個人情報流出、最も危険だった企業は？直近3か月の重大事件TOP30

Updated 2026/10/23

何が起きた？

2026年8月から10月にかけて、日本の企業やサービスで大規模な個人情報流出が相次いでいる。

旅行予約サイト、飲食店の公式アプリ、通販サイト、カーシェアリングサービスなど、日常的に利用されているサービスも被害を受けた。

なかには2,000万件を超える情報が流出した事件や、運転免許証の画像、クレジットカード情報、健康状態に関する記録が流出した事件もある。

しかし、ニュースで報じられる「○○万件が流出」という数字だけでは、本当に危険な事件がどれなのか分かりにくい。

そこで、2026年8月1日から10月22日までに公表された情報流出事件と、その期間に重大な調査結果が発表された事件を対象に、特に注意すべき30件を独自にランキングした。

簡単にいうと

個人情報の流出は、人数が多いほど危険とは限らない。

例えば、メールアドレスが100万件流出した場合と、運転免許証の画像が10万件流出した場合では、後者の方が深刻な被害につながる可能性もある。

メールアドレスは変更できるが、生年月日や顔写真、過去の住所などは簡単に変更できないためである。

今回のランキングでは、次の4項目を重視した。

評価項目	重要度
漏れた情報の危険性	40％
流出規模	30％
実際に流出したことの確実性	20％
不正利用など二次被害の確認状況	10％

これは公的機関の認定順位ではなく、公表された情報をもとにした独自の危険度評価である。

また、「実際に流出した情報」と「流出した可能性がある情報」は区別して扱う。人数・件数・アカウント数・記録数も同じものではない。

今回の順位は、被害金額や企業の法的責任を確定するものではなく、利用者への影響の大きさを比較したものである。

第30位〜第21位：情報流出の可能性がある事件から、大規模な漏えい事件まで

第30位｜さくらインターネット：最大約136万アカウント

2026年9月の発表では、顧客の契約者情報など約136万アカウント分が不正アクセスの影響を受けた可能性があるとされた。

対象規模は大きいが、調査時点では外部への情報持ち出しを裏付ける明確な証拠が確認されていない。流出が確定している事件より低く評価した。

第29位｜ディップ「バイトル」：最大388万5,771件

10月9日、求人サービス「バイトル」「バイトルNEXT」で、会員のメールアドレスが一部漏えいしたと発表された。

対象は最大約389万件に及ぶが、氏名、電話番号、パスワード、クレジットカード情報は含まれていない。規模は大きくても、漏れた情報の種類が限定されているため、この順位とした。

第28位｜アルカディア「SpeeCAN RAIDEN」：最大約314万件

10月、自治体などで利用されるメール配信システム「SpeeCAN RAIDEN」への不正アクセスが判明した。

メールアドレスを中心に大量の情報が漏えいした可能性があり、一部の関連サービスも調査対象となった。ただし、実際に流出した件数が確定していないため、上位には置かなかった。

第27位｜第一興商：約872万件

カラオケ事業などを展開する第一興商は、委託先で利用されていた端末への不正アクセスにより、大量の顧客・従業員情報に影響が及ぶ可能性を公表した。

対象規模は非常に大きい一方、情報が実際に外部へ持ち出されたことまでは確認されていない。最大対象数だけで危険度を判断しない例である。

第26位｜MrMax：最大173万5,154人

10月6日、ディスカウントストア「MrMax」の公式アプリとオンラインストアで、会員情報の一部が外部に流出したと発表された。

対象となる可能性があるのは、会員ID、氏名、メールアドレス、電話番号である。住所、パスワード、クレジットカード情報、購入履歴は流出していないと説明されているため、危険度を比較的低く評価した。

第25位｜阪急阪神百貨店「H2O ID」：約126万件

10月、阪急阪神百貨店グループの共通会員サービス「H2O ID」で、大規模な会員情報の漏えいが公表された。

複数サービスを利用する顧客の情報が含まれる点に注意が必要である。ただし、共通IDを利用していたことだけで、ほかのサービスへの不正ログインまで起きたとは判断できない。

第24位｜ホワイトエッセンス：約105万アカウント

歯科ホワイトニングなどを提供するホワイトエッセンスでは、8月にシステムへの不正アクセスが判明し、10月に個人情報の漏えいに関する調査結果が公表された。

氏名や連絡先に加え、利用者アカウントに関係する情報も問題となった。医療・美容に関係するサービスであるため、単なる会員情報でも利用者のプライバシー上の懸念がある。ただし、診療内容そのものが全利用者分流出したという意味ではない。

