日本企業への不正アクセスが相次ぐ──一つの侵害が事業全体に広がる理由

10月19日、エイチ・ツー・オー リテイリングは、阪急阪神百貨店の予約サイトを介した顧客管理システムへの不正アクセスにより、H2O ID約126万件の個人情報の一部が漏えいしたと公表しました。関連する3サービスが停止され、パスワード漏えいは公表時点で確認されていません [1]。

10月15日には、バーガーキングの公式アプリ会員情報約1,118万件の漏えいが発表されました。対象には会員IDや連絡先情報などが含まれ、クレジットカード番号は同社で保有しておらず、ログインパスワードの漏えいも確認されていません [2]。

日本経済新聞社は10月16日、開発用クラウド環境への不正アクセスで約183万件の情報が漏えいしたと公表しました。そのうち氏名やメールアドレスなどの個人情報を含むものは約15万件で、残る約168万件は単独では個人を特定できない識別子です。アクセスに使う認証情報が盗まれたとされています [3]。件数の定義が異なるため、単純な「被害人数」の合計はできません。

ゲオとセカンドストリートを展開するセカンドリテイリングは、不正アクセスへの対応として、アプリやオンラインサービスなどを停止しました。10月19日時点の発表では個人情報などの外部流出を確認していない一方、安全を確認するためサービスの停止が続いています [4]。

ECが止まれば販売機会が失われ、会員アプリが使えなければ顧客体験に影響します。調査・復旧・問い合わせ対応にも時間と費用がかかります。

サイバーセキュリティは、情報を守るだけでなく、事業を止めずに回復させるための経営課題でもあります。

Web制作プラットフォームのStudioは10月16日、機能の脆弱性を悪用したクラウド環境への不正アクセスを公表しました。アカウント情報やCMS、フォームの内容に加え、外部サービスと接続するAPIキーやトークンなども流出した可能性があります [5]。

注目すべきは、暗号化して保存していた一部の情報についても、復号に必要な鍵が同じ侵害で読み出された可能性がある点です。Studioは実際に第三者が取得した事実までは確認できていませんが、取得されたとみなして対応しています。暗号化が無意味なのではなく、鍵とアクセス権限の管理が重要なのです。

10月19日には、Studioを利用するクラウドワークスも一部サービスの情報に影響が及んだ可能性を公表しました。実際の取得は確認されていません [6]。自社が直接攻撃されなくても、委託先やSaaSの事故に対応が必要になることがあります。

TrendAIの集計では、2026年9月に日本で公表されたサイバーセキュリティ事案は86件で、8月から約18％増加しました [7]。これは公開事案の集計であり、実際の攻撃総数ではありません。

ロイター通信は10月19日、海外でAIエージェントを利用してWebサイトへの攻撃を自動化した事例を報じました [8]。AIが攻撃準備や試行のコストを下げる可能性はありますが、阪急阪神、バーガーキング、日経、Studioの各事案でAIが使われたと確認されたわけではありません。

別々の事案を同じ攻撃グループの犯行と断定したり、AIを直接の原因と決めつけたりすることは避けるべきです。

すべてを一度に強化するのは現実的ではありません。まずは重要なデータと依存先を把握し、被害の広がりを抑える準備を整えたいところです。

• 顧客データがどこにあり、どのSaaS・APIにつながっているかを把握する。
• 不要な管理者権限やアカウントを減らし、多要素認証を適用する。
• APIキー、トークン、暗号鍵を適切に保管し、速やかに無効化・更新できるようにする。
• 外部サービスの事故連絡、データ管理責任、接続停止手順を確認する。
• 停止を前提に、復旧の優先順位、代替業務、顧客への連絡を定める。

デジタル化によって、予約、決済、会員管理、営業、外部サービスは便利につながりました。その一方、一つの障害や侵害が想定外の範囲に広がる可能性も高まります。

大切なのは「絶対に侵入されない」と考えることではありません。異常を早く知り、影響を閉じ込め、事業を立て直せるか。その準備はIT部門だけでなく、事業部門と経営層にも求められています。