ネットがヤバイ(2026年10月)

最近ニュースを見ていて、思わず声が出ました。「またか」と。

ここ1〜2か月、「不正アクセスを受けました」「個人情報が漏えいした可能性があります」というお知らせを見ない日がありません。しかも、出てくるのは誰もが知っている会社やサービスばかり。今回は日記として、この秋のネットのヤバさを、自分なりにまとめておこうと思います。

※この記事の内容は2026年10月22日時点の報道をもとにしています。件数は各社の発表時点のもので、今後の調査で変わる可能性があります。

9月：知っている名前しか出てこない

9月だけでも、こんな発表が続きました。

• タイムズカー：Webシステムへの不正アクセスで、約660万件のアカウント情報が取得された。そのうち約160万件では、運転免許証などの本人確認書類の画像まで漏えいしたと発表。
• 京王電鉄：グループのサーバーがランサムウェア攻撃を受け、一部グループ会社の営業システムに障害。鉄道の運行には影響なし。
• Gyazo：約2362万件のユーザー関連データが流出。
• ムラウチドットコム：Webシステムの脆弱性を突かれ、顧客の個人情報約771万件が持ち出された。
• セイコーマート：アプリ経由で会員情報サーバーに不正アクセス。約57万アカウント分の情報が閲覧された可能性。
• デジタル庁：VPNの脆弱性を悪用されて不正アクセスを受け、職員や関係事業者の個人情報約24.6万件が漏えいした可能性。

レンタカー、電車、コンビニ、そして国の役所まで。業種も規模もバラバラです。「うちは狙われるような会社じゃない」という言い訳が、もう通用しない時代なんだなと感じます。

10月：桁がおかしい

10月に入ると、今度は件数の桁がおかしくなってきました。

• 焼肉きんぐ：公式アプリの会員管理システムに不正アクセス。約1079万件の会員情報が漏えい。
• バーガーキング：公式アプリの会員情報を管理するシステムに不正アクセス。約1118万件。
• ヤマト運輸：「クロネコ代金後払いサービス」に不正アクセス。利用者情報約526万件が持ち出された。名前や住所に加えて、何を買ったかという購入明細まで含まれている。
• ローソン：「ローソンID」に不正アクセスがあり、約215万件が対象に。
• 日本経済新聞社：開発用クラウドの認証情報を盗まれ、約183万件が漏えい（氏名や住所などを含む個人情報はそのうち約15万件）。
• infoQ（アンケートサイト）：ソフトウェアの脆弱性を突かれて約89万件の個人情報が持ち出されたうえ、ポイントが勝手にAmazonギフトコードに交換される被害も（約287万円分）。
• 銀のさら・釜寅など（ライドオンエクスプレスHD）：サーバー運営会社がランサムウェア攻撃を受け、最大約650万件が漏えいした可能性。

1000万件って、日本の人口の1割近くです。焼肉きんぐとバーガーキングのアプリ、両方入れている人もたくさんいるはず。自分の情報がどこかで流れていても、もう全然おかしくありません。

数字で見ても過去最多

体感だけじゃなく、数字でもはっきり出ています。警察庁によると、2026年上半期（1〜6月）に報告されたランサムウェアの被害は123件で、半期として過去最多。被害は35都道府県に広がっていて、そのうち79件は中小企業でした。

ランサムウェアは、会社のデータを勝手に暗号化して「元に戻してほしければ金を払え」と脅すタイプの攻撃です。最近はデータを盗んだうえで「払わなければ公開するぞ」と二重に脅すのが当たり前になっていて、たちが悪いです。

どうやって入られているのか

今回のニュースを並べてみると、侵入のパターンはだいたいこんな感じです。

• VPN機器やソフトウェアの脆弱性：更新されていない古い機器やシステムの穴を突かれる。警察庁の発表でも、ランサムウェアの侵入経路はVPN機器が最多。
• 認証情報（IDとパスワードなど）の盗難：日経の件のように、正規のログイン情報を盗まれて「本人として」入られる。
• 委託先・取引先からの侵入：会社本体ではなく、システムを任せている外部の会社が攻撃され、そこから被害が広がる。

特に怖いのが委託先経由のパターンです。利用者からすると、どれだけ気をつけていても、使っているサービスの、さらにその裏側の会社までは見えません。

国も「完全には防げない」と言い出した

こうした状況を受けて、10月9日には国家サイバー統括室が企業向けに注意喚起を出しました。Webシステムの更新や多要素認証の導入、委託先の管理、不要なデータの削除などを求める内容です。

