アステモのデータ共有クラウドへの不正アクセス（委託会社従業員アカウント侵害、約350名分の個人情報流出）
公表日
自動車部品メーカーのアステモで、利用するデータ共有クラウドに第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。し、従業員や取引先関係者など約350名分の個人情報が流出したことが確認されました。
対象者は？
アステモの従業員、仕入先関係者、外部協力会社関係者等の約350名分（10月16日時点・精査中）。氏名、メールアドレス、電話番号、所属などの業務上の連絡先が含まれます。顧客関係者や消費者の個人情報は含まれていないと発表されています。
個人への通知方法は、まだ発表されていません。仕入先や協力会社の方は、アステモとの取引窓口や自社の担当部署を通じて確認するのが確実です。
いますぐできること
- アステモの関係者を名乗るメールや電話で、個人情報や認証コードを求められても、すぐには応じず、正規の窓口に確認する。
- 自分が操作していないのに多要素認証の通知が届いたら承認せず、勤務先の担当部署に知らせる。
- 業務で使うパスワードを使い回していないか確認し、不安があれば変更する。
何が起きたのか
アステモは2026年10月16日、同社が使うデータ共有クラウドに第三者が不正にアクセスし、データの一部が外部に流出したと発表しました。9月17日、データを取得したと主張する第三者から複数の従業員に、データの公開をほのめかす連絡が届き、調査が始まりました。9月24日に不審なダウンロードと使われたアカウントを見つけ、10月初旬に委託会社から「アカウントが侵害された」と連絡を受けました。9月2日頃にそのアカウントでログインの異常と、本人が操作していない多要素認証の通知が出ていたことも分かっています。
なぜ起きたのか・なぜ広がったのか
入り口になったのは、アステモのデータ共有クラウドを使う権限を持つ、業務委託会社の従業員のアカウントでした。ただし、そのアカウントがどうやって乗っ取られたのかは、まだ発表されていません。社内ネットワークや端末への侵害、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。への感染を示す証拠は、今のところ見つかっていません。
いまの状況2026-10-18 時点続報待ち
2026年10月18日時点で、アステモは外部の専門機関や関係当局と連携し、流出したデータの内容、影響範囲、原因を調べています。侵害されたアカウントを含め、委託会社が使う全アカウントは停止されました。事業への重大な影響や二次被害の報告は、今のところありません。製品の安全性や業績への影響は確認中です。再発防止策として、アカウントと権限の管理、異常なアクセスの監視、委託先を含む管理体制の見直しを行うとしています。補償については、まだ発表されていません。
企業として考えたいこと
自社のクラウドやデータ共有サービスを使っている委託先の従業員は何人いて、その人たちのアカウントに異常があったとき、自社へすぐ連絡が届く仕組みはありますか。
技術的な要約
アステモは2026年10月16日、同社が利用するデータ共有クラウド環境で第三者による不正アクセスが発生し、保有するデータの一部が外部に流出したと発表した。侵入口は、同環境へのアクセス権限を持つ業務委託会社の従業員アカウントで、9月2日頃にそのアカウントでログイン異常と本人の操作によらない多要素認証通知が発生していた。9月17日にデータを取得したと主張する第三者から複数の従業員宛てにデータ公開を示唆する連絡があり、同社は初動対応と調査を開始した。流出データには従業員、仕入先関係者、外部協力会社関係者等の個人情報約350名分（氏名、メールアドレス、電話番号、所属等の業務上の連絡先）が含まれ、顧客関係者や消費者の個人情報は含まれていない。社内ネットワークや端末への侵害、ランサムウェア感染を示す証跡は確認されておらず、同社は外部専門機関や関係当局と連携して流出内容、影響範囲、原因の調査を継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認アステモのデータ共有クラウド環境へのアクセス権限を持つ業務委託会社の従業員アカウントが第三者に侵害され、そのアカウントを通じて不正アクセスが行われた。9月2日頃に委託会社システムでのログイン異常と、従業員本人の操作によらない多要素認証通知が発生していた。認証方式や通知への応答、アカウントが乗っ取られた経緯は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 事業活動への重大な影響は現時点では確認されていない。製品の安全性や業績への影響については引き続き確認を進めている。
