何が起きたか
この事故で流出した、または流出したおそれがある情報は、会社が認めたのは氏名、メールアドレス、電話番号などの一部の個人情報。攻撃者は約1,900万件の国民ID番号、運転免許、住所、写真、従業員と加盟店の口座情報などを持っていると主張しているが、確かめられていないです。その後の対応と影響は、10月4日に検知した後、主なシステムの一部を止め、サービスが一時止まった。サービスは戻ったが、安定化の作業を続けていると説明した。外部の専門家を入れ、調査で詳細が分かり次第、規則に沿って当局に報告すると説明したです。
原因になったのは「外部の者によるシステムへの不正アクセス（侵入経路は公表されていない）」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因報道
外部の者が会社のシステムに入り、利用者の個人情報を見た。侵入の経路は公表されていない。
- 1つ外側 流出した情報報道
会社が認めたのは氏名、メールアドレス、電話番号などの一部の個人情報。攻撃者は約1,900万件の国民ID番号、運転免許、住所、写真、従業員と加盟店の口座情報などを持っていると主張しているが、確かめられていない。
- いちばん外側 その後の対応と影響報道
10月4日に検知した後、主なシステムの一部を止め、サービスが一時止まった。サービスは戻ったが、安定化の作業を続けていると説明した。外部の専門家を入れ、調査で詳細が分かり次第、規則に沿って当局に報告すると説明した。
なぜ起きたか
公表されている直接の原因は、外部の者が会社のシステムに入り、利用者の個人情報を見た。侵入の経路は公表されていないです。それがどのように起きたかの詳しい経緯は、まだ公表されていません。新しい発表があれば、この記事に追記します。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年10月4日会社がサイバー攻撃を検知し、主なシステムの一部を止める
- 攻撃者が約1,900万人分のデータを持っていると主張し、40万米ドルを要求する
- 2026年10月9日会社が報道に対し、利用者の氏名や連絡先が見られたと認める
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）国民ID番号や運転免許の画像など本人確認の書類を、普段の業務で使うデータベースと分けて暗号化し、読める人と仕組みを絞っていれば、侵入された時に見られる情報を減らせた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 国民ID番号や免許証の画像など、本人確認の情報を置いているデータベースを一覧にする
- 本人確認の情報を読める社員とシステムのアカウントを洗い出し、使っていないものを止める
- 攻撃者が「データを持っている」と名乗った時に、何が出たかを確かめる手順を決める
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- Pathao data breach: Hackers claim data of 19 million users（Prothom Alo）2026.10.09
- Hackers claim data of 19m Pathao users, demand ransom（Dhaka Tribune）2026.10.09
