日産自動車の開発委託先Red Hatへの不正アクセス（日産福岡販売の顧客約21,000人の個人情報が流出のおそれ）
公表日
日産自動車が顧客管理システムの開発を委託していたRed Hatのサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。旧福岡日産自動車（現・日産福岡販売）で車を購入・整備した顧客約21,000人の住所・氏名・電話番号などが流出したおそれがあります（クレジットカード情報は含まれていません）。
対象者は？
旧福岡日産自動車（現・日産福岡販売）で車両を購入した人、または整備を受けた人のうち約21,000人。対象となる情報は、住所、氏名、電話番号、一部の人のメールアドレス、営業活動に使う顧客関連情報です。クレジットカード情報は含まれていません。日産は、ほかの販売会社やほかのシステムには影響がなかったとしています。
日産は、情報が漏れたおそれのある顧客へ直接連絡しているとしています。日産・販売店からの連絡が届いていないか確認してください。
いますぐできること
- 日産や販売店からの連絡が届いていないか確認する。
- 日産は不審な電話やメールに注意するよう呼びかけています。心当たりのない電話・メールには、すぐに応じないようにする。
何が起きたのか
2025年9月26日、日産が販売店向け顧客管理システムの開発を任せていたRed Hatが、自社のデータサーバーへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。に気づきました。Red Hatはアクセスを止め、再び侵入されないよう対策をとりました。10月3日にRed Hatから日産へ報告があり、日産は同じ日に個人情報保護委員会へ報告しました。その後、流出したデータに日産福岡販売の顧客情報の一部が含まれていたことが分かり、日産は2025年12月に公表しました。
なぜ起きたのか・なぜ広がったのか
Red Hatのサーバーにどのような方法で侵入されたのかは公表されていません。日産の顧客情報は、システム開発を委託していたRed Hat側のサーバーにも保存されていました。日産自身のシステムに直接侵入されたことは確認されていません。報道では、同じ時期に公表されたRed Hatの別のシステム（GitLab）への侵入との関係が指摘されていますが、日産の件との関係は確認されていません。
いまの状況2026-01-06 時点続報待ち
日産によると、流出した情報が悪用された事実は今のところ確認されていません。Red Hatのサーバーにはほかの顧客情報は保存されておらず、これ以上流出するおそれはないとしています。日産は対象の顧客へ直接連絡しており、委託先の監視強化と情報セキュリティ対策の強化を進めるとしています。補償については、まだ発表されていません。
企業として考えたいこと
自社がシステム開発やコンサルティングを外部に任せるとき、相手先にどの顧客データを、どこに、いつまで置いているかを、今すぐ答えられるでしょうか。
技術的な要約
日産自動車は、販売会社向け顧客管理システムの開発を委託していたRed Hatから、同社のデータサーバへの不正アクセスとデータ流出の報告を2025年10月3日に受けた。Red Hatは2025年9月26日に不正アクセスを検知し、アクセスを排除して再侵入防止策を講じていた。流出データには旧福岡日産自動車（現・日産福岡販売）で車両を購入または整備を受けた約21,000人の住所、氏名、電話番号、一部のメールアドレス、営業活動に用いる顧客関連情報が含まれ、クレジットカード情報は含まれない。日産は個人情報保護委員会へ報告し、2025年12月に公表した。二次利用は確認されておらず、日産は委託先の監視強化を表明している。報道ではRed Hatの自己管理型GitLab環境の侵害との関連が指摘され、Crimson Collectiveが犯行を主張しているが、日産の件との関係は被害組織から確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認日産は、開発委託先Red Hatのデータサーバへの不正アクセスによりデータが漏えいしたと説明。日産自社システムへの直接侵入は確認されていない。Red Hat側の侵入手口は公表されていない。報道（Innovatopia）ではRed Hatが運用する自己管理型GitLab環境が侵害された可能性が指摘されている。
- 脆弱性
- CVE 非公表報道・研究者GitLab Community Edition（Red Hat自己管理インスタンス）侵入に使われた脆弱性は非公表。GitLabは自社管理システムへの侵害はなく、影響はRed Hat自己管理のCEインスタンスのみとした。CVE-2025-10725（OpenShift AI）は同時期に出たがRed Hatが本件と無関係と明言。
- 攻撃者
- Crimson Collective 被害組織の言及なしRed HatのGitLabから約570GB（圧縮）、2万8000超の内部リポジトリ、約800件のCERを盗んだと主張。後にShinyHuntersの恐喝プラットフォームでサンプルが公開されたと報じられた。
- ATT&CK
影響
- 業務停止
- あり 日産は、日産福岡販売の顧客データ流出以外の他のシステムや業務には影響しなかったとしている。
- データ
