扶桑電通のクラウドストレージ共有フォルダへの不正アクセス（認証情報の不正利用・個人情報最大26,489件）
公表日
扶桑電通が、取引先のお客様や担当者の氏名・住所・電話番号を含むクラウド上の共有フォルダに第三者が不正にアクセスしたと発表した。漏えいの可能性がある個人情報は最大26,489件で、持ち出しが確認された件数は公表されていない。
対象者は？
扶桑電通の取引先のお客様および担当者の、氏名・住所・電話番号(最大26,489件)。銀行口座番号やクレジットカード情報などの決済関連情報は含まれていないと発表されている。
対象となる方には扶桑電通から個別に連絡が行われている。連絡が届いていない場合は、扶桑電通の公式お知らせ(第2報)で内容を確認できる。
いますぐできること
- 扶桑電通から連絡が届いた場合は、内容をよく読んで案内に従う。
- 心当たりのない電話や郵便、メールが来たときは、すぐに応じず、相手を確かめる。
- 別のサービスと同じパスワードを使っている場合は変更し、使えるサービスでは多要素認証を設定する。
何が起きたのか
2026年7月15日、扶桑電通は、社外の関係者と情報をやり取りするために使っていたクラウドストレージの共有フォルダの一部に、第三者が不正にアクセスしたことを確認した。同社はすぐにフォルダのアクセス権を止めて調査を始め、7月22日に第1報を公表し、個人情報保護委員会にも報告した。9月10日の第2報で、取引先のお客様や担当者の氏名・住所・電話番号26,489件に漏えいの可能性があると発表した。取引先のロジネットジャパンも、8月6日に関連する発表をしている。
なぜ起きたのか・なぜ広がったのか
外部の専門会社の調査で、第三者が認証情報(IDやパスワードなど)を不正に使ったことが原因と確認された。ただし、その認証情報がどのように第三者へ渡ったのかは分かっていない。共有フォルダに個人情報のファイルが保存されていたことが、影響の範囲につながった。
いまの状況2026-09-10 時点続報待ち
2026年9月10日時点で、調査は完了し、新たな事実は確認されていないと発表されている。個人情報の不正利用などの二次被害も確認されていない。再発防止策として、外部利用者へのMFA(多要素認証)の義務化、パスワードルールの強化、共有フォルダの管理見直し、年2回のアカウント棚卸し、定期的なセキュリティ教育を実施するとしている。補償についてはまだ発表されていません。
企業として考えたいこと
自社が取引先や委託先と使っている共有フォルダに、顧客の個人情報が残っていないか、そして外部の利用者にも多要素認証をかけているかを、確認できていますか。
技術的な要約
扶桑電通は2026年7月15日、社外関係者との情報共有に使っていたクラウドストレージの共有フォルダの一部への第三者による不正アクセスを確認し、7月22日に第1報を公表した。9月10日の第2報では、外部のセキュリティ専門会社の調査により、第三者による認証情報の不正利用が原因だったと確認したと説明している。ただし、その認証情報がどのような経路で第三者へ渡ったかは特定できていない。漏えいの可能性がある個人情報は、取引先の顧客および担当者の氏名・住所・電話番号で26,489件である。銀行口座番号やクレジットカード情報などの決済関連情報は含まれず、9月10日時点で二次被害は確認されていない。調査は完了したとされ、MFAの義務化などの再発防止策を実施するとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認第2報で「第三者による認証情報の不正利用により発生した」と確認。認証情報がどのような経路で第三者へ渡ったかは特定に至っていない。認証情報の不正利用以外に関連する不審な活動は確認されていない。
- 脆弱性
- CVE 非公表不明クラウドストレージサービス（名称未公表）脆弱性の悪用は公表されていない。原因は認証情報の不正利用とされる。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 対象の共有フォルダのアクセス権を停止し、共有を停止した。中核業務の停止は公表されていない。
- データ
- おそれ上限 26,489確定 —件氏名住所電話取引先情報取引先のお客様および担当者の氏名、住所、電話番号で、漏えいの可能性があるもの。決済関連情報（銀行口座番号、クレジットカード情報等）は含まれない。2万6,489件すべてについて外部への持ち出しを確認したとはしていない。第1報時点では項目・件数は未公表だった。
