サントリーホールディングスにおける外部クラウドサービスへの不正アクセスに伴う個人情報漏洩（約10万人分）
公表日
サントリーホールディングスが利用するマイクロソフトのクラウドサービスが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、グループ従業員や採用応募者、一部顧客など最大約10万6,000人分の個人情報が流出しました。
対象者は？
サントリーグループおよびパートナー企業の従業員（約9万人）、2026年新卒採用応募者（7,173人）、体験プログラム「マル・デ・シャイン」登録顧客（7,323人）、社用携帯電話登録者、宅配注文顧客等。クレジットカードなどの決済情報は含まれていません。
対象者にはサントリーホールディングスから個別の連絡が進められています。心当たりのある方や不審な点がある場合は、案内されている公式のフリーダイヤル問い合わせ窓口へご確認ください。
いますぐできること
- サントリーや関係企業を名乗る不審なメール、SMS、電話に注意し、心当たりのないURLや添付ファイルは開かないようにしてください。
- 氏名や電話番号、メールアドレスを悪用したフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺やパスワード詐取の連絡に警戒してください。
何が起きたのか
2026年10月28日、サントリーが業務で使用している「マイクロソフト365」で異常が検知され、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。同日中にアクセスを遮断して調査したところ、ダウンロードされたファイルの一部に個人情報が含まれていたことが判明し、11月2日に公表が行われました。
なぜ起きたのか・なぜ広がったのか
グループで利用しているマイクロソフトの外部クラウドサービスに対して第三者からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、ファイルがダウンロードされました。具体的な侵入経路や手口についてはまだ発表されていません。
いまの状況2026-11-02 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。は遮断されており、安全性の観点から一時停止していた一部システムを除き、事業活動への影響はありません。クレジットカード情報の流出や、情報の不正利用、金銭要求などの脅迫は確認されておらず、対象者への個別連絡と再発防止に向けたセキュリティ強化が進められています。
企業として考えたいこと
自社で利用しているクラウドサービスで、従業員のアカウントが乗っ取られたり大量のファイルが不正にダウンロードされたりした場合、当日のうちに検知して遮断できる仕組みがありますか。
技術的な要約
サントリーホールディングスは2026年11月2日、グループで利用しているマイクロソフトの外部クラウドサービス（マイクロソフト365）が第三者からの不正アクセスを受けたと発表した。2026年10月28日に異常を検知してアクセスを遮断し調査を実施したところ、第三者によってダウンロードされたファイルの一部に個人情報が含まれていたことが判明した。漏洩が確認されたのはサントリーグループおよびパートナー企業の従業員約9万人分、新卒採用応募者7,173人分、企業活動体験プログラム登録者7,323人分など計約10万人分に及ぶ。決済情報の漏洩や情報の不正利用、金銭要求などの脅迫は確認されていない。同社は個人情報保護委員会への報告と対象者への個別連絡を進めている。
攻撃の分類
- 侵入口
- 不明業務で使用しているマイクロソフトのクラウドサービス（マイクロソフト365）への第三者による不正アクセス。侵入経路や侵入手口の詳細は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 安全性の観点から一部システムを一時停止したが、事業活動への影響はないとしている。
- データ
- 確定上限 106,000確定 106,000人氏名メール電話位置情報従業員情報取引先情報サントリーグループやパートナー企業の従業員の氏名・メールアドレス約9万人分、2026年新卒採用応募者のマイページ登録情報（氏名・メールアドレス・電話番号等）7,173人分、「マル・デ・シャイン」登録メールアドレス7,323人分、サントリービバレッジソリューション社用携帯電話登録情報1,097名分、モンテ物産等従業員情報324名分、井筒まい泉宅配顧客等の氏名・お届け先位置情報96名分、取引先従業員情報25名分など、あわせて最大約10万件（約10万6000件）。クレジットカード等の決済情報は含まれない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-10-28
- 2026-10-28
- 2026-10-28安全性の観点から一部システムを一時停止。9
- 2026-10-29
- 2026-11-01
- 2026-11-02
- 2026-11-02
- 2026-11-02 16:23
技術解説
検知からアクセス遮断・公表までの経緯 事実
