企業のセキュリティ事案・続報一覧
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-27
日本企業を中心に海外の重要事例を含む10社の公表情報。最新の原文公表日順に、影響した情報・システム・業務、企業ごとの続報、一次資料で確認できる供給網の依存関係を読めます。
原文確認日：2026-10-27。この確認日は、事案の発生日や原文の公表日ではありません。
日本企業を中心に、海外の重要事例も収録。公式発表を確認できた範囲であり、すべての事案・続報を網羅する一覧ではありません。
公表日と確認日を区別。状態は各公表時点の説明で、現況の実測ではありません。サービス提供元と利用企業の人数を合算しません。
企業は掲載中の最新の原文公表日順です。各社の報告は古い公表日から順に表示します。「掲載報告」はこの一覧内の順番で、企業が付けた第1報・第2報ではありません。原文に報告番号がある場合は、その表記を使用します。
影響は報告時点の「確認済み」「可能性」「未確認」を分けて表示します。過去の報告と続報で内容が変わる場合があります。
企業一覧
- ユミルリンク — 最新の原文公表 2026-10-26 / 日本 / メール配信
- Helpfeel / Gyazo — 最新の原文公表 2026-10-21 / 日本 / 画像共有
- コミューン — 最新の原文公表 2026-10-21 / 日本 / コミュニティ基盤
- NEC — 最新の原文公表 2026-10-20 / 日本 / システム開発・保守
- MIXI / コトポータル — 最新の原文公表 2026-10-14 / 日本 / ゲーム・コミュニティ
- ユニリタ — 最新の原文公表 2026-10-14 / 日本 / ソフトウェア
- freee / ソダテルコミュニティ — 最新の原文公表 2026-10-13 / 日本 / 利用者コミュニティ
- Checkmarx — 最新の原文公表 2026-07-06 / 海外 / 開発・セキュリティ
- OpenAI — 最新の原文公表 2026-04-10 / 米国 / AI・ソフトウェア
- PagerDuty — 最新の原文公表 2025-09-04 / 米国 / IT運用
ユミルリンク
日本 / メール配信 / 最新の原文公表：2026-10-26
Cuenote FCの49システムでメールアドレス等の出力痕跡を確認。対象範囲の調査を継続。
自社で確認すること：利用企業は個別連絡で対象環境と登録データを確認。件数は延べ件数として読む。
第一報｜2026-10-19｜メール配信基盤への不正アクセスを公表
原文公表：2026-10-19 / 原文発行：ユミルリンク
10月16日に異常を検知。メール配信サービスの5システムでデータ出力を確認し、サーバー隔離や脆弱性修正を実施。初期試算の延べ約900万件は、その後の調査で更新された。
- 情報・データ / 確認済み：個人情報の外部持ち出し
- 認証情報 / 確認済み：サービス担当者の認証情報取得
第二報｜2026-10-26｜Cuenote FCの49システムに出力痕跡
原文公表：2026-10-26 / 原文発行：ユミルリンク
漏えいのおそれがある情報を延べ51,628,280件と報告。16システムの件数は調査中で、実人数・最終件数ではない。予防停止した他システムは10月20日から順次再開。
- 情報・データ / 確認済み：49システムでデータ出力痕跡
- 情報・データ / 可能性：延べ51,628,280件が漏えいのおそれ
- 業務・サービス / 確認済み：予防停止した他システムを順次再開
Helpfeel / Gyazo
日本 / 画像共有 / 最新の原文公表：2026-10-21
Gyazoのユーザー情報・画像メタデータが流出。一部の画像取得も確認。9月27日にサービス再開。
自社で確認すること：画像所有者は過去画像の公開状態を確認。アカウント記録数と画像ファイル数を混同しない。
掲載報告 1｜2026-09-16｜ユーザー情報と画像メタデータの漏えいを公表
原文公表：2026-09-16 / 原文発行：Helpfeel
