個人情報流出・不正アクセスの公表が相次ぐ（2026年9〜10月）　10月6日までの17日間に91件、その後もソースネクスト2,252万件・skyticket1,464万件・バーガーキング1,118万件など　被害と補償の状況も

【このまとめについて】2026年9月20日から10月6日までの17日間に、国内の企業・団体が公表した個人情報の漏えい・不正アクセス・誤送付・紛失などを、各組織の公式発表（一部は報道）をもとに一覧にした。当サイトで確認できたのは91件（名古屋市の区役所での書類の紛失・誤送付など1人単位の4件を含む）。件数は各組織の発表どおりで、「可能性」「おそれ」の段階のものも含む。人数・件数・アカウント数など単位が混在しているため、足し合わせた数字は人数の合計にならない。自治体・学校などの小さな事案は全国を網羅できておらず、ほかにも公表されている事案がある可能性がある。当サイトに個別記事があるものは記事番号（/incident/番号）を添えた。 【件数の大きい事案（公表ベースの上位）】 1. 焼肉きんぐ公式アプリ（物語コーポレーション、10月5日）＝1,078万8,963件（/incident/23） 2. タイムズカー（パーク24、9月25日〜）＝約660万アカウント、うち本人確認書類の画像 約160万件（/incident/17） 3. ミスターマックス（10月6日）＝最大173万5,154人 4. ファインズの予約システム（9月25日）＝153万6,322件（影響範囲） 5. infoQ（GMOリサーチ&AI、10月5日）＝最大94万8,498件 6. スカラコミュニケーションズのFAQシステム（10月6日）＝延べ最大71万3,126件（大和証券 約11万人、シチズン時計 約10万人を含む） 7. セイコーマートアプリ（9月29日〜）＝57万4,647人（/incident/19） 8. オズモール（スターツ出版、9月27日〜）＝最大44万2,779人 9. OfferBox（i-plug、10月5日）＝最大31万4,009人（理論上の最大値） 10. TOPPAN（損保ジャパン契約者の誤送付、9月29日）＝17万7,426人（/incident/18） このほか、大起水産 17万4,933人、大阪公立大学 少なくとも13万人分を保存（流出は調査中）、大東ガス 約12万4,000件、第一生命保険 約12万人が続く。 【個人情報が漏えい・閲覧された、またはその可能性があると公表したもの（公表日順・69件）】 ・9/21 愛知県（結婚支援サイト「あいこんナビ」）＝599人の氏名・年齢・最終学歴・職業・身長・趣味などが閲覧できる状態だった。2018年から、主催団体が誤って添付した資料を県も見落として承認していた ・9/24 東京都江戸川区＝採用内定者96人のメールアドレスを、宛先欄の入力ミスで互いに見える形で送信 ・9/24 大阪市（市立美術館）＝講座受講者30人の氏名・メールアドレスを誤送信 ・9/24 ダイナック（採用代行ApplyNow経由）＝応募者情報が漏えい（件数の記載なし） ・9/25 パーク24（タイムズカー）＝約660万アカウントの情報が取得され、運転免許証などの本人確認書類の画像も約160万件（/incident/17） ・9/25 ファインズ（予約システム）＝153万6,322件（影響範囲）の氏名・電話番号・メールアドレス・予約内容 ・9/25 スマレジ（スマレジEC・リピート／B2B）＝管理画面ログイン機能の脆弱性で、4社の顧客環境の顧客・受注情報などが閲覧・取得された可能性 ・9/25 井筒まい泉（ApplyNow経由）＝応募者情報が漏えい（件数の記載なし） ・9/25 レゴランド・ジャパン・ホテル＝外部の予約基盤への不正アクセスで、予約1,557件分の氏名・メールアドレス・電話番号 ・9/25 鳥取県琴浦町＝委託事業者が住民828人分のデータを別の自治体の領域に誤って格納（閲覧したのは1人） ・9/26 ニッポンレンタカー（アプリ）＝会員41人の情報が閲覧されたおそれ。