Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-nihon-telenet通信最終確認 2026-10-13 10:00

日本テレネットへのランサムウェア攻撃（コールセンター・FAX配信の受託業務データなど約104万件の漏えいのおそれ、委託元・再委託元6社以上に波及）

公表日

日本テレネット株式会社
最終報ランサムウェア不正アクセスサプライチェーンサプライチェーン：起点

コールセンターやFAX一斉送信の仕事を請け負う日本テレネットがランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の被害を受けました。仕事を頼んでいた会社のお客様の情報などを含む最大約104万件が漏えいしたおそれがあります（外部にデータが送られた跡は見つかっていません）。

対象者は？

日本テレネットに業務を頼んでいた会社のお客様や取引先、日本テレネットの取引関係者、従業員（退職者を含む）とその家族です。たとえば、ユーピーアール・MaaS Car・ニッポンレンタカーのカーシェアで2024年5月9日から2026年3月8〜9日にコールセンターへ電話した会員（氏名・電話番号・対応履歴）や、ハウスプラス住宅保証の点検サポートの対象者43,362件が公表されています。クレジットカード情報は含まれていません。

業務を頼んでいた会社が、それぞれのお客様向けに公表しています。利用しているサービスの運営会社の公式のお知らせを確認してください。

日本テレネットの調査結果と再発防止策（2026年6月12日） ↗ユーピーアールのお知らせ（カーシェア会員の方） ↗ハウスプラス住宅保証のお知らせ ↗

いますぐできること

  • カーシェアや住宅保証などの会社を名乗る電話・SMS・メールで、個人情報や支払いを求められても応じない。気になるときは公式サイトの窓口に自分から問い合わせる
  • コールセンターに相談した内容を知っているような連絡でも、すぐに信用せず、公式の窓口で確かめる。問い合わせ内容や対応履歴も対象に含まれているため

何が起きたのか

2026年3月9日、京都市の日本テレネットで社内のサーバーに障害が起き、調べたところランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。の攻撃だと分かりました。会社はすぐにネットワークを遮断し、コールセンター業務の一部が止まりました。仕事を頼んでいた会社には当初、「委託されたデータは別のサーバーで管理しており影響はない」と説明されていました。しかし4月8日以降、そのデータも攻撃されたサーバーに保存されていたと分かり、仕事を頼んでいた会社が次々に公表しました。6月12日に日本テレネットが調査結果を公表しました。

なぜ起きたのか・なぜ広がったのか

外部の攻撃者がネットワーク機器を経由して社内に入り込み、ファイルサーバーなどを暗号化しました。どの機器が、どのような方法で使われたかは公表されていません。影響が多くの会社に広がったのは、日本テレネットが多くの会社からコールセンターなどの仕事を請け負っており、それらの会社のお客様の情報も攻撃されたサーバーに保存されていたためです。仕事が何段階かに分けて任されていたため、お客様から見ると、名前を知らない会社で起きた被害になりました。

いまの状況2026-06-12 時点

6月12日の調査結果では、外部にデータが送られた跡は見つからず、情報が出回ったり不正に使われたりしたことも確認されていません。ただし、流出しなかったと言い切れないため、「漏えいのおそれ」として扱っています。会社は元のネットワークから切り離した新しいネットワークを作り、すべての業務用パソコンを初期化しました。再発防止として、多要素認証の導入や24時間365日の監視などを進めるとしています。侵入した日、使われた機器、犯人は発表されていません。

企業として考えたいこと

業務を任せている会社が、さらに別の会社に仕事を出していないでしょうか。その先で事故が起きたとき、自社のお客様のデータが含まれるかをすぐに確かめられるでしょうか。

技術的な要約

京都市の日本テレネットで2026年3月9日、社内設置サーバのシステム障害を契機にランサムウェア攻撃が判明し、同社はネットワークを遮断した。外部の攻撃者がネットワーク機器を経由して内部に侵入し、ファイルサーバ等が暗号化された（機器の種類・脆弱性は非公表）。3月17日の第1報では受託業務情報と従業員情報への『アクセスのおそれ』としたが、委託元には当初『別サーバーで管理しており影響なし』と説明しており、4月8日以降に委託データが攻撃対象サーバに保存されていたと判明して委託元・再委託元が相次いで公表した。6月12日の調査結果では外部へのデータ転送痕跡は検出されなかったとしつつ、L-net受託60.2万件・BPO受託40.4万件・取引先3.3万件・従業員等2,044件（合計約104.1万件、報道では約106.6万件）を『漏えいのおそれ』として扱っている。ユーピーアール、MaaS Car、ニッポンレンタカー、ハウスプラス住宅保証、九電不動産、RTCテックソリューションズが委託元・再委託元として個別に公表した。

