エヌ・イー ケムキャットへの不正アクセス（従業員アカウント悪用・端末でのマルウェア実行、従業員等の個人情報漏えいのおそれ）
公表日
エヌ・イー ケムキャットは2026年8月20日、従業員のアカウントを第三者に不正利用され、社内システムの一部に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと公表しました。従業員や退職者などの個人情報が漏れた、またはそのおそれがありますが、人数は発表されていません。
対象者は？
従業員（退職者を含む）、派遣社員、事業所内で常時業務をする業務委託先の方、グループ会社社員などです。従業員は氏名・性別・生年月日・住所・メールアドレス・電話番号・人事情報など、派遣社員や業務委託先の方は氏名・性別・所属会社など、グループ会社社員は氏名・所属会社・役職など（一部は連絡先）が対象です。対象人数は発表されていません。公表では、クレジットカード情報や口座情報は対象として挙げられていません。
同社は対象者へ順次個別に連絡するとしています。連絡できない方には、公表をもって通知に代えるとしています。
いますぐできること
- 同社を名乗る不審な電話、メール、郵便物に注意する（同社も呼びかけています）。
- 対象に当てはまりそうな方は、同社からの個別連絡を確認し、公式のお知らせを見る。
何が起きたのか
2026年5月28日、同社は社内システムで不審な動きを見つけました。調べると、第三者が従業員のアカウントを不正に使い、一部の社内システムに入っていました。同社はパスワードを変更し、アクセスの制限を強めたうえで、外部の専門機関に調査を頼みました。7月31日に調査が終わり、個人情報を含むファイルが漏れた、またはそのおそれがあるとわかりました。同社は8月20日にこれを公表しました。
なぜ起きたのか・なぜ広がったのか
専門機関は、原因は同社の端末で不正なプログラム（マルウェアパソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。）が動いたことにあると考えられると報告しています。ただし、マルウェアがどう端末に入ったのか、種類は何か、アカウントがどのように使われるようになったのかは発表されていません。
いまの状況2026-08-20 時点続報待ち
2026年8月20日時点で、不正に使われたアカウントへの対応は完了し、新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されておらず、監視が続けられています。個人情報がインターネット上に公開された事実は確認されていないとされています。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。と警察への被害申告も行われています。同社は認証管理の強化などの再発防止策を進めるとしています。対象人数、侵入の時期、攻撃者については、まだ発表されていません。
企業として考えたいこと
もし自社の従業員のアカウントが悪用されたら、従業員だけでなく派遣社員や委託先の人の情報がどこに保存されているか、すぐに把握して通知できますか。
技術的な要約
エヌ・イー ケムキャット株式会社は2026年8月20日、従業員が使用するアカウントを第三者に不正利用され、一部の社内システムへ不正アクセスを受けたと公表した。同社は5月28日に社内システムで不審な挙動を検知し、アカウントのパスワード変更とアクセス制御の強化を行ったうえで外部専門調査機関に調査を依頼した。調査は7月31日に完了し、個人情報を含むファイルが漏えいまたは漏えいしていたおそれがあることが判明した。外部専門調査機関は原因を、同社の端末上でマルウェアが実行されたことにあると考えられると報告している。対象は従業員・退職者、派遣社員、常時業務を行う業務委託先の関係者、グループ会社社員などで、対象人数・件数は公表されておらず、公表時点で情報がインターネット上に公開された事実は確認されていない。封じ込めは完了し、監視を継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認公式には「第三者が当社従業員の使用アカウントを不正に利用し、当社の一部社内システムへアクセスしていた」とされ、外部専門調査機関から原因は「当社の端末上でマルウェアが実行されたことにあると考えられる」との報告を受けたと記載。マルウェアの侵入経路・種類、従業員アカウントが不正利用可能になった方法は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 生産設備、工場の制御システム、製品供給などへの影響はリリースに記載がない。
- データ
- おそれ上限 —確定 —氏名性別生年月日住所メール電話従業員情報取引先情報従業員（退職者を含む）は氏名、性別、生年月日、住所、メールアドレス、電話番号、人事情報など。派遣社員および事業所内で常時業務をする業務委託先の方は氏名、性別、所属会社など。グループ会社社員は氏名、所属会社、役職など（一部は連絡先情報）。対象人数・件数は公表されていない。公表時点でインターネット上に公開された事実は確認されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 公表上、委託先経由の侵入や他組織への波及の記載はない。ただし対象に派遣社員、業務委託先関係者、グループ会社社員の情報が含まれる。
時系列
技術解説
公表された攻撃の構造 事実
