サプライチェーン攻撃の国内事例｜2026年9〜10月の委託先経由の情報漏洩

2026年9〜10月の公表のうち、委託先・取引先経由の事故はどれだけあったか

情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」（2026年1月29日公開）は、組織向けの脅威の2位に「サプライチェーンや委託先を狙った攻撃」を挙げています。2019年から8年続けて選ばれており、1位はランサム攻撃による被害です。

弊社は、2026年9月1日から10月25日までに国内で公表された事案と、同じ期間に続報が出た事案を集め、1つの組織が1つの事案について出した公表を1件と数えました。422件のうち、委託先・取引先を経由した事故は171件です。このうち148件は、委託先のサービスを利用する組織が、その委託先で起きた事故について出した告知でした。同じ事故について複数の組織が出した告知を別々に数えているため、171件は事故の数ではありません。

171件には、TOPPANによる誤送付のように攻撃によらない事故も含みます。利用組織の告知148件の元になった事故は、RIZAPの社員による生成AIへの入力などを除けば、ほとんどが不正アクセスかランサムウェアでした。期間中の情報漏洩の種類別の件数と、詳しく調べた156件の一覧は、別の記事「情報漏洩の事例一覧｜2026年9〜10月の国内156件と原因の公表状況」にまとめています。

国内のサプライチェーン攻撃で、1つの事故は何組織の告知に広がったか

委託先経由の事故とは、業務やシステムを任せた委託先、または委託先が使っている基盤で起きた事故が原因で、自社が預かる情報が漏洩した、または漏洩のおそれが生じた事故のことです。期間中は、1つの事業者の事故を受けて、数十から数百の組織が告知を出す例が続きました。

表の組織数は、サービスを利用する組織が自社サイトに出した告知と、まとめサイトに名前が載った組織をもとに数えた目安で、数え方や時点で変わります。TEMAIRAZUの施設数は、非公式のまとめでも149から260までばらついています。

表の事故のうち、影響を受けた利用組織の数をサービスの提供事業者が自ら公表したのは、IDCフロンティアだけでした。495は障害の影響を受けた企業・自治体の数で、漏洩した件数ではありません。ブラストメールを運営するラクスライトクラウドは、配信先リストなどの漏洩を確認した契約が344件あると公表していますが、契約の数なので組織の数とは一致しません。アットリンクを運営するメドレーは、対象になりうる医療機関を最大787件と公表しましたが、実際に影響を受けた医療機関の数は公表していません。ほかの事業者の多くは、影響を受けた利用組織の社名も数も出していません。利用組織が自分で告知を出さない限り、外からは影響の広がりが見えない状態でした。

「委託先の、さらに先」で起きたサプライチェーン攻撃は、どうつながっていたか

自社が直接やり取りしていない事業者で事故が起き、間に入った委託先を通じて影響が届いた例が目立ちました。公式発表で確かめた3つの例を図にしています。

IDCFクラウドの影響を公表した9組織のうち、8組織はメール配信事業者を通じて使っていた

10月7日にIDCFクラウドがランサムウェア攻撃を受けたあと、複数の組織が自社の情報に影響が出た可能性を公表しました。弊社はこのうち9組織の公式発表を読みました。9組織のうち、IDCFクラウドを自社で使っていたと明記していたのはPeach Aviationだけです。同社は、旅程表をメールで送るシステムをIDCFクラウドで動かしていました。

残りの8組織、つまりJR東日本、ビューカード、JR九州、NTT ExCパートナー、イズミ、マウスコンピューター、JR東海、中央競馬ピーアール・センターは、会員向けメールの配信を外部の事業者に任せており、その事業者がIDCFクラウドを使っていました。JR東海は「両サイトのメール配信サービスは外部事業者が担っています」と書いています。8組織のどれも、配信事業者の社名は公表していません。

対象として公表された件数は、JR東日本の「えきねっと」会員で最大約167万件、ビューカード会員のメールアドレスで約403万件、JR九州のWeb会員で最大約130万件です。いずれも、外部のメール配信サービスで扱っていたメールアドレスなどでした。

ブラストメールでは、委託先が使っていた配信サービスで事故が起きた

10月21日に不正アクセスが分かったメール配信サービス「ブラストメール」でも、同じつながり方が見られました。東北電力フロンティアは、ポイントサイト「eポイントモール」の開発と運営をADDIXに任せていました。メールマガジンを配信していたのはADDIXで、その配信にブラストメールを使っていました。東北電力フロンティアはADDIXから連絡を受け、最大約10万件の漏洩の可能性を公表しました。タカラレーベン（MIRARTHホールディングス）はSolvvyを通じて、沖縄県南城市はマラソン大会の業務を受託した沖縄広告を通じて、ブラストメールを使っていました。

