九州電力送配電のバックアップ用SSDの所在不明（暗号化・パスワードなし、最大1,354万件の顧客情報）
公表日
九州電力送配電で、お客さまの情報を保存したSSD（データを記録する機器）1台が行方不明になりました。最大1,354万件の情報が入っており、暗号化やパスワードによる保護はされていませんでした。
対象者は？
九州電力送配電のシステムに記録されていた電気の利用者（個人と法人など）です。最大1,354万件で、内訳は個人1,003万件、法人など351万件です（流出は確認されていません）。主な情報は名前、電気を使う場所の住所、供給地点特定番号で、ほかに電力の使用量、契約している電力会社の名前、一部には電話番号が含まれます。銀行口座、クレジットカード、メールアドレスは含まれていません。
8月上旬以降、対象の方にダイレクトメールで順次知らせ、専用のコールセンターを設ける予定としています。郵便が届かない方については、ホームページでの公表で代えるとしています。
いますぐできること
- 九州電力送配電や電力会社を名乗る電話・訪問・郵便で、口座番号や支払いを求められても応じない。気になるときは公式サイトに載っている窓口に自分から問い合わせる
- ダイレクトメールが届いたら、書かれている内容を公式サイトのお知らせと照らし合わせて確かめる
何が起きたのか
九州電力送配電では、データを保存するサーバーの容量が足りなくなってきたため、2026年1月から古いデータを外付けのSSDに移して保管していました。作業は委託先の作業員が月に1回ほど行い、SSDはサーバー室の中のキャビネットにしまっていました。4月27日の作業のあとから、5月26日に次の作業の準備をするまでの間に、SSD 1台が見当たらなくなりました。6月4日に福岡県警へ被害届を出し、6月8日に公表しました。7月8日には、件数を最大1,090万口分から最大1,354万件に修正しました。
なぜ起きたのか・なぜ広がったのか
サーバー室は、身分証やカード、生体認証、監視カメラで入る人を管理していました。一方で、SSDを入れていたキャビネットには鍵がかかっておらず、委託先の作業の手順書などにも保管場所や施錠のことが書かれていませんでした。SSDの中身は暗号化もパスワードの設定もされていませんでした。なくしたのか、誰かが持ち出したのかは、まだ分かっていません。
いまの状況2026-07-08 時点
SSDが見つかったという発表はありません。フリマサイトやインターネット上に流出していないか監視を続けており、流出は確認されていません。経済産業省からは、再発防止策を確実に実施し、お客さまに適切に対応するよう指導を受けました。再発防止として、外付けの記録媒体を「使わない・持ち出させない・読み取れない」の三つを原則とし、原則使用禁止、鍵付きの保管、暗号化などを決めています。
企業として考えたいこと
自社のバックアップ用のUSBメモリや外付けディスクは、何台あって、どこに、鍵をかけて置かれているでしょうか。中身は暗号化されているでしょうか。
技術的な要約
九州電力送配電は、データ保存用サーバの容量逼迫を受けて2026年1月から過去データを外部SSDへ退避する運用を行っていたが、サーバ室内の施錠されていないキャビネットに保管していたSSD 1台が、4月27日のバックアップ作業後から5月26日の次回作業準備までの間に所在不明となった。SSDは暗号化・パスワード保護がされておらず、需要者名・供給場所住所・供給地点特定番号・電力使用量・小売電気事業者名・電話番号（一部）等が保存されていた。6月8日の第1報では最大1,090万口分としたが、7月8日の経済産業省への報告で転居・名義変更等を精査し最大1,354万件（個人1,003万件、法人等351万件）に修正した。銀行口座・クレジットカード・メールアドレスは含まれず、流出（フリマサイト出品・ネット上の公開）は確認されていない。6月4日に福岡県警へ被害届を提出、経済産業省から報告徴収（6/8）と再発防止策の着実な実施を求める指導（7/8）を受け、8月上旬以降に対象者へダイレクトメールで順次通知するとした。SSDは2026-10-10時点で発見の公表はない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 物理公表で確認サイバー攻撃ではなく物理媒体の所在不明。