その被害は、ひとごとではない——2026年のサイバー攻撃を数字で読む

国内で何が起きたか

3つの型で見る

2026年に国内で公表された被害を並べると、私たちへの影響の届き方は大きく3つに分けられる。

1つ目は「直接の被害」である。自分が使っているサービスや、通っている病院そのものが攻撃され、情報が漏れる。2つ目は「委託先経由」である。自分が取引している会社や自治体ではなく、その会社が仕事を任せている先が攻撃され、そこから情報が漏れる。3つ目は「インフラの停止」である。情報が漏れたかどうかとは別に、物流や決済、クラウドといった暮らしや仕事の土台が止まる。

下記の表は、一次資料で確認した国内の事例から、3つの型の代表として10件を選んだものである。件数の単位は、各組織の発表どおりに「人」「件」「アカウント」「組織」と書き分けた。選んだ10件は2026年の被害の一部にすぎず、統計ではない。

型	組織（公表日）	何が起きたか	影響の規模	確度
直接の被害	日本医科大学武蔵小杉病院（2/13）	医療機器の保守用VPN装置から侵入、ランサムウェア	患者 約13万人	漏えい確認
直接の被害	デジタル庁 GSS（9/11）	VPNの脆弱性から侵入、保守担当者のアカウントでファイルにアクセス	約24.6万件（職員・事業者等）	漏えいのおそれ
直接の被害	パーク24（タイムズカー、9/25）	Webシステムへの不正アクセス。運転免許証などの画像	約660万アカウント（本人確認書類の画像は約160万）	漏えい確認
直接の被害	物語コーポレーション（焼肉きんぐ公式アプリ、10/5）	会員管理システムへの不正アクセス	約1,079万件	漏えい確認
委託先経由	両毛システムズ（8/15）	VPNのアカウントを悪用されランサムウェア。自治体・ガス会社へ波及	波及先ごとに発表（例：大東ガス 約12.4万件）	漏えいのおそれ
委託先経由	手間いらず（9/28）	宿泊施設向けの予約管理システムへの不正アクセス	最大 約445万人	漏えいのおそれ
委託先経由	佐川急便（9/30）	荷物の問い合わせサービスへの不正アクセス。自治体のふるさと納税へ波及	精査中	漏えいのおそれ
インフラの停止	ニチレイ（7/13）	サイバー攻撃で冷蔵倉庫の入出庫と冷凍食品の出荷が停止	約1週間半で全拠点が通常稼働	漏えい確認
インフラの停止	京王電鉄（9/26）	グループのサーバーにランサムウェア。スーパーの決済などに支障	鉄道の運行は影響なし	調査中
インフラの停止	IDCフロンティア（10/7）	クラウドの一部にランサムウェア。データの復元が困難	495の企業・自治体	調査中

注：確度は各組織の発表時点のもの。「漏えいのおそれ」は、漏れた可能性があるが確認されていない状態を指す。攻撃者の主張（犯行声明やリークサイトへの掲載）は載せていない。出典は本文の各事例を参照。

直接の被害：病院から、アプリまで

2月13日に公表された日本医科大学武蔵小杉病院の事例では、医療機器（患者のバイタル監視システム）の保守用VPN装置が入口になり、ナースコールのサーバーなどが攻撃された。ナースコールのサーバーには患者の基本情報がたまる仕組みになっていたため、約13万人分の氏名、住所、電話番号、生年月日などが盗まれた。カルテの漏えいは確認されておらず、外来や入院の診療は通常どおり続けられた[9]。

国の基盤も例外ではない。デジタル庁は9月11日、政府の共通の業務基盤「ガバメントソリューションサービス（GSS）」で、VPNの脆弱性を突いて侵入され、保守運用担当者のアカウントでサーバー上の大量のファイルにアクセスされたと公表した。漏えいのおそれがあるのは、府省庁の職員などと、業務に携わった事業者などの約24.6万件で、一般の人の情報やマイナンバーは含まれていない。異常を検知したのは6月25日で、公表まで約2か月半かかった[10]。

9月25日には、パーク24がカーシェア「タイムズカー」のWebシステムへの不正アクセスを公表した。28日の第2報によると、氏名や住所、生年月日、運転免許の情報などが漏れたアカウントは約660万件にのぼる（漏れた項目は人によって異なる）[61]。29日の第3報では、会員登録のときに提出された運転免許証や、住所を確かめるための公共料金の請求書などの「画像」まで漏れたのは、約160万アカウントだとした[11]。スマートフォンで撮って送った書類の写真が、そのまま狙われたことになる。