NECの事故では、大学に報告されていない協力会社がいた

NECは10月20日、システム開発と保守を任せている委託先が9月下旬にサイバー攻撃を受けたと公表しました。攻撃者は委託先から盗んだ正規のアカウントを使い、NECの顧客のシステムに侵入しました。顧客の1つである大阪公立大学では、攻撃者がNECの再委託先のアカウントを使って学内の仮想化基盤に侵入し、全キャンパスで学内システムが止まりました。

同じくNECの顧客だった大阪大学は、10月21日に「本学に報告されていない協力会社が本業務の一部に関与していたことが明らかになる」と公表しました。大学の発表によると、NECはその協力会社との情報共有のため、大学との契約に基づかずに個人情報を含むファイルをクラウドストレージに置き、作業が終わっても削除していませんでした。このファイルが第三者にダウンロードされ、卒業生・在学生・教職員77,851人分の氏名やメールアドレスなどが漏洩しました。第三者がどうやってクラウドストレージに入ったかは公表されていません。大学のシステムには、本件に関わる不正アクセスの痕跡は見つかっていません。

1台のサーバーで、最大5社分の問い合わせ情報が対象になった

問い合わせ管理システム「i-ask」を提供するスカラコミュニケーションズは、10月2日夜から3日朝にかけて管理サイトに不正にログインされ、「同一サーバ上で稼働していた、利用企業様（最大５社）のシステム環境」の問い合わせ情報が取得された可能性があると公表しました。取得された可能性のある問い合わせ情報は最大713,126件で、同じ人による複数回の問い合わせを含む延べ件数です。大和証券（約11万名）、シチズン時計（約10万名分）、損害保険ジャパン（延べ約6万件）、オリックス生命保険（約26,500件）が、それぞれ自社の顧客に告知しています。スカラコミュニケーションズは、今後の対策に「環境間の分離」を挙げています。

委託先経由の事故で、原因はどこまで公表されたか

弊社が詳しく調べた156件のうち、委託先・取引先経由に分類したのは38件でした。このうち、なぜ漏れたのかを具体的に説明していたのは2件です。TOPPANは、損保ジャパンの契約者177,426名分のデータを別の保険会社に誤って送った件について、複数社分のZIPファイルを同じフォルダに置き、ドラッグ＆ドロップで操作したことまで説明しています。JR九州フードサービスの件では、顧客管理アプリの提供元が、一部のAPI（システム同士がデータをやり取りする窓口）で、権限のない第三者でも他の利用者の情報を取れる状態だったと説明しています。

残りの多くは、「委託先が不正アクセスを受けた」という説明にとどまっています。オリックス生命保険の公表文は「SC 社からは、現在、本件の原因や影響範囲について調査を進めているとの報告を受けています」としています。利用組織がどこまで説明できるかは、委託先から届く情報に左右されます。

元の事業者が詳しく説明した例もあります。SpeeCAN RAIDENを運営するアルカディアは、10月19日の資料で攻撃の経緯を時刻とともに公表しました。攻撃者は添付ファイル用サーバーの脆弱性を突いて設定ファイルを取り、ファイルの中の鍵を使って、アカウントへのログインを総当たりで試していました。なお、156件は件数の大きい事案などを中心に選んだもので、38件中2件という数は国内全体の割合を示すものではありません。

「漏洩のおそれ」の第一報は、その後どう変わったか

委託先経由の事故では、第一報で「漏洩のおそれ」として件数を公表し、数日後に「漏洩はなかった」などと続報する例が多く見られました。委託先から連絡を受けた時点では、自社の情報が漏洩の対象に含まれるかどうかを判断できず、漏洩の可能性を否定できない範囲を公表することがあるためです。

表の続報のうち、JR東日本、ビューカード、JR九州、イズミの4件は、同じIDCFクラウドの事故に関するものです。IDCフロンティアは10月14日の第5報で、仮想サーバー内のデータについて「外部へのデータの流出はなかったと判断しています」と公表し、利用組織の続報がこれに続きました。反対に、アットリンクのように「おそれ」から「確認」に変わった例もあります。続報の表現は「判断した」「確認されなかった」「該当しない」と組織ごとに違うので、社内に報告するときは各社の表現をそのまま書き写してください。

自社が対象かどうかを、今日のうちに確かめるには何をするか

取引先や使っているサービスの名前をニュースで見たら、次の順に確かめます。

サプライチェーン攻撃の対策として、次の事故に備えて何を準備しておくか

委託先のさらに先で起きた事故は、事故が起きた会社の名前だけを見ても、自社が関係するかどうか分かりません。個人情報保護法第25条は、個人データの取り扱いを委託した会社に、委託先を必要かつ適切に監督する義務を課しています。個人情報保護委員会のガイドライン（通則編）は、再委託の相手や業務内容、個人データの取り扱い方について委託元が事前に報告を受けるか承認すること、定期的に監査することなどを通じて、再委託先の監督と安全管理措置を十分に確かめることが望ましいとしています。

