{
  "date": "2026-10-23",
  "count": 22,
  "affected_total": 6709869,
  "url": "https://morasaretter.suke.dev/news/2026-10-23/",
  "breaches": [
    {
      "id": "2026-10-pizzahut",
      "url": "https://morasaretter.suke.dev/breach/2026-10-pizzahut/",
      "organization": "日本ピザハット株式会社",
      "services": [
        "ピザハット オンライン注文"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 4480000,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "high",
      "summary": "オンライン注文サービスの決済APIが第三者による不正アクセスを受け、データベースの一部を取得されたと公表した。対象は顧客ID、メールアドレス、電話番号、削除済みの顧客情報に関する記録、ログイン用のセッショントークン、取引記録。クレジットカード情報は含まれない。10月19日に不正アクセスがあった。",
      "sources": [
        "https://corp.pizzahut.jp/info/5540",
        "https://www.nikkei.com/article/DGXZQOUC23BAT0T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-mos-card",
      "url": "https://morasaretter.suke.dev/breach/2026-10-mos-card/",
      "organization": "株式会社モスフードサービス",
      "services": [
        "モスカード（プリペイドカード）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 1133070,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社バリューデザイン",
      "severity": "high",
      "summary": "プリペイドカード「モスカード」の運用・保守を委託しているバリューデザインのシステムが不正アクセスを受け、カード113万3,070件の16桁のカード番号、6桁のPIN、残高情報が流出したと公表した。流通済みのカードは約57万件。委託先が10月14日〜18日に不審なアクセスと不正ログインの試行を検知した。氏名・住所・電話番号・クレジットカード情報は含まれない。PINは強制的に変更した。",
      "sources": [
        "https://www.nikkei.com/nkd/disclosure/tdnr/20261023555430/",
        "https://www.nikkei.com/article/DGXZQOUC238H90T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-treasure-factory",
      "url": "https://morasaretter.suke.dev/breach/2026-10-treasure-factory/",
      "organization": "株式会社トレジャー・ファクトリー",
      "services": [
        "出張買取・トレファク引越の案件管理システム"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 746277,
      "leaked": true,
      "cause": "vulnerability",
      "vendor": null,
      "severity": "high",
      "summary": "「出張買取」「トレファク引越」の案件管理システムが外部から不正アクセスを受け、74万6,277件の個人情報が漏えいしたと公表した。大半はメールアドレスで、氏名・住所を含むものは11件。このほか取引先業者や従業員などの氏名・メールアドレスや端末の識別情報も取得された。10月20日に攻撃を把握した。決済情報や、店舗・アプリで管理する顧客情報は別システムのため対象外としている。PHPの脆弱性によるものではないと説明している。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOUC236QG0T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-nhk-publishing",
      "url": "https://morasaretter.suke.dev/breach/2026-10-nhk-publishing/",
      "organization": "株式会社NHK出版",
      "services": [
        "みんなの趣味の園芸（メールマガジン）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 127000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "園芸情報サイト「みんなの趣味の園芸」のメールマガジンの配信を委託していたブラストメールが不正アクセスを受け、送付先リストの約12万7千件のメールアドレス、ニックネーム、性別、居住地の都道府県名が漏えいしたと公表した。",
      "sources": [
        "https://news.yahoo.co.jp/articles/a4ff2ab3d5908c9a5afe9bbfc89a9a46d4aac10b",
        "https://www.nikkei.com/article/DGXZQOUC236GC0T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-tokyo-metro-mailmag",
      "url": "https://morasaretter.suke.dev/breach/2026-10-tokyo-metro-mailmag/",
      "organization": "東京地下鉄株式会社",
      "services": [
        "イベント案内のメールマガジン"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 80000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "イベント案内のメールマガジンの配信を委託していたブラストメールが不正アクセスを受け、約8万件のメールアドレスが流出したと公表した。メールアドレス以外の登録情報は取得されていない。9月に公表したポイントサービス「メトポ」の事案とは別の事案。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOUC23A0P0T21C26A0000000/",
        "https://www.tokyo-np.co.jp/article/523562"
      ]
    },
    {
      "id": "2026-10-ehime-np",
      "url": "https://morasaretter.suke.dev/breach/2026-10-ehime-np/",