10月1日に別の手口で55人を追加公表（重複の有無は未公表） ・9/27 スターツ出版（オズモール）＝最大44万7,610人のメールアドレスなど。10月1日の第2報で最大44万2,779人に修正 ・9/27 東京メトロ（メトポ）＝メール配信サービスへの不正アクセスで、メールアドレス約5万9,000件 ・9/28 集英社（HAPPY PLUS COMMUNITY）＝ブロガー2,835人の氏名・住所・電話番号・生年月日など ・9/28 りそな銀行＝約9,000人分の取引記録を写したフィルム媒体を紛失（誤廃棄の可能性が高いと説明） ・9/28 手間いらず（宿泊予約管理TEMAIRAZU）＝複数の宿泊施設の宿泊者情報の一部（件数未公表）。予約者を狙う不審なメッセージも確認 ・9/28 大東ガス（委託先・両毛システムズ経由）＝約12万4,000件の氏名・住所・電話番号・ガス使用量など ・9/28 群馬県伊勢崎市（両毛システムズ経由）＝児童生徒3,789件の学校名・氏名・アカウント名・パスワード ・9/28 さいたま市民医療センター＝職員専用ページの設定不備で、患者写真2枚・職員2人分が見られるおそれ ・9/29 TOPPAN＝損保ジャパンの契約者17万7,426人分を別の損保会社へ誤送付（/incident/18） ・9/29 セイコーマート（アプリ）＝約57万アカウントの氏名・住所・電話番号など。10月5日の第4報で57万4,647人に（/incident/19） ・9/29 イープラス（スマチケ）＝払い戻し情報1,463件のカナ氏名・口座情報・住所など ・9/29 ヤマト運輸（クロネコ代金後払い）＝利用者の氏名・住所・電話番号・請求金額など（件数未公表） ・9/29 日本郵便（郵便局アプリ・ゆうID）＝19人分・69件の会員情報や送り状情報の取得を確認（9月25日公表の国際郵便の件とは別） ・9/29 四街道市社会福祉協議会＝サポート詐欺で業務PCを遠隔操作され、33人の介護認定区分などが漏えいした可能性 ・9/29 国際文化会館（図書室の蔵書検索）＝法人会員の会社名・法人代表会員のパスワードなど（件数未公表） ・9/29 クオカード（LINEキャンペーン）＝LINE表示名・当選情報（調査中） ・9/29 福岡県（委託先・麻生教育サービス）＝介護職場の認証申請ファイルで183人の氏名・生年月日などが閲覧できる状態 ・9/29 名古屋市環境局＝572事業者の担当者の氏名・電話番号・メールアドレスを約1時間誤掲載 ・9/29 岡山県（おかやま結婚推進協会）＝婚活イベント申込フォームの設定ミスで26人分（報道） ・9/29 日本郵便（帯広郵便局の従業員）＝居住者情報を探偵に提供した疑いで従業員が逮捕された（報道。内部不正） ・9/30 佐川急便＝お荷物問い合わせサービスなどへの不正アクセスで、約100日分の荷物の送り主・届け先の氏名・住所・電話番号など（件数未公表） ・9/30 ベネフィット・ワン（ベネワン・プラットフォーム）＝13,460人・2,322団体の社員番号・氏名などが他社の画面に混入（ダウンロードは1社1人）。2025年10月に把握しながら直していなかった ・9/30 ジー・プラン（Gポイント）＝会員識別子 最大約7万件（氏名などは含まない） ・9/30 学校法人修道学園＝教職員・学生・取引先の氏名・住所・口座情報など（件数未公表） ・9/30 吉野家ホールディングス（ApplyNow経由）＝吉野家4,998件・はなまる368件・従業員418件 ・9/30 大阪市こども青少年局（委託事業者）＝サポート詐欺で、児童1,261人（うち114人は障がい・疾病の情報）を含む最大2,272人分が閲覧できる状態 ・9/30ごろ 名張近鉄ガス（両毛システムズ経由）＝約6,800件（報道） ・10/1 らしんばん＝氏名・住所・本人確認書類の番号・銀行口座・買取同意書の画像など（件数未公表） ・10/1 ZonExpert（Amazon出店の運用代行）＝委託元63事業者の購入者の氏名・住所・電話番号・注文履歴が閲覧され得る状態 ・10/1 チケットプラス（チケプラ）＝キャッシュ設定ミスで、最大107人の氏名・住所・カード下4桁などが他人に表示された可能性（他人の情報を見た可能性は最大322人） ・10/1 エターナルホスピタリティジャパン（鳥貴族、ApplyNow経由）＝応募者の氏名・メールアドレス・電話番号など（件数の記載なし） ・10/1 日本原子力研究開発機構（JAEA）＝研究炉利用者175人分の書類（うち6人はマイナンバー） ・10/2 国税庁（e-Tax）＝79人分の贈与税申告書が本人以外の19人から閲覧できる状態、個人情報は計203人分（/incident/21） ・10/2 大阪公立大学＝大規模なシステム障害。10月5日の会見でランサムウェアと判断し、少なくとも13万人分を保存していたと説明（流出は調査中、報道） ・10/2 第一生命保険（人事システム）＝従業員・退職者 約12万人の氏名・住所・所属など（報道） ・10/2 エネルギー・金属鉱物資源機構（JOGMEC）＝メールアドレス約8,500件 ・10/2 ニチイ学館（介護サイト）＝問い合わせ583人分（うち99人は健康状態など）が認証なしで取得できる状態だった。2020年から ・10/2 アバハウスインターナショナル＝全会員の氏名・住所・電話番号・生年月日・注文情報などが対象の可能性（件数未公表） ・10/2 サミーネットワークス（777CON-PASS）＝電話番号・生年月日・プロフィール写真など（調査中） ・10/2 グリーンコープ生協ふくおか＝業務用PCが車上荒らしで盗まれ、33,526人分（流出は確認されていない） ・10/2 ワンダーテーブル（ApplyNow経由）＝応募者の氏名・メールアドレスなど（件数の記載なし） ・10/2 奈良県明日香村（ApplyNow経由）＝399件の氏名・メールアドレス・電話番号など ・10/2 講談社BECK＝メールアカウントへの不正アクセスで、メールボックス内の情報（件数未公表） ・10/2 セーファーインターネット協会＝利用するレンタルサーバー側の不正アクセスで、通報内容・問い合わせ内容など（件数非公表） ・10/3 リクルート（スタディサプリ）＝仕様の不備で、3,687件のメールアドレスが登録済みかどうかを第三者に知られた可能性 ・10/4 日本経済新聞社＝Microsoft 365への不正ログインでなりすましメール約9,000件。Google Workspaceへの不正ログインで1,646人分 ・10/4 日経BP＝フィッシングで従業員のメールに不正アクセス、26件 ・10/4 NTTドコモ（RCS）＝約1万6,000件の情報を同意を得ないままGoogleへ提供する設定に（実際の送信は225件） ・10/5 物語コーポレーション（焼肉きんぐ公式アプリ）＝1,078万8,963件の会員番号・氏名・メールアドレス・電話番号（/incident/23） ・10/5 大和証券（委託先・スカラコミュニケーションズ経由）＝約11万人の氏名・メールアドレス・口座番号など ・10/5 GMOリサーチ&AI（infoQ）＝最大94万8,498件の持ち出しを確認。ポイントの不正交換611件・286万9,500円 ・10/5 i-plug（OfferBox）＝通信データに学生の氏名・メールアドレスが含まれる設定不備、最大31万4,009人（理論上の最大値） ・10/5 大起水産（公式アプリ）＝17万4,933人の氏名・生年月日・住所・電話番号など ・10/6 シチズン時計（スカラコミュニケーションズ経由）＝問い合わせをした約10万人の氏名・住所・電話番号など ・10/6 スカラコミュニケーションズ（FAQシステムi-ask）＝利用企業 最大5社、延べ最大71万3,126件の問い合わせ情報 ・10/6 ミスターマックス（アプリ・オンラインストア）＝最大173万5,154人の会員ID・氏名・メールアドレス・電話番号 ・10/6 楽天ドライブ（クラウドストレージ）＝管理用アカウントの認証情報を盗まれ、15,382アカウントの保存データ（写真・文書）、プロフィール687件、暗号化パスワード313件 ・10/6 ニモカ（利用履歴照会）＝521件のメールアドレス・生年月日・カード番号 ・9/29〜10/5 名古屋市（西区・港区・北区・昭和区）＝住民票交付申請書の紛失、市税のお知らせの誤配付など1人単位の事案4件 【攻撃や不正アクセスを公表したが、個人情報の流出は確認されていない・調査中のもの（18件）】 ・9/20 GMOインターネット（ConoHa WING）＝426アカウントのサーバー領域に不正プログラム。