- データ
- 確定上限 350確定 350人氏名メール電話従業員情報取引先情報従業員、仕入先関係者、外部協力会社関係者等に関する個人情報約350名分（10月16日時点・精査中）。内容は氏名、メールアドレス、電話番号、所属等の業務上の連絡先情報等。顧客関係者および消費者の個人情報は含まれていない。顧客・取引先・製品・開発に関わる情報への影響は確認を継続中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- アステモのデータ共有クラウド環境にアクセス権限を持つ業務委託会社の従業員アカウントが侵害され、そのアカウントを通じて不正アクセスが行われた。委託会社の名称は公表されていない。
時系列
- 2026-09-02
- 2026-09-17
- 2026-09-22
- 2026-09-24
- 2026-10
- 2026-10
- 2026-10-16
- 2026-10-16
- 2026-10-18Innovatopiaが10月16日公表分の委託先関連の不正アクセス5件の一つとして整理・解説。2
技術解説
公表された侵入経路と経緯 事実
アステモは2026年10月16日、同社が利用するデータ共有クラウド環境で第三者による不正アクセスが発生し、保有するデータの一部が外部に流出したと発表した。侵入口は、このクラウド環境へのアクセス権限を持つ業務委託会社の従業員アカウントである。調査の結果、2026年9月2日頃にそのアカウントで委託会社システムへのログイン異常と、従業員本人の操作によらない多要素認証通知が発生していたことが判明した。一方、認証の方式、通知への応答、アカウントが乗っ取られた経緯は公表されていない。社内ネットワークや端末への侵害、ランサムウェア感染を示す証跡は、現時点の調査では確認されていない。
検知から公表までの時系列 事実
2026年9月17日、データを取得したと主張する第三者から、複数のアステモ従業員宛てにデータ公開を示唆する連絡があった。同社は重大なセキュリティインシデントと認識し、外部専門機関と連携して初動対応と調査を始めた。9月22日には、第三者が運営する外部サイトにアステモを標的にした旨の主張が掲載されているのを確認した。9月24日に不審なダウンロードと、使われた委託会社従業員のアカウントを特定し、委託会社に調査を依頼した。10月初旬に委託会社からアカウント侵害の連絡を受け、不正アクセスと一部データの流出を確認した。そして10月16日に公表している。
確認された影響範囲と対応 事実
流出データには、従業員、仕入先関係者、外部協力会社関係者等の個人情報約350名分が含まれる（10月16日時点・精査中）。内容は氏名、メールアドレス、電話番号、所属等の業務上の連絡先情報等で、顧客関係者や消費者の個人情報は含まれていない。現時点で二次被害の報告は受けていない。事業活動への重大な影響は確認されておらず、製品の安全性や業績への影響は確認を続けている。対応として、社内緊急対応チームの設置、侵害されたアカウントを含む委託会社の全アカウントの停止、外部専門機関との調査、関係当局と警察への報告・相談を実施した。顧客・取引先・製品・開発に関わる情報への影響も確認中である。
委託先アカウントを入口とする構造 解釈
公表内容から読み取れるのは、自社の境界ではなく、委託先の従業員アカウントが正規の入口として使われた点である。委託会社側の認証が破られると、クラウド側から見れば正規の権限を持つ利用者によるアクセスに見えやすく、通常の侵入検知では区別しにくい可能性がある。9月2日頃の多要素認証通知は、本人が操作していない認証試行の兆候だった可能性があるが、通知がどう扱われたかは公表されていないため、断定はできない。ここで重要なのは個別の担当者の対応ではなく、委託先を含めた認証強化と異常通知の共有の仕組みが整っていたかという点だと考えられる。
検知の経路と公表までの期間からの示唆 解釈
アステモが事案を認識したきっかけは、自社の監視ではなく、第三者から従業員への連絡だったと報じられている。アカウントの異常が確認された9月2日頃から、データ公開の示唆を受けた9月17日まで約2週間、さらに委託会社から侵害の連絡があった10月初旬を経て公表（10月16日）まで、全体で約1か月半が経過している。ただし、委託会社側での把握時期や連絡の経緯は公表されておらず、各段階に遅れがあったかどうかは評価できない。委託先で起きた異常を、利用先の環境へ速やかに共有できる経路が重要になることを示す事例と読める。
