本文
エレノア代表の豊島と申します。
自社のホームページや予約の受付に使うサービスが不正アクセスを受けた場合、顧客情報がどうなるか、ご存じでしょうか？
2026年8月から10月にかけて、事業者が利用するクラウドサービスへの不正アクセスが相次いで公表されました。本記事では、各社の公式発表と公的機関の資料を基に、公表事例と、利用する事業者が確認すべき事項をご紹介いたします。
本記事の内容
- 2026年8〜10月に公表された主な事例
- サービスを利用する事業者が確認すべき5つの事項
- 個人情報保護委員会への報告の考え方
2026年8〜10月に公表された主な事例
次の表は、事業者が利用するサービスで公表された主な事例です。件数と内容は、2026年10月22日時点の各社の公式発表に基づきます。
| 公表の開始 | サービスの種類（公表した事業者） | 公表された主な影響 |
|---|---|---|
| 8月1日 | ネットショップの構築サービス（Eストアー） | 約23,356,000人の情報、対象店舗は7,858店 |
| 8月17日 | レンタルサーバー（さくらインターネット） | 951アカウントのサーバーへの不正アクセス |
| 9月28日 | 宿泊施設向けの予約管理（手間いらず） | 最大で約445万人の予約情報が閲覧された可能性 |
| 10月7日 | クラウドサービス（IDCフロンティア） | ランサムウェアにより495の企業・自治体に影響 |
| 10月16日 | Web制作サービス（Studio） | フォームの送信内容などが取得された可能性 |
いずれも、攻撃を受けたのはサービスを提供する事業者です。一方で、漏えいした可能性があるのは、サービスを利用する店舗や企業の顧客の情報です。
ネットショップの構築サービスの事例では、店舗の管理画面のログイン情報も対象に含まれていました。宿泊施設向けの予約管理の事例では、予約者に不審なメッセージが届いたことから、被害が判明しています。
サービスを利用する事業者が確認すべき5つの事項
1. サービスからの案内の確認とパスワードの変更
上の事例の多くで、提供する事業者は利用者にパスワードの変更を依頼しています。管理画面のほか、メールやファイルの転送に使うパスワードも対象となる場合がございます。契約時の初期パスワードのまま使っている場合は、特に変更が必要です。
2. 自社の顧客への案内
予約管理の事例では、提供する事業者が宿泊施設に対し、予約者から問い合わせがあった場合の案内を依頼しています。内容は、メッセージに記載されたURLを開かず、個人情報やクレジットカード情報を入力しないことです。自社の顧客に向けても、ホームページやメールで同様の注意をお知らせすることが有効です。
3. 自社で保管するバックアップ
クラウドサービスの事例では、提供する事業者が、データの復元が難しい見通しを公表しました。復元は、利用者自身が保持しているバックアップからに限られるとしています。サービスに保存したデータも、自社で別にバックアップを保管しておく必要がございます。
4. 個人情報保護委員会への報告の要否
個人情報保護委員会のガイドラインでは、第三者が提供するサービスへの攻撃で漏えいした場合も、報告の対象としています。報告は、原則として委託元と委託先の両方の義務で、連名での報告もできます。
報告の期限は、速報が漏えいを知ってから概ね3〜5日以内です。確報は30日以内、不正の目的による漏えいの場合は60日以内とされています。本人への通知も、同様に必要となる場合がございます。
5. 委託先を選ぶ際の確認
個人情報保護法第25条は、個人データの取扱いを委託する事業者に、委託先の監督を求めています。IPAの中小企業の情報セキュリティ対策ガイドライン第4.0版にも、クラウドサービスの利用時の確認項目がございます。
よくある質問
利用しているサービスが被害を公表した場合、最初に何をすべきですか？
提供する事業者の公式の案内を確認し、パスワードの変更など、依頼された対応を行ってください。そのうえで、自社の顧客の情報が含まれるかを確認し、個人情報保護委員会への報告の要否を判断します。
クラウドサービスの利用は避けるべきですか？
自社でサーバーを管理する場合も、同様の攻撃の対象となります。サービスの選定時の確認と、パスワードやバックアップなど利用者側の対策を組み合わせることが重要です。
まとめ
- 2026年8〜10月に、事業者が利用するサービスへの不正アクセスが相次いで公表されました
- 攻撃を受けたのが提供する事業者でも、漏えいの可能性があるのは利用者の顧客の情報です
- パスワードの変更、自社のバックアップ、報告の要否の確認を、案内に沿って進めます
明日はランサムウェアの被害の現状、その次はなりすましメールの対策を特集する予定です。
本記事は、2026年10月22日時点の各社の公式発表と公的機関の資料を基にした一般的な情報です。個別の事案の法的な判断ではございません。ホームページの制作と、公開後の保守のご相談は、お問い合わせからお気軽にご連絡ください。