Sorabun

セキュリティ

10月の情報漏えいまとめ。あなたは対象？ 11社の公式発表で、漏れた中身と今日やることを整理【2026年】

公開 ・ 読了の目安 約18分 ・ Sorabun 編集部

10月の情報漏えいまとめ。あなたは対象？ 11社の公式発表で、漏れた中身と今日やることを整理【2026年】

佐川急便、ソースネクスト、焼肉きんぐ、ふるさとチョイス。10月は、毎日のように情報漏えいのお詫びが出ました。

私たちは、10月に公表された（続報を含む）主な情報漏えい11社の発表を1つずつ開いて、対象になる人の条件と、漏れた情報の種類を数えました。

先に結論を書きます。

1. 10月に公表された、主な情報漏えい11社

件数の多い順です。

10月に公表された主な情報漏えい11社の件数の棒グラフ。佐川急便 最大約5,323万件（おそれ）、ソースネクスト 22,519,960件、skyticket 約1,464万件、焼肉きんぐ 10,788,963件、第一興商 約8,724,000件（おそれ）、ヤマト運輸 約526万件、ふるさとチョイス 4,454,097件、バイトル 最大3,885,771件、ローソン 215万5,345件、阪急阪神百貨店 約126万件、ピッコマ 1,002,404件
各社の公式発表（2026年10月25日に取得）を Sorabun がまとめた
会社 サービス 件数 漏れた情報（主なもの） パスワード カード 個別の連絡
佐川急便 お荷物問い合わせサービス 最大約5,323万件（おそれ） 氏名・メールアドレス・電話番号・住所 含まない 含まない 対象の人には順次案内（準備中）
ソースネクスト 会員情報 22,519,960件 氏名・メールアドレス・電話番号・住所・生年月日・パスワード 含む（ハッシュ化かどうかの記載なし） 含まない 登録のメールアドレスへ順次（メールが無い人は郵送）
skyticket 旅行の予約サイト 約1,464万件 氏名・メールアドレス・電話番号・住所・生年月日・パスワード 含む（ハッシュ化） 一部の人だけ メール（送信元: [email protected]）
焼肉きんぐ 公式アプリ 10,788,963件 氏名・メールアドレス・電話番号 含まない 含まない 個別の連絡の記載なし
第一興商 ビッグエコーなど 約8,724,000件（おそれ） 氏名・メールアドレス・電話番号・生年月日 含まない 記載なし 個別の連絡の記載なし
ヤマト運輸 クロネコ代金後払い 約526万件 氏名・メールアドレス・電話番号・住所 含まない 含まない 順次個別に連絡
ふるさとチョイス ふるさと納税 4,454,097件 氏名・メールアドレス・電話番号・住所・パスワード 含む（ハッシュ化） 一部の人だけ 2026年10月21日から順次、個別にメール
バイトル 求人サイト 最大3,885,771件 メールアドレス 含まない 含まない サイト上でお知らせし、順次メールなどで個別に
ローソン ローソンID 215万5,345件 氏名・電話番号・住所・生年月日 記載なし 一部の人だけ メール（送信元: [email protected] または [email protected]）
阪急阪神百貨店 H2O ID 約126万件 氏名・メールアドレス・電話番号・住所・生年月日 含まない 一部（下4桁など）は調査中 メール（送信元: noreply@h2o-retailing.co.jp）
ピッコマ メルマガの宛先 1,002,404件 メールアドレス 含まない 記載なし 個別に連絡

この件数の読み方

2. あなたは対象？ 1社ずつ

佐川急便：6月21日〜9月30日の荷物。届け先も

お荷物問い合わせサービスへの不正アクセスで、流出した可能性のある個人情報は最大約5,323万件（重複を含む件数）です。手書きの送り状で預けた荷物は対象外です。

佐川急便の第5報。流出した可能性のある個人情報の最大件数は現時点で最大約5,323万件（重複を含む件数）、特に送り状データには相当数の重複が含まれているため対象となる方の実人数を示すものではない、手書きの送り状でお預かりしたお荷物の情報は今回の流出対象には含まれていないと書かれている
佐川急便（第5報・2026年10月23日）

対象は、2026年6月21日から9月30日までに預かった荷物の、依頼主と届け先の氏名・住所・電話番号などです。通販で荷物を受け取っただけの人も、入っているかもしれません。スマートクラブの会員は、メールアドレスと会員IDも対象です。クレジットカード情報とパスワードは含まれていません。

