【緊急特集】サイバー攻撃で「日本が止まる日」――不正アクセス連鎖、通販・チケット・社会インフラに迫る危機

2026年10月23日 10:52

(日本インタビュ新聞社・編集部)

■焼肉きんぐ1078万件、skyticket1464万件規模――委託先から大企業へ被害波及、デジタル社会の弱点が浮き彫りに

　ネットショッピングで購入した商品が届かない。スマートフォンにコンサートの電子チケットが表示されず、数万人が会場に入れない。キャッシュレス決済が使えず、コンビニや飲食店で支払いができなくなる。さらに電力、水道、鉄道、病院のシステムまで障害を起こしたら、日本社会はどこまで機能を維持できるのか。まるで都市伝説のような話だが、その一部を現実に想像させるサイバー攻撃が国内外で相次いでいる。

　2026年10月、国内では外食チェーン、旅行予約サイト、コンビニ、カラオケ事業者などで大規模な情報漏えいや、その恐れが相次いで明らかになった。被害は直接攻撃された企業だけにとどまらない。業務委託先の端末や共通のクラウド基盤が攻撃され、複数の企業・自治体に影響が及ぶ事例も表面化した。情報漏えいに加え、受発注や物流の停止に発展する危険が改めて浮き彫りになっている。

　警察庁が公表した2026年上半期の統計によると、インターネット上で観測された不審なアクセスは1日・1IPアドレス当たり1万3687件と前年同期比50.7%増加。ランサムウェア被害の報告は123件と、半期として過去最多を記録した。ただし、不審なアクセスの観測数は実際の侵入件数や上場企業の被害開示件数とは異なる。相次ぐ被害公表を受け、情報処理推進機構(IPA)は10月9日に緊急の安全点検を要請し、16日には被害企業向けの特別相談窓口を開設した。サイバー攻撃は情報管理上の問題から、企業経営と国民生活を揺るがすリスクへと広がっている。

■焼肉きんぐ、バーガーキング、skyticket――1000万件規模の被害相次ぐ

　物語コーポレーション<3097>(東証プライム)は10月5日、「焼肉きんぐ」公式アプリの会員管理システムへの不正アクセスにより、1078万8963件の会員情報が漏えいしたと発表した。氏名、メールアドレス、電話番号などが対象となったが、ログインパスワードや店舗利用履歴などは漏えいしていない。バーガーキングを国内で運営するビーケー・ジャパンも15日、公式アプリの会員情報約1118万件が漏えいしたと公表した。氏名や生年月日、連絡先などが含まれる一方、パスワードの漏えいは確認されていない。

　ローソンも10月8日、「ローソンID」で215万5345件、「ローソンアプリ予約」で26件の個人情報漏えいを発表した。後者にはクレジットカード番号の一部も含まれ、同社は予約機能を一時停止。安全対策を実施して19日に再開した。日常的に利用する外食・小売りサービスが相次いで標的となり、顧客情報を大量に保有するアプリの安全管理が問われている。

　さらに、旅行予約サイト「skyticket」を運営するアドベンチャー<6030>(東証グロース)は10月9日、不正アクセスによる約1464万件の顧客情報の流出、または流出のおそれを公表した。約413万件にはハッシュ化されたログインパスワードが含まれる。16日の追加発表では、2017年2月から2018年6月までの決済記録がサーバーに残っていたため、最大6140人分のクレジットカード情報が流出したことも判明した。カード情報は暗号化されていたが、暗号化に用いる情報も取得されており、読み取られるおそれがあるという。

　これらの件数は情報レコード数などを含み、単純に合計して被害者の実人数とみなすことはできない。しかし、現在の決済方式を改善しても、過去のデータが残っていれば後年の攻撃対象となることは重要な教訓だ。企業が抱える顧客情報は営業上の資産であると同時に、適切に管理しなければ経営を揺るがしかねないリスク資産にもなる。

■下請けのパソコン1台から大企業へ、クラウド障害は495の企業・自治体に波及

　深刻なのは、企業が直接攻撃されていなくても、業務委託先を通じて被害を受ける構図である。第一興商<7458>(東証プライム)は10月8日、個人情報の取り扱いを委託する日本コロムビアグループの従業員端末1台がマルウェアに感染し、約872万4000件の顧客・従業員情報が漏えいしたおそれがあると発表した。「ビッグエコー」などの利用者情報が含まれるが、実際の外部流出や不正利用は確認されておらず、第一興商自身のシステムへの影響も確認されていない。