バックアップ用SSD（委託先作業員2名が月1回程度作業）をサーバ室内のキャビネットに保管していたが、キャビネットは施錠されておらず、委託仕様書・作業手順書にも保管場所・施錠の記載がなかった（7/8報告で確定）。サーバ室自体は身分証確認・カード認証・生体認証・監視カメラによる多重の入退室管理下にあった。紛失か無断持ち出しかは特定されておらず、会社は『無断持ち出しの可能性も含めて調査』（6/8）とし、6/4に被害届を提出。報道では4/27〜5/26に委託先作業員57人がサーバ室に入室したとされる（innovatopiaが日経報道として紹介、未確認）。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 送配電・託送業務やシステムの停止は公表されていない。対応として対象者へのDM通知（8月上旬以降・複数回）と専用コールセンター設置を予定。
- データ
- おそれ上限 13,540,000確定 —件氏名住所電話取引先情報その他（供給地点特定番号・電力使用量・小売電気事業者名・契約電力・申込日）6/8第1報は『最大1,090万口分』（共同通信は約1,090万件と報道）。7/8報告で転居・同一住所での名義変更等を考慮して再精査し最大1,354万件（うち2026年6月時点で契約継続中714万件）。内訳：①託送システム（2016/7/6〜2024/1/31）1,216万件（個人899万・法人等317万。需要者名のカナ→漢字変更で名寄せできない約150万件を含む）、②スイッチング支援システム（2025/10/6〜2026/4/26）79万件（個人53万・法人等26万）、③両システム重複59万件（個人51万・法人等8万）。合計＝個人1,003万件（継続中560万）＋法人等351万件（継続中154万）。法人等には公衆街路灯・信号機等の機器に紐づく契約146万件を含む。共通項目は需要者名・供給場所住所・供給地点特定番号、①は電力使用量・小売電気事業者名、②は電話番号・契約電力・申込日等。電話番号を含むのは②と③のみ。銀行口座・クレジットカード・メールアドレスは含まない。流出は未確認（フリマサイト・ネット上を継続監視）。『取引先情報』は小売電気事業者名を指す。
- 波及先
- —
- 保存データに各需要家の契約先小売電気事業者名が含まれる（他社の顧客である需要家の情報）。小売電気事業者側での被害・対応の公表は確認できなかった
- 金銭影響
- —
- サプライチェーン
- バックアップ作業は委託先（社名非公表、システム開発・保守も担当）の作業員2名が行い、当社社員は立ち会っていなかった。委託先に媒体保管を任せきりにしていたことが原因の一つとされるが、委託先の環境が侵害されたわけではなく、他組織への被害波及も公表されていないため『なし』とした。
時系列
技術解説
事案の構造：一時しのぎの退避運用が統制の外にあった 事実
発端はデータ保存用サーバの容量逼迫で、2025年12月に過去データを外部SSDへ退避する運用を計画し、サーバ増強が見込まれる2028年度まで続ける予定だった。作業はシステム開発・保守も担う委託先の作業員2名が月1回程度行い、当社社員は立ち会っていない。SSDは暗号化もパスワード保護もされず、サーバ室内の施錠されていないキャビネットに置かれていた。委託仕様書・作業手順書には保管場所や施錠の記載がなかった。会社自身が7/8報告で、媒体への退避を『リスクを伴う行為』ではなく『技術的な対処』として扱い、承認プロセスやリスク評価を経なかったこと（原因A）、管理区域であることを理由に施錠を指示しなかったこと（B）、サーバ室の安全性と媒体自体の安全性を混同したこと（C）、委託先に任せきりにしたこと（D）を原因として挙げている。
検知までの30日：棚卸しの仕組みがなかった 事実
