスへの侵入とデータの窃取が相次いでいることを受け、初動対応を支援する窓口を設けた。被害が疑われる段階から電話（平日9時半〜17時半、正午〜13時を除く）とメールで受け付け、不正アクセスや情報流出の可能性を助言し、応急処置の方法、インシデント対応を手がける事業者のリスト、報告が必要な窓口を案内する。中小企業も対象。関連報道：https://www.security-next.com/191572
被害の確定を待たずに、外部の公的窓口へ初動の相談を持ち込めるようになった点
