【2026年最新版】個人情報流出・漏えいを公表した企業と自治体を一覧で紹介。佐川急便、カプコン、ローソン、Uber Eatsなどの被害件数、発生日時、原因、調査結果まで詳しくまとめました。

2026年、企業や自治体から個人情報の流出・漏えいに関する発表が相次いでいます。

佐川急便、カプコン、ローソン、焼肉きんぐ、タイムズカー、So-netなど、誰もが知っている企業やサービスも次々と被害を公表。中には数千万件規模の情報が流出した、あるいは流出した可能性がある事案もあります。

さらに2026年10月28日には、Uber Eatsの配達員に対して、登録車両のナンバープレート画像に関するセキュリティインシデントの通知が届いていることも話題になりました。

「最近、情報流出のニュースが多すぎない？」

私もそう感じたので、2026年に公表された主な情報流出・漏えい事件を、企業と自治体に分けて一覧表にまとめました。

企業名、業種、被害状況、発生日時、経緯のほか、その後の調査結果も掲載。流出が疑われたものの、後から否定された事案についても記録しています。

最終確認：2026年10月28日
2026年1月～10月28日に公表・更新された国内の主要事案を掲載しています。事件の発生自体は2025年以前のものも含みます。掲載対象は主な企業・自治体であり、国内の全事件を網羅するものではありません。新たな発表や調査結果によって被害規模が変わる場合があります。

2026年の情報流出はどれほど深刻なの？

今回の調査で特に目立ったのは、一度の不正アクセスで数百万件から数千万件もの情報が影響を受ける事案です。

企業・サービス	公表された規模
佐川急便	最大約5,323万件（流出のおそれ）
ユミルリンク	延べ約5,163万件（メール配信データ）
Gyazo	約2,362万アカウントの情報
Eストアー	約2,336万人
ソースネクスト	約2,252万件（流出の可能性）
カプコン	約1,177万件
バーガーキング	約1,118万件
焼肉きんぐ	約1,079万件

ただし、この数字をそのまま被害人数として合計することはできません。情報の件数と人数は異なり、同じ人物のデータが複数含まれていたり、あくまで流出した可能性がある最大件数だったりするためです。

また、ユミルリンクのように多数の企業が同じサービスを利用している場合、提供元と利用企業の両方が情報流出を公表することがあります。こうした重複にも注意が必要です。

【企業一覧】2026年の個人情報流出・漏えい事案

まずは企業・民間サービスの一覧です。主に公表日・重要な続報の日付が新しい順に並べています。

企業名にリンクがあるものは、公式発表などの詳細資料を確認できます。

この一覧を見ると、ゲーム、飲食店、鉄道、物流、通信、保険、ネット通販など、被害に遭っている業界は本当にさまざま。

また、2026年10月に目立つのが、外部サービス提供会社への攻撃が多数の企業へ波及しているケースです。

企業自体が直接攻撃されていなくても、会員管理やメール配信を委託している別の会社から情報が漏れてしまうことがあります。

【自治体一覧】2026年の個人情報流出・漏えい事案

情報流出は企業だけの問題ではありません。自治体や行政機関でも、住民や職員の情報が漏えいした可能性が相次いで公表されています。

特に2026年10月には、自治体向け防災情報システムを提供するアルカディアへの不正アクセスが発生。全国の多数の自治体へ影響が広がりました。

以下は企業とは別に整理した、自治体・行政機関の一覧です。

自治体の一覧で目立つのは、アルカディアの防災情報配信サービスに関連する事案です。

防災メールや職員参集システムは、多くの自治体が同じ事業者のサービスを利用しています。そのため、一つの事業者が攻撃されると、複数の自治体に被害が広がることがあります。

もっとも、同じ事業者を使っていても自治体ごとに影響は異なります。広島市のように、市民向け防災メールには影響が確認されず、職員向けシステムに限って流出のおそれがあると発表したケースもあります。