9月11日の不正アクセスで画像処理サーバーからデータベースへのアクセスが発生。認証関連情報の流出も確認したが、項目・範囲は利用者ごとに異なる。侵入経路遮断、修正、認証情報の無効化等を実施。
- 情報・データ / 確認済み：ユーザー情報・画像メタデータ
- 認証情報 / 確認済み：パスワードハッシュ・セッションIDの流出
第二報｜2026-09-25｜削除済み画像のメタデータも対象と判明
原文公表：2026-09-25 / 原文発行：Helpfeel
削除済み画像に関するメタデータの流出を追加確認。メタデータの件数は画像ファイル本体の流出件数を示すものではない。ユーザー情報の内訳も更新。
- 情報・データ / 確認済み：削除済み画像のメタデータ
第三報｜2026-10-21｜調査結果を公表、一部の画像取得も確認
原文公表：2026-10-21 / 原文発行：Helpfeel
自社の画像変換処理に起因すると説明。追加調査で133ユーザーの432画像ファイルの閲覧・取得を確認。9月27日に再開済み。第三者部品・委託先に起因するサプライチェーン攻撃ではないと明記。
- 情報・データ / 確認済み：一部画像ファイルの閲覧・取得
- 業務・サービス / 確認済み：9月27日にサービス再開
コミューン
日本 / コミュニティ基盤 / 最新の原文公表：2026-10-21
Commune・Commune for Workで会員情報が漏えい。利用企業によってデータ被害と停止の状況が異なる。
自社で確認すること：利用中のコミュニティの運営企業による個別告知も確認する。
掲載報告 1｜2026-10-09｜会員情報の漏えいと全コミュニティ停止を公表
原文公表：2026-10-09 / 原文発行：コミューン
10月5〜7日の不正アクセスで一部の会員情報が漏えい。10月6日に全コミュニティを停止し対処。利用企業側の設定・運用が原因ではないと説明。初期の最大推計は後日の調査で改定された。
- 情報・データ / 確認済み：一部コミュニティの会員情報
- 業務・サービス / 確認済み：全コミュニティを一時停止
掲載報告 2｜2026-10-21｜対象範囲を更新、機能制限付きで順次再開
原文公表：2026-10-21 / 原文発行：コミューン
対象は会員IDで数えた延べ166,505件。複数コミュニティ参加者の重複を含む。メールアドレスを含む対象は125,601件。10月16日から希望企業の一部コミュニティを機能制限付きで再開。
- 情報・データ / 確認済み：延べ166,505会員IDが対象
- 業務・サービス / 確認済み：機能制限付きで順次再開
NEC
日本 / システム開発・保守 / 最新の原文公表：2026-10-20
9月下旬の委託先端末への不正アクセスを起点に、顧客システムの暗号化・利用不能と共有クラウド内の情報漏えいが発生。
自社で確認すること：該当顧客への個別連絡を確認。委託先名や顧客名は公表されていない。
掲載報告 1｜2026-10-20｜委託先から顧客環境への影響を公表
原文公表：2026-10-20 / 原文発行：NEC
9月下旬、委託先端末を経由して正規アカウントが悪用され、複数顧客のサーバーファイルが暗号化。共有クラウドから顧客の個人情報やシステム関連情報を含むファイルも漏えい。詳細範囲は調査中。
- 認証情報 / 確認済み：正規アカウントの悪用
- システム / 確認済み：顧客サーバーのファイル暗号化
- 業務・サービス / 確認済み：各種システムの利用不能
- 情報・データ / 確認済み：共有クラウド内のファイル漏えい
MIXI / コトポータル
日本 / ゲーム・コミュニティ / 最新の原文公表：2026-10-14
10月14日公表時点で、Communeを使うコトポータルの会員情報に閲覧・取得の可能性。ゲーム本編のアカウント・支払いには影響なしと説明。
自社で確認すること：対象者への個別連絡を確認し、公式コミュニティとゲーム本編の影響範囲を分ける。
掲載報告 1｜2026-10-14｜公式コミュニティの会員情報に漏えいの可能性
原文公表：2026-10-14 / 原文発行：MIXI
対象は750会員で、うち749会員はメールアドレスを含む情報。10月14日時点でコトポータルは停止。ゲーム本編・支払い情報は別システムで管理され、影響はないと説明。
