委託先・取引先経由の国内の被害事例(35件)と、まずやる対策
自社のネットワークが攻撃されていなくても、データを預けた委託先や、業務を任せた取引先が攻撃されると、自社の顧客の情報が漏れたり、業務が止まったりします。サプライチェーン攻撃と呼ばれ、IPAの「情報セキュリティ10大脅威 2026」では組織向けの2位です。
この攻撃が効くのは、委託先には多くの委託元のデータが集まり、その守りの水準が委託元から見えにくいからです。1社への侵入で、数十から数千の組織に被害が広がります。
この一覧には、委託先(印刷、調査、システム運用など)の被害、物流の受託先の被害、委託先の社員や委託先向けのアカウントが入口になった事案を入れています。使っているSaaSや他社製ソフトの侵害は「利用しているSaaS・他社製ソフト」の手口でも扱います。
該当する事案(35件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- ベネフィット・ワン「トク買」(委託先フォレステックのシステム。クレディセゾン会員向け)
委託先のシステムに不正アクセス。クレディセゾン会員向け優待サービスの2万9,465人分が漏えい
未公表(業務委託先フォレステックが運用するシステムへの第三者による不正アクセス。詳細な原因は調査中)
2026年の一覧で見る → - 日本航空・日本トランスオーシャン航空・全日本空輸(旅客サービスシステムを提供する Amadeus への不正アクセスの波及)
航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
旅客サービスシステムを提供する Amadeus IT Group(本社スペイン)のシステムへの第三者による不正アクセス(ANAの発表)。侵入経路は公表されていない
2026年の一覧で見る → - デジタル庁(公式サイトの問い合わせフォーム。Studio の被害の波及)
Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
サイトの制作に使っていたStudio株式会社のクラウド環境への第三者による不正アクセス(Studioからの報告としてデジタル庁が公表)。対象はStudioのクラウド環境内のデータ
2026年の一覧で見る → - ラクスライトクラウド「ブラストメール」(メール配信サービス。利用企業・自治体の配信先に波及)
メール配信サービスのサーバーに侵入され、全契約者の情報と345契約の配信先リストなどが持ち出し
外部の第三者が同社のAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した(会社の発表)。侵入経路の詳細は調査中
経緯・原因・対応を読む → - NEC(システム開発・保守の委託先。NECの顧客企業のシステムに波及)
委託先へのサイバー攻撃で盗まれた正規アカウントが悪用され、顧客のサーバのファイルが暗号化
システム開発・保守の委託先が2026年9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用された。顧客のシステム環境に、委託先の端末から正規アカウントで不正アクセスが行われた(会社の発表)。委託先が攻撃を受けた経路は公表されていない
2026年の一覧で見る → - 国土交通省・経済産業省・環境省「住宅省エネ2024キャンペーン」(事務局: 博報堂が運営するシステム)
補助金事業の事務局システムへの外部からの不正操作で、登録事業者の2万3,918名分が漏えいした可能性
未公表(事務局の博報堂が運営するシステムへの「外部からの不正操作」。原因と詳細は同社が調査中)
2026年の一覧で見る → - ユミルリンク「Cuenote FC」(メール配信サービスの専用ASPプラン。利用企業の配信先に波及)
メール配信サービスなど50システムに不正アクセス。49システムでデータが出力され、漏えいのおそれは延べ最大5,162万8,280件
プログラムの脆弱性により、同社のサポート・品質管理担当者のサービスへの認証情報を取得され、不正プログラムを設置されてデータベースからデータを出力された。その認証情報で他のシステムへの認証も試みられていた(会社の発表)
経緯・原因・対応を読む → - Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及)
Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に
第三者がStudioの一部機能の脆弱性を悪用して、同社が利用するクラウド環境に不正アクセスし、環境内のデータを外部から取得できる状態にしていた(会社の発表)。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出された。原因の詳しい調査は外部の専門機関に依頼する調整中
