コマツの外部ユーザー管理の設定不備（登録ユーザー139,302名の氏名・メールアドレス等がユーザー間で閲覧可能）
公表日
コマツが社外の人を招くために使っていた利用者管理の仕組みで設定に不備があり、登録ユーザー139,302人の氏名とメールアドレスが、ユーザー同士で見られる状態になっていました。
対象者は？
コマツのアプリの利用、オンライン会議への参加、ファイルの共有のために、同社のシステムに登録された方です。最大139,302人で、実際に誰かに見られたかどうかは示されていません。見られる状態だったのは氏名・メールアドレス・登録ユーザーの種別と、一部の方のアクセス日時です。見ることができたのは同じシステムに登録したユーザーだけで、インターネット上の誰もが見られる状態ではありませんでした。
コマツから招待を受けて、同社のシステムを使ったことがあるかが目安です。詳しくは公式のお知らせで確認できます。
いますぐできること
- コマツやその取引先を名乗るメールで、ファイルを開くことやログインを求められたら、送り主を別の方法で確かめてから対応する
- 登録したメールアドレスに、知らない相手から仕事の話を装った連絡が増えていないか気をつける
何が起きたのか
2026年4月23日、コマツは、社外の人を招くときに使う利用者管理の仕組みで、登録した人どうしがお互いの氏名やメールアドレスを見られる状態になっていたことに気づきました。2021年ごろからこの状態だった可能性があります。会社はすぐに見られない設定に変え、6月16日に公表しました。外部からの攻撃によるものではありません。
なぜ起きたのか・なぜ広がったのか
原因は、仕組みの設定上の不備だと会社は説明しています。どのシステムで、どの設定に問題があったのかは公表されていません。社外の人を多く招く使い方をしていたため、取引先などの多くの方の情報が、登録ユーザーの一覧として見える状態になっていました。
いまの状況2026-06-16 時点
見られない設定への変更は済んでいて、二次被害は確認されていないとされています。再発防止として、社外の人を招くときはユーザーの一覧を原則として見せない手順を決め、社内に周知するとしています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。も行っています。実際に他の人の情報が見られたかどうかは発表されていません。
企業として考えたいこと
自社が取引先を招いているクラウドのサービスで、招いた人どうしがお互いの名前や連絡先を見られる設定になっていないでしょうか。初めの設定のままになっていないかを確認しましょう。
技術的な要約
コマツは2026年6月16日、各種アプリケーションの利用やオンラインミーティング参加、ファイル共有のために外部ユーザーを招待する際に使う利用者管理の仕組みで、設定上の不備により登録ユーザー139,302名の情報が同じシステムの登録ユーザー間で相互に閲覧できる状態だったと公表した。対象は氏名・メールアドレス・登録ユーザー種別（主に「Guest」「User」）・アクセス日時（一部のみ）で、2021年頃から閲覧可能だった可能性がある。2026年4月23日に判明し、速やかに閲覧できない設定に変更して個人情報保護委員会へ報告した。インターネット上の不特定多数が閲覧できる状態ではなく、二次被害は確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- クラウド設定不備公表で確認外部からの攻撃ではなく、コマツ自身の『設定上の不備』により、登録ユーザーの情報が同一システム内の登録ユーザー同士で相互に閲覧できる状態だった（公式）。システム名・製品名・不備の具体的な設定項目は非公表。登録ユーザー種別が『Guest』『User』と表示されていた点や、アプリ利用・オンライン会議・ファイル共有のための外部ユーザー招待という用途は、クラウドのID基盤（Microsoft Entra IDのB2Bゲスト等）のディレクトリ閲覧設定と整合するが、製品は公表されておらず推測である。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 業務・サービスの停止は公表されていない。対応は閲覧できない設定への変更のみ。
- データ
- おそれ上限 139,302確定 —人氏名メールその他（登録ユーザー種別、アクセス日時）公式は『閲覧可能な状態にあった』とし、実際に閲覧されたかは明記していない。閲覧できたのは同一システムの登録ユーザーのみで、インターネット上の不特定多数ではない。登録ユーザー種別はほとんどが『Guest』または『User』、アクセス日時は一部ユーザーのみ。区分別の内訳は非公表。報道（Security NEXT）は13万9302人と表記。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 対象は社外から招待した外部ユーザーを含むが、コマツ自身が管理する利用者管理の仕組みの設定不備であり、他組織のシステムや他組織が預けたデータへの波及は公表されていない。
時系列
技術解説
外部ユーザー招待の既定設定が残した5年間の露出 解釈
公表によれば、外部ユーザーを招待する利用者管理の仕組みで、登録ユーザー同士がディレクトリ（氏名・メールアドレス・種別）を相互に参照できる状態が2021年頃から続いていた可能性がある。判明（2026/4/23）から公表（6/16）まで約2か月で、判明経緯は非公表。再発防止策が『外部ユーザー招待時のユーザーリストを原則非公開とする手順』であることから、外部ユーザーにもディレクトリの閲覧を許す設定が既定または運用上のまま放置されていたと読める。クラウドのID基盤では、ゲストユーザーが他のユーザーやグループを列挙できる権限は設定次第であり、取引先・販売代理店など複数社の担当者が同じテナントに招かれる企業では、競合関係にある社外者同士が互いの連絡先を見られる。攻撃による侵害ではないが、取引先一覧の把握はなりすましメールの宛先選定に使われうる。製品名は非公表のため、以上は公表内容からの解釈である。
対応
- 封じ込め
- 判明後、速やかにユーザー情報を閲覧できないよう設定を変更。外部ユーザー招待時のユーザーリストを原則非公開とする手順を整備し、社内周知を徹底するとする。
- 公表の仕方
- 判明（4/23）から約2か月後の6/16に公式サイトで公表。件数・項目・閲覧可能だった範囲（登録ユーザー間のみ）・開始時期（2021年頃の可能性）を開示。システム名、閲覧可能状態の終了日、判明経緯、実際の閲覧の有無は非公表。
- 当局対応
- 個人情報保護委員会：個人情報保護法に基づき報告等を実施
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部ユーザー（ゲスト）が他の登録ユーザーの情報を相互に閲覧できる設定だった | ID基盤のゲストアクセス権限を最も制限された設定（例：Entra IDの『ゲストユーザーのアクセスは、自身のディレクトリ オブジェクトのプロパティとメンバーシップに制限されます』）にし、Teams/SharePoint等の外部共有でもゲストのディレクトリ検索を無効化する。設定値をIaC/ポリシー監査で定期チェックする |
| 露出が5年近く気づかれなかった | ゲスト招待・外部共有の設定を四半期ごとにレビューし、実際にゲストアカウントでログインしてユーザー一覧・検索APIが何を返すかを確認するテストケースを持つ。不要になったゲストアカウントはアクセスレビューで自動失効させる |
自組織などでの確認項目
- 自社のMicrosoft 365やGoogle Workspace等に招待している取引先ユーザーは、他の取引先ユーザーの氏名・メールアドレスを検索できるか。実際にゲストアカウントで確かめたことはあるか。
未解明点
- 対象システム・製品名と不備の具体的な設定項目
- 閲覧可能状態の終了日、判明経緯、実際に他ユーザーの情報が閲覧された記録の有無
出典
- 1コマツ2026-06-16公式本文確認済
- 2Security NEXT2026-07-01報道本文確認済