2026年9月第5週　情報セキュリティニュース概要

2026年9月30日 hanawa-h 情報 0

📌 エグゼクティブサマリー

直近1週間（2026年9月23日～30日）の日本国内セキュリティ状況は、複数の大型データ漏洩インシデント と ランサムウェア攻撃 による被害が相次ぎました。特に 公共交通・カーシェアリング・画像共有サービス における顧客接点システムが標的となり、個人情報の大規模漏洩が確認されています。

重要ポイント：

  • インシデント報告件数：5件（うちデータ漏洩4件、ランサムウェア1件）
  • 総漏洩データ規模：約7.3億件以上（画像メタデータを含む）
  • クレジットカード情報漏洩：ゼロ件（全社とも分離保管で防止）
  • 共通特性：顧客接点Webシステムへの集中的な標的化

🚨 【1】セキュリティインシデント詳細

1-1. Times Mobility（Times Car）— 不正アクセス

項目内容
企業名Times Mobility Co., Ltd.（Park24子会社）
サービスカーシェアリング「Times Car」
発表日2026年9月28日
不正アクセス検知日2026年9月25日 9時07分
被害対応完了2026年9月26日 7時25分（約22時間で遮断）

被害内容：

項目詳細
被害規模約666万件の会員・元会員情報
対象範囲Times Car会員、元会員、Times Business Service会員
漏洩情報氏名、住所、生年月日、電話番号、メールアドレス、運転免許画像、身分証明書画像、暗号化パスワード、連携サービスID（9種類：WESTER ID等）
クレジットカード情報❌ 漏洩なし

重要な懸念：

  • 運転免許画像のような身分証明書情報の漏洩は、なりすまし詐欺のリスクとなる

対応状況：

  • 個人情報保護委員会に報告
  • 警察に通報
  • 外部セキュリティ専門家による調査進行中
  • 被害者への個別連絡予定

1-2. 京王電鉄グループ — ランサムウェア攻撃

項目内容
企業名京王電鉄および関連事業会社
発表日2026年9月26日
攻撃日時2026年9月26日未明
攻撃種別ランサムウェア攻撃

被害内容：

項目詳細
影響範囲グループ各社のサーバー・営業システム
具体的影響企業Keio Plaza Hotel（予約システム）、Keio Store（決済システム）、京王バス等
具体的影響内容ホテル予約機能停止、店舗での決済不可、バス問い合わせ遅延
鉄道本業への影響❌ なし（鉄道運行は継続）
データ漏洩❌ 未確認

対応状況：

  • ネットワーク遮断措置を実施
  • 外部セキュリティ専門家と共同調査中
  • グループ全体の被害状況を精査中

1-3. 東京メトロ — 不正アクセス

項目内容
企業名東京メトロ Co., Ltd.
対象サービスMetpo（メトロポイント）会員サービス
発表日2026年9月28日

被害内容：

項目詳細
被害規模約59,000件（Metpo会員のメールアドレス）
対象ユーザー情報メールアドレスのみ
その他会員情報（氏名等）❌ サーバーに保管されていない（別システムで管理）
クレジットカード情報❌ 漏洩なし

対応状況：

  • 被害サーバーの内容確認完了
  • 他の会員情報へのアクセスについて調査継続中

1-4. Helpfeel Inc.（Gyazo）— 脆弱性悪用

項目内容
企業名Helpfeel Inc.
サービス画像共有サービス「Gyazo」
脆弱性悪用日2026年9月11日
サービス停止期間2026年9月11日～2026年9月26日
サービス再開日2026年9月27日

被害内容：

項目詳細
ユーザー情報漏洩約2,362万件
画像メタデータ漏洩約4.9億件
削除済み画像メタデータ漏洩約1.74億件
漏洩情報の種類ユーザー名、メールアドレス、パスワードハッシュ、画像メタデータ
支払い情報❌ 漏洩なし

再開後のセキュリティ措置：

  • 2026年9月11日以前にアップロードされた画像は 所有者のみに表示制限
  • 公開設定の変更は ユーザーが手動で実施 が必要
  • 無料プランでも過去画像にアクセス可能（セキュリティ確認用の特例）
  • ユーザーへの パスワード変更推奨
  • 詐欺メール等への注意喚起を実施

1-5. Ainokaze富山鉄道 — 不正アクセス

項目内容
企業名Ainokaze Toyama Railway
対象システム観光列車「Manzengo」座席管理システム
発表日2026年9月28日

被害内容：

項目詳細
被害規模1,409名の乗客個人情報
漏洩情報内容調査進行中
クレジットカード情報❌ 漏洩なし（別会社委託のため）

🔓 【2】脆弱性情報

2-1. Adobe セキュリティアップデート（9月22日発表）

項目内容
発表日2026年9月22日
対象製品数7製品
対象脆弱性数36件
現在の脅威状況✅ 悪用報告なし（予防的パッチ）

対象製品と優先度：

製品優先度パッチ推奨期限
Adobe Connect230日以内
Adobe Experience Manager Forms on JEE230日以内
Adobe Bridge3任意
Adobe Substance 3D Modeler3任意
Content Credentials SDK3任意
Adobe Premiere Pro3任意
Adobe InDesign3任意

2-2. その他の重大脆弱性

企業・製品CVECVSS悪用状況詳細
Check Point Security Management ServerCVE-2026-936169.8あり（2026年7月23日から）ディレクトリトラバーサル＋ファイルアップロード
Check Point Security GatewayCVE-2026-85102—試行中詳細調査中
Apache Tomcat15件—未判明複数の脆弱性を公開
Citrix NetScaler ADC/GatewayCVE-2026-88771, 88772Criticalありリモートコード実行、DoS

