出来ることはやっておきたい対策
不正アクセスや情報漏洩のニュースを見るたびに、「またか」と感じるようになりました。
しかし、ニュースに慣れても、被害への備えまで後回しにしてよいわけではありません。漏れるのは、メールアドレスやパスワードだけとは限りません。仕事で保存した文書、取引の情報、従業員や退職者の個人情報も対象になります。
すべての攻撃を防ぐことは難しくても、侵入される可能性を下げ、被害を小さくし、仕事を再開するために出来ることはあります。まずは、自分たちが使っているサービスと、そこに置いている情報を確認するところから始めたいと思います。
3つの事案から見えてくること
2026年10月に公表された情報を確認すると、被害の対象が日常の業務に深く関わっていることが分かります。
戸田建設は10月7日、取引先への支払いを管理するシステムなどへの不正アクセスにより、情報が漏洩したと発表しました。対象には、取引先担当者のメールアドレス最大7,200件、取引データ最大6,000件、従業員4,778人分の個人情報が含まれます。公表時点では、漏洩情報の不正利用は確認されていません。戸田建設の公式発表
楽天ドライブは、管理用アカウントの認証情報を第三者が不正に取得し、保存データなどを取得・閲覧したと発表しています。写真や文書などの保存データは15,382アカウントが対象で、その対象期間は2026年1月29日から9月17日です。クラウドに置いたファイルそのものが対象となった点を、重く受け止める必要があります。楽天ドライブの公式発表
第一ライフグループと第一生命は、従業員向け人事システムへの不正アクセスによって、従業員と退職者の約12万人分の個人情報が閲覧され、外部に流出した可能性があると発表しました。約7万人の退職者を含みます。ただし、これは流出が確定したという発表ではなく、公表時点で顧客情報への不正アクセスも確認されていません。第一生命の公式発表
これらは、それぞれ異なる事案です。原因や侵入経路を一括りにすることは出来ません。
それでも、支払い管理、クラウド保存、人事管理という、日々の仕事を支える仕組みが対象になっている点は共通しています。セキュリティは、情報システム担当者だけに任せて終わる話ではなくなっています。
追記：さらに4つの事案から見えるリスク
10月8日に確認した追加の4件は、10月2日から7日に公表された事案です。10月8日に新たに発生・公表された4件という意味ではありません。
アバハウス：注文内容に一致する不審メール
アバハウスインターナショナルは10月3日、社内システムへの不正アクセスによって、会員情報や注文情報が漏洩した可能性があると発表しました。対象には、氏名、住所、電話番号、メールアドレス、生年月日、購入商品、注文金額、配送先などが含まれます。影響範囲は公表時点で完全には特定されておらず、人数も公表されていません。
特に注意したいのは、実際の注文内容と一致する「返金」「欠品」を名目とした不審メールが確認されていることです。注文内容を知っている相手だからといって、信用出来るとは限りません。メール内のリンクを使わず、自分で公式サイトのマイページや窓口を開いて確認することが大切です。アバハウスの公式発表
日本経済新聞社：社員を装ったメールと、別件の漏洩疑い
日本経済新聞社が10月4日に公表した2件について、INTERNET Watchは、Microsoft 365への不正アクセスで社員を装ったメールが約9,000件送信され、別のGoogle Workspaceへの不正アクセスでは1,646人分の個人情報に漏洩の疑いがあると報じています。対象情報には氏名、メールアドレス、一部のメール本文などが含まれます。約9,000件はメールの送信数であり、漏洩人数ではありません。また、この2件は別々の事案です。
いつもの取引先や知っている担当者から届いたように見えるメールでも、アカウントそのものが悪用される場合があります。送信者名だけで判断せず、普段と違う依頼やリンクは、電話など別の経路で確認する習慣を持ちたいと思います。INTERNET Watchの報道
JOGMEC：約8,500件のメールアドレスに漏洩のおそれ
