【セキュリティニュース】2026年11月2日｜432万件漏えいと攻撃者サイト遮断要請
「うちのような小さな会社が狙われるとは思えない」。そう話される経営者は今も少なくありません。しかしこの1週間、旅行大手で会員約432万件の漏えいのおそれ、国の集計で半年に延べ約2億6000万人分という数字が続けて公表されました。2026年10月末の3件を、中小企業が今週できる備えまで整理します。
この記事でわかること
- クラブツーリズムで公表された約432万件の漏えいのおそれ(10月31日発表)
- 国の集計が示す報告件数の急増
- GMOの不正アクセスで、総務省が攻撃者サイトの遮断を要請した経緯
- 費用0円で今週できるチェックリスト
1. クラブツーリズム、会員約432万件が漏えいのおそれ
| 項目 | 公表内容 |
|---|---|
| 公表日 | 2026年10月31日 |
| 検知 | 10月30日午前5時45分、自社サーバーの一部への不正アクセス |
| 対象 | インターネット会員 最大約432万件 |
| 内容 | 氏名、国籍、性別、生年月日、住所、電話番号、メールアドレス、会員ID、緊急連絡先 |
| 含まれず | ログインパスワード、パスポート、クレジットカード、金融機関口座の情報 |
| 対応 | サーバーを隔離。侵入経路を特定して修正済み。警察へ相談し、個人情報保護委員会などへ報告。調査は継続中 |
漏れたおそれがあるのは氏名と連絡先という「ごく普通の情報」です。これがそろうと、取引先や会員を装った連絡が本物らしく見えてしまいます。
今日からできる対応
- 預かっている個人情報の置き場所と件数を紙1枚に書き出す
- 外部から接続できるサーバーやNASを洗い出し、不要な公開をやめる
- 有事の連絡順序(社内・取引先・警察・個人情報保護委員会)を決める
出典: クラブツーリズム(公式発表・第1信) / 日本経済新聞
2. 半年で延べ約2億6000万人分｜国の集計
個人情報保護委員会は10月28日、不正アクセスによる漏えい等の報告の集計を公表しました。いずれも重複を含む延べの数字です。
- 期間: 2026年4月1日〜10月16日
- 対象者数: 延べ約2億6000万人(総人口の2倍超)
- 報告件数: 2,094件。9月は303件、10月は16日時点で830件
報告義務は会社の規模を問いません。大企業の話と切り離さず、自社の状況を確認する時期だと考えられます。
3. GMOの不正アクセス｜攻撃者サイトに総務省が異例の遮断要請
| 項目 | 公表・報道内容 |
|---|---|
| 対象 | GMOインターネットの「お名前.com デスクトップクラウド」。10月21日にサービス停止と不正アクセスを公表 |
| 情報の公開 | 10月27日、攻撃者とみられる者が顧客情報と称するものをWebサイトに公開。GMOは内容を確認中で、事実と異なるものを含むおそれがあるとしている |
| 会社の方針 | 攻撃者の要求には応じない。警察などと連携して対応 |
| 総務省 | 10月27日付で通信業界団体に、攻撃者サイトへの接続遮断(ブロッキング)を要請(報道)。国の要請としては極めて異例 |
| その後 | 10月28日、攻撃者サイトのドメイン停止をGMOが確認 |
GMOは、公開された情報と称するものにはアクセスも拡散もしないよう呼びかけています。アクセスした人の情報は攻撃者に取得される、としています。「自分の情報が載っていないか見てみる」は、かえって危険です。
今日からできる対応
- 「流出した情報」と称するサイトやリンクは開かない・社内外で共有しない
- 事案に便乗したメール・SMS・電話(「被害金を取り戻す」など)には応じない
- 事案の情報は、当事者の公式発表と公的機関だけで確認する
出典: GMOインターネットグループ(公式発表・第10報) / ITmedia NEWS
今週のチェックリスト
| やること | 費用・担当 |
|---|---|
| 個人情報の置き場所と件数を書き出す | 0円・経営・総務 |
| 外部公開のサーバー・NAS・古いフォームの棚卸し | 0円・IT担当 |
| PHP・CMS・プラグインを最新版に更新 | 0円〜・制作会社 |
| 偽サイト・偽メールの注意点を社内共有 | 0円・全員 |
| 有事の連絡手順と案内文のひな形を決める | 0円・経営 |
自社サイトのPHPやプラグインの更新状況は、PHPのサポート終了と重大な脆弱性で確かめ方を解説しています。
よくある質問
Q. 社員10人の会社でも報告義務はありますか。
A. あります。不正アクセスによる漏えい(そのおそれを含む)は、会社の規模や件数を問わず、委員会への報告と本人への通知が必要です。まず手順と連絡先を確認してください。
Q. 自社の情報が漏れていないか確認できますか。
A. 当事者企業の公式発表が確実な情報源です。第三者の確認サイトは安全性が確かめられないため使わないでください。
Q. 何から手をつければよいですか。
A. 費用のかからない棚卸しからです。どこに何件あるかが分かると、守る対象と優先順位が決まります。
まとめ
- クラブツーリズムは10月31日、最大約432万件の漏えいのおそれを公表。カードやパスワードは含まれない
- 国の集計では半年余りで延べ約2億6000万人分、報告件数も急増
- GMOの事案では総務省が攻撃者サイトの遮断を要請。「流出情報」と称するサイトは開かない
- まずは個人情報の棚卸しとサイトの更新確認から
オフィスフジタは岐阜県美濃加茂市を拠点に、岐阜・愛知の中小企業のIT環境とセキュリティ対策を支援しています。自社で何から手をつけるべきか分からない段階からご相談ください。
