2026年の情報漏洩を手口で分類してみた - Qiita

はじめに 2026年に入って、国内外で大きな情報漏洩が続いています。特に6月から10月初旬には、タイムズカー(約660万アカウント)、焼肉きんぐ(約1,079万件)、アフラック生命(約440万人)、デンマークの住民登録簿(約880万人)などが公表されました。 この記事では、公表された事案を入口の手口で4つに分け、一次情報(各社・当局・調査者本人の発表)を出典に付けて整理します。 調査日は2026年10月6日で、1月から10月初旬に公表された事案のうち、出典を確認できたものを載せています。 読み方と出典の区分 出典は2種類に分けて書いています。 【一次】発表した当事者(企業・省庁)、または調査した研究者本人のページ 【二次】報道・解説記事。一次が見つからなかったもの 原因が公表されていない事案は、推測で埋めずに「未公表」と書きます。 分類は公表資料に書かれた主な入口で決めており、複数にまたが

[kamezo]

これも労作だが現段階ではっきり言えることはほとんどない、強いて言えば発表や報道の粒度がバラバラで評価しづらい、ぐらいか？（とはいえ被害報告に必要な事項は定められても、公表や調査に適用はできんしなあ）

[deepgen]

AとBを組み合わせたルート。委託先の脆弱性を利用して認証情報を盗んで、盗んだ認証情報を使って委託元へ正規アクセスするサプライチェーン攻撃は委託元側からの検知が難しい

[circled]

A/B/C/Dという4分類方法がかなり問題ありで、入口の手口の前提がB/Cと矛盾しているし、短時間なら流出量が低いってのも大和証券の事例で否定されてて、そもそも分析に「自分の考え」という逃げのお気持ち挟んで台無し

[natsuvien]

AI生成文体で読みづらい。長く書けばいいというものではない。

[misshiki]

2026年の情報漏洩を、脆弱性悪用・通常利用に見えるアクセス・AIエージェント経由・原因未公表の4分類で整理。委託先からの波及、保有データ、侵入後の監視にも注目。AIの2事例は実被害ではなく研究者の検証。

[stogashi146]

“CVE-2026-88”

[charun]

「能動的サイバー防御」でオレオレ緊急事態→監視社会を作りたいからわざとやってる説

[ardarim]

手口に一貫性があるわけでなく、共通のフレームワークの脆弱性が悪用されたとかでもないとすると、AIで手当たり次第攻撃って感じなのかな。防衛できてる案件は公表されてないだけで攻撃対象はかなり多いのでは

[nabinno]

侵入経路だけで事故を分類する時代ではない。正規ID化した攻撃者が何に到達し、何件取得でき、どこで止められるかが本丸。MFAや脆弱性対策の先に、認可・取得量・保持データ・委託先まで含む被害上限の設計が要る。

[hiroomi]

A.脆弱性悪用／B.通常利用に見えるアクセス／C.AIエージェント経由／D.原因未公表の4つに分類

[akghuaiooajt]

WAFで八割防げそう

[gorokumi]

ブコメ待ち

[nguyen-oi]

2026年は漏洩の当たり年だな 手法が高度化しすぎてて防げる気がしない