【2026年最新】大規模情報漏洩が相次ぐ｜タイムズカー・焼肉きんぐなどの事例から考える取引先リスク

2026年9月・10月、国内企業を狙った不正アクセスと大規模な情報漏洩が相次いで明らかになりました。

タイムズカーでは約660万件、焼肉きんぐでは約1079万件、MrMaxでは最大約173万人の会員情報が流出。さらに少し遡れば、KDDIでもメールアドレス約1223万件、パスワード約762万件という大規模な漏洩が確認されています。

もはや情報漏洩は、一部のIT企業だけが警戒すればよい問題ではありません。

そして経営者にとって、もう一つ考えなければならないのが「自社の取引先は本当に大丈夫なのか」という問題です。

30秒でわかるこの記事の概要

• 2026年夏以降、数百万～1000万件を超える大規模な情報漏洩が相次いだ
• タイムズカーでは約660万件のアカウント情報が漏洩
• 焼肉きんぐでは約1079万件の個人情報が流出
• KDDIではメールアドレス約1223万件、パスワード約762万件の漏洩を確認
• MrMaxでも最大約173万人の会員情報が流出
• 取引先の情報管理体制に問題があれば、自社や顧客にも被害が波及する可能性がある
• 企業名や規模、長年の取引実績だけで安全性を判断するのは危険
• 新規取引や重要な業務委託では、企業不正調査・取引先調査によって経営実態やリスクを確認することが重要

タイムズカー：約660万件のアカウント情報が漏洩

2026年9月25日、タイムズカーのWebシステムで外部からの不正アクセスが検知されました。

パーク24が9月28日に公表した第2報によると、第三者による不正アクセスが確認され、システム内に保存されていた一部の会員情報が取得されたことが判明しています。

漏洩したアカウント数は約660万件。

対象には現役会員だけでなく、退会済みの利用者や、入会を申し込んだものの手続きが完了していない利用者なども含まれています。

漏洩情報には氏名、住所、生年月日、電話番号、メールアドレスのほか、運転免許情報や本人確認書類情報なども含まれていました。

一方、クレジットカード情報については漏洩していないことが確認されています。また、パスワードは復元できない形式で保存されていたと発表されています。

パーク24は不正アクセス経路や攻撃元との通信を遮断し、外部専門機関によるフォレンジック調査を進めるとともに、個人情報保護委員会や警察への報告を行いました。

【出典】
パーク24株式会社「タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）」
パーク24株式会社の発表を見る

焼肉きんぐ：約1079万件の個人情報が流出

9月に続き、10月に入っても大規模な情報漏洩は止まりませんでした。

2026年10月5日、焼肉きんぐの公式アプリに対する不正アクセスによって、約1079万件もの個人情報が流出したことが報じられました。

TBS NEWS DIGによると、アプリ登録者のほぼすべてにあたる規模で、メールアドレスや電話番号などが流出しています。

1000万件を超える規模となれば、単なる「システムトラブル」では済みません。

漏洩したメールアドレスや電話番号などがフィッシング詐欺やなりすましに利用される可能性もあり、企業には事故発生後の説明、利用者への対応、再発防止策などが求められます。

【出典】
TBS NEWS DIG「『焼肉きんぐ』へ不正アクセス　約1079万件の個人情報が流出」
TBS NEWS DIGの記事を見る

KDDI：メールアドレス約1223万件、パスワード約762万件

2026年7月には、KDDIでも大規模な情報漏洩が明らかになっています。

KDDIは6月17日にISP向けメールシステムへの不正アクセスを確認。その後の調査によって、電子メールアドレス1223万3087人分、パスワード761万6173人分の漏洩が確認されました。

原因とされたのは、システムの一部に導入されていた第三者製ソフトウェアの脆弱性です。

しかも、不正アクセスが確認された6月17日時点ではソフトウェアベンダーも認識していない未知の脆弱性だったとされています。

この事例が示しているのは、「自社が気を付けていれば大丈夫」とは限らないことです。

自社が利用するソフトウェア、クラウドサービス、外部システムなど、サプライチェーンのどこかに脆弱性があれば、そこからリスクが入り込む可能性があります。

【出典】
ITmedia Mobile「KDDIのメールシステム不正アクセス、約1223万件のアドレス／約762万のパスワードが漏えい」
ITmedia Mobileの記事を見る