佐川急便の第5報の「対象となる情報の種類」。送り状データは2026年6月21日から9月30日までの間でご依頼主さま・お届け先さまの氏名・住所・電話番号、運賃契約の顧客リストは氏名・住所・電話番号、スマートクラブの会員情報は氏名・住所・電話番号・メールアドレス・会員ID、クレジットカード情報およびパスワードは含まれていないと書かれている
佐川急便（第5報・2026年10月23日）

ソースネクスト：約2,252万件。パスワードも対象

会員情報 22,519,960件が流出した可能性があります。項目には、メールアドレスとパスワードも入っています（ハッシュ化されていたかどうかは書かれていません）。対象は、2026年10月13日13時36分までに登録していた人です。

ソースネクストの発表。流出した可能性のあるお客様情報、対象件数22,519,960件、対象となる情報はメールアドレス・パスワード・氏名・住所・性別・電話番号・生年月日など、すべてのお客様について全項目が流出したわけではない、クレジットカード情報は対象システムに保存されておらず流出の対象には含まれていないと書かれている
ソースネクスト（2026年10月15日）

ソースネクストは、ログインのときにパスワードの再設定を求めていて、同じ組み合わせをほかのサービスでも使っている場合は、そちらも変えるよう呼びかけています。

skyticket：約1,464万件。パスワードは約413万件、カードは最大6,140名

旅行の予約サイト skyticket は、約1,464万件（このうち会員のログインパスワードを含むもの約413万件）。氏名・生年月日・メールアドレス・電話番号・住所と、ハッシュ化したパスワードです。skyticket は、解析によりパスワードが判明し、ほかのサービスへの不正ログインに悪用されるおそれがある、と注意しています。

skyticketの第1報の（1）当社サーバーへの不正アクセス。発生期間2026年10月2日〜10月4日、対象となるお客様は約1,464万件（このうち会員様のログインパスワードを含むもの約413万件）、流出した情報は氏名・生年月日・メールアドレス・電話番号・郵便番号・住所・お振込み時のご依頼人名義・会員様のログインパスワード（ハッシュ化した状態のもの）と書かれている
アドベンチャー（skyticket）（2026年10月9日）

10月16日の第2報で、2017年2月から2018年6月までに「skyticketプレミアム」の会費をカードで払った最大6,140名の、カード番号・名義・有効期限も流出したと分かりました（セキュリティコードは含まれていません）。当てはまる人は、10月以降のカードの明細を確かめてください。

skyticketの第2報。対象は2017年2月から2018年6月までの間にskyticketプレミアムの会費の支払いのためにクレジットカードを登録または利用した人、人数は最大6,140名、項目はクレジットカード番号・カード名義人名・有効期限、セキュリティコードは含まれていないと書かれている
アドベンチャー（skyticket）第2報（2026年10月16日）

焼肉きんぐ：アプリの会員、ほぼ全員

公式アプリのユーザー登録数 10,808,784件のうち、10,788,963件が漏えいしました。会員番号・アプリに登録した名前・メールアドレス・電話番号です。パスワードや生年月日は漏れていません。

焼肉きんぐの発表。公式アプリのユーザー登録数10,808,784件のうち漏えいした件数は10,788,963件、漏えいした情報には会員番号・氏名（アプリ登録名）・メールアドレス・電話番号が含まれる、ログインパスワード・生年月日・性別・郵便番号・保有ポイントを含む店舗利用履歴は漏えいしていないと書かれている
物語コーポレーション（2026年10月5日）

この発表には、対象の人に個別に連絡するとは書かれていません。ほぼ全員が対象なので、アプリに登録した人は、自分も入っていると考えておくのが安全です。

第一興商：ビッグエコーなど、約872万件のおそれ

仕事を頼んでいた日本コロムビアグループで、社員のパソコンがマルウェアに感染しました。ビッグエコーなどで会員登録や予約をした人の、氏名・性別・生年月日・メールアドレス・電話番号が、従業員の分も合わせて約8,724,000件、漏えいしたおそれがあります。外に漏れた事実は確認されておらず、パスワードは含まれていません。

第一興商の発表。当社店舗で会員登録や予約をされたお客様の情報のうち、約8,724,000件について、氏名（登録名）・性別・生年月日・メールアドレス・電話番号が外部に漏えいしたおそれがあると書かれている
第一興商（2026年10月8日）

ヤマト運輸：クロネコ代金後払いの利用者、約526万件

2018年10月1日から2026年9月28日までの、クロネコ代金後払いサービスの一部の利用者の情報 約526万件が、不正に持ち出されました。氏名・住所・電話番号・メールアドレス・商品明細などで、メールアドレスを含むのは約49万件です。クレジットカード情報とパスワードは含まれていません。

