中部電力の一部システムへの資格情報不正利用による不正アクセス（役職員の電子メール約2,400件・連絡先情報約7.4万人分の閲覧の可能性）
公表日
中部電力の一部のシステムで、ログインに必要な情報が不正に使われ、社員のメール約2,400件と、取引先やグループ社員など最大約7.4万人分の連絡先が見られたおそれがあります。電力の供給や、電気・ガスのお客様の情報には影響はないとされています。
対象者は？
中部電力と関わりのある関係機関・自治体・取引先などの担当者 約2,400人（会社・団体名、役職、氏名、メールアドレス、電話番号）と、中部電力グループの役職員・委託先の社員など 約71,700人（会社名、所属、役職、氏名、メールアドレス、電話番号）の、最大約74,100人です。いずれも「漏えいしたおそれ」で、流出は確認されていません。電気・ガスを契約しているお客様の情報は対象に含まれていないとされています。
会社は、対象の方には法令にそって個別に対応するとしています。範囲は公式のお知らせで確認できます。
いますぐできること
- 中部電力やグループの社員を名乗るメール・電話で、添付ファイルを開くよう求められたり、情報を聞かれたりしても、すぐに応じない。いつも使っている連絡先にかけ直して確かめる
- 仕事で中部電力とやりとりがある方は、職場のメール担当者にこの件を共有し、中部電力を名乗る不審なメールに注意するよう呼びかける
何が起きたのか
2026年7月29日、中部電力は外部の機関から情報提供を受けて調べ、会社が使っている一部のシステムで、ログインに必要な情報（資格情報）が第三者に不正に使われていたことを確認しました。その結果、社員の電子メール約2,400件と、グループの連絡先の一覧が見られたおそれがあると分かりました。会社は同じ日に、その資格情報を使えなくして、不正なアクセス元からの接続を止めました。8月4日に公表し、国や警察、個人情報保護委員会に報告しました。システムの障害や、電力の供給への影響は起きていません。
なぜ起きたのか・なぜ広がったのか
ログインに必要な情報がどのように盗まれたのか、どのシステムだったのか、いつから不正に使われていたのかは、まだ公表されていません。今回は会社の監視で見つけたのではなく、外部の機関からの知らせで分かりました。正しいログイン情報を使われると、普段の利用と見分けにくく、その人が見られる範囲のメールや連絡先一覧がそのまま見られてしまいます。
いまの状況2026-08-04 時点続報待ち
不正に使われた資格情報は無効にされ、外部の専門機関と協力して、どのメールにどんな情報が含まれていたかを詳しく調べています。不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の期間、資格情報が盗まれた経路、メールに重要な情報が含まれていたかどうかは、まだ発表されていません。
企業として考えたいこと
自社のメールやグループウェアに、盗まれたパスワードでログインされたら、すぐ気づけるでしょうか。外部から知らされる前に自分たちで見つけられる仕組みがあるか確認しましょう。
技術的な要約
中部電力は2026年7月29日に第三者機関から情報提供を受けて調査し、同社が利用する一部のシステムに係る資格情報が不正に利用され、役職員の電子メール約2,400件と同社グループの連絡先情報が不正閲覧された可能性を確認した。漏えいの可能性がある個人情報は、関係機関・自治体・取引先など約2,400人と、グループ役職員・委託先社員など約71,700人の計約74,100人分（会社名・所属・役職・氏名・メールアドレス・電話番号）。同社は同日に資格情報の無効化と不正アクセス元の遮断を行い、8月4日に公表した。電力供給や電気・ガスの顧客情報を扱うシステムへの不正アクセスの痕跡はないとしている。対象システム名、資格情報の種別と入手経路、不正アクセスの期間は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式は「当社が利用する一部のシステムに係る資格情報が不正に利用され」と記載（確定）。資格情報の種別（ID/パスワード、APIキー、トークン等）、入手経路（フィッシング、インフォスティーラー、他サービスからの流用等）、対象システム名（電子メールと連絡先情報を扱うことから、メール/グループウェア系のクラウドサービスである可能性があるが非公表）はいずれも公表されていない。不正アクセスの開始時期について共同通信系報道は「時期は明らかにしていない」としている。発覚は自社検知ではなく第三者機関からの情報提供。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 公式は「システム障害や電力供給への影響は発生しておらず」と明記。
- データ
- おそれ上限 74,100確定 —人氏名メール電話従業員情報取引先情報業務データ公式は「不正閲覧された可能性」「漏えいした可能性」と表現。内訳：①関係機関・自治体・取引先など約2,400人（会社・団体名、役職、氏名、メールアドレス、電話番号）、②グループ連絡先情報に登録された当社グループの役職員・委託先社員など約71,700人（会社名、所属、役職、氏名、メールアドレス、電話番号）。records_maxは①②の合計（約74,100人、報道の「約7万4100人」と一致）。別途、当社役職員の電子メール約2,400件が不正閲覧された可能性があり、メールの件数（約2,400件）と①の人数（約2,400人）の対応関係は公表資料上明示されていない（①はメールに含まれていた外部の連絡先と読めるが推測）。メール本文に機密情報が含まれるかについて同社は回答を差し控えたと報道。電気・ガスの顧客情報の漏えいは確認されていない。
- 波及先
- —
- 関係機関・自治体・取引先など約2,400人の連絡先（組織数は非公表）
- グループ会社役職員・委託先社員の連絡先
- 金銭影響