SSDの存在が確認できたのは4/27のバックアップ完了時が最後で、不在に気付いたのは5/26の次回作業準備時であり、その間の約1カ月は所在を確認する手段がなかった。会社は4/27〜5/26の入室者への聞き取り、入退室記録の確認、現地調査を行ったが発見に至らず、紛失か持ち出しかも特定できていない。サーバ室には身分証確認・カード認証・生体認証・監視カメラがあったにもかかわらず特定できていない点は、入退室管理が『人』の記録であって『モノ』の記録ではなかったことを示す。報道（日経、innovatopia経由）では同期間に委託先作業員57人が入室したとされ、物理アクセス権者の多さも特定を難しくしている。検知（5/26）から個人情報保護委員会への速報（5/29）は3日、公表（6/8）までは13日だった。
件数の増加：1,090万口から1,354万件へ 事実
第1報の『最大1,090万口分』は、7/8報告で転居や同一住所での名義変更を考慮して数え直し『最大1,354万件』となった。増えた理由は、同じ供給地点でも需要者が入れ替われば別件として数えたこと、名寄せできない約150万件（需要者名のカナ→漢字変更）を含めたこと、公衆街路灯・信号機など機器に紐づく法人契約146万件を含むことなどである。うち2026年6月時点で契約継続中は714万件で、残りは解約・転居済みの過去顧客である。託送システム分は2016年7月〜2024年1月と約7年半の履歴を丸ごと含んでおり、退避対象が『必要最小限』ではなく『過去データ一式』だったことが母数を押し上げた。件数の数え方（口・件・人）が報によって変わる点は、公表時の注意点として講義で扱える。
暗号化していれば『漏えいのおそれ』を回避できたか（解釈） 解釈
個人情報保護法の漏えい等報告では、高度な暗号化等の秘匿化がされている場合は報告対象外となり得る。本件でSSDがBitLocker/LUKS/ハードウェア暗号化等で保護され鍵が別管理されていれば、紛失そのものは起きても約1,354万件分の本人通知・DM発送・コールセンター設置という対応規模は大きく変わった可能性が高い。会社が再発防止策の第三原則を『読み取れない』としたのはこの点の反省と読める。一方で、退避データには口座・カード情報が含まれず金銭的な直接被害は限定的だが、氏名・住所・電話番号・契約先の電力会社名の組み合わせは、電力会社を名乗る詐欺電話やフィッシングの『もっともらしさ』を高める材料になる。会社自身も不審な連絡への注意を呼び掛けている。発見されない限り、流出していないことも証明できない構造である。
重要インフラ事業者としての当局対応 事実
個人情報保護委員会への速報に加え、電気事業の監督当局である資源エネルギー庁と電力・ガス取引監視等委員会にも報告し、経済産業省は公表当日の6/8に報告徴収を行い、7/8の報告受領後に再発防止策の着実な実施と顧客対応を求める指導を行った。九州電力送配電の公表文はいずれも根拠条文を示していない。親会社の九州電力では株主総会で社長が謝罪しており、同総会では10月1日の持株会社設立も承認されており、事案はグループ全体のガバナンス課題として扱われた。送配電事業者は小売電気事業者の顧客情報を中立的に扱う立場にあり、その管理不備に対して事業所管官庁が直接報告徴収・指導を行った点で、一般企業の媒体紛失とは当局対応の重さが異なる。
対応
- 封じ込め
- 5/26の不在判明後、入室者への聞き取り・入退室記録確認・現地調査で捜索（未発見）。6/4被害届。6/10に外部記憶媒体の使用・管理状況の社内調査と施錠管理を指示。サイバーセキュリティ専門部署がフリマサイト出品やネット上への流出を継続監視（流出未確認）。再発防止策として『使わない（原則使用禁止・権限者承認制）』『持ち出させない（鍵付き保管・鍵の受け渡し管理・視認性の高いケースやタグ）』『読み取れない（原則パスワード保護・暗号化）』の三原則、委託先への仕様書・手順書での明記、従業員・委託先への年次教育、全箇所での年次自主点検と経営層報告を策定。
- 公表の仕方
- 6/8第1報（外部記憶媒体とのみ記載し媒体種別・暗号化の有無は書かず、最大1,090万口分）。暗号化・パスワードなしのSSDであることは同日の報道（共同通信）で伝えられ、公式には7/8の経済産業省への報告書（別紙）で明記された。7/8に件数を最大1,354万件に修正し内訳・原因・再発防止策を公表。対象者には8月上旬以降DMで個別通知、送付不能分はホームページで代替。
- 当局対応
- 個人情報保護委員会：5/29に速報
- 資源エネルギー庁・電力・ガス取引監視等委員会：5/29に同内容を報告
