2026年10月19日、海外のハッカー集団が「PingCAP（ピンキャップ）という会社から10.6TBのデータを盗んだ」と言い出し、翌20日には日本でも騒ぎになりました。

10.6TBは、スマホで撮った写真なら300万枚を超える量です。

そのデータの中に、メルカリやPayPay、DMM、ソフトバンク、富士通といった、よく知られた日本の会社の名前があるというのです。

DMMの大人向けサービスFANZAで買ったものの記録まで出てしまうのか、PayPayに入れているお金は大丈夫なのかと、青ざめた人もいますよね。

PingCAPなんて聞いたこともないのに、どうして自分が使っているサービスの名前がそこにあるのか。

理由が分からないまま、知っている名前だけが目に飛び込んでくるのが、いちばん気味が悪いところだと思います。

 

そして10月21日の午前0時すぎ、PingCAPの日本の会社（日本法人）は公式サイトとXで、不正アクセスがあったことを認めました。

ハッカー集団FulcrumSecの正体

今回「盗んだ」と言い出したのは、FulcrumSec（フルクラムセック）というハッカー集団です。

ロイター通信によれば、2025年10月ごろに現れた、企業を脅してお金を取る恐喝グループです。

パソコンのファイルに鍵をかけて「元に戻したければ払え」と迫るよくある手口とは違い、データを黙って持ち出したうえで「公開されたくなければ払え」と迫ります。

アメリカのセキュリティ会社Sysdigの分析では、FulcrumSecは、ネットに漏れたまま放っておかれたシステム用の鍵（システムに入るためのパスワードのようなもの）や、クラウド（ネット越しに借りるサーバー）の設定の甘いところを突いて忍び込んでいます。

名乗りを上げてきた相手

2026年6月には、デンマークの製薬大手ノボ ノルディスクからデータを盗み、2,500万ドルを要求したとFulcrumSecは主張しました。

会社は社内システムの一部に不正アクセスがあったことを認めたうえで、支払いを断っています。

するとFulcrumSecは今度は、盗んだデータを個別に売ることまでほのめかし始めました。

8月にはイギリスのマンチェスター空港などを運営する会社からも盗んだと名乗り出て、会社も利用客の情報に被害が出たことを公表しています。

 

そして2026年10月19日、FulcrumSecは盗んだデータを並べる自分たちのサイトに、「PingCAP / TiDB Cloud」とPingCAPのクラウドサービスの名前まで添えて載せ、こう主張しました。

  • プログラムの保管場所（作ったプログラムをしまっておくネット上の置き場）から漏れていたクラウドの鍵を使って、約2か月にわたって入り込み続けた
  • 外に見せていないプログラムの保管場所413個ぶんのソースコード（プログラムの設計図）と、社内の問い合わせ（サポート）の記録まで持ち出した
  • 手始めに200GBぶんを公開し、残りもさらに出すと脅している

どれもハッカー側の主張で、公開したというデータが本物かどうかを確かめたという報道も、まだ出ていません。

名前が並んだ日本の会社

サイバー攻撃の情報を流している海外のアカウントHackmanacは、盗まれたとされるデータに名前が出てくる会社を一覧にしていて、そこには日本の会社だけで20社ほどが入っています。

  • アプリ・通販・小売＝メルカリ、PayPay、LINE、ZOZO、DMM、イオン
  • ゲーム＝カプコン、スクウェア・エニックス、コナミ、バンダイナムコ、Cygames、コロプラ、gumi
  • 通信・IT・印刷＝ソフトバンク、富士通、TOPPAN、アイレット、クラスメソッド（どちらもクラウドを扱うIT企業）
  • 金融・決済＝SBI（ネット証券や銀行を持つグループ）、SBペイメントサービス（ソフトバンク系の決済代行会社）

