焼肉きんぐもタイムズカーも漏洩した2026年10月。LastPassに467件登録してた私は、パスワードをこう見直しました
夜桜りこです。
10月に入ってから、情報漏洩のニュースが続いていました。
夫と夜に話していて、「あれも漏れたし、これも漏れたよね」と会社の名前が出てくるのに、私はどれがどういう理由だったのか、あまり理解できてませんでした💦
なので今日は、報じられていることを自分で調べた結果を備忘録がてら書いてみようと思います🙇♀️
気になった漏洩を、分かっている範囲で並べてみた
2026年11月3日時点で、公式の発表や報道から分かっていることです。
原因が書いていないものは、まだ調査中のものです。
■ タイムズカー（2026年9月25日に不正アクセスを検知）
氏名、住所、生年月日、電話番号、メールアドレス、運転免許の情報などが対象で、外部に送られた形跡があるアカウントは662万8,007件。
原因は、Webシステムの脆弱性が悪用されたと報じられています（公式の原文までは私は確認できていません）。
クレジットカード番号の全桁とセキュリティコードは、そもそも保有していないと発表されています。
■ 焼肉きんぐ（2026年10月2日に不正アクセスを確認）
公式アプリの会員管理システムから、1,078万8,963件の会員情報が漏れました。
会員番号、氏名、メールアドレス、電話番号で、パスワードと決済情報は含まれていないそうです。
原因は、今も調査中です。
■ アサヒグループ（2025年9月29日にシステム障害が発生）
ランサムウェア（データを勝手に暗号化して、元に戻したければお金を払えと迫るタイプの攻撃）でした。
ネットワーク機器から入られて、管理者の権限を奪われた可能性があると発表されています。
個人情報は、2026年2月時点で115,513件の漏えいを確認したとのことです。
■ アスクル（2025年10月）
こちらもランサムウェアで、約74万件の情報が漏れました。
入口は、業務を委託していた会社が使っていた管理者アカウントのIDとパスワードで、多要素認証（パスワードのほかにスマホの確認を求める仕組み）が使われていなかったと報じられています。
■ 証券会社（2026年10月）
大和証券は、問い合わせの管理を任せている会社のサーバーが攻撃されて、約11万人分の利用者情報が漏れた可能性があると発表しました。
大和証券自身のシステムへの不正アクセスは確認されていないそうです。
岩井コスモ証券は、委託先の会社が攻撃されて顧客情報が漏れたうえに、7つの口座で本人の意図しない売買注文が出て、そのうち5つで売買が成立したと発表しています。
内藤証券も、運用を任せている大和総研への不正アクセスで、最大631名の情報が漏れた可能性があるとのことでした。
■ GMO「お名前.com デスクトップクラウド」（2026年10月20日に確認）
今日のnoteの急上昇にも並んでいた件です。
影響の可能性があるサーバーは2万6,739件で、FX取引の認証情報が閲覧された可能性があり、不正な取引の報告もあります。
入口は、今も調べているところだと発表されています。
思い違いだったけど結局は弱いところを⋯
10月12日の夜に夫と話したとき、こういう話になっていました。
「アサヒも下請けから入られたらしいよ」と。
でも、調べたらこれは私たちの記憶違いでした。
アサヒで分かっているのは、ネットワーク機器から入られたらしい、というところまでです。
委託先のシステムや、委託先向けのアカウントが関係していたのは、アスクルと、証券会社の3社（大和証券、岩井コスモ証券、内藤証券）でした。
タイムズカーは、自分たちのWebシステムの弱いところを突かれたと報じられています。
入口はバラバラでした。
そのうえで、大きな会社でも、任せた先への不正アクセスが、任せた側のお客さんにまで影響した例がこれだけ並んでいるのが気になりました。
自分がどんなに気をつけていても、預けた先から漏れることがあるって正直怖い話です。
「自分ぐらいいいか」を、まず自分のところで止めてみた
順番は前後しますが、この夜の夫婦の話の前に、私は自分のことを見直していました。
10月12日、私は予定していた販売中のツールのバージョンアップ版の作業を後回しにして、パスワードを見直す日にしたんです。
使っていたパスワード管理のアプリ（LastPass）を開いてみたら、登録が467件。なかなかの数です😅
しかも、かなり簡単なパスワードが混ざっていました。おまけに使いまわしのパスワードも多く・・・
そこで、新しいアプリ（1Password）に引っ越しながら、パスワードを見直していくことに！
そんな中、横で夫が、パスワードの作り方を教えてくれました。
ランダムな文字列にして、サイトが決めている文字数の上限に近いところまで長くして、記号と文字を混ぜる。
サイトの上限が60文字なら、58文字にするといいよって。
私は「そんなに長いのが必要なの？」とびっくり😱
ちなみに、1Passwordの画面には「侵害されたウェブサイト」という一覧が出ました。
そこに自分が登録していたサイトの名前が並んでいたのは、正直ちょっと怖かったです。
それから、思わぬ発見もありました。
ログインのIDにYahooメールを使っていたサービスが、いくつも出てきたんです。
そのYahooメールがもう使えなくなっていて、確認のメールが届かないので、パスワードを変えようにも変えられない・・・😭
昔、物販をやっていた頃のアカウントなんかが、まさにそうでした。
もう使わないからいいっか、と思う一方で、パスワードを変更することが出来ず、アカウントだけが残ってる状態って果たしていいのか？？？
ニュースを読んで、私が決めたこと
会社の漏洩は、私には止められません。
でも、預けた先から漏れてしまったときに、同じパスワードを使い回していなければ、ほかのサービスへの不正ログインは防ぎやすくなります。
「自分ぐらいいいか」と思ったところから穴が開く、というのは、会社の話に限らないのかもしれないな、と思っています。
まだまだパスワードの見直しが終わってないので（400件以上あり、1件ずつログインしながら変更していってる）、なるべく早めに終わらせたいですね。
ちなみに、PHPの脆弱性のときも、似たことを書いていました。
よければ、こちらも合わせてどうぞ。