- おそれ上限 21,000確定 —人氏名住所電話メールその他対象は旧福岡日産自動車（現・日産福岡販売）で車両購入または整備を受けた約21,000人。内訳は住所、氏名、電話番号、一部のメールアドレス、営業活動に用いる顧客関連情報。クレジットカード情報は含まれない。日産は漏えいのおそれのある顧客へ直接連絡。二次利用は確認されていない。
- 波及先
- 1 販売会社
- 日産福岡販売
- 金銭影響
- —
- サプライチェーン
- 日産は開発委託先Red Hatの環境経由で顧客データが流出した側。Red Hat側の別報道では、攻撃者がRed Hat Consultingの顧客企業数百社の名を挙げ、約28,000顧客分と主張しているが未検証。
時系列
技術解説
日産の公表内容：委託先のサーバー経由の流出と対象範囲 事実
日産自動車は、販売会社向け顧客管理システムの開発を委託していたRed Hatから、「同社のデータサーバーに不正アクセスがあり、データが流出した」との報告を2025年10月3日に受けた。同じ日に個人情報保護委員会へ報告している。Red Hatは2025年9月26日に不正アクセスを検知し、アクセスを排除して再侵入防止策を講じたとされる。流出データには、旧福岡日産自動車（現・日産福岡販売）で車両を購入または整備を受けた約21,000人の情報が含まれていた。項目は住所、氏名、電話番号、一部のメールアドレス、営業活動に用いる顧客関連情報で、クレジットカード情報は含まれない。日産は2025年12月に公表し、漏えいのおそれのある顧客へ直接連絡している。二次利用は確認されていない。日産は、Red Hatが使うサーバーには今回のデータ以外の顧客情報は保存されておらず、これ以上の漏えいのおそれはないとしている。他のシステムや業務にも影響はなかったと説明している。
Red Hat側のGitLab事案と攻撃者の主張 事実
Red Hatは2025年10月2日、Red Hat Consultingチームが一部案件の社内協業に使うGitLabインスタンスへの不正アクセスを公表した。第三者が一部のデータにアクセスし、複製したことが判明したとしている。検知後はアクセスを排除し、インスタンスを隔離し、関係当局へ連絡したうえで、追加の堅牢化措置も実施した。インスタンスにはプロジェクト仕様、サンプルコード、社内連絡が含まれていた。Red Hatは、通常は機微な個人データを含まず、調査でも確認されていないと述べた。GitLabは、影響を受けたのはRed Hatが自己管理する無償のCommunity Editionのインスタンスだけで、自社基盤は侵害されていないとした。Crimson Collectiveは、約570GB（圧縮時）、2万8000超のリポジトリ、約800件のCERを盗んだと主張している。CERから得た認証トークンなどで、顧客企業のインフラにアクセスしたとも主張しているが、いずれも未検証である。ベルギーのCentre for Cybersecurity Belgiumは同日、この事案を高リスクとする警告を出した。
日産の件とGitLab事案の関係は確定していない 解釈
報道では、日産の件とRed Hatの自己管理型GitLab環境の侵害との関連が指摘されている。ただし日産の説明は「開発委託先のデータサーバー」への不正アクセスであり、今回の資料の範囲では、日産側がGitLabとの関係を確認した記述は見当たらない。検知日の9月26日、Red Hatの10月2日の公表、攻撃者の「約2週間前に侵入した」という主張は時期的に重なる。しかし、同じ事案だと示す根拠は状況証拠にとどまる。また、Red HatはGitLab事案で「機微な個人データは確認されていない」としており、氏名や住所を含む日産側のデータとの関係は説明されていない。攻撃者が主張する「2万8000」はリポジトリ数や顧客企業数を指し、日産の約21,000人とは単位も対象も異なる。混同しないよう注意が必要である。同時期のCVE-2025-10725については、Red Hatが本件と無関係だと明言している。そのため侵入手口は「不明」として扱うのが妥当と考えられる。
開発委託先の環境に実際の顧客データが置かれていた構造 解釈
日産の説明からは、顧客管理システムの開発を担う委託先の環境に、販売会社の実在顧客の個人情報が保存されていたことが読み取れる。開発や移行の作業で実データが必要だったのか、どのくらいの期間保存されていたのかは公表されていない。一般に、開発用の環境やコンサルティング資料の保管場所は、本番システムほど厳しいアクセス管理や監視の対象になりにくい。また委託元からは、そこに何が置かれているかが見えにくい。日産が再発防止策として「委託先の監視強化」を挙げたことは、委託先に渡したデータの所在と保護の水準を委託元が把握しておく必要性を示しているといえる。一方で、影響が旧福岡日産自動車の顧客に限られ、ほかのデータはサーバーになかったとされる点は、委託先に置かれたデータの範囲が限られていたことの表れとも受け取れる。
通知と公表までの時間の流れ 解釈
