村田製作所IT環境への不正アクセス（従業員・社外関係者の個人情報最大約8.8万件、グループ会社の顧客情報にも波及）
公表日
村田製作所のIT環境に第三者が不正にアクセスし、従業員・関係者と社外関係者あわせて最大約8.8万件の個人情報が取得された、またはそのおそれがあると公表されました。
対象者は？
村田製作所の従業員とその関係者（家族・元従業員を含む）約7.3万件、顧客・仕入先など社外関係者約1.5万件が対象です（合計最大約8.8万件。同一人物の重複の可能性があり、項目は人によって異なります）。グループのムラタメイクでは、自動車保険契約者の一部の氏名・証券番号・車両番号などが対象です。ムラタメイクの発表では、連絡先、口座情報、クレジットカード情報、直近の契約情報は含まれないとされています。
影響を受けた顧客・取引先には、村田製作所が個別に順次通知するとしています。詳細は下のお知らせを確認してください。
いますぐできること
- 村田製作所やムラタメイクを名乗る心当たりのないメール、SMS、電話には、すぐに応じず公式の窓口で確認する。
- 対象の可能性がある方は、個別の通知が届いていないか確認する。
- ムラタメイクの契約者で心当たりのない連絡があれば、ムラタメイクに相談する。
何が起きたのか
2026年2月28日、村田製作所は自社のIT環境に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があった可能性に気づきました。3月1日から本格的に調べ、データが不正に取得されたことが分かり、3月6日に最初の発表をしました。4月6日には顧客・取引先の情報と従業員の個人情報が取得されたと確認しました。4月27日には、約7.3万件と約1.5万件、合計最大約8.8万件の個人情報が対象と発表しました。7月10日には、グループのムラタメイクが、自動車保険契約者の情報の一部も漏えいしたと発表しました。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が入った経路や原因は、まだ発表されていません。被害を受けたのは主に社内の情報共有に使うシステムで、従業員や取引先の情報が含まれていました。購買・生産・出荷の基幹システムやメールへの被害は確認されていません。報道によると、米国の届出には、不正アクセスが2025年3月から2026年2月28日まで約12カ月続いたと書かれています。これは日本国内の発表には載っていません。
いまの状況2026-10-14 時点続報待ち
2026年10月14日時点で、第3報の後に村田製作所の新たな公式発表は、今回確認できた資料にはありません。生産・販売活動に支障はなく、インターネット上での公開や二次被害は、第3報の時点でも、ムラタメイクの発表でも確認されていないとされています。村田製作所は、不審な接続元からのアクセス遮断、監視強化、認証や権限管理の強化などの再発防止策を実施・予定しています。侵入口や攻撃者については、まだ発表されていません。
企業として考えたいこと
自社の社内共有システムには、従業員や取引先の個人情報がどれだけ保存されていて、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったときに何件の誰の情報が影響を受けるか、すぐに説明できますか。
技術的な要約
村田製作所は2026年2月28日にIT環境への不正アクセスの可能性を認識し、3月1日から本格調査を開始、3月6日に第1報を公表した。4月6日の第2報で顧客・取引先の情報と従業員の個人情報が不正に取得されたと確認し、4月27日の第3報で従業員・関係者約7.3万件と社外関係者約1.5万件、合計約8.8万件（重複の可能性あり）が取得された、またはそのおそれがあると公表した。対象は主に社内の情報共有に使うシステムで、購買・生産・出荷の基幹システムやメールへの被害は確認されず、生産・販売活動への支障もないとされる。銀行口座情報や健康情報など機微な情報も対象に含まれ得る。米国の届出を報じた記事によれば、不正アクセスは2025年3月から2026年2月28日まで約12カ月続いたとされる。2026年7月には、グループのムラタメイク（村田土地建物）が自動車保険契約者の情報の一部が漏えいしたと公表した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公式の公表（第2報・第3報）に侵入口の記載はない。対象は社内の情報共有に主に使われるシステムで、同社は不正アクセス経路の遮断、不審な接続元からのアクセス遮断、外部アクセス制限の強化を実施したと述べている。関連記事の見出しに「ファイルサーバへ海外子会社を経由し不正アクセス」とあるが、本文は確認できておらず根拠として採用しない。
- 脆弱性
- CVE 非公表不明脆弱性や悪用された製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 購買・生産・出荷を支える基幹システムやメールに被害は見つからず、システムは正常稼働し、生産・販売活動に支障は生じていないと公表（第2報・第3報）。
- データ
