電通グループ子会社Merkleへの不正アクセス（従業員・顧客・取引先の給与・銀行情報等のファイルが窃取）
公表日
電通グループの米国子会社Merkleのネットワークからファイルが持ち出され、現・元従業員や一部の顧客・取引先の給与・銀行情報などが含まれていました。影響を受けた人数はまだ発表されていません。
対象者は？
Merkleの現・元従業員と、一部の顧客・取引先です。持ち出されたファイルに含まれると見込まれる情報は、氏名、銀行・給与情報、給与額、National Insurance番号、個人の連絡先です。電通は日本国内のネットワークシステムには影響がないとしています。人数は発表されていません。
影響を受けた人には、個別に通知が進められているとされています。確認用の公開ページはまだ発表されていません。
いますぐできること
- 電通やMerkleから通知が届いた場合は、案内に従い、提供される信用・ダークウェブ通常のブラウザや検索エンジンではたどり着けない、特殊なソフトを使ってアクセスするネット上の領域です。匿名性が高いため、盗まれた個人情報やID・パスワードの売買、リークサイトの運営に使われることがあります。監視サービスに登録する。
- 給与や銀行口座に関する不審なメール・電話・SMSには、リンクを開いたり情報を返したりせず、公式の連絡先で確かめる。
- 銀行口座の明細を定期的に見て、身に覚えのない取引がないか確認する。
何が起きたのか
電通グループは2025年10月28日、米国子会社Merkleのネットワークの一部で通常と異なる活動を見つけたと発表しました。電通はすぐに対応手順を始め、一部のシステムを予防のために止め、外部のセキュリティ会社の支援を受けて調べました。その結果、Merkleのネットワークからファイルが持ち出され、現・元従業員などの情報が含まれていたことが分かりました。報道では、一部の顧客・取引先の情報も含まれるとされています。
なぜ起きたのか・なぜ広がったのか
侵入の方法や攻撃が行われた日は、まだ発表されていません。電通は、攻撃日などについて当初の声明以上のコメントを控えたと報じられています。どのようにして被害が広がったのかも公表されていません。
いまの状況2025-11-07 時点続報待ち
電通は、システムは復旧し、調査は続いていると説明しています。影響を受けた人への通知が進められ、監視サービスが提供されています。犯行声明を出したグループは、報道の時点では確認されていません。影響人数、侵入経路、攻撃日、財務的影響の金額はまだ発表されていません。
企業として考えたいこと
自社の給与・銀行情報のファイルがどこに保管され、それが外部に持ち出されたとき、何分以内に気づける仕組みがありますか。
技術的な要約
電通グループは2025年10月28日、海外事業のCXM領域を担う米国子会社Merkleのネットワークの一部で異常な活動を検知したと公表した。電通は直ちにインシデント対応手順を開始し、一部システムを予防的に停止して影響の最小化を図り、その後システムは復旧したと説明している。調査の結果、Merkleのネットワークからファイルが持ち出され、現・元従業員のほか一部の顧客・取引先に関する情報が含まれていたことが判明した。ファイルには銀行・給与情報、給与額、National Insurance番号、個人の連絡先が含まれると見込まれている。影響人数、侵入経路、攻撃日は公表されておらず、ランサムウェアの関与は認められていない。犯行声明を出したグループも確認されておらず、調査は継続中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない。電通は「Merkleのネットワーク上のサーバで通常と異なる活動を検知した」と述べ、ネットワークからファイルが持ち出されたことのみが判明している。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり Merkleのネットワークの一部で、予防措置として一部システムが停止された。その後システムは復旧し完全に稼働していると報じられている。電通は日本国内のネットワークシステムには影響がないとしている。
- データ
- 確定上限 —確定 —氏名口座従業員情報取引先情報その他ファイルの持ち出しは電通が確認済み。影響人数は電通から公表されていない。含まれる情報は、現・元従業員の氏名、銀行・給与情報、給与額、National Insurance番号、個人の連絡先で、一部の顧客・取引先に関する情報も含まれる（調査継続中で、内容は「見込み」とされている）。参考として英国の従業員数は2,500人超と報じられているが、被害人数ではない。
