{
  "date": "2026-10-08",
  "count": 13,
  "affected_total": 26260515,
  "url": "https://morasaretter.suke.dev/news/2026-10-08/",
  "breaches": [
    {
      "id": "2026-10-skyticket",
      "url": "https://morasaretter.suke.dev/breach/2026-10-skyticket/",
      "organization": "株式会社アドベンチャー",
      "services": [
        "skyticket"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 14640000,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "critical",
      "summary": "旅行予約サイト「skyticket」で、経路の異なる3件の不正アクセスがあったと10月9日に公表した（会員には8日にメールで通知していた）。10月2日〜4日に管理機能が不正に操作され、氏名・生年月日・メールアドレスなど約1,464万件が流出し、うち約413万件にはハッシュ化されたパスワードが含まれていた。9月20日には業務管理システムの脆弱性を突かれ返金先の口座情報など17,780件が対象となり、バス予約完了ページの約1.2万件の予約情報も機械的に閲覧されていた。当初はクレジットカード番号は流出していないとしていたが、10月16日の第2報で、2018年の決済移行の際に削除されず会費支払いのログに残っていたカード番号・名義・有効期限が、最大6,140人分流出したと訂正した。セキュリティコードは含まれない。",
      "sources": [
        "https://skyticket.jp/news/maintenance/67603/",
        "https://skyticket.jp/",
        "https://internet.watch.impress.co.jp/docs/news/2147116.html",
        "https://www.itmedia.co.jp/news/article/2610/09/2000002168/",
        "https://news.web.nhk/newsweb/na/nd-20261009de57110",
        "https://skyticket.jp/news/world/67630/",
        "https://www.itmedia.co.jp/news/article/2610/17/2000002350/"
      ]
    },
    {
      "id": "2026-10-daiichikosho",
      "url": "https://morasaretter.suke.dev/breach/2026-10-daiichikosho/",
      "organization": "株式会社第一興商",
      "services": [
        "カラオケ ビッグエコー",
        "メガビッグ",
        "カラオケCLUB DAM",
        "バナナクラブ",
        "B-GARAGE",
        "DKダイニング"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 8724000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "日本コロムビアグループ株式会社",
      "severity": "high",
      "summary": "個人情報の取扱いを委託していた日本コロムビアグループの従業員PC1台がマルウェアに感染し、顧客と従業員の個人情報計約872万4,000件が漏えいしたおそれがあると公表した。対象は氏名・性別・生年月日・メールアドレス・電話番号で、パスワードは含まれない。感染は10月1日から2日に判明し、委託先は端末を隔離して10月5日に同社へ報告した。公表時点で外部への流出や不正利用は確認されていない。",
      "sources": [
        "https://www.dkkaraoke.co.jp/news/newsletter/261008_2.html",
        "https://www.dkkaraoke.co.jp/news/newsletter/261009_1.html",
        "https://www.nikkei.com/article/DGXZQOUC088GB0Y6A001C2000000/",
        "https://news.yahoo.co.jp/articles/c82e529a82d618befd0a25e37158ea9b092ee506",
        "https://weekly.ascii.jp/elem/000/004/441/4441353/"
      ]
    },
    {
      "id": "2026-10-lawson",
      "url": "https://morasaretter.suke.dev/breach/2026-10-lawson/",
      "organization": "株式会社ローソン",
      "services": [
        "ローソンID",
        "ローソンアプリ予約"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 2155371,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "high",