対応
- 封じ込め
- 社内緊急対応チームを設置し、侵害されたアカウントを含む委託会社が利用する全アカウントを停止した。外部のセキュリティ専門機関と連携して調査している。
- 公表の仕方
- 2026年10月16日に不正アクセスとデータの一部流出を発表した。流出が確認された個人情報は約350名分で、顧客関係者・消費者の情報は含まれず、現時点で二次被害の報告は受けていないとしている。今後はアカウントおよびアクセス権限の管理、異常なアクセスの監視、業務委託先を含む情報管理体制の見直し等の再発防止策を講じるとしている。
- 当局対応
- 関係当局および警察への報告・相談を実施
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先の従業員アカウントは自社の境界の一部として扱う必要がある | 委託先アカウントをIdPでフェデレーションし、条件付きアクセス（IP範囲・デバイス準拠・国）を必須にする。共有クラウドへの外部委託者ログインは自社管理の別テナントやゲストアカウントに分け、四半期ごとに棚卸しして不要な権限を削除する。 |
| 本人操作によらない多要素認証通知は侵害の早期兆候になり得る | MFAプッシュに番号照合を必須化し、短時間の連続拒否や未承認通知をSIEMで検知してアカウントを自動で一時ロックする。フィッシング耐性のあるFIDO2/パスキーへの移行も検討する。 |
| 委託先の異常を利用先へ速やかに共有する取り決めが要る | 委託契約にインシデント・異常の通知期限（例：検知後24時間以内）と連絡窓口を明記する。委託先のセキュリティ担当との合同連絡訓練を年1回実施し、アカウント異常の連絡手順を確認する。 |
| 共有クラウドの大量ダウンロードを自社側で検知できるようにする | 共有ストレージの監査ログを収集し、ユーザー単位のダウンロード量やファイル数のしきい値超過をアラート化する。委託先アカウントはダウンロードを制限し、最小権限で必要なフォルダだけを割り当てる。 |
| 連絡先情報でも流出時の影響は小さくないので保管量を絞る | 共有クラウド上の個人情報を棚卸しし、保存期間を決めて自動削除する。氏名や連絡先の一覧は必要な担当者だけがアクセスできる領域に分け、DLPで外部への持ち出しを監視する。 |
自組織などでの確認項目
- 自組織のクラウドやデータ共有環境に、委託先従業員のアカウントはいくつあるか。最後に権限を見直したのはいつで、退職や契約終了の反映は確認できるか。
- 従業員本人が操作していない多要素認証通知が出た場合、誰がどこへ報告し、どの時間内にアカウント停止まで進むか。委託先の従業員にも同じ手順が適用されているか。
- 委託先で認証の異常やアカウント侵害が起きたとき、自組織へいつまでにどの経路で連絡が来る契約になっているか。実際の連絡訓練や机上演習で確かめたか。
- 共有クラウドで委託先アカウントが大量のファイルをダウンロードした場合、自組織のログと通知で検知できるか。直近の監査ログの保存期間と確認担当者は決まっているか。
未解明点
- 侵害された委託会社の名称、同社内でアカウントが乗っ取られた具体的な経緯（フィッシング、認証情報の使い回し、通知の承認など）は公表されていない。
- 9月2日頃の異常が不正アクセスの開始時点か、その前からの侵害があったかは不明で、実際の不正アクセス開始日も公表されていない。
- データを取得したと主張する第三者の素性、外部サイトに掲載された内容、データが公開されたかどうかは、アステモから説明されていない。
- 顧客、取引先、製品・開発に関わる情報への影響は確認中で、流出件数の約350名分も精査中のため、最終的な範囲と件数は確定していない。
- 影響を受けた約350名への個別通知の方法と時期、個人情報保護委員会への報告状況は、渡された出典では示されていない。
出典
- 1Car Watch2026-10-16報道本文確認済
- 2Innovatopia2026-10-18報道本文確認済
- 3Car Watch(Yahoo!ニュース配信)2026-10-16報道本文確認済
- 4レスポンス（Yahoo!ニュース配信）2026-10-16報道本文確認済
- 5レスポンス（Response.jp）2026-10-16報道本文確認済