サイバー攻撃を時系列で整理：先に結論と確認日時
2026年10月7日から11月6日に公表された国内のサイバー攻撃の事案を、時系列の図で整理しました。当社の整理では、事案は5つの型に分けられます。委託先・提携先経由、ランサムウェア・業務停止、アカウント・認証、脆弱性の悪用、会員アプリです。
各組織の公式のお知らせを、2026年11月6日 21時40分時点で読み直しました。公式のお知らせを読めた事案だけを扱い、日付は公表日で並べます。
- 範囲：図は、当社が選んだ12件です。網羅ではなく、割合や統計でもありません。
- 見えたこと：12件のうち8件は、委託先・提携先・使っているサービスの側で起きた事案でした（当社の分類で、選び方に偏りがあります）。
- 最初にやる3つ：預け先の一覧と連絡の受け口、外から入れる入口の棚卸し、止まった日と偽の連絡への手順です。
脆弱性の更新は脆弱性まとめの記事、事故のあとの報告は漏えい報告の記事、相談先は特別相談窓口の記事にあります。状況は変わりえます。最新は各組織のページで読み直してください。
目次
時系列：公表日で並べた12件を3枚の図で
図は、上から下へ日付の順です。検知や発生の日は、公式に書かれていれば行の中に別に書きました。各行の右にある言葉が型で、色は補助です。「可能性」「おそれ」は公式の表現のままで、「確認」と書き分けています。
10月7日〜16日：預け先のクラウドと、基幹システムが止まった
先頭はIDCFクラウドです。IDCフロンティアは、東日本リージョン1の一部を使っていた495の企業や自治体が影響を受けたと公表しました。10月27日の第7報は、ポータルの認証システムで使っていたオープンソースソフトウェア（誰でも使える公開ソフト）の脆弱性を突かれたと書いています。脆弱性は、ソフトウェアの鍵のかけ忘れのようなものです。
丸木医科器械は、基幹システムが全面的に止まった日から、注文を各支店・営業所へのFAXで受けました。IDCFは10月8日の第3報で、データの復元はお客さま自身が持つバックアップからのみ可能、という当時の見解を示しています。たとえるなら、貸倉庫が被害にあっても、荷物の控えを自分で持っていなければ戻せない、という話です。
Studioは、Webサイトを作るサービスで、公式は、実際に取得された事実は確認できていないものの、取得されたものとみなして対応すると書いています。
10月19日〜26日：メール配信サービスの事案が2件、ホームページの部品と社内アカウントの事案
ユミルリンクとラクス（ブラストメール）は、どちらもメールの一斉配信サービスで、別々の会社の事案です。たとえるなら、宛名の名簿を預けて発送を頼む印刷所が、2軒続けて被害にあった形です。
ティエスエスリンクの公式は、検知が長期化した背景として、プラグインの脆弱性情報や不正ファイルの通知への確認と一次対応が機能していなかったこと、委託元である同社にも、通知を同時に把握する体制や定期的な履行確認が不足していたことを、同社の課題として書いています。プラグインは、ホームページに後から付け足す部品です。
Gunosyは、第三者が不正に入手したIDとパスワードでログインされたと書き、入手経路は調査中としています。再発防止に、共有アカウントの廃止と多要素認証の徹底を挙げています。共有アカウントは、1本の合鍵を何人かで回し使いするようなもので、誰が使ったかが追いにくくなります（当社の例え）。
10月28日〜11月6日：委託先・提携先・会員アプリ
ドン・キホーテなど4社の事案は、時計の修理を頼んだ委託先のサーバーが暗号化されたもので、委託先の検知は9月15日、グループへの報告は9月25日、公表は10月28日です。
日本郵便のお知らせに、メール配信の委託先の社名は書かれていません。ユミルリンクやラクスとの関係は、公式から読み取れません。日本郵政グループ労働組合も、11月6日付の更新版で、運用を委託していたメールマガジン配信システムの事案を書き、対象は27,139名で、委託業者の名は書いていません。
KDDIとライフネット生命の事案は、ライフネット生命の連携システムの脆弱性を通じて、KDDIが持つ顧客情報の一部を取得された可能性がある、というものです。松屋は、公式PDFに日付の表示がないため、図では10月30日ごろと推定しました。判明は10月28日で、アプリは11月6日14時に再開したと、公式トップが書いています。
10月31日〜11月6日は、図に新しい行がありません。ティエスエスリンクの最終報告書、ブラストメールの進捗報告、松屋のアプリ再開などが、この間に出ました。
型で読む：同じ12件を5つに分ける
事案を、起きた場所で5つに分けました。当社の整理で、公的機関の分類ではありません。同じ事案が複数の型に入ります。
委託先・提携先経由は、いわば、家の鍵を預けた管理会社が被害にあうと、鍵の持ち主も当事者になる形です。ランサムウェア（データを暗号化して身代金を求める攻撃）は、止まったときの代わりの手段が問われます。
多要素認証は、玄関の鍵に加えてチェーンもかけるようなものです。