同じリストには、Airbnbや東南アジアの通販サイトShopeeなど、海外の会社の名前も並んでいます。

ハッカー側は、名前を挙げた会社も含めて、日本と中国、香港の組織が合わせて2,000近く、盗んだデータに入っているとも言っています（アメリカのIT専門ニュースサイトDark Readingが10月22日に伝えた話）。

上の投稿にある「約18万」も、この「2,000近く」も、ハッカー側が出した数字で、何をどう数えたのかは分かっていません。

PingCAPとTiDBのプロフィール

PingCAPのデータベースTiDBの公式画像
引用元：PingCAP公式サイト（https://pingcap.co.jp/）
  • 社名＝PingCAP（ピンキャップ）
  • 創業＝2015年・中国の北京
  • 日本法人＝PingCAP株式会社
  • 主な製品＝データベースのTiDB（タイディービー）と、それをネット越しに借りられるTiDB Cloud

データベースというのは、会員の情報や注文の記録をしまっておく、アプリの裏側の大きな棚のようなものです。

TiDBはその棚を作るソフトで、利用者がどれだけ増えても棚を継ぎ足して使い続けられるのが売りになっています。

TiDB Cloudは、その棚をPingCAPが預かって動かしてくれるサービスです。

PingCAPが自分で並べてきた日本の名前

ハッカーのリストに並んだ日本の会社のうち、半分近くは、PingCAP自身が公式サイトの導入事例（自社の製品を使う会社の紹介）で取り上げてきた名前です。

  • メルカリ＝40TBを超えるデータベースをTiDB Cloudへ移した
  • カプコン＝TiDB Cloudを選び、『モンスターハンターワイルズ』の裏側にもTiDBを使う
  • DMM＝ログインの仕組みをTiDB Cloudへ移した
  • イオン、gumi、Cygames、スクウェア・エニックス、LINE、SBペイメントサービス＝事例や座談会に登場

リストの20社ほどのうち、少なくとも9社は、PingCAPが導入事例で紹介してきた会社と同じです。

ハッカーが公式サイトから名前を写したという証拠はありませんが、これらの名前は、もともと誰でも読めるPingCAPの公式サイトに載っていたものです。

一方で、ソフトバンクや富士通、コナミのように導入事例には出てこない会社もあり、なぜその名前まで並んだのかは分かっていません。

 

PingCAPが漏れたと認めた情報には、取引先の会社名や、担当者の名前・メールアドレス・電話番号、契約の中身まで入っています。

PingCAPが取引先にあてたお詫びのメールには、取引先をまとめておく名簿のシステム（CRM）などに入っていた情報が漏れたと書かれていて、このメールは、資料を取り寄せただけ、無料の枠を試しただけという人のところにまで届いています。

このメールが届いているのは、PingCAPと仕事で付き合いのあった人たちで、DMMやPayPayを使っているだけの私たちのところには、いまのところ届いていません。

DMMとPayPayが特にヤバい理由

それでも、並んだ名前のなかでXでとくにざわついたのが、DMMとPayPayです。

どちらも、もし利用者の情報まで漏れていたら、人に知られたくないものがそのまま出てしまうサービスだからです。

DMMは好みがそのまま残る

DMMが運営するFANZAで、何を買って何を見たかの記録が出回れば、人には言えない好みや性癖まで、そのまま人に知られてしまいます。

 

パスワードなら変えれば済みますが、買ったものの記録は、一度出回ってしまえば取り消しようがありません。

名前やメールアドレスとセットで出て、家族や職場の人の目に入ったらと思うと、笑い話では済まないんですよね。

PayPayは財布そのもの

お財布代わりにPayPayを使っていると、PayPayの中には、チャージした残高、つないでいる銀行口座やクレジットカード、どの店でいつ何を払ったかまで、毎日の財布の中身と使い道がまるごと入っています。