- 波及先
- —
- 金銭影響
- 電通は日本国内のシステムは影響を受けていないとする一方、事業に一定の財務的影響を見込んでいる。ただし現時点では財務的影響を見積もれないとしている。
- サプライチェーン
- 侵害を受けたのは電通グループの子会社Merkleのネットワークで、委託先経由の侵入や他社への波及は公表されていない。ただし窃取されたファイルには一部の顧客・取引先に関する情報も含まれていた。
時系列
- 2025-10
- 2025-10
- 2025-10
- 2025-10
- 2025-10-28
- 2025-10-28
- 2025-10-28影響を受けた従業員にExperian Identity Plusによる1年間の信用・ダークウェブ監視サービスが提供される旨が報じられた。システムは復旧し完全に稼働しているとされた。6
- 2025-10-28BleepingComputerの記事時点で、犯行声明を出したランサムウェアグループは確認されていなかった。5
- 2025-10-30
- 2025-10-30Security Affairsは、ランサムウェア攻撃かどうかは不明で、犯行声明を出したグループもないと報じた。4
- 2025-11-07ScanNetSecurityが、電通グループ海外事業ネットワークの一部の異常検知について、日本への影響はないと報じた。3
技術解説
公表された経過と対応 事実
電通グループは2025年10月28日、海外事業のCXM領域を担うMerkleのネットワークの一部で異常な活動を検知したと発表した。電通は直ちにインシデント対応手順を開始し、予防措置として一部システムを停止して影響の最小化を図り、システムは復旧したと説明している。調査の結果、Merkleのネットワークからファイルが持ち出され、現・元従業員に関する情報が含まれていたことが判明した。報道では一部の顧客・取引先の情報も含まれるとされる。外部のサイバーセキュリティ企業が調査を支援し、法執行機関や影響を受けた各国の関係当局にも通知されたと報じられている。
含まれる情報と規模に関する数字 事実
電通は調査継続中としつつ、現時点でファイルに銀行口座・給与情報、給与額、National Insurance番号、個人の連絡先が含まれると見込んでいる。影響を受けた人数は電通から確認されていない。参考として、英国の従業員数だけで2,500人超と報じられているが、これは被害人数ではない。Merkleの従業員数は約16,000人と報じられ、年間売上は報道により約15億ドルと20億ドルで異なる。電通は日本国内のネットワークシステムに影響はないとする一方、一定の財務的影響を見込み、現時点では見積もれないとしている。
公表されていない事項 事実
侵入経路、侵入日、攻撃者は公表されていない。電通は影響人数・地域・攻撃日について、当初の声明以上のコメントを拒否したと報じられている。ランサムウェアの関与を電通は認めておらず、報道の時点で犯行声明を出したグループも確認されていない。Merkleはデータの公開を防ぐ措置を取ったと述べたが、具体的な内容や身代金交渉の有無は明らかにされていない。対象の現・元従業員には、盗まれたデータがフィッシングやソーシャルエンジニアリング、なりすまし詐欺に悪用され得ると警告されたと報じられている。
データの性質から見た二次被害の懸念 解釈
見込まれている情報は、口座情報、給与額、National Insurance番号、個人の連絡先の組み合わせである。単体でも機微だが、組み合わさると本人へのなりすまし詐欺や、本物らしい連絡による誘導に使われやすい種類の情報と考えられる。そのため、電通が従業員向けに監視サービスの提供と悪用への注意喚起を併せて行ったことは、被害の性質に沿った対応と読める。一方、顧客・取引先に関する情報の具体的な中身は公表が乏しく、その二次被害の度合いは現時点で評価できない。以上は公表内容に基づく解釈であり、実際の悪用は確認されていない。
公表の評価と限界 解釈
