中小企業のサイバー被害まとめ 2026年9月|公表5件を手口ごとに

2026年9月に当事者が公表した中小企業のサイバー被害のうち、公表の原文が読めた5件を手口ごとにまとめました。 3件は自社のネットショップ・サービス・ウェブサイト、1件は社員のメール、1件は会社を装うフィッシングメールへの注意の呼びかけです。

1件ごとに、何が起きたか・どこから入られたか・会社がどう対応したかを、発覚の日と公表の日を分けて並べました。最後に警察庁の上半期の統計と重ね、自社で今日確かめることを3つ挙げます。

9月に公表された5件#

9月に公表された5件は、次のとおりです^{[1][2][3][4][5][6][7][8]}。会社名の後ろは本社のある都道府県で、日付はいずれも2026年です。

教育産業とスプーンは8月に第1報を出し、9月に続報を出した会社です。どの会社を載せたかの条件は、このまとめについてに書きました。

ネットショップ・サービスの決済画面#

2件とも、ネットショップの決済の仕組みに手を加えられ、カード情報などが漏えいした可能性がある件です。佐嘉平川屋の漏えいは、6月に公表された内容です。

大興印刷(大阪府)は9月16日、写真からグッズを作るサービス「PhotoGoods」が不正アクセスを受け、お客様の個人情報とカード情報などが漏えいした可能性があると公表しました^[1]。9月11日に「不審な外部プログラムが読み込まれている」との連絡を受けて調べたところ、決済画面に入力されたカード情報などを盗むプログラムが、8月6日から9月11日に取り除くまで置かれていました。入口については、「システム上の脆弱性およびファイルアップロード機能の悪用による第三者からの不正アクセス」が確認されています^[1]。

漏えいした可能性がある情報は、次のとおりです。

• カード番号・有効期限・セキュリティコード
• 氏名・住所・電話番号・メールアドレス
• パスワードを読み取れない形に変換した情報

8月6日から9月11日に決済画面へカード情報を入れた人は、購入を完了していなくても対象になる可能性があります。9月16日の時点で、対象の人数と範囲は調査を続けている段階です。同社はサービスを止め、プログラムを削除し、不正な管理者アカウントを無効にしました。安全が確かめられるまで再開はせず、再開の時期は決まっていません^[1]。

佐嘉平川屋(佐賀県)は9月10日、同社を装うフィッシングメールが送られているとして、注意を呼びかけました。メールは「アカウントの制限」「本日中の対応が必要」などと書いて、偽のサイトへ誘導するものです^[7]。

同社は6月15日、自社のオンラインショップが不正アクセスを受け、個人情報(73,213件)とカード情報(6,303件)が漏えいした可能性があると公表していました。原因は、システムの一部の脆弱性を突かれ、決済の仕組み(ペイメントアプリケーション)が改ざんされたことです。発覚のきっかけは、3月9日にカード会社から受けた連絡でした。同社は同じ日にカード決済を止めて調査を始め、3月27日に調査機関の調査が終わっています^[8]。

9月のフィッシングメールが6月の件とどう関わるかは、公表に書かれていません。大興印刷の件と、6月に公表された佐嘉平川屋の件は、どちらも被害が外からの連絡でわかりました。大興印刷は不審なプログラムについての連絡、佐嘉平川屋はカード会社からの連絡がきっかけです^[1][8]。

社員のメールアカウントへの不正アクセス#

教育産業(愛知県)は9月18日の最終報で、フィッシングメールで社員のMicrosoft365アカウントの認証情報が盗まれ、不正アクセスが起きたと考えられる、と公表しました^[4]。

8月24日、社員1名のメールアカウントから一部の取引先へ、不審なメールが送られているのを確認しました。同社はすぐにそのアカウントのパスワードを変え、多要素認証を設定したうえで、外部の専門家と調査を始めています^[4][5]。8月28日の第1報では、同社からの不審なメールを受け取ったときは、添付ファイルやURLを開かずに削除するよう呼びかけました^[5]。