      "organization": "株式会社愛媛新聞社",
      "services": [
        "メールマガジン（ニュース速報など）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 32000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "high",
      "summary": "メールマガジンの配信に使っていたブラストメールが不正アクセスを受け、約3万2千人分の氏名・会員ID・会員区分・メールアドレス・性別・生年月日・契約しているサービス・購読しているメルマガ名・新聞配達の担当エリアが漏えいしたと公表した。クレジットカード情報・電話番号・口座番号・パスワードは含まれない。",
      "sources": [
        "https://www.ehime-np.co.jp/article/news202610230205",
        "https://news.yahoo.co.jp/articles/95cca201b2a33ec466b01311500e4bba1366cc4b"
      ]
    },
    {
      "id": "2026-10-env-mailmag",
      "url": "https://morasaretter.suke.dev/breach/2026-10-env-mailmag/",
      "organization": "環境省",
      "services": [
        "地球環境パートナーシッププラザ（GEOC）などのメールマガジン"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 22000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "地球環境パートナーシッププラザ（GEOC）や地域循環共生圏などのメールマガジンの配信に使っていたブラストメールが不正アクセスを受け、登録者のメールアドレスなど最大約2万2千件が漏えいした可能性があると公表した。地域循環共生圏のメルマガは氏名も含む。現時点で流出は確認されていない。",
      "sources": [
        "https://www.env.go.jp/press/press_05784.html"
      ]
    },
    {
      "id": "2026-10-tokyo-agri-volunteer",
      "url": "https://morasaretter.suke.dev/breach/2026-10-tokyo-agri-volunteer/",
      "organization": "公益財団法人東京都農林水産振興財団",
      "services": [
        "東京広域援農ボランティア事業のメール配信"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 16000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "東京都の政策連携団体で、東京広域援農ボランティア事業のメール配信に使っていたブラストメールが不正アクセスを受け、生産者とボランティア参加者の氏名・メールアドレスなど最大約1万6千件が漏えいした可能性があると東京都が公表した。",
      "sources": [
        "https://www.metro.tokyo.lg.jp/information/press/2026/10/2026102317",
        "https://www.nikkei.com/article/DGXZQOCC235V40T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-kyoto-pref-recurrent",
      "url": "https://morasaretter.suke.dev/breach/2026-10-kyoto-pref-recurrent/",
      "organization": "京都府",
      "services": [
        "京都府生涯現役クリエイティブセンターのメール配信"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 15576,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "high",
      "summary": "京都府生涯現役クリエイティブセンターがリカレント研修の受講生などへのメール配信に使っていたブラストメールが不正アクセスを受け、登録者1万5,576人のメールアドレス・氏名、一部の生年月日・年齢・居住地が漏えいした可能性があると公表した。",
      "sources": [
        "https://recurrent-kyoto.com/news/8826/"
      ]
    },
    {
      "id": "2026-10-sannichi-ybs",
      "url": "https://morasaretter.suke.dev/breach/2026-10-sannichi-ybs/",
      "organization": "株式会社山梨日日新聞社",
      "services": [
        "グループ各社のメール配信"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 15040,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "山日YBSグループの各社がメール配信に使っていたブラストメールが不正アクセスを受け、登録者約1万5040人分のメールアドレスなどが漏えいしたと公表した。",
      "sources": [
        "https://www2.sannichi.co.jp/GUIDANCE/2027/info/cd/90001/seq/17",
        "https://news.web.nhk/newsweb/na/nd-20261023de64557"
      ]
    },
    {
      "id": "2026-10-hyogo-pref-mailmag",
      "url": "https://morasaretter.suke.dev/breach/2026-10-hyogo-pref-mailmag/",
      "organization": "兵庫県",
      "services": [
        "自治体・経済団体向けメルマガ、介護保険サービス事業所への連絡メール"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 14700,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "メールマガジンなどの配信に使っていたブラストメールが不正アクセスを受け、配信先のメールアドレスなど延べ約1万4700件が漏えいした恐れがあると公表した。企業・事業所の代表アドレスが中心で、一部に担当者個人のアドレスを含む。10月14日に公表したアルカディア経由の事案とは別の事案。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOUF239Y80T21C26A0000000/"
      ]
    },
    {
      "id": "2026-10-ehealthcare",
      "url": "https://morasaretter.suke.dev/breach/2026-10-ehealthcare/",