SaaSの台帳に、データが最後に置かれる場所の列を足す

契約しているSaaS（インターネット経由で使う業務サービス）を一覧にし、委託先が使っているサービスと、データが置かれる基盤の列を設けます。一覧がなければ、経理の支払先から作り始めます。下の表は書き方の例で、記入例は説明のための架空のものです。

この台帳があれば、「IDCFクラウドで事故」と報じられた日に、基盤の事業者名から関係する委託先を絞れます。自社のデータが実際に影響を受けたかどうかは、絞った委託先に確かめます。「預けているデータ」の列は、公表や報告で件数の上限を見積もる手がかりになります。

契約の前に、委託先に3つのことを聞く

使い終わったデータを、委託先に持たせない

期間中の事故では、退会した人の情報や削除済みのデータまで対象に入り、事故のあとで保管の方針を見直した例がありました。タイムズカーを運営するパーク24は、本人確認書類の画像を退会後7年間保管しており、外部送信の痕跡があった画像は約146万件でした。パーク24は、会員登録が終わったら画像を持たないルールに改めています。画像共有サービスGyazoでは、削除済みの画像のメタデータ約1.74億件が対象になりました。運営するHelpfeelは、削除から60日たった画像のメタデータを自動で消す方針を示しています。解約や退会のあと、委託先と再委託先から何がいつ消えるかを、台帳の最後の列で確かめてください。

社内AIや生成AIを入れるとき、同じことは起きるか

起こりえます。期間中にも、外部の生成AIサービスにデータを入れた例と、社内データベースへのアクセス権限を与えた分析ツールが攻撃の入口になった例がありました。

RIZAPグループの子会社では、健康保険組合などから受託した特定保健指導の対象者データを、社員が集計の途中で、個人で契約している外部の生成AIサービスにアップロードしました。委託元の全国土木建築国民健康保険組合は、対象を「19,996名分」と公表しています。弊社が確認した資料では、この全体の人数を示していたのは委託元の公表で、RIZAPの公表には人数がありませんでした。生成AIサービスの社名は、弊社が確認した4つの公式文書のどれにも書かれていません。

オンラインフィットネスのLEAN BODYは、社内のデータ分析に使っていたツール「Metabase」の脆弱性を突かれ、ツールを通じて自社のデータベースから約44万件の顧客情報を取られました。LEAN BODYは対策として「当該ツールに付与していたデータベースへのアクセス権限を必要最小限に制限」と書いており、事故の前はツールに広い権限を与えていたと読み取れます。

社内の文書やデータベースをAIに読ませる場合も、AIに与えるアクセス権限と、AIのモデルを提供する会社がデータをどう扱うかを、SaaSと同じ台帳に記録しておく必要があります。生成AIを業務で使うときの社内ルールの作り方は、テックブログの生成AIのセキュリティ・ガバナンスの設計手順にまとめています。2026年7〜10月の事故を原因の型ごとに整理した記事は、情報漏洩11件の原因と対策です。

よくある質問

この集計は、どのように作ったか

対象は、2026年9月1日から10月25日までに国内で公表された事案と、同じ期間に続報が出た事案です。9月より前に起きた事案でも、期間中に件数の確定や原因の公表があったものは入れました。公式発表が8月以前に出され、期間中には報道だけがあった6件は数えていません。海外の事案と、オープンソースのパッケージへの攻撃も除いています。

事案の情報は、セキュリティ専門メディアのSecurity NEXTとScanNetSecurityの9〜10月の記事、まとめサイト（piyolog、rocket-boysほか）の一覧、個人情報保護委員会の公表から集め、同じ事案の重複を除いて一覧にしました。公表された件数が大きい事案、複数の組織が告知を出すきっかけになった委託先の事故、原因の型ごとの典型例を中心に156件を選び、詳しく調べています。このうち145件は公式発表の本文を読み、4件は一部だけ公式の資料で、7件は公式発表が見つからず報道で確かめました。残りの266件のうち15件は調査の途中で公式発表を確かめ、251件は報道とまとめサイトの記載によります。まとめサイトが名前だけを挙げた組織は、422件には入れず、表の組織数の目安にだけ使っています。公表資料を整理した集計で、侵入の原因を弊社が独自に調べたものではありません。

誤りに気づいた場合は、お問い合わせフォームからお知らせください。確かめたうえで訂正します。

登壇・セミナー実績

開催レポートを読む →

開催レポートを読む →

神戸商工会議所・石川県庁など、各地の商工会議所や自治体でAI活用セミナーに登壇しています。