9月18日の最終報によると、アカウントの中のファイルが外へ持ち出された痕跡は見つかっていません。ただし、メールの一部は第三者に閲覧された可能性を否定できないとしています^[4]。対象は、同社とメールをやり取りしていた一部の取引先の担当者の情報で、項目は次のとおりです。

• 会社名・部署・氏名
• メールアドレス
• 電話番号(メールに書かれていた人だけ)

不審なメールの送信のほかに、被害や情報の公開は確認されていません^[4]。不正アクセスを受けたのは社員1人のメールアカウントでも、不審なメールを受け取り、情報を見られたおそれがあるのは取引先の側でした。なお、同社は10月9日、11月1日に社名を「KSprotex株式会社」に変えると公表しています^[12]。社長の名前を使ったメールで送金させる手口は、ニセ社長詐欺の記事で扱っています。

会社のサイトの改ざん(偽の確認画面)#

スプーン(東京都)のサイトは、管理画面に不正にログインされ、見た人に偽のセキュリティ確認画面が表示される可能性のある状態にされていました。

9月2日の第2報によると、7月29日と8月12日に、第三者がWordPressの管理画面へ不正にログインした記録がありました。8月12日17時59分ごろにサイトのファイルの一部が書き換えられ、8月19日18時32分ごろに無効にされるまで、影響が出た可能性があります。ログインに使われた認証情報をどうやって盗まれたかは、まだわかっていません^[6]。

偽の画面は、キーボードの「Win＋R」「Ctrl＋V(貼り付け)」「Enter(実行)」を押すよう案内するものです。画面を見ただけで、すぐにパソコンで不正な処理が動くわけではありません。ただし、案内どおりに操作すると不正なコマンドが実行された可能性があり、同社は、実際に操作して不正な処理が動いた事例を確認しています^[6]。画面は見た人すべてに出たわけではなく、特定の条件で出ていたと考えられます。

同社がとった主な対応は、次のとおりです。

• 書き換えられたファイルの無効化
• 管理者アカウントの認証情報の変更
• 管理画面へのアクセスの制限
• 不要なプログラムの削除
• 使っているプログラムの更新

個人情報への影響は、9月2日の時点で結論が出ていません^[6]。スプーンは、業務用のパソコンで案内どおりに操作した人に、パソコンをネットワークから切り離し、社内のシステム管理者へ連絡するよう呼びかけています。

認証情報の不正利用が目的と見られる不正アクセス#

キングプリンターズ(大阪府)は、システム基盤への不正アクセスを検知し、約4日間サイトを止めました。

9月10日に不正アクセスを検知し、同日18時から9月14日16時まで、サイトと関連する機能を止めました。点検と安全の確認を終え、9月14日16時に再開しています^[2]。カード情報などの決済の情報は、もともと同社のサーバーに置いていません。

9月25日の第2報では、社内の調査で外へデータが不正に送られた痕跡はなく、この日の時点で個人情報やデータの漏えいは確認されていないとしています。今回の目的は、「当社が保有する認証情報を用いた生成AIサービスの不正利用」と見られます^[3]。第2報では、10月初めから外部の専門機関による調査を予定し、結果の報告までは1か月ほどかかる見込みとしていました。

どのサービスの認証情報だったかは、公表されていません。個人情報の漏えいが確認されていない段階でも、会社が持つサービスの認証情報の不正利用が目的と見られる不正アクセスで、サイトを止めることになった例です。

警察庁の統計と合わせて読む#

5件で入口として公表されたのは、システムの脆弱性(大興印刷)と、第三者の手に渡った認証情報(スプーン・教育産業)でした。 スプーンは管理画面への不正ログインに使われた認証情報、教育産業はフィッシングメールで盗まれたと考えられる認証情報です^[4][6]。ランサムウェアの攻撃の代表的な流れでも、攻撃者は「未修正のぜい弱性や漏えいした認証情報等」を悪用して、組織のネットワークに入ります^[9]。

