ニュース｜経済・IT
NEC委託先へのサイバー攻撃で何が漏れた？委託先経由はなぜ多い
NEC（日本電気）は10月20日、システムの開発・保守を任せている委託先の会社が9月下旬にサイバー攻撃を受け、盗まれた正規のアカウントを使って顧客企業のシステムに侵入されたと発表しました。顧客のサーバーのファイルが暗号化されて使えなくなったほか、個人情報を含むファイルも漏えいしています。何が分かっていて何が分かっていないのか、同じ日に発表された「ふるさとチョイス」の445万件流出との関係、そして「委託先から漏れる」事故がどれくらい多いのかを、公式発表と国の統計で整理します。
この記事の結論
- NECのシステム開発・保守の委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報で顧客企業のシステムに不正アクセスされました。サーバー内のファイルが暗号化され、各種システムが使えなくなりました。
- NECが顧客や委託先と共有していたクラウドストレージのファイルも漏えいし、顧客の個人情報やシステム関連の情報が含まれていました。委託先の社名・顧客名・件数は公表されていません。報道では被害は顧客企業3社、うち2社で個人情報の漏えいが確認されたとされています。
- 同じ日に発表された「ふるさとチョイス」の約445万件の流出は、トラストバンクが「当社が管理する会員情報」への不正アクセスと説明しており、NECやユミルリンクの名前は出てきません。10月21日時点で、公式発表どうしは結び付けられていません。
- 個人情報保護委員会の年次報告を集計すると、企業の「不正アクセスによる漏えい」のうち漏えい元が委託先だったものは2025年度で26.1%（2022年度は12.3%）。自治体では86.7%が委託先からでした。
割合は個人情報保護委員会の年次報告の付表（委員会に直接報告された漏えい等）から当サイトが計算。
NECの委託先へのサイバー攻撃、何が起きた？
NECの発表と、それを伝えた報道をもとに、10月21日時点で分かっていることをまとめます。
| 項目 | 内容 |
|---|---|
| 発表 | 2026年10月20日、NEC（日本電気）が「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」を公表 |
| 攻撃を受けた会社 | NECがシステム開発・保守業務を委託している企業。9月下旬にサイバー攻撃を受けた。社名は非公表 |
| 手口 | 窃取された正規アカウントの認証情報が悪用され、委託先の端末から顧客のシステム環境に不正アクセス |
| 被害① | 顧客のサーバー内のファイルが暗号化され、各種システムが利用できない状態に |
| 被害② | NECが作成し、顧客・NEC・委託先などの間の情報共有に使っていたクラウドストレージ内のファイルが漏えい。顧客が保有する個人情報やシステム関連情報などが含まれていた |
| 被害を受けた顧客 | NECの発表では「複数のお客さま」（個別に連絡済み）。報道では顧客企業3社、うち2社で個人情報の漏えいを確認 |
| 公表されていないこと | 委託先の社名、顧客名、漏えいした件数、システムの復旧状況 |
| 対策 | 委託先にNEC管理の端末を貸し出すなどの対策を実施。委託先管理と個人情報管理を強化するとしている |
被害を受けた顧客の数は、NECの発表文には書かれていません。TBS NEWS DIGは「被害を受けたのは顧客企業3社で、このうち2社について個人情報の漏えいが確認された」と伝え、読売新聞や産経新聞も「顧客3社」と報じています。読売新聞によると、漏えいした情報の件数や内容は調査中で、顧客企業に関する情報は開示していません。
被害は「システムが止まった」と「ファイルが漏れた」の2つ
今回の被害は2種類に分かれます。1つは、顧客のシステムに入り込まれてサーバー内のファイルが暗号化され、システムが使えなくなったこと。もう1つは、NECが関係者と情報をやり取りするために使っていたクラウドストレージから、ファイルが外に出たことです。
ファイルを暗号化して使えなくする手口は、身代金を要求するランサムウェア攻撃でよく見られますが、NECの発表は「ランサムウェア」という言葉を使っておらず、身代金の要求があったかどうかにも触れていません。ここは決めつけずに見ておく必要があります。