公開情報が限られている点について
被害組織の公式発表は第1報（3/17）と調査結果（6/12）の2本のみで、侵入日・侵入に使われたネットワーク機器の製品名/CVE・攻撃グループ・犯行声明・財務影響はいずれも非公表（研究者・報道による特定も確認できず）。このため dates.intrusion は null、threat_actor は全項目 null、mitre_attack は公表事実（ネットワーク機器経由の侵入と暗号化）から対応づけられる2件にとどめた。piyolog等の研究者による整理記事は確認できず、公式以外の出典は報道と委託元各社の公表で補った。件数は公式内訳の合計（約104.1万件）を採用し、報道の『約106.6万件』は再現できないため採用していない。
侵入
—
被害発生
2026-03-09
検知
2026-03-09
第1報公表
2026-03-17
最新続報
2026-06-12
侵入 → 検知
—
侵入日が非公表
検知 → 公表
8日
データ（上限）
104.1万件
確定 —
波及先
6
社（委託元・再委託元として公表を確認できた企業）

攻撃の分類

侵入口
VPN/境界機器公表で確認
公式（6/12調査結果）は『外部の攻撃者がネットワーク機器を経由してネットワーク内部へ侵入し』と記載。機器の種類（VPN装置・ファイアウォール・ルータ等）、製品名、脆弱性悪用か認証情報悪用かは非公表。再発防止策に『社員アカウント管理・ログイン認証の統一』『MFA導入』『IT資産管理・脆弱性管理体制の強化』『ファイアウォール設定の見直しとネットワーク分離』が並ぶことから、境界機器の脆弱性または多要素認証のないリモートアクセスのいずれか（あるいは両方）が想定されるが、これは推測であり公表事実ではない。
脆弱性
CVE 非公表公表で確認
非公表のネットワーク機器（侵入経路として公式が言及）
6/12調査結果は『ネットワーク機器を経由して』侵入としたのみで、製品名・バージョン・CVE・脆弱性悪用の有無はいずれも非公表。2026-10-10時点で報道・研究者による特定も確認できなかった。
攻撃者
特定・主張なし
ATT&CK
T1133 External Remote ServicesT1486 Data Encrypted for Impact

