2026年に報告された重大なデータ侵害により、教育プラットフォーム、医療プロバイダー、保険会社、旅行関連企業などで数百万人が影響を受けています。
これらのインシデントは、攻撃者が侵害されたアカウントや第三者経由のアクセス、機密情報を保管するシステムの弱点をどのように悪用できるかを浮き彫りにしています。Privacy Rights Clearinghouse（PRC）は 2026年半期レポートで、年初6カ月間に州および連邦当局へ提出された5,429件の通知に基づき、個別の侵害事象が1,969件あったと特定しました。
これらの届け出が示す報告上の情報流出は約3億4,310万件に上りますが、この合計にはCanvasの利用者2億7,500万人が影響を受けたという未検証の主張が含まれています。この主張を除くと、合計はおよそ6,800万件になります。PRCはまた、これらの数字は個人情報の流出件数を示すものであり、必ずしも重複のない個人の人数ではないと注意を促しています。
以下の8件のインシデントは、どのような情報が侵害され、何人が影響を受けたと報告されているのか、また企業や消費者がこれらの公表内容から何を学べるのかを示しています。
- 2026年に報告された重大なデータ侵害8件
- 1. Instructure（Canvas）：2億7,500万人との主張も、実際の合計は未検証
- 2. DentaQuest：影響人数について1,500万人と2,740万人の相反する届け出
- 3. Aesto Health：950万人超に影響
- 4. AssuranceAmerica：約700万人のドライバーに影響
- 5. Carnival Corporation：約600万人の顧客に影響
- 6. AdaptHealth：410万人超に影響
- 7. Medtronic：380万人超に影響
- 8. TriZetto Provider Solutions：報告ベースで340万人超に影響
- これらの大規模なデータ侵害が企業と消費者に意味すること
2026年に報告された重大なデータ侵害8件
これらのインシデントは、報告された規模、関係する情報の機密性、起こり得る影響を基準に選定しました。確認済みの規模が大きい8件を順位付けしたものではありません。
組織 | 報告された影響人口 | 関係する情報 |
|---|---|---|
| Instructure（Canvas） | 2億7,500万件と主張、未検証 | ユーザー名、メールアドレス、コースおよび履修情報、メッセージ |
| DentaQuest | HHSの届け出では1,500万人、インディアナ州の届け出では2,740万人 | 個人識別情報、歯科および眼科の医療情報 |
| Aesto Health | 954万人 | 個人情報、医療情報、保険情報 |
| AssuranceAmerica | 約700万人 | 運転免許証番号、保険情報 |
| Carnival Corporation | 約600万人 | 連絡先情報、生年月日、政府発行の身分証明書情報 |
| AdaptHealth | 411万件 | 個人情報、健康保険情報、医療情報 |
| Medtronic | 383万件 | 個人情報。一部の個人については、社会保障番号や医療記録も含まれる |
| TriZetto Provider Solutions | 以前の規制当局への届け出では343万件 | 社会保障番号、保険情報、個人識別情報 |
数字は、公表された規制当局への届け出と侵害報告に基づいています。同じインシデントについて異なる合計を報告している届け出もあり、影響を受けた重複のない個人の人数を算出するために合計してはなりません。2026年より前に始まり、同年に公表されたインシデントもあります。
1. Instructure（Canvas）：2億7,500万人との主張も、実際の合計は未検証
学習管理システムCanvasを運営する教育テクノロジー企業Instructureでは、2026年4月と5月にCanvasに関係する不正な活動が発生しました。
Privacy Rights Clearinghouseは、影響を受けた利用者を2億7,500万人と記載したウィスコンシン州の侵害届け出を特定しました。しかし同団体は、この数字が攻撃者の主張に由来し、独立した検証を受けていないと判断しました。
同団体の分析では、調査した公開届け出に記載された影響対象者は約1万8,400人でしたが、この数字からインシデントの全容が明らかになるわけではありません。
