モリテックスチールの開発再委託先サーバーへの不正アクセス（管理情報の一部に外部アクセスの可能性）
公表日
モリテックスチール株式会社が、システム開発を委託している委託先のさらに再委託先のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと公表した。同社が管理する一部の情報に外部からアクセスされた可能性があるが、件数はまだ発表されていない。
対象者は？
同社が管理する一部の情報が対象となる可能性がある。取引に関する連絡先（会社名、部署名、担当者名、住所、郵便番号、電話番号など）は、伏せ字処理（マスキング）が施され、内容を判別できない状態とされる。受注情報の備考欄などの自由記載項目は処理がされておらず、記録内容によっては氏名などの個人情報が含まれる可能性がある。対象となる人数や範囲はまだ発表されていない。
個別の確認方法や連絡の有無は、まだ発表されていません。同社からの案内を待ってください。
何が起きたのか
モリテックスチール株式会社は2026年3月23日、システム開発を委託している委託先の、さらに再委託先のサーバーが第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと公表した。このサーバーには同社の業務に関連する情報が保存されていた。委託先からの報告により、同社が管理する一部の情報に外部からアクセスされた可能性があることがわかった。不正アクセスを受けたのは同社本体のサーバーではない。
なぜ起きたのか・なぜ広がったのか
侵入の方法や原因は、まだ発表されていません。今回は、同社が直接契約していない再委託先にも同社の情報が保存されており、その環境が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けたと報じられている。
いまの状況2026-04-02 時点続報待ち
2026年4月2日時点で、件数、侵入経路、被害の確定範囲、再発防止策はまだ発表されていません。状況は調査中で、続報待ちである。
企業として考えたいこと
自社の業務データは、委託先のさらに先の再委託先にも保存されているか。そこで事故が起きたとき、どんな情報が、どのような状態で漏れるおそれがあるかを、すぐに答えられるか。
技術的な要約
モリテックスチール株式会社は2026年3月23日、システム開発を委託している委託先の再委託先サーバーが第三者による不正アクセスを受けたと公表した。当該サーバーには同社業務に関連する情報が保存されており、委託先からの報告により、同社が管理する一部情報に外部からアクセスされた可能性が確認された。不正アクセスは同社本体のサーバーではなく、委託先のさらに再委託先に対するものである。取引に関する連絡先情報はマスキング処理済みで内容を判別できない状態とされる一方、受注情報の備考欄など自由記載項目は未マスキングで、記録内容によっては氏名などの個人情報が含まれる可能性がある。件数や侵入経路は、渡された出典からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由公表で確認同社本体のサーバーではなく、システム開発を委託している委託先のさらに再委託先サーバーへの第三者による不正アクセス。具体的な侵入手口は出典に記載がなく不明。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止に関する記載は出典にない。
- データ
- おそれ上限 —確定 —氏名同社が管理する一部情報に外部からアクセスされた可能性。会社名・部署名・担当者名・住所・郵便番号・電話番号などの連絡先情報はマスキング済みで判別できない状態とされる。受注情報の備考欄など自由記載項目は未マスキングで、氏名などの個人情報が含まれる可能性がある。件数は出典に記載なし。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先の再委託先サーバーが不正アクセスを受け、委託元であるモリテックスチールの管理情報にも影響が及んだ可能性がある、再委託先を含むサプライチェーンのインシデント。
時系列
技術解説
公表された内容の整理 事実
モリテックスチール株式会社は2026年3月23日、システム開発を委託している委託先の再委託先サーバーが第三者による不正アクセスを受けたと公表した。不正アクセスは同社本体のサーバーではなく、委託先のさらに再委託先に対して発生したと報じられている。当該サーバーには同社業務に関連する情報が保存されており、委託先からの報告により、同社が管理する一部情報に外部からアクセスされた可能性が確認されたとされる。本件は再委託先を含むサプライチェーンのインシデントで、影響が委託元であるモリテックスチールの管理情報にも及んだ可能性があるとされている。
