2026年9月下旬から、国内の企業やサービスで不正アクセスによる個人情報の漏えいが相次いでいます。10月だけでも、ソースネクスト（約2,252万件）、skyticket（約1,464万件）、バーガーキング（約1,118万件）、焼肉きんぐ（約1,079万件）。10月7日にはクラウド事業者がランサムウェアで止まり、約500の企業・自治体に影響が出ました。「次はうちかもしれない」と感じた方も多いと思います。このページでは、Bekitoが自社のサービスとお客様のデータをどう守っているかを、専門用語をできるだけ使わずに、動く図で説明します。
Since late September 2026, Japanese companies have been announcing personal-data leaks from intrusions one after another. In October alone: Sourcenext (about 22.5 million records), skyticket (14.6 million), Burger King Japan (11.2 million) and Yakiniku King (10.8 million). On 7 October a cloud provider was knocked out by ransomware, hitting nearly 500 companies and local governments. Many people are now wondering if they are next. This page explains how Bekito protects its services and its customers' data, in plain words and with moving diagrams.
01
ここ1年ほどの主な出来事です。公的機関の発表と、報道で確認できる内容だけを載せています。
These are the main events of the past year or so. We include only what public agencies have published or major news outlets have reported.
LIVE日本のサイバー被害ダッシュボードJapan cyber incident dashboard公表された被害をすべて出典つきで集め、グラフとタイムラインで毎日更新しています。Every disclosed incident with sources, as charts and timelines, updated daily.2026年上半期に警察庁へ報告されたランサムウェア被害。半期として過去最多
ransomware cases reported to the National Police Agency in H1 2026, a record for any half-year
そのうち中小企業の割合。大企業だけが狙われているわけではありません
of those victims were small and mid-sized businesses. It is not only large companies
侵入口がわかったもののうち、VPN機器から入られた割合
of the cases with a known entry point came in through a VPN device
ネット上の住所（IPアドレス）1つが1日に受ける不審なアクセス。前年同期より50.7%増
suspicious probes hitting a single internet address each day, up 50.7% year on year
出典：警察庁「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
Source: National Police Agency, cyber-threat situation report for H1 2026 (September 2026)
ランサムウェア攻撃で受注や出荷などの業務が止まり、手作業での対応が続きました。同社は再発防止策として、リモートアクセス用のVPN装置など外から入られる危険のある機器を全面的に廃止し、すべてのシステムのパスワードを変更すると発表しています。
A ransomware attack stopped order-taking and shipping, and staff fell back on manual work. As part of its response, the company said it would retire remote-access VPN devices and other equipment exposed to outside intrusion, and change the passwords on every system.
ランサムウェアに感染し、事業者向けの「アスクル」や個人向けの「LOHACO」などで受注と出荷が止まりました。物流の仕組みが止まると、手作業で回せる量には限りがあります。
A ransomware infection stopped orders and shipping for its business store and its consumer store LOHACO. When the logistics system stops, manual work can only cover a small part of the volume.
偽サイトなどで盗まれた情報を使って証券口座が乗っ取られ、勝手に株が売買される被害が相次ぎました。日本証券業協会は指針を改め、ネット取引に「フィッシングに強い多要素認証」（パスキーなど）を求めています。
Stolen login details, often taken through fake websites, were used to hijack brokerage accounts and trade shares without the owners' consent. The Japan Securities Dealers Association revised its guidelines to require phishing-resistant multi-factor authentication, such as passkeys, for online trading.
関係する章：See: 07
組織向けの1位は「ランサム攻撃による被害」、2位は「サプライチェーンや委託先を狙った攻撃」。3位に「AIの利用をめぐるサイバーリスク」が初めて入りました。攻撃する側もAIを使い、攻撃が速く、数も多くなっています。
For organisations, No. 1 is ransomware and No. 2 is attacks through suppliers and contractors. "Cyber risks around the use of AI" entered the list for the first time, at No. 3. Attackers use AI too, which makes attacks faster and more frequent.
関係する章：See: 08
2026年上半期の報告は123件で、半期として過去最多。約6割が中小企業で、侵入口がわかったものの約5割はVPN機器でした。上の数字はこの報告からのものです。
123 cases were reported in the first half of 2026, the most for any half-year. About 60% of victims were small and mid-sized businesses, and about half of the cases with a known entry point came through VPN devices. The figures above come from this report.
KDDIがプロバイダー向けに提供するメール基盤で、組み込まれた他社製ソフトの未知の脆弱性が悪用され、BIGLOBE・@nifty・J:COMなど6社の利用者のメールアドレス約1,223万件と、パスワード約762万件が漏えいしました。
An unknown flaw in third-party software inside KDDI's mail platform for internet providers was exploited, leaking about 12.2 million email addresses and 7.6 million passwords of users at six providers, including BIGLOBE, @nifty and J:COM.
