委託先の「正規アカウント」が侵入口に：NEC再委託先経由の攻撃とブラストメールの漏えいから、中小企業が今週確認すべきこと

この記事の要点（経営者向け）

本記事の情報は、2026年10月23日午後（日本時間）時点のものです。いずれの事案も調査が続いています。最新の状況は、末尾の出典に挙げた各社・各機関の発表をご確認ください。

• 何が起きたか

  NECによると、同社がシステム開発・保守を委託している企業が9月下旬にサイバー攻撃を受けました。盗まれた正規アカウントの認証情報が悪用され、委託先の端末からNECの顧客のシステムに不正アクセスが行われ、サーバー内のファイルが暗号化されてシステムが使えなくなりました。^[1]

• 漏れたもの

  NECが作成し、顧客・NEC・委託先の間の情報共有に使っていたクラウドストレージからファイルが漏えいしました。顧客が保有する個人情報やシステム関連情報が含まれていました。大阪公立大学は、同大学に関連する個人情報とシステム関連情報の漏えいの報告を受けたとしています。^[1][2]

• もう一つの事案

  ラクスは10月21日、子会社のメール配信システム「ブラストメール」のAPI用サーバー2台に第三者が侵入し、すべての契約者の会社名、担当者名、電話番号、メールアドレス、契約・支払い履歴などを持ち出したと公表しました。一部の契約者では配信先リストの漏えいも確認されています。^[3]

• 今週やること

  自社のシステムやクラウドにログインできる委託先・再委託先のアカウントを一覧にし、使っていないものを止め、接続元と多要素認証の有無を確認してください。委託先と共有しているストレージに、必要以上の個人情報やパスワードが置かれていないかも見直します。^[4][5]

NEC委託先経由の攻撃で何が起きたか

NECの10月20日の発表によると、被害は2つに分かれます。1つは、顧客のシステム環境に委託先の端末から正規アカウントを使った不正アクセスが行われ、サーバー内のファイルが暗号化されて各種システムが使えなくなったことです。もう1つは、関係者間の情報共有に使っていたクラウドストレージからのファイルの漏えいです。影響のあった複数の顧客には個別に連絡済みで、漏えいした個人情報の詳細は判明しだい顧客に報告するとしています。^[1]

大阪公立大学は10月21日の第5報で、10月2日に発生した情報基盤システムの障害について、基盤システムの保守・運用を委託しているNECから、NECの再委託先が持つ正規のアカウントで同大学のシステムに不正にアクセスされたことが原因だとの報告を受けたと公表しました。漏えいした情報の内容や件数はNECに確認中としています。^[2]

同大学が10月5日の記者会見で情報漏えいの可能性があると発表した業務システム（教務システム関連の情報：約13万件など）は、同大学の仮想化基盤システム内のもので、NECのクラウドストレージ内の情報とは別のものです。この仮想化基盤からの漏えいの有無は引き続き調査中とされています。^[2]

もう一つの形：サービス事業者側からの漏えい

ラクスの10月21日の第2報によると、外部の第三者が子会社ラクスライトクラウドのAPI用サーバー2台に侵入してコマンドを実行し、販売管理システムとサービスのデータベースに接続してデータを持ち出しました。クレジットカード番号は同社では保持していないとしています。サービスは10月21日午前0時30分から停止しており、再開の日時は未定、侵入経路の詳細は調査中です。^[3]

NECの事案は「委託先の権限で自社のシステムに入られる」形、ブラストメールの事案は「自社のデータを預けている事業者のシステムから持ち出される」形です。どちらも、自社のサーバーをいくら固めていても、取引先の側で起きた侵害が自社の停止や漏えいにつながる点で共通しています。^[1][3]

経緯

今週確認すべき6つのこと

IPAのプラクティス集は、サイバーセキュリティリスクのある委託先を洗い出し、対策状況をアンケートで確認し、課題を経営者に報告して組織として対応を決める手順を紹介しています。アンケート例には「再委託先のセキュリティ対策状況は把握していますか」という質問も含まれています。今回の事案とあわせて、次の点を確認してください。^[4][6]

