経済産業省電力・ガス取引監視等委員会「デントリネット」への不正アクセス（延べ約1100社の情報流出の恐れ）
公表日
経済産業省電力・ガス取引監視等委員会の報告システム「デントリネット」が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、利用する電力・ガス事業者延べ約1100社の財務情報などが流出した恐れがあります。
対象者は？
デントリネットを利用している小売電気事業者およびガス小売事業者などの電力・ガス事業者（延べ約1100社）。一般家庭に関わる個人情報は取り扱っておらず、家庭への影響はありません。
電力・ガス取引監視等委員会からの個別連絡や公式発表を確認してください。
何が起きたのか
2026年10月27日未明、電力やガスの小売事業者が国に販売量や契約数などの定期報告を行うウェブシステム「デントリネット」で、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が確認されました。サイト運営を受託する業者が検知し、翌28日に電力・ガス取引監視等委員会が事実を確認してシステムの運用を停止しました。復旧までの間、事業者からの報告受付は電子メールに切り替えられています。
なぜ起きたのか・なぜ広がったのか
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。の具体的な侵入経路や原因、悪用された脆弱性については公表されておらず、調査中とされています。
いまの状況2026-10-29 時点続報待ち
電力・ガス取引監視等委員会はデントリネットの運用を停止したまま原因究明を進めています。延べ約1100社の情報が実際に外部へ流出したかどうかは、2026年10月29日時点でまだ発表されていません。
企業として考えたいこと
業務用のWebシステムが停止し、手続きを電子メールなどに切り替える際、便乗した偽メールやなりすまし攻撃を防ぐ安全な運用ルールが用意されていますか？
技術的な要約
経済産業省の電力・ガス取引監視等委員会は、小売電気事業者やガス小売事業者が定期報告を行うウェブシステム「デントリネット」が不正アクセスを受けたと2026年10月28日に発表した。サイト運営を委託する業者が10月27日未明に不正アクセスを確認し、委員会は28日に事実を確認してシステムの運用を停止した。同システムを利用する延べ約1100社の財務情報や販売量、契約数などが流出した恐れがあり、原因究明が進められている。なお、同システムでは一般家庭に関わる情報は取り扱っておらず、電気・ガス利用者の個人情報への影響はないとされている。復旧までの間、委員会は対象事業者からの報告受付を電子メールに切り替えて対応している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不正アクセスの手口や侵入経路、原因について公表時点で言及されておらず不明。
- 脆弱性
- CVE 非公表不明悪用された脆弱性や具体的な侵入手法については公表されておらず不明。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 定期報告ウェブシステム「デントリネット」の運用が停止され、報告受付が電子メールによる代替手段へ切り替えられた。
- データ
- おそれ上限 1,100確定 —件業務データシステムを利用する延べ約1100社の販売量、契約数、料金設定、財務状況などの業務データが流出した恐れがある。一般家庭に関する情報は取り扱っていない。流出の有無は調査中。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- サイト運営を委託する業者が不正アクセスを確認したとされているが、委託先環境を経由した侵害であるかは公表されていない。
時系列
- 2026-10-09経済産業省が、相次ぐ不正アクセスを受けて企業に対策と情報提供の協力を求める注意喚起を実施4
- 2026-10-27
- 2026-10-27
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-28
- 2026-10-29
技術解説
不正アクセスの検知と運用停止までの経緯 事実
