【サイバー攻撃とは？】タイムズ、京王、GMO…相次ぐ被害の正体（前編）

「"サイバー攻撃"のニュース、最近、ちょっと多すぎない？」

そう感じている方も多いのではないでしょうか。

2026年9月16日から10月5日までの約3週間で、情報漏えい（そのおそれを含む）を公表した国内の企業・組織は21にのぼります。

カーシェアの「タイムズカー」では約660万件の会員情報が取得され、京王グループの一部のお店ではカード払いが止まりました。10月には「焼肉きんぐ」のアプリで約1,079万件、GMOインターネットグループの会社で最大約95万件の漏えいも公表されています。

実はいま、サイバー攻撃は"どこか遠くのIT企業の話"ではなくなっています。毎日使うお店やアプリの会社が、静かに、次々と狙われているんです。

「でも、狙われるのは大企業でしょ」と思うかもしれません。ただ、2026年上半期に警察へ報告されたランサムウェア（データを人質にとる攻撃）の被害は、半期で過去最多の123件。そのうち6割超は中小企業でした。

サイバー攻撃は、ハッカーの魔法ではありません。
"戸締まりのすき"を突く空き巣です。

この記事では、2026年8月から10月に国内で相次いだ事例をたどりながら、「ランサムウェア」や「不正アクセス」を空き巣に例えて、専門用語なしで解説します。

約5分後、読み終わるころには、自分の言葉で周りの人にも説明できるはずです。

サイバー攻撃は、空き巣に置き換えると一気に分かりやすくなります。泥棒が入ってくる入り口は、たいてい3つ。"古いままの勝手口"、"盗まれた合鍵"、そして"宅配業者を装ったニセの訪問者"です。

1. 2026年8〜10月、国内で何が起きたのか

まずは、この3か月ほどのあいだに国内で公表された主な事例を、ざっと並べてみます。

※各社の公表内容をもとにHAKONIWA Labが整理（2026年10月8日時点）

表の右端を見ると、被害の形は"止まる""漏れる""広がる"の3つに分けられます。

小売、カーシェア、鉄道グループ、ガス会社と市、宿泊予約、飲食チェーン、アンケートサイト。業種も会社の大きさも、まったくばらばらです。しかも、ここに並べたのはほんの一部です。

それでも、共通していることが1つあります。どの会社も、"どこかの入り口"から泥棒に入られているということです。

同じ時期には、設定ミスによる漏えいもいくつか公表されていますが、この記事では外から入られたケースに絞って見ていきます。被害の形の話は第3章に回して、まずは泥棒がどこから入ってくるのかを見ておきましょう。

2. サイバー攻撃の正体は"空き巣"。

入り口は3つ

「ハッカーが黒い画面に高度なコードを打ち込んで防壁を突破していく」。

そんなイメージを持っている方も多いのではないでしょうか。

実際の攻撃は、もっと地味です。

警察庁の観測では、2026年上半期、弱点を探す不審なアクセスが1日・1IPアドレスあたり13,687件。前年同期より50.7%増えました。泥棒が家々のドアノブを、片っ端から回しているようなものです。

入り口①：古いままの勝手口（ソフトや機器の弱点）

更新されていないソフトや機器に残る弱点（脆弱性）です。
GMOリサーチ&AIは、ここを突かれました。

入り口②：盗まれた合鍵（ID・パスワード）

漏れたIDやパスワードで、"本人として"正面から入られます。
両毛システムズは、VPNのアカウントを悪用されました。

入り口③：ニセの訪問者（フィッシング）

本物そっくりのメールやSMSで、自分からドアを開けさせる手口です。9月には、予約情報を使ったニセのメッセージが宿泊客に届きました。

ランサムウェアの侵入経路で最も多いのは、VPN機器（社外から社内に入る通用口）です。なお、タイムズカーと焼肉きんぐの侵入経路は、10月8日時点で公表されていません。

