2026年9月から10月にかけて、不正アクセスによる個人情報漏洩の公表が相次ぎました。対象件数が1,000万件を超える事案だけでも、Gyazo、ショップサーブ、ソースネクスト、skyticket、バーガーキング、焼肉きんぐと続き、「とにかく対策を急げ」という空気が広がっています。
しかし、2025年秋のアサヒグループホールディングスやアスクル、2026年7月のニチレイのように、ランサムウェアで業務そのものが止まった事案と比べると、業務が止まらない「漏洩型」の事案は、件数の大きさに比べてビジネスへの目に見えるダメージが限定的です。一方で、漏れた情報の「重さ」によっては、漏洩型でも深刻な影響が出ています。
この記事では、サイバーセキュリティ総研（CSRI）の立場から、2026年秋の主な事案を一覧で整理し、株価の動きも手がかりに、企業がどこから優先して対策すべきかを考えます（2026年10月20日時点の情報に基づきます）。
「件数」ではなく2つの軸で見る
情報セキュリティ事故の影響を考えるとき、漏れた件数の多さはわかりやすい指標ですが、それだけでは被害の大きさを測れません。CSRIでは、次の2つの軸で整理することを勧めています。
- 業務が止まるか：受注・出荷・決済・生産などの業務が止まると、売上の損失がそのまま数字に表れます。
- 漏れた情報が「重い」か：本人確認書類の画像、カード情報の全項目、元に戻せる形のパスワード、口座情報などは、なりすましや金銭被害に直結します。氏名・メールアドレス・電話番号が中心の漏洩とは性質が異なります。
今秋の漏洩の多くは「業務は止まらない・情報は比較的軽い」に当たります。影響が大きくなるのは、業務が止まる場合か、重い情報が漏れた場合です。
主な情報漏洩事件（2026年9〜10月）
| 公表 | 企業・サービス | 規模（公表値） | 主な漏れた情報 | 情報の重さ |
|---|---|---|---|---|
| 9月16日〜 | Gyazo（Helpfeel） | ユーザー情報 約2,362万件 | メールアドレス、パスワードのハッシュ値、画像のメタデータなど | 中（決済情報は対象外） |
| 9月28日 | タイムズカー（パーク24） | 約660万アカウント | 氏名・住所など。うち約160万件で運転免許証などの本人確認書類の画像 | 重い |
| 10月5日 | 焼肉きんぐ（物語コーポレーション） | 1,078万8,963件 | 会員番号、アプリ登録名、メールアドレス、電話番号 | 軽い（パスワード・決済情報は対象外） |
| 10月8日 | ローソンID（ローソン） | 215万5,345件 | 氏名、メールアドレスなど | 軽い |
| 9月15日（第2報） | ムラウチドットコム | 771万6,811件 | 氏名、住所、電話番号、メールアドレス、生年月日、性別 | 軽い〜中（決済情報・パスワードは対象外） |
| 10月9日・16日 | skyticket（アドベンチャー） | 約1,464万件 | 氏名、住所、ハッシュ化パスワード、返金先口座など。第2報で最大6,140名分のカード情報 | 中〜重い |
| 10月9日・13日 | ブックオフ | 会員データ642万7,735件（638万3,279人） | 氏名、住所、電話番号、ハッシュ化パスワードなど | 軽い〜中（カード情報は対象外） |
| 10月15日 | バーガーキング（ビーケー・ジャパン） | 約1,118万件 | 氏名、電話番号、メールアドレス、生年月日など | 軽い（カード番号は対象外） |
| 10月15日 | ソースネクスト | 最大約2,252万件 | 氏名、住所、復号された状態のパスワードなど | 重い |
| 10月16日 | ショップサーブ（Eストアー） | 約2,335万6,000人・7,858店舗 | 購入者・会員情報、カード番号の一部と有効期限など | 中（完全なカード番号は対象外） |
| 10月16日 | ヤマト運輸 | 約531万件 | 後払いサービスの購入者・届け先情報 | 軽い〜中 |
※「情報の重さ」はCSRIによる目安です。件数は各社の公表値で、人数と件数（会員データ数）が混在しています。このほか、ミスターマックス、第一興商、ディップ「バイトル」など、数十万〜数百万件規模の事案も多数公表されています。