流出した情報：PRCのインシデントに関する説明によると、侵害された情報にはユーザー名、メールアドレス、コース名、履修情報、メッセージが含まれていました。Instructureは、パスワード、生年月日、政府発行の識別情報、金融情報は関係していないと説明しています。
5月、Instructureは 不正な行為者と合意に達したことを認め、情報が返却・破棄されたとの確約を得たと述べました。
9月29日の更新で同社は、影響を受けたデータのフォレンジック調査を完了し、残る影響対象の機関への情報提供を準備していると説明しました。この更新でも、影響を受けた人が2億7,500万人という数字は確認されませんでした。eSecurity Planetが調査したところ、ShinyHunters恐喝グループはCanvasのインシデントに関連して大学を標的にしていました。
重要な理由：教育プラットフォームには、学生、教育者、教育機関に関する情報が保存されている可能性があります。学校は、広く利用されている第三者システムについて、ベンダーアクセス、アカウント保護、インシデント対応手順を見直すべきです。
2. DentaQuest：影響人数について1,500万人と2,740万人の相反する届け出
Sun Life傘下で歯科・眼科給付の管理を担うDentaQuestは、個人情報および医療情報に関わるサイバーセキュリティインシデントを公表しました。
2026年の 規制当局への届け出によると、5月17日から20日にかけて不正な人物が同社のネットワークにアクセスしました。DentaQuestは5月20日にこの活動を発見しました。
報告された影響人口は、届け出によって大きく異なります。米国保健福祉省は7月16日に1,500万人と記録した一方、7月17日付のインディアナ州の届け出は2,740万人と記載しました。テキサス州の届け出も1,500万人と報告しています。
公開されている記録ではこの食い違いを説明していないため、どちらの数字も全国規模で調整済みの合計として扱うべきではありません。このインシデントは、2026年に報告された医療関連の侵害として最大級のものに数えられます。
流出した情報：侵害通知の記録では、氏名、住所、社会保障番号、会員識別番号、MedicaidおよびMedicareの番号、歯科・眼科の医療情報が特定されました。後者には、医療提供者名、診断、治療情報、請求の詳細が含まれていました。
関係した具体的な情報は個人によって異なります。
重要な理由：医療情報や保険情報は、長期的なプライバシー侵害やなりすましのリスクにつながる可能性があります。影響を受けた人は通知を確認し、関係した情報の種類に応じて適切な対策を講じるべきです。
3. Aesto Health：950万人超に影響
医療データの移行・アーカイブサービスを提供するAesto Healthは、約954万人に影響する侵害を報告しました。
Aestoの インシデント通知によると、不正アクセスは2025年12月2日頃から18日頃にかけて発生しました。その後同社は関係する情報を調査し、2026年5月に患者記録が流出した可能性を確認しました。
Aestoは2026年6月26日、影響を受けた医療提供者の顧客への通知を開始しました。該当する患者への通知を判断・実施する責任は、これらの組織が負いました。
として eSecurity Planetが報じたように、このインシデントはAestoのサービスを利用する医療機関の患者に関する情報に影響を与えました。
流出した情報：影響を受けた可能性のある情報には、氏名、生年月日、医療記録、健康保険情報、運転免許証番号、金融口座情報、その他の政府発行の識別情報が含まれていました。限られた人数については、社会保障番号も関係していた可能性があります。
具体的な情報は個人によって異なります。
重要な理由：医療機関は、機密性の高い記録の管理をベンダーに依存することが少なくありません。この侵害は、ベンダーアクセスの管理、データ保持方針、通知責任の明確な定義が不可欠である理由を示しています。
4. AssuranceAmerica：約700万人のドライバーに影響
保険会社AssuranceAmericaは、 Privacy Rights Clearinghouseの半期分析によると、699万8,886人に影響する侵害を報告しました。
同社は2026年3月、システムに関係する不審な活動を発見し、その後、顧客情報を含むファイルへの不正アクセスを調査しました。
AssuranceAmericaの侵害について eSecurity Planetが報じた内容によると、約700万人のドライバーが影響を受けました。
