日産化学のクラウド環境への不正アクセス（情報漏えい・事業影響は確認されず）
公表日
日産化学が利用するクラウド環境で、第三者による不正ログインと不正なサーバの作成が確認されました。情報の漏えいや事業への支障は確認されなかったと報じられています。
何が起きたのか
2026年7月1日、日産化学は利用するクラウド環境で不審な活動を見つけ、調査を始めました。調べたところ、前日の6月30日に第三者が不正にログインし、不正なサーバを作っていたことが分かりました。不正なサーバを起点に、一部のサーバへアクセスした痕跡も見つかりました。同社は7月16日に最初の発表をし、8月5日に第2報を出しました。第2報では、外部の専門機関と社内部門による調査が終わったと説明しています。個人情報や取引先情報を含む情報の漏えい、他のシステムへの被害の広がり、データの改ざん、ランサムウェア会社のパソコンやサーバーのデータを勝手に暗号化（鍵をかけて読めない状態に）し、「元に戻してほしければお金を払え」と要求するマルウェアです。データが使えなくなるため、受注・出荷・診療などの業務そのものが何日も止まることがあります。を含むウイルス感染は確認されなかったとされています。事業や製品・サービスの提供にも支障は出ていません。
なぜ起きたのか・なぜ広がったのか
不正ログインに至った原因や、ログインに使われた情報の入手経路、対象のクラウドサービス名は公表されていません。そのため、なぜ起きたのかはまだ分かっていません。被害が広がったことも確認されていません。
いまの状況2026-08-05 時点続報待ち
2026年8月5日の第2報の時点で、調査は完了したとされています。同社は、不正に使われたアカウントの無効化、不正なアクセス経路の遮断、アクセス管理と監視体制の強化を実施したとしています。今後も、システム設定や運用状況の定期的な点検と、監視・検知体制の強化を続ける方針です。個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。の有無は、まだ発表されていません。
企業として考えたいこと
自社が使っているクラウドで、見覚えのないサーバが作られたり、知らない場所からログインされたりしたとき、誰が気づき、どこまで素早く止められるでしょうか。
技術的な要約
日産化学は2026年7月1日、利用するクラウド環境で不審な活動を検知して調査を開始し、前日の6月30日に第三者による不正ログインや不正なサーバの作成が行われていたことを確認した。2026年7月16日の初回公表時点では不正アクセスの可能性を確認した段階で、原因・影響範囲は外部専門家の協力を得て調査中としていた。2026年8月5日の第2報では、外部専門機関と社内情報システム部門による調査が完了したと説明した。個人情報や取引先情報を含む情報資産の漏えい、他システムへの侵害拡大、改ざん、ランサムウェアを含むマルウェア感染は確認されず、事業活動や製品・サービスの提供にも支障は出ていない。不正ログインの原因や認証情報の入手経路、クラウドサービス名は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明第三者による不正ログインや不正なサーバの作成が確認されたが、不正ログインに至った原因や認証情報の入手経路、クラウドサービス名などの詳細は公表されていない。不正なサーバを起点とした一部サーバへのアクセス痕跡は確認された。
- 脆弱性
- CVE 非公表不明脆弱性に関する公表はない。不正ログインの原因は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 事業活動および製品・サービスの提供に支障は発生していないとされる。
- データ
- なし上限 —確定 —第2報では、個人情報や取引先情報を含む情報資産の漏えいは確認されなかったとされる。第1報時点では顧客および取引先への影響は確認されていないとしていた。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した侵害、取引先への波及は公表されていない。
時系列
- 2026-06-30第三者による不正ログインや不正なサーバの作成が行われた（調査で確認）。1
- 2026-07-01
- 2026-07影響拡大防止を優先し、アクセス経路の遮断や関連アカウントの無効化を実施。1
- 2026-07-16
- 2026-07-16事案判明後、対象システムへの必要な対策を速やかに実施し、監視体制を強化していると説明。顧客・取引先への影響は確認されていないとした。2
- 2026-07-17セキュリティ対策Labが第1報を報道。2
- 2026-08-03ScanNetSecurityが不正アクセスを報道。3
- 2026-08-05第2報を公表。外部専門機関と社内情報システム部門による調査が完了し、情報漏えい・侵害拡大・改ざん・マルウェア感染は確認されなかったとした。1
- 2026-08-06セキュリティ対策Labが第2報を報道。1
技術解説
確認された経過(報道による) 事実
日産化学は2026年7月1日、利用するクラウド環境で不審な活動を検知し、調査を開始した。調査の結果、前日の6月30日に第三者による不正ログインや不正なサーバの作成が行われていたことが確認され、不正なサーバを起点とした一部サーバへのアクセス痕跡も確認された。7月16日の初回公表時点では、不正アクセスの可能性を確認した段階で、原因や影響範囲は外部専門家の協力を得て調査中とされていた。8月5日の第2報では、外部のセキュリティ専門機関と社内情報システム部門による調査が完了したとされる。以上は報道記事に記載された内容である。
影響の範囲と公表されていない事項 事実