第23位｜バーガーキング公式アプリ：約1,118万件

10月、バーガーキングの公式アプリで、大量の会員情報が漏えいしたと公表された。

主な対象は氏名、メールアドレス、電話番号などである。身分証やカード番号の流出とは性質が異なるものの、1,000万件を超える規模と、不審な連絡に悪用される可能性を重視した。

第22位｜焼肉きんぐ公式アプリ：1,078万8,963件

10月5日、焼肉きんぐの公式アプリの会員管理システムが不正アクセスを受け、登録者情報が漏えいしたと発表された。

氏名、メールアドレス、電話番号などが対象となった。バーガーキングの事件と同様に、個々の情報の危険性よりも、流出確認と影響範囲の大きさを評価している。

第21位｜ローソンID：215万5,345件

10月8日、ローソンは共通アカウントサービス「ローソンID」の個人情報漏えいを発表した。

メールアドレスや氏名のほか、登録状況に応じて住所・電話番号なども対象となる。さらに別の「ローソンアプリ予約」では26件についてカード番号の一部も漏れており、複数の情報が組み合わされる点から、飲食店アプリの事案より上位とした。

第20位〜第11位：パスワードや生活履歴、予約情報が問題となった事件

第20位｜カプコン「CAPCOM ID」：1,177万4,247件

10月22日、カプコンはオンライン会員サービス「CAPCOM ID」への不正アクセスを発表した。

全世界で約1,177万件のメールアドレスやログインに関する記録が漏えいし、196件のアカウントではパスワードが不正に変更されていた。

利用者自身が設定したパスワードの流出は確認されていない。それでも、実際に一部アカウントが操作されていた点を重く評価した。

第19位｜ユミルリンク「Cuenote」：延べ約900万件

10月19日、企業向けメール配信サービス「Cuenote FC」のサーバーが不正アクセスを受けたと発表された。

5つのシステムから、メールアドレスを含む情報が延べ約900万件出力されたと試算されている。配信基盤を通じて複数の企業の情報に影響が及ぶ点が特徴であり、900万人の個人情報が流出したという意味ではない。

第18位｜リクルート「カーセンサーnet」：最大370万9,551件

10月21日、リクルートは中古車情報サイト「カーセンサーnet」と販売店向けシステム「C-MATCH」への不正アクセスを発表した。

中古車への問い合わせに関係する氏名や住所などが漏えいした可能性がある。ただし、一部の住所は市区町村までの情報であり、カード情報やログインパスワードの流出は確認されていないため、確定的な大量流出事件より低い順位とした。

第17位｜ムラウチドットコム：約772万件

家電などを販売する通販サイト「ムラウチドットコム」では、7月に不正アクセスが公表され、9月の続報で大規模な情報漏えいが明らかになった。

氏名、住所、電話番号など、通販で必要となる情報が大量に対象となった。実際の流出が確認された点と、住所まで含む情報の量を重視した。

第16位｜ヤマト運輸「クロネコ代金後払い」：約526万件

10月16日の第4報で、ヤマト運輸は代金後払いサービスから顧客情報が不正に持ち出されたと公表した。

氏名、住所、電話番号だけでなく、商品名、数量、単価などの注文内容も含まれる。

何を購入し、どこへ届けたのかが分かる情報は、特定の注文を装った詐欺に利用されるおそれがある。そのため、単純な会員情報の流出より危険度を高く評価した。

第15位｜手間いらず「TEMAIRAZU」：宿泊予約情報が対象

9月に宿泊施設向け予約管理システムへの不正アクセスが公表され、10月7日に調査状況が発表された。

氏名、電話番号、宿泊施設名、チェックイン・チェックアウト日、宿泊料金などが第三者に取得された可能性がある。

特に重大なのは、宿泊施設などを装い、カード情報の入力や支払いを求める不審なメッセージが実際に確認されている点である。情報流出と関連する詐欺への警戒が必要な事件として、この順位とした。

第14位｜銀のさら・釜寅・すし上等：最大約650万件

10月13日、宅配すしなどを展開するライドオンエクスプレスは、公式サイトやアプリの登録者情報が漏えいした可能性を公表した。

氏名、住所、電話番号、メールアドレス、生年月日、加工されたパスワードなどが対象となる可能性がある。

自宅への配達に使われる情報が含まれるため、住所や注文履歴を把握した第三者による詐欺への警戒が必要である。ただし、最大650万件すべての持ち出しが確認されたわけではない。

第13位｜ブックオフ：約643万件

10月、ブックオフグループは会員管理システムへの不正アクセスによる個人情報漏えいを公表し、その後の調査で規模などを更新した。

氏名、住所、連絡先、加工されたパスワードなどが対象となった。一方、買取時に提示された本人確認書類の画像は、今回の対象システムで管理されておらず、流出対象ではないと説明されている。