　スカラ<4845>(東証スタンダード)の連結子会社スカラコミュニケーションズでも、企業向け問い合わせ管理システム「i-ask」が不正アクセスを受けた。同じサーバーを利用する最大5社の問い合わせ情報、延べ最大71万3126件が漏えいした可能性があり、シチズン時計<7762>(東証プライム)などに影響が及んだ。委託元の企業が自社システムを守っていても、外部の事業者に弱点があれば顧客情報が危険にさらされる。

　共通基盤への依存がもたらす危険を示したのが、ソフトバンクグループ傘下のIDCフロンティアである。10月7日、クラウドサービスの一部がランサムウェア攻撃を受け、契約先495の企業・自治体に影響が及んだ。一部の仮想サーバーが停止し、復旧作業が続いた。14日の発表では、バックアップ機能を利用していた194の契約先についてデータの取り出しが可能と確認されたが、復元の可否は個別に判断する必要がある。同社は調査結果を踏まえ、被害を受けた仮想サーバー内のデータについて外部流出はなかったと判断している。

　1社のシステム障害が数百の組織に及ぶという事態は、もはや仮定ではない。企業活動の効率化を支えるクラウドや外部委託が、障害発生時には被害の波及経路にもなり得る。取引先を含めた安全管理と、代替手段の確保が欠かせなくなっている。

■商品があっても届けられない、海外では冷蔵庫が50度に上昇

　サイバー攻撃は既に、現実の物流を停止させている。アスクル<2678>(東証プライム)は2025年10月19日のランサムウェア被害で、法人向け通販や消費者向け「LOHACO」などのサービスが一時停止し、正常化まで長期間を要した。アサヒグループホールディングス<2502>(東証プライム)も同年9月の攻撃で国内の受注・出荷業務に支障が生じ、一部を手作業に切り替えた。商品を製造できても、受注情報や在庫数、配送先を管理できなければ円滑な出荷は難しい。サイバー攻撃が情報の事故から、モノが動かない事故へ変わる瞬間である。

　さらに2026年10月11日から12日にかけて、フランスの数百のスーパーマーケットで、ネットワークに接続された冷蔵・冷凍設備が攻撃された。冷却設備の設定が不正に変更され、一部店舗では温度が50度前後に上昇。食品の大量廃棄を余儀なくされた。旧式の設備や更新されていないシステムの脆弱性が問題視されている。攻撃が個人情報の流出にとどまらず、食品の品質や店舗運営に直接損害をもたらした事例である。

　国内でも京王電鉄<9008>(東証プライム)が9月26日、ランサムウェア攻撃によるシステム障害を公表した。一部グループ会社の営業システムに支障が生じた一方、発表時点で鉄道の運行には影響がないと説明している。社会インフラには安全装置や独立した運用系統が設けられている場合もあり、1つの障害が直ちに全面停止につながるわけではない。それでも、工場、物流、空調、給排水、交通などの設備がネットワークと結び付くほど、防御すべき範囲は広がっている。

■なぜ防げないのか――AI悪用、古いシステム、委託先管理の弱点

　相次ぐ不正アクセスの原因は事案ごとに異なり、すべてが同じ攻撃者や手法によって引き起こされたと確認されたわけではない。ただ、外部公開システムの脆弱性、認証や権限設定の不備、古い情報の保存、委託先の安全管理不足など、被害を拡大させる要因には共通点がある。

　JPCERTコーディネーションセンターは10月15日、攻撃者がAIを利用して既知の脆弱性を探索し、アプリとサーバーの通信を担うAPIなどを攻撃していたことを確認したと発表した。スマートフォンアプリの内部構造を解析して攻撃対象を探す動きも確認されている。AIによって攻撃の準備や探索が効率化されれば、企業の規模や知名度を問わず標的となる危険がある。

　IPAが選定した「情報セキュリティ10大脅威2026」でも、組織向けの1位はランサム攻撃、2位はサプライチェーンや委託先を狙った攻撃、3位はAIの利用を巡るサイバーリスクとなった。防御すべき対象は自社サーバーに限られず、外部委託先、クラウド、過去の保管データまで広がる。情報システム部門だけでなく、経営陣が事業継続を含めて対策を主導する必要がある。

【最悪(仮想)シナリオ】

■ある土曜日、日本の通販・チケット・決済が同時に止まったら

　ここからは、実際の被害を踏まえて複数の障害が同時発生した場合を描く仮想シナリオである。現実に起きた出来事ではなく、特定企業への攻撃や将来の発生を予測するものでもない。