株価に表れた反応
市場がこれらの事案をどう受け止めたかを見るため、上場企業5社について、公表日の前営業日の終値を基準に、その後の株価の動きを日経平均と比べました。
| 企業（事案） | 公表日 | 3営業日後 | 10月20日時点 | 日経平均との差（10月20日時点） |
|---|---|---|---|---|
| パーク24（タイムズカー） | 9月28日 | -7.4% | -10.5%（期間中の最安は-14.2%） | -6.9ポイント |
| 物語コーポレーション（焼肉きんぐ） | 10月5日 | -2.0% | +10.2% | +16.5ポイント |
| ブックオフGHD | 10月9日 | -4.1% | -7.1% | +0.2ポイント |
| アドベンチャー（skyticket） | 10月9日 | +0.5% | +0.7% | +8.0ポイント |
| ソースネクスト | 10月15日 | -0.9% | -1.9% | +3.7ポイント |
※終値ベース。公表の時刻（取引時間中か引け後か）によって反応が出る日はずれます。期間は最長でも約3週間と短く、株価は事案以外の要因でも動くため、因果関係を示すものではありません。
公表直後に下げた銘柄はありますが、多くは日経平均と比べて同程度か、むしろ上回っています。その中でパーク24だけは、公表から3週間たっても日経平均を大きく下回ったままです。漏れた情報の「重さ」が、市場の評価にも表れている可能性があります。
例外：タイムズカー（パーク24）
パーク24は9月28日、子会社のタイムズモビリティへの不正アクセスを公表しました。対象は約660万アカウントで、このうち約160万件で、運転免許証の画像などの本人確認書類が漏えいしました。住民票の写しや公共料金の請求書の画像も含まれ、過去7年間に退会した会員の情報も対象になっていたと報じられています。
本人確認書類は、銀行口座の開設やクレジットカードの発行などに悪用されるおそれがあり、パスワードのように「変更すれば済む」ものではありません。報道によると、集団訴訟を呼びかける弁護士のサイトには、10月2日夜までに1万5千人以上が登録しました。
この事案が示すのは、件数が比較的少なくても、漏れた情報が重ければ、訴訟・批判・株価の下落という形でダメージが長引くということです。「不要になったデータを保持し続けていた」こと自体が、被害を大きくしました。
ランサムウェア（業務停止型）との比較
| 類型 | 代表例 | 主な影響 | ダメージの表れ方 |
|---|---|---|---|
| 業務停止型 | アサヒGHD（2025年9月）、アスクル（2025年10月）、ニチレイ（2026年7月） | 出荷・受注・物流の停止。取引先や消費者にも波及 | 決算の数字に残り、長期的に参照される |
| 漏洩型（通常） | 焼肉きんぐ、ブックオフ、バーガーキングなど | 業務は継続。株価の反応は一時的なことが多い | 件数が大きくても、個別の影響は薄れやすい |
| 漏洩型（重い情報） | タイムズカー | 集団訴訟の動き、強い批判、株価の低迷 | 情報の中身が重い場合に長期化 |
業務停止型のダメージは桁が違います。報道によると、アサヒグループHDは攻撃から全品の出荷再開まで約半年を要し、2025年12月期の営業利益への影響は400億円弱と見積もられています。アスクルは2026年5月期に売上高が前期比16.8%減、営業損益が174億円余りの赤字に転落しました。ニチレイでは低温物流が約10日間滞り、日本ケンタッキー・フライド・チキンの品切れや学校給食にまで影響が及びました。
それでも漏洩型を軽く見てはいけない理由
「漏洩型はダメージが限定的」というのは、あくまで売上や株価といった目に見える指標の話です。現場では、次のような見えにくいコストが確実に発生しています。
- 事故対応の費用：外部専門家による調査、対象者への通知、コールセンターの設置、お詫び、再発防止策などの費用です。IBMの「Cost of a Data Breach Report 2025」では、日本の1件あたりの平均コストは約5億5,000万円とされています。