その中に、「侵入を完全に防ぐことは困難」という一文があります。国がここまで言うほど、今のネットは「入られる前提」で考えないといけない状況なんですね。

他人事じゃない：うちのブログも昔やられた

実はこれ、自分にとっても他人事ではありません。昔運営していたWordPressのブログが乗っ取られたことがあるんです。

ある日から、サイトを開くとランダムで「許可をクリックしてロボットでないことを確認してください」という偽のページが表示されるようになりました。見た目はよくある認証画面ですが、実際は「許可」を押させてブラウザの通知を送りつけるための詐欺ページです。しかも管理者の自分には表示されにくく、気づいたときには手遅れでした。

大企業でもこれだけやられているので、個人のブログなんて、ひとたまりもありません。今のブログでは、WordPressやプラグインの更新、パスワードの見直しなど、できることはやるようにしています。

そして昨日、PHPに緊急の脆弱性

そんなことを考えていた矢先、昨日（10月21日）には、PHP本体に2件の重大な脆弱性が見つかったというニュースが飛び込んできました。CVE-2026-109618とCVE-2026-109619で、「php2shell」とも呼ばれています。深刻度はどちらもCVSS v4.0で9.2の「緊急（Critical）」です。

PHPは、WordPressをはじめ、世界中のWebサイトの裏側で動いているプログラミング言語です。このブログもPHPで動いています。今回の脆弱性は、ログインしなくても外部から勝手にプログラムを実行される（リモートコード実行）おそれがあるもので、PHP 5.4から8.5.11まで、かなり古いバージョンから最新版まで影響を受けると報じられています。

修正版（8.5.12、8.4.27、8.3.36、8.2.35）は日本時間の21日23時ごろに公開されました。それに先立って、BASE、pixiv、DMM.com、niconicoなど国内の大手サービスが、念のため緊急メンテナンスやサービスの一時停止に踏み切っています。PHPひとつで、これだけのサービスが一斉に止まるのを見ると、ネットがいかに同じ土台の上に成り立っているかを思い知らされます。

個人でWordPressをやっている人も他人事ではありません。レンタルサーバーの場合、PHPそのものの更新はサーバー会社がやってくれることが多いですが、どのバージョンのPHPを使うかは自分で選んでいることがほとんどです。修正版が出ているのは8.2以降だけなので、古いPHPのまま放置しているサイトは要注意です。

自分でできること

サービス側から漏れてしまうのは、正直どうしようもありません。でも、漏れたときの被害を小さくすることはできます。

• パスワードを使い回さない：1か所から漏れたパスワードで、ほかのサービスにも入られるのを防ぐ。覚えきれないなら、パスワード管理アプリに任せる。
• 2段階認証をオンにする：パスワードが漏れても、それだけではログインされないようにする。
• 使っていないアプリのアカウントは削除する：アンインストールしただけでは、会員情報はサービス側に残ったまま。
• 「流出のお詫び」を装った連絡を疑う：漏えいのニュースに便乗した詐欺メールやSMSが出回る。本物の名前や住所、購入履歴が書かれていても信用しない。

まとめ：ネットは本当にヤバい

まとめてみて改めて思いましたが、ネットは本当にヤバいです。毎日使っているアプリやサービスから、名前も住所も、何を買ったかも、免許証の画像まで漏れていく。それが特別な事件ではなく、毎週のように起きています。

だからといってネットを使わずに生きるのは無理なので、「自分の情報はいつか漏れるもの」と思って備えておくしかありません。とりあえず今日は、使っていないアプリのアカウントを消すところから始めようと思います。

参考にした記事

• 2026年9月のサイバー攻撃・不正アクセスまとめ（マイナビニュース）
• 止まらない不正アクセス、広がる情報漏えい（キーマンズネット）
• ヤマト運輸「クロネコ代金後払い」不正アクセスの調査結果（INTERNET Watch）
• ランサムウェア被害は過去最多 警察庁が明かした2026年上半期の異変（@IT）
• 国家サイバー統括室、不正アクセスによる情報漏えい相次ぎ注意喚起（Japan Security Summit Update）
• PHPに「緊急」レベルの脆弱性2件 修正版を日本時間21日深夜に公開へ（ITmedia NEWS）
• 国内大手サービスで緊急メンテやサービス停止 PHP脆弱性で対策（Impress Watch）
• Today’s PHP Security Release（The PHP Foundation・英語）