エネルギー・金属鉱物資源機構（JOGMEC）は10月2日、外部からの不正アクセスによって個人情報が漏洩した可能性があると発表しました。9月9日に判明した事案で、対象は役職員約1,100件、機構以外の約7,400件、合わせて約8,500件のメールアドレスです。公表時点では、不特定多数への公開や不正利用は確認されていません。
メールアドレスも、仕事上の連絡を装った攻撃の入口になります。漏洩した可能性がある情報の種類に応じて、関係者への通知と、不審なメールを見つけたときの連絡先を用意しておく必要があります。JOGMECの公式発表
HIS：最大627人分のパスポート情報など
エイチ・アイ・エスは10月7日、タイ現地法人のファイルサーバーへの不正アクセスにより、最大627人分の個人情報が外部に流出した可能性があると発表しました。対象にはパスポートに記載された氏名、生年月日、性別、番号、有効期限、署名欄の名前と、アレルギー情報が含まれます。
検知は2025年12月11日で、公表まで約10か月を要しました。同社は、個人情報とその他の資料が混在し、形式も異なる大量のファイルを目視で調べる必要があったと説明しています。件数の大小だけでなく、情報の性質と、保存した情報をどこまで把握出来ているかも重要だと分かる事案です。HISの公式発表（PDF）
この4件から見えるのは、漏洩への備えが、侵入を防ぐ対策だけでは終わらないということです。情報が悪用される場面を想定し、本人や取引先への確認、連絡、対応まで用意しておきたいと思います。
追記：生活に身近なサービスでも広がる情報流出（10月9日）
さらに、カーシェアリング、予約システム、買い物、画像共有など、普段利用するサービスの6件を追記します。ローソンは10月8日の公表です。他の5件は9月に公表された事案や、その後の続報です。ここに記す規模は、人数、アカウント数、データ件数など単位が異なり、同じ人が複数のサービスを使っている可能性もあるため、単純には合算できません。
タイムズカー：本人確認書類の画像も流出
タイムズモビリティは9月25日に不正アクセスを検知・公表し、9月28日の第2報で約660万アカウントの情報が第三者に取得されたと発表しました。氏名、住所、生年月日、電話番号、メールアドレス、運転免許情報などが含まれますが、対象者によって情報の種類は異なります。退会済みの方や、入会を完了していない方も対象に含まれます。
9月29日の第3報では、約160万アカウントで運転免許証画像などの本人確認書類が漏洩したと確認しています。クレジットカード情報は漏洩しておらず、パスワードそのものが読める状態で漏れた事実も確認されていないと説明しています。同社は侵入経路を遮断し、外部専門機関による調査と対象者への個別案内を進めています。
10月16日の第4報では、会員登録完了後は本人確認書類の画像を保有しないルールに変更し、現在保有する画像も申出の有無にかかわらず10月末までに削除すると発表しました。調査結果の次回案内は10月23日に変更されています。10月20日時点で、画像削除の完了を確認したという意味ではありません。公式第4報。本人確認書類は、漏れた後にパスワードのように簡単に取り替えられる情報ではありません。利用者は公式窓口で対象かを確認し、企業側は書類画像を保存する必要性、保管期間、閲覧権限を見直したいところです。タイムズカー第2報／第3報
ファインズ：予約内容まで含む約153万件が調査対象
ファインズは9月25日、同社が提供する予約システムへの不正アクセスを公表しました。9月22日に異常を検知し、対象件数は1,536,322件としています。氏名、電話番号、メールアドレスに加え、予約店舗、メニュー、日時などが対象です。公表時点では影響範囲の特定を進めており、全件の外部流出が確定したものとしては扱いません。
同社はアクセスを遮断し、弁護士と連携した調査、関係機関への報告、セキュリティ強化を進めています。予約情報は、その人がいつ、どこで、何を利用するかを示します。予約内容によっては私生活を推測されるおそれもあり、件数だけでは被害の重さを判断できません。ファインズの公式発表
セイコーマート：574,647人分の会員情報を不正閲覧