第2報では、個人情報や取引先情報を含む情報資産の漏えい、他システムへの侵害拡大、不正な改ざん、ランサムウェアを含むマルウェア感染は確認されなかったとされる。事業活動および製品・サービスの提供にも支障は発生していないとされる。第1報の時点では、顧客および取引先への影響は確認されていないが、被害の全容把握には時間を要する見込みと説明されていた。一方、不正ログインに至った原因、認証情報の入手経路、クラウドサービス名などの詳細は公表されていない。個人情報保護委員会への報告有無についても、公表文に記載は確認できないと記事は記している。
公表された対応内容 事実
同社は影響拡大の防止を優先し、アクセス経路の遮断や関連アカウントの無効化を実施したとされる。第1報では、事案判明後に対象システムへの必要な対策を速やかに実施し、監視体制を強化していると説明した。第2報では、不正利用されたアカウントの無効化、不正なアクセス経路の遮断、アクセス管理および監視体制の強化を実施したとしている。今後はシステム設定や運用状況の定期的な点検と、監視・検知体制の継続的な強化を進めると説明している。第1報では、新たに公表すべき事実が判明した場合は速やかに公表するとも述べていた。
攻撃の構造についての読み取り 解釈
公表内容からは、正規の認証情報で第三者がクラウド環境にログインし、そこに不正なサーバを作成したという流れがうかがえる。マルウェアや脆弱性の悪用は報じられておらず、認証情報の管理やクラウドの権限設定が焦点になる類型と考えられる。ただし入手経路が非公表のため、断定はできない。不正なサーバを起点に一部サーバへアクセスした痕跡がある点は、クラウド内の通信経路や権限の分離が検知・抑止の要になることを示唆する。一方で、不正ログインの翌日に不審な活動を検知できており、監視が機能した事例とも読める。これらは公表情報に基づく推測である。
公表のあり方についての評価 解釈
検知は7月1日、第1報は7月16日、第2報は8月5日である。第1報では調査中であることと、確認できていない点を区別して示し、第2報で調査完了と結果を報告している。段階的に公表した点は、利害関係者が状況を把握するうえで有用だったと考えられる。他方、原因や認証情報の入手経路、クラウドサービス名などは公表されていない。他社が教訓として活用するには、差し支えのない範囲で、どの種類の認証や権限管理が論点になったかが示されるとより参考になる。ただし、非公表の理由は不明であり、同社の判断を断定的に評価するものではない。
対応
- 封じ込め
- 影響拡大防止を優先してアクセス経路の遮断や関連アカウントの無効化を実施した。不正利用されたアカウントの無効化、不正なアクセス経路の遮断、アクセス管理および監視体制の強化を実施した。今後はシステム設定や運用状況の定期的な点検、監視・検知体制の継続的な強化を進めるとしている。
- 公表の仕方
- 2026年7月16日に第1報、2026年8月5日に第2報を公表。第1報では新たに公表すべき事実が判明した場合には速やかに公表するとした。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウド環境への不正ログインは、検知から翌日以前の侵入まで遡って調べる必要がある。 | クラウドの監査ログ(管理操作・サインインログ)を集約基盤へ転送し、90日以上保管する。検知時は、直近の新規ログイン元IP、新規作成リソース、権限変更を時系列で確認する手順を用意する。 |
| 不正なサーバ(インスタンス)の作成は、クラウド悪用の典型的な兆候となる。 | インスタンス作成・停止、ネットワーク設定変更、鍵発行のイベントにアラートを設定する。承認済みのリージョン・インスタンス種別以外は、組織ポリシーやSCP等で拒否する。 |
| 認証情報が悪用された場合、被害は権限の広さに左右される。 | 管理者を含む全アカウントにMFAを必須とし、可能ならフィッシング耐性のある方式を使う。最小権限を徹底し、長期アクセスキーは廃止または定期ローテーションする。 |
| 遮断とアカウント無効化を素早く行えるよう、事前に手順を決めておくと影響拡大を抑えやすい。 | 侵害疑い時に実行するアカウント無効化、セッション失効、キー無効化、ネットワーク隔離の手順書とスクリプトを整備し、年1回以上は机上または実機で訓練する。 |
| 不正なサーバを起点とした内部アクセスに備え、クラウド内の通信を絞る。 | セキュリティグループやサブネットで通信を最小限に制限し、新規作成リソースから既存サーバへのアクセスをデフォルト拒否にする。内部通信のフローログを取得し、異常な接続元を検知する。 |
自組織などでの確認項目
- 自組織のクラウド環境で、管理操作やサインインのログは何日分、どこに保管されているか。侵入の翌日に不審な活動を見つけた場合、前日まで遡って調べられるか。
- 自組織のクラウドで、見覚えのないサーバが作成された場合に通知される仕組みはあるか。通知は誰がいつ確認し、どこまで即時に対応できるか。
- クラウド管理者を含む全アカウントでMFAは有効か。侵害が疑われた際、関連アカウントを無効化し、アクセス経路を遮断する権限と手順は決まっているか。
未解明点
- 不正ログインに至った原因と、認証情報の入手経路は何か。
- 対象となったクラウドサービスや、不正なサーバの用途(目的)は何か。
- 不正なサーバを起点にアクセスされた「一部サーバ」はどのようなものか、またそこに保存された情報への影響をどう確認したか。
- 個人情報保護委員会などへの報告の有無。
- 侵害の影響を受けた費用(調査費用など)があるか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-06報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-07-17報道本文確認済
- 3ScanNetSecurity2026-08-03報道本文確認済