公表によると、第三者が同社従業員の使用アカウントを不正に利用し、一部の社内システムへアクセスしていた。外部専門調査機関は、原因について同社の端末上でマルウェアが実行されたことにあると考えられると報告している。同社は2026年5月28日に社内システムで不審な挙動を検知し、アカウントのパスワード変更とアクセス制御の強化を行ったうえで外部専門調査機関に調査を依頼した。一方、マルウェアがどのように端末へ侵入したか、マルウェアの種類、従業員アカウントがどのような方法で不正利用可能になったかは公表されていない。アクセスされたシステムも「一部社内システム」とされ、具体名は示されていない。
漏えいの範囲と公表時点の確認状況 事実
同社は2026年7月31日に調査が完了し、個人情報を含むファイルが漏えいまたは漏えいしていたおそれがあることが判明したと公表した。対象は、従業員（退職者を含む）の氏名、性別、生年月日、住所、メールアドレス、電話番号、人事情報など、派遣社員と事業所内で常時業務をする業務委託先の方の氏名、性別、所属会社など、グループ会社社員の氏名、所属会社、役職など（一部は連絡先情報）である。対象人数・件数は公表されておらず、漏えいの確定件数も示されていない。公表時点で、情報がインターネット上に公開された事実などは確認されていないとされる。
対応と公表の経過 事実
同社は検知当日にパスワード変更とアクセス制御の強化を行い、外部専門調査機関に調査を依頼した。調査完了は7月31日、公表は8月20日である。公表では、個人情報保護委員会への報告と警察への被害申告、対象者への順次の個別連絡、連絡できない方への公表による通知が示された。不正利用が確認されたアカウントの封じ込めは完了し、現時点で社内システムへの不正アクセスは確認されておらず、監視を継続している。再発防止策として、認証管理の強化、アクセス管理の見直し、監視体制の強化、従業員教育の徹底等が挙げられている。
公開情報から読み取れる論点（解釈） 解釈
検知から公表まで約12週間あり、その間は外部専門調査機関による調査が進められていた。個人情報を含むファイルの範囲を確定させる作業が含まれていた可能性があるが、公表文からは確認できない。対象が従業員だけでなく派遣社員、業務委託先、グループ会社社員にまで及ぶため、通知の手間が大きい事案とも考えられる。また、原因はマルウェア実行「と考えられる」という表現にとどまり、アカウント悪用との因果関係の詳細は不明である。これらは公開情報に基づく推測であり、同社の対応の良否を断定するものではない。侵入日や攻撃者も非公表で、評価は今後の続報に左右される。
対応
- 封じ込め
- 当該アカウントのパスワード変更、関係システムへのアクセス制御の強化を実施し、外部専門調査機関に調査を依頼。不正利用が確認されたアカウントの封じ込めは完了し、監視を継続している。
- 公表の仕方
- 2026年8月20日に「当社社内システムへの不正アクセスに関するお知らせとお詫び」を公表。対象者へ順次個別に連絡し、連絡できない方には公表をもって通知に代える。再発防止策として認証管理の強化、アクセス管理の見直し、監視体制の強化、従業員教育の徹底等を進める。
- 当局対応
- 個人情報保護委員会に報告
- 警察に被害申告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 端末上のマルウェア実行がアカウント悪用につながり得る | EDRを全端末に導入し、未知の実行ファイルや認証情報の窃取挙動を検知して自動隔離する。あわせて、アカウントの不審な利用を検知するアラートを整備する。 |
| 従業員アカウントの不正利用は社内システムへのアクセスにつながる | 社内システムへのログインに多要素認証を必須とし、IdPで異常な場所・時間帯・端末からのログインを検知する条件付きアクセスを設定する。 |
| 個人情報を含むファイルが社内システム内に保存されていた | 人事情報などを含むファイルの保存場所を棚卸しし、アクセス権を最小限にする。大量のファイル読み出しや持ち出しを監査ログで検知する。 |
| 調査完了から公表までの期間に、対象範囲の確定が必要になる | ログの保存期間と保存先を事前に定め、侵害時にアクセスされたファイルを特定できるようにする。対象者区分ごとの連絡先台帳も整備しておく。 |
| 対象に従業員以外（派遣社員、委託先、グループ会社社員）が含まれる | 従業員以外の個人情報も管理対象として台帳化し、通知先と連絡手段を整理する。インシデント対応手順に関係会社への連絡フローを入れる。 |
自組織などでの確認項目
- 自組織の社内システムで、従業員アカウントのログインに多要素認証が必須になっているか。例外はあるか。
- 自組織の端末でマルウェアの実行を検知・隔離できる仕組みはあるか。検知した際に誰が何分以内に対応するか。
- 自組織で人事情報などを含むファイルがどこに保存され、誰がアクセスできるか。アクセスログは何か月分残っているか。
- 派遣社員、委託先、グループ会社の人の個人情報を保有している場合、侵害時にそれぞれへどう通知するか決まっているか。
未解明点
- 対象となる個人情報の人数・件数と、実際に漏えいが確認された範囲はどうなっているか。
- マルウェアの侵入経路・種類、従業員アカウントが不正利用可能になった方法は何か。
- 侵入が始まった日と、不正アクセスが続いていた期間はいつからいつまでか。
- 攻撃者や、犯行声明の有無・情報の公開の有無に関する続報はあるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-24報道本文確認済
- 2ScanNetSecurity2026-09-09報道本文確認済
- 3エヌ・イー ケムキャット公式本文確認済
- 4エヌ・イー ケムキャット株式会社2026-08-20公式本文確認済