{ "date": "2026-11-09", "count": 10, "affected_total": 45903708, "url": "https://morasaretter.suke.dev/news/2026-11-09/", "breaches": [ { "id": "2026-11-nitori", "url": "https://morasaretter.suke.dev/breach/2026-11-nitori/", "organization": "株式会社ニトリホールディングス", "services": [ "ニトリネット", "ECモールのニトリ公式ショップ", "法人会員" ], "date_announced": "2026-11-09", "affected_count": 37620000, "leaked": true, "cause": "unauthorized_access", "vendor": null, "severity": "high", "summary": "同社が管理するシステムで11月6日に第三者の不正アクセスを確認し、ニトリネットの個人会員・購入者やECモールのニトリ公式ショップで注文した人、法人会員の会員番号・氏名・住所・電話番号・メールアドレス・生年月日・性別、法人の会社名・部署名など最大3,762万件が流出した可能性があると公表した。10月中旬から下旬にも不正アクセスがあった可能性がある。ログインパスワードとクレジットカード情報は含まれない。", "sources": [ "https://www.nitorihd.co.jp/news/items/2b702dbe4d438f7fef74945d68e5bd27.pdf", "https://www.nitori-net.jp/ec/notices/info261109/", "https://www.itmedia.co.jp/news/article/2611/09/2000003039/", "https://news.web.nhk/newsweb/na/nd-20261109de73045" ] }, { "id": "2026-11-sharefull", "url": "https://morasaretter.suke.dev/breach/2026-11-sharefull/", "organization": "シェアフル株式会社", "services": [ "スキマバイトアプリ「シェアフル」" ], "date_announced": "2026-11-09", "affected_count": 7500000, "leaked": true, "cause": "unauthorized_access", "vendor": null, "severity": "critical", "summary": "スキマバイトアプリ「シェアフル」の社内管理システムが11月4日夜に第三者の不正アクセスを受け、ユーザーアカウント最大約750万件の氏名・電話番号・メールアドレス・住所・生年月日・給与振込用の銀行口座情報・緊急連絡先・顔写真の保存先URLなどと、求人企業最大約7,500社の法人情報が流出した可能性があると公表した。11月5日に判明し、同日中に経路を遮断した。本人確認書類の画像、パスワード、口座の暗証番号は含まれない。", "sources": [ "https://sharefull.com/information/9480/", "https://www.itmedia.co.jp/news/article/2611/10/2000003072/" ] }, { "id": "2026-11-sas-amadeus", "url": "https://morasaretter.suke.dev/breach/2026-11-sas-amadeus/", "organization": "SAS AB（スカンジナビア航空）", "services": [ "予約情報" ], "date_announced": "2026-11-09", "affected_count": 350164, "leaked": true, "cause": "third_party", "vendor": "Amadeus IT Group", "severity": "high", "summary": "予約システムの委託先であるアマデウスへの不正アクセスにより、35万164人分の予約情報が参照された可能性があるとスウェーデンのデータ保護当局に報告したと公表した。外部の者が漏えいしたシステム認証情報でアマデウスの環境に入り、自動検索を実行したとされる。対象は予約番号・日付・便の情報・人数などで、ほかの種類の個人データは現時点で確認されていない。リスクは高くないとして、利用者への個別の通知は行わない。", "sources": [ "https://svt.se/nyheter/inrikes/misstankt-datalacka-hos-sas-over-350-000-bokningsuppgifter-kan-ha-rojts", "https://www.thelocal.com/20261110/350000-sas-passengers-may-have-had-details-leaked-in-major-data-breach" ] }, { "id": "2026-11-norwegian-amadeus", "url": "https://morasaretter.suke.dev/breach/2026-11-norwegian-amadeus/", "organization": "Norwegian Air Shuttle ASA（ノルウェー・エアシャトル）", "services": [ "予約情報" ], "date_announced": "2026-11-09", "affected_count": 144249, "leaked": true, "cause": "third_party", "vendor": "Amadeus IT Group", "severity": "critical", "summary": "予約システムのアマデウスへの不正アクセスにより乗客の情報が漏洩したと公表した。