名鉄協商へのランサムウェア攻撃（委託元の中電不動産・名古屋市・名古屋鉄道の顧客情報にも漏えいのおそれ、サービス停止が長期化）
公表日
駐車場やカーシェアなどを運営する名鉄協商がランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。攻撃を受け、複数サービスが停止した。顧客情報の漏えいのおそれがあるのは、委託元3組織の分を含め、中電不動産の約4,000件、名古屋市の263名分などである。
対象者は？
カリテコ会員（退会済みを含む）、MKPポイントカード会員、ゴントランシェリエのオンラインストア利用者、中電不動産の月極駐車場契約者（2018年7月〜2024年10月）、名古屋市営路外駐車場の定期券購入者、名古屋鉄道「WEBナビ名鉄のハイキング」賞品引き換え申込者が対象になりうる。情報の種類はサービスごとに異なり、氏名・住所・電話番号などが含まれる。カリテコは運転免許証情報と一部でクレジットカード情報、MKPポイントカードはパスワードも対象。MKPポイントカードのチャージ用カード情報は対象外とされ、駐車場利用に伴う顧客情報も対象外とされた。いずれも実際の流出や不正利用は確認されていない。
対象となる可能性のある方には個別の案内が送られている。届かなかった場合に備え、各社のWebサイトでも公表されている。名鉄協商のお客様相談窓口は0120-353-276（月〜金 9時〜17時、土日祝を除く）。
いますぐできること
- 名鉄協商や関係会社を名乗る不審な電話・メール・SMS・郵便物には応じない。
- 個人情報や認証情報の入力を求める連絡があっても、すぐには答えず、公式の窓口で確認する。
- MKPポイントカードで使っていたパスワードを他のサービスでも使っている場合は、他のサービス側で変更する。
何が起きたのか
名鉄協商は2026年6月23日8時ごろ、サーバーへの不審なアクセスを見つけ、システムを切り離してネットワークを止めた。調べたところ、6月19日にランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の跡があったことが分かった。7月2日に第1報が出され、カリテコ、MKPポイントカード、名鉄カナエルショップなどが止まったり遅れたりした。7月22日に一部のWebサービスが再開された。7月下旬から9月上旬にかけて、中電不動産、名古屋市、名古屋鉄道を含む委託元や各サービスの顧客情報に、漏えいのおそれがあると順に発表された。
なぜ起きたのか・なぜ広がったのか
侵入経路や、なぜここまで広がったのかは、まだ発表されていない。名鉄協商が駐車場の管理などを受託しており、委託元の顧客情報も同社のサーバーに保管されていたため、複数の組織に影響のおそれが及んだ。
いまの状況2026-09-03 時点続報待ち
2026-09-03時点で、調査は続いている。実際の流出や不正利用は確認されていないとされている。全体の対象件数、侵入経路は、まだ発表されていない。MKPポイントカードは8月27日時点で新規登録やマイページログインなどが使えず、全サービスの復旧は2026年内が目標とされている。時間貸し駐車場は通常営業と案内されている。
企業として考えたいこと
自社が個人情報の管理を任せている会社のサーバーに、自社の顧客情報がどれだけ・いつまで残っているかを、すぐに答えられるか。
技術的な要約
名鉄協商は2026年6月23日8時ごろにサーバーへの不審なアクセスを検知し、システムの切り離しとネットワーク遮断を行った。外部専門機関の調査で、6月19日にランサムウェアによる不正アクセスの痕跡が確認された。7月2日の第1報以降、カリテコ、MKPポイントカード、名鉄カナエルショップなど複数サービスで停止や遅延が生じ、7月22日に一部Webサービスが再開された。続報で、カリテコ会員、MKPポイントカード会員、ゴントランシェリエのEC利用者の情報に漏えいのおそれがあるとされた。委託元の中電不動産（約4,000件）、名古屋市（263名分）、名古屋鉄道の賞品引き換え申込者にも波及した。いずれも実際の流出や不正利用は確認されていないとされ、侵入経路や対象件数の全体像は未公表で、調査は継続中である。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明侵入経路は公表されていない（名鉄協商側で調査中）。情報持ち出しの有無も未公表。
- 脆弱性
- CVE 非公表不明悪用された脆弱性やCVEは公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年6月23日8時ごろから各種Webサイト・関連サービスで障害が発生。MKPポイントカード、名鉄カナエルショップ、カリテコ、カリテコバイク、ビジカーネット等で停止や遅延が生じた。7月22日にカリテコ、MKPビジネスカード等の一部を再開したが、MKPポイントカード等は停止が続き、8月27日時点で新規会員登録・クーポン・来店ポイント申請・マイページログインが利用不可で、全サービスの復旧は2026年内が目標。マンスリーパスポートは2026年8月分が抽選販売となった。時間貸し駐車場は通常営業と案内されている。期間：2026-06-23の障害発生から、2026-08-27時点でも一部サービスの停止が継続（一部は7月22日に再開）
- データ