      "organization": "株式会社eヘルスケア",
      "services": [
        "医療機関検索サイト関連のメール配信"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 8000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "high",
      "summary": "東邦ホールディングスの子会社で、メール配信に使っていたブラストメールが不正アクセスを受け、医師の氏名とメールアドレス約8000件などが漏えいした可能性があると公表した。住所・電話番号・クレジットカード情報は含まれない。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOUC237PD0T21C26A0000000/",
        "https://www.mixonline.jp/tabid55.html?artid=81069"
      ]
    },
    {
      "id": "2026-10-ichinoseki-city",
      "url": "https://morasaretter.suke.dev/breach/2026-10-ichinoseki-city/",
      "organization": "岩手県一関市",
      "services": [
        "いちのせきメール（防災情報など）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 5839,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "防災情報などを配信する「いちのせきメール」のシステムの提供元ラクスライトクラウド（ブラストメール）が不正アクセスを受け、登録されていた5,839件のメールアドレスが漏えいしたと報じられた。",
      "sources": [
        "https://news.web.nhk/newsweb/na/nd-20261023de64030"
      ]
    },
    {
      "id": "2026-10-hiroshima-isc",
      "url": "https://morasaretter.suke.dev/breach/2026-10-hiroshima-isc/",
      "organization": "公益財団法人広島市産業振興センター",
      "services": [
        "広島市産業振興センターNEWS",
        "産学官連携ネットワークニュース"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 4424,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "メールマガジンの配信に使っていたラクスライトクラウドのシステムが不正アクセスを受け、登録者延べ4,424件のメールアドレスと、任意で登録された社名・所在地・担当者名が漏えいした可能性があると公表した。",
      "sources": [
        "https://www.chugoku-np.co.jp/articles/-/914021",
        "https://news.web.nhk/newsweb/na/nd-20261023de64542"
      ]
    },
    {
      "id": "2026-10-nagano-pref-mailmag",
      "url": "https://morasaretter.suke.dev/breach/2026-10-nagano-pref-mailmag/",
      "organization": "長野県",
      "services": [
        "チアフルながの",
        "シューカツNAGANO",
        "デジタル農活信州"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 4300,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "high",
      "summary": "県の委託事業者がメールマガジンの配信に使っていたブラストメールが不正アクセスを受け、「チアフルながの」「シューカツNAGANO」「デジタル農活信州」の登録者計約4300件の氏名・性別・メールアドレス・居住地（都道府県・市町村）が漏えいした可能性があると公表した。10月22日に公表したStudio経由の事案とは別の事案。",
      "sources": [
        "https://www.chunichi.co.jp/article/1329428",
        "https://news.web.nhk/newsweb/na/nd-20261023de64571"
      ]
    },
    {
      "id": "2026-10-kagoshima-city-furespo",
      "url": "https://morasaretter.suke.dev/breach/2026-10-kagoshima-city-furespo/",
      "organization": "鹿児島県鹿児島市",
      "services": [
        "鹿児島ふれあいスポーツランド（教室の応募者への連絡）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 3000,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "鹿児島ふれあいスポーツランドの指定管理者が契約するラクスライトクラウド（ブラストメール）のサーバーが不正アクセスを受け、水泳・エアロビクス教室などへの応募者最大約3000人分の氏名とメールアドレスが漏えいした可能性があると公表した。",
      "sources": [
        "https://news.yahoo.co.jp/articles/7a8c3eeae6b2d4dff28b86ce044ba0437c12bb31"
      ]
    },
    {
      "id": "2026-10-kyoto-city-mailmag",
      "url": "https://morasaretter.suke.dev/breach/2026-10-kyoto-city-mailmag/",
      "organization": "京都府京都市",
      "services": [
        "ワールドマスターズゲームズ2027関西のボランティア応募",
        "京の食文化ミュージアム・あじわい館のメルマガ"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 1788,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "ブラストメールへの不正アクセスにより、ワールドマスターズゲームズ2027関西・京都エリアのボランティア応募代表者288人の氏名・メールアドレスと、京の食文化ミュージアム・あじわい館のメルマガなどの会員のメールアドレス約1500件が漏えいした可能性があると公表した。Studio経由の「IVS KYOTO」などの事案とは別の事案。",
      "sources": [
        "https://www.kyoto-np.co.jp/articles/-/1813882"
      ]
    },
    {