電通は異常検知、システム停止、調査、当局への通知、個人への通知、監視サービス提供という流れを短い期間で示しており、対応の骨格は読み取れる。一方で、侵入経路・侵入日・影響人数は示されておらず、読者が自組織への教訓を引き出すには情報が足りない。調査が継続中であることを踏まえれば、この段階で公開できる範囲に限りがあった可能性もあり、現時点で不十分と断定することは適当でない。今回渡された出典は報道が中心で、公式発表の原文は含まれていない。そのため、続報や原文が出た段階で記述を見直す必要がある。
対応
- 封じ込め
- 異常検知後、インシデント対応手順を直ちに開始し、予防措置として一部システムを停止した。外部のサイバーセキュリティ企業の支援を受けて調査し、システムは復旧したとされる。Merkleはデータの公開を防ぐ措置を取ったとされるが、具体的内容は公表されていない。影響を受けた個人にはExperianのダークウェブ監視サービスが提供された。
- 公表の仕方
- 2025年10月28日に電通グループが発表した。調査は継続中で、影響人数、地域、攻撃日については当初の声明以上のコメントを拒否している。影響を受けた個人への通知は適用法令に従って開始された。
- 当局対応
- 法執行機関
- 英国ICO（情報コミッショナーオフィス）
- 英国NCSC（国家サイバーセキュリティセンター）
- 影響を受けた各国の関係当局
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 給与・口座などの人事データは、共有サーバ上に残りやすく、持ち出された場合の影響が大きい。 | 人事・給与系ファイルの所在を棚卸しし、共有サーバ上の平文ファイルを洗い出して専用ストアへ集約する。保管時暗号化、閲覧・コピー操作の監査ログ取得、アクセス権の最小化を実装する。 |
| 今回はファイルの持ち出しが確認されており、侵入の検知だけでなく持ち出しの検知が被害把握に直結する。 | サーバからの外向き通信を許可リスト化し、大容量転送や未知の宛先への通信に閾値アラートを設定する。プロキシ・FW・DNSのログを一定期間保管し、持ち出し量を後から再構成できるようにする。 |
| 異常検知後に一部システムを予防的に停止し、復旧した対応は、停止判断の事前準備が効くことを示す。 | システムごとに隔離してよい条件と停止の承認者をランブックに明記し、停止と復旧を含む机上演習を定期的に行う。復旧前に侵害有無を確認するチェックリストも用意する。 |
| 多国に従業員を持つ組織では、影響を受けた個人の特定と各国当局への通知を並行して進める必要がある。 | データ分類台帳に対象国・データ種別・保管場所を紐づけておく。通知テンプレートと各国の通知期限一覧を整備し、監視サービス提供の手配先も事前に決めておく。 |
| 子会社・海外拠点のログが親会社から見えないと、検知と調査が遅れうる。 | 拠点のサーバ・認証・ネットワークログをSIEMに集約し、共通の検知ルールを適用する。インシデント連絡経路と対応権限を、グループ全体で文書化し訓練する。 |
自組織などでの確認項目
- 自組織の給与・銀行情報などのファイルは、どのサーバや共有フォルダに保管されているか。暗号化とアクセスログは有効か。
- サーバから外部へ大量のファイルが送られた場合、何分以内に誰が気づく仕組みがあるか。必要なログは何日分残っているか。
- 異常を検知して一部システムを停止する判断は、誰が何を基準に行うか。停止中の業務代替手順は決まっているか。
- 海外拠点や子会社で個人情報が漏えいした場合、対象者の特定、各国当局への通知、従業員への案内を誰が担うか決まっているか。
未解明点
- 侵入経路（初期侵入の手口）は何か。
- 侵入日と、持ち出しが行われた期間はいつか。
- 影響を受けた人数、対象地域、持ち出されたファイルの量はどれだけか。
- 顧客・取引先に関する情報の具体的な内容と件数はどれか。
- 攻撃者は誰か。ランサムウェアの関与や身代金交渉の有無はどうか。
- Merkleが取ったとされるデータ公開防止措置の具体的内容は何か。
- 電通が見込む財務的影響の金額はいくらか。
出典
- 1Rankiteo Blog2025-10-28報道本文確認済
- 2Global Payroll Alliance2025-10-30報道本文確認済
- 3ScanNetSecurity2025-11-07報道本文確認済
- 4Security Affairs2025-10-30報道本文確認済
- 5BleepingComputer2025-10-28報道本文確認済
- 6DecisionMarketing2025-10-28報道本文確認済
- 7teiss2025-10-30報道本文確認済