- おそれ上限 88,000確定 —件氏名生年月日性別住所電話メール口座健康情報パスポート従業員情報取引先情報業務データ第3報（4月27日）：従業員・関係者（家族・元従業員含む）約7.3万件、社外関係者（顧客・仕入先等）約1.5万件、合計約8.8万件。同一個人が複数回カウントされている可能性があり、全項目が各個人について取得されたわけではない。従業員関連は社用メール・電話・所属・人事/雇用/福利厚生情報、および氏名・生年月日・性別・住所・連絡先・銀行口座情報・健康状態など。社外関係者は氏名・メール・電話などの連絡先と取引関連情報。一部取引先の請求書・契約書・販売データ等の非個人情報も取得されたおそれがある。報道によれば米国側の届出では、人事システムではなく従業員がMurataアカウントに保存した個人ファイルが対象で、社会保障番号・パスポート情報・医療情報・金融口座番号等が含まれる。インターネット上での公開や二次被害は確認されていない（第3報時点）。
- 波及先
- —
- 村田土地建物（ムラタメイク）：2015年3月末・2020年1月末・2021年7月末時点の自動車保険契約に関する氏名、証券番号、車両番号、契約保険会社、保険始期日・満期日が漏えい（連絡先、口座・クレジットカード情報、直近の契約情報は対象外）
- 一部取引先の請求書、契約書、販売データなどの非個人情報が取得されたおそれ
- 金銭影響
- 金額の公表なし。報道によれば米国では対象者全員にKroll社による24カ月間の無償クレジットモニタリング・本人確認回復サービスが提供された。
- サプライチェーン
- 親会社である村田製作所のIT環境への不正アクセスに伴い、グループの村田土地建物（ムラタメイク）の顧客に関する個人情報の一部も外部に漏えいした。
時系列
技術解説
公表された範囲：社内情報共有システムへの不正アクセス 事実
村田製作所は2026年2月28日にIT環境への不正アクセスの可能性を認識し、3月1日から本格調査を始めた。調査で不正アクセスが行われ、データが不正に取得されたことが判明し、3月6日に第1報を公表した。第2報（4月6日）で、対象のシステムは主に社内の情報共有に使われるもので、同社が使う複数のシステムの1つだと説明した。顧客・取引先に関する情報と従業員の個人情報が不正に取得されたことも確認した。購買・生産・出荷を支える基幹システムに被害は見つからず、メールシステムにも被害は確認されなかった。システムは正常に稼働し、生産・販売活動に支障は生じていないと報告している。
件数と情報の内訳：上限と確定の区別 事実
第3報（4月27日）で、従業員およびその関係者（家族・元従業員を含む）に関するデータが約7.3万件、顧客・仕入先など社外関係者に関するデータが約1.5万件と公表された。合計は約8.8万件で、取得された、またはそのおそれがあるとされている。同一個人が複数回数えられている可能性があり、表の全項目が各個人について取得されたわけではない。従業員側には氏名、生年月日、住所、銀行口座情報、健康状態などが含まれ得る。社外関係者側は氏名、メールアドレス、電話番号などの連絡先と取引関連情報である。一部取引先の請求書、契約書、販売データなど個人情報以外の情報も取得されたおそれがあるとされた。インターネット上での公開や二次被害は、第3報の時点では確認されていない。
グループ会社への波及と米国側の届出（報道） 事実
村田土地建物（ムラタメイク）は2026年7月10日、村田製作所IT環境への不正アクセスにより、自動車保険契約者の個人情報の一部が漏えいしたと公表した。対象は2015年3月末、2020年1月末、2021年7月末の3時点の契約に関する氏名、証券番号、車両番号、契約保険会社、保険始期日・満期日である。連絡先、口座情報、クレジットカード情報、直近の契約情報は対象外とされた。報道によれば、米国法人が2026年4月30日付でニューハンプシャー州司法長官へ届出を提出し、不正アクセスは2025年3月から2026年2月28日まで約12カ月続いたと記載されているという。届出では、従業員が保存していた個人ファイルが対象で、社会保障番号やパスポート情報なども含まれるとされる。この内容は報道ベースで、日本国内の公表には記載がない。
読み取れる構造と留意点 解釈
公表された事実からは、基幹システムとは別の、社内共有の領域に個人情報や取引関連の資料が蓄積されていた構図がうかがえる。報道の侵入期間が正確なら、検知までに長い期間があった可能性がある。ただし侵入口、攻撃者、悪用された脆弱性は公表されておらず、期間の長さが検知上の課題を意味するかは断定できない。関連記事の見出しには海外子会社経由との表現があるが、本文を確認できていないため根拠にしない。業務への支障がなかった点は、基幹系と情報共有系が分離されていたことと整合する。一方で、情報共有系に機微な情報が保存され得る点が、影響の広がりに関わった可能性がある。以上は公表資料からの解釈であり、確定した原因ではない。
対応
- 封じ込め