数百万件規模の会員情報とパスワード関連情報が問題になった点を評価した。

第12位｜ファインズ「予約システム」：153万6,322件

9月25日、ファインズは提供する予約システムへの不正アクセスを公表した。

対象には氏名、電話番号、メールアドレスのほか、予約店舗、メニュー、日時などが含まれる。

予約履歴は、特定の店を利用していることや、いつその場所を訪れる予定だったかを推測できる情報である。情報持ち出しの詳細は調査段階だが、漏えいのおそれがある情報の内容を重視した。

第11位｜ココナラ：履歴書449件など

10月9日、ココナラは「ココナラスキルマーケット」での不正アクセスと個人情報漏えいを公表した。

対象となった履歴書449件のほか、職務経歴などに関する書類も流出した。

他の事件に比べれば件数は少ない。しかし、履歴書には氏名や連絡先だけでなく、学歴、職歴、勤務先など、多くの情報が一つにまとまっている。

流出人数よりも、個人を詳しく把握できる情報の濃さを重視して第11位とした。

第10位〜第1位：金銭被害や身分証、健康情報まで関わる重大事件

第10位｜ふるさとチョイス：445万4,097件

10月20日、ふるさと納税サイト「ふるさとチョイス」を運営するトラストバンクは、会員情報が外部に流出したと発表した。

氏名、住所、電話番号、メールアドレス、ハッシュ化されたパスワードに加え、寄附控除の試算額も含まれている。

ハッシュ化とは、パスワードを元の文字列が分かりにくい形に変換する仕組みである。ただし、ハッシュ化されているからといって、悪用の危険性が完全になくなるわけではない。

流出が確認された人数規模と、金銭に関連する情報まで含まれている点を評価した。

第9位｜Lili：最大約9万8,256人の会員情報など

10月14日、会員制サイト「Lili」の運営事務局は、長期間にわたる不正アクセスによって個人情報が漏えいした可能性を公表した。

メールアドレスやプロフィール、サイト内メッセージなどが対象となり、10月22日の更新では、本人確認書類の画像が最大7,261人分、流出対象となる可能性が示された。会員登録を途中でやめた人の情報も別に対象となる。

特に深刻なのは、攻撃者がパスワードを読み取るためのプログラムを設置していた点である。運営側は、パスワードが元の文字列のまま流出した可能性が高いと説明している。

実際の流出範囲は確定していないが、パスワードと本人確認書類、私的なメッセージが同時に問題となったことから第9位とした。

第8位｜IDARE：12万9,659人

10月13日、キャッシュレスサービス「IDARE」を運営するFivotは、不正アクセスによる個人情報漏えいを発表した。

電話番号、メールアドレス、生年月日などのほか、サービスの残高や取引履歴も対象となった。一部の利用者については、本人確認時の申請内容やカード番号の一部も含まれている。

重要なのは、本人の資金状況や取引に関する情報が第三者に取得された点である。

ただし、カード番号の全桁やログインパスワード、本人確認書類の画像は流出しておらず、10月21日時点で不正な取引は確認されていない。

金融サービスに関する情報が実際に流出したことを重視して、第8位とした。

第7位｜Gyazo：約2,362万アカウント

画像共有サービス「Gyazo」では、9月に不正アクセスが発生し、10月21日に詳しい調査結果が発表された。

ユーザーに関する情報は約2,362万アカウント分、画像の管理情報は約4億9,000万件が対象となった。さらに、133人が保存していた432件の画像ファイルについて、第三者による閲覧・取得が確認された。

ただし、約4億9,000万件という数字は画像そのものの流出数ではない。画像の管理情報であり、すべての画像ファイルが攻撃者に渡ったという意味ではない。

それでも、画像共有サービスでは仕事上の資料や個人的な画面を保存する場合もある。実際に画像ファイルの取得が確認されたことと、影響範囲の大きさを評価して第7位とした。