| 型 |
この期間の事例（公表日） |
自社で確かめること |
誰が |
| 委託先・提携先経由 |
IDCFクラウド（10/7）、ショップサーブ最終報（10/16）、Studio（10/16）、ユミルリンク（10/19）、ラクス（10/21）、SHIPS CYCLE MARKETが伝えた外部アプリの事案（10/22。図の12件とは別）、ドン・キホーテ4社（10/28）、日本郵便（10/29）、KDDI・ライフネット生命（10/30） |
預けている先（メール配信、ホームページの制作・保守、ネットショップの基盤、クラウド、外部アプリ）を一覧にし、渡している情報と、事故の連絡が届く宛先を書く。 |
総務と情報システム担当 |
| ランサムウェア・業務停止 |
IDCFクラウド（10/7）、丸木医科器械（10/15）、ドン・キホーテ4社の委託先（10/28） |
基幹システムが止まった日に、注文や請求を何で受けるか（丸木医科器械はFAX）。バックアップを自分で戻せるか（IDCFの復元の見解は、お客さま自身のバックアップから）。 |
経営者と業務の責任者 |
| アカウント・認証 |
Gunosy（10/26） |
共有アカウントがないか、多要素認証（パスワードに加え、もう1つの確認を求める仕組み）が入っているか、使っていないアカウントが残っていないか。 |
情報システム担当 |
| 脆弱性の悪用 |
ショップサーブ（10/16）、ユミルリンク（10/19）、ティエスエスリンク（10/21）ほか、公式が脆弱性（ソフトウェアの弱点）の悪用と書いた事案 |
公開しているホームページ（WordPressなど）の本体とプラグインの更新担当と期限。保守会社の通知を誰が受け、誰が確認するか。更新の優先順位は脆弱性まとめの記事にあります。 |
保守会社と情報システム担当 |
| 会員アプリ |
松屋フーズ（判明10/28、公表は10/30ごろ） |
会員向けのアプリやAPI（アプリとサーバーがやりとりする窓口）を持つ場合は、作った会社に、管理画面の公開範囲とログの保管を聞く。 |
アプリを作った会社と経営者 |
丸木医科器械の公式は、原因をサイバー攻撃・不正アクセスと書き、ランサムウェアとは書いていません。型の名前に「業務停止」を入れたのは、そのためです。
委託先・提携先経由を、12件のうち8件と数えたのは、IDCFクラウド、ショップサーブ、Studio、ユミルリンク、ラクス、ドン・キホーテ4社、日本郵便、KDDI・ライフネット生命です。公式のお知らせを読めた事案から当社が選んだ数で、全体の割合ではありません。
公的機関が書いたこと：誰の見解かを分けて読む
個人情報保護委員会、JPCERT/CC、IPA、国家サイバー統括室などが、10月7日から13日にかけて注意喚起を出しました。次の表は、各機関が書いたことです。「当社の整理」と分けて読んでください。
| 日付と機関 |
その機関が書いたこと |
| 10/7 個人情報保護委員会 |
「大規模な漏えい等事案を踏まえた対応について（注意喚起）」を公表（日付と題名は、国家サイバー統括室のまとめページによる）。 |
| 10/8公開・10/23更新 JPCERT/CC |
2026年9月前後で、国内組織の不正アクセスによる個人情報等の漏えい被害が相次いでいると書き、把握している情報は「限定的かつ断片的」としています。確認した攻撃をケースAからEに分け、「すべての事案で同一の攻撃手法」ではないと断っています。 |
| 10/9 IPA |
特定のプロダクトやサービスの脆弱性を狙った攻撃とは断定されておらず、公表事例の傾向から、外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえると書いています。点検は、外部公開アプリ、利用中の外部サービス、保有データの3つです。 |
| 10/9 国家サイバー統括室 |
ウェブシステムの脆弱性の悪用、サプライチェーンを通じた侵害、堅牢さを欠くデータ管理などによる事案を複数確認したとし、比較的防御が弱い委託先を足掛かりにする手口があると書いています（総務省、経済産業省、金融庁も同日に注意喚起）。 |
| 10/13 NICT |
相次ぐ情報漏えいの原因の一つとして、公開Androidアプリを解析し、接続先サーバーを攻撃する手法（A2B攻撃）を特定したと書き、攻撃手法には不明な点も多いとしています。 |
| 10/29 個人情報保護委員会事務局 |
ガイドライン（通則編）の改正告示案などの意見募集を開始。期限は11月27日で、案であり確定ではありません。施行は可能な限り前倒すとしており、新しい施行日は、当社が読んだ資料には書かれていません。 |
3機関に共通して見える点は、次の3つです（当社の整理）。
- 外から見える入口：IPAは、外部公開のアプリやサービスと、アカウントの侵害を挙げています。JPCERT/CCは、一般向けのアプリのほか、BIツールや従業員向け管理システムも被害にあっていると書いています。