なぜ情報流出が相次いでいるの？主な原因を整理

ここまでの一覧を見ると、情報流出の原因は一つではないことが分かります。

システムの脆弱性を悪用されたケース

脆弱性とは、プログラムやシステムに存在するセキュリティ上の弱点のこと。

GyazoやEストアー、Studioなどでは、システムの脆弱性を悪用した攻撃が報告されています。

2026年10月には、Webサイトを動かすPHPでも深刻な脆弱性が話題になり、複数のサービスが緊急メンテナンスを実施しました。

ただし、ここで紹介した企業への攻撃が、今回のPHP脆弱性によって発生したという意味ではありません。個々の事件と特定の脆弱性を結び付けるには、別途証拠が必要です。

外部委託先が攻撃されたケース

企業が自社のシステムを厳重に管理していても、会員管理やメール配信などを外部の会社へ委託している場合があります。

2026年には、メール配信サービスのユミルリンクやブラストメール、ECシステムのEストアー、自治体向け防災情報システムのアルカディアなどを通じて、複数の組織へ影響が広がりました。

普段利用している会社のシステムではなく、その会社とつながっている別の会社から情報が漏れてしまうこともあるということです。

認証情報を盗まれたケース

システム自体に脆弱性がなくても、ログインするための認証情報が盗まれれば第三者が侵入できる場合があります。

CAMPFIREではGitHubの認証情報が侵入の起点となり、カインドオルではフィッシングでスタッフのアカウントが乗っ取られました。

今回のUber Eatsの事案でも、サービスプロバイダーの認証情報が悪用されたと通知されています。

情報流出した企業のサービスを使っていたらどうすればいい？

もし利用しているサービスが一覧に含まれていたら、まずは企業の公式発表を確認してください。

利用者全員が影響を受けているとは限りません。また、漏えいした情報の種類によって必要な対応も変わります。

特に注意したいのは、情報流出事件へ便乗したフィッシング詐欺です。

「あなたの情報が漏えいしました。今すぐ確認してください」というメールが届いても、リンクをすぐに開かないこと。心配な場合はメール内のリンクではなく、公式サイトや公式アプリから直接確認しましょう。

情報処理推進機構（IPA）も、個人情報が漏えいした際の対処方法で、パスワード変更や使い回しの解消、多要素認証などを案内しています。

AIの進化でサイバー攻撃はさらに増えるの？

これほど多くの企業や自治体が情報流出を公表していると、今後はどうなってしまうのか気になりますよね。

近年はAIを使ってシステムの弱点を調べたり、攻撃に必要な作業を補助したりする技術も進歩しています。

一方、防御する側でもAIによる不正アクセスの検知や脆弱性の発見が進んでおり、AIの発展が必ずしも攻撃側だけに有利に働くわけではありません。

また、今回紹介した個々の情報流出事件がAIによる攻撃だったと確認されているわけではありません。

実際にAIがサイバー攻撃にどのように利用されているのかについては、こちらの記事で詳しく解説しています。

さらに、AIによる脆弱性の発見が急速に進んだ先で、インターネットの安全性はどうなるのか。OpenAIやCloudflareの関係者が発している警告についても、別の記事で取り上げました。

まとめ：個人情報流出は誰にとっても他人事ではない

今回、2026年に公表された情報流出・漏えい事件を調べてみると、本当にさまざまな企業や自治体が被害を受けていることが分かりました。

飲食店のアプリ、ネット通販、旅行予約、鉄道の会員サービス、宅配便、自治体の防災メールまで。今ではインターネットを利用する誰にとっても無関係とはいえない問題です。

厄介なのは、私たちがどれほど気をつけていても、登録先企業や委託先のシステムが攻撃されれば個人情報が流出する可能性があるということ。

とはいえ、パスワードの使い回しを避けたり、多要素認証を利用したりすることで防げる二次被害もあります。

企業側のセキュリティ対策だけでなく、利用者自身のアカウント管理も大切になってきました。

今後も新たな情報流出事案や重要な続報があれば、被害状況を確認して一覧を更新していきます。