- おそれ上限 —確定 —氏名住所口座電話メール生年月日性別本人確認書類クレカその他全体の対象件数は未公表。内訳は、中電不動産の月極駐車場契約者の情報約4,000件（氏名、住所、口座情報、車両情報。2018年7月1日〜2024年10月31日の契約者。件数が契約者数かレコード数かは不明）、名古屋市市営路外駐車場の定期券購入者263名（現地購入222名：氏名・車両番号・定期券情報／名鉄カナエルショップ購入41名：氏名・郵便番号・住所・電話番号・メール）、カリテコ会員（氏名・住所・生年月日・電話番号・メール・運転免許証情報、一部はクレジットカード情報の可能性。退会済み会員を含む。件数非公表）、MKPポイントカード会員（氏名・住所・性別・生年月日・電話番号・メール・パスワード。件数非公表、パスワードの保存方式は非公表。チャージ用クレジットカード情報は外部サービスで処理され対象外）、ゴントランシェリエ オンラインストア（配送先の氏名・住所・電話番号。件数非公表）、名古屋鉄道「WEBナビ名鉄のハイキング」賞品引き換え申込者（2023年6月〜2026年5月分の氏名・住所・電話番号・メール・ポイント情報）。いずれも実際の流出や不正利用は確認されていない。「その他」は車両情報・ポイント情報・パスワード。
- 波及先
- 3 組織
- 中電不動産（月極駐車場の顧客情報約4,000件）
- 名古屋市（市営路外駐車場の定期券購入者263名）
- 名古屋鉄道（WEBナビ名鉄のハイキング賞品引き換え申込者）
- 金銭影響
- —
- サプライチェーン
- 名鉄協商が駐車場管理等を受託していたため、委託元の中電不動産（自社システムは直接侵害されていない）、市営路外駐車場の指定管理者代表団体として関わる名古屋市、賞品引き換え業務を委託する名古屋鉄道の情報にも影響のおそれが及んだ。
時系列
- 2026-06-19
- 2026-06-23 08:00
- 2026-06-23
- 2026-07-02
- 2026-07-07名鉄協商がコールセンター開設を案内。外部への個人情報漏えいの事実は確認されていないとした。3
- 2026-07-22名鉄協商がカリテコ、MKPビジネスカード等の一部Webサービスを再開。MKPポイントカード等は停止継続。3
- 2026-07-28
- 2026-08-04
- 2026-08-06 15:00名古屋市が、市営路外駐車場の指定管理者代表団体である名鉄協商での個人情報漏えいのおそれ（263名分）を報道発表。名鉄協商は対象者全員に文書を送付し、市は情報セキュリティ体制の強化を指導した。10
- 2026-08-12名古屋鉄道・名鉄協商が、WEBナビ名鉄のハイキング賞品引き換え申込者の情報に漏えいのおそれがあると公表。個人情報保護委員会・所轄警察署へ報告済み。11
- 2026-08-27
- 2026-09-03名鉄協商がゴントランシェリエ オンラインストア利用者の配送先情報（氏名・住所・電話番号）の漏えいのおそれを公表。2
技術解説
公表された経緯と攻撃の構造 事実
名鉄協商は2026年6月23日8時ごろ、サーバーへの不審なアクセスを検知した。一部サーバーが停止したため、システムの切り離しとネットワーク遮断を実施したと公表されている。外部専門機関の調査では、6月19日にランサムウェアによる不正アクセスの痕跡が確認された。7月2日に第1報が出され、7月28日には複数サーバーへの攻撃が確認されたとして、顧客情報の外部漏えいのおそれを否定できないと公表された。なお、痕跡が確認された6月19日が最初の侵入日かどうかは公表されていない。侵入経路、情報持ち出しの有無、攻撃者についても、渡された資料の範囲では公表が確認できない。
影響範囲の広がり方と数値の扱い 事実
公表は対象サービスごとに順次行われた。7月28日に中電不動産が月極駐車場の顧客情報約4,000件の漏洩可能性を公表した。8月4日にカリテコ、8月6日に名古屋市が263名分（現地購入222名、名鉄カナエルショップ購入41名）、8月12日に名古屋鉄道の賞品引き換え申込者、8月27日にMKPポイントカード、9月3日にゴントランシェリエのオンラインストアが続いた。約4,000件は公表上の可能性の数であり、契約者数かレコード数かは説明されていない。流出が確認された件数はいずれも公表されていない。カリテコ、MKPポイントカード、ゴントランシェリエの対象件数も非公表である。各公表では、実際の流出や不正利用は確認されていないとされている。
サービス停止の状況 事実
6月23日から各種Webサイトや関連サービスで停止や遅延が生じた。7月2日時点では、MKPポイントカードのマイページ手続きや新規会員登録、名鉄カナエルショップの全商品販売などが止まっていた。7月22日にカリテコやMKPビジネスカードなど一部のWebサービスが再開された。8月27日時点でMKPポイントカードは新規会員登録、クーポン、来店ポイント申請、マイページログインが利用できず、全サービスの復旧は2026年内が目標とされている。2026年8月分のマンスリーパスポートは抽選販売になった。時間貸し駐車場は通常どおり営業と案内されている。
委託関係を通じた波及と公表の特徴（解釈） 解釈
委託元の情報が委託先のサーバーに保管されていたことで、侵害の影響が複数組織に及んだとみられる。中電不動産は自社システムが直接侵害されたものではないと説明している。ただし、委託先がどの範囲のデータを、どのサーバーで、どのような期間保持していたかは公表されていない。中電不動産の対象は2018年7月から2024年10月までの契約者で、契約終了後も情報が残っていた可能性がある。これは公表資料だけでは断定できない推測である。公表は事実の判明に応じて段階的に行われており、各回で流出の有無や注意喚起が示されている。一方、全体像の提示や公式一次情報の集約は、渡された出典からは確認できない。調査継続中のため、現時点での評価は暫定的なものである。