「正規アカウント」が悪用されると何が怖いのか
開発や保守を任された会社は、作業のために顧客のシステムへ入れるIDとパスワードを持っています。これが盗まれると、攻撃者は「いつもの保守担当者」と同じ顔をしてシステムに入れてしまいます。外からの怪しい通信として弾かれにくいのが、委託先経由の攻撃の厄介なところです。NECが委託先に自社管理の端末を貸し出したのは、委託先の端末を入り口にさせないための措置とみられます。
発表までの流れ
- 9月下旬委託先がサイバー攻撃を受ける正規アカウントの認証情報が盗まれる（NEC発表）。
- その後顧客のシステムに不正アクセス委託先の端末から侵入され、サーバー内のファイルが暗号化。共有用クラウドストレージのファイルも漏えい。具体的な日付は公表されていません。
- 10月20日NECが公表影響のあった顧客には個別に連絡済みとし、漏えいした個人情報の詳細は判明しだい顧客に報告するとしました。
ふるさとチョイス445万件・ユミルリンクとは同じ事案？
10月19〜20日は、不正アクセスの発表が続きました。TBS NEWS DIGは10月21日朝、NECとふるさとチョイスの件を「企業への不正アクセス相次ぐ」として1本の記事で伝えています。名前が並ぶと同じ攻撃に見えますが、3社の公式発表を読み比べると、互いの名前はどこにも出てきません。
| 項目 | NEC | トラストバンク（ふるさとチョイス） | ユミルリンク |
|---|---|---|---|
| 公表日 | 10月20日 | 10月20日 | 10月19日 |
| 何が攻撃された | 委託先の会社→顧客企業のシステムと共有クラウドストレージ | 「ふるさとチョイス」で同社が管理する会員情報 | メール配信「Cuenote FC」専用ASPプランの5システム |
| いつ | 委託先への攻撃は9月下旬 | 10月17日に不正アクセス（19日に把握） | 10月16日未明に確認 |
| 件数 | 非公表 | 4,454,097件 | 延べ約900万件（試算） |
| 漏れた主な情報 | 顧客の個人情報・システム関連情報（詳細は調査中） | 氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額 | メールアドレスを含む情報 |
| 他の2社への言及 | なし | なし | なし |
出典：NEC（10月20日）、トラストバンク（10月20日）、ユミルリンク 第一報（10月19日19:05更新版。10月21日朝の時点で続報なし）
ふるさとチョイスは「当社が管理する会員情報」への不正アクセス
トラストバンクの10月20日の発表によると、10月19日にいつもと違うアクセスの傾向に気づいて調べたところ、10月17日（土）に不正アクセスがあり、会員の個人情報が外部に流出したことが分かりました。流出が確認された会員情報は4,454,097件で、氏名・メールアドレス・住所・電話番号・ハッシュ化されたパスワード・寄附控除試算額が含まれます。19日15時50分に関連サービスを止め、20日に個人情報保護委員会へ報告、21日に警察へ被害を申告する予定としています。
発表では、不正アクセスの対象を「当社が管理する会員情報」とし、「今回の不正アクセスによって検知した脆弱性」に対応すると書いています。委託先や外部のサービスを経由したという説明はなく、ユミルリンク（Cuenote）やNECの名前もありません。
現時点で言えるのは「公式には結び付けられていない」ことだけ
ユミルリンクが不正アクセスを確認したのは10月16日未明、トラストバンクが不正アクセスがあったとする日は10月17日で、時期は近いものの、どちらの発表も相手に触れていません。NECの件は委託先への攻撃が9月下旬で、時期も経路も別の説明になっています。原因の調査は3社とも続いており、新しい発表が出れば見方が変わる可能性があります。
10月だけで7件、公表された「委託先・外部サービス経由」の事案
NECの件は、自社ではなく仕事を任せた先が攻撃の入り口になったケースです。2026年10月に入ってから、同じように「委託先」や「外部のサービス」が原因だと各社が公式に説明した主な事案を、公表日順に並べました（当サイトが各社の発表を読んで整理したもので、すべてを網羅したものではありません）。