- 認識後直ちに危機対策本部を設置し、外部のサイバーセキュリティ専門機関と連携して影響範囲の調査と被害拡大防止を実施。不正アクセス経路の遮断、外部アクセス制限の強化、セキュリティ設定の見直しを即時対応として行った。再発防止策として、不審な接続元からのアクセス遮断と監視強化、社内ネットワークと主要クラウド環境へのアクセス制限強化（段階的実施）、認証方式・権限管理の強化、監視範囲と検知ルールの拡大、セキュリティ運用プロセスの強化を実施。今後は外部での社内情報流通の監視強化と、定期的な外部セキュリティ監査・第三者評価の拡充を行う。
- 公表の仕方
- 2026年3月6日に第1報、4月6日に第2報、4月27日に第3報を公表。影響を受けた顧客・取引先には個別に順次通知するとした。件数は同一個人の重複計上の可能性があること、取得された項目は個人ごとに異なることを明記。一部取引先の非個人情報の詳細は二次被害防止のため開示しない方針。なりすまし、フィッシングメール、SMSを用いた標的型攻撃への注意を示した。グループ会社のムラタメイクは2026年7月10日に自社顧客への影響を公表し、心当たりのない連絡があれば相談するよう案内した。
- 当局対応
- 関係当局と連携し、その指導の下で対応中（第3報）
- 米国：ニューハンプシャー州司法長官へ2026年4月30日付で届出（Murata Electronics North America, Inc.、報道）。カリフォルニア州・アイオワ州・メイン州・マサチューセッツ州・モンタナ州・ネブラスカ州にも提出（報道）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 基幹系を分離していても、社内共有の領域に機微情報が集まると被害が大きくなり得る | ファイルサーバやクラウドストレージ内の個人情報・機微情報をDLP製品やスキャナで定期的に棚卸しし、保存場所と保存期間のルールを定める。口座情報や健康情報は専用の暗号化領域に移す。 |
| 侵入が長期間続いた可能性（報道）があり、検知の遅れは被害範囲を広げ得る | 共有領域の大量読み出しや不審な接続元からのアクセスを検知するルールをSIEMに追加する。ログは少なくとも12カ月以上保管し、過去にさかのぼって調査できるようにする。 |
| グループ会社や海外拠点のデータも同じ環境にあると、被害が波及する | グループ会社・海外拠点ごとにテナントとアクセス権を分離し、親会社のIT環境にある子会社データの一覧を管理する。インシデント時に影響を受ける子会社を早期に特定できるようにしておく。 |
| 従業員が個人ファイルを業務アカウントに保存する運用がリスクになる（米国届出の報道） | 業務ストレージへの個人書類の保存を禁止する方針を明文化し、パスポートや口座番号などのパターンを検出して警告する仕組みを入れる。 |
| 段階的な公表では、件数の上限と重複の可能性を明記し、続報で更新することが重要 | 公表テンプレートに「上限件数・確定件数・重複の可能性・項目別の対象範囲」の欄を設け、続報のたびに更新する。子会社分の影響は親会社の公表から参照できるようにする。 |
自組織などでの確認項目
- 自組織の社内共有ストレージ（ファイルサーバ、クラウド）に、口座情報や健康情報などの機微情報がどこにどれだけ保存されているか、把握できていますか。
- 共有領域からの大量ダウンロードや不審な接続元からのアクセスを、現在のログと検知ルールで見つけられますか。ログはどれだけ過去にさかのぼれますか。
- グループ会社や海外拠点のデータが親会社のIT環境に置かれている場合、侵害時にどの会社の誰のデータが影響を受けるかを、すぐに一覧化できますか。
- 個人情報の件数を公表する際、上限件数・確定件数・重複の有無を区別して示す手順が自組織にありますか。
未解明点
- 侵入口、侵入に使われた経路、悪用された脆弱性や製品は公表されていない。
- 攻撃者の特定や犯行声明の有無は公表されていない。
- 不正アクセスの期間（報道では2025年3月から2026年2月28日）は、日本国内の公表では確認されていない。
- ムラタメイクの漏えい対象となった件数は公表されていない。
- 情報が実際に悪用されたかどうかの最新の状況は、公表資料では確認できていない。
出典
- 1Murata Manufacturing Co., Ltd.2026-04-06公式本文確認済
- 2Murata Manufacturing Co., Ltd.2026-04-27公式本文確認済
- 3INTERNET Watch2026-04-28報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-17報道本文確認済
- 5ScanNetSecurity2026-03-19報道本文確認済
- 6ScanNetSecurity2026-04-23報道本文確認済
- 7ScanNetSecurity2026-04-30報道本文確認済
- 8ScanNetSecurity2026-07-15報道本文確認済
- 9エキサイトニュース（ScanNetSecurity配信）2026-07-15報道本文確認済
- 10LOGISTICS TODAY2026-03-09報道本文確認済
- 11LOGISTICS TODAY2026-04-07報道本文確認済
- 12村田土地建物株式会社（ムラタメイク）2026-07-10公式本文確認済