セイコーマートは9月30日の第3報で、アプリに登録したことがある会員572,022人分の情報が不正に閲覧されたと発表しました。10月5日の第4報では対象を574,647人に更新しています。「不正閲覧を確認した人数」として整理し、データの外部持ち出し件数とは区別します。
同社は対象の有無をアプリで通知し、アプリ・Webでの新規入会、会員情報の閲覧・変更、登録カードの変更機能を終了するとしています。便利な機能であっても、利用者情報に触れる仕組みは継続して点検する必要があります。利用者は、不審なメールや電話でパスワード、カード情報、PINなどを伝えないことが大切です。セイコーマート第3報／第4報
ローソン：約215万件のローソンID情報が漏洩
ローソンは10月8日、ローソンIDの2,155,345件と、ローソンアプリ予約の26件の情報漏洩を確認したと発表しました。10月7日の調査で、ローソンIDには9月12～14日、アプリ予約には9月17日に不正アクセスがあったと判明しています。ローソンIDではメールアドレスと氏名のほか、入力されていた場合は性別、電話番号、住所などが対象です。アプリ予約の26件では氏名、電話番号、クレジットカード番号の一部が対象となっています。
同社は、利用者本人に情報を表示するためのセキュリティ機構が不正アクセスを受けたと説明しています。具体的な攻撃手法や脆弱性は公表されていません。不審なアクセス元を遮断し、予約機能を停止して、対象者への通知や監視強化を進めています。公表時点では、本件に起因すると考えられる不正利用や二次被害は確認されていません。
この説明から考えるべき対策は、ログインできるかの確認に加え、「その利用者が、その情報を見てよいか」を機能ごとに確認することです。他人の情報を取得できない権限の設計と、大量・異常な取得の検知を点検したいところです。これらは一般的な対策であり、今回どこに不備があったかを断定するものではありません。ローソンの公式発表
Gyazo：約2,362万件のユーザーデータと画像メタデータが流出
Helpfeelは9月16日、画像共有サービスGyazoへの不正アクセスと情報流出を公表しました。9月11日、画像アップロードサーバーの脆弱性を悪用され、ユーザー情報と画像に関するメタデータが流出しています。ユーザーに関するデータは約2,362万件ですが、9月25日の第2報によると、メールアドレス登録のあるユーザーは約562万件です。全件で氏名やメールアドレスが流出したという意味ではありません。対象情報には、ユーザーごとに名前、メールアドレス、パスワードのハッシュ値、利用者ID、認証関連情報などが含まれます。
画像メタデータは約4.9億件、別途240万件に加え、削除済み画像のもの約1億7,400万件も流出したと確認されています。メタデータには、IPアドレス、画像に含まれる位置情報、画像内の文字を読み取ったOCRテキストなどがあります。これらの件数は画像ファイル自体の流出件数ではなく、削除済み画像について今回新たに確認した流出には、画像ファイルそのものは含まれません。
同社は侵入経路の遮断、脆弱性修正、必要な認証情報の無効化などを実施し、9月27日にサービスを再開しました。画像を消しても関連データが残る場合がある点は、仕事でスクリーンショットを共有する際にも気を付けたいところです。画像本体だけでなく、文字情報や保存・削除の仕組みまで確認する必要があります。Helpfeel第1報／第2報
ムラウチドットコム：771万6,811件の個人情報流出を確認
ムラウチドットコムは7月24日の初回公表を経て、9月15日の第2報で7,716,811件の個人情報が外部に持ち出されたと発表しました。7月15日にシステム障害が発生し、7月16日の復旧作業中に不正アクセスの痕跡を確認しています。対象は氏名、住所、電話番号などで、一部の利用者ではメールアドレス、生年月日、性別も含まれます。クレジットカード情報とパスワードは含まれていません。