経緯・原因・対応を読む → - 岩井コスモ証券(委託先: トレードワークスのシステム)
委託先システムの設定の不備を突かれ、顧客4,975名の情報が漏えい。7口座で意図しない売買注文も
システムを提供するトレードワークスの「システムの一部の管理機能において設定に不備があり、第三者にこれを悪用された」(トレードワークスの発表)。通常のログイン経路は多要素認証などで防がれていたとしている
2026年の一覧で見る → - 大和総研(内藤証券から運用を受託するインターネット取引システム「Financial Plate/WB4」)
受託運用するネット取引システムのWebサーバーに不正アクセス。内藤証券の利用者最大631名の情報が漏えいした可能性
未公表(第三者によるWebサーバーへの不正アクセス。不正なプログラムを削除し、攻撃元からの通信を遮断した。原因は外部の専門機関と調査中)
2026年の一覧で見る → - 工房「発車オーライネット」(バス会社・旅行サイトとの連携用APIサーバー)
バス予約サイトの連携用APIサーバーに不正アクセス。予約情報最大8,341件(5,614人)が流出した可能性
未公表(バス運行会社などに予約サービスを提供するための連携用APIサーバーへの、第三者による不正アクセス)
2026年の一覧で見る → - イズミ「ゆめオンライン」「ゆめデリバリー」(IDCFクラウドの被害の波及)
メルマガ配信の委託先が使うIDCFクラウドへの攻撃で、氏名・メールアドレス最大約40万件が漏えいした可能性
メールマガジン配信の委託先が利用するIDCフロンティアのクラウドサービスへの、第三者によるランサムウェア攻撃(会社の発表)
2026年の一覧で見る → - マウスコンピューター(メールマガジン配信の委託先。IDCFクラウドの被害の波及)
メルマガ配信の委託先が使うIDCFクラウドへの不正アクセスで、メールアドレス約42万件が漏えいした可能性
メールマガジンの配信業務を委託している事業者が、配信機能の一部で利用しているIDCフロンティアのクラウド基盤への不正アクセス(会社の発表)
2026年の一覧で見る → - ライドオンエクスプレスホールディングス「銀のさら」「釜寅」「すし上等」
利用サーバーの運営会社がランサムウェア攻撃を受け、最大約650万件の顧客情報が漏えいした可能性
同社が利用する一部のサーバーの運営会社が、サイバー攻撃(ランサムウェア攻撃)を受けたと発表・報告した(会社の発表。運営会社名は記載なし)。侵入経路は特定されていない
2026年の一覧で見る → - アルカディア「SpeeCAN RAIDEN」ほか(自治体・学校などが使う一斉同報サービス)
自治体の防災メールなどに使う配信サービスに不正アクセス。メールアドレス最大約313万6千件が漏えいした可能性
添付ファイルを公開するメディアサーバーにディレクトリパストラバーサル(本来見えない内部のファイルにアクセスできる不備)があり、内部のソースファイルを取得された。設定ファイル内のサービス間ログイン用シークレットキーを使ってアカウントIDへの総当たり攻撃が行われ、ログインしたセッションから内部情報を取得された(10-19の説明資料、会社の発表)。2026-10-11 6:26にアクセスが始まり、23:40に社内の監視がデータベースの異常な負荷を捉えて検知した
2026年の一覧で見る → - JR東日本「えきねっと」「大人の休日倶楽部」(IDCFクラウドの被害の波及)
IDCFクラウドへの攻撃の影響で、会員のメールアドレスなど最大約206万件に漏えいの可能性と発表。10-15に漏えいはなかったとの報告を受けたと公表
IDCフロンティアの「IDCFクラウド」へのランサムウェア攻撃(2026-10-07)の影響。会員向けメール配信に使う外部サービスにあった情報が閲覧・取得された可能性がある
2026年の一覧で見る → - JR九州「JR九州Web会員」(IDCFクラウドの被害の波及)
IDCフロンティアへの不正アクセスに伴い、会員のメールアドレス最大約130万件に漏えいの可能性と発表。10-15に漏えいの事実は確認されずと続報
IDCフロンティアで発生した不正アクセスに伴うもの(会社の発表)。JR九州Web会員向けのメール配信用外部サービスの電子メールログデータが閲覧・取得された可能性がある
2026年の一覧で見る → - 第一興商(委託先: 日本コロムビアグループ)
委託先の従業員PC1台がマルウェアに感染。ビッグエコーなどの顧客・従業員約872万4,000件に漏えいのおそれ
個人情報の取り扱いを委託している日本コロムビアグループ(NCG)の従業員PC1台のマルウェア感染。PCに委託業務の個人データが一時保存されていた。感染経路は未公表(NCGが調査中)。第一興商のシステムへの影響は確認されていない
2026年の一覧で見る → - IDCフロンティア「IDCFクラウド」