| 公表日 | 公表した会社 | 攻撃・感染があった委託先・外部サービス | 何が起きたか | 出典 |
|---|---|---|---|---|
| 10月7日 | ニッスイ（日水物流） | 日水物流が利用する委託先のデータセンター | システム障害で商品の入出荷ができない状態に。情報の流出は確認中 | 公式 |
| 10月7日 | IDCフロンティア | クラウド「IDCFクラウド」（利用企業から見た外部サービス） | 一部システムへの不正アクセスでサービスの一部に障害。対象の利用者には個別に連絡 | 公式 |
| 10月8日 | 第一興商 | 個人情報の取扱いを委託する日本コロムビアグループ（従業員の端末1台がマルウェア感染） | 会員登録・予約の情報 約872.4万件が漏えいしたおそれ（実際の漏えいは未確認） | 公式 |
| 10月16日・20日 | 岩井コスモ証券 | ネット取引のシステム運用・保守を委託するトレードワークス | 4,975名の氏名・メールアドレスなどが漏えい。7口座で意図しない売買注文（うち5口座で約定、取引前の状態に戻し済み） | 公式 |
| 10月19日 | ユミルリンク | 企業のメール配信を請け負う「Cuenote FC」（委託を受ける側） | 5システムからメールアドレスを含む情報 延べ約900万件が出力されたと試算 | 公式 |
| 10月20日 | NEC | システム開発・保守の委託先（社名非公表） | 顧客企業のシステムが暗号化で停止、共有クラウドのファイルが漏えい（報道では顧客3社） | 公式 |
| 10月20日 | マネックス証券 | 口座開設システムのうち外部委託先が管理するシステム | アクセスを試みた形跡を確認し、新規口座開設の受付を一時停止 | 報道 |
マネックス証券は同社サイトが自動取得を受け付けなかったため、Impress Watch（10月20日）の報道を出典にしています。
並べてみると、入り口は「委託先の社員のパソコン」「保守用のアカウント」「預けているデータセンターやクラウド」「メール配信のような専門サービス」とさまざまです。共通するのは、被害を受けた会社の側からは、委託先の中の様子が直接は見えないという点です。第一興商も、委託先の日本コロムビアグループによる影響範囲の調査を経て、10月5日に報告を受けたと説明しています。
IDCフロンティアのクラウド障害についてはIDCFクラウドのランサムウェア被害とは？で、ユミルリンクの件はユミルリンク不正アクセスで900万件で詳しく解説しています。
委託先から漏れる事故はどれくらい多い？国の統計で集計
個人情報保護委員会の年次報告には、企業などから報告された個人データの漏えい等を「漏えい元（報告した本人／委託先／不明）」と「原因」で分けた表が載っています。このうち原因が「不正アクセス」の件数だけを取り出し、漏えい元が委託先だったものの割合を当サイトで計算しました。
| 年度 | 不正アクセスによる漏えい等 | 漏えい元＝報告した企業 | 漏えい元＝委託先 | 委託先の割合 |
|---|---|---|---|---|
| 2022年度 | 366件 | 183件 | 45件 | 12.3% |
| 2023年度 | 443件 | 196件 | 99件 | 22.3% |
| 2024年度 | 3,878件 | 431件 | 1,429件 | 36.8% |
| 2025年度 | 1,256件 | 533件 | 328件 | 26.1% |
民間の事業者（個人情報取扱事業者等）が委員会に直接報告した分。漏えい元「不明」を含めた合計に対する割合。出典：個人情報保護委員会 年次報告 令和4年度・令和5年度・令和6年度・令和7年度の付表「漏えい等元及び漏えい等原因」
委託先が漏えい元になった不正アクセスは、2022年度の45件から2025年度は328件（約7.3倍）に増えました。2024年度は1,429件と突出し、不正アクセスによる漏えいの36.8%を委託先が占めています。2025年度は26.1%に下がりましたが、2022年度（12.3%）の2倍を超える水準です。
