NECの委託先にサイバー攻撃、盗まれたアカウントで顧客のシステムに侵入 ファイルが暗号化され停止、個人情報を含むファイルも漏れる

NEC(日本電気)は2026年10月20日、システムの開発や保守の仕事を任せている会社(委託先)がサイバー攻撃を受け、NECの顧客のシステムに不正なアクセスがあったと発表した。システムが使えなくなった顧客があり、顧客が持つ個人情報を含むファイルも漏れた。影響を受けた複数の顧客には、すでに個別に連絡したという。

何が起きたのか

NECによると、委託先が9月下旬にサイバー攻撃を受け、盗まれた正規のアカウントの認証情報が悪用された。被害は主に次の2つだ。

• 顧客のシステムが止まった: 委託先の端末から、正規のアカウントを使って、顧客のシステムに不正にアクセスされた。サーバーの中のファイルが暗号化され、各種のシステムが使えない状態になった
• 共有のファイルが漏れた: NECが作って、顧客とNEC、NECと委託先など関係者の間で情報を共有するのに使っていたクラウドのストレージのファイルが漏れた。ファイルには、顧客が持つ個人情報や、システムに関する情報が含まれていた

漏れた個人情報の詳しい中身は、分かりしだい顧客に報告するという。NECは、委託先にNECが管理する端末を貸すなどの対策を進めている。委託先の管理と、個人情報の管理をさらに強めて、再発を防ぐとしている。

ASCII.jpによると、NECは、委託先や顧客の社名、漏れた情報の件数、システムの復旧の状況は明らかにしていない。

かんたんに言うと

システムの保守では、委託先の担当者が、顧客のシステムに入るための正規の「合いかぎ」を持っている。今回は、その合いかぎを盗まれ、正規の担当者のふりをして顧客のシステムに入られた。

ビルの管理会社の作業員の入館証が盗まれ、その入館証で入居している会社のオフィスに入られたようなものだ。本物の入館証なので、入口では止めにくい(TECHNOVAの見方)。

このように、狙った相手ではなく、取引先や委託先を足がかりにする攻撃は「サプライチェーン攻撃」と呼ばれる。ファイルを暗号化して使えなくするのは、身代金を求める「ランサムウェア」の攻撃でよく見られる手口だ。NECは、身代金を求められたかどうかには触れていない(TECHNOVAの見方)。

日本では

NECは、国内の大手のIT企業だ。どの顧客が影響を受けたかは公表されていないため、利用者が自分に関係あるかを知るには、利用している組織からの知らせを待つことになる。

10月は、メール配信のユミルリンクのように、企業から預かったデータを扱う会社が狙われる事件が続いている(関連記事: メール配信の「Cuenote FC」に不正アクセス)。

まとめ

NECの委託先が攻撃を受け、盗まれた正規のアカウントで顧客のシステムに入られ、ファイルの暗号化によるシステムの停止と、個人情報を含むファイルの漏えいが起きた。委託先や顧客の名前、件数は明らかになっておらず、NECの続報と、影響を受けた組織の発表を待つ必要がある。