会員・支払い情報の漏えいはなし ・9/22 くふうカンパニー（くふうZaim）＝14人の登録情報が書き換えられた。漏えいは確認されず ・9/24 エスケーロジ＝サイバー攻撃（漏えいの有無は調査中） ・9/24 池上通信機＝サイバー攻撃の可能性を調査中 ・9/25 日本郵便（国際郵便の調査請求Web受付）＝不正アクセスの可能性で受付停止。漏えいは確認されず ・9/25 東洋紡（東洋紡せんい）＝メールアカウントが乗っ取られ約1,500件のフィッシングメールを送信 ・9/25 佐賀大学＝事務用のファイルサーバーにランサムウェア被害 ・9/26 京王グループ＝ランサムウェア攻撃で決済・予約などに影響。漏えいは確認されず ・9/28 信濃毎日新聞社・サンポー食品・フクビ化学工業＝ポイントシステムやWebサイトへの不正アクセス・改ざん（漏えいは確認されず・調査中） ・9/29 アイホン（豪州子会社）・ユニリタ＝社内ネットワーク・文書管理システムへの不正アクセス（ユニリタは情報の窃取を公表、件数未公表） ・9/30 東洋紡エムシー・関西国際大学・西日本調理製菓専門学校＝フィッシング被害・学内システムへの不正アクセス・Webサイト改ざん ・10/1 ローソン＝メールサーバーが不正利用され不審メール約70万通を送信。情報流出は確認されず ・10/2 ジャパンタイムズ＝グループ会社のサーバーへの不正アクセス（調査中） 【委託先1社の被害が、複数の公表につながったもの】各社の発表で、同じ委託先・同じ経路だと説明されているもの。 ・ApplyNow（採用業務の代行）＝8月9日〜9月7日の不正アクセス（データ分析ツールの脆弱性）。期間内にダイナック、井筒まい泉、吉野家ホールディングス、鳥貴族（エターナルホスピタリティジャパン）、ワンダーテーブル、奈良県明日香村が公表した。ApplyNow本体と静岡県富士市などの自治体は9月19日以前に公表している。吉野家は、契約終了後も応募者の情報が消されていなかったと説明している。 ・スカラコミュニケーションズ（企業向けFAQシステム「i-ask」）＝10月2日夜〜3日朝の管理サイトへの不正ログイン。大和証券、シチズン時計など最大5社。残りの社名は未公表。 ・両毛システムズ（自治体・ガス会社向けシステム）＝ランサムウェア。大東ガス、群馬県伊勢崎市、名張近鉄ガス（報道）。 ・手間いらず（宿泊予約の管理システム）＝9月21日の不正アクセス。宿泊施設ごとの公表が続いている。 ・フィッシングの連鎖＝乗っ取られた東洋紡せんいのアカウントから届いたメールで東洋紡エムシーが、日本経済新聞社の社員アドレスから届いたメールで日経BPが被害を受けた。 【なぜ「一斉に」見えるのか（確認できた事実）】 ・発生や検知の時期はばらばらで、ひとつの攻撃が同時に起きたわけではない。あいこんナビは2018年、ニチイ学館は2020年、ベネフィット・ワンは2025年6月の改修、ZonExpertは2025年8月、楽天ドライブは2026年1月からの事案。一方で、焼肉きんぐ・infoQ・ミスターマックス・スカラコミュニケーションズは10月2〜3日に検知している。 ・上の「委託先1社の被害」のように、1つの侵入が発注元ごとの公表になって件数が増えている。 ・個人情報保護委員会は、漏えいが発覚したら「まずは速やかに」報告し、不正な目的のおそれがある場合は発覚日から60日以内に確報を出すよう求めている。 ・委託先が共通するケースを除き、各社に共通する攻撃者や共通の脆弱性があるとする公式発表・報道は、10月6日時点で確認できていない。 【攻撃者側の主張について】池上通信機、ユニリタ、ジャパンタイムズについては、犯行グループがリークサイトで犯行を主張しているが、グループ名や取得したとされるデータ量は攻撃者側の主張で、各社は認めていない。犯罪フォーラムなどで大手企業の会員情報だとする販売投稿もあるが、企業の公式発表がないものはこの一覧に入れていない。 【期間内に続報が出た主な事案（最初の公表は9月19日以前）】画像共有サービスGyazo（Helpfeel）は9月25日の第二報で、削除済み画像のメタデータ約1億7,400万件の流出を追加で確認した（9月27日に再開）。両毛システムズは9月25日の第3報でランサムウェアと確定した。このほか、EPARKリラク&エステ、ホワイトエッセンス、VOISING、ムーンスター、日本エネルギー経済研究所なども期間内に続報を出している。 【各社が呼びかけている注意点】漏えいした氏名・電話番号・メールアドレスを使ったなりすましメール・SMS・電話に注意し、身に覚えのないリンクや添付ファイルを開かないこと。多くの会社が「パスワードやクレジットカード番号を当社から尋ねることはない」としている。同じパスワードを他のサービスで使い回している場合は変更を勧める会社もある。運転免許証の画像が漏えいしたタイムズカーの件では、信用情報機関（CIC・JICC）への本人申告の届出が急増した（/incident/17）。 【10月7日以降に判明した事案（随時追記）】 ・10/7 IDCフロンティア（ソフトバンク子会社）＝クラウドサービス「IDCFクラウド」の東日本リージョン1の一部がランサムウェア攻撃を受け、仮想サーバーが停止・再起動できなくなった。利用する495の企業や自治体に影響し、茨城県や茨城県警などのホームページが見られなくなった。対象区域に保管された顧客データは取り出しや復元が困難な見通しで、復元は利用者自身のバックアップからのみ可能と説明している。情報漏えいの有無は調査中（同社の第1報〜第4報）。 ・10/7 エイチ・アイ・エス（HIS、タイ現地法人H.I.S. TOURS CO., LTD.）＝タイ法人のファイルサーバーが不正アクセスを受け、最大627人分のパスポート情報（アルファベットの氏名、署名欄の名前、性別、生年月日、旅券番号、有効期限）とアレルギー情報が流出した可能性。対象は2017年、2019〜2020年、2024〜2025年にHISでタイへ出発した客。電話番号・住所・メールアドレス・カード情報は含まない。検知は2025年12月11日、日本で取得した個人情報が含まれると確認して個人情報保護委員会とJIPDECに報告したのが12月29日、最大627人分と判明したのが2026年2月24日で、公表は検知から約10か月後。HISは、サーバーに会計記録など無関係のデータが大量に混在し、手作業で照合する必要があったと説明し、取材に対して「他の事案に紛れ込ませる目的で公表時期を意図的に調整したという事実は一切ございません」と回答した（女性自身）。詳しくは個別記事（/incident/27）。 ・10/8 第一興商＝約872万4,000件（INTERNET Watch）。ローソン（ローソンID）＝2,155,345件（Security NEXT）。オリックス生命＝問い合わせ約2万6,500件（スカラコミュニケーションズ経由）。 ・10/8 神奈川県警察（保土ケ谷署の20代男性巡査長・警備部門）＝運転免許の更新で回収した他人の古い運転免許証 数十枚を不正に持ち出し、8月に飲酒した後、免許証の入ったかばんを紛失していたと報道された（共同通信は逗子市の駅に置き忘れたと報道）。かばんは落とし物として届けられ、中の免許証から発覚した。免許証は巡査長の前任地の警察署（横浜市港北区を管轄）の住民のもので、内規では交通部門の幹部の立ち会いのもとで裁断・廃棄することになっていた。