- 法令上の報告義務：2022年4月施行の改正個人情報保護法により、不正アクセスによる漏えい（またはそのおそれ）は、個人情報保護委員会への報告と本人への通知が義務になりました。速報はおおむね3〜5日以内、確報は原則30日以内（不正目的の場合は60日以内）に求められ、対応する人手と時間がかかります。
- 二次被害は後からやってくる：漏れた連絡先を使ったフィッシングや、パスワードの使い回しを狙った不正ログインは、数か月遅れて表面化します。skyticketのように、第2報で被害の範囲が広がり、訂正に追い込まれる例もあります。
- 業務停止型との境界はあいまい：データを盗んだうえで暗号化する「二重恐喝型」のランサムウェアでは、業務停止と漏洩が同時に起こります。警視庁の発表では、都内のランサムウェア被害の約9割が二重恐喝型でした。今秋も、小池酸素工業やREXT、京王電鉄グループの事案で、盗まれたとみられる情報の公開が確認されたり、攻撃者が公開を主張したりしています。
企業が優先すべきこと
件数の多さに反応して「すべてを一度に」進めようとすると、限られた予算と人手が分散します。CSRIでは、次の順で見直すことを勧めています。
- 業務を止めない備え：VPN装置など外部に公開した機器の脆弱性対策と多要素認証、バックアップをネットワークから切り離した保管と復元テスト。業務停止型の被害の多くは、ここが入口と最後の砦になります。
- 重い情報を「持たない・残さない」：本人確認書類の画像、カード情報、口座情報を、本当に保存する必要があるかを見直します。退会者のデータや、決済完了前の一時データ、ログに残った個人情報も点検の対象です。
- 持つなら守り方を変える：パスワードは元に戻せない方式（ハッシュ化）で保存し、暗号化した情報は、鍵を同じ場所に置かないようにします。
- 漏れた後の手順を決めておく：個人情報保護委員会への報告、本人への通知、問い合わせ窓口の設置を、誰が・いつまでに行うかを事前に決めておきます。
対策の全体像は「情報漏洩ラッシュで企業が今すぐ見直すべき7つのセキュリティ対策」、委託先を経由した漏洩の構造は「一つの侵入が何十社にも波及する――サプライチェーン経由の情報漏洩が急増する理由」でも解説しています。
よくある質問
Q. 件数が少なければ、漏洩の影響は小さいと考えてよいですか？
いいえ。影響を左右するのは件数より「漏れた情報の重さ」です。タイムズカーの本人確認書類のように、悪用されると取り返しがつかない情報は、件数が少なくても重大な被害につながります。
Q. 業務が止まらなければ、漏洩の対応コストは小さいのですか？
売上への直接の影響は小さくても、調査・通知・問い合わせ対応・法令上の報告などの費用と人手は必ずかかります。中小企業にとっては、こうした対応だけでも大きな負担になり得ます。
Q. 中小企業はまず何から手を付けるべきですか？
外部に公開している機器やサービスの棚卸しと多要素認証、そして「保存する必要のない重い情報を消す」ことです。どちらも大きな費用をかけずに始められ、業務停止と重い情報の漏洩という、影響の大きい2つのリスクを同時に下げられます。
まとめ
2026年秋の情報漏洩ラッシュは、件数としては過去に例がない規模でした。しかし、業務停止型のランサムウェアと比べると、目に見えるビジネスへの影響は全体として限定的で、株価の反応もタイムズカーを除けば一時的でした。
重要なのは、件数の多さに振り回されることではなく、「業務が止まるか」「重い情報を持っているか」という2つの軸で自社のリスクを見直すことです。そのうえで、見えにくい対応コストと二次被害に備えた手順を整えておくことが、次の事故への最も現実的な備えになります。
参照：各社の公表資料、ScanNetSecurity（タイムズカー）、ビジネス+IT（焼肉きんぐ）、@IT（ローソンID）、ScanNetSecurity（ムラウチドットコム）、セキュリティ対策Lab（アサヒGHDの業績影響）、共同通信（ニチレイ）、ScanNetSecurity（警視庁 ランサムウェア被害）。株価はYahoo!ファイナンスの終値をもとにCSRIが算出。