4日で発表された漏えいは約3,549万件カプコン1,177万件・ふるさとチョイス445万件・リクルート371万件、デジタル庁も、お名前.comではFX口座の不正な操作も

2026年10月19日から22日までの4日間に、国内外で情報漏えいや不正アクセスの発表が相次ぎました。カプコンが1,177万4,247件、ふるさとチョイスが445万4,097件、リクルートが最大370万9,551件など、各社・当局が発表した件数を足すと約3,549万件になります（最大・のべの数を含む単純合計で、同じ人の重なりがあります）。デジタル庁も、ホームページに使っていたStudioへの不正アクセスで、問い合わせ内容などが漏えいした可能性があると発表しました。お名前.comのデスクトップクラウド（FXの自動売買用の貸しパソコン）では、GMOが「取引口座で第三者による不正な操作が行われた」との報告を受けていると発表し、10月22日に警察に相談しました。

この記事の内容は、2026年10月22日夜（日本時間）時点で確認できた公式の発表と報道に基づきます。PHPの重大な脆弱性php2shellについては、1本目の記事と翌朝の続報もあわせて読んでください。

【10月23日未明（日本時間）追記】10月22日21時36分に公開されたデジタル庁の発表を加え、合計を数え直しました（約3,548万件→約3,549万件）。動画の「3548万件」は、デジタル庁の分を入れる前の数です。

3行まとめ

1. 10月19〜22日の4日間に発表された漏えいの件数を足すと約3,549万件。カプコン1,177万件、ユミルリンクのべ約900万件、ふるさとチョイス445万件、コミックシーモア最大約420万件、リクルート最大371万件、阪急阪神百貨店約126万件
2. お名前.comのデスクトップクラウドでは、FXの取引口座で第三者による不正な操作の報告があり、GMOは警察に相談。補償について約束した事業者は、確認できた範囲ではまだない
3. PHPの穴（php2shell）は、悪用がもう確認されている。ただし、この穴が原因だと公表した会社は、10月22日夜時点でまだない

この件は、YouTube「AI時短ラボ」の動画「4日で漏えい3548万件　カプコン・ふるさとチョイス・リクルート、お名前.comはFX口座を勝手に取引　PHPの穴は悪用を確認」でも、日付順に解説しています。

4日間に発表された、主な漏えい

件数の大きい順に並べました。件数と項目は、各社の発表の書き方のままです。

ほかにも、アルカディア（防災メールの配信）経由で20府県警の警察官・職員約12万5,000人分が流出したおそれがあると、警察庁への取材で分かったと報じられています（時事通信）。メール配信のブラストメール（ラクス）への不正アクセスでは、JR四国のメルマガ会員約3万件、富山県の約7,000件などの漏えいのおそれを、使っていた側が発表しました。

海外では、オランダのスーパー大手Ahold Delhaizeが欧米の多くのブランドでサイトとアプリを止め（店舗は営業）、台湾のクラウドZeaburは環境変数約321万件・アカウント約32万件分を読まれたと報告して年末でのサービス終了を決め、AIアプリの部品LiteLLMは悪意あるコードを入れた版が配られたと開示しました。

デジタル庁の問い合わせフォームも、制作ツールStudio経由で

デジタル庁は10月22日、ホームページの運営の一部に使っていたStudio株式会社が第三者から不正アクセスを受け、個人情報が外部に漏えいした可能性があると発表しました。Studioはウェブサイトの制作ツールを手がける会社です。デジタル庁によると、10月16日にStudioから「第三者が同社のクラウド環境に不正にアクセスをし、環境内のデータを外部から取得できる状態にしていたことを確認した」との報告がありました。

対象になり得るのは、2021年5月から2023年3月までに、デジタル庁のホームページのお問合せフォームへ入力された内容です。

5つを足すと最大1万3,323件です（足し算は筆者。デジタル庁は合計を書いていません）。最初の4つのフォームの氏名やメールアドレスなどは、任意で書いた場合に限るとしています。ほかに、デジタル庁の職員と委託先の人のStudioアカウントの情報（氏名、メールアドレス）35件も対象です。範囲は「現在精査中」で、二次被害は「現時点において」確認されていないとしています。

デジタル庁は、デジタル庁や関係機関を装った不審なメール・電話・SMSに注意し、身に覚えのない連絡のリンクや添付ファイルを開かないよう呼びかけています。パスワードやクレジットカード情報をメールや電話で聞くことはない、としています。

Studio経由の発表は、この4日間にほかの会社からも出ています。and USが1,024件、LiNKXが1,890件、テリロジーホールディングスの子会社クレシードが39件で、どれも自社サイトの問い合わせや応募のフォームに入力された情報です。この3社の分は、最初から上の合計に入れてあります。

お名前.comのデスクトップクラウドで、何が起きたか

お名前.comのデスクトップクラウドは、FXの自動売買（MT4/MT5など）を一日中動かしておくために使われる、Windowsの貸しパソコンです。

• 第1報（10月21日）：GMOインターネットは、一部の利用者のサーバー環境に不正なプログラムが置かれたと発表しました。影響の可能性のあるサーバー数は2万6,739件で（第3報で、これは対象となり得る数で確認された件数ではないと注記）、全プランのサーバーを順に止めました。
• 第2報（10月22日）：GMOは、利用者から「本サービスのサーバー上でご利用の取引ツールに関連して、お取引口座で第三者による不正な操作が行われた」との報告を受けていると公表しました。サーバー内に保存されていた取引口座のログイン情報等が取得され、不正に利用された可能性があるとしています。10月22日に警察に相談しています。