流出した情報：侵害通知の報告では、氏名、連絡先情報、運転免許証番号、保険契約・口座情報、車両情報、保険金請求関連の記録が特定されました。関係した情報は個人によって異なります。
重要な理由：運転免許証情報や保険情報は、身元詐欺やなりすましに悪用される可能性があります。影響を受けた人は公式通知を確認し、追加の本人確認モニタリングなどの保護措置が必要かどうかを判断すべきです。
保険会社にとって、このインシデントは顧客記録へのアクセスを制限し、機密性の高いデータベースに関わる不審な活動を検知する重要性を改めて示しています。
5. Carnival Corporation：約600万人の顧客に影響
Carnival Corporationは、約600万人の個人情報に関わるサイバーセキュリティインシデントを公表しました。
同社の 侵害通知によると、2026年4月14日、従業員のアカウントに関わる不正な活動を確認しました。
攻撃者はソーシャルエンジニアリングで従業員をだまし、同社のシステムにアクセスしました。Carnivalは4月22日、個人情報がコピーされたと判断しました。
その後、 テキサス州司法長官事務所が調査を発表し、テキサス州民8万人超を含む推定600万人に影響したと報告しました。eSecurity Planetが以前報じたように、このインシデントは同社の旅行事業全体の顧客に影響を与えました。
流出した情報：Carnivalは、氏名、住所、メールアドレス、電話番号、生年月日、運転免許証番号やパスポート番号を含む政府発行の身分証明番号を特定しました。
同社は、関係した情報は個人によって異なると強調しました。5月の通知では、影響を受けた記録の分析を続けているとも述べています。
重要な理由：旅行関連の個人情報は、犯罪者が説得力のあるフィッシングメッセージやなりすましを作成する助けになる可能性があります。顧客は、予約、本人確認、侵害への補償に関する予期しない連絡に注意すべきです。
6. AdaptHealth：410万人超に影響
医療サービスプロバイダーのAdaptHealthは、 米国保健福祉省の侵害データベースによると、411万5,802人に影響する侵害を報告しました。
同社は 8月14日付の通知で、2026年6月5日に不正アクセスが発生したと述べました。AdaptHealthは6月15日にこのインシデントを発見しました。
それ以前の SEC提出書類では、ソーシャルエンジニアリング攻撃によって第三者委託先のユーザーセッションが侵害されたと説明されていました。
流出した情報：影響を受けた可能性のある情報には、氏名、連絡先情報、人口統計情報、健康保険情報、医療記録が含まれていました。
AdaptHealthは、社会保障番号、銀行口座情報、決済カード情報は影響を受けたシステムに含まれていなかったと述べています。
重要な理由：第三者からのアクセスが侵害されると、従業員のアカウントが安全なままであっても、医療機関にリスクが生じる可能性があります。
セキュリティチームは、委託先の権限、認証管理、機密性の高い患者情報を保管するシステムの監視を見直すべきです。
7. Medtronic：380万人超に影響
医療技術企業のMedtronicでは、2026年4月に一部の社内ITシステムへの不正アクセスが発生しました。
Privacy Rights Clearinghouseの 2026年半期レポートには、このインシデントの影響を受けた個人として383万4,294人が記載されています。PRCの集計は、Medtronicが全国規模の合計として独自に発表したものではなく、同団体が調査した届け出のうち、報告数が最大のものを反映しています。
同社は 6月29日付の声明で、情報が影響を受けた可能性のある個人への連絡を開始したと確認しました。
流出した情報：州レベルの通知では、氏名、住所、生年月日、社会保障番号、医療情報などの個人情報が特定されました。具体的なカテゴリーは個人によって異なります。
Medtronicは、影響を受けた情報がオンラインで公開された証拠はないと述べています。
同社はまた、医療機器のセキュリティ、患者の安全、製造、流通、または製品が意図された治療を提供する能力への影響は確認されていないと明らかにしました。
重要な理由：医療技術企業に関わる侵害では、機器の安全性が懸念される可能性があります。ただし、社内情報システムへの不正アクセスがあったからといって、医療機器まで侵害されたことを自動的に意味するわけではありません。
セキュリティチームと医療機関は、個人情報の確認済みの流出と、未検証の業務上または製品上のセキュリティリスクを区別すべきです。
8. TriZetto Provider Solutions：報告ベースで340万人超に影響