Red Hatの検知（9月26日）から日産への報告（10月3日）までは7日間だった。日産は報告を受けた当日に個人情報保護委員会へ報告しており、当局への報告は素早かったといえる。一方、一般向けの公表は12月で、報道が出たのは12月23日である。報告を受けてから約2か月半が経っている。この間の経緯は公表されておらず、対象者の特定や本人への直接連絡を優先した可能性もあるが、理由は分からない。Red Hatは10月2日の時点で自社事案を公表していた。委託先が公表してから、委託元が自社データの影響範囲を特定して公表するまでには、一般的に時間差が生じやすい。この時間差をどう縮めるかは、委託元・委託先の双方に共通する課題と考えられる。本件は特定の組織の判断の良し悪しよりも、構造的な論点として捉えるのが適切だろう。
対応
- 封じ込め
- Red Hatは不正アクセスを検知後、アクセスを排除し再侵入防止策を実施。コンサルティング用GitLabインスタンスは隔離され、追加の堅牢化措置も実施した。日産は漏えいのおそれのある顧客へ直接連絡し、不審な電話やメールへの注意を呼びかけ、委託先の監視強化と情報セキュリティ強化策を表明。Red Hatのサーバには今回の漏えいデータ以外の顧客情報はなくさらなる漏えいのおそれはないとした。
- 公表の仕方
- Red Hatが2025年10月2日に自社のGitLab不正アクセスを公表。日産は2025年10月3日に報告を受け、2025年12月に公表（12月23日に報道）。影響を受けた顧客とビジネスパートナーに謝罪した。
- 当局対応
- 個人情報保護委員会（日産が2025年10月3日に報告）
- Centre for Cybersecurity Belgium（Red Hat事案について警告を発出）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 開発委託先の環境に、実在顧客の個人情報が保存されていた。 | 開発・検証には、マスキングしたデータか合成データを使うことを契約と社内規程で原則にする。実データを渡す場合は、承認と台帳への記録を必須とし、保存期限と期限到来時の削除証明の提出を義務づける。 |
| 委託先にどの顧客データがあるかを把握していないと、侵害時に影響範囲をすぐ特定できない。 | 委託先ごとに、渡したデータの種類・件数・保存場所・保存期限を記録したデータ所在台帳を作り、四半期ごとに委託先と突き合わせる。委託終了時には削除を確認する。 |
| 委託先の検知から委託元への通知まで7日間かかり、さらに委託元の公表までにも時間がかかった。 | 契約に、インシデント通知の期限（例：検知から72時間以内の第1報）、影響を受けたデータを特定できる情報の提供義務、24時間対応の連絡窓口を定める。委託元側でも、通知を受けてから本人通知・公表に至るまでの手順書を用意しておく。 |
| GitLabは、自己管理型インスタンスの保護（パッチ適用・アクセス制御・保守）は利用者の責任だとしている。 | 自社や委託先が運用するGit基盤について、次の対策を監査項目にする。セキュリティパッチの期限内適用、SSOとMFAの必須化、インターネットへの公開範囲の制限、監査ログの外部SIEMへの転送、大量クローンなど異常なダウンロードの検知。 |
| コンサルティング資料（CER）やコードには、認証トークンやデータベースURIが含まれうると報じられている。 | 委託先と共有した認証情報・トークン・ネットワーク構成情報を一覧化し、委託先の侵害が分かった時点で一括で失効・ローテーションできる手順を整える。リポジトリにはシークレットスキャンを常時かける。 |
自組織などでの確認項目
- 開発委託先・コンサルティング会社に渡している実データ（個人情報を含む）について、保存場所・件数・保存期限を今すぐ一覧で示せるか。
- 委託先と共有したパスワード・APIトークン・ネットワーク構成情報について、委託先の侵害が分かった当日にすべて失効・変更できる手順と担当者が決まっているか。
- 委託先からインシデントの通知を受けた場合に、影響データの特定・当局報告・本人通知・公表までを何日で終える目標と手順が定められているか。
- 自社または委託先が運用する自己管理型のGit基盤やチケット管理基盤で、パッチ適用状況・MFA・外部公開範囲・アクセスログ監視を確認しているか。
未解明点
- Red Hat側の侵入手口・悪用された脆弱性は何か。
- 日産の顧客データが保存されていた「データサーバー」と、Red HatのコンサルティングGitLabインスタンスは同じものか、それとも別のものか。
- 開発委託先の環境に実際の顧客データが置かれていた理由と、保存されていた期間はどれくらいか。
- 2025年10月3日の報告から12月の公表までに、どのような調査・対応が行われたか。
- 約21,000人のうちメールアドレスが含まれる人数や、「営業活動に用いる顧客関連情報」の具体的な項目は何か。
- 流出したデータが恐喝プラットフォームで公開されたデータに含まれているかどうか。
出典
- 1BetaNews2025-12-23報道本文確認済
- 2CX Today2025-12-23報道本文確認済
- 3CyberScoop2025-10-02報道本文確認済
- 4Innovatopia2025-12-25報道本文確認済
- 5ScanNetSecurity2026-01-06報道本文確認済
- 6404 Media2025-10-02報道本文確認済
- 7Anomali2025-10-06研究者本文確認済
- 8BleepingComputer2025-10-02報道本文確認済
- 9共同通信社（OANDA Lab掲載）2025-12-23報道本文確認済
- 10