      "id": "2026-10-kyodo-47gyosei",
      "url": "https://morasaretter.suke.dev/breach/2026-10-kyodo-47gyosei/",
      "organization": "一般社団法人共同通信社",
      "services": [
        "47行政ジャーナル"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 500,
      "leaked": true,
      "cause": "third_party",
      "vendor": "株式会社ラクスライトクラウド",
      "severity": "medium",
      "summary": "会員制の行政情報サイト「47行政ジャーナル」のメール配信に使っていたブラストメールが不正アクセスを受け、会員のメールアドレスなど最大約500人分が漏えいした可能性があると公表した。クレジットカード情報と電話番号は登録していない。",
      "sources": [
        "https://www.niigata-nippo.co.jp/articles/-/930171",
        "https://www.sanin-chuo.co.jp/articles/-/1103083"
      ]
    },
    {
      "id": "2026-10-mizkan-asia-pacific",
      "url": "https://morasaretter.suke.dev/breach/2026-10-mizkan-asia-pacific/",
      "organization": "Mizkan Asia Pacific",
      "services": [
        "アジア事業のホームページの問い合わせフォーム"
      ],
      "date_announced": "2026-10-23",
      "affected_count": 355,
      "leaked": true,
      "cause": "third_party",
      "vendor": "Studio株式会社",
      "severity": "medium",
      "summary": "ミツカングループのアジア事業（Mizkan Asia Pacific）のホームページで使う外部サービス「Studio」が9月30日〜10月1日に不正アクセスを受け、問い合わせフォームから連絡した顧客の氏名・メールアドレス・電話番号・会社名など最大355件が漏えいしたおそれがあると公表した。二次被害は確認されていない。10月9日公表のZENB会員の事案（委託先コミューン）とは別の事案。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOFD238VQ0T21C26A0000000/",
        "https://news.yahoo.co.jp/articles/cb89d04f96e03c7a6ad70565002f93ac241f0c66"
      ]
    },
    {
      "id": "2026-10-green-monster-fxnavi",
      "url": "https://morasaretter.suke.dev/breach/2026-10-green-monster-fxnavi/",
      "organization": "グリーンモンスター株式会社",
      "services": [
        "FXなび"
      ],
      "date_announced": "2026-10-23",
      "affected_count": null,
      "leaked": true,
      "cause": "unauthorized_access",
      "vendor": null,
      "severity": "medium",
      "summary": "FXデモトレードアプリ「FXなび」で、第三者によりユーザーのメールアドレスなどの情報が取得されたおそれがあると適時開示（第一報）で公表した。件数や原因は調査中としている。",
      "sources": [
        "https://www.release.tdnet.info/inbs/140120261023555394.pdf"
      ]
    },
    {
      "id": "2026-10-goodsmile",
      "url": "https://morasaretter.suke.dev/breach/2026-10-goodsmile/",
      "organization": "株式会社グッドスマイルカンパニー",
      "services": [
        "グッドスマイルカンパニー公式ショップ"
      ],
      "date_announced": "2026-10-23",
      "affected_count": null,
      "leaked": true,
      "cause": "vulnerability",
      "vendor": null,
      "severity": "high",
      "summary": "フィギュアメーカーの公式オンラインショップのシステムの脆弱性を突かれ、10月19日〜22日に管理情報が複数回不正に閲覧されたと公表した。会員の氏名・住所・電話番号・メールアドレス、注文日・商品名・金額・配送先・決済方法、クレジットカードのブランド・番号の下4桁・有効期限が閲覧された可能性がある。カード名義、下4桁以外の番号、セキュリティコードは含まれない。公式ショップは閉鎖し、再開は未定。",
      "sources": [
        "https://www.itmedia.co.jp/news/article/2610/26/2000002577/",
        "https://news.denfaminicogamer.jp/news/2610233k"
      ]
    },
    {
      "id": "2026-10-nomura-iport",
      "url": "https://morasaretter.suke.dev/breach/2026-10-nomura-iport/",
      "organization": "野村證券株式会社",
      "services": [
        "i-Port（金融機関など向けのポートフォリオ管理ツール）"
      ],
      "date_announced": "2026-10-23",
      "affected_count": null,
      "leaked": true,
      "cause": "third_party",
      "vendor": "ユミルリンク株式会社",
      "severity": "medium",
      "summary": "金融機関など向けのポートフォリオ管理ツール「i-Port」のメール配信を委託しているユミルリンクのシステムが不正アクセスを受け、利用者のメールアドレスなどが漏えいした可能性があると公表した。ポートフォリオ情報や証券取引口座の情報は含まれず、不正利用は確認されていない。",
      "sources": [
        "https://www.nikkei.com/article/DGXZQOUB233Q60T21C26A0000000/",
        "https://www.sbbit.jp/article/fj/187752"
      ]
    }
  ]
}