影響

業務停止
あり 3/9のネットワーク遮断により、CSSサービスのお客様相談窓口業務の一部が停止（3/10再開、L-net等のCSSサービス自体は影響なしと公表）、BPOサービスで受託するコンタクトセンター業務の一部が3/9から停止し、クリーンネットワークへの移行で復旧を進めた。復旧策として既存ネットワークから独立した新規クリーンネットワークを構築し、全業務用PCを初期化（再キッティング）、安全性を確認した端末のみ使用する運用へ切り替え、データ移行時の検疫運用を整備。
期間：CSS相談窓口は約1日（3/9停止→3/10再開）。BPOコンタクトセンター業務の一部は3/9から停止し、復旧完了日は非公表
データ
おそれ上限 1,041,044確定 —件
氏名住所電話メール取引先情報従業員情報業務データその他（FAX番号、問い合わせ内容・コールセンター対応履歴、従業員の家族情報）
6/12調査結果の内訳：CSSサービス（L-net）受託業務 60.2万件（会社名・氏名・FAX番号等）、BPOサービス受託業務 40.4万件（氏名・住所・電話番号・メールアドレス・問い合わせ内容等）、営業活動・取引関係者 3.3万件（氏名・会社名・所属部署・役職・電話・メール等）、従業員（退職者含む）とその家族 2,044件（氏名・住所・電話・家族情報等）。公式には合計の記載がなく、records_max は4区分の単純合計（602,000+404,000+33,000+2,044=1,041,044、うち3区分は万件単位の丸め値）。報道（セキュリティ対策Lab、note等）は『約106.6万件』とするが、公式の内訳からは再現できない。クレジットカード情報は含まないと公表。外部へのデータ転送の痕跡は検出されず、情報流通・不正利用も確認されていないが、流出しなかったことの確定ではないため records_confirmed は null。委託元別の公表件数：ハウスプラス住宅保証 43,362件（発注者・住宅事業者の氏名・電話・住所・会社名・メール等）。ユーピーアール／MaaS Car／ニッポンレンタカーはカーシェア会員の氏名・電話番号・対応履歴（2024-05-09〜2026-03-08/09の入電者）で件数非公表。RTCテックソリューションズは7年前の会社名・代表者名・FAX番号。
波及先
6 社（委託元・再委託元として公表を確認できた企業）
  • ユーピーアール（カーシェアリングのコールセンター業務を委託、4/13公表）
  • モビリティプラットフォーム（MaaS Car、ユーピーアール経由の再委託、4/14公表）
  • ニッポンレンタカーサービス（カーシェア会員、ユーピーアール経由の再委託、4/17公表）
  • ハウスプラス住宅保証（点検サポートのコールセンター業務、43,362件、4/10公表）
  • 九電不動産（ハウスプラス住宅保証経由の再委託、4/17公表）
  • RTCテックソリューションズ（販促業務、会社名・代表者名・FAX番号、7/6公表）
金銭影響
—
サプライチェーン
コールセンター・FAX同報を受託するBPO事業者が侵害され、委託元の顧客データが漏えいのおそれの対象になった。委託構造は多段で、MaaS Car・ニッポンレンタカー→ユーピーアール→日本テレネット、九電不動産→ハウスプラス住宅保証→日本テレネットのように、エンド企業から見て再委託先での被害となった。日本テレネットは当初委託元に『攻撃を受けたサーバーと委託業務データは別サーバーで管理しており影響なし』と説明（3/17〜3/19）していたが、詳細調査で攻撃対象サーバに架電用の元データ等が保存されていたことが判明し、4/8以降に訂正報告を行った。

時系列

  1. 2026-03-09
    社内設置サーバでシステム障害が発生。調査でランサムウェア型攻撃と判明し、ネットワークを遮断。CSSの相談窓口業務の一部、BPOのコンタクトセンター業務の一部が停止19
  2. 2026-03-10
    CSSサービスのお客様相談窓口業務を再開1
  3. 2026-03-17
    第1報『サイバー攻撃によるシステム障害発生について』を公表。受託業務の一部情報と従業員等の個人情報に『アクセスされたおそれ』、社外流出は未確認。個人情報保護委員会・京都府警察へ報告済みと説明。同日、ユーピーアールへは『別サーバーで管理しており漏えいのおそれなし』と報告13
  4. 2026-03-19
    MaaS Car運営のモビリティプラットフォームが、ユーピーアールから『当社データは別サーバーで管理され漏えいはない』との報告を受領4
  5. 2026-04-08
    日本テレネットがユーピーアールとハウスプラス住宅保証に、委託業務データが攻撃対象サーバに保存されており漏えいのおそれがあると訂正報告36
  6. 2026-04-10
    ハウスプラス住宅保証が委託先での不正アクセスを公表（43,362件、点検サポートの架電用元データ）6
  7. 2026-04-13
    ユーピーアールがカーシェア会員情報の漏えいのおそれを公表。同日、MaaS Car・ニッポンレンタカーにユーピーアールから訂正報告34510
  8. 2026-04-14
    モビリティプラットフォームがMaaS Car会員情報の漏えい可能性を公表。九電不動産が再委託先経由の漏えい可能性を把握4711
  9. 2026-04-16
    九電不動産が個人情報保護委員会へ報告7
  10. 2026-04-17
    ニッポンレンタカーサービスと九電不動産がそれぞれ委託先経由の漏えい可能性を公表5715
  11. 2026-06-12
    調査結果および再発防止策を公表。侵入経路は『ネットワーク機器経由』、ファイルサーバ等が暗号化、外部転送痕跡なし。漏えいのおそれ4区分（60.2万/40.4万/3.3万/2,044件）と7項目の再発防止策を公表21213
  12. 2026-07-06
    RTCテックソリューションズが販促業務委託先としての漏えいのおそれを公表（会社名・代表者名・FAX番号）8
  13. 2026-10-06
    日本テレネットが『ランサムウェア被害の経験を活かした』サイバー被害対応支援サービス『Cyber Response One』の展示会出展を告知16