同社によると、Webシステムの一部にあった脆弱性が侵入口となり、その後、複数のシステムに不正アクセスされました。外部アクセスの遮断に加え、アクセス権限と認証情報管理の見直し、監視強化、定期的な脆弱性診断を進めています。入口を守るだけでなく、侵入後に被害が広がらないよう、システムの分離と権限の最小化を点検することも必要です。ムラウチドットコムの公式発表・FAQ
この6件を見ると、対策の対象はパスワードだけではないことが分かります。本人確認書類を必要以上に残さないこと、予約情報や画像に含まれる私生活・業務情報を把握すること、利用者ごとの閲覧権限を確かめること。何を保管し、誰が見られ、いつ消すのかを整理することが、被害を小さくする備えになります。
追記：未掲載の公表と続報を確認（10月9日）
これまで掲載していなかった15項目を追記します。情報流出が確認されたもの、漏洩の可能性を調べているもの、サービス停止が中心のものを分けて読みたいと思います。以下は10月9日に照合した公表・続報であり、すべてが同日に発生した事故ではありません。
焼肉きんぐ：約1,079万件の会員情報が流出
物語コーポレーションは10月5日、焼肉きんぐのアプリ会員情報10,788,963件が漏洩したと公表しました。会員番号、アプリに登録した氏名、メールアドレス、電話番号が対象です。パスワード、生年月日、購買・来店情報などは漏洩していないと説明しています。会員データの件数であり、重複を除いた人数と同じとは限りません。公式発表
GMOリサーチ＆AI「infoQ」：情報漏洩に加えてポイントの不正交換
10月5日の公表では、最大948,498件の登録情報に漏洩の可能性があります。氏名、住所、連絡先、暗号化されたパスワード、保有ポイントなどが対象です。さらに、611件、総額2,869,500円相当のポイントがAmazonギフトカードへ不正交換されたことを確認し、補填を完了したとしています。漏洩の可能性と、確認済みのポイント被害を区別する必要があります。公式発表
ミスターマックス：最大約174万人が調査対象
10月6日、会員システムへの不正アクセスと情報漏洩を公表しました。最大1,735,154人が対象となる可能性があり、会員番号、氏名、メールアドレス、電話番号が対象です。一部の漏洩は確認されていますが、最大人数全員の情報が漏れたと確認した発表ではありません。住所、生年月日、カード情報、パスワード、購買履歴は漏洩していないと説明しています。公式発表
チャーム：退会済みの情報も対象となる続報
10月7日の第4報では、退会済みの約2.5万件の会員情報について、大多数で漏洩を確認し、一部は漏洩の可能性があるとしています。この退会済みの情報は9月2日の第3報の対象に含まれており、今回新たに上乗せされた件数ではありません。会員とは別の配送先情報も対象に含まれると説明しています。退会した後の情報をどの期間、何のために残しているかも確認したいところです。公式第4報
ハイホー：38,509契約で不正ログイン
10月8日、Bizimoやhi-hoなどのマイページで、38,509契約分の不正ログインを確認したと公表しました。氏名、住所、連絡先、契約・請求情報などが表示されるため、閲覧された可能性があります。これは契約数であり、漏洩が確定した人数ではありません。電話番号・郵便番号・生年月日によるログイン方法を廃止し、認証を強化しています。公式発表
第一興商グループ：約872万件に漏洩の可能性
第一興商は10月8日、日本コロムビアグループの従業員パソコン1台がマルウェアに感染し、顧客情報約8,631,000件、従業員情報約93,000件、合わせて約8,724,000件が漏洩した可能性があると公表しました。氏名、性別、生年月日、メールアドレス、電話番号などが対象です。公表時点で、外部への漏洩や不正利用が実際に発生したことは確認されていません。サーバーだけでなく、業務用パソコンに一時保存したデータも管理対象になります。公式発表
NewsPicks：業務用管理ツールから漏洩の可能性
ユーザベースは10月8日、NewsPicksの業務用管理ツールへの不正アクセスを公表しました。対象人数は調査中です。氏名、勤務先、メールアドレス、住所、電話番号、カード名義、カード番号の下3桁または下4桁などが漏洩した可能性があります。暗号化されたパスワードの漏洩は確認されておらず、不正利用や不特定多数への公開も公表時点では確認されていません。公式発表