📢 【3】行政発表・警告

3-1. 警察庁（NPA）情報

警察庁から公開されているサイバー脅威分析（2026年前半の傾向報告）：

脅威種別状況詳細
ランサムウェア攻撃過去最高レベルに到達中小企業が標的。VPN デバイスが主要な侵入経路
AI技術の悪用懸念の段階高性能AI による攻撃の高速化・スケール拡大
サイバー犯罪の「サービス化」拡大中DDoS as a Service（DaaS）、Ransomware as a Service（RaaS）等
フィッシング・詐欺の多チャネル化深刻化電話、リモートアクセスソフト、偽Webサイトの組み合わせ

3-2. 国家サイバーセキュリティ事務局（NISC）情報

項目内容
機関国家サイバーセキュリティ事務局（Cyber.go.jp）
主な活動政府セキュリティ戦略の策定・実施、脅威情報の公開
発表内容最新脅威情報、官公庁・企業向けセキュリティガイダンス
警告内容NISC を装った詐欺メール・電話への注意喚起

📊 【4】統計分析

4-1. インシデント統計（2026年9月23日～30日）

指標件数
総インシデント報告数5件
データ漏洩インシデント4件
ランサムウェア攻撃1件
総漏洩データ件数約7.3億件以上

4-2. 業種別被害状況

業種インシデント数被害規模
公共交通2件約60,000件 + 1,409件
カーシェアリング1件約666万件
ICT・SaaS1件約7.3億件
ホテル・小売等1件（グループ）調査中

4-3. 漏洩情報の種類と危険度

情報種別該当インシデント数危険度
氏名・住所4件🔴 高
電話番号・メール4件🔴 高
運転免許画像1件🔴 最高
身分証明書画像1件🔴 最高
クレジットカード情報0件✅ ゼロ

4-4. 対応速度の比較

企業検知から遮断まで
Times Car約22時間
京王電鉄数時間以内
東京メトロ記載なし
Gyazo16日間（検知から再開）

🎯 【5】共通パターン分析

5-1. 被害企業の共通特性

標的システムの特徴：

  • ✅ 顧客接点システム（予約、会員サービス、決済）
  • ✅ Webベースのアクセスポイント
  • ✅ 個人情報を集約したデータベース

5社すべてのインシデント：

  • 顧客向けのWebサービスが標的
  • インターネット側に露出しているシステムが被害を受けた

5-2. セキュリティ対策で奏功した例

対策企業結果
クレジットカード情報の分離保管Times Car、東京メトロ、Ainokaze✅ 漏洩ゼロ
迅速なネットワーク遮断Times Car✅ 被害を約22時間で停止
システムアーキテクチャの分離東京メトロ✅ 被害をメール情報に限定
外部専門家の事前契約Times Car、京王電鉄✅ 対応の実施

⚠️ 【6】推奨される対応方針

6-1. 企業向け推奨事項

優先度1（即座に実施すべき）：

  1. 顧客接点システム（Webアプリケーション）の脆弱性診断
    • 外部セキュリティ専門家による診断
    • OWASP Top 10 の脆弱性チェック
    • 対応期限：30日以内
  2. データ分離・最小化戦略の再検討
    • クレジットカード情報の外部委託化を検討
    • 本人確認書類画像の暗号化保管またはスコーピング削減
    • 実施期限：60日以内
  3. インシデント対応体制の事前構築
    • 外部セキュリティ専門家の事前契約
    • インシデント対応手順書の策定
    • 運用開始期限：30日以内

優先度2（中期的に実施すべき）：

  1. WAF（Web Application Firewall）の導入
    • Webアプリケーション層での攻撃検知・ブロック
    • 対応期限：90日以内
  2. 多要素認証（MFA）の導入
    • 顧客接点システムへの認証強化
    • 対応期限：90日以内

6-2. 利用者向け推奨事項

  1. 該当サービスのパスワード変更
    • Gyazo の利用ユーザー
    • Times Car の利用者
    • 実施期限：7日以内
  2. 詐欺メール・なりすまし電話への警戒
    • 企業を装った詐欺メールの可能性
    • 本人確認書類要求への対応
  3. 本人確認書類情報の厳格管理
    • 運転免許画像等の管理
    • 要請がない限り提出しない

📈 【7】2026年9月のセキュリティ環境総評

評価項目状況傾向
インシデント頻度高い⬆️ 増加傾向
被害規模大規模⬆️ 拡大傾向
公共インフラへの影響顕在化⬆️ 重大化
攻撃手法の多様性ランサムウェア、脆弱性悪用➡️ 複合化

総合リスク評価： 🔴 レベル3（高）

🔗 参照情報

情報源（一次ソース）

  • impress.co.jp — Times Car、京王電鉄、Gyazo、東京メトロ報道
  • innovatopia.jp — 鉄道インシデント総合分析
  • act1.co.jp — Times Car詳細報道、Check Point脆弱性情報
  • npa.go.jp — 警察庁公式情報
  • cyber.go.jp — 国家サイバーセキュリティ事務局

関連参考URL

本レポートに記載されたすべての定量データ（漏洩件数、被害規模、発表日時、対応時間）は、各企業の公式発表または信頼できる報道媒体から一次情報として確認されたものです。

この内容は株式会社Exa Enterprise AIの提供する「エクサベース AI」の生成AIによって出力された内容です。