      "summary": "アカウントサービス「ローソンID」と「ローソンアプリ予約」が第三者による不正アクセスを受け、個人情報が漏えいしたと公表した。ローソンIDは9月12日から14日、アプリ予約は9月17日に不正アクセスを受けていた。ローソンIDでは215万5,345件のメールアドレス・氏名など（入力していた人は性別・電話番号・住所も）、アプリ予約では26件の氏名・電話番号・クレジットカード番号の一部が漏えいした。不審なアクセス元を遮断し、予約機能を停止した。",
      "sources": [
        "https://www.lawson.co.jp/contents/cont07/1533174_3310.html",
        "https://www.nikkei.com/article/DGXZQOUC08A430Y6A001C2000000/",
        "https://internet.watch.impress.co.jp/docs/news/2146917.html"
      ]
    },
    {
      "id": "2026-10-newspicks",
      "url": "https://morasaretter.suke.dev/breach/2026-10-newspicks/",
      "organization": "株式会社ユーザベース",
      "services": [
        "NewsPicks"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 362000,
      "leaked": true,
      "cause": "vulnerability",
      "vendor": null,
      "severity": "high",
      "summary": "ニュースメディア「NewsPicks」の業務用管理ツールが第三者による不正アクセスを受け、利用者の個人情報が漏えいした可能性があると公表した。10月8日に不正アクセスを検知し、対象サーバーを遮断した。氏名・勤務先・メールアドレス・住所・電話番号・生年月日・カード名義・カード番号の下3桁または4桁などが対象で、翌9日の第二報で項目別の最大想定件数（カード情報の一部36.2万件、メールアドレス32.3万件など）を公表した。カード番号全体とセキュリティコードは保存しておらず、サービス本体への侵入は確認されていない。",
      "sources": [
        "https://corp.newspicks.com/info/20261008",
        "https://corp.newspicks.com/info/20261009",
        "https://www.itmedia.co.jp/news/article/2610/09/2000002175/",
        "https://www.nikkei.com/article/DGXZQOUC08BFS0Y6A001C2000000/"
      ]
    },
    {
      "id": "2026-10-commune",
      "url": "https://morasaretter.suke.dev/breach/2026-10-commune/",
      "organization": "コミューン株式会社",
      "services": [
        "Commune",
        "Commune for Work"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 307000,
      "leaked": true,
      "cause": "vulnerability",
      "vendor": null,
      "severity": "medium",
      "summary": "2026年10月5日18時ごろから6日にかけて、コミュニティプラットフォーム「Commune」「Commune for Work」が第三者の不正アクセスを受け、一部の利用企業のコミュニティで会員情報が漏えいした。攻撃者はシステムの不備を突き、非公開コミュニティの招待リンクを不正に取得して一般会員として登録したほか、管理者になりすまして会員情報の閲覧・取得やデータの上書きを行った。6日に検知し、21時ごろ全コミュニティを停止したが、7日にもメンテナンス中に残っていた通信経路から不正な会員登録と閲覧があり、同日14時58分に遮断した。漏えいした会員は推計約30.7万人で、うちメールアドレスを含む情報が約12.6万人、表示名・自己紹介・非公開グループの所属などメールアドレスを含まない情報が約18.1万人。144人のパスワードが本人の操作によらず仮パスワードに変更されたが、パスワードそのものやダイレクトメッセージの漏えいは確認されていない。10月8日に青森県から受託運営する「青森びいき」で会員情報が漏えいした可能性を公表し、9日に全体を公表した。調査は継続している。利用企業・団体では青森県・VALX・ウイングアーク１ｓｔ・スズキ・ヤマハ・森永乳業・カルビーなどが自社のコミュニティへの影響を公表している。",
      "sources": [
        "https://communeinc.com/ja/news/2026oct09",
        "https://communeinc.com/ja/news/2026oct08",
        "https://www.nikkei.com/article/DGXZQOUC0969K0Z01C26A0000000/",
        "https://news.yahoo.co.jp/articles/85109258b1dcaec9454ae3f00bf07698141811ef",