支払いの記録がたまれば、よく行くお店や住んでいるあたりまで透けて見えてしまいます。

FANZAの履歴とPayPayのお金は漏れたのか

PingCAPの発表を見るかぎり、FANZAで何を買ったかや、PayPayのお金と支払いの記録が抜かれたという証拠は、いまのところ出てきていません。

PingCAPがいま漏れたと認めている情報の種類にも、私たちの買い物や支払いの記録は入っていません。

ハッカーのリストに名前を出されたDMMやPayPayのほうは、10月22日の時点でも、この件について何も発表していません。

ニュースには「未確認」の但し書きがついたままで、私たちが使っているDMMやPayPayの側からはひと言の説明もないので、利用者としては落ち着かないですよね。

 

PayPayは自分たちのサーバーで動かしていた

PayPayは2024年1月の公式ブログで、TiDBをPingCAPのクラウドには預けず、自分たちのサーバーの上で社内のエンジニアが動かしていると書いています。

少なくともその時点で、PayPayのTiDBは、今回入り込まれたPingCAPの社内システムとは別に、PayPayが自分たちで動かしていたわけです。

 

DMMはTiDB Cloudの利用者だった

ただ、DMMは少しだけ事情が違います。

DMMの中でログインの仕組み（IDやパスワードを確かめる仕組み）を担うチームは、2024年4月に公開した講演の資料で、TiDB Cloudを採用して、すでに実際のサービスで動かしていると話しています（最新の使い方は公表されていません）。

入り込まれたのはPingCAP自身の社内のシステムで、各社がデータをしまっているTiDB Cloudの棚そのものへの不正アクセスは、PingCAPは確認していないとしています。

もしDMMのログインに使う情報がTiDB Cloudに置かれていたとしても、ハッカーがその棚の中まで入り込んだ形跡は、いまのところ見つかっていません。

 

「確認されておりません」が言っていること

日本法人のお詫びには、「TiDB Cloud への不正アクセス、クレジットカード情報の流出は確認されておりません」とあります。

この言い方はあくまで「調べた範囲では見つかっていない」という意味で、「何もなかった」とまでは、PingCAPはまだ言っていません。

PingCAPは英語で出した報告でも、TiDBにしまわれたデータが被害を受けた証拠はないとしたうえで、調べはまだ続いていると書いています。

メルカリのように、40TBを超えるデータベースをTiDB Cloudへ移した会社もあるので、TiDB Cloudの棚に本当にハッカーが入っていないのかどうかは、メルカリを使う私たちにとっても気になるところです。

 

名前が書いてあるからといって中身まで漏れたとは限らないのに、ハッカーのサイトに製品の名前まで並べられると、TiDB Cloudそのものが破られたように読めてしまうんですよね。

 

とはいえ、TiDB Cloudの棚が破られていないからといって安心しきれないのは、PingCAPが漏れたと認めた情報の中に、TiDB Cloudを使う会社の担当者が管理画面で打ち込んだ命令の履歴と、そのときのエラーの記録まで入っているからです。

命令というのは、「この人の登録内容を見せて」のように、棚からデータを呼び出すときに打ち込む文のことです（お詫びでは「SQLエディタの実行履歴およびエラー情報」で、SQLエディタはその文を打ち込む画面のこと）。

この履歴は、各社のデータをしまう棚とは別に、TiDB Cloudのアカウントの情報として、PingCAPが自分たちの社内のシステムに残していたものです。

だから「TiDB Cloudには入られていない」という説明と、この履歴が漏れたことは食い違いません。

たとえば担当者が、ある利用者の登録を調べるために、その人の名前やメールアドレスを命令の文に書き込めば、それが文ごと履歴に残ります。

アメリカのセキュリティ会社Sysdigの専門家も、こうした履歴は、急いで調べものをするときに貼り付けたパスワードなどがたまりやすい場所だと、Dark Readingに話しています。

 

DMMやPayPayとは関係のない例ですが、ハッカー側は実際に、盗んだ命令の履歴の中に、ある医療機関の患者の名簿がそのまま入っていたと主張しています（どこの国の病院かは報じられておらず、Dark Readingも、この主張を自分たちでは確かめていません）。