- 波及先
- —
- 株式会社ロジネットジャパン（「北海道大雪山ゆきのみず」の販売管理システム関連業務の委託元。2026-08-06に同社委託先のクラウドストレージへの不正アクセスとして発表）
- 金銭影響
- —
- サプライチェーン
- ロジネットジャパンは扶桑電通に販売管理システム関連業務を委託しており、扶桑電通のクラウドストレージの共有フォルダで不正アクセスが確認された。システム作業用に使用していた顧客及び取引先情報への不正アクセスが確認されたと、ロジネットジャパンが発表している。
時系列
- 2026-07-15
- 2026-07-15
- 2026-07-22
- 2026-07-22
- 2026-07-23セキュリティ対策Labが第1報を報道した。1
- 2026-08-06ロジネットジャパンが、同社委託先が利用するクラウドストレージへの不正アクセスとして発表した。委託先は扶桑電通で、顧客及び取引先情報への不正アクセスの事実が確認されたとしている。4
- 2026-08-12ScanNetSecurityが第1報の内容を報道した。3
- 2026-09-10
- 2026-09-10
- 2026-09-10
- 2026-09-15セキュリティ対策Labが第2報を報道した。2
- 2026-09-29ScanNetSecurityが第2報を報道した。5
技術解説
確認から原因公表までの経緯 事実
扶桑電通は2026年7月15日、社外関係者との情報共有に利用していたクラウドストレージサービスの共有フォルダの一部への第三者による不正アクセスを確認した。発覚後は対象フォルダのアクセス権を停止し、関係システムの調査を開始した。7月22日に第1報を公表し、個人情報保護委員会へも漏えいの可能性がある事案として報告している。第1報の時点では、項目・件数・侵入経路は公表されていなかった。9月10日の第2報では、外部のセキュリティ専門会社と調査した結果、本件は第三者による認証情報の不正利用により発生したと確認したとしている。一方、認証情報が不正利用された具体的な経路は特定に至っていない。認証情報の不正利用以外の不審な活動は確認されなかった。
漏えいの可能性がある情報の範囲 事実
第2報では、漏えいの可能性がある個人情報は、お取引先のお客様およびご担当者様の氏名・住所・電話番号で26,489件と公表された。不正アクセスを受けた共有フォルダ内には、個人情報を含むファイルが保存されていたことが確認されている。銀行口座番号やクレジットカード情報等の決済関連情報は含まれていない。この件数はあくまで「漏えいの可能性がある」ものであり、報道では、2万6,489件すべてについて外部への持ち出しを確認したとはしていないと指摘されている。対象のお客様には個別に連絡しており、9月10日時点で個人情報の不正利用等の二次被害は確認されていない。調査は完了し、新たな事実は確認されていないとしている。
委託元企業への波及 事実
株式会社ロジネットジャパンは8月6日、同社委託先が利用するクラウドストレージへの不正アクセスについて発表した。同社はミネラルウォーター「北海道大雪山ゆきのみず」を製造・販売しており、その販売管理システム関連業務を扶桑電通に委託している。報道によれば、7月15日に扶桑電通が利用するクラウドストレージの共有フォルダで第三者からの不正アクセスが確認され、扶桑電通による調査の結果、システム作業用に使用していた顧客及び取引先情報への不正アクセスの事実が確認されたとしている。ロジネットジャパンの発表は、扶桑電通の第1報(7月22日)より後の8月6日である。扶桑電通が受託業務で扱う情報が、委託元の公表にもつながった事例である。
外部共有フォルダの認証と保管データ(解釈) 解釈
以下は公表内容からの解釈である。原因が認証情報の不正利用とされ、再発防止策に外部利用者へのMFA義務化が含まれることから、外部関係者が使うアカウントの認証強度が主な論点だったと考えられる。ただし、認証情報の入手経路は特定されておらず、どのアカウントが使われたか、MFAが未適用だったかは公表されていない。そのため、フィッシングや使い回しなど特定の原因を断定することはできない。また、共有フォルダに取引先の個人情報を含むファイルが保存されていた点は、共有範囲と保管データの最小化を点検する観点として参考になる。年2回のアカウント棚卸しなど運用面の対策も示されている。