        "https://rocket-boys.co.jp/security-measures-lab/commune_307000_members_data_breach/"
      ]
    },
    {
      "id": "2026-10-hi-ho",
      "url": "https://morasaretter.suke.dev/breach/2026-10-hi-ho/",
      "organization": "株式会社ハイホー",
      "services": [
        "hi-ho 会員用マイページ"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 38509,
      "leaked": true,
      "cause": "phishing",
      "vendor": null,
      "severity": "high",
      "summary": "会員用マイページに第三者が顧客になりすましてログインし、38,509件（契約単位）の顧客情報が閲覧された、または閲覧された可能性があると発表した。他社への切り替えを勧める電話勧誘で本人からログイン情報を聞き出す手口とみられる。対象は氏名、住所、電話番号、メールアドレス、契約・請求情報で、クレジットカードと口座情報は含まれない。不正な通信元を遮断し、電話番号などでログインする方式を廃止した。",
      "sources": [
        "https://hi-ho.co.jp/%E3%80%90%E9%87%8D%E8%A6%81%E3%81%AA%E3%81%8A%E7%9F%A5%E3%82%89%E3%81%9B%E3%80%91%E3%81%8A%E5%AE%A2%E6%A7%98%E6%83%85%E5%A0%B1%E3%81%B8%E3%81%AE%E7%AC%AC%E4%B8%89%E8%80%85%E3%81%AB%E3%82%88%E3%82%8B%E3%82%A2%E3%82%AF%E3%82%BB%E3%82%B9%E3%81%8C%E7%A2%BA%E8%AA%8D%E3%81%95%E3%82%8C%E3%81%9F%E4%BA%8B%E6%A1%88%E3%81%AB%E9%96%A2%E3%81%99%E3%82%8B%E3%81%94%E5%A0%B1%E5%91%8A",
        "https://rocket-boys.co.jp/security-measures-lab/hi-ho-impersonation-login-38509-contracts/"
      ]
    },
    {
      "id": "2026-10-orix-life",
      "url": "https://morasaretter.suke.dev/breach/2026-10-orix-life/",
      "organization": "オリックス生命保険株式会社",
      "services": [
        "公式ウェブサイトのお問い合わせ"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 26500,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社スカラコミュニケーションズ",
      "severity": "high",
      "summary": "公式ウェブサイトで受け付けた問い合わせ内容の管理などに利用していた委託先スカラコミュニケーションズが不正アクセスを受け、顧客情報約26,500件（同一の顧客による複数回の問い合わせを含む）が漏えいした可能性があると発表した。対象は氏名、生年月日、住所、電話番号、メールアドレス、証券番号、問い合わせ内容（顧客が申告した医療情報等を含む）。オリックス生命のシステムへの不正アクセスは確認されておらず、マイナンバーやクレジットカード番号は含まれない。発表時点で二次被害は確認されていない。原因と影響範囲は委託先が調査中としている。発表が案内する委託先の公表によると、2026年10月2日夜から3日朝にかけて同社のFAQシステム「i-ask」の管理サイトに不正ログインされ、不正なプログラムを設置された。大和証券・シチズン時計・損害保険ジャパンなども同じ委託先の件で漏えいの可能性を公表している。",
      "sources": [
        "https://www.orixlife.co.jp/b3cd698c38a74ebea491976d56455ecd/77eb698f1d9543a39440e414940f9f4d/n261008.pdf"
      ]
    },
    {
      "id": "2026-10-valx-fun-community",
      "url": "https://morasaretter.suke.dev/breach/2026-10-valx-fun-community/",
      "organization": "VALX株式会社",
      "services": [
        "VALX \"FUN\"コミュニティ"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 2950,
      "leaked": true,
      "cause": "third_party",
      "vendor": "コミューン",
      "severity": "medium",