 

DMMの利用者の情報がこの履歴に入っていたという話は、いまのところどこからも出ていません（PayPayは2024年1月の公式ブログのとおり、TiDBを自分たちのサーバーで動かしていました）。

ただ、棚そのものが破られていなくても、担当者が打ち込んだ名前やメールアドレスは、この履歴と一緒に持ち出されてしまったかもしれません。

誰にも気づかれなかった28日間

PingCAPの発表によると、社内のシステムに入り込まれていたのは、2026年9月9日から10月7日まで（アメリカの時間）。

PingCAPは入り込んだ相手が誰かは書いておらず、名乗り出ているのはFulcrumSecだけです。

入り込んだ相手は、人が使うアカウントではなく、システム同士がやり取りするための専用アカウントの鍵（ログインのためのパスワードにあたるもの）を盗んで、それを使っていました。

その鍵で社内のシステムに入り、データを写し取っていたあいだ、PingCAPの中では誰も気づいていませんでした（ハッカー側は約2か月と言っています）。

 

ハッカー側はさらに、そのうちの22日間は、PingCAPがサービスの管理に使う社内のデータベースを丸ごと写し取る仕組みを置き、6時間おきに最新のデータを自動で取り込んでいたとも主張しています。

  • 9月9日＝侵入が始まる
  • 10月7日＝PingCAPが気づき、盗まれた鍵を止め始める
  • 10月10日＝残っていた鍵を追加で消し、必要以上に広くなっていた操作の許可を外す
  • 10月12〜13日＝外部の調査会社が、弱点を4つ見つけて報告
  • 10月14日＝4つとも直し、見つかった侵入経路をすべてふさぐ
  • 10月19日＝FulcrumSecがサイトにPingCAPの名前を載せる
  • 10月20日＝取引先にお詫びのメールが届き始める
  • 10月21日＝日本法人が公式サイトとXでお詫びを出す

 

気づいてから取引先にメールが届くまで、13日。

メールが届き始めた10月20日は、FulcrumSecがPingCAPの名前を世に出した翌日でもありましたが、なぜハッカーの公表より後になったのかを、PingCAPは説明していません。

5万件と、届け出の決まり

日本法人のお詫びでは、日本国内で最大およそ5万件の個人情報が漏れたとしています（ハッカー側の「約18万」とは別の、PingCAP自身が出した数字です）。

お詫びに並んでいる漏れた情報の種類を見ると、この5万件は、取引先の担当者など、PingCAPと付き合いのあった人たちの情報です。

日本の個人情報保護法では、不正アクセスのように悪い目的で漏れたおそれがあるときは、人数にかかわらず、国の個人情報保護委員会への報告と本人への通知が義務になっています。

PingCAPは、日本の委員会へ報告したかどうかははっきり書いていませんが、警察などへの届け出と、各国の監督当局への報告は済ませたとしています。

持ち出された設計図と鍵

日本法人は10月21日の昼にお詫びを書き足し、漏れた情報に「問合せ情報（サポートチケット情報）」を加えました。

日本語のお詫びにはソースコードのことが出てきませんが、PingCAPが英語で出した報告と、ハッカー側の言い分には、それぞれこう書かれています。

  • データと一緒にソースコードが持ち出されたことは、PingCAPも認めた
  • PingCAPも漏れたと認めたサポートの記録に、システムに入るための鍵やパスワードまで入っていたとハッカー側は主張していて、その真偽はまだ確かめられていない
  • ほかに使える鍵が漏れていないか、直した弱点を前に突かれていなかったかは、PingCAPが調べている途中

もしTiDB Cloudを使っている会社が、問い合わせのときにデータベースへ入るための鍵やパスワードを書き込んでいたら、それを使って、その会社のデータにまで入られてしまうおそれがあります。