第6位｜ソースネクスト：最大約2,252万件

10月、ソフトウェア販売などを手がけるソースネクストは、会員情報への不正アクセスを公表した。

最大約2,252万件の登録情報が影響を受けた可能性があり、氏名、住所、メールアドレス、パスワードに関する情報などが対象となった。

これほど大量の登録情報が漏れれば、偽メールや電話による詐欺だけでなく、ほかのサービスで同じパスワードを使っている利用者への影響も懸念される。

ただし、最大対象数と、実際に取得されたことを確認できた件数は同じではない。流出規模の大きさを重視しつつ、その不確実性も考慮して第6位とした。

第5位｜GMOリサーチ＆AI「infoQ」：89万4,082件

10月14日、アンケートサイト「infoQ」で89万4,082件の個人情報が外部へ持ち出されたことが確定した。

漏れた情報には氏名、住所、電話番号、メールアドレス、暗号化されたパスワード、保有ポイント数などが含まれる。

さらに深刻なのは、611件、合計286万9,500円相当のポイントが、利用者の意思に反してAmazonギフトコードへ交換されていたことである。

運営会社は不正交換されたポイントを全額補填すると発表している。

今回のランキングでは、情報流出だけでなく実際の財産上の被害が確認されたことを重視し、第5位とした。

第4位｜Eストアー「ショップサーブ」：約2,335万6,000人

8月1日に不正アクセスを公表したEストアーは、10月16日に最終調査結果を発表した。

対象は約2,335万6,000人。現在または過去に通販サービス「ショップサーブ」を利用していた7,858店舗に関係する購入者や会員、店舗運営者などの情報が対象となった。

氏名、住所、電話番号、メールアドレス、暗号化されたパスワードのほか、約209万6,900人についてはクレジットカード情報の一部も含まれている。

ただし、漏れたカード情報は名義、有効期限、番号の先頭6桁と下4桁であり、完全なカード番号やセキュリティコードは含まれていない。運営会社は、今回の情報だけでカード決済はできないと説明している。

一方で、約2,335万人という規模は、可能な範囲で重複を除いた人数である。

広範囲にわたる購入者情報が実際に持ち出されたことを重視し、第4位とした。

第3位｜EPARKリラク＆エステ：約2,218万レコード

7月に不正アクセスが公表された「EPARKリラク＆エステ」の予約・顧客管理システム「PeakManager」では、9月24日の続報で約2,218万レコードが対象と判明した。

調査では、顧客情報を保管するデータベースの情報が外部へ転送されたことも確認されている。

特に注意すべきなのは、一般的な氏名や連絡先だけでなく、施術に関する申し送りや健康状態など、利用者のプライバシーに深く関わる内容が一部に含まれていたことである。

ただし、約2,218万という数字は人数ではなく記録数であり、すべての記録に健康情報が含まれているわけでもない。

それでも、健康に関する情報は一度知られると元に戻すことが難しい。大量のデータが実際に外部へ転送された点も踏まえ、第3位とした。

第2位｜skyticket：約1,464万件

旅行予約サイト「skyticket」では、10月に顧客情報の大規模な流出が判明した。

氏名、住所、連絡先、加工されたパスワードなどを含む情報が対象となったうえ、10月の追加調査で、最大6,140人分のクレジットカード情報も流出していたことが分かった。

対象となるカード情報は、番号、名義、有効期限などである。カード情報は暗号化されていたが、解読に必要な情報も不正に取得されていたため、内容を読み取られるおそれがある。

セキュリティコードは含まれていない。

さらに注目されるのは、運営会社が当初、カード番号は流出していないと説明していたことである。その後の調査で古い決済記録が残っていたと判明し、説明を訂正した。

大量の会員情報とカード情報の流出が重なり、金銭的な不正利用につながる可能性があるため、第2位とした。

第1位｜タイムズカー：約160万アカウントで本人確認書類画像の流出を確認

今回、最も危険度が高いと評価したのは、カーシェアリングサービス「タイムズカー」の事件である。

9月29日、運営するパーク24は、約160万アカウントで本人確認書類の画像が流出したことを確認したと発表した。

対象となったのは、運転免許証、現住所確認書類、学生証、家族確認書類などの画像である。

この事件を第1位とした最大の理由は、流出した情報を簡単に変更できないことである。

パスワードなら変更でき、クレジットカードも利用停止や再発行が可能である。しかし、顔写真、生年月日、本人確認書類に記載された情報は、そう簡単には変えられない。

こうした情報が悪用されれば、本人を装った手続きや、身分証の画像を利用した詐欺などにつながるおそれがある。

もちろん、約160万アカウントすべてで実際になりすまし被害が発生したわけではない。

それでも、本人確認書類の画像という危険性の高い情報が、これほど大規模に流出したことが確認されている。

対象規模、流出の確実性、情報の変更しにくさを総合的に評価し、今回のランキングでは第1位とした。

今回の30件から分かるのは、個人情報流出の危険性を「何万人」という数字だけでは判断できないということである。

漏れた情報が名前やメールアドレスだけなのか、それとも住所、購入履歴、金融情報、健康情報、本人確認書類まで含むのかによって、将来の悪用リスクは大きく異なる。

また、企業の初報で示される最大件数が、そのまま実際の流出件数になるとは限らない。調査が進むことで件数や対象情報が修正されることもある。

もし自分が利用しているサービスで情報流出が発生した場合は、件数の大きさだけで判断せず、何の情報が漏れたのか、実際に持ち出されたのか、企業がどのような対応を求めているのかを確認することが重要である。

個人情報流出、最も危険だった企業は？ 直近3か月の重大事件TOP30