{
  "date": "2026-10-06",
  "count": 10,
  "affected_total": 3492775,
  "url": "https://morasaretter.suke.dev/news/2026-10-06/",
  "breaches": [
    {
      "id": "2026-10-mrmax",
      "url": "https://morasaretter.suke.dev/breach/2026-10-mrmax/",
      "organization": "株式会社ミスターマックス・ホールディングス",
      "services": [
        "MrMaxアプリ",
        "MrMaxオンラインストア"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 1735154,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "アプリとオンラインストアのサーバーが第三者から不正アクセスを受け、会員の個人情報の一部が流出した。住所・生年月日・クレジットカード情報・パスワード・購入履歴は流出していない。",
      "sources": [
        "https://www.itmedia.co.jp/news/article/2610/06/2000002030/",
        "https://netshop.impress.co.jp/n/2026/10/07/16832"
      ]
    },
    {
      "id": "2026-10-scala-com",
      "url": "https://morasaretter.suke.dev/breach/2026-10-scala-com/",
      "organization": "株式会社スカラコミュニケーションズ",
      "services": [
        "FAQシステム「i-ask」"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 713126,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "2026年10月2日20時30分頃から3日8時頃にかけて、第三者がFAQシステム「i-ask」の管理サイトに不正ログインし、同社が管理するサーバー上に不正なプログラムを設置した。同じサーバー上で稼働していた利用企業最大5社のシステム環境のデータベースから、氏名・メールアドレス・問い合わせ内容など（項目は利用企業により異なる）の問い合わせ情報を取得された可能性がある。10月3日朝にデータベースの監視アラートを契機に調査を始め、同日8時頃に不正アクセスを遮断した。発表時点で二次被害は確認されていない。個人情報保護委員会に報告し、警察に相談している。利用企業名は発表に書かれていないが、大和証券・シチズン時計・損害保険ジャパン・オリックス生命が自社の顧客情報が漏えいした可能性を、東武鉄道が問い合わせフォームでスカラコミュニケーションズのサービスを利用していたこと（現時点で東武鉄道に関する情報の閲覧・取得の形跡は確認されていない）をそれぞれ公表している。",
      "sources": [
        "https://www.scala-com.jp/news/2026/10-1/",
        "https://www.itmedia.co.jp/news/article/2610/07/2000002074/",
        "https://internet.watch.impress.co.jp/docs/news/2146225.html"
      ]
    },
    {
      "id": "2026-10-asahi-kasei-therapeutics",
      "url": "https://morasaretter.suke.dev/breach/2026-10-asahi-kasei-therapeutics/",
      "organization": "旭化成セラピューティクス株式会社",
      "services": [
        "医療関係者向けウェブサイト",
        "RAコネクト"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 558700,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "医薬品子会社が提供する医療関係者向けウェブサイトがサイバー攻撃を受け、医療従事者の氏名・所属施設・診療科・メールアドレスなどが漏えいした可能性がある。",
      "sources": [
        "https://news.web.nhk/newsweb/na/nd-20261007de55592",
        "https://news.yahoo.co.jp/articles/24fa600bed69776b64f00fbe14e6ac4e8e67d8ce"
      ]
    },
    {
      "id": "2026-10-offerbox",
      "url": "https://morasaretter.suke.dev/breach/2026-10-offerbox/",
      "organization": "株式会社i-plug",
      "services": [
        "OfferBox"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 314009,
      "leaked": true,
      "cause": "misconfiguration",
      "vendor": null,
      "severity": "medium",
      "summary": "新卒採用サービスで、利用企業がブラウザの開発者ツールを使うと学生の氏名とメールアドレスを閲覧できる状態が2026年5月12日〜8月28日に続いていた。",
      "sources": [
        "https://www.itmedia.co.jp/news/article/2610/06/2000002026/",
        "https://news.yahoo.co.jp/articles/77fd7ac27ea1a9f7cb158209f25f602acae2a9e3"
      ]
    },
    {
      "id": "2026-10-citizen",
      "url": "https://morasaretter.suke.dev/breach/2026-10-citizen/",
      "organization": "シチズン時計株式会社",
      "services": [
        "シチズン・ブローバ・フレデリック・コンスタント 各Webサイトの問い合わせフォーム"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 100000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社スカラコミュニケーションズ",
      "severity": "high",
      "summary": "委託先スカラコミュニケーションズが提供するFAQシステム「i-ask」の管理サイトに第三者が不正ログインし、サーバーに不正なプログラムを設置。Webサイトの問い合わせフォームで受け付けた情報が漏えいした可能性がある。大和証券と同じ委託先が原因。",
      "sources": [
        "https://www.itmedia.co.jp/news/article/2610/06/2000002067/"
