ここ1〜2年、「不正アクセスにより個人情報が流出した可能性」というニュースを目にしない週はほとんどありません。
ただ、ニュースは1件ずつ流れていくため、全体として何が起きているのかは見えにくいものです。
そこで、2025年1月から2026年10月15日までに公表された国内の情報漏洩事故を、被害規模順に整理しました。
あわせて、それぞれの原因に対してCloudflareでどのような対策が取れるのかも解説します。
件数が大きいのはWeb・API・会員システム型
公開アプリの脆弱性、仕様・認可の不備、管理機能の悪用が中心です。
1件で1,000万件超の事故が複数発生しています。
業務停止は短期で済む一方、顧客対応コストが膨らみます。
損失が大きいのはランサムウェア
入口はVPN機器とリモートデスクトップ、そしてMFAのない管理者・委託先アカウントに集中しています。
数か月の業務停止と、数十億〜数百億円規模の損失に至っています。
Cloudflareが効くのは主に「入口」
VPNのZTNA置き換え、管理画面の非公開化、例外なきMFAは高い効果が見込めます。
公開アプリも、WAFとレート制限で被害の拡大を抑えられます。
漏洩件数 上位10件
2025年1月〜2026年10月15日公表分
| No | 組織（公表時期） | 漏洩件数 | 攻撃手法・原因（公表ベース） |
|---|---|---|---|
| 1 | Helpfeel「Gyazo」 | 約2,362万件 | 画像アップロードサーバの脆弱性を突かれ任意コマンド実行。その後DBから持ち出し |
| 2 | EPARKリラク&エステ（2026年7〜9月） | 約2,218万レコード | 手法は非公表。「不正利用されたDB接続用アカウント」を停止と告知 |
| 3 | 損害保険ジャパン（2025年4〜6月） | 最大約1,748万件 | 社内Webシステムへの不正アクセス。経路は非公表 |
| 4 | アドベンチャー「skyticket」（2026年10月） | 約1,464万件 | 管理機能を不正に操作／業務管理システムの脆弱性／予約完了ページの認証不備 |
| 5 | KDDI（ISP向けメール）（2026年6〜7月） | 1,223万3,087件（メールアドレス／KDDI公表値） | 第三者製ソフトのゼロデイ脆弱性。5月16日から悪用 |
| 6 | 物語コーポレーション（2026年10月） | 1,078万8,963件 | 会員管理システムへの不正アクセス。経緯は調査中 |
| 7 | 第一興商（2026年10月） | 約872万4,000件 | 委託先の従業員PC 1台がマルウェアに感染 |
| 8 | ムラウチドットコム（2026年7〜9月） | 771万6,811件 | Webシステムの脆弱性を起点に複数システムへ横展開 |
| 9 | AOKI HD・快活フロンティア（2025年1月） | 729万87件 | サーバへの不正アクセス。会員管理システムまで到達。経路は非公表 |
| 10 | タイムズモビリティ（タイムズカー）（2026年9月） | 約660万アカウント | Webシステムへの不正アクセス。免許証等の画像約160万件を含む |
※件数は「確認」「おそれ」「レコード数」「アカウント数」が混在しており、単純比較はできません。
統計で見る動向
- 10件：上場企業とその子会社で、2026年に公表された100万件以上の事故（10月5日時点）。2025年は年間6件（東京商工リサーチ）
- 66.3%：令和7年のランサムウェア被害で、侵入経路が判明した92件のうちVPN機器が占める割合（警察庁）。最新の令和8年上半期（2026年9月10日公表）でも、被害は半期で過去最多の123件、侵入経路の約5割がVPN機器
- 約200億円：アサヒグループHDのサイバー攻撃による事業利益ベースへの影響。このほかシステム障害関連費用が約170億円。物流正常化は2026年2月
- 約52億円：アスクルが第2四半期に計上した特別損失（52億16百万円）。主要サービス復旧まで約4か月（2026年2月13日に「障害発生前の水準まで復旧」と公表）
件数の大きさを決めたのは「入口」ではなく「保持データの量と範囲」でした。 タイムズモビリティ（タイムズカー）は退会者まで含む約660万アカウント（うち約160万件は免許証等の画像）が漏れた一方、東京メトロは対象サーバにメールアドレス以外を保存しておらず約5.9万件で済んでいます。
原因（侵入経路）別の傾向