クラウド基盤がランサムウェア攻撃を受け、495の企業・自治体に影響
「IDCFクラウドポータル」の認証システムで使っていたオープンソースソフトウェアの脆弱性を悪用されて認証システムに侵入され、管理コンソールを経由して仮想化基盤の管理者権限を不正に取得されたうえで、仮想サーバーを停止・暗号化された(第7報、10-27)。第三者からのランサムウェア攻撃と公表
経緯・原因・対応を読む → - 旭化成セラピューティクス「Pharma DIGITAL」(委託先: 医薬情報ネット)
医療従事者向けサイトの委託先に不正アクセス。最大約51.4万名分
サイトの運営と情報管理を委託している医薬情報ネットの会員データベースへのサイバー攻撃。侵入経路は未公表
2026年の一覧で見る → - 大和証券(委託先: スカラコミュニケーションズ「i-ask」)
委託先スカラコミュニケーションズのFAQシステム「i-ask」の管理サイトに不正ログインされ、不正プログラムを設置されて、同じサーバ上の利用企業のデータベースから問い合わせ情報を取得された(委託先の発表)。ログイン情報の入手経路は未公表。大和証券のシステムへの侵入は確認されていない
経緯・原因・対応を読む → - 大阪公立大学
基盤システムの保守・運用の委託先NECが開発・保守を再委託している事業者が2026年9月下旬にサイバー攻撃を受け、その再委託先が持つ正規のアカウントで大学のシステムに不正にアクセスされた(NECからの報告として大学が2026-10-21に公表)。大学は仮想化基盤の障害をランサムウェア攻撃によるものと判断している(2026-10-05公表)
経緯・原因・対応を読む → - 手間いらず「TEMAIRAZU」(利用する宿泊施設の予約者に波及)
宿泊施設向け予約管理システムに不正アクセス。予約者最大約445万人の宿泊予約情報が閲覧・取得された可能性
未公表(セキュリティ上の理由で、不正アクセスの具体的な手法と対策の詳細は公表しないとしている。原因箇所は特定し、対策を完了したと公表)
2026年の一覧で見る → - 両毛システムズ(委託元: 伊勢崎市・ガス事業者など)
VPN(ネットワーク接続機器)のアカウントの悪用
経緯・原因・対応を読む → - Eストアー「ショップサーブ」
EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)
外部の第三者が、同社のサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた(最終報、2026-10-16)。期間は2026-05-21〜08-01。この経路以外の侵害と、バックドアなど不正なプログラムの設置は認められなかったとしている
経緯・原因・対応を読む → - KDDI(ISP 6社に波及)
ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件
ISP向けメールシステムに組み込んでいた第三者製ソフトの未知の脆弱性
経緯・原因・対応を読む → - YCC情報システム(委託元: 山形市など)
自治体の委託先がランサムウェア被害。山形市の健康情報約50万件などが対象
ネットワーク機器の管理者アカウントの認証情報を、攻撃者が推測または取得した(2026-05-20の第五報)
経緯・原因・対応を読む → - 東海大学(委託先: 東海ソフト開発)
委託先が持ち帰ったデータがランサムウェア被害に。延べ19万人分
委託先のサーバへの不正アクセス。学内で作業するルールだったが、委託先が大学のデータを社内に持ち帰っていた
経緯・原因・対応を読む → - アスクル(無印良品・ロフトのECに波及)
多要素認証の「例外」だった委託先アカウントから侵入。221億円の最終赤字
例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントのID・パスワードが漏れ、悪用された。攻撃者はEDRを無効化してからランサムウェアを展開。バックアップもランサムウェアを想定した構成になっていなかった(調査報告書)
経緯・原因・対応を読む → - 審調社(委託元: 損保・生保など)
ネットワーク機器の脆弱性(2025-12-05の最終報)
経緯・原因・対応を読む → - IIJ「IIJセキュアMXサービス」
他社製Webメールソフトの未知の脆弱性で、31万アカウントの漏えいを確認
他社製Webメールソフト「Active! mail」の未知の脆弱性(ゼロデイ)
経緯・原因・対応を読む → - 関通
物流代行の倉庫管理システムが停止し、利用するEC事業者の出荷が止まる
VPN装置の脆弱性(日経クロステックの社長インタビュー)。バックアップまで暗号化された
経緯・原因・対応を読む → - 東京ガスエンジニアリングソリューションズ
VPN経由の侵入で約416万人分。業務委託元51事業者に波及