skyticket：詳細公表と、旧決済ログからのカード情報流出
アドベンチャーは10月9日、異なる経路による3件の不正アクセスを公表しました。サーバーへの不正アクセスでは約1,464万件の情報が対象となり、このうち約413万件にはハッシュ化したログインパスワードが含まれます。業務管理システムとバス予約情報の閲覧は別の事案で、件数には重複や調査中のものがあるため単純合算できません。
2026年10月20日追記：10月16日の第2報では、2017年2月〜2018年6月のskyticketプレミアム会費に関する旧ログから、最大6,140名のカード番号等も流出したと訂正しました。暗号化に用いる情報も取得され、読み取られるおそれがあります。対象者は公式案内に従ってカード利用明細を確認し、不審な請求はカード会社へ相談してください。skyticketや同じパスワードを使うサービスのパスワード変更も必要です。10月9日公式発表／10月16日公式第2報。利用者はメール内のリンクを安易に開かず、公式サイトを自分で開いて案内を確認したいところです。公式案内
スカラコミュニケーションズ：同じ委託先事故が複数社に波及
10月6日の公表では、問い合わせ管理サービス「i-ask」の管理画面から不正なログインとプログラムの設置が行われ、同じサーバーを使う最大5社の情報が取得された可能性があります。対象は最大713,126件の問い合わせ単位の延べ件数であり、人数ではありません。次の3社の公表も、この同じ委託先事故に関するものです。下の一覧で別の行にしても、独立した事故として数えたり、件数を加算したりは出来ません。スカラコミュニケーションズの公式発表
- 大和証券（10月5日）：約11万人に関する氏名、メールアドレス、口座番号などと、個人を特定しない問い合わせも合わせた約22万件の情報に漏洩の可能性があります。オンライン取引へのアクセスや証券口座からの取引が出来る情報ではないと説明しています。公式発表（PDF）
- シチズン時計（10月6日）：約10万人分の氏名、住所、連絡先、問い合わせ内容などに漏洩の可能性があります。問い合わせに利用者が自ら記載した場合には、口座やカードの情報も含まれる可能性があるとしています。公式発表
- 損保ジャパン（10月7日）：事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ情報約6万件に漏洩の可能性があります。同じ人の複数回の問い合わせを含む延べ件数です。氏名、連絡先、勤務先、運転アラート、機器情報などが対象で、口座・カード・マイナンバーカード情報は含まれません。公式発表（PDF）
旭化成ファーマ：医療従事者の業務情報も対象に
10月6日、別の委託先である医薬情報ネットのシステムへの不正アクセスにより、「旭化成ファーマ DIGITAL」の登録情報が閲覧・取得された可能性があると公表しました。医療従事者最大約514,000人の氏名、所属施設、職種などが対象で、うち約44,000人にはメールアドレスも含まれます。また、従業員約700人の氏名、メールアドレス、顔写真も対象です。患者の診療情報が対象になったという発表ではありません。公式発表
IDCフロンティア：流出だけでなく、復旧出来ないリスク
10月8日の第3報では、ランサムウェア攻撃によるクラウド障害が、495の法人・自治体に影響したとしています。仮想マシンが停止し、再起動出来ない状態になりました。東日本リージョンの一部ではデータの取り出し・復元が困難で、利用者自身のバックアップからの復旧が必要と説明しています。これはサービス障害の確認であり、495社の情報流出が確認されたという意味ではありません。その後、10月14日の第5報では、スナップショットを利用していた194顧客についてデータの取り出しが可能と判明しました。対象の仮想サーバー内データの外部持ち出し証跡は確認されず、同社は流出なしと判断しています。一方、ポータル登録情報48社分の不正照会は確認されました。10月18日には稼働継続中のリージョン・ゾーン向けのバックアップサービスが再開されましたが、スナップショット機能は停止中です。全顧客の復旧完了を示す発表ではありません。公式第5報／公式第6報。バックアップがあるだけでなく、サービスから切り離した保管と復元手順を確かめておく必要があります。公式第3報