MrMax：最大約173万人の会員情報が流出

2026年10月6日には、ディスカウントストアを展開するMrMaxでも大規模な情報漏洩が報じられました。

ロイターによると、MrMaxアプリとオンラインストアのサーバーが第三者から不正アクセスを受け、最大173万5154人の会員情報が外部へ流出しました。

流出した可能性があるのは、会員ID、氏名、メールアドレス、電話番号です。

同社は10月3日にサーバーへの不審なアクセスを確認し、サービスを一時停止。外部からのアクセスを遮断した後、第三者による侵入と個人情報の流出が判明しました。

【出典】
ロイター「ミスターマックス、不正アクセスで最大173万人の会員情報流出」
ロイターの記事を見る

「大手だから安心」という考え方が通用しなくなっている

今回取り上げた企業はいずれも、多くの利用者を抱える企業やサービスです。

ここで注意したいのは、サイバー攻撃の被害に遭ったこと自体を理由に、その企業の経営姿勢やコンプライアンスに問題があると判断することはできない点です。

未知の脆弱性を悪用されるケースもあり、十分な対策を講じていた企業が被害者になる可能性もあります。

一方、経営者の立場では「有名企業だから」「大手だから」「昔から付き合っているから」という理由だけで取引先を信用することにもリスクがあります。

重要なのは、企業名ではなく、その会社がどのような経営を行っているのかを確認することです。

情報管理体制、過去の情報漏洩や不祥事、行政処分、訴訟、経営状態、代表者や役員の経歴、反社会的勢力との関係、風評など、取引判断には複数の情報を組み合わせる必要があります。

取引先の情報漏洩は「他社の問題」ではない

特に注意すべきなのが、顧客情報や機密情報を外部企業へ預けるケースです。

システム開発会社、クラウド事業者、コールセンター、営業代行会社、物流会社、人事・採用関連会社など、現在の企業活動は多くの外部企業との連携によって成り立っています。

自社のセキュリティをどれほど強化していても、委託先から情報が漏洩すれば、自社の顧客にも被害が及ぶ可能性があります。

その場合、「漏洩したのは委託先だから」という説明だけで顧客や取引先が納得してくれるとは限りません。

委託先を選定した責任まで含めて問われる可能性を考える必要があります。

だからこそ取引先選定は、価格、サービス内容、知名度だけでは不十分です。

契約前に「その会社と本当に付き合って大丈夫か」を調べる

取引先リスクを減らす方法の一つが、契約前の企業調査です。

企業防衛リスクサービス株式会社では、法人を対象とした企業調査・取引先調査を提供しています。

単純に会社概要や登記情報を見るだけではなく、企業実態や代表者・役員、信用リスク、風評などを多角的に確認することで、表面上の情報だけでは判断しにくいリスクの把握につなげます。

特に、

• 顧客情報や個人情報を預ける企業
• 基幹システムに関わる企業
• 長期契約を予定している企業
• 多額の取引を行う企業
• 新規取引で実態が十分に分からない企業
• 自社のブランドや信用に直接影響する業務を委託する企業

については、契約書を締結する前の確認が重要です。

事故が起きてから相手企業について調べても、失った信用や流出した情報を元に戻すことはできません。

まとめ｜取引先を「信用する」のではなく「確認する」

2026年夏以降に相次いだ大規模な情報漏洩は、企業経営における取引先管理の重要性を改めて浮き彫りにしました。

もちろん、サイバー攻撃を受けた企業だからといって、その企業自体に不正があるとは限りません。

しかし経営者が考えるべきなのは、個別企業を批判することではなく、「自社が付き合おうとしている会社について、どこまで把握しているか」という点です。

会社の知名度、ホームページ、営業担当者の説明、過去の付き合いだけで安全性を判断する時代ではありません。

情報管理上の事故、不祥事、行政処分、訴訟、信用不安、経営者・役員に関する問題など、企業との取引にはさまざまなリスクが存在します。

「契約してから問題が分かった」では遅いケースもあります。

だからこそ、新規取引や重要な業務委託を行う前に、企業不正調査・取引先調査によって相手企業を客観的に確認することが重要です。

企業防衛リスクサービス株式会社では、表面的な企業情報だけでは判断できないリスクまで多角的に調査し、企業の取引判断を支援しています。

「この会社と、本当に取引して大丈夫なのか」

その疑問を感覚だけで判断せず、調査によって確認することが、これからの企業防衛には求められます。