VPN装置経由。ファイルサーバへのアクセスに必要な従業員のIDとパスワードが複数盗まれていた(日経クロステック)
経緯・原因・対応を読む → - イセトー(委託元: 自治体・金融機関・公文など)
通知書の印刷委託先が被害。307万人分が流出し、委託元に波及
VPNからの不正アクセス。VPN機器を約3年更新せず、管理者パスワードは約7年同じで推測しやすいものだった。置くべきでないネットワークに個人データをコピーしていた(個人情報保護委員会の指摘)
経緯・原因・対応を読む → - DMM Bitcoin(委託先: Ginco)
委託先の社員を偽の採用試験でだまし、約482億円のビットコインを不正送金
攻撃者がリクルーターを装い、ウォレットソフト会社Gincoの社員に「採用前試験」として悪意あるスクリプトを送って端末を侵害。社員になりすましてDMM社員の正規の送金依頼を改ざんした(警察庁・FBIの公表)
経緯・原因・対応を読む →
事案に共通していること
1社の被害が、多くの委託元に広がっています。イセトーでは307万6,477人分が流出し、公文教育研究会、徳島県、和歌山市、日本生命などが漏えいを公表しました。東京ガスエンジニアリングソリューションズでは業務委託元51事業者に、審調社では損害保険・生命保険など30社超に波及しました。2026年もYCC情報システム(山形市など)や両毛システムズ(大東ガス、伊勢崎市など)の被害が、自治体やガス事業者に広がっています。
業務が止まる形でも広がります。関通の倉庫管理システムが止まり、利用するEC事業者で出荷停止が相次ぎました。アスクルの被害では、物流を受託していた無印良品ネットストアとロフトのECも止まりました。基盤の側では、KDDIのISP向けメールシステムで6社の利用者に、Eストアーの「ショップサーブ」で出店企業の顧客に被害が及びました。IIJのメールサービスでも、利用企業が影響を公表しています。
委託先の人やアカウントが入口になった例もあります。DMM Bitcoinでは、委託先Gincoの社員が偽の採用試験で端末を侵害され、送金依頼が改ざんされました(警察庁・FBIなどの公表)。アスクルの調査報告書は、例外的に多要素認証をかけていなかった委託先向けの管理者アカウントが悪用されたと指摘しています。東海大学では、学内で作業するルールだったのに、委託先が大学のデータを社内に持ち帰っていました。
まずやる対策
- 1
委託先と渡しているデータの一覧を作る
どの委託先に、どのデータを、どの方法で、どこまで渡しているかを一覧にします。再委託先と、委託先がつないでいるシステムも書きます。
- 2
渡すデータを減らし、終わったら消してもらう
業務に要る項目だけを渡します。委託が終わったら、返却や削除が済んだことを書面で確かめます。
- 3
ルールが守られているかを確かめる
契約にルールを書くだけでなく、年に1回は作業場所、データの保管場所、アカウントの管理を確かめます。経済産業省のSCS評価制度(取引先に求める対策の水準を★の段階で示す制度)も目安になります。
- 4
委託先向けのアカウントにも同じ基準を当てる
委託先や保守業者のアカウントを、多要素認証の例外にしません。権限を作業に要る範囲に絞り、使わない期間は止めます。
- 5
委託先が被害に遭ったときの連絡を決める
委託先で不正アクセスが起きたら、何日以内に、誰に、何を知らせるかを契約で決めます。自社の顧客への連絡と、報告の要否を判断する担当も決めておきます。
自社で確認すること
- 1 どの委託先に、どの顧客データを渡しているかを、一覧で言えますか
- 2 委託先や保守業者のアカウントにも、多要素認証が例外なくかかっていますか
- 3 委託先が被害に遭ったとき、何日以内に誰へ連絡が来るかが、契約で決まっていますか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
委託先に渡しているデータと、委託先向けのアカウントの棚卸しからお手伝いできます。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- サプライチェーン攻撃とは何ですか
- 自社ではなく、委託先・取引先・使っているサービスなど、つながりのある組織を攻撃し、そこを経由して自社や自社の顧客に被害を及ぼす攻撃です。イセトーや審調社のように、1社の被害が数十の委託元に広がることがあります。
- 委託先の対策は、どこまで確かめればよいですか
- まず、渡しているデータと、委託先が使うアカウントの一覧を作ります。そのうえで、質問票だけでなく、作業場所やデータの保管場所が契約どおりかを年に1回は確かめます。東海大学の事案は、ルールがあっても守られているかを確かめていなければ防げない例です。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。