      ]
    },
    {
      "id": "2026-10-active-takamatsu",
      "url": "https://morasaretter.suke.dev/breach/2026-10-active-takamatsu/",
      "organization": "株式会社アクティブ",
      "services": [
        "アクティブ 業務用冷凍食品の通販サイト"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 54916,
      "leaked": true,
      "cause": "vulnerability",
      "vendor": null,
      "severity": "high",
      "summary": "業務用冷凍食品メーカーの同社が運営する通販サイトで、2026年10月2日に特定のWebページへのSQLインジェクション攻撃が発生した。翌3日の定期チェックとログ解析で不正アクセスの痕跡を確認し、その後の調査で、不正に作成された管理者アカウントを経由して顧客データと受注データが出力された形跡を確認した。漏えいした可能性があるのは通販サイトに登録された顧客の情報最大54,916件で、店名・屋号、住所、電話番号、メールアドレスと、注文金額・注文商品コード・届け先住所の受注情報が含まれる。クレジットカード情報と銀行口座情報は同サイトで保持しておらず、ログインパスワードも対象に含まれない。基幹システムと社内ネットワークへの影響はないとしている。攻撃されたページの脆弱性を修正し、管理画面からのデータ出力機能を停止して不正なアカウントを削除した。個人情報保護委員会に速報を提出し、全容解明と影響範囲の確定に向けて外部のフォレンジック調査会社による調査を手配している。",
      "sources": [
        "https://www.active-pro.jp/news/4303/",
        "https://atmarkit.itmedia.co.jp/ait/articles/2610/09/news031.html",
        "https://news.ksb.co.jp/article/16949794",
        "https://rocket-boys.co.jp/security-measures-lab/active-pro-sql-injection-data-breach-20261007/"
      ]
    },
    {
      "id": "2026-10-rakuten-drive",
      "url": "https://morasaretter.suke.dev/breach/2026-10-rakuten-drive/",
      "organization": "楽天シンフォニー株式会社",
      "services": [
        "楽天ドライブ"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 15382,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "high",
      "summary": "管理用アカウントの認証情報が不正取得され、一部システムに不正アクセスされた。2026年1月29日から9月17日にかけて、15,382アカウントの保存データが取得・閲覧された。",
      "sources": [
        "https://support.rakuten-drive.com/hc/ja/articles/62934949147929",
        "https://www.itmedia.co.jp/mobile/articles/2610/06/news071.html"
      ]
    },
    {
      "id": "2026-10-yamaguchi-univ",
      "url": "https://morasaretter.suke.dev/breach/2026-10-yamaguchi-univ/",
      "organization": "山口大学",
      "services": [],
      "date_announced": "2026-10-06",
      "affected_count": 967,
      "leaked": true,
      "cause": "phishing",
      "vendor": null,
      "severity": "medium",
      "summary": "教職員1名のメールアカウントがフィッシングで乗っ取られ、連絡先に登録されていた学内外のメールアドレス967件（うち631件は氏名付き）が第三者に取得されたと公表した。教職員が偽サイトにIDとパスワードを入力したことが原因で、8月26日にそのアカウントから463件の宛先へ不審メールが送られた。ほかの不審な操作は確認されていないとした。",
      "sources": [
        "https://www.yamaguchi-u.ac.jp/news/52728/index.html",
        "https://www.chugoku-np.co.jp/articles/-/906298"
      ]
    },
    {
      "id": "2026-10-nimoca",
      "url": "https://morasaretter.suke.dev/breach/2026-10-nimoca/",
      "organization": "株式会社ニモカ",
      "services": [
        "nimoca 利用履歴照会サービス"
      ],
      "date_announced": "2026-10-06",
      "affected_count": 521,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "high",
      "summary": "交通系ICカード「nimoca」の利用履歴照会サービスが不正アクセスを受け、登録メールアドレス・生年月日・カード番号521件が漏えいした。利用者から「身に覚えのないメールが届いた」との問い合わせで発覚し、サービスを停止した。",
      "sources": [
        "https://news.web.nhk/newsweb/na/nd-20261006de55188",
        "https://www.itmedia.co.jp/news/article/2610/06/2000002047/"
      ]
    },
    {
      "id": "2026-10-weathercaster-net",
      "url": "https://morasaretter.suke.dev/breach/2026-10-weathercaster-net/",
      "organization": "特定非営利活動法人気象キャスターネットワーク",
      "services": [],
      "date_announced": "2026-10-06",
      "affected_count": null,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "Webサイトが第三者による不正アクセスを受け、2018年12月以降に取得した会員・申込者の氏名やメールアドレスなどが漏えいした可能性があると公表した。",
      "sources": [
        "https://weathercaster.jp/notices/20261006_notice.pdf"
      ]
    }
  ]
}