対応
- 封じ込め
- 2026年6月23日に不審なアクセスを検知し、一部サーバー停止後、直ちにシステムの切り離しとネットワーク遮断を実施。各種Webサービスを停止し、外部専門機関の支援を受けて調査。7月22日以降、一部サービスを段階的に再開したが、MKPポイントカード等は停止が継続。駐車場利用のシステムは影響を受けたサーバーから切り離されているとされた。
- 公表の仕方
- 2026年7月2日に第1報を公表。その後、7月7日にコールセンター開設を案内し、7月28日、8月4日、8月27日、9月3日と対象サービスごとに漏えいのおそれを続報として公表。対象となる可能性のある顧客に個別案内を行い、届かなかった顧客のためにWebでも公表した。不審な電話・メール・SMS・郵便物への注意を呼びかけ、外部専門機関の助言を踏まえて原因確認と再発防止策の強化に取り組むとしている。委託元の中電不動産、名古屋市、名古屋鉄道も各自公表した。
- 当局対応
- 警察および関係当局への相談・報告（名鉄協商、7月2日公表。個人情報保護委員会への報告は名鉄協商の公表資料では確認できない）
- 個人情報保護委員会へ報告（中電不動産、2026-07-28）
- 個人情報保護委員会および所轄警察署へ報告済み（名古屋鉄道・名鉄協商、2026-08-12公表）
- 名古屋市が名鉄協商に対し、今後の対策検討と情報セキュリティ体制の強化を指導（2026-08-06公表）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先に預けた個人情報は、委託元の自社システムが無事でも漏えいのおそれの対象になる。 | 委託先ごとに預託データの項目・件数・保存場所・保存期間を一覧化し、年1回更新する。契約に侵害時の通知期限と報告項目を明記する。 |
| 対象範囲が判明するたびに追加公表が続くと、利用者は影響を把握しにくい。 | インシデント専用ページに対象サービス・情報項目・公表日を一覧表で集約し、追加のたびに更新履歴を残す。 |
| 契約終了後や退会後の個人情報が残っていると、被害の対象が広がる。 | 退会・契約終了からの保持期間を定め、期限超過データを自動削除またはアーカイブ分離するジョブを実装する。削除実績を監査ログに残す。 |
| 複数のサービスが同じ基盤にあると、停止が広範囲に及び復旧も長期化する。 | サービスごとにネットワークとアカウントを分離し、バックアップは書き換え不可の別系統に保管する。復旧手順を優先順位付きで定め、年1回リストア演習を行う。 |
| 侵入経路やデータ持ち出しの有無を後から確認できないと、影響範囲の説明が難しくなる。 | 認証ログ、ファイルサーバーのアクセスログ、境界の通信ログを一定期間（例：1年）以上、改ざん困難な別ストアに集約する。 |
自組織などでの確認項目
- 自組織が個人情報の取り扱いを委託している先と、その保管データの項目・件数・保存期間を、すぐに一覧で示せるか。
- 委託先でインシデントが起きた場合の連絡経路と期限は契約に定められているか。自組織の顧客向け公表をどの部署が行うか決まっているか。
- 退会者や契約終了者の個人情報は、いつまで・どのシステムに残っているか。削除ルールは実際に運用されているか。
- 主要サービスが数週間以上止まった場合の代替手段（臨時フォーム、手動受付など）は用意されているか。
未解明点
- 侵入経路、悪用された脆弱性や認証情報の有無、攻撃者の特定は公表されていない。
- データが実際に窃取されたか、暗号化のみだったかは公表資料から確認できない。
- カリテコ、MKPポイントカード、ゴントランシェリエの対象件数、および全体の対象件数は未公表である。
- MKPポイントカードのパスワードが平文かハッシュ化かは未公表である。
- 名鉄協商自身による個人情報保護委員会への報告の有無は、渡された資料では確認できない。
出典
- 1セキュリティ対策Lab2026-07-30報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-09-06報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-23報道本文確認済
- 4セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-07報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-29報道本文確認済
- 6セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-08報道本文確認済
- 7ScanNetSecurity2026-07-31報道本文確認済
- 8ScanNetSecurity2026-08-18報道本文確認済
- 9ScanNetSecurity2026-08-26報道本文確認済
- 10名古屋市2026-08-06公式本文確認済
- 11名古屋鉄道株式会社 / 名鉄協商株式会社2026-08-12公式本文確認済