日本経済新聞社のシステム開発用クラウドサービスへの不正アクセス（個人情報約183万件漏洩）
公表日
日本経済新聞社は2026年10月16日、システム開発に使うクラウドサービスへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、約183万件の個人情報が漏洩したと発表しました。氏名などを含むのは約15万件、単体では個人を特定できない識別子のみが約168万件で、クレジットカード情報は含まれていません。翌17日には、日経BPと日経ナショナル ジオグラフィックが、自社サービス利用者の情報が一部含まれている可能性があると公表しました。
対象者は？
約183万件のうち、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件(うちメールアドレスを含むものが約12万件)、単体では個人を特定できない識別子のみのものが約168万件です。クレジットカード情報は含まれていません。17日には、日経BPと日経ナショナル ジオグラフィックのサービス利用者の情報も一部含まれている可能性があると公表されましたが、両社とも調査中で、該当する件数や情報の種類は発表されていません。対象の方が読者や取引先などのどの立場かも、まだ発表されていません。件数は精査中で、変わる可能性があります。
漏洩が確認された方には、日本経済新聞社から個別に知らせるとしています。日経BPや日経ナショナル ジオグラフィックのサービスを利用している方は、各社のお知らせもご確認ください。
いますぐできること
- 日本経済新聞社と、利用しているグループ会社の公式のお知らせを確認する
- 日本経済新聞社などから個別の連絡が届いた場合は、その内容に沿って対応する
- 日経やグループ会社の関係者を装ったメールに注意し、不審なメールのリンクや添付ファイルは開かない
何が起きたのか
日本経済新聞社によると、10月7日の未明から朝にかけて、システム開発に使うクラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、保管していた個人情報が漏洩しました。同社は不正アクセスに使われた認証情報を無効にし、10月11日に個人情報保護委員会へ報告しました。そして10月16日に、約183万件が漏洩したと公式に発表しました。翌17日には、日経BPと日経ナショナル ジオグラフィックが、この漏洩に自社サービス利用者の情報が一部含まれている可能性があると公表しました。なお、同社が10月4日に公表したMicrosoft 365などの別の被害との関連は、公式には示されていません。
なぜ起きたのか・なぜ広がったのか
クラウドサービスにアクセスするための認証情報が、何らかの手段で盗まれたと説明されています。盗まれた手段や、被害が約183万件にのぼった理由は、まだ発表されていません。グループ会社の利用者の情報が含まれていた経緯も、各社が調査中です。
いまの状況2026-10-17 時点続報待ち
2026年10月17日時点で、日本経済新聞社は、10月16日時点で二次被害や日経のシステム停止・データ改ざんなどの異常は確認されていないとしています。同社は侵害を受けた範囲や漏洩した個人情報を精査し、被害状況の把握と原因究明を進め、必要なセキュリティー強化策を講じるとしています。日経BPと日経ナショナル ジオグラフィックは調査中で、詳細が分かり次第あらためて報告するとしています。原因の詳細や再発防止策の内容は、まだ発表されていません。
企業として考えたいこと
もし自社の開発用クラウドの認証情報が盗まれたら、グループ会社や取引先から預かった情報も含め、どんな個人情報にたどり着かれる可能性があり、何分で無効にできるでしょうか。
技術的な要約
日本経済新聞社は2026年10月16日、システム開発に利用するクラウドサービスが不正アクセスを受け、同日時点で約183万件の個人情報が漏洩したと発表した。不正アクセスは10月7日未明から朝にかけて行われ、クラウドにアクセスするための認証情報が何らかの手段で窃取されていた。内訳は、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むものが約12万件）、単体では個人を特定できない識別子のみのものが約168万件で、クレジットカード情報は含まれない。同社は不正アクセスに使われた認証情報を無効にし、10月11日に個人情報保護委員会へ報告した。16日時点で、二次被害や日経のシステム停止・データ改ざんなどの異常は確認されていない。翌17日には、日経グループの2社が、漏洩した個人情報に自社サービスの利用者の情報が一部含まれている可能性があると公表した（調査中で、詳細は未発表）。同社は被害範囲の精査と原因究明を続けている。なお、同社は10月4日に、Microsoft 365アカウントへの攻撃でなりすましメール約9千件が送信されたことも公表しているが、これらを同一の攻撃者や侵入経路による一連の攻撃とする公式情報は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式発表は「クラウドサービスにアクセスするための認証情報が何らかの手段で窃取されました」としている。窃取の具体的な手法は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 16日時点で、日経のシステム停止・データ改ざんなどの異常は確認されていない。
- データ