ヤマト運輸の第4報の表。クロネコ代金後払いサービスを利用された一部のお客さま情報（氏名・住所・電話番号・メールアドレス・商品明細など）が2018年10月1日から2026年9月28日の約526万件（メールアドレスが含まれる件数は約49万件）、お届け先情報が約5万件、加盟店さま情報が約4,100件、クレジットカード情報・パスワード情報は含まれていないと書かれている
ヤマトホールディングス【第4報】（2026年10月16日）

ふるさとチョイス：445万件。ハッシュ化したパスワードも

ふるさと納税の「ふるさとチョイス」では、会員情報 4,454,097件が外部に流出しました。氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額です。

トラストバンクの発表。現時点で流出が確認されている個人情報、対象サービスはふるさとチョイスの会員情報、件数4,454,097件、情報項目は氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額と書かれている
トラストバンク（2026年10月20日）

運営するトラストバンクは、同じメールアドレスとパスワードの組み合わせをほかのサービスでも使っている場合は、そちらを変えるよう求めています。10月23日の第2報では、5名について追加の項目（2名はカードの下4桁・名義・有効期限）が見つかっています。

ほかの4社：メールアドレスだけ、という漏えいも

ピッコマの発表。メールマガジンの配信に利用している株式会社ラクスライトクラウドのメール配信システム「ブラストメール」が第三者による不正アクセスを受け、メールマガジンの1回分の配信において宛先となっていたお客様のメールアドレス（1,002,404件）が外部に流出したと書かれている
カカオピッコマ（2026年10月24日）

ピッコマの件は、ピッコマのアプリやシステムではなく、メールマガジンを送るのに使っていた別の会社のメール配信システム「ブラストメール」への不正アクセスでした。第一興商も、仕事を頼んでいた会社のパソコンでした。自分が使っているサービスが無事でも、その裏で仕事を請け負う会社から漏れることがあります。

お名前.com デスクトップクラウド：漏えいだけで終わらない

GMOインターネットの「お名前.com デスクトップクラウド」（FXの自動売買などに使う、ネット上のパソコン）では、サーバーの中に保存されていた取引口座のログイン情報などが取られ、利用者から身に覚えのない取引の報告が出ています。影響の可能性があるサーバーは26,739件。GMOは、利用者全員への一律5,000円の見舞金と、不正な取引による損失の補償を発表しました。件数の単位が違うので、上の11社には入れていません。

3. 実際に数えた：漏れた情報の種類

11社の発表に書かれた「漏れた（漏れたおそれがある）情報」の項目を、1つずつ数えました。「含まれていない」と書かれたものは数えていません。

漏れた情報の種類ごとの会社の数。メールアドレス10社、氏名9社、電話番号9社、住所7社、生年月日5社、パスワード3社、クレジットカード0社（一部の人だけ4社）
各社の公式発表の「漏れた情報」の文を、Sorabun が項目ごとに数えた（2026年10月25日）
情報の種類 漏れた（おそれを含む）会社
メールアドレス 10社 / 11社
氏名 9社 / 11社
電話番号 9社 / 11社
住所 7社 / 11社
生年月日 5社 / 11社
パスワード 3社 / 11社
クレジットカード 0社 / 11社

クレジットカードは、どの会社でも漏れた情報の本体には含まれていませんでした。一部の人だけ（skyticket の最大6,140名、ふるさとチョイスの2名、ローソンアプリ予約の26件）か、調査中（阪急阪神百貨店の E-STORES・Remo Order）です。

つまり、漏れたのは多くが連絡先です。メールアドレス・電話番号・住所がそろうと、狙われやすいのは、お詫びや返金、補償を装った偽のメールやSMSです。佐川急便は「当社ではお荷物の集配についてショートメール（SMS）によるご案内は行っておりません。」と書いています。

佐川急便のお知らせ。当社ではお荷物の集配についてショートメール（SMS）によるご案内は行っておりませんと書かれている
佐川急便「佐川急便を装った迷惑メールにご注意ください」

4. お知らせは届く？ 来なくても安心はできない

11社の発表のうち、対象の人にメールなどで個別に連絡すると書いた会社が9社、書いていない会社が2社（焼肉きんぐ・第一興商）、悪用（二次被害）は確認されていないと書いた会社が7社
各社の公式発表を Sorabun が数えた（2026年10月25日）