マスキングの有無で分かれる情報 事実
委託先からの報告によると、取引に関する会社名、部署名、担当者名、住所、郵便番号、電話番号などの連絡先情報にはマスキング処理が施され、内容を判別できない状態になっているとされる。一方、受注情報の備考欄など自由記載項目にはマスキング処理がされておらず、記録内容によっては氏名などの個人情報が含まれている可能性があると説明されている。これらはいずれも外部からアクセスされた「可能性」についての説明である。件数や対象者数は、渡された出典には記載がない。
再委託を含む構造がもたらす見えにくさ（解釈） 解釈
本件で侵害されたのは同社本体ではなく、委託先のさらに先の再委託先のサーバーである。委託元から見ると、自社が直接契約していない事業者の環境に自社の業務情報が置かれていたことになる。こうした構造では、どの情報がどこに保存されているか、どの保護策が取られているかを、委託元が把握しにくくなる場合がある。今回マスキングの有無で情報の扱いが分かれた点は、開発や検証に使うデータの取り扱いルールが、実際の運用で効果を持ち得ることを示す一例と読める。ただし、運用の詳細は出典からは確認できない。
自由記載項目という盲点（解釈） 解釈
連絡先のような定型項目は機械的にマスキングしやすい。これに対し、備考欄のような自由記載項目は、どんな内容が書かれているかを事前に特定しにくい。そのため定型項目だけを対象にした処理では、自由記載に残る個人情報が対象から漏れる可能性がある。本件の説明は、この種の項目が対策の抜け穴になり得ることを示唆している。ただし、備考欄に実際にどのような情報が記録されていたかは公表されていない。現時点で影響の大きさを評価することはできず、続報を待つ必要がある。
対応
- 封じ込め
- —
- 公表の仕方
- 2026年3月23日に、委託先の再委託先サーバーへの不正アクセスと、同社管理情報の一部に外部からアクセスされた可能性を公表した。マスキング済みの項目と未マスキングの自由記載項目を区別して説明している。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 再委託先まで含めて、自社データの所在を把握しておく必要がある。 | 委託契約で再委託の事前承認と再委託先一覧の提出を義務づける。自社データを保管するシステムとその保存場所を台帳で管理し、半期ごとに更新する。 |
| 開発・検証用のデータは、本番データをそのまま使わず加工してから渡す。 | 委託先へ渡すデータは、マスキングや匿名化を行ってから提供する。本番データの持ち出しは申請制とし、保存期限を設定して期限後の削除を確認する。 |
| マスキングは定型項目だけでなく、自由記載項目にも適用する必要がある。 | 備考欄などの自由記載項目も、個人情報の検出ルール（氏名・電話番号・メールアドレスなどの正規表現や辞書）でスキャンして伏せ字にする。マスキング後のデータを定期的にサンプル検査して、漏れを確認する。 |
| 委託先で事故が起きたときに、速やかに報告を受けて状況を把握できる体制が必要である。 | 契約に、事故発生時の報告期限、報告項目（対象データの種類と件数、侵入経路、封じ込め状況）、調査への協力義務を明記する。年1回は連絡訓練を行う。 |
| 委託先のセキュリティ水準を、契約前だけでなく継続的に確認する。 | 委託先と再委託先に対し、アクセス制御、ログ保管、脆弱性修正の運用状況を質問票や監査で定期確認する。確認結果は取引継続の判断材料として記録する。 |
自組織などでの確認項目
- 自社が委託している業務のうち、再委託が行われているものはどれか。再委託先の名称と、そこに保存されている自社データの種類を一覧で答えられるか。
- 委託先に渡している開発・検証用データは、マスキング済みか。備考欄などの自由記載項目も処理の対象に含まれているか。
- 委託先や再委託先で不正アクセスが起きた場合、自社へ連絡が届くまでの経路と期限は契約や手順書で決まっているか。直近1年で連絡訓練を行ったか。
未解明点
- 外部からアクセスされた可能性のある情報の件数や対象者数はどれくらいか。
- 不正アクセスの発生時期、発見時期、侵入経路は何か。
- 自由記載項目に実際に個人情報が含まれていたか、また個人情報保護委員会への報告や本人への通知は行われたか。
- 再委託先サーバーに同社の情報が保存されていた経緯と、マスキング処理を行った主体と時期はどうなっているか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-25報道本文確認済
- 2ScanNetSecurity2026-04-02報道本文確認済