技術解説

攻撃の構造と公表された事実の範囲 事実

公式に確定しているのは、(1) 3/9に社内サーバの障害として表面化、(2) 外部の攻撃者が『ネットワーク機器を経由して』内部に侵入、(3) ファイルサーバ等がマルウェアで暗号化、(4) 外部へのデータ転送の痕跡は検出されず、(5) ダークウェブ調査でも関連情報の流通は確認されず、という5点である。侵入日、機器の種類と製品名、脆弱性か認証情報か、攻撃グループ名、身代金要求の有無、暗号化されたサーバ台数はいずれも公表されていない。犯行声明もリークサイト集計サイト等で確認できなかった。復旧は既存ネットワークを再利用せず『クリーンネットワーク』を新設し、全業務PCを再キッティングする方式を取っており、既存環境内の永続化（バックドア）を排除しきれないと判断した場合の典型的な再構築アプローチである。

『別サーバーなので影響なし』が覆った経緯 事実

3/17の第1報と同日、日本テレネットはユーピーアールに『当社データは別サーバーで管理しているため漏えいのおそれはない』と報告し、ユーピーアールはそれを3/19にMaaS Carへ伝えた。ハウスプラス住宅保証も『攻撃対象サーバは本業務のサービスサーバとは別環境のため対象外』と説明を受けていた。しかし4/8、詳細調査で攻撃対象サーバに架電業務の元データ等が保存されていたことが判明し、日本テレネットは訂正報告を行った。サービス提供用のシステムは分離されていても、業務担当者がリスト加工・架電準備のために共有ファイルサーバへデータを置いていた構図が読み取れる（ハウスプラスは『架電業務の元データとして使用するため保存されていたデータ』と説明）。初報から訂正まで約1か月、エンド企業の公表までは最長5週間超を要した。

多段委託で個人データの所在が見えなくなる問題 解釈

九電不動産→ハウスプラス住宅保証→日本テレネット、MaaS Car・ニッポンレンタカー→ユーピーアール→日本テレネットという再委託構造では、エンド企業は自社の顧客データが日本テレネットのどのサーバにあるかを把握できていなかったと考えられる。各社の公表は『委託先からの報告を受けた』という伝聞の連鎖で、件数も多くの社で非公表のまま残った。L-net（FAX同報）受託の60.2万件はFAX DMの送信先リストと推測され、受託者側の業務効率化のために委託元の想定外の場所へデータが複製されることは、BPO・コールセンター業界で構造的に起こりやすい。委託契約で『保存場所・複製禁止・削除期限』を定めていても、受託者内部のファイルサーバ利用まで実効的に監査する手段がない限り、同種の事後訂正は繰り返されるだろう。

『外部転送の痕跡なし』と『おそれ』の読み方 解釈

調査結果は外部転送痕跡を検出しなかったとしながら、約104万件を『漏えいのおそれ』として扱った。これは個人情報保護法上、暗号化（閲覧可能状態）と持ち出しを否定しきれない場合の保守的な扱いである。一方で侵入日や侵入から暗号化までの滞留期間、ログの保存期間・欠損の有無は公表されておらず、『痕跡がない』ことが『転送がなかった』ことを意味するかは読者が判断できない。ネットワーク機器経由の侵入では、機器側のログが外部に保存されていなければ痕跡自体が残りにくい。また犯行声明が確認されない点は、身代金交渉の有無や二重恐喝型でない可能性を含め、いずれとも断定できない。

対応

封じ込め
3/9にネットワークを速やかに遮断。外部専門家チームによるフォレンジック調査とダークウェブ調査を実施。既存ネットワークから独立したクリーンネットワークを新設し、ファイアウォール設定を見直してネットワークを分離、全業務用PCを初期化（再キッティング）し安全確認済み端末のみ使用、データ移行時の検疫運用を整備。再発防止策：(1)社員アカウント管理・ログイン認証の統一、(2)MFA導入、(3)EDR・SOCによる24時間365日監視、(4)IT資産管理・脆弱性管理の強化、(5)クリーンネットワーク・データ検疫の継続、(6)従業員教育と情報管理ルールの見直し、(7)ICT・セキュリティ統制体制の強化。
公表の仕方
3/17に第1報（ランサムウェア型攻撃、受託業務情報・従業員情報へのアクセスのおそれ）、6/12に調査結果・再発防止策（侵入経路、件数内訳、外部転送痕跡なし）の2回のみ自社サイトで公表。委託元への当初説明（別サーバーで影響なし）の訂正は日本テレネット自身のリリースでは触れられておらず、委託元・再委託元各社（ハウスプラス4/10、ユーピーアール4/13、MaaS Car4/14、ニッポンレンタカー・九電不動産4/17、RTC7/6）の公表で明らかになった。侵入日・機器名・攻撃グループは非公表。
当局対応
  • 個人情報保護委員会：日本テレネットが法令に基づき報告（3/17時点で報告済みと公表）。委託元のニッポンレンタカーサービス、九電不動産（4/16付）も報告
  • 京都府警察：日本テレネットが報告・連携