💡 攻撃する側も、AIを使い始めています。 IPAの「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が組織向けの3位に初めて入りました。国内でも、生成AIで作られたとされるプログラムで、会員情報が大量に取得された疑いの事件が起きています。

では、泥棒に入られた会社では、何が起きるのでしょうか。

3. 入られた会社に起きること

止まる・漏れる・広がる

泥棒に入られた会社に起きることは、大きく3つです。
止まる、漏れる、そして広がる。

止まる：家財を金庫に閉じ込める"立てこもり"

ランサムウェアは、データを暗号化して使えなくし、「元に戻したければお金を払え」と迫る手口です。盗んだデータを「公開するぞ」と重ねて脅すことも多く、REXTでは情報の一部がネット上に掲載されました。

京王グループでは、電車は動いていたのに、スーパーの一部で決済が、ホテルでは予約の受付が止まりました。被害の広がりを防ぐためにシステムを切り離すと、無事な仕事まで止まるんです。

被害は会社の大きさを選びません。調査や復旧に1,000万円以上かかった組織も、約6割にのぼります。

漏れる：名簿を持ち出される"持ち出し"

家財は無事でも、名簿を持ち出されることがあります。タイムズカーでは約160万件で運転免許証の画像などまで漏れ、親会社のパーク24の株価は一時4か月ぶりの安値になりました。

広がる：預けた合鍵から入られる

合鍵を預けた管理会社に入られたら、自分の戸締まりが完璧でも防げません。両毛システムズはガス会社などのデータを預かっていたため、大東ガス（約12.4万件）などの情報が漏えいした可能性があります。委託先を狙う攻撃は、IPAの10大脅威でも組織向けの2位です。

冒頭の例えに立ち返ってみましょう。泥棒が狙うのは、いちばん頑丈な扉ではなく、いちばん手薄な入り口です。それは古いままの勝手口かもしれないし、誰かの合鍵かもしれないし、取引先に預けた合鍵かもしれません。

そして、会社が止まったり漏れたりしたとき、最後に困るのは私たち利用者です。
後編では、暮らしへの影響と、自分の家の鍵のかけ方を見ていきます。

4. まとめ

• 2026年8〜10月だけでも、小売、カーシェア、鉄道グループ、ガス会社、宿泊予約、飲食チェーン、アンケートサイトと、業種を問わず被害が相次いだ。

• サイバー攻撃は、ハッカーの魔法ではなく"戸締まりのすき"を突く空き巣。
  入り口は3つ。
  ①古いままの勝手口（ソフトや機器の弱点）
  ②盗まれた合鍵（ID・パスワード）
  ③ニセの訪問者（フィッシング）。

• 入られた会社に起きることも3つ。
  ①止まる（ランサムウェア）
  ②漏れる（情報の持ち出し）
  ③広がる（委託先を通じた被害）。

🛠️今日からできる2ステップ

Step 1：今日からできること

会社のPCの「更新して再起動」を、その日のうちに済ませる

古いままの勝手口を閉じるのは、情報システム部門だけの仕事ではありません。社員1人ひとりのPCも、会社の入り口の1つです。とはいえ、作業の途中で再起動の通知が出ると、つい「あとで」を押してしまいますよね。それなら、昼休みや退勤前など、PCを離れるタイミングに合わせて再起動するだけで十分です。いちばん手間が少なく、いちばん確実な戸締まりです。

5. FAQ

Q. 最近、なんでこんなにサイバー攻撃のニュースが多いの？
A. 被害そのものが増えています。2026年上半期のランサムウェア被害は半期で過去最多で、弱点を探る不審なアクセスも前年同期より5割ほど増えました。入られ方も、ソフトの弱点、委託先経由、アカウントの悪用などさまざまです。