大阪公立大学：業務停止と情報漏洩の可能性を分けて確認
ビジネス＋ITは、ランサムウェア被害により約500台のサーバーが暗号化され、約13万人分の情報が流出した可能性があると報じています。この規模と流出の可能性は報道に基づく情報として扱います。大学の10月8日の第4報では、10月2日からの大規模なシステム障害と、10月9日の全キャンパスでの対面授業再開予定、暫定的なシステム構築や調査の継続を説明しています。情報の漏洩可能性と、授業・業務の停止からの復旧は別の問題として備える必要があります。ビジネス＋ITの報道／大学公式第4報
今回の追記からは、会員管理だけでなく、業務用パソコン、管理ツール、問い合わせの委託先、クラウド基盤まで確認する必要があると分かります。保存している情報を減らすこと、委託先を含めて権限と保管期間を確認すること、サービスが止まった場合の仕事の続け方を用意することも、出来る対策の一つです。
掲載事案の一覧（2026年10月9日確認）
28の掲載項目を整理しました。人数・契約数・データ件数・問い合わせ件数は単位が異なり、合計は出せません。スカラと大和証券・シチズン時計・損保ジャパンは同じ委託先事故です。表の規模は各公表・続報の対象であり、全件の流出が確定したことを示すものではありません。組織・サービス名のリンクから根拠資料を確認出来ます。
| 組織・サービス | 規模と単位 | 確認状況 | 主な対象・注意点 |
|---|---|---|---|
| 戸田建設 | 取引先メール最大7,200件／取引データ最大6,000件／従業員4,778人 | 漏洩確認 | 取引先情報・取引データ・従業員情報 |
| 楽天ドライブ | 保存データ：15,382アカウント | 取得・閲覧確認 | クラウドに保存した写真・文書など |
| 第一ライフグループ・第一生命 | 従業員・退職者 約12万人 | 流出の可能性 | 人事システムの個人情報。退職者約7万人を含む |
| アバハウス | 件数未公表 | 漏洩の可能性 | 会員・注文情報。注文内容に一致する不審メール確認 |
| 日本経済新聞社 | なりすましメール約9,000件／別件1,646人 | 送信確認／漏洩疑い | 別々の2事案。メール送信数と漏洩人数を区別 |
| JOGMEC | メールアドレス 約8,500件 | 漏洩の可能性 | 役職員約1,100件・外部関係者約7,400件 |
| HIS | 最大627人 | 流出の可能性 | パスポート情報・アレルギー情報 |
| タイムズカー | 約660万アカウント／本人確認書類 約160万アカウント | 流出確認 | 連絡先・免許情報。本人確認書類は全体の内数 |
| ファインズ | 予約者情報 1,536,322件 | 影響範囲調査中 | 氏名・連絡先・予約店舗・メニュー・日時 |
| セイコーマート | 574,647人 | 不正閲覧確認 | 会員情報。不正閲覧人数として公表 |
| ローソン | ローソンID 2,155,345件／アプリ予約26件 | 漏洩確認 | 氏名・連絡先等。予約26件はカード番号の一部も |
| Helpfeel「Gyazo」 | ユーザーデータ約2,362万件／メール登録 約562万件 | 流出確認 | 画像メタデータも流出。画像本体の件数とは別 |
| ムラウチドットコム | 7,716,811件 | 流出確認 | 氏名・住所・連絡先など。カード・パスワードは対象外 |
| 焼肉きんぐ | 会員情報 10,788,963件 | 漏洩確認 | 会員番号・登録氏名・メールアドレス・電話番号 |
| GMOリサーチ＆AI「infoQ」 | 登録情報 最大948,498件／ポイント不正交換611件 | 漏洩の可能性／不正交換確認 | 登録情報と保有ポイント等。不正交換は補填済み |