- 経済産業省：6/8に報告徴収（事実関係・経緯、原因と再発防止策の報告を要求）、7/8に報告書提出
- 経済産業省：7/8に再発防止策の着実な実施と関係機関の指示・要請に沿った顧客対応を求める指導
- 警察：6/4に福岡県警へ被害届
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 容量逼迫への一時しのぎとして、リスク評価・承認なしにリムーバブル媒体へ全件退避した | 個人データを含むデータの媒体出力は例外申請制（目的・対象範囲・保管方法・廃棄期限を記載し情報セキュリティ責任者が承認）にし、容量逼迫時は暗号化済みのオブジェクトストレージ／テープライブラリ等の管理下ストレージを優先。退避対象は保存期間の過ぎた履歴を削除・匿名化してから最小化する |
| 媒体が暗号化・パスワード保護されていなかった | 外部媒体はハードウェア暗号化（FIPS 140-2/3認証のSSD）またはBitLocker To Go/LUKS/VeraCryptで全体暗号化し、鍵（回復キー）は媒体と別の鍵管理システムに保管。MDM/EDRのデバイス制御で未暗号化USBストレージへの書き込みをブロックする |
| サーバ室の入退室管理を媒体の保管管理と混同し、キャビネットを施錠していなかった | 媒体は施錠保管庫に入れ、鍵の貸出記録と媒体台帳（シリアル番号・保管場所・最終確認日時・確認者）を紐づける。媒体にRFID/目立つ色のケースを付け、退室ゲートでの持ち出し検知や監視カメラの撮影範囲に保管庫を含める |
| 所在確認が月1回の作業時しかなく、不在の検知に最大30日を要した | 媒体台帳に基づく日次または週次の棚卸しを手順化し、作業者と別の社員が確認・記録する（二者確認）。棚卸し未実施や台帳との不一致をアラート化し、不在を発見したら直ちにエスカレーションする |
| 委託先作業員のみで作業し、保管方法を仕様書・手順書で指示していなかった | 委託仕様書に媒体の暗号化・施錠保管・台帳記録・二者確認を要件として明記し、初回作業と定期作業に発注者側社員を立ち会わせるか、作業ログ・写真を提出させる。年次の委託先監査で実施状況を確認する |
自組織などでの確認項目
- 自社でいま、USBメモリ・外付けSSD・テープなどに本番データのコピーが存在するか。台帳はあり、最終確認日はいつで、暗号化されているかを即答できるか。
- サーバ室やデータセンターの入退室管理が厳重であることを理由に、ラック内やキャビネット内の物理媒体・機器の管理を省略していないか。
- 容量逼迫や移行作業などの『一時的な例外運用』が、承認やリスク評価なしに数カ月〜数年続いているものはないか。誰が例外を承認し、いつ終わらせる計画か。
- 委託先に保守作業を任せている環境で、委託先作業員が個人データを媒体に出力できる権限を持っていないか。その操作は発注者側でログとして見えているか。
未解明点
- SSDが紛失（誤廃棄・置き忘れ）なのか、第三者・関係者による持ち出しなのか。警察捜査の状況
- SSDの機種・容量と、他に同様の運用で作成された媒体（過去の月次バックアップ分）の存在と管理状況
- 委託先の名称と、委託先に対する契約上の措置
- 8月以降のDM通知の進捗、二次被害（九電送配電を装う詐欺等）の有無
- 経済産業省の報告徴収・指導の根拠条文、個人情報保護委員会の対応（指導等の有無）
- 社内処分の有無
出典
- 1九州電力送配電2026-06-08公式本文確認済
- 2九州電力送配電2026-06-08公式本文確認済
- 3九州電力送配電2026-06-08公式本文確認済
- 4九州電力送配電2026-07-08公式本文確認済
- 5九州電力送配電2026-07-08公式本文確認済
- 6九州電力送配電2026-07-08公式本文確認済
- 7経済産業省2026-06-08当局未確認
- 8共同通信（OANDA転載）2026-06-08報道本文確認済
- 9@IT2026-06-10報道本文確認済
- 10innovatopia2026-06-09報道本文確認済
- 11熊本日日新聞（共同通信）2026-06-25報道本文確認済
- 12セキュリティ対策Lab（Rocket Boys）2026-07-10報道本文確認済