ジェイアールバス関東・新城事業所の業務用PCへの不正アクセス（PC1台、情報流出の痕跡は未確認）
公表日
ジェイアールバス関東の愛知県新城市の事業所で、業務用パソコン1台が外部から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。個人情報が外部に流出した痕跡は、調査では確認されていません。
対象者は？
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の対象となった可能性のあるお客さま。件数や情報の種類はまだ発表されていません。
対象の可能性があるお客さまには、会社から個別に連絡が済んでいるとされています。連絡が難しいお客さまには、最終報告の公表をもって通知に代えるとしています。
いますぐできること
- 会社から連絡を受けた場合は、案内の内容を確認する。
- 連絡が来ていない場合でも、公表されたお知らせの内容を確認しておく。
何が起きたのか
2025年10月13日、愛知県新城市の事業所で使われている業務用パソコン1台に、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことが確認されました。個人情報を含む情報が外部に漏れた可能性があることも分かり、10月17日に会社が発表しました。会社は対策本部を作り、外部の専門家と協力して、侵入の経路や影響の範囲を調べました。12月16日には、原因調査が完了したとして最終報告を公表しました。
なぜ起きたのか・なぜ広がったのか
侵入の経路など、原因の具体的な内容はまだ発表されていません。
いまの状況2025-12-16 時点
最終報告では、専門家の詳細な調査でも、個人情報が外部に送られたり流出したりしたことを示す記録や痕跡は確認されていません。関連するとみられる情報の公開や二次被害の報告も、現時点では確認されていません。件数や情報の種類、再発防止策については、まだ発表されていません。
企業として考えたいこと
自社の事業所や営業所にあるパソコン1台が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたとき、個人情報が外に出たかどうかを、記録から確かめて説明できますか。
技術的な要約
ジェイアールバス関東株式会社は、2025年10月13日に愛知県新城市の事業所で使用している業務用パソコン1台が外部から不正アクセスを受けたことを確認し、10月17日に個人情報漏えいの可能性を発表した。同社は社内に対策本部を設置し、外部専門家と連携して侵入経路の特定や被害範囲の調査を進めた。12月16日に原因調査が完了したとして最終報告を公表し、個人情報が外部に送信・流出したことを示すログや痕跡は確認されていないとした。情報の公開や二次被害の報告も現時点では確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明最終報告で原因調査が完了したとされるが、提供された情報には侵入経路の具体的内容の記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし
- データ
- おそれ上限 —確定 —初報では個人情報を含む情報が外部に漏えいした可能性が判明したとされた。最終報告では、外部専門家の詳細調査で個人情報が外部に送信・流出したことを示すログや痕跡は確認されていない。件数・情報の種類は提供された情報に記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
確認された経過 事実
ジェイアールバス関東株式会社は、愛知県新城市の事業所で使用している業務用パソコン1台に対し、2025年10月13日に外部からの不正アクセスが確認されたとしている。10月17日には、個人情報を含む情報が外部に漏えいした可能性が判明したとして発表した。その後、社内に対策本部を設置し、外部の専門家と連携しながら侵入経路の特定や被害範囲の調査を進め、12月16日に原因調査が完了したとして最終報告を公表した。報じられている不正アクセスの対象は、この業務用パソコン1台である。
最終報告の調査結果と通知 事実
最終報告では、外部専門家による詳細調査の結果、個人情報が外部に送信・流出したことを示すログや痕跡は確認されていないとされた。不正アクセスと関連するとみられる情報の公開や二次被害の報告も、現時点では確認されていない。対象となった可能性のあるお客さまには個別に連絡を実施済みで、個別通知が困難なお客さまには今回の公表をもって通知に代えるとしている。なお、個人情報の件数や種類、侵入経路の具体的内容は、参照した報道には記載がない。
公表内容の読み取り方 解釈
「痕跡が確認されていない」という表現は、流出がなかったと断定したものではなく、ログなどから確認できた範囲の結果を述べたものと読める。初報の「可能性」が最終報告で否定されたのか、確認できないまま整理されたのかは、公開情報からは判断できない。また、事業所に置かれた業務用端末1台が対象となった点は、拠点の端末も調査や通知の対象に含めて管理する必要性を考えさせる。ただし、本件固有の原因は公表されておらず、これらは一般的な読み取りにとどまる。
対応
- 封じ込め
- 社内に対策本部を設置し、外部の専門家と連携しながら侵入経路の特定や被害範囲の調査を進めた。
- 公表の仕方
- 2025年10月17日に個人情報漏えいの可能性を発表。12月16日に最終報告を公表。対象の可能性があるお客さまには個別に連絡済みで、個別通知が困難なお客さまには最終報告の公表をもって通知に代えるとしている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 拠点の業務用PCも、本社と同じ水準で監視・調査できる状態にしておく必要がある。 | 全拠点の端末にEDRを導入して検知ログを集中管理する。端末のプロセス・通信ログを90日以上保管し、侵害時に外部送信の有無を確認できるようにする。 |
| 「流出の痕跡がない」と言い切るには、判断の根拠となるログが残っている必要がある。 | プロキシ・FW・DNSの通信ログを一定期間保管する。端末単位の外向き通信を後から追跡できるよう、時刻同期（NTP）とログ形式を統一する。 |
| 個人情報を端末に置く範囲が広いほど、漏えいの可能性の調査と通知の負担が増える。 | 端末上の個人情報ファイルを棚卸しし、不要なローカル保存を禁止する。必要なデータは権限管理されたサーバへ集約し、DLPで持ち出しを検知する。 |
| 初報から最終報告まで約2か月を要しており、途中経過と最終結論を分けて伝える準備が要る。 | インシデント対応手順に、初報・続報・最終報の公表テンプレートと判断基準（確認済み／可能性／未確認）を定める。通知困難者向けの代替手段も事前に決める。 |
自組織などでの確認項目
- 自組織の拠点や事業所に置かれた業務用PCは、本社と同じ監視・ログ保管の対象になっていますか。
- 個人情報が外部に送信されていないことを、自組織のログだけで後から確認できますか。必要な通信ログは何日分残っていますか。
- 個別に連絡できない顧客がいる場合に備え、公表で通知に代える手順と、その判断者が決まっていますか。
未解明点
- 不正アクセスの侵入経路（原因調査の具体的な結果）は公表されているか。
- 漏えいの可能性があった個人情報の件数と種類、対象となるお客さまの範囲はどうなっているか。
- 最終報告で、初報の「漏えいの可能性」はどのように整理されたのか。再発防止策は何か。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-19報道本文確認済
- 2ScanNetSecurity2025-10-29報道本文確認済