10月7日、「IDCFクラウド」の一部がランサムウェア攻撃を受けて停止し、495の企業・自治体に影響が出ました。同社は、外部からアクセスできる管理コンソールを一時的に止めています。自社が無事でも、使っているサービスが止まれば業務は止まります。
On 7 October, part of IDCF Cloud went down after a ransomware attack, affecting 495 companies and local governments. The company temporarily shut down its externally reachable admin consoles. Even if your own company is fine, your work stops when a service you depend on stops.
9月中旬から10月16日までに公表された被害は100件を超え、漏えい・流出の可能性は合計約1.4億件にのぼります。10月15日にはソースネクスト（約2,252万件、会員情報のAPIを悪用）とバーガーキング（公式アプリの会員約1,118万件）が公表しました。ほかにもskyticket（約1,464万件）、焼肉きんぐ（約1,079万件）、第一興商の委託先（約872万件）、ブックオフ（約643万件）など。問い合わせシステム1つから大和証券や損保ジャパンなど5社の情報が漏れた例もあります。
More than 100 incidents were disclosed between mid-September and 16 October, about 140 million records leaked or possibly leaked in total. On 15 October Sourcenext (about 22.5 million, through abuse of a member-data API) and Burger King Japan (about 11.2 million app members) announced theirs. Others include skyticket (14.6 million), Yakiniku King (10.8 million), a Daiichikosho contractor (8.7 million) and BOOKOFF (6.4 million). One inquiry-management system leaked data from five firms, including Daiwa Securities and Sompo Japan.
関係する章：See: 02 08 ダッシュボードdashboard
JPCERT/CCは10月8日に注意喚起を出し、15日には攻撃者の環境を調べた結果を公表しました。公開されているスマホアプリを分解して裏側のAPIの場所や鍵を探し、そこへ大量の問い合わせを送って情報を抜き出す手口です。脆弱性の探索やAPIへの攻撃にAIを使っていたことも確認されました。IPAは「速やかに実施すべき対策」を公表し、16日には特別相談窓口を開きました。
JPCERT/CC issued an alert on 8 October and on the 15th published what it found on the attackers' servers. The attackers take apart public smartphone apps to find the APIs and keys behind them, then flood those APIs with requests to pull data out. They also used AI to scan for weaknesses and attack APIs. IPA published urgent measures and opened a special help desk on the 16th.
10月1日、警察や自衛隊が攻撃に使われるサーバーにアクセスして無害化できる仕組みが始まりました。ただし国が手を打てるのは一部で、自社の入口を閉じるのは、それぞれの会社の仕事です。
On 1 October, police and the Self-Defense Forces gained powers to access and neutralise servers used in attacks. The state can only act in some cases, though. Closing your own company's doors is still your job.
関係する章：See: 11
02
ニュースになる被害の多くは、映画のような特別な技ではなく、もっとありふれたところから始まっています。
Most incidents in the news don't start with movie-style hacking. They start somewhere far more ordinary.
01
VPN機器やリモート接続など、インターネットに向けて開いている入口。攻撃者は世界中から、24時間自動でこれを探しています。
VPN devices, remote-desktop connections and other entrances facing the internet. Attackers scan for them automatically, worldwide, around the clock.
Bekito：入口を開けないBekito: open no entrances
02
偽のログイン画面や使い回しから漏れたパスワード。正しいパスワードを入力されると、システムには本人と区別がつきません。
Leaked through fake login pages or reused elsewhere. When someone types the right password, the system can't tell them from the real user.
Bekito：パスワードを使わないBekito: use no passwords
03
怪しい動きは、たいてい記録（ログ）に残っています。でも見る人がいなければ、気づくのは被害が出てからです。
Suspicious activity usually shows up in the logs. If nobody reads them, you only find out after the damage is done.
Bekito：AIが24時間読むBekito: AI reads them 24/7
2026年10月の連続漏えいThe October 2026 leaks新しく見えますが、1つ目の「開いた入口」の一種です。They look new, but they are a kind of entrance left open.