- —
- サプライチェーン
- 取引先・自治体・委託先社員の連絡先が含まれるが、他組織のシステムへの波及や委託先経由の侵入は公表されていない。
時系列
技術解説
公表された事実：資格情報の不正利用と第三者からの通報 事実
公式発表によれば、発覚の端緒は2026年7月29日の第三者機関からの情報提供で、自社の監視による検知ではない。調査の結果、同社が利用する一部のシステムに係る資格情報が不正に利用され、役職員の電子メール約2,400件とグループ連絡先情報が不正閲覧された可能性が確認された。同日中に資格情報の無効化と接続元の遮断を行い、電力供給や電気・ガスの顧客情報を扱うシステムへの不正アクセスの痕跡がないことを確認したとする。漏えいの可能性がある個人情報は社外約2,400人、グループ役職員・委託先社員など約71,700人。報告先は関係官庁・個人情報保護委員会・警察などで、報道によれば経済産業省と愛知県警。不正アクセスの開始時期、資格情報の種別と入手経路、対象システム名は公表されていない。
攻撃の構造の推定：メール/ディレクトリ系クラウドの有効アカウント悪用 解釈
閲覧対象が「電子メール」と「グループの連絡先情報（会社名・所属・役職・氏名・メールアドレス・電話番号）」であることから、対象システムはメールとグローバルアドレス帳（ディレクトリ）を併せ持つメール/グループウェア系サービスである可能性が高い。有効な資格情報によるログインであれば、ディレクトリ全体（約7.2万人）の参照は通常権限で可能で、メールボックスの閲覧も当該アカウントの範囲で行える。第三者機関（セキュリティ企業・JPCERT/CC・警察等が考えられる）からの通報で発覚した点は、インフォスティーラーで窃取された認証情報の流通や、攻撃基盤の観測で被害組織が特定されるパターンと整合する。いずれも推測で、公表はない。
重要インフラ事業者としての評価 解釈
制御系・顧客系システムへの影響がないことを同日中に確認し公表した点は、重要インフラ事業者として最も問われる点に答えている。一方で、侵入期間が示されていないため、第三者からの通報がなければ閲覧がどれだけ続いたかは評価できない。役職員・委託先社員約7.2万人の連絡先と、関係機関・自治体の担当者情報は、電力会社を装った標的型メールの宛先リストとして価値が高く、同社がグループ従業員を装った不審なメール・電話への注意を呼びかけたのはこのリスクへの対応と読める。メール約2,400件の内容に設備・系統運用などの機微情報が含まれるかについて同社は回答を差し控えており、影響の全体像は未確定である。
対応
- 封じ込め
- 7/29に不正利用された資格情報を無効化し不正アクセス元を遮断。電力供給・顧客情報システムへの不正アクセスの痕跡がないことを確認。漏えいの可能性があるメール情報の特定・内容精査、外部専門機関と連携した調査を継続。
- 公表の仕方
- 検知から6日後の8/4にプレスリリースで公表。対象区分ごとの人数と項目を示したが、システム名・資格情報の種別・侵入期間は非公表。対象者には関係法令を踏まえ個別に対応するとした。
- 当局対応
- 関係官庁・個人情報保護委員会・警察などへ報告・相談（公式）
- 経済産業省・愛知県警に被害を報告（共同通信系報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 有効な資格情報だけでメールとディレクトリにアクセスできた | メール/グループウェアのログインにフィッシング耐性MFA（FIDO2/パスキー）を必須化し、条件付きアクセスで管理端末・社内IP以外からのアクセスを制限。IMAP/POP/EWS等のレガシー認証を無効化する |
| 自社監視ではなく第三者からの通報で発覚した | サインインログ（新規国・ASN、impossible travel、非対話型サインイン）とメールボックス監査ログ（MailItemsAccessed相当）をSIEMに集約し、アラート化。インフォスティーラーのログ監視サービスで自社ドメインの資格情報流出を定期確認する |
| グループ全体の連絡先が一つのアカウントから参照できた | グローバルアドレス帳の公開範囲をグループ会社・委託先単位で分割し、外部委託先アカウントには最小限のディレクトリ参照のみ許可。ディレクトリの大量参照をレート制限・監視する |
| 流出した連絡先が標的型メールに使われるリスク | DMARC（p=reject）を自社・グループ全ドメインに適用し、なりすましメールの到達を防ぐ。取引先・自治体の担当者へは注意喚起とともに、正規の連絡経路を明示する |
自組織などでの確認項目
- あなたの組織で、1つの社員アカウントが侵害されたとき、ディレクトリ経由でグループ全体・委託先を含む何人分の連絡先が取得できるか。
- クラウドメールへの不正ログインを、外部からの通報より先に自分たちで検知できる仕組み（ログ・アラート・担当者）はあるか。
- 侵害されたメールボックスの中身（約2,400件）について、どの基準で機微情報の有無を判定し、関係者へ通知するか。
未解明点
- 不正利用された資格情報の種別と入手経路、対象システム名
- 不正アクセスの開始時期と閲覧期間
- 情報提供を行った第三者機関の種別と、どのような観測で発覚したか
- 閲覧された電子メール約2,400件に設備・系統運用などの機微情報が含まれていたか
- 対象者への個別通知の完了状況と二次被害（標的型メール等）の有無
出典
- 1中部電力2026-08-04公式本文確認済
- 2セキュリティ対策Lab（ロケットボーイズ）2026-08-05報道本文確認済
- 3INTERNET Watch2026-08-04報道本文確認済
- 4秋田魁新報（共同通信配信とみられる）2026-08-04報道本文確認済
- 5ScanNetSecurity2026-08-27報道本文確認済
- 6熊本日日新聞（共同通信配信）2026-08-04報道未確認