Cognizant傘下の医療技術企業TriZetto Provider Solutionsは、保険資格確認記録に関わる侵害を公表しました。
Privacy Rights Clearinghouseの 2026年半期レポートには、2026年上半期の規制当局への報告に基づき、このインシデントの影響を受けた個人として343万3,965人が記載されています。
この数字は、2026年2月に米国保健福祉省へ報告された記録にも記載されています。これはそれらの記録で報告された人口を示すものであり、影響を受けた可能性のあるすべての個人の確定的な人数とは限りません。
TechTargetの 主要な医療関連侵害に関する調査によると、TriZettoは2025年10月に不審な活動を発見しました。調査担当者は、2024年11月までさかのぼる保険資格確認の取引記録への不正アクセスを特定しました。
この侵害を受け、訴訟も起こされました。 eSecurity PlanetがCognizantに対する集団訴訟を調査したところ、これらはこのインシデントに起因するものでした。
流出した情報：影響を受けた可能性のある情報には、氏名、住所、社会保障番号、生年月日、健康保険会社名、保険加入者情報、その他の人口統計情報や健康保険の詳細が含まれていました。
関係した具体的な情報は個人によって異なります。
重要な理由：保険資格確認記録には、個人を特定する機密情報と医療関連情報が組み合わされることがあり、なりすましや不正行為のリスクが生じます。
このインシデントは、機密性の高い記録が長期間アクセス可能な状態に置かれる可能性がある場合、とりわけ不正アクセスを迅速に検知する重要性も示しています。
これらの大規模なデータ侵害が企業と消費者に意味すること
インシデントは業種によって異なりますが、侵害されたアカウント、ソーシャルエンジニアリング、第三者からのアクセス、機密情報の大規模な集積など、繰り返し現れるサイバーセキュリティリスクを浮き彫りにしています。
企業にとって、侵害の影響は初動対応の費用にとどまらず、規制当局の調査、訴訟、顧客の不信、業務の中断にまで及ぶ可能性があります。
消費者にとってのリスクは、侵害された情報によって異なります。連絡先情報が流出するとフィッシングのリスクが高まる可能性がある一方、社会保障番号や医療情報が侵害された場合は、より広範な保護措置が必要になることがあります。
セキュリティチームが取るべき対策
組織は、特に外部ベンダーが機密情報を取り扱う場合に、これらのインシデントを踏まえて情報の保護方法を見直すべきです。
- ID管理を強化する。適切な多要素認証を必須とし、特権アクセスを制限するとともに、従業員や委託先に関わる不審なセッションを監視します。
- ベンダーのセキュリティを見直す。機密性の高い記録にアクセスできる外部組織を特定し、その保護対策、インシデント対応能力、通知義務を確認します。
- 不要なデータ露出を制限する。保持期間を短縮し、機密性の高いシステムへのアクセスを制限するとともに、保存情報に適切な保護を適用します。
- インシデント対応手順をテストする。チームが侵害された記録を特定し、不正アクセスを封じ込め、影響を受けた個人に速やかに通知できるようにします。
影響を受けた人が取るべき対策
侵害通知を受け取った人は、企業の公式窓口を通じて通知の正当性を確認し、侵害されたと特定された情報を確認すべきです。
認証情報が流出した場合、パスワードの変更と多要素認証の有効化が、まず取るべき適切な対策です。社会保障番号などの機密性の高い識別情報が侵害された人は、クレジットの凍結や追加の本人確認モニタリングも検討するとよいでしょう。
侵害に言及する予期しないメール、電話、テキストメッセージには慎重に対応すべきです。犯罪者は、セキュリティインシデントに関する公表情報を悪用し、説得力のあるフィッシングを仕掛ける可能性があります。
最終的に、侵害の規模は全体像の一部しか示しません。流出した情報の機密性、不正アクセスが続いた期間、組織の対応速度が、いずれも潜在的な影響を左右します。
企業とセキュリティチームにとって、これらのインシデントから得られる長期的な教訓は、不正アクセスの防止が不可欠である一方、侵入を許した後に攻撃者がアクセスできる情報を制限することも同じように重要だということです。
その他のサイバーセキュリティ対策：組織がリスクを減らすために取れる実践的な手順については、eSecurity Planetの データ侵害を防ぐガイドをお読みください。データ保護、インシデント対応計画、セキュリティ研修について解説しています。