MCリテールエナジー「まちエネ」の外部委託先管理サーバーへのサイバー攻撃（申込・料金シミュレーションを約17日停止）
公表日
電気の小売サービス「まちエネ」で、委託先が管理するサーバーにサイバー攻撃の可能性が見つかり、2026年1月30日から新規の申込みと料金シミュレーションが止まりました。報道によると2月16日に再開し、停止は約17日間でした。
対象者は？
2026年1月30日から再開までの間に、「まちエネ」へ申し込もうとした人や、料金シミュレーションを使おうとした人が対象です。その他のサービスへの影響はないとされています。停止したサーバーは個人情報を持つサーバーではなく、個人情報の漏洩は確認されていないと発表されています。
まちエネ公式サイトのお知らせ「サイバー攻撃によるシステム障害発生（2026年１月30日）のお知らせ」で内容を確認できます。
いますぐできること
- まちエネ公式サイトのお知らせで、最新の情報が出ていないか確認する。
何が起きたのか
2026年1月30日、まちエネを運営するMCリテールエナジーは、外部の委託先が管理するサーバーにふだんとは違う大量のアクセスがあることに気づき、サイバー攻撃を受けた可能性があると判断しました。同日の朝8時にそのサーバーを止め、まちエネの新規申込みと料金シミュレーションを一時停止しました。同じ日に公式サイトで発表し、その他のサービスへの影響はないと説明しました。報道によると、申込みと料金シミュレーションは2月16日に再開しました。
なぜ起きたのか・なぜ広がったのか
委託先が管理するサーバーへの大量のアクセスがきっかけです。どこから入られたのか、誰が攻撃したのか、委託先がどこなのかは、まだ発表されていません。申込みと料金シミュレーションはこのサーバーとつながっていたため、被害が広がらないようにサーバーを止めたことで、2つの機能も使えなくなりました。
いまの状況2026-10-13 時点続報待ち
報道によると、申込みと料金シミュレーションは2026年2月16日に再開しています。個人情報の漏洩は確認されていないと発表されています。調査の結果、原因、再発防止策は、まだ発表されていません。
企業として考えたいこと
自社の申込受付や見積の画面が委託先のサーバーで動いている場合、そのサーバーが攻撃されて止まったとき、何日で再開でき、その間どうやって申込みを受け付けますか。
技術的な要約
MCリテールエナジー株式会社は2026年1月30日、「まちエネ」に関連する外部委託先管理サーバーで通常と異なる挙動（大量アクセス）を検知し、同日サイバー攻撃が行われたと判断したと発表した。被害拡大防止のため同日8時に当該サーバーを稼働停止し、「まちエネ」の申込受付と料金シミュレーションを一時停止した。同社は、当該サーバーは個人情報を有するサーバーではなく、個人情報の漏洩は確認されていないと説明し、その他サービスへの影響はないとした。影響範囲は調査中とされた。報道によると両機能は2月16日に再開された。侵入口や攻撃者は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入口は公表されていない。公式発表は「外部委託先が管理するサーバーにおいて、通常とは異なる挙動（大量のアクセス）を検知したため、2026年1月30日にサイバー攻撃が行われたと判断」としている。
- 脆弱性
- CVE 非公表不明脆弱性、CVE、製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 「まちエネ」の申込受付と料金シミュレーションを2026年1月30日8時に停止。その他サービスへの影響はないとされた。報道見出しによれば2月16日に再開。期間：2026-01-30から2026-02-16まで（約17日）
- データ
- 調査中上限 —確定 —影響範囲は調査中。当該サーバーは個人情報を有するサーバーではなく、個人情報の漏洩は確認されていないと公表されている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 攻撃を受けた可能性があるのは外部委託先が管理するサーバー。委託先名や委託先自身の被害状況は公表されていない。
時系列
- 2026-01-30
- 2026-01-30 08:00
- 2026-01-30 08:00
- 2026-01-30同社が公式サイトで「サイバー攻撃によるシステム障害発生」を発表。影響範囲は調査中、個人情報の漏洩は確認されていないとした。3
- 2026-01-30同社は、その他サービスへの影響はなく、復旧の目途が立ち次第自社HPで知らせるとした。3
- 2026-02-02報道で、復旧時期は未定、停止対象は申込・料金シミュレーションに限られると伝えられた。1
- 2026-02-16「まちエネ」の申込み・料金シミュレーションが再開された（記事見出しによる）。2
- 2026-02-19ScanNetSecurityが、一時停止と2月16日の再開を報じた。2
技術解説
公表された事実の整理 事実
MCリテールエナジー株式会社は2026年1月30日、「まちエネ」に関連し外部委託先が管理するサーバーで通常とは異なる挙動（大量のアクセス）を検知したため、同日サイバー攻撃が行われたと判断したと公式サイトで発表した。発表では、同サーバーが外部からのサイバー攻撃を受けた「可能性がある」ことが判明したとして、2026年1月30日（金）8:00にサーバーを稼働停止した。あわせて「まちエネ」のお申込みと料金シミュレーションの利用を一時停止した。その他サービスへの影響はないとしている。影響範囲は調査中とされたが、当該サーバーは個人情報を有するサーバーではなく、個人情報の漏洩は確認されていないと説明した。復旧の目途が立ち次第、同社HPで知らせるとしていた。