1つの委託先が多くの会社の仕事を請け負っていると、その委託先で起きた1回の事故について、仕事を頼んでいた会社がそれぞれ報告することになります。大きな委託先で事故があった年に件数が跳ね上がりやすいのは、こうした数え方の影響もあると考えられます。
自治体では不正アクセスの9割近くが委託先から
同じ表で、地方公共団体などの行政機関を見ると、委託先の比重はさらに大きくなります。
| 年度 | 不正アクセスによる漏えい等 | 漏えい元＝自治体など | 漏えい元＝委託先 | 委託先の割合 |
|---|---|---|---|---|
| 2023年度 | 15件 | 5件 | 7件 | 46.7% |
| 2024年度 | 128件 | 7件 | 113件 | 88.3% |
| 2025年度 | 226件 | 9件 | 196件 | 86.7% |
地方公共団体等の分。2022年度の年次報告は国と地方を分けていないため、2023年度から掲載。国の行政機関等でも2025年度は不正アクセス26件のうち20件（76.9%）が委託先でした。
自治体の不正アクセスによる漏えいは、2025年度に226件のうち196件（86.7%）が委託先から起きていました。自治体ではシステムの開発や運用を外部の会社に任せることが多く、そのぶん委託先が攻撃の入り口になりやすいと考えられます。
IPAの「10大脅威」でも2位
情報処理推進機構（IPA）が2026年1月に公表した「情報セキュリティ10大脅威 2026」の組織向けでは、「サプライチェーンや委託先を狙った攻撃」が2位でした（1位は「ランサム攻撃による被害」）。2019年に初めて選ばれてから8年連続で入っています。
なぜ委託先から漏れるのか、なぜ会社名が出ないのか
法律上の責任は「仕事を頼んだ側」にある
個人情報保護法の25条は、個人データの扱いを外部に任せる会社に対し、委託先に「必要かつ適切な監督」を行う義務を課しています。委託先で漏れても、データを預けた会社が責任を免れるわけではありません。
また26条は、大きな漏えいが起きたときに個人情報保護委員会への報告を義務づけていますが、委託を受けた会社は、委託元に知らせれば自分で報告しなくてもよいというただし書きがあります。漏えいを本人や委員会に伝える役目は、多くの場合データの持ち主である委託元の会社が担う仕組みです。
NECの発表が「漏えいした個人情報の詳細については、判明次第お客さまに報告します」となっているのも、この流れに沿っています。漏えいした個人情報の持ち主は顧客企業なので、どの会社の、だれの情報が漏れたのかは、顧客企業の側から公表・通知されることになるとみられます。
委託先の社名を伏せる理由
NECは委託先の社名も公表していません。理由は書かれていません。委託先の名前が分かると、その会社が仕事を受けている別の会社にも攻撃の目が向くおそれがある、といった事情が考えられます。一方で、同じ委託先を使っている会社にとっては、自社が影響を受けたかどうかを確かめにくくなる面もあります。
自分の情報が漏れていないか心配なときは
NECの件は、漏えいした個人情報の中身も、どの会社の情報かもまだ公表されていません。現時点で個人ができることは、次のようなことです。
- 顧客企業からの連絡を待つ：対象になった人には、情報を預けている会社から通知が届くのが一般的です。
- 不審なメール・SMSを開かない：漏えいのニュースのあとは、「情報漏えいのお詫び」や「補償のご案内」を装ったフィッシングが出回りやすくなります。リンクを押さず、公式サイトから確かめましょう。
- パスワードの使い回しをやめる：ふるさとチョイスの会員は、トラストバンクが同じメールアドレスとパスワードの組み合わせを他のサービスで使っている場合の変更を呼びかけています。
9月から10月にかけての主な不正アクセスと、漏れた情報ごとの対策は最近の不正アクセスまとめ2026にまとめています。
NEC委託先への攻撃の報道（X）
日本経済新聞とITmedia NEWSは10月20日、NECのシステム開発の委託先がサイバー攻撃を受け、顧客企業の情報が漏えいしたと伝えました。「顧客3社」は報道による数字で、NECの公式発表には社数の記載がありません。