教訓と対策

教訓具体的な対策
サービス基盤は分離されていても、業務用ファイルサーバに委託元データの複製が置かれていた委託データの取り込み経路を専用の受け渡し基盤（SFTP/専用ストレージ）に限定し、ファイルサーバへのコピーをDLPで検知・ブロック。四半期ごとにファイルサーバを個人データ検出ツール（電話番号・メールアドレスの正規表現スキャン等）で走査し、委託元別のデータ所在台帳を更新する
初報段階で委託元に『別サーバーなので影響なし』と断定的に報告し、約1か月後に訂正したインシデント初期の委託元向け報告は『影響なし』ではなく『現時点で確認範囲外／調査中』と表現するルールを定め、データ所在台帳と攻撃対象サーバの棚卸し（ファイル名・ディレクトリ単位）が完了するまで影響否定をしない判断基準を手順書に明記する
ネットワーク機器経由で内部に侵入され、ファイルサーバまで到達されたVPN・ファイアウォール等の境界機器を資産台帳で管理し、KEV掲載脆弱性は公開から72時間以内に適用。リモートアクセスはMFA必須・管理画面のインターネット非公開とし、機器ログ（認証成功/失敗、設定変更）を外部SIEMへ転送して90日以上保持する
多段委託のエンド企業がデータの所在と件数を把握できず、公表が伝聞の連鎖になった委託契約に再委託先までのデータ保存場所・保存期間・削除証明の提出義務と、インシデント時の24時間以内の一次報告・件数算定方法を明記。自社顧客データを渡す際は架電に必要な最小項目（氏名・電話番号）と期間に絞り、委託完了後の削除証明を取得する
受託終了後と思われる古いデータ（7年前の販促用FAX番号リスト等）が残存していた委託元ごとに保持期限を設定し、期限到来データをファイルサーバ上で自動削除するジョブを運用。削除実施ログを委託元への年次報告に含める

自組織などでの確認項目

  1. あなたの会社がコールセンターやFAX/メール配信を外部に委託している場合、委託先（さらに再委託先）のどのサーバに自社顧客データのコピーが存在しうるか、今すぐ答えられるか。
  2. 委託先から『攻撃を受けたが当社データは別サーバーなので影響なし』と報告されたとき、その説明をどの証拠で検証し、いつ自社として公表判断をするか。
  3. 受託側の立場で、業務担当者が作業効率のために共有フォルダへ置いた顧客リストを、技術的にどう検知・制限しているか。
  4. 『外部転送の痕跡なし』と公表する場合、ログの保存期間・欠損範囲をどこまで併記すべきか。

未解明点

  • 侵入に使われたネットワーク機器の種類・製品名・脆弱性（CVE）または認証情報悪用の別
  • 侵入日と暗号化までの滞留期間、ログの保存状況
  • 攻撃グループ名と身代金要求・交渉の有無
  • 公式内訳の合計（約104.1万件）と報道の『約106.6万件』の差の理由
  • 委託元の総数と各社別件数（L-net受託60.2万件の委託元数を含む）
  • BPOコンタクトセンター業務の復旧完了日と財務影響

出典

  1. 1
    サイバー攻撃によるシステム障害発生について
    日本テレネット2026-03-17公式本文確認済
  2. 2
  3. 3
  4. 4
  5. 5
  6. 6
  7. 7
    弊社委託先における不正アクセスについて
    九電不動産2026-04-17公式本文確認済
  8. 8
  9. 9
  10. 10
  11. 11
  12. 12
  13. 13
  14. 14
  15. 15
  16. 16