1. 01アカウントを棚卸しする：自社のサーバー、クラウド、管理画面、VPNにログインできる委託先・再委託先のアカウントを一覧にし、契約が終わったものや使っていないものを止めます。^[4][5]
2. 02再委託の有無を確かめる：委託先が作業をさらに別の会社に任せていないか、任せている場合はその会社がどのアカウントを使っているかを確認します。^[2][4]
3. 03接続元と認証を確かめる：委託先がどの端末・どの経路から接続しているか、多要素認証を使っているかを確認します。NECは対策として、委託先に自社管理の端末を貸与するなどの措置を進めています。^[1][5]
4. 04共有ストレージを見直す：委託先とのやり取りに使っているクラウドストレージに、必要以上の個人情報、パスワード、構成情報が残っていないかを確認し、不要なものは削除します。JPCERT/CCも、保存期間や利用目的を過ぎたデータを残さないよう求めています。^[1][5]
5. 05預けているデータを把握する：メール配信など、外部のクラウドサービスに預けている顧客リストや連絡先を一覧にし、事業者から連絡が届く窓口が最新かを確認します。^[3][4]
6. 06ログと初動を確かめる：委託先アカウントのログインや操作の記録が取れているか、不審な操作に気づいたときの連絡先と手順が決まっているかを確認します。JPCERT/CCは、侵害後の横展開対策と、不正アクセスの検知体制・初動対応の見直しを推奨しています。^[5][6]

• 委託先への質問例（IPA）

  セキュリティポリシーは策定していますか。委託業務におけるセキュリティ管理体制はありますか。担当者にセキュリティ教育は実施していますか。再委託先のセキュリティ対策状況は把握していますか。^[4]

• 外部攻撃への対策の質問例（IPA）

  通信経路は限定していますか。侵入防止機器は設置していますか。不正な通信を監視していますか。インシデント発生時の対応・復旧手順は整備していますか。^[4]

取引先から被害の連絡を受けたら

• どの情報が影響を受けたかを確認する：NECもラクスも、影響を受けた顧客には個別に連絡するとしています。届いた連絡の内容を記録し、自社の何が含まれるかを確認します。^[1][3]
• 委託先が使っていた認証情報を変える：委託先と共有していたパスワードやAPIキーは変更・無効化します。JPCERT/CCは、漏えいが疑われるAPIトークンを速やかに無効化できるようにしておくことを推奨しています。^[5]
• 顧客への二次被害に備える：JPCERT/CCは、漏えい発生時を想定して平時から顧客に二次被害防止を呼びかけておくこと（多要素認証など）を挙げています。^[5]
• 相談先を決めておく：JPCERT/CCはインシデント対応の相談を受け付けています。^[5]個人情報の漏えいでは、法令に基づく報告や本人への通知が必要になる場合があるため、早めに専門家に相談してください。

JPCERT/CCの注意喚起も10月23日に更新

JPCERT/CCは、国内組織への不正アクセスが相次いでいることを受けた注意喚起（JPCERT-AT-2026-0030）を10月23日に更新しました。新たに「ケースE」として、Cairn、CyberStrikeAI、ARTEXなどのAIを用いたペネトレーションテスト基盤を悪用し、主にインターネットに公開されたWebアプリケーションの脆弱性を探したり、設定ファイルやバックアップファイルを盗もうとしたりする攻撃試行を追加しました。インターネットに公開されたWSUSサーバーを狙う試行も含まれています。^[5]

同じ注意喚起のケースBには、「他のシステムの侵害で窃取したAPIキーを使用する」手口も挙げられています。どこか別の場所で盗まれた認証情報が、自社への入口になりうるという点で、今回のNECの事案と同じ教訓です。不審な送信元IPアドレスの一覧も掲載されているので、自社や委託先のログの確認に使ってください。^[5]

よくある質問

印刷用チェックリスト

• 自社システムにログインできる委託先・再委託先のアカウントを一覧にした
• 契約が終わったアカウントや使っていないアカウントを止めた
• 委託先が作業をさらに別の会社に任せていないかを確認した
• 委託先の接続元（端末・経路）と多要素認証の有無を確認した
• 委託先との共有ストレージから、不要な個人情報やパスワードを削除した
• 外部サービスに預けている顧客リストや連絡先を一覧にした
• 各サービス事業者に登録している連絡先が最新か確認した
• 委託先アカウントのログイン・操作のログを取り、確認する担当を決めた
• JPCERT/CCの注意喚起にある不審なIPアドレスを、自社と委託先のログで確認した
• 取引先が被害を受けたときの連絡先と初動の手順を決めた

ZeroKaiでできること

委託先に任せているうちに、どのサーバーや管理画面が外から見えているのか、自社で把握できなくなっていることがあります。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。所有権を確認したドメインでは、Shodanが観測したリモートアクセス、ファイル共有、データベース、FTPといった公開サービスも表示します。委託先と確認するときの「外から見える資産の一覧」として使えます。