| ミスターマックス | 最大1,735,154人 | 一部漏洩確認／全体調査中 | 会員番号・氏名・メールアドレス・電話番号 |
| チャーム（第4報） | 退会済み 約2.5万件（既公表対象の内数） | 大多数漏洩確認／一部可能性 | 退会済み情報の続報。配送先情報も対象 |
| ハイホー | 38,509契約 | 不正ログイン確認／閲覧可能性 | 氏名・住所・連絡先・契約・請求情報 |
| 第一興商グループ | 約8,724,000件（顧客約863万件・従業員約9.3万件） | 漏洩の可能性 | 日本コロムビアグループの業務用PCに保存した情報 |
| NewsPicks | 件数調査中 | 漏洩の可能性 | 連絡先・勤務先・カード名義・番号下3〜4桁など |
| skyticket | サーバー事案 約1,464万件／旧カード情報 最大6,140名 | 流出確認・調査継続 | 10月9日詳細公表、10月16日に旧カード情報の流出を追加。別経路の事案もあり単純合算不可 |
| スカラコミュニケーションズ「i-ask」 | 最大713,126件（問い合わせの延べ件数） | 取得の可能性 | 最大5社。同じ事故の企業別内訳は次の3行 |
| 大和証券（i-ask関連） | 約11万人／個人を特定しないものも含め約22万件 | 漏洩の可能性 | 氏名・メールアドレス・口座番号等。同じ委託先事故 |
| シチズン時計（i-ask関連） | 約10万人 | 漏洩の可能性 | 氏名・住所・連絡先・問い合わせ等。同じ委託先事故 |
| 損保ジャパン（i-ask関連） | 約6万件（問い合わせの延べ件数） | 漏洩の可能性 | 氏名・連絡先・勤務先・運転情報等。同じ委託先事故 |
| 旭化成ファーマ | 医療従事者 最大約514,000人／従業員 約700人 | 閲覧・取得の可能性 | 医療従事者の業務情報等。別の委託先の事故 |
| IDCフロンティア | 495法人・自治体 | クラウド障害確認 | ランサムウェアで停止。194顧客のデータ取出し可能と続報。ポータル48社分は不正照会 |
| 大阪公立大学 | 約500台／約13万人（報道値） | 障害確認／流出の可能性（報道） | 公式第4報は復旧状況。規模・流出可能性は報道による |
「まだまだ序章」と考える理由
私は、こうした事案を見て、不正アクセスへの備えはまだまだ序章に過ぎないと感じます。
これは、今後の被害件数や規模を予測しているわけではありません。私たちの仕事がデジタル化するほど、守るべき情報と、その情報につながる入口を確認し続ける必要があるということです。
例えば、一つの会社でも、メール、会計、人事、顧客管理、ファイル共有など、複数のサービスを使っています。そこに委託先や取引先とのやり取りも加わります。
導入時には確認していても、担当者が変わり、利用者が増え、共有範囲が広がるうちに、設定が実態と合わなくなることがあります。
「導入したときに安全を確認した」で終わらせず、使い続けている間も見直す。その仕事が、これからも必要になります。
まず、何をどこに置いているかを知る
対策を考える前に、自社で使っているサービスを一覧にしてみることを勧めます。
- 何の業務に使っているか
- どのような情報を保存しているか
- 誰が管理者になっているか
- 誰が閲覧・編集出来るか
- 問題が起きたとき、どこに連絡するか
特に確認したいのは、担当者個人の判断で使い始めたサービスや、以前の担当者しか設定を知らないサービスです。
顧客情報、人事情報、契約書、請求書などがどこにあるか分からなければ、事故が起きたときに影響範囲を調べることも難しくなります。
大がかりな管理システムを入れる前でも、一覧表を作り、管理する担当者を決めることは出来ます。
出来ることはやっておきたい対策
1．ログインの守りを強くする
長く推測されにくいパスワードを使い、サービスごとの使い回しをやめる。対応しているサービスでは、多要素認証やパスキーを設定する。まずは、メールと管理者アカウントから確認したいところです。
多要素認証は、パスワードに加えて認証アプリなどを使い、本人確認を強める仕組みです。IPAも、不正ログイン対策としてパスワード管理と多要素認証を案内しています。IPA「不正ログイン対策特集ページ」