サントリーホールディングスは2026年10月28日、業務で使用している米マイクロソフトのクラウドサービス「マイクロソフト365」において異常を検知した。同社は即座に不正アクセスを遮断し、安全性の観点から一部システムを一時停止した。同日中にダウンロードされたファイル名の特定を進め、翌10月29日にはファイルの一部に個人情報が含まれていることを確認した。その後、詳細なデータ調査を進め、11月1日までに流出した対象範囲の全容を把握した上で、11月2日に個人情報保護委員会への速報報告および対象者への個別連絡開始、外部への公表を実施した。異常検知から即日の遮断、4日後の公表という迅速な初動が取られている。
流出対象の構成と被害の範囲 事実
本インシデントで流出が確認された個人情報は最大約10万件（約10万6,000件）に及ぶ。内訳としては、サントリーグループおよびパートナー企業の従業員の氏名・メールアドレスが約9万人分と大部分を占める。これに加えて、2026年新卒採用ビジネス部門オープン選考の応募者7,173人分（氏名・メールアドレス・電話番号等）、企業活動体験プログラム「マル・デ・シャイン」登録顧客7,323人分（メールアドレス）、社用携帯電話登録情報1,097名分、グループ会社従業員324名分、宅配顧客および配送従業員96名分（お届け先位置情報を含む）、取引先従業員25名分が含まれる。一方で、クレジットカード等の決済情報の漏洩や、情報の不正利用、攻撃者からの金銭要求等の脅迫は確認されていない。
クラウド環境におけるデータ集約とアクセス権限の統制 解釈
マイクロソフト365のような統合型クラウドサービスでは、社内コミュニケーションから人事採用、顧客管理に関連する業務ファイルまで多種多様な情報が集約されやすい。攻撃者に認証情報や正規セッションを侵害された場合、一度の侵入で広範囲の業務データへアクセスされるリスクが生じる。本件では検知同日にアクセス遮断とファイル特定が行われており、監査ログの記録や監視機能が有効に働いていたことが窺える。一方で、採用応募者や一般顧客、位置情報を含む業務データなど、性質の異なる情報が同一環境内のファイルとしてダウンロード可能な状態にあった点から、業務ごとのアクセス権分離や機微情報の保存ルール運用における課題が浮き彫りとなった。
対応
- 封じ込め
- 異常検知と同日の2026年10月28日に不正アクセスを遮断し、安全性の観点から一部システムを一時停止した上で漏洩ファイルの特定と調査を実施した。
- 公表の仕方
- 2026年11月2日に外部クラウドサービスへの不正アクセスによる個人情報漏洩を公表し、対象者への個別連絡を開始するとともにフリーダイヤル窓口を設置した。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| クラウドオフィス環境における異常なデータダウンロードの検知と自動遮断 | Microsoft 365やGoogle Workspace等の監査ログ・アラートポリシーを活用し、短時間の大量ファイルダウンロードや通常と異なるIP・国からのアクセスをリアルタイムで検知・セッション遮断する仕組みを導入する。 |
| 機微な個人情報を含むファイルに対するアクセス制御と保管場所の厳格化 | 採用応募者リストや顧客データなど高機微な個人情報は一般の共有ドライブやTeams・SharePointに平文で配置せず、閲覧権限を限定したセキュアストレージへの保管やファイル単位の暗号化・閲覧パスワード設定を徹底する。 |
| グループ横断・委託先を含むアカウント統制と多要素認証の強制 | グループ企業や業務委託先を含む全アカウントに対してFIDO2等のフィッシング耐性のある多要素認証（MFA）を義務付け、休眠アカウントの定期的な自動停止・棚卸しを実施する。 |
| 位置情報や連絡先など二次被害リスクの高い情報漏洩に備えたインシデント対応体制 | 位置情報や電話番号等の漏洩に伴うフィッシング詐欺やストーカー事案等の悪用リスクを想定し、検知から速やかな対象者特定と個別連絡、専用問い合わせ窓口を立ち上げる手順をあらかじめ整備しておく。 |
自組織などでの確認項目
- 自社が利用するクラウドストレージやグループウェアで、大量のファイル持ち出しや不審なダウンロードを即座に検知・自動遮断できる監視ルールが設定されているか。
- 採用応募者の個人情報や顧客リストなどの重要ファイルが、社内の広範な従業員からアクセス可能な共有フォルダに放置されていないか。
- クラウドサービスのアカウント侵害を検知した際、直ちにセッションの強制切断やアカウント停止を実行できるインシデント対応手順が確立されているか。
未解明点
- マイクロソフト365への不正アクセスに至った初期侵入経路（認証情報の窃取・フィッシング、セッション乗っ取り、設定不備、端末マルウェア感染など）は何であったのか。
- 攻撃者によってダウンロードされたファイルの一覧や範囲は、どのようなログや監視ツールによって特定されたのか。
出典
- 1NHK2026-11-02報道本文確認済
- 2MBSニュース2026-11-02報道本文確認済
- 3産経新聞2026-11-02報道本文確認済
- 4読売テレビニュース（読売テレビ）2026-11-02報道本文確認済
- 5共同通信2026-11-02報道本文確認済
- 6ビジネス＋IT2026-11-02報道本文確認済
- 7ABCテレビ2026-11-02報道本文確認済
- 8産経新聞2026-11-02報道本文確認済
- 9日本経済新聞2026-11-02報道本文確認済
- 10共同通信社2026-11-02報道本文確認済