　土曜日の午前9時。数万人が集まる大型コンサートの開催日、電子チケットの認証サービスが突然使えなくなる。購入済みのチケットが表示されず、入場ゲートに長蛇の列ができる。主催者は本人確認や予約記録の照合を始めるが処理が追い付かず、開演時間の延期を迫られる。駅から会場まで観客が滞留し、周辺の交通にも混乱が広がる。

　午前11時。今度は大手通販の受注管理と物流センターのシステムが停止する。利用者は注文できたと思っていても、倉庫に出荷指示が届かない。食品、日用品、医療用品などの配送が遅れ、ネットスーパーや小売店で欠品が増える。午後1時には共通の決済・認証サービスにも別の障害が発生。一部の店舗でスマートフォン決済やカード決済が利用できず、現金を持たない買い物客が支払いに困る。旅行予約や宿泊施設のチェックインにも遅れが生じる。

　午後3時。インターネット上には「銀行口座の残高が消えた」「全国のATMが停止した」といった根拠不明の情報が拡散する。実際には限られたシステムの障害であっても、偽情報を信じた利用者が問い合わせやアクセスに殺到し、正常なサービスにも負荷がかかる。混乱が長引けば、翌日のイベント、スポーツ興行、映画館、交通予約などにも影響が及ぶ。

　さらに電力設備の遠隔監視、水道施設の制御、鉄道の運行管理、病院の電子カルテなどが別の攻撃で障害を起こした場合、事態は一段と深刻になる。電力・水道の一部設備が安全確認のため停止し、鉄道では運行見合わせが発生。病院では検査や診療の一部を延期し、医薬品の調達にも遅れが生じる可能性がある。

　もちろん、重要インフラには安全装置や非常用電源、代替運用などの対策が講じられており、単一のサイバー攻撃で日本全体が一斉に機能停止するとは限らない。むしろ警戒すべきは、各地の局所的な障害が同時に発生し、復旧要員や代替手段が不足することで混乱が長期化する事態である。高度に結び付いたデジタル社会では、1つの機能停止が思わぬサービスに影響する危険を常に抱えている。

■最後の防衛線は「アナログ」か――企業価値を守る事業継続と生活防衛

　サイバー攻撃の拡大は株式市場でも重要な経営リスクとなる。被害企業にはシステムの調査・復旧費用、顧客対応、販売機会の逸失、取引先との契約への影響などが生じる可能性がある。長期の業務停止は売上高や利益にも波及しかねない。一方、情報漏えいの公表だけで株価下落や業績悪化が決まるわけではなく、実際の被害範囲、停止期間、復旧費用、再発防止策を個別に見極める必要がある。サイバーセキュリティ、認証、データ保護、バックアップ、システム監視、事業継続支援などへの需要も中長期的な注目点となる。

　企業には、委託先や再委託先を含む情報管理体制の点検、多要素認証、管理者権限の制限、システムの更新、不要なデータの削除、不審な通信の監視が求められる。バックアップは本番環境から分離して保存し、実際に復元できるかを定期的に確認することも欠かせない。さらに、システムが停止した場合でも最低限の業務を続けられるよう、紙の伝票、手動での受注記録、代替の連絡網などを準備しておく必要がある。ただし、手作業への切り替えにも処理能力や情報管理上の限界があり、日頃から訓練を重ねることが重要となる。

　消費者もパスワードの使い回しを避け、多要素認証やパスキーを活用し、不審なメールやSMSには注意する必要がある。カード情報の流出が公表された場合は利用明細を確認し、必要に応じてカード会社へ相談する。重要な予約やチケットについては、サービスの規約を守りながら通信障害時にも確認できる控えを用意するほか、決済手段を1つに依存しない工夫も有効だ。

　「日本が止まる日」は、必ず訪れる未来ではない。しかし、1社のシステム障害が多数の企業に波及し、情報漏えいが事業停止へ発展する危険は、既に現実のものとなっている。必要なのはデジタル化を恐れて後戻りすることではない。攻撃を防ぐ仕組みと、障害が起きても社会の重要な機能を維持できる代替手段を併せ持つことである。「止まらないこと」だけでなく、「止まっても立て直せること」が、これからの企業価値と日本社会の信頼を左右する。(情報提供:日本インタビュ新聞社・株式投資情報編集部)

※この記事は日本インタビュ新聞社＝Ｍｅｄｉａ－ＩＲより提供を受けて配信しています。

スポンサードリンク