データ保護機関への書面によると、Norwegian と Widerøe の乗客14万4,249人分が対象で、氏名、旅程、パスポート番号、国籍、連絡先、航空券番号、便名、座席などが含まれる。支払い情報は含まれない。不正アクセスは2023年から続いていた。", "sources": [ "https://www.travelnewsnordic.com/the-travel-industry/norwegian-affected-by-data-breach-at-amadeus/412984", "https://www.nrk.no/nyheter/over-144.000-norwegian-og-wideroe-passasjerer-rammet-av-datainnbrudd-1.18080740" ] }, { "id": "2026-11-finnair-amadeus", "url": "https://morasaretter.suke.dev/breach/2026-11-finnair-amadeus/", "organization": "Finnair Oyj（フィンエアー）", "services": [ "予約情報（旅客サービスシステム）", "Aurinkomatkat（パッケージ旅行）" ], "date_announced": "2026-11-09", "affected_count": 116000, "leaked": true, "cause": "third_party", "vendor": "Amadeus IT Group", "severity": "critical", "summary": "旅客サービスシステムの委託先であるアマデウスへの不正アクセスにより、複数航空会社の搭乗者リストが参照され、その中に同社の予約約11万6,000件が含まれていたと公表した。アマデウスによれば、このうち約750件の予約が閲覧された。対象は予約番号・氏名・旅程などで、一部ではメールアドレス・電話番号・渡航書類・マイレージ番号も含まれる。クレジットカード番号とパスワードは閲覧されておらず、同社のシステムは侵害されていない。有効な予約には新しい予約番号を割り当てた。", "sources": [ "https://www.marketscreener.com/news/finnair-oyj-customer-data-included-in-global-amadeus-data-breach-ce785fd3dc8cf42c", "https://www.traicy.com/posts/20261110387552/", "https://cybernews.com/security/finnair-customer-data-amadeus-breach/" ] }, { "id": "2026-11-sumitomo-life-nttdata", "url": "https://morasaretter.suke.dev/breach/2026-11-sumitomo-life-nttdata/", "organization": "住友生命保険相互会社", "services": [ "Vitality" ], "date_announced": "2026-11-09", "affected_count": 80000, "leaked": true, "cause": "third_party", "vendor": "株式会社NTTデータ", "severity": "high", "summary": "システム業務を委託するNTTデータのシステムが不正アクセスを受け、約8万人の個人情報が漏えいしたと公表した。うち約1,000人は一部を伏せたクレジットカード番号も対象。NTTデータは11月2日に侵入を発見し、3日に遮断した。山口県や岡山県などと連携して実施するVitalityウォークの応募者も含まれる。", "sources": [ "https://www.nttdata.com/global/ja/news/release/2026/110900", "https://news.web.nhk/newsweb/na/nd-20261109de72962" ] }, { "id": "2026-11-thai-airways-amadeus", "url": "https://morasaretter.suke.dev/breach/2026-11-thai-airways-amadeus/", "organization": "Thai Airways International Public Company Limited（タイ国際航空）", "services": [ "旅客サービスシステム（予約情報）" ], "date_announced": "2026-11-09", "affected_count": 60529, "leaked": true, "cause": "third_party", "vendor": "Amadeus IT Group", "severity": "critical", "summary": "旅客サービスシステムを運用するアマデウスから、2023年8月10日〜2026年9月23日に予約データへの不正アクセスがあったとの報告を受け、約6万529件の旅客の記録が参照された可能性があると公表した。