- 確定上限 1,830,000確定 1,830,000件氏名メール住所電話生年月日その他16日時点で約183万件が漏洩したと公表されている。内訳は、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むものが約12万件）、単体では個人を特定できない識別子のみのものが約168万件。クレジットカード情報は含まれない。17日には、日経グループの2社が、この漏洩に自社サービス利用者の情報が一部含まれている可能性があると公表した。両社とも調査中で、該当件数や情報の種類は発表されていない。侵害範囲と漏洩した個人情報は精査中で、件数は変わる可能性がある。
- 波及先
- 2 社
- 日経BP：同社サービス利用者（顧客）の情報が一部含まれている可能性があると2026年10月17日に公表。調査中
- 日経ナショナル ジオグラフィック：同サービス利用者の情報が一部含まれている可能性があると2026年10月17日に公表。調査中
- 金銭影響
- —
- サプライチェーン
- 侵害を受けたのは日本経済新聞社のシステム開発用クラウドサービスで、侵入起点が委託先などの第三者だとする公表はない。2026年10月17日、日経グループの2社が、漏洩した個人情報に自社サービス利用者の情報が一部含まれている可能性があると公表した。両社は調査中で、詳細は未発表。
時系列
- 2026-09-30
- 2026-09-30【別事案】日経BP従業員のメールアカウントに不正アクセスがあった。当該従業員は日本経済新聞社社員のメールアドレスで届いたフィッシングメールから認証情報を入手されていた。6
- 2026-10-04
- 2026-10-04
- 2026-10-04【別事案】株式会社日経BPが、従業員のメールアカウントへの不正アクセスを発表した。6
- 2026-10-07
- 2026-10-11
- 2026-10-16
- 2026-10-16
- 2026-10-17日経BPが、日本経済新聞社が16日に発表した個人情報漏洩の中に、日経BPのサービス利用者（顧客）の情報が一部含まれている可能性があると公表した。調査中で、詳細が分かり次第あらためて報告するとしている。9
- 2026-10-17日経ナショナル ジオグラフィックが、日本経済新聞社が16日に発表した個人情報漏洩に、同サービス利用者の情報が一部含まれている可能性があると公表した。調査中で、詳細が分かり次第あらためて報告するとしている。10
- 2026-07
- 2026-08
- 2026-10-04
- 2025-11-04【過去の別事案】日本経済新聞社が、Slackへの不正ログインを公表した。社員や取引先など1万7,368人分の氏名、メールアドレス、チャット履歴などが流出した可能性がある。11
- 2026-05-07【過去の別事案】日経アメリカ社が、Microsoft 365への不正ログインを公表した。氏名、会社名、メールアドレスなど291人分の情報が流出した可能性がある。11
技術解説
公表されている攻撃の事実関係 事実
日本経済新聞社の公式発表(10月16日)によると、システム開発に利用するクラウドサービスが10月7日の未明から朝にかけて不正アクセスを受け、保管されていた個人情報が漏洩した。クラウドにアクセスするための認証情報が何らかの手段で窃取されており、同社は不正アクセスに使われた認証情報を無効にした。10月11日には個人情報保護委員会へ報告している。16日時点で、二次被害や日経のシステム停止・データ改ざんなどの異常は確認されていないとしている。窃取の手法、サービス名、検知の経緯は公表されていない。
件数の内訳と数字の読み方 事実
16日時点の漏洩件数は約183万件である。内訳は、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件(うちメールアドレスを含むものが約12万件)、単体では個人を特定できない識別子のみのものが約168万件で、クレジットカード情報は含まれない。侵害範囲と漏洩した個人情報は精査中で、件数は変わる可能性があるとされている。「件」が人数かレコード数かは、確認できた公表内容には示されていない。
10月17日に判明したグループ会社への波及 事実
10月17日、日経BPと日経ナショナル ジオグラフィックが、日本経済新聞社の発表した漏洩に自社サービス利用者(顧客)の情報が一部含まれている可能性があると、それぞれ公表した。両社とも調査中で、該当件数や情報の種類は示されておらず、詳細が分かり次第あらためて報告するとしている。このため、約183万件の対象にグループ各社の利用者の情報が含まれうることが、第1報の翌日に明らかになった。ただし、侵入の起点が委託先などの第三者だとする公表はない。
認証情報を起点とする攻撃の構造(解釈) 解釈
公式発表は侵入の起点を認証情報の窃取としており、脆弱性の悪用には触れていない。このことから、正規の認証情報によるログインだった可能性が考えられる。その場合、通信は正規利用に近く見えるため、境界での防御だけでは異常を見分けにくい。一方、窃取の手段は公表されておらず、フィッシングやマルウェアなど特定の手法だったと判断できる根拠はない。また、開発用クラウドに保管されていた個人情報が件数の規模に関係した可能性もあるが、保管の経緯や目的は公表されておらず、推測にとどまる。
同時期の別事案との切り分け(解釈) 解釈
日経グループでは、10月4日にMicrosoft 365への攻撃(約9千件のなりすましメール)、7月下旬からのGoogle Workspaceへの不正ログイン(1,646人分)、日経BP従業員のメールアカウント事案(26件)も公表されている。件数・対象・時期が本件と異なり、これらを本件と同一の攻撃者や侵入経路による一連の攻撃とする公式情報は確認されていない。そのため本件は独立した事案として読み、関連の有無は今後の発表を待つのが妥当と考えられる。認証情報を狙う事例が続いていること自体は、アカウント管理を点検する動機になりうる。