- 情報・データ / 可能性：750会員の情報が閲覧・取得された可能性
- 業務・サービス / 確認済み：公式コミュニティの停止
ユニリタ
日本 / ソフトウェア / 最新の原文公表：2026-10-14
社内の文書管理システムから契約書・顧客の認証情報などが流出。10月14日に公開された情報に自社データが含まれると確認。
自社で確認すること：顧客は個別通知の対象データと対応内容を確認する。業務停止の有無と漏えいを別に読む。
第１報｜2026-09-29｜社内文書管理システムへの不正アクセスを公表
原文公表：2026-09-29 / 原文発行：ユニリタ
9月28日に情報窃取を主張するWeb上の情報を確認。その後、特定の社内文書管理システムで不正アクセスとデータ窃取を確認。公表時点で業務障害は確認されていない。
- 情報・データ / 確認済み：社内文書管理システムのデータ窃取
- 業務・サービス / 未確認：公表時点で業務障害は確認せず
掲載報告 2｜2026-10-09｜契約書やシステム認証情報などの漏えいを確認
原文公表：2026-10-09 / 原文発行：ユニリタ
特定のSaaS型文書管理システムに被害を確認。契約書、顧客の認証情報、関係者の個人情報などが対象。顧客に個別通知を進め、10月9日時点で業務への支障はないと説明。
- 情報・データ / 確認済み：契約書・個人情報など
- 認証情報 / 確認済み：顧客・社内のシステム認証情報
第３報｜2026-10-14｜公開された情報に自社データが含まれると確認
原文公表：2026-10-14 / 原文発行：ユニリタ
10月12日に攻撃者側の公開を把握し、10月14日に自社の情報が含まれると確認。流出ファイルを特定し、内容の分析と影響する顧客・関係者への通知を進める。
- 情報・データ / 確認済み：流出した自社情報の外部公開
freee / ソダテルコミュニティ
日本 / 利用者コミュニティ / 最新の原文公表：2026-10-13
Communeのメンテナンスに伴いコミュニティが停止。10月13日時点で登録情報の漏えい・不正利用は確認されていない。
自社で確認すること：コミュニティの再開案内を確認する。freee会計など他サービスの侵害と混同しない。
掲載報告 1｜2026-10-13｜基盤提供元の対応に伴うコミュニティ停止
原文公表：2026-10-13 / 原文発行：freee
Communeを使うソダテルコミュニティがサービス停止。10月13日時点で登録情報の漏えい・不正利用は確認されていないとの報告を受領。安全性を確認したうえで再開する方針。
- 業務・サービス / 確認済み：ソダテルコミュニティの停止
- 情報・データ / 未確認：10月13日時点で漏えい・不正利用の確認なし
Checkmarx
海外 / 開発・セキュリティ / 最新の原文公表：2026-07-06
Trivy経由の侵入から開発者向け配布物が改ざん。7月6日に調査・封じ込め完了を公表。本番AWSとCheckmarx One SaaSは影響なし。
自社で確認すること：利用した拡張・Actions・コンテナ・Jenkinsプラグインの版と実行時刻を公式一覧で確認する。
掲載報告 1｜2026-03-23｜開発者向け配布物の改ざんを公表
原文公表：2026-03-23 / 原文発行：Checkmarx
OpenVSXの拡張とGitHub Actionsへの悪意あるコード混入を報告。
- システム / 確認済み：開発者向け配布物の改ざん
掲載報告 2｜2026-04-22｜配布物への再度の改ざんを報告
原文公表：2026-04-22 / 原文発行：Checkmarx
KICSコンテナ、拡張、GitHub Actionで新たな影響対象を公表。
- システム / 確認済み：追加の配布物改ざん
掲載報告 3｜2026-07-06｜調査・封じ込め完了
原文公表：2026-07-06 / 原文発行：Checkmarx
GitHub環境等の侵害を確認。本番AWSへの影響とSaaSへの不正アクセスはなかった。
- システム / 確認済み：GitHub環境・一部端末
OpenAI
米国 / AI・ソフトウェア / 最新の原文公表：2026-04-10