スマホアプリやWebサービスの裏側にあるAPI（システム同士をつなぐ窓口）は、アプリが使うためにネットに出しておくしかない入口です。攻撃者はアプリを分解してその場所と鍵を探し、本来アプリが送らない問い合わせを大量に送って、他人の情報まで抜き出しました。APIを「自社のアプリからしか呼ばれない」と考えず、すべての要求をサーバー側で、誰が・何を見てよいかまで確かめること、回数を制限して見張ることが欠かせません。
The APIs behind smartphone apps and web services are entrances that have to stay on the internet for the app to work. Attackers took the apps apart to find those APIs and their keys, then sent huge numbers of requests the app would never send, pulling out other people's data. Never assume an API is only called by your own app: check every request on the server, down to who may see what, limit request rates, and watch for floods.
03
普通のサーバーは、外からの接続を受けるために「ポート」と呼ばれる入口を開けています。ホームページ用、管理用、データベース用などです。警察庁の観測では、インターネット上の住所（IPアドレス）1つあたり、1日に1万3,000回以上の不審なアクセスが来ています。開いている入口は、すぐに見つかります。
A typical server opens "ports", entrances that let connections in from outside: one for the website, one for administration, one for the database. Japan's National Police Agency measured more than 13,000 suspicious probes a day against every single internet address. An open entrance gets found quickly.
Bekitoのサーバーは、インターネットに向けた入口を一つも開けていません。外からノックしても返事がありません。返事がなければ、攻撃者には何があるのかさえ分かりません。
Bekito's servers open no entrances to the internet. Knock from outside and nothing answers. With no answer, an attacker can't even tell what is there.
では、入口がないのに、どうやってホームページを見せているのか。次の章で説明します。
So how does anyone see the website if there is no entrance? That's the next section.
まとめIn short入口がなければ、こじ開けられることもない。No entrance, nothing to force open.
04
入口を開ける代わりに、サーバーの方から外の「検問所」（Cloudflare）へ、内側から専用のトンネルをつないでおきます。外からはかけられない電話から、こちらが先に電話をかけて、つないだままにしておくイメージです。
Instead of opening an entrance, the server connects from the inside out to a checkpoint (Cloudflare) and keeps that private tunnel open. Picture a phone that can't receive calls: it makes the call itself and stays on the line.
お客様がサイトを開くと、通信はまず検問所に届きます。検問所は、ボットや大量アクセス、よく知られた攻撃をその場で止めます。確認を通ったものだけが、トンネルを通ってサーバーに届きます。
When you open the site, your request reaches the checkpoint first. It stops bots, traffic floods and well-known attacks on the spot. Only what passes the check goes down the tunnel to the server.
まとめIn shortサーバーの住所を知られても、そこに入口はない。通れるのは、検問所からのトンネルだけ。Even if someone finds the server's address, there is no way in there. The only path is the tunnel from the checkpoint.
05
エンジニアがサーバーを保守するときも、インターネット側からは入りません。社外から入るためのVPN機器も置いていません。代わりにTailscaleという仕組みで、登録した端末同士だけをつなぐ専用の道を作っています。
When our engineers maintain a server, they don't come in from the public internet either, and we have no VPN device waiting for outside connections. Instead, Tailscale builds a private road that links only registered devices.
この道に入れるのは、会社が登録した端末で、本人確認を済ませた人だけです。通信はすべて暗号化されます。登録されていない端末からは、サーバーがあること自体が見えません。サーバーはパスワードでのログインを受け付けず、登録端末にある鍵でしか入れません。
Only a device the company has registered, used by someone who has proved who they are, can get on it. Everything on it is encrypted. To any other device, the server simply isn't there. The servers don't accept password logins at all, only keys stored on registered devices.
まとめIn short保守の入口も、インターネットには置かない。The maintenance entrance isn't on the internet either.
06
管理画面は、会社の金庫室です。外から開ける状態だと、どれだけ強いパスワードを使っていても、攻撃を受け続けます。今月のクラウド障害でも、事業者は外部からアクセスできる管理コンソールを止めて対応しました。
An admin panel is a company's vault. If anyone on the internet can reach it, it will be attacked again and again, no matter how strong the password. In this month's cloud outage, the provider's response included shutting down admin consoles that could be reached from outside.
Bekitoでは、管理画面の手前にもう一つの門を置いています。URLを知っていても、許可された社員が本人確認を済ませない限り、ページそのものが表示されません。怪しい通信は、サーバーに届く前に門で追い返されます。中に入った後も、お金や権限に関わる操作の前には、もう一度確認があります。
At Bekito, a second gate stands in front of every admin panel. Knowing the URL isn't enough. Unless an approved staff member proves who they are, the page doesn't even load, and suspicious traffic is turned away before it reaches the server. Once inside, anything involving money or permissions asks for confirmation again.
まとめIn short金庫室のドアは、通りから見えない場所に置く。Put the vault door where the street can't see it.
