NECの委託先経由の不正アクセスによる顧客システム障害と情報漏えい
公表日
NECがシステム開発・保守を委託する企業がサイバー攻撃を受け、盗まれた正規アカウントにより顧客3社のシステムでファイルが暗号化され、個人情報等を含むファイルが漏えいしました。
対象者は？
NECがシステム開発や保守を受託している顧客企業（報道によると3社に影響があり、うち2社で個人情報の漏えいが確認されています）。漏えいした個人情報の具体的な対象者や件数、顧客の社名は公表されていません。
NECは影響のあった顧客に対して個別に連絡を行っていると発表しています。一般個人向けの確認窓口や照会ツールは公表されていません。
何が起きたのか
2026年9月下旬、NECがシステム開発や保守を委託している企業がサイバー攻撃を受けました。攻撃者はその委託先から盗み取った正規のログイン情報（IDやパスワードなど）を使い、委託先にあるパソコンから顧客のシステム環境に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を行いました。これにより、顧客のサーバ内にあるファイルが暗号化されてシステムが使えなくなる障害が発生しました。さらに、NECや顧客、委託先の間で情報共有に使っていたクラウドストレージからも、顧客が保有する個人情報やシステム関連情報が含まれたファイルが流出しました。
なぜ起きたのか・なぜ広がったのか
委託先のパソコンがサイバー攻撃を受け、正当な保守用アカウントの情報が盗まれたためです。攻撃者はその正規アカウントと委託先の端末をそのまま使って侵入したため、正当な保守作業に見せかけて顧客システムや共有ストレージにアクセスすることができました。
いまの状況2026-10-21 時点続報待ち
NECは影響を受けた複数の顧客へ個別に連絡を行い、調査と対応を進めています。また、再発防止策として委託先に対してNECが管理するパソコンを貸し出すなどの対策を実施しています。なお、被害を受けた顧客名や漏えい件数の総数、システムの詳しい復旧状況などはまだ発表されていません。
企業として考えたいこと
自社や顧客のシステム保守を外部に委託している場合、委託先のパソコンが攻撃された際にも侵入を防げるよう、発注元が管理する専用端末の貸与や多要素認証の導入を行っていますか？
技術的な要約
日本電気株式会社（NEC）は2026年10月20日、システム開発・保守業務を委託している企業がサイバー攻撃を受け、顧客システムへの不正アクセスによるシステム障害と情報漏えいが発生したと発表した。攻撃者は委託先から窃取した正規アカウントの認証情報を悪用し、委託先の端末から顧客のシステム環境へ侵入してサーバ内のファイルを暗号化し、システムを利用不能にした。あわせて、関係者間の情報共有に利用していたクラウドストレージから、顧客が保有する個人情報やシステム関連情報を含むファイルが漏えいした。報道によると影響を受けた顧客は3社に上り、そのうち2社で個人情報の漏えいが確認されている。NECは影響顧客への個別連絡を行うとともに、委託先へのNEC管理端末の貸与など対策を進め、全容解明と管理強化を図るとしている。
攻撃の分類
- 侵入口
- 委託先経由公表で確認システム開発・保守業務の委託先企業がサイバー攻撃を受けて正規アカウントの認証情報が窃取され、攻撃者がその認証情報を用いて委託先の端末から保守用等のアクセス手段を悪用し顧客システム環境へ侵入した。
- 脆弱性
- CVE 非公表不明委託先がサイバー攻撃を受けた具体的な脆弱性や認証情報が盗まれた詳細な手段については公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 顧客システムのサーバ内ファイルが暗号化されたことにより、顧客側で各種システムが利用できない状態となった。
- データ
- 確定上限 —確定 —件業務データその他漏えいしたファイルには顧客の保有する個人情報やシステム関連情報などが含まれていた。漏えい件数の総数は公表されていない。
- 波及先
- 3 社
- NECがシステム開発・保守を受託している顧客企業（報道ベースで3社に影響、うち2社で個人情報漏えい確認）
- 金銭影響
- —
- サプライチェーン
- NECがシステム開発・保守を委託していた企業がサイバー攻撃を受け、委託先端末から窃取された認証情報が悪用されたことで、NECが関係する顧客環境や情報共有用クラウドストレージに被害が波及した。
時系列
技術解説
委託先侵害から顧客システムへの侵入とファイル暗号化の経緯 事実
NECの発表によると、2026年9月下旬に同社がシステム開発・保守業務を委託している企業がサイバー攻撃を受けました。攻撃者は委託先から窃取した正規アカウントの認証情報を悪用し、委託先の端末から保守などに用いる正規のアクセス手段を通じて顧客のシステム環境へ不正アクセスを行いました。この不正アクセスによって顧客サーバ内のファイルが暗号化され、顧客側で各種システムが利用不能となるシステム障害が発生しました。さらに、NECが作成し顧客や委託先との情報共有に利用していたクラウドストレージからもファイルが漏えいし、その中には顧客が保有する個人情報やシステム関連情報が含まれていました。NECは影響を受けた複数の顧客へ個別に連絡を実施したとしており、報道によると影響顧客は3社で、そのうち2社において個人情報の漏えいが確認されています。