- 委託先と外部サービス：IPAは、利用中の外部サービスをすべて洗い出すよう求めています。国家サイバー統括室は、委託先を含めて安全性を確保する観点を挙げています。
- 持つ情報：IPAは「不要な情報は持たない」、国家サイバー統括室は保有情報の最小化を挙げています。
限界もあります。IPAは呼びかけの相手を、大量の情報資産を保有する事業者や、機微な情報を取り扱う事業者などの経営者と書いています。中小企業が主に狙われているとは、当社が読んだ範囲では書かれていません。同じIPAのページは、中小企業向けの自己診断などへのリンクも載せています。個人情報保護委員会の件数の推移は、漏えい報告の記事にあります。
最初にやる3つ
- 預け先を一覧にする。メール配信、ホームページの制作・保守、ネットショップの基盤、クラウド、外部アプリを書き出し、渡している情報と、事故の連絡が届く宛先を1枚に書きます。Studioは、制作会社や運用代行会社のお客様にも、個人情報保護委員会への報告の案内を出しています。
- 外から入れる入口を数える。公開サイトとその管理画面、プラグイン、共有アカウント、使っていないアカウント、多要素認証を、保守会社と一緒に確かめます。ティエスエスリンクの公式が挙げたように、通知を受け取る人と、確認する人を決めておくことが要点です。
- 止まった日と偽の連絡の手順を決める。丸木医科器械は注文をFAXで受けました。振込先の変更などを装う連絡への、公式の注意は下の表のとおりです。たとえるなら、知らない人から届いた「引っ越しました」の葉書で、送金先を変えないのと同じです。
| 組織（公表日） |
公式が書いた注意 |
| アイラッシュガレージ（10/15） |
振込先の変更や追加の支払いなどを求められたら、普段使う公式窓口に確認する。 |
| Gunosy（10/26） |
振込先の変更や支払いを求める連絡は、電話などで確認する。メールのみで振込先の変更を頼むことはない。 |
| 丸木医科器械（10/26） |
不審なメール・FAX・電話に注意する。本件を理由に振込先口座の変更を頼むことはない。担当営業か窓口に確認する。 |
ランサムウェアへの備えは経営者が事故の前に決める6つの記事、パスワードと認証はパスワード管理の記事にあります。PHPの更新はPHPの記事にあります。
確認できなかったこと
公式の資料で確認できなかった点です。「書かれていない」ことは、「ない」ことではありません。
- 個人情報保護委員会のサイトは、11月6日の夜から緊急メンテナンスで閲覧できず、10月7日の注意喚起の原文は読めていません。
- 経済産業省の10月9日の注意喚起（PDF）は、アクセスが拒否されて読めていません。
- 松屋の公表日は、公式PDFに日付の表示がなく、10月30日ごろは当社の推定です。
- 日本郵便と日本郵政グループ労働組合のお知らせに、委託先の社名は書かれていません。ほかの事案との関係は、公式から読み取れません。労働組合の更新版の、最初の公表日も確認していません。
- ほかにも公表された事案はありますが、公式のお知らせを読めなかったものは、図にも表にも入れていません。
5つの型と「最初にやる3つ」は当社の整理で、公的機関が示すものではありません。
よくある質問
従業員が数人の会社でも、気にする必要がありますか。
図の12件のうち8件は、預け先・提携先・使っているサービスの側で起きた事案でした。預けている先があれば、会社の規模にかかわらず関係します。一方、IPAと国家サイバー統括室の呼びかけは、大量の個人情報や機微な情報を扱う事業者に向けた書き方で、中小企業が主に狙われているとは、当社が読んだ範囲では書かれていません。
取引先から「情報が漏れたかもしれない」と連絡が来たら、何から始めますか。
連絡の送り主が本物かを、その会社の公式のお知らせと照らして確かめます。次に、自社が預けた情報の範囲を確かめます。報告の期限と最初の動きは、当社の漏えい報告の記事にあります。
図に載っていない事案は、重要ではないのですか。
そうではありません。図は、公式のお知らせを読めた事案から当社が選んだ一部です。公式のお知らせを読めなかった事案は入れていません。
5つの型は、公的機関の分類ですか。
いいえ、当社の整理です。JPCERT/CCは、確認した攻撃をケースAからEに分けており、分け方の軸が違います。
相談できる窓口はありますか。
IPAは2026年10月16日に不正アクセス特別相談窓口（事業者向け）を開設しました。経済産業省・中小企業庁は10月27日に、中小企業・小規模事業者向けのサイバーセキュリティ特別相談窓口を設置しました。違いは当社の特別相談窓口の記事にあります。
まとめ
2026年10月7日から11月6日に公表された12件は、5つの型に分けられ、うち8件は預け先・提携先の側で起きました。まず、預け先の一覧と連絡の受け口を1枚に書きます。
参照元・出典
本記事は 2026年11月6日 21時40分の確認時点のものです。
AI Lab OISHI