Q. 身代金を払えば、元に戻るんじゃないの？
A. 払っても、データが元に戻る保証はありません。警察も、支払ったお金が犯罪グループの次の活動資金になるおそれがあると説明しています。

Q. うちみたいな小さい会社も、狙われるの？
A. 狙われます。2026年上半期に報告されたランサムウェア被害123件のうち、79件は中小企業でした。

Q. ニュースで流出した個人情報、自分のものだったら？
A. やることは3つあります。後編で、タイムズカーやGMOの事例をもとに、手順と注意点をまとめています。

🛠️ 次のステップ：

あわせて読みたいコンテンツ

📖【AIが人類を滅亡させる？】AI企業のトップたちの本音

📖【自動運転】結局、いつ乗れるの？

📖【Meta Museとは？】「答えるAI」から「代わりに動くAI」へ

📖 生成AIのセキュリティ
「情報漏洩、大丈夫？」と聞かれて答えられますか

📖 AI失業
あなたの仕事がなくなる？データで見る「いま起きている本当のこと」

📖 【フィジカルAI｜前編】
ロボットが100mを8秒台で走る時代！いま何が起きているのか？

📖 【3大AI比較】
ChatGPT｜Claude｜Gemini 結局どう違う？（入門編）

📖 【5分で完全解説】
Claude Coworkとは？Claude ChatやClaude Codeとの違い

📖 【５分で完了】
Claude Coworkの初期設定手順（初心者向け）

📬 【AIの無料相談】

自社チームにどうAIを組み込むべき？
無料ワークフロー診断・お問い合わせはこちら

「自社の動画制作フローや、クリエイターチームの業務にどうAIを組み込むべきか迷う…」という企業様向けに、個別ワークフローの無料診断・ご相談も承っています。お気軽に以下よりお問い合わせください。

📚 出典

統計・調査

• 警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）

• 警察庁「ランサムウェア被害防止対策」

• IPA「情報セキュリティ10大脅威 2026」（2026年1月）

• IPA「情報セキュリティ対策の基本と共通対策」（情報セキュリティ10大脅威 2025版）

• ITmedia エンタープライズ「タイムズカー、焼肉きんぐなど数十社情報漏えい総まとめ 公表が相次ぐ3週間に何が起きたのか」（2026年10月7日）

各社の発表・報道（本文の登場順）

• ScanNetSecurity「REXTにランサムウェア攻撃、WonderGOOや新星堂などの一部店舗に影響」（2026年8月18日）

• ScanNetSecurity「REXTにランサムウェア攻撃、流出した可能性のある情報の一部がインターネット上に掲載」（2026年9月28日）

• 両毛システムズの公表（第3報、2026年9月25日）

• タイムズモビリティ「『タイムズカーWebシステム』への不正アクセスに関する調査結果および今後の対応について（第3報）」（2026年9月29日）

• ITmedia NEWS「パーク24株、一時4カ月ぶり安値 タイムズカー漏えいの集団訴訟に2000人超参加意向の報道」（2026年10月2日）

• 京王電鉄「ランサムウェア攻撃によるシステム障害に関するお知らせとお詫び」（2026年9月26日）

• トラベルボイス：宿泊予約管理システム「TEMAIRAZU」への不正アクセスに関する記事（2026年9月29日）

• ビジネス+IT「焼肉きんぐ 公式アプリに不正アクセス、1078万件の個人情報漏えい」（2026年10月6日）

• GMOリサーチ&AI「当社が運営するアンケートサイト『infoQ』への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月5日）

• 時事通信（nippon.com）：生成AIで作られたとされるプログラムによる不正アクセス事件の続報（2026年7月9日）

※2026年10月8日時点の情報です。

※AIツールの環境はめまぐるしく変化しています。本コンテンツの内容は2026年10月現在を起点とした実践と考察の記録です。仕様変更により情報の齟齬が生まれる可能性がある点はご了承ください。最新情報はコンテンツにて随時アップデートいたします。

※本記事は、当社の実践・研究と複数のAIクリエイターの検証結果や動向を参考に、ノンエンジニアのビジネスパーソン・クリエイター向けに構成したものです。