対象は氏名・予約番号・搭乗日・区間・搭乗クラスで、一部ではメールアドレス・電話番号・パスポート番号・マイレージ番号も含まれる可能性がある。クレジットカード情報は影響を受けておらず、同社のシステムも影響を受けていない。", "sources": [ "https://www.thaiairways.com/de-de/content/news/amadeus-reports-unauthorized-access-to-thai-passenger-data/", "https://techwireasia.com/2026/11/thai-airways-data-breach-amadeus/" ] }, { "id": "2026-11-lafool-survey", "url": "https://morasaretter.suke.dev/breach/2026-11-lafool-survey/", "organization": "株式会社ラフール", "services": [ "ラフールサーベイ（旧システム）", "あしたのサーベイ（OEM）" ], "date_announced": "2026-11-09", "affected_count": 24232, "leaked": true, "cause": "third_party", "vendor": "株式会社Sun Asterisk（当時のフランジア）", "severity": "high", "summary": "組織改善ツール「ラフールサーベイ」の旧システムが2026年7月から10月に不正アクセスを受け、利用企業182社の従業員24,232名の情報が取得されたと公表した。エンジニアがプログラムにアクセスキーを直接書いており、そのキーを含むテスト用の実行環境のイメージを当時の委託先の開発者が2019年にインターネットに公開したため、第三者がキーを入手したと推定している。対象は従業員番号、氏名、所属部署、サーベイの回答と結果で、一部はストレスチェックの結果や医師による面談の記録を含む。", "sources": [ "https://corp.lafool.co.jp/news/information/172/", "https://www.itmedia.co.jp/news/article/2611/10/2000003052/" ] }, { "id": "2026-11-tss-arara", "url": "https://morasaretter.suke.dev/breach/2026-11-tss-arara/", "organization": "株式会社テレビ新広島", "services": [ "Thank you for zero はじめてばこ", "ロハスフラワー", "TSSサンフレッチェ広島公式モバイルサイトなど" ], "date_announced": "2026-11-09", "affected_count": 5192, "leaked": true, "cause": "third_party", "vendor": "アララ株式会社", "severity": "medium", "summary": "メール配信に利用するアララの「アララメッセージ」が第三者の不正アクセスを受け、2026年7月1日から10月31日に同サービス経由でメールを送った客のメールアドレス5,192件が外部に漏えいしたと公表した。対象はサンフレッチェ広島と共同運営する公式モバイルサイト、「はじめてばこ」、花の定期購入サービス「ロハスフラワー」、各種イベントの応募者など。氏名や住所、クレジットカード情報はアララに提供していない。", "sources": [ "https://www.tss-tv.co.jp/archives/001/202611/b4243df6459ed8064b57d638657400e2506ec756dba4bf7694445f0a0be7e044.pdf", "https://www.chugoku-np.co.jp/articles/-/923746" ] }, { "id": "2026-11-waseda-mywaseda", "url": "https://morasaretter.suke.dev/breach/2026-11-waseda-mywaseda/", "organization": "学校法人早稲田大学", "services": [ "MyWaseda", "Wasedaメール", "Waseda ID" ], "date_announced": "2026-11-09", "affected_count": 3342, "leaked": true, "cause": "unauthorized_access", "vendor": null, "severity": "high", "summary": "MyWasedaへのログインに使うユーザー情報を管理するシステムに第三者が侵入し、教職員・学生・卒業生などの個別情報81件と職員などのユーザー情報3,261件、延べ3,342件の情報が取得されたと公表した。PHPの脆弱性への対応で点検した際に、8月31日の不正アクセスの痕跡を見つけた。対象は教職員番号、氏名、Wasedaメールアドレス、所属部署名、資格名、暗号化されたパスワードなど。関係システムの停止や学外との通信制限を行い、パスワードの変更を案内した。", "sources": [ "https://www.waseda.jp/top/news/topic/124183?lng=en", "https://www.itmedia.co.jp/news/article/2611/09/2000003012/", "https://rocket-boys.co.jp/security-measures-lab/waseda-mywaseda-3342-credential-data-breach/" ] } ] }