07
パスワードの弱点は、知っていれば誰でも使えることです。本物そっくりの偽のログイン画面に一度入力してしまえば、それで終わりです。スマホに届く使い捨てのコード（ワンタイムパスワード）も、偽サイトにその場で入力させられれば同じように盗まれます。2025年に証券口座の乗っ取りが相次いだのは、このためです。
The weakness of a password is that anyone who knows it can use it. Type it once into a convincing fake login page and it's gone. One-time codes sent to your phone can be stolen the same way if a fake site asks for them in real time. That is how so many brokerage accounts were hijacked in 2025.
Bekitoの社員は、社内システムにパスワードでログインしません。使うのは「パスキー」です。スマホやパソコンの中にだけある鍵を、指紋や顔で使います。「持っている端末」と「本人の指紋や顔」がそろって初めて使えるので、それだけで二段階の確認になっています。
Bekito staff never sign in to our systems with a password. They use passkeys: a key stored only inside their phone or computer, unlocked with a fingerprint or face. It needs both the device you have and the person you are, so on its own it is already two-factor.
しかもパスキーは本物のサイトと結びついていて、偽のサイトでは動きません。人は見た目のそっくりな偽サイトにだまされることがありますが、パスキーはだまされません。覚えて入力するパスワードがないので、盗まれるものもありません。
A passkey is also tied to the real website, so it won't work on a fake one. People can be fooled by a look-alike site. The passkey can't. And with no password to type, there's nothing to steal.
スマホをなくしたときも、メールだけでは入れません。予備の手段でも必ずもう一つの確認が必要です。すべての鍵を失ったときは、別の役員の承認と24時間の待ち時間を経てから登録し直します。その間、本人には通知が届き、いつでも止められます。
If you lose your phone, email alone still won't get you in. Every backup method needs a second check. If every key is lost, re-registration needs approval from another director and a 24-hour wait, during which the account owner is notified and can cancel at any time.
まとめIn short盗めるものを、最初から持たない。Don't keep anything worth stealing.
08
入口を閉じても、攻撃そのものは毎日やってきます。攻撃する側もAIを使い始め、試す回数も速さも増えています。人が朝にまとめてログを見るやり方では、間に合いません。
Closing the entrances doesn't stop attacks from arriving every day. Attackers now use AI as well, so they try more often and move faster. Having someone read the logs once each morning is no longer fast enough.
Bekitoでは、サーバーごとに専用のAIエージェントを置いています。それぞれが担当するサーバーの記録（ログ）と状態をリアルタイムで読み続け、そのサーバーの普段の様子を知っています。だから、いつもと違う動きにすぐ気づき、その場で対応できます。
Bekito runs a dedicated AI agent on each server. Each one reads its server's logs and health in real time and knows what normal looks like on that server. So it notices unusual behaviour quickly and can respond on the spot.
攻撃元の通信を検問所で止め、サーバーには近づかせません。ほかのサーバーの見張り番にも知らせて、まとめて止めます。
The attacker's traffic is stopped at the checkpoint and never gets near a server. The other watchers are told too, so it's blocked everywhere at once.
遮断されたと分かると、攻撃者は場所を変えてやり直します。そこで、相手には普通に見える中身のない偽の応答だけを返し、本物のデータには触れさせません。相手は空振りを続け、その間にこちらは手口を記録します。
An attacker who knows they're blocked just moves somewhere else and tries again. So we keep answering, but only with empty decoy responses that look normal, and nothing real is reachable. They keep trying and get nowhere, and meanwhile we record how they work.
何を見て、なぜそう判断し、何をしたか。すべて記録して、担当エンジニアにすぐ知らせます。
What it saw, why it decided, and what it did are all recorded, and the engineer on duty is told right away.
まとめIn short各サーバーに、24時間休まない見張り番。おかしな動きは、被害になる前に止める。Every server has a watcher that never sleeps, and suspicious activity is stopped before it turns into damage.
09
どの仕組みも、それだけで完璧ではありません。だから重ねています。攻撃が一枚目をすり抜けても、二枚目、三枚目が待っています。右の赤い点は、それぞれの層で止まる攻撃のイメージです。
No single measure is perfect on its own, so we stack them. If an attack gets past the first layer, the second and third are waiting. The red dots on the right show attacks being stopped at different layers.