macOS署名工程で悪意あるAxiosを実行。利用者データ・配布アプリの侵害証拠はなく、証明書を予防的に交換。
自社で確認すること：macOSアプリは公式の更新機能で最新版へ。今回の件でパスワードやAPIキーの変更は不要と公表。
掲載報告 1｜2026-04-10｜署名工程への悪意ある依存パッケージ混入を公表
原文公表：2026-04-10 / 原文発行：OpenAI
3月31日UTCにAxios 1.14.1を取得・実行。証明書の窃取成功は可能性が低いとの分析。利用者データや配布アプリへの侵害証拠なし。
- システム / 確認済み：macOS署名workflowで悪意ある版を実行
- 認証情報 / 可能性：署名証明書は予防的に交換
PagerDuty
米国 / IT運用 / 最新の原文公表：2025-09-04
Salesloft Driftとの連携を通じ、Salesforce内の問い合わせ情報に不正アクセス。9月4日の続報時点でPagerDuty本体への不正アクセス証拠なし。
自社で確認すること：サポートに共有したAPIキー等を確認し、該当する認証情報の失効・再発行を検討する。
掲載報告 1｜2025-08-29｜Salesforceデータへのアクセス可能性を公表
原文公表：2025-08-29 / 原文発行：PagerDuty
Drift連携を停止。調査中として顧客連絡先への影響可能性を説明。
- 情報・データ / 可能性：Salesforceの顧客情報
掲載報告 2｜2025-09-04｜問い合わせ情報へのアクセスを確認
原文公表：2025-09-04 / 原文発行：PagerDuty
一部の問い合わせに含まれたAPIキーを失効。PagerDuty本体への不正アクセス証拠なし。
- 情報・データ / 確認済み：顧客連絡先・サポートケース
- 認証情報 / 確認済み：一部ケースに含まれたAPIキー
供給網の依存関係
依存関係は一次資料で公表された範囲だけを掲載します。製品の利用や取引関係だけで侵害を推定しません。ある企業の侵害が、関連する全企業・全顧客の侵害を意味するものではありません。
NECの委託先（社名非公表） / NEC顧客のシステム（社名非公表）
関係：委託先アクセス / 関連先への影響：確認済み / 原文公表：2026-10-20
委託先端末から正規アカウントを使う不正アクセスが発生。顧客サーバーのファイル暗号化と利用不能を確認。社名は非公表。
NECの委託先（社名非公表） / 顧客・NEC・委託先の共有クラウド
関係：共有クラウド / 関連先への影響：確認済み / 原文公表：2026-10-20
顧客・NEC・委託先で使う共有クラウドに漏えいが発生。個人情報・システム関連情報を含む。詳細な対象範囲は調査中。
コミューン / MIXI / コトポータル
関係：コミュニティ基盤 / 関連先への影響：未確認 / 原文公表：2026-10-14
基盤利用とコミュニティ停止は確認済み。MIXIは750会員の情報が閲覧・取得された可能性と公表しており、漏えい確定として表示しない。
コミューン / freee / ソダテルコミュニティ
関係：サービス停止への波及 / 関連先への影響：確認済み / 原文公表：2026-10-13
Communeのメンテナンスに伴うコミュニティ停止を確認。登録情報の漏えい・不正利用は10月13日時点で確認されていない。停止への波及を示す関係。
Trivy / Aqua Security / Checkmarx
関係：ソフトウェア依存 / 関連先への影響：確認済み / 原文公表：2026-07-06
Trivyの攻撃が侵入経路だったとCheckmarxが確認。全顧客の侵害を意味しない。
Axios / OpenAI
関係：開発工程の依存 / 関連先への影響：確認済み / 原文公表：2026-04-10
macOS署名workflowで悪意ある版の実行を確認。利用者データ・配布アプリの侵害証拠なし。
Salesloft Drift / PagerDuty
関係：SaaS OAuth連携 / 関連先への影響：確認済み / 原文公表：2025-09-04
Drift連携を通じたSalesforce内データへのアクセスを確認。PagerDuty本体の侵害を示す関係ではない。