記号A〜Fは、後述の「Cloudflare製品別：有効範囲」「優先して着手すべきこと」と共通です（Cloudflareで防げる可能性が高い順）。
| 記号 | 原因カテゴリ | 主な事例 | 件数（参考） | 業務影響の傾向 |
|---|---|---|---|---|
| A | VPN・ネットワーク機器経由のランサムウェア | アサヒグループHD（拠点のネットワーク機器経由と公表）、IDCフロンティア | 約230万件 | 数か月の停止、数十億〜数百億円の損失 |
| B | 認証情報の悪用（MFA未適用の管理者等） | EPARK、アスクル、i-ask、楽天グループ（楽天ドライブ） ほか | 約2,370万件 | ランサムウェアにつながると長期停止 |
| C | 公開Webアプリ・APIの脆弱性・認可不備 | Helpfeel（Gyazo）、アドベンチャー（skyticket）、ムラウチドットコム ほか | 約5,540万件 | 停止は短期で済むが、件数が巨大 |
| D | 第三者製ソフトのゼロデイ | KDDI、IIJ、IDARE、NewsPicks ほか | 約1,300万件 | 検知の遅れ（IIJは約8か月） |
| E | 委託先・クラウド基盤・SaaS経由 | 第一興商、ライドオン、JR東日本 ほか | 約2,390万件 | 自社では統制できず、波及範囲が広い |
| F | 経路非公表のWeb・会員システム不正アクセス | 損害保険ジャパン、AOKI HD、タイムズモビリティ（タイムズカー） ほか | 約5,660万件 | 停止は短期で済むが、顧客対応コストが大きい |
※主要事案の分類は執筆者によるもので、件数は延べ・単位混在の参考値です。アサヒグループHDは、パスワードの脆弱性を突いた管理者権限の奪取も公表しており、Bにも該当します。
Cloudflare製品別：有効範囲
| 記号 | 原因 | 有効なCloudflare製品 | 評価 |
|---|---|---|---|
| A | VPN機器・RDPの脆弱性 | Access（ZTNA）、Cloudflare One Client（旧WARP）、Tunnel | 防げた可能性が高い |
| B | 認証情報の漏洩（委託先・管理者） | Access（独立MFA、ポスチャ※自社管理端末）、漏洩認証情報検知 | 防げた可能性が高い |
| B・C | 露出した管理画面・社内ツール | Tunnel ＋ Access | 防げた可能性が高い |
| C | Webアプリ脆弱性（RCE／SQLi） | WAF Managed Rules、Malicious uploads detection（旧Content Scanning）※ | 部分的に緩和 |
| C | 認可不備（IDOR）と大量抽出 | レート制限、Bot Management※、API Shield※ | 部分的に緩和 |
| D | 第三者製ソフトのゼロデイ | WAF（HTTP系のみ）、Access前置 | 一部で緩和 |
| E | 委託先・クラウド基盤の侵害 | Gateway、RBI、DLP、CASB | 限定的 |
※Cloudflare Managed RulesetはPro以上、API ShieldのBOLA検知はEnterprise限定です。
※Malicious uploads detection（旧Content Scanning）は、アップロードされたファイルのマルウェア検査機能で、Enterprise限定の有料アドオンです。SQLi・RCEそのものはWAF Managed Rulesで対処します。
※Bot ManagementはEnterprise向けの製品です（Pro／BusinessではSuper Bot Fight Modeを利用）。API Shieldの各機能もEnterprise向けの有料アドオンです（スキーマ検証とエンドポイント管理は全プランで利用可）。
A2B攻撃 ─ 公開アプリを解析してAPIを狙う手口
2026年10月13日、NICT（情報通信研究機構）の脅威情報分析チームLETTICEは、国内で相次ぐ情報漏えいの原因の一つとして「A2B攻撃（App-to-Backend Attack）」を特定し、注意喚起を公表しました。
攻撃者は一般公開されているAndroidアプリを解析して、接続先API（アプリが裏側で通信するサーバの窓口）の仕様を把握し、認証・認可の不備を突いて会員情報などを大量に取得します。同じAPIをiOSアプリやWebサービスで使っている場合も対象です。上の表の類型Cに当たります。