ボット・大量アクセス・よく知られた攻撃を入口で止めるStops bots, floods and well-known attacks at the edge
トンネルと専用道だけ。直接入る道がないOnly the tunnel and the private road. No direct way in
門・パスキー・二段階の確認。パスワードなしGate, passkeys, two factors. No passwords
中に入れても、見られるのは自分の担当分だけEven inside, people see only what their job needs
AIが気づき、記録が残り、暗号化した控えから戻せるAI notices, logs remain, encrypted backups restore
10
「絶対に安全です」と言い切る会社があれば、むしろ注意してください。Bekitoが目指しているのは、次の4つが同時にそろった状態です。
If a company tells you it is completely safe, be careful. What Bekito aims for is all four of these at the same time:
データは毎晩暗号化して、サーバーとは別の場所に保管しています。権限は、必要な人に必要な分だけ渡しています。お金や権限に関わる操作は、二人目の承認がないと実行されません。このページの内容も、新しい攻撃に合わせて見直していきます。
Data is encrypted every night and stored somewhere separate from the servers. Access is given only to the people who need it, and only as much as they need. Anything involving money or permissions needs a second person's approval before it runs. We will keep updating this page as new attacks appear.
11
不安なときほど、できることから一つずつ進めるのが近道です。すでにできているものにチェックを入れてみてください。
When the news is worrying, the fastest way forward is one step at a time. Tick off what you already have in place.
できていること：In place: 0 / 5
同じ考え方を自社のシステムに取り入れたい、というご相談もお受けしています。
We're happy to talk about applying the same approach to your systems.
12
Webサイトは誰でも見られますが、サーバー自体は外からの接続を受け付ける入口（ポート）を開けていません。サーバーの方からCloudflareへトンネルをつなぎ、Cloudflareの確認を通った通信だけが、そのトンネルを通ってサーバーに届きます。
Anyone can view the websites, but the servers themselves open no entrances (ports) for outside connections. Each server opens a tunnel out to Cloudflare, and only traffic that passes Cloudflare's checks reaches the server through that tunnel.
社外から社内に入るためのVPN機器は置いていません。社員がサーバーを保守するときは、登録した端末同士だけを暗号化してつなぐTailscaleを使います。インターネットに向けて待ち受ける機器がないため、VPN機器の弱点を狙う攻撃の対象になりません。
We have no VPN device for getting into the company network from outside. Engineers maintain servers through Tailscale, which encrypts connections between registered devices only. With no device waiting for connections from the internet, attacks on VPN device weaknesses have nothing to hit.
パスキーは、スマホやパソコンの中に保存されるログイン用の鍵で、指紋や顔で使います。鍵は本物のサイトと結びついているので、偽のサイトでは動きません。覚えて入力するパスワードがないため、フィッシングで盗まれるものがありません。
A passkey is a sign-in key stored inside your phone or computer and unlocked with your fingerprint or face. It is tied to the real website, so it doesn't work on a fake one. There's no password to type, so phishing has nothing to steal.
別の端末に登録した鍵や、事前に発行した予備の手段で入れます。予備の手段でも必ずもう一つの確認が必要で、メールだけでは入れません。すべての鍵を失った場合は、別の役員の承認と24時間の待ち時間を経てから登録し直します。その間、本人には通知が届き、いつでも止められます。
You can sign in with a key registered on another device or with a backup method issued in advance. Every backup method needs a second check, and email alone never works. If every key is lost, re-registration needs another director's approval and a 24-hour wait. The account owner is notified during that time and can cancel it.
可能性はゼロではありません。そのため、AIが自動で行うのは期限つきの遮断や速度制限など、元に戻せる対応だけです。判断の理由と証拠はすべて記録され、担当エンジニアに通知されます。人が確認し、間違いであればすぐに解除します。
It can't be ruled out. That's why the AI only takes actions that can be undone, such as time-limited bans and rate limits. Its reasons and evidence are recorded and an engineer is notified. A person reviews the decision and lifts the block straight away if it was wrong.
データは毎晩暗号化して、サーバーとは別の場所に保管しています。権限も役割ごとに分けているため、一か所が破られても全体には広がりにくくなっています。被害を確認したら、影響のある部分を切り離し、保管してある控えから元に戻します。
Data is encrypted every night and kept somewhere separate from the servers. Permissions are split by role, so a break-in at one point is hard to spread. If we confirm damage, we cut off the affected part and restore it from the stored copies.
できます。使っていない入口を閉じる、管理画面を隠す、パスキーや多要素認証を使う、切り離したバックアップを持つ、といった対策は、大きな費用をかけなくても始められます。今日から自社でできる5つのことから始めてください。
Yes. Closing unused entrances, hiding admin panels, using passkeys or multi-factor sign-in and keeping an offline backup can all be started without a large budget. Begin with the five things you can do today.
13
このページの内容は2026年10月16日時点のものです。報道の内容は、その後の発表で変わることがあります。
This page reflects information as of 16 October 2026. Reported details may change with later announcements.