届いたお知らせが本物かどうかは、リンクを押さずに、公式サイトのお知らせのページか公式アプリを自分で開いて確かめてください。ローソン・skyticket・阪急阪神百貨店は、お知らせを送るメールアドレスを発表の中で公表しています（送り元は偽装されることもあるので、それだけで本物とは決めないでください）。

ローソンの発表。対象のお客様に、以下のメールアドレスから順次、個別にご案内、送信元はローソンIDメール lawson_id@mailservice.lawson.jp または lawson_id@id.lawson.jp と書かれている
ローソン（2026年10月8日・24日更新）

5. 今日やること

  1. 一覧のサービスを使ったことがあるか確かめる。 佐川急便は、荷物を受け取っただけでも対象のことがあります
  2. お詫び・返金・補償のメールやSMSのリンクは押さない。 公式サイトか公式アプリを自分で開いて確かめる
  3. パスワードの使い回しを変える。 ソースネクスト・skyticket・ふるさとチョイスを使っていた人は、そのパスワードと、同じものを使っているサービスを全部
  4. 2段階認証・パスキーをオンにする。 パスワードが知られても入られにくくなります
  5. カードの明細を確かめる。 skyticketプレミアムの会費をカードで払っていた人（2017年2月〜2018年6月）は特に
  6. 知らない番号からの、急がせる電話は一度切る。 公式の番号にかけ直して確かめる

6. サイトを持つ人へ：持っていない情報は、漏れない

今月の漏えいは、会員登録・アプリ・予約・後払い・メールの配信と、お客さんの情報を預かるあらゆる場所から起きました。焼肉きんぐは、再発防止として、公式アプリで氏名と電話番号を持たない仕組みに変えると発表しています。

焼肉きんぐの発表。公式アプリにおける取得個人情報の見直し。計11の公式アプリにおいて保持する個人情報を削減し、変更後は氏名・電話番号の個人情報は保持しない、変更時期は2027年上半期を予定と書かれている
物語コーポレーション（2026年10月20日）

自分のWordPressのサイトは、ソラブンの無料のセキュリティ診断で、入っているプラグイン・テーマ・WordPress本体・PHPの版に既知の脆弱性が無いかを、URLを入れるだけで調べられます。

よくある質問

佐川急便は、荷物を受け取っただけでも対象ですか？

可能性があります。佐川急便の第5報では、2026年6月21日から9月30日までに預かった荷物の、依頼主とお届け先の氏名・住所・電話番号が対象とされています。手書きの送り状で預けた荷物は対象外です。

お知らせのメールが来ていません。対象ではないということですか？

そうとは限りません。個別に連絡すると書いた会社は11社中9社で、焼肉きんぐと第一興商の発表には個別の連絡のことが書かれていません。使ったことがあるサービスは、公式サイトの発表で対象の条件を確かめてください。

ハッシュ化されたパスワードなら、変えなくていいですか？

変えたほうが安全です。skyticket は、ハッシュ化して保存していたパスワードでも、解析で判明して悪用されるおそれがあると注意しています。同じパスワードを使い回しているサービスも変えてください。

件数を足すと、何人分の情報が漏れたことになりますか？

人数は分かりません。各社の件数は単位も確かさも違い、同じ人が何社にも入っていることがあります。佐川急便の件数は、重複を含む最大の件数です。

まとめ

出典（2026年10月25日に確認）

漏れた情報の種類と、連絡・二次被害の数は、各社の公式発表の文を私たちが数えたものです（数え方は コンテンツ/leak-roundup-oct-2026/shots/measure.py）。

関連するコラム

セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。 セキュリティ あなたのパスワード、漏れてない？ 最大2,252万件の流出から考える、使い回しをやめる方法【2026年】 ソースネクストは最大2,252万件、ふるさとチョイスは445万件。パスワードを含む流出が相次ぐなか、各社の書き方を並べ、漏れたパスワードの一覧を実際に数えました（P@ssw0rd は642万回）。ハッシュ化なら安心か、国の指針、今日やることまで。 セキュリティ パスキーでも証券口座が乗っ取られた？ 本当の原因と今日やる設定【2026年10月】 パスキーでも証券口座が乗っ取られた？ 2026年9月末から相次いだ証券各社の注意喚起を、各社・Google・Apple・金融庁の一次情報で整理。パスキーは破られたのか、本当に狙われたGoogle・Appleのアカウント、Google・iPhone・証券口座で今日やる設定、乗っ取られたときの連絡先まで。

コラムの一覧へ