NICTが推奨しているのは、次の3点です。
①ログ調査による侵害の確認（2026年8月以降のアクセス・API・認証ログを優先）
②認証・認可の不備や、不正なDB操作を可能にする脆弱性の点検
③不要なアクセスの制限などの暫定的な緩和策
| 対策の段階 | Cloudflareでできること | 注意点 |
|---|---|---|
| 侵害の確認 | セキュリティ分析画面やログで、未認証の大量取得、連番IDの指定、別会員情報へのアクセスなどの痕跡を確認 | 確認できるのはCloudflare経由の通信のみ |
| 暫定的な緩和 | データ取得APIへのレート制限で大量抽出を抑止。mTLS（クライアント証明書による相互認証）で、正規アプリ以外からの接続を拒否 | 証明書をアプリに埋め込むだけでは、解析で抜き取られる可能性あり |
| 検知 | API ShieldのBOLA検知（他人のデータを列挙する挙動の検出） | Enterprise限定 |
| 根本対策 | アプリ・API側での認可チェックの修正（Cloudflareは被害の拡大を抑える層として併用） | Cloudflareだけでは解消できない |
※アプリの解析そのものは防げません（公開アプリは誰でも入手可能なため）。なお、Bot Fight Mode／Super Bot Fight ModeはアプリやAPIの正規通信もチャレンジしてしまう場合があるため、API向けにはそのまま適用しないよう注意が必要です。
優先して着手すべきこと
Cloudflareで実施できること
- 管理画面・社内ツールを Tunnel ＋ Access の背後へ移し、受信ポートを閉じる。VPN装置と公開RDPは廃止（A・B・C）
- 既定を拒否とし、MFAはFIDO2を必須化。委託先にもMFAは例外を作らず、独立MFAで強制する（B）
- Accessにデバイスポスチャ（EDR稼働、OS更新）を条件として組み込む。対象は自社管理端末とし、委託先・私物端末（専用クライアントを導入できない端末）はMFA必須で統制する（A・B）
- 公開アプリにWAF Managed Rules、漏洩認証情報検知、データ取得APIへのレート制限を設定。APIはスキーマ検証で入力の形式をチェックする。ただしスキーマ検証は形式チェックであり、認可不備（IDOR：IDを書き換えると他人のデータが取れる状態）の解消はアプリ側の修正が前提（C）
- スマホアプリ向けAPIは、mTLSで正規アプリ以外からの接続を拒否し、データ取得系にレート制限を設定する（C）
自社は大丈夫か ─ かんたんセルフチェック
1つでも当てはまる場合は、今回取り上げた事故と同じ入口から狙われる可能性があります。
| チェック項目 | 関連する原因（記号） |
|---|---|
| □ 在宅勤務や外出先から社内のシステムに入るために、VPN装置やリモートデスクトップを使っている | A |
| □ 管理者用や委託先用のアカウントに、IDとパスワードだけでログインできるものがある | B |
| □ 管理画面や社内ツールのログイン画面を、社外のインターネットから誰でも開ける | B・C |
| □ 会員サイトやスマホアプリで「他人の情報が見えてしまわないか」を、専門家に点検してもらったことがない | C |
| □ 退会したお客様の情報や免許証などの画像を、保管期限を決めずに持ち続けている | 漏洩件数に影響 |
※最後の項目はCloudflareでは解決できない、データの持ち方の問題です。該当する項目がある場合は、現状の確認からお気軽にご相談ください。
前提： Cloudflareの効果は、例外のない運用を前提とします。設定ミスや例外アカウントを残さないことが重要です。侵入経路が非公表の事案（F：損害保険ジャパン、AOKI HD、タイムズモビリティ（タイムズカー）等）への評価は、類型からの推定です。
出典：各社公表資料、東京商工リサーチ、警察庁統計（令和7年版・令和8年上半期版）、NICT「A2B攻撃」公表（2026年10月13日）、Cloudflare公式ドキュメント、報道各社。
Web表示スピード改善・セキュリティ対策のCloudflare
導入のご相談だけでなく、運用フェーズでのサポートも承ります。
DDoS攻撃や悪質なBot（ボット）からのアクセスを防ぎたい方、WAF機能やプランの詳細を知りたい方、
国内エンジニアによる安心の運用サポートをご希望の方も、ぜひお気軽にお問い合わせください。