県警は持ち出しの目的と経緯を調べ、巡査長の処分を検討している（毎日新聞・共同通信・NHK。いずれも捜査関係者への取材。県警の公式発表は10月8日時点で確認できていない。巡査長の氏名は報じられていない）。 ・10/9 ブックオフグループホールディングス（子会社の会員管理システム）＝10月6日に第三者の不正アクセスを確認し、会員情報が外部から取得されたことが判明。漏えいした可能性があるのは最大約643万件（会員番号の件数で、実際の人数は精査中）で、氏名・生年月日・性別・メールアドレス・電話番号・住所・パスワードのハッシュ値・ポイントカード番号・会員番号。クレジットカードなどの決済情報はこのシステムで保有していない。公開や悪用は10月9日時点で確認されていない。代表取締役社長は堀内康隆氏（東証への適時開示）。IDCフロンティアの件との関係を示す発表はない。10月13日の第2報で、外部に送られた会員データは6,427,735件・対象者は6,383,279人と確定（情報が抜き取られたのは10月4〜6日）。詳しくは個別記事（/incident/26）。 ・10/9 アドベンチャー（航空券予約サイトskyticket）＝管理機能の不正操作などで約1,464万件の個人情報が流出（うち約413万件はハッシュ化したパスワードを含む）。別の不正アクセスで返金先口座など1万7,780件、ログインなしで見えたバス予約約1万2,000件。会員1人のアカウントへの不正ログインも確認。 ・10/9 ディップ（求人サイト バイトル）＝最大3,885,771件のメールアドレス（サイト機能の仕様の不備）。 ・10/9 手間いらず＝9月28日公表の件で、宿泊予約の情報が最大約445万人分に及ぶ可能性と公表。 ・10/9 IDCフロンティアのクラウド被害の広がり＝JR東日本（えきねっと最大約167万件・大人の休日倶楽部最大約39万件）、Peach Aviation（約189万件、流出は未確認）、JR九州（最大約130万件、10月15日に「漏えいの事実は確認されず」）。10月13〜14日にもマウスコンピューター（約42万件）、イズミ（最大約40万件）、JR東海、スカパーJSATなどが公表。 ・10/9 ユーザベース（NewsPicks）＝メール32.3万件、カード名義・下3〜4桁36.2万件など（最大想定・重複あり）。コミューン（コミュニティサービス）＝約30.7万人。利用するマツダ、パナソニック、スズキ、ティップネス、LINEヤフー、バンダイナムコ、ヤマハ、Sansan、湖池屋、森永乳業や青森県なども影響を公表。リゾートトラスト＝約6万2,000件。 ・10/13 ライドオンエクスプレスHD（銀のさら・釜寅・すし上等）＝サーバー運営会社のランサムウェア被害で最大約650万件の可能性。 ・10/13 アルカディア（自治体の防災メール「SpeeCAN RAIDEN」）＝メール最大約313.6万件など。千葉市、横須賀市、さいたま市、宮崎県、大分県、香川県など125以上の自治体と、広島県警（警察官・職員約5,700人）が影響を公表。 ・10/13 カインドオル（トレジャー・ファクトリー子会社）＝136,464人の流出を確定。Fivot（キャッシュレスアプリIDARE）＝129,659人の流出を確認。 ・10/14 GMOリサーチ&AI（infoQ）第2報＝持ち出しが確定したのは894,082件。アエナ（化粧品ECアプリ）＝最大817,215人。日テレWands（ファンクラブ基盤）＝117,392アカウント。マッチングサイト「Lili」＝最大98,256人（本人確認書類の画像7,261人分）。メドレー（産婦人科向け予約）＝最大787医療機関。 ・10/15 ソースネクスト＝会員情報取得APIを不正に利用され、22,519,960件が流出した可能性。メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名など（暗号化の有無は発表に記載なし）。不正アクセスは10月9日10時ごろから、検知は13日、公表は15日。カード情報は対象外。