10月5日には、物語コーポレーションが「焼肉きんぐ」の公式アプリの会員情報の漏えいを公表した。登録されていた約1,081万件のうち約1,079万件の会員番号、氏名（アプリの登録名）、メールアドレス、電話番号が漏れた。パスワードや生年月日、利用履歴は含まれていない[12]。件数としては2026年の国内で最大級の一つだが、これはアプリの登録の件数で、人数ではない。1人が複数の登録をしている場合もある。

委託先経由：取引した覚えのない会社から

委託先経由の被害は、利用者からは見えにくい。

群馬県桐生市の両毛システムズは、自治体やガス会社のシステムを請け負うIT企業である。8月12日、外部の第三者がVPNのアカウントを悪用して社内のネットワークに入り込み、ランサムウェアの攻撃を行った[13]。

影響はその取引先に広がった。群馬県伊勢崎市は、児童生徒のアカウント情報3,789件が漏えいしたおそれがあると発表した[14]。大阪府の大東ガスは、2023年11月〜2024年4月に利用していた顧客約12.4万件の氏名、住所、ガスの使用量などが流出した可能性があるとした。大東ガス自身の顧客システムは両毛システムズのネットワークと分かれていたが、過去の業務でやり取りしたファイルが、両毛システムズの社内に残っていたという[15]。波及先の件数は、数え方が組織ごとに違うため、本稿では合計しない。

宿泊施設向けの予約管理システムを提供する手間いらずは、9月28日に不正アクセスを公表した。予約した人のもとに、予約の内容を含む不審なメッセージが届き、カード情報の再入力や支払いを求められたことで発覚した[25]。10月9日の開示によると、予約者の氏名、電話番号、メールアドレス、宿泊施設名、日程、料金などが第三者に閲覧または取得された可能性があり、対象は最大で約445万人にのぼる[16]。ホテルや旅館を予約した人の多くは、手間いらずという会社の名前を知らなかったはずである。

佐川急便は、10月9日の第4報の時点でも、対象の件数を公表していない。同じ客の情報が何度も含まれていたり、送り状の氏名や住所の書き方が違っていたりするため、整理を進めているという。確認が終わる前に件数を出すと実際と違う情報が伝わるおそれがある、というのがその理由である[3]。人数と件数を分けることの難しさを、そのまま示している。

横須賀市のふるさと納税のように、市から委託先へ、委託先から佐川急便へと仕事が渡るなかで、情報もまた渡っていく[4]。

インフラの停止：情報が漏れなくても、暮らしは止まる

冷凍食品と低温物流の大手ニチレイは、7月13日にサイバー攻撃を受け、システムを遮断した。その結果、グループの冷蔵倉庫の入出庫と、冷凍食品の出荷が止まった[17]。7月17日から順に再開し、24日に全拠点で通常の稼働に戻った[19]。

ニチレイは8月の決算説明会で、2026年12月期の見通しとして、システム障害が売上高を50億円、営業利益を8億円押し下げ、対応費用として10億円の特別損失を計上すると示した[18]。3つの金額は意味が違うため、足し合わせることはできない。被害の金額を公表した国内の事例は少なく、その意味でも貴重な資料である。

京王電鉄の事例は、「電車は動いたが、レジが止まった」と言い表せる。スーパーの京王ストアでは、クレジットカードや電子マネー、コード決済が使えなくなった。9月30日にクレジットカードは全店で使えるようになったが、電子マネーとコード決済は一部の店舗にとどまった[20]。京王プラザホテルでもシステムの一部に支障が出た[21]。情報が漏れたかどうかは調査中である。

IDCフロンティアの事例は、さらに見えにくい。攻撃を受けたのはクラウドの設備で、影響を受けた495の企業・自治体の先には、それぞれのサービスの利用者がいる。同社は、被害を受けた区画のデータは取り出しも復元も難しい見通しで、復元は「お客さま自身が保持しているバックアップデータからのみ可能」と案内している[5]。

10月9日には東日本旅客鉄道（JR東日本）が、えきねっとと大人の休日倶楽部の会員にメールを送る外部サービスがこの攻撃の影響を受け、最大で約167万件（えきねっと）と約39万件（大人の休日倶楽部）のメールアドレスなどが漏えいした可能性があると発表した。氏名、住所、電話番号、クレジットカード番号は含まれていない[62]。2つの件数は重なりうるため、合計しない。新幹線の予約に使うサービスの裏側にも、IDCフロンティアの設備があったことになる。データを預ける先が止まれば、預けたデータごと失われうる。

3つの型は重なり合う

3つの型は、きれいに分かれるわけではない。佐川急便は、自社の利用者にとっては直接の被害であり、横須賀市の寄附者にとっては委託先経由の被害である。IDCフロンティアは、利用する企業にとってはインフラの停止であり、その先の利用者にとっては委託先経由の被害でもある。

はっきりしているのは、私たちが自分で選べる相手は、情報の流れのごく一部にすぎないということである。