NEC、システム開発の委託先にサイバー攻撃 顧客3社の情報漏洩https://t.co/thg7QrxCVB
— 日本経済新聞 電子版（日経電子版） (@nikkei) October 20, 2026
NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいもhttps://t.co/Apo7rZODBx
— ITmedia NEWS (@itmedia_news) October 20, 2026
NEC委託先へのサイバー攻撃のよくある質問
Q. NECの委託先へのサイバー攻撃では何が漏れましたか？
A. NECが顧客や委託先と情報共有に使っていたクラウドストレージ内のファイルが漏えいし、顧客が保有する個人情報やシステム関連情報などが含まれていました。漏えいした個人情報の詳細は調査中で、NECは判明しだい顧客に報告するとしています（10月21日時点）。
Q. 被害を受けたのはどの会社ですか？
A. NECは顧客名を公表していません。発表では「複数のお客さま」とし、TBS NEWS DIGや読売新聞などは顧客企業3社で、うち2社で個人情報の漏えいが確認されたと報じています。
Q. 委託先はどこの会社ですか？
A. NECのシステム開発・保守業務を受けている会社ですが、社名は公表されていません。9月下旬にサイバー攻撃を受け、正規アカウントの認証情報が盗まれたと説明されています。
Q. ふるさとチョイスの445万件流出はNECやユミルリンクと関係がありますか？
A. 10月21日時点では、公式には確認できません。トラストバンクは10月17日に「当社が管理する会員情報」へ不正アクセスがあったと説明しており、発表にはNECやユミルリンクの名前も、委託先を経由したという説明もありません。
Q. ランサムウェア攻撃だったのですか？
A. NECの発表では、顧客のサーバー内のファイルが暗号化されたとしていますが、「ランサムウェア」という言葉は使っておらず、身代金の要求についても触れていません。
Q. 委託先から情報が漏れた場合、責任はだれにありますか？
A. 個人情報保護法25条により、個人データの扱いを任せた会社には委託先を監督する義務があります。委託先で漏れた場合も、本人への通知や個人情報保護委員会への報告は、多くの場合データを預けた委託元の会社が行います。
あわせて読みたい
出典・参考資料
- NEC：委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び（2026年10月20日）
- トラストバンク：不正アクセスによる寄附者様情報の外部流出に関するお詫びとお知らせ（2026年10月20日）
- ユミルリンク：当社システムへの不正なアクセスに関するご報告（第一報 2026年10月19日 19:05更新版）
- ニッスイ「日水物流株式会社におけるシステム障害について（第1報）」（10月7日）、IDCフロンティア「当社サービスの一部システムに対する不正アクセスについて」（10月7日）
- 第一興商「委託先における個人情報漏えいのおそれについて」（10月8日）、岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）」（10月20日）
- 個人情報保護委員会：年次報告（令和7年度・令和6年度・令和5年度・令和4年度）、漏えい等の対応とお役立ち資料
- e-Gov法令検索「個人情報の保護に関する法律」（25条・26条）
- IPA「情報セキュリティ10大脅威 2026」
- 報道：TBS NEWS DIG「NEC 委託先へのサイバー攻撃で個人情報漏えい」（10月20日）、読売新聞オンライン（10月20日）、産経新聞（10月20日）、ITmedia NEWS（10月20日）、Impress Watch「マネックス証券、新規口座開設を一時停止」（10月20日）
委託先の割合などの集計は、個人情報保護委員会の年次報告の付表をもとに当サイトが計算したもので、委員会の公式統計ではありません。10月の事案一覧は各社の公式発表から当サイトが作成しました。アイキャッチ写真：NECスーパータワー（Akonnchiroll／Wikimedia Commons、CC BY-SA 4.0）、一部トリミング・文字入れ。
コメント