対応
- 封じ込め
- 不正アクセスに使われた認証情報を無効にした。16日時点で、二次被害やシステム停止・データ改ざんなどの異常は確認されていない。
- 公表の仕方
- 2026年10月16日に公式サイトで発表した。氏名等を含む約15万件、識別子のみの約168万件という内訳と、クレジットカード情報が含まれないことを示している。漏洩が確認された対象者には個別に知らせ、原因究明を急ぎ、必要なセキュリティー強化策を講じるとしている。翌17日には日経グループの2社が、自社サービス利用者の情報が一部含まれている可能性があると公表し、調査を進めて詳細が分かり次第あらためて報告するとしている。
- 当局対応
- 個人情報保護委員会（2026年10月11日に報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 開発用クラウドの認証情報が、大量の個人情報への入口になりうる | 開発・検証環境に本番の個人情報を置かない運用にし、必要な場合はマスキングや仮名化を行う。クラウドのIAMは最小権限にし、長期有効のアクセスキーを避けて短期トークンへ移行する。 |
| 窃取手法が不明でも、認証情報の失効が初動として効く | アクセスキー、トークン、サービスアカウントの一覧を棚卸しし、失効とローテーションの手順をRunbook化する。訓練で、検知から失効までの所要時間を測っておく。 |
| 未明の時間帯の大量アクセスは、ログがあれば検知の手がかりになる | クラウドの監査ログを長期保存し、未知のIPやデバイスからのログイン、通常外の時間帯、大量の読み出しをアラート化する。MFAや条件付きアクセスを開発系の管理者アカウントにも適用する。 |
| 保管している個人情報の種類と件数、提供元を説明できる状態にしておく | 個人情報の保管場所を台帳化し、特定可能な情報と識別子のみの情報を区分して件数を管理する。データの由来(どのグループ会社のどのサービスか)も紐づけ、インシデント時に内訳と影響先を速やかに特定できるようにする。 |
| グループ共通の基盤では、漏洩の影響がグループ会社の利用者に及ぶ | グループ会社間で個人情報の預かり関係と連絡窓口を整理し、インシデント時に影響を受けるデータの提供元へ速やかに通知する手順を定める。 |
| 時期が近い複数の事案は、関連を断定せず個別に調べる | 事案ごとにログとタイムラインを分けて保全したうえで、IPアドレスや認証情報の使い回しなど共通点を技術的に相関分析する。確認前に同一攻撃と扱わない。 |
自組織などでの確認項目
- 自組織の開発・検証用クラウドに、本番由来の個人情報は置かれていませんか。置かれている場合、その件数と保管理由を説明できますか。
- 開発用クラウドの認証情報(アクセスキー、トークン、サービスアカウント)が盗まれたと分かったとき、何分で全件を無効にできますか。手順は文書化されていますか。
- クラウドの監査ログは何日分保存され、未明の時間帯の大量読み出しを検知するアラートはありますか。
- グループ会社や委託先の利用者情報を自組織の基盤で預かっている場合、漏洩時に影響先へ連絡する担当と手順は決まっていますか。
- 自組織で別々のインシデントが近い時期に起きた場合、関連を判断する基準と担当者は決まっていますか。
未解明点
- 侵入に使われた認証情報はどのような手段で窃取されたのか(公表されていない)
- 不正アクセスを受けたクラウドサービスの名称と、そこに個人情報が保管されていた理由
- 不正アクセスをいつ、どのように検知したのか(7日の侵入から11日の個人情報保護委員会への報告までの経緯)
- 漏洩した個人情報の対象者は誰か(読者、取引先、社員、グループ会社の顧客など)。また、約183万件の「件」が人数かレコード数か
- 日経BPと日経ナショナル ジオグラフィックの利用者に該当する件数と情報の種類(両社は調査中)
- 精査の結果、最終的な件数や漏洩した情報の種類は変わるのか
- 10月4日公表のMicrosoft 365事案などとの関連の有無
出典
- 1Innovatopia2025-11-05報道本文確認済
- 2熊本日日新聞社（共同通信配信）2026-10-04報道本文確認済
- 3NHK2026-10-09報道本文確認済
- 4セキュリティ対策Lab(合同会社ロケットボーイズ)2026-10-05報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-05報道本文確認済
- 6ScanNetSecurity2026-10-07報道本文確認済
- 7日本経済新聞社2026-10-16公式本文確認済
- 8日本経済新聞2026-10-16報道本文確認済
- 9日経BP2026-10-17公式本文確認済
- 10日経ナショナル ジオグラフィック2026-10-17公式本文確認済
- 11The Record from Recorded Future News2026-10-05報道本文確認済
- 12Nippon.com (Jiji Press)2026-10-16報道本文確認済
- 13SmartScope2026-10-16報道本文確認済
- 14SmartScope2026-10-16報道本文確認済
- 15ビジネス+IT2026-10-16報道本文確認済
- 16Arabian Post2026-10-07報道本文確認済
- 17Daily Security Review2026-10-05報道本文確認済
- 18AI Heartland2026-10-17報道本文確認済