      "summary": "「VALX \"FUN\"コミュニティ」の運営に使う、委託先コミューン株式会社のコミュニティプラットフォーム「Commune」が第三者による不正アクセスを受け、会員3,813名のうち2,950名分（推定）の会員一覧情報が閲覧・取得された可能性がある。同コミュニティへの不正アクセスは2026年10月6日19時18分頃から20時17分頃まで行われた。対象はメールアドレス・ニックネーム・アカウント名・プロフィール情報（自己紹介文・所属グループ・お住まいの地方。登録時に入力した会員のみ）・ポイント数・最終利用日時で、パスワードとダイレクトメッセージの内容が取得された事実は確認されていない。VALXメンバーズストアに登録された氏名・住所・クレジットカード等の決済情報は対象に含まれない。コミューンの調査では、同社システムの複数の不備が悪用され、攻撃者が管理者になりすまして不正アクセスしたもので、VALX側の設定や運用の不備によるものではない。VALXは個人情報保護委員会に報告し、影響範囲と対象会員の確認を進めており、対象会員には個別に連絡するとしている。コミューンは同社サービス全体で約30.7万人（推計）の会員情報が漏えいしたと公表している。",
      "sources": [
        "https://corp.valx.jp/news/451vhhqdf29c/",
        "https://communeinc.com/ja/news/2026oct09",
        "https://rocket-boys.co.jp/security-measures-lab/valx_fun_commune_unauthorized_access_20261009/"
      ]
    },
    {
      "id": "2026-10-aomori-biiki",
      "url": "https://morasaretter.suke.dev/breach/2026-10-aomori-biiki/",
      "organization": "青森県",
      "services": [
        "青森県公式ファンコミュニティ「青森びいき」"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 2950,
      "leaked": true,
      "cause": "third_party",
      "vendor": "コミューン",
      "severity": "medium",
      "summary": "県の公式ファンコミュニティ「青森びいき」が10月6日に不正アクセスを受け、最大2,950人分の会員情報が流出した可能性があると、運営会社のコミューンとともに発表した。第三者がシステムの不備を突いて非公開領域に入り、管理者などになりすまして、メールアドレス・ニックネーム・年代などを閲覧した記録が確認された。住所とクレジットカード情報は登録されておらず、パスワードの漏えいは確認されていない。サービスは停止しており、悪用は確認されていない。",
      "sources": [
        "https://www.pref.aomori.lg.jp/release/2026/81561.html",
        "https://www.pref.aomori.lg.jp/release/2026/81562.html",
        "https://www.toonippo.co.jp/articles/-/2379511",
        "https://mutsushimpo.com/news/nlo9qaor/",
        "https://www.aba-net.com/news/news-201352.html",
        "https://kahoku.news/articles/JY6XUVY443KHN.html"
      ]
    },
    {
      "id": "2026-10-wingarc-nest-portal",
      "url": "https://morasaretter.suke.dev/breach/2026-10-wingarc-nest-portal/",
      "organization": "ウイングアーク１ｓｔ株式会社",
      "services": [
        "nest Portal（ユーザー向け交流サイト）"
      ],
      "date_announced": "2026-10-08",
      "affected_count": 1200,
      "leaked": true,
      "cause": "third_party",
      "vendor": "コミューン",
      "severity": "high",
      "summary": "ユーザー向け交流サイト「nest Portal」で利用するコミューン株式会社のクラウドサービスが第三者による不正アクセスを受け、サイトの管理者アカウントが不正に利用されて一部の会員情報が取得・閲覧された可能性がある。対象は約1,200名（現時点の推定）で、企業名・役職・氏名・フリガナ・メールアドレス・住所などの登録情報が含まれる可能性があり、対象者・人数・情報の範囲は調査中。ウイングアーク１ｓｔは2026年10月6日にコミューンから不正アクセスの報告を受け、同日コミューンがnest Portalのサービスを停止した。7日に調査結果の速報を受け、8日に個人情報保護委員会へ報告して全会員に不正アクセスの発生をメールで通知した。コミューンによると、同社サービスは10月5日18時ごろから不正アクセスを受け、第三者が同社システムの不備を突き、管理者になりすますなどして会員情報を閲覧・取得した。コミューンは同社サービス全体で約30.7万人（推計）の会員情報が漏えいしたと公表しており、現時点で悪用や二次被害は確認されていないとしている。",
      "sources": [
        "https://corp.wingarc.com/public/202610/news3042.html",
        "https://communeinc.com/ja/news/2026oct09",
