マツダのタイ調達部品の倉庫業務管理システムへの不正アクセス（従業員・取引先 692件）
公表日
マツダの、タイから調達する部品の倉庫業務に使うシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、マツダ・グループ会社・取引先の従業員の情報 最大692件が流出したおそれがあります。一般のお客様の情報は含まれていません。
対象者は？
このシステムに登録されていた、マツダ・グループ会社・取引先の従業員です。対象の情報はユーザーID、氏名、メールアドレス、会社名、取引先IDで、最大692件です（実際に流出したことは確認されていません）。一般のお客様の情報はこのシステムに登録されておらず、対象外です。
対象の範囲は公式のお知らせで確認できます。
いますぐできること
- マツダや取引先を名乗るメールは、リンクや添付ファイルを開く前に送り主と内容を確かめる。氏名・メールアドレス・会社名がそろった情報のため、それらしい文面のメールが届くおそれがあります
- 不審なメールを受け取ったら、開かずに社内のセキュリティ担当に知らせる
何が起きたのか
2025年12月中旬、マツダは、タイから調達する部品の倉庫業務に使う管理システムで、外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の跡を見つけました。マツダは個人情報保護委員会に報告し、外部の専門機関と調査を行いました。2026年3月19日に、従業員などの情報 最大692件が流出したおそれがあると公表しました。二次被害は確認されていません。
なぜ起きたのか・なぜ広がったのか
システムにあったセキュリティ上の弱点（脆弱性）が第三者に悪用されたと、マツダは説明しています。システムの名前や弱点の内容、侵入された時期は公表されていません。マツダは報道に対し、ウイルス感染やランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃、攻撃者からの接触は確認していないと答えています。
いまの状況2026-03-24 時点
マツダは、インターネットからの通信を最小限にする、接続できる相手を限る、修正プログラムをすぐに当てる、アクセスの見張りを強めるといった対策を、同じようなシステムも含めて進めるとしています。業務が止まったという発表はありません。システムの名前、弱点の内容、侵入の時期は発表されていません。
企業として考えたいこと
海外拠点や取引先とのやりとりに使っているシステムのうち、インターネットから直接つながるものはどれで、その修正プログラムは誰が当てているでしょうか。
技術的な要約
マツダは2025年12月中旬、タイからの調達部品の倉庫業務に使う管理システムに外部からの不正アクセスの痕跡を確認し、2026年3月19日に公表した。システムの脆弱性（不備）が悪用され、マツダ・グループ会社・取引先の従業員のユーザーID、氏名、メールアドレス、会社名、取引先IDの計692件が流出した可能性がある。一般顧客の情報は同システムに登録されておらず影響はないとし、二次被害は確認されていない。マツダは報道に対し、マルウェア・ランサムウェアや攻撃者からの接触は確認していないと説明している。
攻撃の分類
- 侵入口
- 公開サーバの脆弱性公表で確認公式：『システムに存在していたセキュリティ上の不備（脆弱性）が第三者に悪用され』一部の情報にアクセスされた。システム名・製品名・脆弱性の内容は非公表。対策として『インターネットからの通信を最小限にする』『接続元の限定』『修正プログラムの迅速な適用』を挙げていることから、インターネットに露出した製品の未修正脆弱性だったとみられる（カテゴリはこの対策内容からの推定）。マツダは2025年11月にOracle E-Business Suite攻撃キャンペーンの標的になったことをSecurityWeekに認めていたが、本件とは無関係との趣旨で説明している（報道）。
- 脆弱性
- CVE 非公表公表で確認倉庫業務用管理システム（製品名非公表）『セキュリティ上の不備（脆弱性）』とのみ公表。広報は報道機関に対してもシステムの説明を拒否。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止の公表はない
- データ
- おそれ上限 692確定 —件会員ID氏名メール従業員情報取引先情報マツダ・グループ会社・取引先の従業員の情報計692件（会社別内訳は非公表）。項目：マツダが発行したユーザーID、氏名、メールアドレス、会社名、取引先ID。パスワードへの言及なし。一般顧客の情報は当該システムに登録されていないため流出の可能性なし。二次被害は未確認。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 取引先の従業員情報が含まれるが、他組織のシステムへの侵入・波及は公表されていない。
時系列
技術解説
海外調達向け周辺システムの露出 解釈
公表では脆弱性の内容は示されていないが、対策としてインターネットからの通信の最小化、接続元の限定、修正プログラムの迅速な適用を挙げており、海外の拠点や取引先が使うためにインターネットへ公開していた業務システムで、修正の遅れが突かれた構図とみられる（解釈）。漏えい項目はユーザーIDと氏名・メール・会社名・取引先IDで、取引先担当者を装ったフィッシングの材料になり得るため、取引先への注意喚起が中心の対応となった。検知（2025年12月中旬）から公表まで約3か月を要している。
対応
- 封じ込め
- インターネットからの通信の最小化、接続元の限定、修正プログラムの迅速な適用、アクセス状況の監視強化、同様のシステムを含めた対策強化。社内調査と外部専門機関による調査。
- 公表の仕方
- 2026/3/19にPDFで公表。システム名・製品名・脆弱性の内容・侵入時期は非公表。フィッシング・スパムへの注意を呼びかけ。
- 当局対応
- 個人情報保護委員会：判明後速やかに報告（日付非公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 海外拠点・取引先向けの業務システムがインターネットに露出していた | 取引先向けシステムはゼロトラスト型アクセス（IdP連携のアクセスプロキシ）か接続元IP制限の背後に置き、外部公開資産を定期的に棚卸しして、サポート対象と修正適用期限を資産ごとに管理する |
| 取引先担当者のIDと連絡先が漏えいし、なりすましの材料になった | 取引先に漏えい項目を個別通知し、支払先変更や請求書送付などの依頼はメール以外の既知の連絡経路で確認する運用を取り決める |
自組織などでの確認項目
- 海外拠点や取引先のためにインターネットに公開している業務システムを、誰がいくつ把握しているか。そのうち修正プログラムの適用状況を本社が確認できるものはどれか。
未解明点
- システムの製品名・脆弱性（CVE）と、侵入時期
- システムの運用主体（タイの拠点か本社か、委託先か）
- 2025年11月のOracle EBSキャンペーン・Clop掲載との関係の有無
出典
- 1マツダ2026-03-19公式本文確認済
- 2セキュリティ対策Lab（Rocket Boys）2026-03-23報道本文確認済
- 3ASCII.jp2026-03-24報道本文確認済
- 4ScanNetSecurity2026-03-31報道本文確認済
- 5BleepingComputer2026-03-23報道本文確認済
- 6SecurityWeek2026-03-24報道本文確認済
- 7Aviatrix Threat Research Center2026-03-23研究者本文確認済