FXの業者側でも、OANDA証券やTitan FXがお名前.comの件として注意を呼びかけています。FXTFは、事業者名を伏せたうえで、他社のVPS（貸しパソコン）への攻撃でログインや取引が行われた可能性を検知したと知らせています。

X（旧Twitter）では、口座の情報を抜かれ、お金を引き出されるのではなく、わざとめちゃくちゃな取引を繰り返されて口座を空にされたという利用者の報告が相次いでおり、数百万円を失ったという声も複数あります。個々の投稿の金額は、本人の報告です。

補償については、10月22日夜時点で、GMOのお知らせに記載はありません。FXの業者も、確認できた範囲では約束しておらず、OANDA証券は「今後の運用等の方針につきましては、現在協議を進めております」としています。AI時短ラボとしては、影響の可能性が2万6,739件と大きく、取引が盗まれた本物のログイン情報で行われた可能性があることから、全額の補填は現実的に厳しいと見ています（ここは筆者の見立てです）。

【10月24日追記】 GMOは10月24日の第4報で、不正取引で実際に確定した損失（差損・手数料等）を、取引所等が返金に応じない場合も含めて補償し、今の利用者全員に見舞金一律5,000円を払うと発表しました。上の「全額の補填は現実的に厳しい」という10月22日時点の見立ては外れました。犯人が「利用者の自宅PCにも侵入した」と主張した件と合わせて、続報は「お名前.com デスクトップクラウド不正アクセス、犯人が「利用者の自宅PCにも侵入」と声明」にまとめました。

使っていた人に向けて、GMOは次のことを呼びかけています。

• 本サービスのサーバー以外の端末から、取引ツールと取引口座のパスワードを至急変更し、ログオフする
• 取引履歴と残高を確認し、身に覚えのない取引は取引先の事業者へ連絡する
• 二段階認証を設定する

PHPの穴（php2shell）は、どこまで悪用されているか

2026年10月21日に修正版が出たPHPの重大な脆弱性php2shellについて、Amazon（AWS）は「実際に広く悪用されている」と発表しています。最初の攻撃の試みは、修正版の公開の4日前の10月17日に、自社の囮のサーバー網で観測されました。Cloudflareの社長は、攻撃の試みが公開前の10時間で数千件、公開から45分で数万件、2時間で数十万件、その後は数百万件になったと投稿しています（ORFがdpa配信として報道）。これは試みの数で、入られた数ではありません。

VulnCheckの集計では、修正前の版が見えているサーバーが147万4,985台あります。一方で、php2shellで入られたと公表した会社は、10月22日夜時点で確認できていません。バルテックは当初「PHPの脆弱性を標的としたサイバー攻撃」と伝えましたが、その後、自社のお知らせで「誤報」と訂正しています。

国内では、10月21日の昼から夜にかけて、確認できただけで192の会社や団体が、公式にサービスの停止や予告を出しました。すき家は止めた理由を公式に「重大なセキュリティ上のリスク（PHP）」と書いています。愛媛県は、PHPを使う107のサイトのうち、22日16時の時点で修正を当て終えたのは21だったと発表しました（FNN）。JPCERT/CCは10月22日に注意喚起を出しています。

4日分の発表を数え直して、分かったこと

この記事と動画の件数は、4日分の公式の発表と報道を国内外で集め、原文に当てて数え直したものです。途中で数字が変わった所がいくつもありました。SONICWIREは19日の時点の「最大約42万件」から、22日の更新で36万2,137件に確定しています。ふるさとチョイスの停止は、報道の一部にあった「5時50分」ではなく、適時開示では「15時50分」でした。米国のある医療グループの約140万人分は、会社の発表が10月15日で、今回の4日間の範囲から外しました。足し算に入れたのは、人やアカウントの件数として発表された数だけで、環境変数の数、文書の数、メールの通数、サーバーの台数は入れていません。デジタル庁の分（フォームの最大1万3,323件とStudioアカウント35件、計1万3,358件）は、動画を出した後の10月23日未明に足しました。

使っていた人が、今やること

• 今回の一覧に、自分が使っているサービスがないか確かめる
• 会社からの「お知らせ」を装ったメールが来ても、リンクは押さずに、公式のサイトから確かめる
• 同じパスワードを使い回しているなら、変えておく

確認できていないこと

• 多くの会社は、侵入の原因を公表していません。原因が分かれば、この記事を更新します
• デジタル庁の件数は、どれも「最大」の数です。漏えいした可能性がある範囲は、デジタル庁が精査中としています
• 約3,549万件は、各社・当局が発表した件数の単純合計です。「最大」「のべ」「可能性」の数を含み、同じ人の重なりがあります
• お名前.comの不正な操作の件数・金額は、GMOも業者も公表していません。数百万円の被害は、X上の利用者の報告です
• アルカディア経由の警察の約12万5,000人分は、警察庁自身の発表をまだ確認できていません（報道が警察庁への取材として伝えた数字）

本記事は続報があり次第更新します。