 

日本法人のお詫びはAPIキー（システム同士をつなぐ鍵）も漏れた情報に挙げていますが、漏れたのは2つで1組になっている鍵のうちの片方（Public Key）だけで、しかもその鍵は暗号化されているそうです。

もう片方（Private Key）は漏れていないので、漏れたPublic Keyだけでは、TiDB Cloudを操作できないといいます。

ハッカー側の言う「APIキー約11.5万件、うち4.2万件がまだ有効」とは食い違っていて、どちらが正しいかはまだ確かめられていません。

それでも念のため、PingCAPは使っている会社に、APIキーの作り直しやアクセスの記録の確認を頼んでいます。

鍵が盗まれた先で起きたこと

サービスを作った会社が「うちのシステムは破られていない」と言っていても、使う側の鍵が別のところから盗まれていれば、預けているデータは抜かれます。

2024年、アメリカのデータ保管サービスSnowflakeを使っていた会社のIDとパスワードが、利用企業や委託先のパソコンに入り込んだ情報を盗むウイルスで抜き取られていました。

このとき抜かれたのは、通信大手のAT&Tが持っていた2022年の半年分の記録で、AT&Tは2024年7月、ほぼすべての携帯の利用者の通話とSMS（ショートメッセージ）の記録が持ち出されたと公表しています。

そのときもSnowflakeは、自分たちのシステムは破られていないと説明していました。

次に狙われるのは誰か

名前、メールアドレス、会社名、電話番号に契約の中身までそろえば、いつもの取引先から届いたように見える本物そっくりのメールが作れてしまいます。

まず狙われやすいのは、PingCAPとやり取りしていた各社の社員の人たちでしょう。

会社の中の誰かがそのメールで引っかかれば、その会社が預かっている私たち利用者の情報まで盗まれてしまうかもしれません。

騒ぎに便乗するメール

PingCAP自身も、自分たちを装ったメールが届くおそれがあるとして、パスワードやキーをメールで聞くことはないと注意を呼びかけています。

情報が漏れたというニュースが出ると、だます側はそれを次の詐欺の材料にもしてきます。

2024年には、弁護士などを名乗る偽のメールについて、警視庁が注意を呼びかけたと報じられました。

ダークウェブ（ふつうの検索では出てこないネットの裏側）に流出した情報を消したければお金を振り込むように、と求めるメールです。

 

そのうえ、PingCAPと取引のあった人のもとには、本物のお詫びまで「漏洩」の文字が入ったメールで届いていて、本物と偽物がまぎれやすくなっています。

この騒ぎに便乗した「情報流出のお詫び」が、私たち利用者のところにも届くかもしれません。

そんなメールが届いても、中のリンクは押さずに、アプリや公式サイトを自分で開いて確かめたほうがよさそうです。

 

同じ10月21日の夜には、サイトを動かすPHPという仕組みに穴が見つかって多くのサービスが止まり、「PHP対策」をうたう便乗のメールを心配する声も上がりました。

こちらはPingCAPとは別の件で、利用者が今できることはPHP脆弱性ですべきことまとめ｜個人ができる対策をわかりやすく解説で確かめられます。

PHPの穴の話が修正版より先に漏れて騒ぎが大きくなった経緯は、PHP問題の張本人がヤバすぎる件｜修正前に穴を暴露した研究者の正体にまとめています。

同じ週には、FXの自動売買用に借りたサーバーからIDとパスワードが抜かれ、口座のお金が勝手に溶かされる被害も出ています（お名前.comデスクトップクラウドの不正アクセスがヤバすぎる件）。

 

知っている名前が並んでいた理由をたどると、PingCAPが自分で紹介してきた導入事例と、盗まれた取引先の名簿に行き着きます。

私たちが本当に気をつけたいのは、その騒ぎに乗っかって届くかもしれない、DMMやPayPayの名前をかたったメールなんですよね。