詳しくは個別記事（/incident/29）。 ・10/15 ビーケー・ジャパン（バーガーキング公式アプリ）＝10月2〜7日の不正アクセスで約1,118万件の会員情報（氏名、メールアドレス、電話番号、生年月日、都道府県など）が漏えい。判明は13日。カード番号は保有せず、パスワードの漏えいは確認されていない。詳しくは個別記事（/incident/30）。 ・10/15 イエローハット（8月公表の第二報）＝1,797,124人の流出を確定。ビューティガレージ＝775,725件の流出を確認。 ・10/16 日本経済新聞社＝システム開発に使うクラウドサービスの認証情報を盗まれ、10月7日未明から朝の不正アクセスで約183万件の個人情報が漏洩（氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むもの約15万件、単体では個人を特定できない識別子のみ約168万件）。個人情報保護委員会には11日に報告。同社は10月4日にもMicrosoft 365とGoogle Workspaceへの不正ログインによる漏洩を公表しており、10月2日の社説ではパーク24の情報管理を「ずさんすぎる」と批判していた。（詳しくは /incident/32） 【被害と会社の対応（10月15日時点）】各社の続報と報道をもとに整理した。 ・実際の金銭被害を公表したのは、infoQ（ポイントがAmazonギフトコードへ不正交換され611件・286万9,500円。会社は全額を補填する方針）だけ。skyticketは会員1人のアカウントへの不正ログインを確認した。 ・なりすましの連絡：アバハウス（返金や欠品を装ってLINEへ誘導するメール。10月9日に警察へ被害届、金銭被害の申し出はなし）、らしんばん（LINEやPayPayへ誘導するメール）、手間いらず（予約者を狙う不審なメッセージ）。ヤマト運輸には心当たりのない連絡についての問い合わせが寄せられているが、流出との関係は確認されていない。 ・タイムズカー：運転免許証の画像が漏れたことを受け、警視庁管内では9月30日からの10日間で約1,500人が免許証を再交付し（TBS）、少なくとも16県が特例で再交付を受け付けた。信用情報機関（CIC・JICC）への本人申告も殺到した。 ・補償：金銭補償を表明した会社は確認できない。infoQ（不正交換分の補填）のほか、セイコーマートはポイントの有効期限を延長、ヤマト運輸は払込票の支払期限を17日延長した。タイムズカーは「外部専門機関の調査結果を踏まえて全体方針を決定する予定」（10月13日更新のFAQ）。焼肉きんぐ、ブックオフ、ミスターマックス、佐川急便、TOPPAN・損保ジャパン、オズモール、スカラコミュニケーションズ経由の各社、楽天ドライブ、アバハウス、らしんばんなどは、お詫びと注意喚起のみ。HISは「悪用された場合は適切な措置を講じる」としている。 ・原因：侵入経路を具体的に公表した会社はほとんどない。ブックオフは「次の不正アクセスを誘うおそれ」、セイコーマートは「警察・関係機関と連携しているため」として手口を明かしていない。 ・集団訴訟：タイムズカーの件で牧野裕貴弁護士が開いた参加受付は「既に8万人を超え」たと報じられた（共同通信、10月12日付）。登録は参加の意思表示で、提訴の時期は未定。他社の件で集団訴訟の動きは確認できない。 ・行政：個人情報保護委員会が10月7日に事業者向けの注意喚起、政府が10月8日に関係省庁会議、JPCERT/CCが10月8日に「国内で相次ぐ不正アクセス」への注意喚起（スマホアプリを解析してAPIを悪用する手口などを例示）、国家サイバー統括室が10月9日に対策の徹底を要請、国土交通省はレンタカー業界に点検を要請した。個別の企業への指導・勧告は、10月15日時点で確認できない。 ・株価：パーク24は公表後に約3か月ぶり、その後11か月ぶりの安値と報じられた。物語コーポレーションは公表翌日に一時5.76％安。楽天グループは楽天ドライブの発表を受けて反落したと報じられた。