正規認証情報と委託先端末の悪用による境界防御の迂回 解釈
本件の特徴は、攻撃者が委託先企業の端末そのものと窃取した正規の認証情報を組み合わせて侵入している点にあります。システム開発や保守の現場では、委託先に対して運用保守用のリモートアクセス経路や高権限アカウントが付与されることが一般的です。攻撃者が委託先内部で認証情報を掌握し、かつ委託先の正規端末からアクセスを行った場合、送信元IPアドレスやクライアント証明書、アカウント種別などの一般的な境界防御やアクセス制御ルールをすり抜けてしまうリスクがあります。正規の保守作業との区別が困難なトラフィックとして扱われるため、侵入や横展開の検知が遅れ、最終的なサーバ内ファイルの暗号化や共有ストレージからのデータ持ち出しに至るまでの活動を許してしまった構造がうかがえます。
情報共有ストレージの集約管理と管理端末貸与による対策の方向性 解釈
事後対応としてNECは委託先に対し自社管理端末の貸与を進めていますが、これは委託先任せの端末環境を是正し、構成や監視を発注元の統制下に置く有効な封じ込め策といえます。一方で、本件ではシステム障害だけでなく関係者間のクラウドストレージからも情報が漏えいしました。開発・保守の円滑化を目的に設置された共有ストレージに顧客の個人情報やシステム構成情報が集約されていた場合、一度アカウントが侵害されると障害影響とは別に広範な機微情報が漏えいする二重のリスクを招きます。端末の直接管理に加えて、保守専用経路での多要素認証の強制や、共有ストレージにおける機密データの保管制限・アクセス権分離といった、情報資産管理とアクセス経路の多層的な見直しが重要となります。
対応
- 封じ込め
- 事案の発覚後、NECは委託先に対してNECが管理する端末を貸与するなどの必要な対策を進めている。
- 公表の仕方
- 2026年10月20日、公式ウェブサイトに「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」を掲載して公表。影響のあった複数の顧客には既に個別に連絡を実施した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先保守環境に対する発注元管理端末の配備と接続元制限 | 委託先の保守・開発作業には発注元が構成やセキュリティエージェント（EDR等）を管理する専用端末を貸与・指定し、接続元を当該端末および指定ネットワークのみに制限する。 |
| 保守・管理アクセスにおけるフィッシング耐性のある多要素認証の徹底 | 保守アクセスやクラウド管理画面へのログインには、FIDO2/WebAuthnなどフィッシング耐性を持つ多要素認証（MFA）を必須化し、セッション乗っ取りや認証情報再利用を遮断する。 |
| 共同作業用クラウドストレージにおける機微データの最小化とアクセス制御 | 情報共有ストレージへの個人情報や重要システム情報の平文保管を禁止し、必要最小限の期間・アクセス権に限定するとともに、ファイル暗号化やダウンロード制限を適用する。 |
| 保守経路における特権アクセスの振る舞い監視と暗号化兆候の検知 | 保守経路を通じた大量のファイル変更、暗号化処理、異常な時間帯のデータ転送をリアルタイムに検知する振る舞い監視ツールを導入し、異常発生時に自動で接続を遮断する仕組みを整える。 |
自組織などでの確認項目
- 外部委託先が自社または顧客の保守・開発環境へアクセスする際、接続端末のセキュリティ状態や管理者権限を発注元側で直接統制・監査できる仕組み（専用端末の貸与やMDM管理等）が整備されているか？
- 委託先作業者が利用するすべてのアカウントおよびアクセス経路において、多要素認証（MFA）が強制され、認証情報のみでの侵入を防ぐ設計になっているか？
- 委託先や関係者と共有しているクラウドストレージ上に、顧客の個人情報やシステム内部の機密情報が長期保存・放置されていないか定期的に点検されているか？
未解明点
- 委託先企業が最初にサイバー攻撃を受けた侵入口や悪用された脆弱性の具体的内容
- 顧客システムでサーバ内のファイルを暗号化した具体的なマルウェア（ランサムウェア）の種類や身代金要求の有無
- クラウドストレージから漏えいした顧客の個人情報およびシステム関連情報の正確な件数や対象者規模
出典
- 1株式会社アクト2026-10-21研究者本文確認済
- 2Into the Program2026-10-20報道本文確認済
- 3日本電気株式会社2026-10-20公式本文確認済
- 4アスキー2026-10-20報道本文確認済
- 5ぴろりんテック2026-10-20報道本文確認済
- 6セキュリティ対策Lab2026-10-20報道本文確認済
- 7ScanNetSecurity2026-10-20報道本文確認済
- 8ITmedia NEWS2026-10-20報道本文確認済
- 9日経クロステック（xTECH）2026-10-21報道本文確認済