        "https://rocket-boys.co.jp/security-measures-lab/commune_unauthorized_access_affected_organizations/"
      ]
    },
    {
      "id": "2026-10-hachijuni-nagano",
      "url": "https://morasaretter.suke.dev/breach/2026-10-hachijuni-nagano/",
      "organization": "株式会社八十二長野銀行",
      "services": [],
      "date_announced": "2026-10-08",
      "affected_count": 35,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "職員のメールアカウントが不正アクセスを受け、経営コンサルティング業務の連携先の従業員など35人分のメールアドレスと、職員とのメールのやり取りが流出した可能性があると発表した。10月7日に職員が外部からの不審メールを開封したことが原因で、同日夜にアカウントを停止した。外部の専門事業者による調査と警察への報告を行い、預金・融資に関する顧客情報が含まれるかは確認中とした。不正利用の被害は確認されていない。",
      "sources": [
        "https://bank.82group.jp/file.jsp?id=release/2026/pdf/news20261008.pdf",
        "https://news.yahoo.co.jp/articles/5219f6f5d718105ca9682bd20ecc2d90e117fbca",
        "https://news.yahoo.co.jp/articles/8a0e0132033bedc9935299137464e114473f104e",
        "https://news.yahoo.co.jp/articles/f9ddb4880bc1411497015c13b4d046b10bc40c1c"
      ]
    },
    {
      "id": "2026-10-jun",
      "url": "https://morasaretter.suke.dev/breach/2026-10-jun/",
      "organization": "株式会社ジュン",
      "services": [
        "会員向けメールマガジン"
      ],
      "date_announced": "2026-10-08",
      "affected_count": null,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社IDCフロンティア",
      "severity": "medium",
      "summary": "業務委託先が利用するクラウド基盤（IDCFクラウド）で10月7日にシステム障害が発生し、原因は同基盤への第三者による不正アクセスとの報告を受けたと公表した。会員へのメール配信を緊急停止して調べたところ、障害が発生したクラウド基盤に顧客のメールアドレスの一部が保管されていたことが分かった。現時点でメールアドレスの流出は確認されていないが、外部に流出した可能性もあるとして調査を続けている。障害が起きたのはメールマガジン用のサーバーだけで、オンラインストア「J'aDoRe JUN ONLINE」の注文に関するメールは別のしくみで送っており影響はないとしている。件数は公表していない。",
      "sources": [
        "https://www.jun.co.jp/news/1/",
        "https://www.fashionsnap.com/article/2026-10-09/jun-system-failure/",
        "https://news.yahoo.co.jp/articles/742ffbab55c6646922a5a684a47ddc26d071ec71",
        "https://www.idcf.jp/news/topics/20261007002"
      ]
    },
    {
      "id": "2026-10-kodaira",
      "url": "https://morasaretter.suke.dev/breach/2026-10-kodaira/",
      "organization": "小平市",
      "services": [
        "小平市公式ホームページ"
      ],
      "date_announced": "2026-10-08",
      "affected_count": null,
      "leaked": true,
      "cause": "third_party",
      "vendor": null,
      "severity": "high",
      "summary": "市のホームページ保守を請け負う事業者が使うクラウド基盤がランサムウェア攻撃を受け、10月7日朝から市のホームページが閲覧できなくなった。市は問い合わせフォームなどで受け取った氏名・住所・電話番号・メールアドレスなどが漏えいしたおそれがあるとして調査している。公表時点で漏えいは確認されていない。",
      "sources": [
        "https://news.yahoo.co.jp/articles/29a5475e9889fdbc8580dc101f5b6db885d28cb8",
        "https://news.yahoo.co.jp/articles/ee4cf92bdcefb132b2099f045d6dcd0cf2e0e135"
      ]
    }
  ]
}