復旧までの経過と報道 事実
2026年2月2日付のセキュリティ対策Labの記事は、公式発表の内容を伝えた。記事によると、停止したのは申込受付と料金シミュレーションで、停止日時は1月30日午前8時である。停止対象はこの2機能に限られ、その他サービスへの影響はないとされた。復旧時期はその時点で未定だった。2026年2月19日付のScanNetSecurityの記事は、見出しで「まちエネ」の申込み・料金シミュレーションが2月16日に再開したと伝えた。facts の範囲では、再開を伝える同社の公式発表は確認できない。1月30日から2月16日までを数えると、2機能の停止期間は約17日になる。侵入口、脆弱性、攻撃者、外部委託先の名称は公表されていない。
委託先サーバーと顧客向け機能の依存関係 解釈
攻撃の可能性が検知されたのは自社ではなく、外部委託先が管理するサーバーだった。それでも新規申込と料金シミュレーションという集客の入口が止まった。公表内容から見ると、このサーバーは新規顧客獲得の導線を支えていたと考えられる。一方で既存契約者向けのサービスには影響がなかったとされる。これは、申込系と既存顧客系が別の基盤に分かれていた可能性を示す。異常を検知した当日の朝8時にサーバーを止め、機能を限定して停止したことは、被害拡大を防ぐことを優先した判断と読める。ただし、停止が約17日続いたことから、委託先環境の調査や安全確認に時間がかかったとも考えられる。委託先が管理する資産でも、利用者から見れば事業者のサービスの一部である。この点を改めて示した事案といえる。
公表のあり方と情報の空白 解釈
同社は検知した当日のうちに第1報を出し、停止した機能、停止時刻、個人情報を持たないサーバーであることを明示した。利用者の不安に早く答える内容だったと評価できる。一方、「大量のアクセス」が不正侵入を狙ったものか、サービス妨害を狙ったものかは公表されていない。そのため攻撃の性質は判断できない。また facts の範囲では、再開は報道の見出しでしか確認できず、調査結果、原因、再発防止策の公式な続報は見当たらない。第1報で「影響範囲は調査中」とした以上、最終的に影響がなかったのかを利用者は確かめられない。続報が出ていれば、事案の締めくくりとして分かりやすくなったと考えられる。これは同社の対応を否定するものではない。公開情報だけでは事案の全体像が描けない、という制約を示している。
対応
- 封じ込め
- 外部委託先が管理する当該サーバーを2026年1月30日8時に稼働停止し、申込受付と料金シミュレーションの提供を中断した。
- 公表の仕方
- 2026年1月30日に公式サイトで発表。影響範囲は調査中、個人情報の漏洩は確認されていない、復旧の目途が立ち次第HPで告知するとした。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先が管理するサーバーでも、止まれば自社の顧客向け機能が止まる。 | 委託先が運用するサーバーやSaaSを資産台帳に登録する。停止したときに影響する自社の機能（申込、見積、会員ページなど）を紐づけておき、業務継続計画（BCP）で代替手段（電話や紙による申込など）を決めておく。 |
| 「大量アクセス」のような異常を早く見つけて止めたことで、影響を2機能に限定できた。 | Webサーバーのリクエスト数とエラー率に閾値アラートを設定する。委託先とも監視結果を共有し、誰が停止を判断するか、何時間以内に止めるかを契約や運用手順書に書いておく。 |
| 申込系と既存顧客系の基盤を分けていたとみられ、その他サービスへの影響は避けられた。 | 新規申込、料金試算、既存顧客ポータル、請求の各システムでネットワークと認証基盤を分ける。1つが侵害されても他に広がらないよう、システム間の通信は必要最小限のAPIに絞る。 |
| 個人情報を持たないサーバーであることを第1報ではっきり示し、利用者の不安を抑えた。 | 各システムが持つデータの種類（個人情報の有無）を日頃から一覧にしておき、インシデントの際にすぐ答えられるようにする。公表文のひな型にも「対象サーバーの保有データ」を書く欄を設ける。 |
| 再開や調査結果の公式な続報が無いと、利用者や第三者は事案が終わったかどうかを確かめられない。 | インシデント対応手順に、復旧時の告知と調査完了時の報告（原因の概要、影響の有無、再発防止策）を必須の工程として入れ、第1報と同じページから続報へリンクする。 |
自組織などでの確認項目
- 自社の申込フォームや料金試算ページのうち、委託先が管理するサーバーで動いているものを洗い出せていますか。
- 委託先が管理するサーバーで大量アクセスなどの異常が起きたとき、委託先から何分以内に連絡が来て、誰が停止を判断するか、契約や手順書で決まっていますか。
- 新規申込の機能が2〜3週間止まった場合に、代わりの申込手段や機会損失の見積もりを用意していますか。
- 障害が起きた各システムが個人情報を持っているかどうかを、その日のうちに答えられる資料がありますか。
未解明点
- 「大量のアクセス」が不正侵入を狙ったものか、サービス妨害（DDoSなど）を狙ったものかなど、攻撃の性質と侵入口
- 外部委託先の名称と、委託先自身や他の取引先に被害が及んだか
- 影響範囲の調査結果と、最終的に情報の流出や改ざんが無かったか
- 2月16日の再開についての公式発表の有無と、再発防止策の内容
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-02-02報道本文確認済
- 2ScanNetSecurity2026-02-19報道本文確認済
- 3MCリテールエナジー株式会社（まちエネ）2026-01-30公式本文確認済