ただし、利用者側の設定だけで、サービス提供側の管理システムへの侵入まで防げるわけではありません。認証の強化と、預ける情報の見直しを併せて進める必要があります。
2．使っていないアカウントと、広すぎる共有を見直す
退職者や異動者のアカウントが残っていないか。管理者権限を必要以上に渡していないか。ファイルの共有リンクが、誰でも開ける設定になっていないか。
「念のため使えるようにしておく」という設定は、定期的に見直したいところです。必要な人に、必要な範囲の権限を与える運用にします。
3．更新を止めない
パソコンだけでなく、スマートフォン、ブラウザ、業務ソフト、ルーターなども確認します。
更新通知が出ても後回しにしている機器や、サポートが終了したまま使っている製品がないか。業務への影響を確認しながら、更新と交換の予定を決めておきます。
4．バックアップは、戻せるところまで確認する
バックアップは、取得しているだけでは安心出来ません。必要なデータを実際に復元出来るか、確認するところまでが備えです。
通常の業務環境が被害を受けたときに、バックアップも一緒に失われない保管方法を考えます。IPAも、バックアップ媒体の接続を必要なときに限ることや、定期的な復元確認を示しています。IPA「情報セキュリティ6か条」
なお、バックアップは業務を再開するための備えです。すでに外部へ流出した情報を取り戻すことは出来ません。
5．保存する情報を増やし続けない
保存期限を決めず、古い情報を残し続けていないかも確認します。
保存が必要な情報と、役目を終えた情報を分け、削除する時期と担当者を決めます。保存義務や契約上の条件を確認したうえで、不要な情報を減らしていくことが必要です。
退職者の情報も、「もう会社にいない人の情報」として扱いを軽くすることは出来ません。保管している限り、守る責任が続きます。
6．お金や機密情報の依頼は、別の経路で確かめる
取引先の名前や取引内容を知っているメールでも、それだけで信用しない運用が必要です。
例えば、「振込先が変わりました」「至急、この資料を送ってください」という依頼は、以前から把握している電話番号など、別の経路で確認します。届いたメールに書かれた連絡先だけを使うと、確認先も偽物である可能性があります。
振込先変更などの二次被害が、ここで取り上げたすべての事案で起きたと断定するものではありません。情報が漏れた後の被害を防ぐために、普段から用意しておきたい手順です。
更新、権限・共有設定、認証、バックアップの確認は、IPAが示す基本対策にも含まれています。IPA「情報セキュリティ6か条」
異常を見つけた人が、すぐに相談出来るようにする
対策をしていても、身に覚えのないログイン通知、不審なメール、突然開けなくなったファイルなどに遭遇することはあります。
そのときに「誰に伝えればよいか」が分からないと、対応が遅れます。
社内の連絡先と、委託先・サービス提供者の窓口をまとめておく。何が起きたか、いつ気づいたかを記録出来るようにする。そして、不審な操作をしてしまった人も、ためらわず報告出来るようにする。
責められることを恐れて報告が遅れる運用は、見直したいところです。専門担当者に相談する前に、自己判断で初期化やログの削除を進めないことも、社内で共有しておきます。
まずは、今日出来ることから
不正アクセスへの対策を、一度にすべて完成させることは難しいと思います。
それでも、今日確認出来ることはあります。
メールの多要素認証を確認する。退職者のアカウントを見直す。共有リンクを一つ確認する。重要なファイルをバックアップから戻してみる。
そして、見つかった課題には担当者と期限を付ける。「気をつけましょう」で終わらせず、設定と手順を変えるところまで進めたいと思います。
不正アクセスのニュースを、遠くの会社で起きた出来事として読み終えない。自分たちの仕事を守るために、出来ることはやっておく。その積み重ねが必要です。
※事案の記述は、2026年10月8～9日に確認した各社・機関の公式発表と、本文で示した報道に基づきます。今後の調査で内容が更新される可能性があります。