2026年1〜6月の手口ごとの数字と、このまとめの例を並べると次のようになります^[9]。数字は2026年1〜6月の全国のもので、このまとめの会社の件が含まれるかはわかりません。

スプーンの偽の確認画面は、画面の窓口に電話をかけさせるサポート詐欺とは別の手口ですが、うその画面を見せて操作させる点が似ています。

フィッシングについては、AI技術の発達で文章の自然さや偽装の精度が上がり、見抜きにくいものが増えています^[9]。被害を防ぐには、メール認証や多要素認証などの技術的な対策だけでは十分ではなく、「メール等に記載のリンクを安易にクリックしない」「公式サイトや公式アプリからアクセスする」といった日ごろの意識が重要です^[9]。くわしくは警察庁の令和8年上半期の情勢で読めます。

公表の出し方も会社によって違います。キングプリンターズ(9月10日に検知→14日)と教育産業(8月24日に確認→28日)は、4日後に第1報を出しました^[2][5]。参考に挙げる教育ソフトウェアは、不確かな情報で発表するとかえって不安をかけるとして、内容が確定してから案内すると決めています^[11]。このまとめは公表の月で区切っているため、9月に起きた被害が9月分に入るとは限りません。ランサムウェアがどこから入るかは、ランサムウェアの被害の記事の「どこから入られるか」で統計とあわせて読めます。

8月までに公表された例(参考)#

このまとめの前、8月までにも、次のような公表がありました。1号目のため、統計でいちばん多い入口であるVPN機器の例と、使っていないサーバーの例を短く載せます。

丸高興業(東京都)は7月29日、3月11日にサーバーがランサムウェアの攻撃を受けたと公表しました。VPN機器を経由して社内ネットワークに入られ、不正な管理者アカウントを作られたうえで、複数のサーバーのデータを暗号化されています。ログの一部が消されていたため、くわしい動きは確かめきれず、少なくとも1.5GBのデータが漏えいしたおそれがあります。公表の時点で、個人情報が漏えいした事実や不正利用された事実は確認されていません。同社はVPN機器を最新の機種に入れ替え、社内のサーバーをやめて、販売管理のシステムとデータをクラウドに移しました^[10]。

教育ソフトウェア(東京都)は8月17日、過去に使っていて休眠中だったレンタルサーバーが、ランサムウェアで暗号化されていたと公表しました。レンタルサーバーの契約会社からの情報で被害がわかり、被害は4月30日から5月1日にかけて起きたと推定されています。サーバーに残っていた過去のメールなどが閲覧された可能性がありますが、外部の調査では情報漏えいの事実は確認されていません。同社はそのサーバーを廃止しました^[11]。

自社に置き換えると#

5件と参考の2件で狙われたのは、社外からログインしたり見たりできるサイト・メール・サーバーでした。自社に置き換えると、次の3つを確かめることになります。

• サイト・ネットショップの管理画面のログイン
• 社員のメールのログイン
• 使っていないサーバーやサービス

1つ目はスプーンの管理画面への不正ログイン、2つ目は教育産業の社員のメールアカウントへの不正アクセス、3つ目は教育ソフトウェアの休眠中のレンタルサーバーにあたります。パスワードを強くし、重要なシステムでは多要素認証を使う考え方は、ガイドラインの情報セキュリティ6か条にもあります。

管理者のIDを誰に渡し、使わなくなったらどう止めるかは、SCSの★3の「4-1-2 管理者IDの管理手続」が手順の目安になります。

このまとめについて#

このまとめに載せたのは、次の3つに当てはまる公表です。

• 当事者のサイトで原文が読めた
• 9月1日〜30日に公表された(第1報でも続報でも)
• 上場しておらず、大企業のグループ会社でもない

都道府県は本社の所在地で、業種は会社概要などで確かめられたものだけを書きました。報道だけで原文が読めないもの、9月の公表が見つからないものは載せていません。続報が出たら追記し、改訂履歴に残します。10月に公表された分は、11月に次の号として出します。