対応
- 封じ込め
- 対象共有フォルダへのアクセス権を停止し、関係システムの調査を開始した。共有の停止、関係アカウントの削除、アクセスログの調査、対象顧客への個別連絡を進めた。緊急対策本部を設置し、外部セキュリティ専門会社と原因や影響範囲を調査した。再発防止策として、外部利用者へのMFA義務化、パスワードの複雑性要件の見直しと定期変更ルールの適用、共有フォルダの利用実態・アクセス権管理・定期点検ルールの見直し、年2回のアカウント棚卸し、定期的な情報セキュリティ教育を実施するとしている。
- 公表の仕方
- 2026-07-22に第1報、2026-09-10に第2報を公式サイトのお知らせとして公表した。第1報では項目・件数・侵入経路は未公表で、第2報で原因、件数、対象項目を公表した。第2報時点で調査は完了し、新たな事実は確認されていないとしている。
- 当局対応
- 個人情報保護委員会（第1報の段階で、漏えいの可能性がある事案として報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部関係者が使う共有ストレージは、パスワードのみだと認証情報が渡った時点で侵入を許す。 | 外部ユーザーを含む全アカウントにMFAを強制し、条件付きアクセスで未登録デバイスや想定外の国・IPからのログインを拒否する。MFA未設定アカウントは一覧化して定期的に検出する。 |
| 認証情報の入手経路が特定できない場合でも、不審なログインを早期に検知できる体制が要る。 | クラウドストレージの監査ログを長期保存してSIEMへ転送し、新規IP・大量ダウンロード・通常と異なる時間帯のアクセスにアラートを設定する。 |
| 共有フォルダに個人情報が保存されていた。作業用の共有領域に必要以上のデータを置かない運用が被害範囲を左右する。 | 共有フォルダごとにデータ分類とオーナーを定め、個人情報は暗号化・マスキングし、作業完了後に自動削除する保持期限を設定する。DLPで個人情報パターンの保存を検知する。 |
| 不要・失効すべきアカウントが残っていると攻撃の足がかりになる。 | 外部利用者アカウントに有効期限を設定し、四半期ごとなど定期的に棚卸しする。退職・契約終了時に連動して無効化するワークフローをIDaaSで自動化する。 |
| 委託先の事案は委託元の公表にも波及する。委託元・委託先間の連絡と情報の取り扱いを事前に決めておく必要がある。 | 委託契約に、インシデント通知の期限、連絡窓口、取り扱うデータ項目、再委託先の一覧を明記する。委託先とは年次でセキュリティ要件の遵守状況を確認する。 |
自組織などでの確認項目
- 自組織で社外関係者と使っているクラウドストレージやファイル共有で、外部ユーザーのアカウントにMFAは強制されていますか。例外はありませんか。
- 共有フォルダに保存されている個人情報(氏名・住所・電話番号など)の有無と件数を、直近で把握していますか。作業終了後の削除ルールはありますか。
- 外部共有アカウントの棚卸しを最後に行ったのはいつですか。契約終了後も残っているアカウントはありませんか。
- 委託元や委託先で不正アクセスが起きた場合の連絡先と通知期限は、契約書や手順書で決まっていますか。
未解明点
- 認証情報がどのような経路で第三者へ渡ったのか(特定できなかったとされる)。
- 不正アクセスがいつから、どの期間可能だったのか、実際にファイルがダウンロードされたのか。
- 利用していたクラウドストレージサービスの名称と、不正利用されたアカウントの種別(社内・外部利用者)、当時MFAが適用されていたか。
- 26,489件のうち、ロジネットジャパンなど委託元ごとの内訳と、実際に外部へ持ち出された件数。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-23報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-15報道本文確認済
- 3ScanNetSecurity2026-08-12報道本文確認済
- 4ScanNetSecurity2026-08-28報道本文確認済
- 5ScanNetSecurity2026-09-29報道本文確認済
- 6扶桑電通株式会社公式本文確認済
- 7扶桑電通株式会社公式本文確認済
- 8扶桑電通株式会社2026-09-10公式本文確認済