2026年10月27日未明、経済産業省の電力・ガス取引監視等委員会が運用する定期報告システム「デントリネット」に対して第三者による不正アクセスが発生しました。サイトの運営を委託されている事業者が27日未明に不正アクセスを確認し、委員会は翌28日に事実を確認した上で、同システムの運用を停止しました。デントリネットは、小売電気事業者やガス小売事業者が販売量や契約数、料金設定、財務状況などの定期報告を行うためのウェブシステムであり、延べ約1100社が利用しています。委員会は28日に不正アクセスの事実を公表し、システム復旧までの間、事業者からの定期報告の受付を電子メールに切り替えて対応することを明らかにしました。2026年10月29日時点において、不正アクセスの侵入経路や悪用された脆弱性、攻撃者の特定、マルウェア等の使用有無については公表されておらず、原因究明と調査が進められています。
流出が懸念される情報範囲と個人情報への影響 事実
今回の不正アクセスにより、デントリネットを利用している延べ約1100社の業務データが流出した恐れがあります。公表および報道によると、対象となり得るデータには、小売電気事業者や送配電事業者、ガス事業者が提出した販売量、契約件数、料金設定やその条件、事業のリスク管理状況、財務状況、非化石電気の調達状況、製造委託状況などが含まれています。一方で、デントリネットでは一般家庭に関わる情報は取り扱っておらず、電気・ガス利用者の個人情報や電力・ガスの供給システムへの影響はないとされています。また、利用にあたりGビズIDを用いる仕組みがあるものの、GビズID自体が侵害されたという発表はありません。委員会および各報道によると、発表時点で実際に情報の閲覧や外部流出が行われたかどうかは確認中であり、確定した事実としての流出は報告されていません。
報告受付機能停止に伴う代替運用と二次被害への警戒 解釈
監督官庁の報告受付システムが停止したことにより、行政手続きの継続性を維持するために電子メールによる代替提出措置が速やかに講じられました。しかし、正規の手続きが突如としてウェブフォームから電子メールへ変更される運用上の過渡期には、その状況に便乗した標的型攻撃やフィッシングメールが発生するリスクが懸念されます。悪意ある第三者が委員会や関係組織を装い、報告様式の提出や確認を名目に偽のメールを送付したり、添付ファイルを開かせたりする手法が警戒されます。システム運用停止時には、単に受付手段を切り替えるだけでなく、提出先の暗号化や送信用正規アドレスの事前周知、電子署名の活用など、安全な代替通信経路の確立が求められます。また、受託事業者が不正アクセスを検知してから委員会が確認・停止するまでに一定のタイムラグが生じており、委託先とのインシデントエスカレーションの迅速化も重要な論点といえます。
対応
- 封じ込め
- 不正アクセス確認後、直ちにデントリネットの運用を停止した。また、システムの停止に伴い定期報告の受付を電子メールに切り替える措置を講じた。
- 公表の仕方
- 2026年10月28日に公式発表を行い、不正アクセスの発生、システムの運用停止、および電子メールによる代替提出方法の案内を実施した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 行政報告や対外受付システムの運用停止時における、安全な代替手段（BCP）の事前準備 | ウェブ受付機能が停止した際の電子メール等の代替手順において、利用する送受信専用アドレス、SPF/DKIM/DMARCの設定、暗号化手段、および事業者への正当性確認方法をあらかじめ定型化しておく。 |
| 外部委託業者における不正アクセス検知から委任組織への迅速なエスカレーション体制の確立 | サイト運営委託先とのSLAおよびセキュリティ運用規程において、不審なアクセスやインシデント検知時の初動報告基準と即時連絡手順（夜間・休日を含む24時間365日の連絡網）を明確に義務付ける。 |
| 行政・業界報告システムへの便乗型フィッシングやなりすまし攻撃に対する周知と監視 | 運用の例外措置（メールによる報告受付など）の開始時に、正規連絡用ドメイン一覧や連絡先窓口を公式サイト等で明示し、報告対象企業に対して不審メールの見分け方と検証手順を周知徹底する。 |
| 企業の機密性高い財務・経営データを保持するWebアプリケーションの定期的な脆弱性診断とアクセス監視 | 定期報告システムやデータ集約サーバーに対し、外部公開Webアプリの脆弱性診断（DAST/SAST）やWAFの導入、特権アクセスおよびデータベースアクセスの監査ログ常時監視を実装する。 |
自組織などでの確認項目
- 自組織が運用または利用している外部受付システムが停止した場合、安全な代替受付手順（メール運用や認証手順）がBCPとして策定されているか。
- 業務委託先でセキュリティインシデントや不正アクセスが検知された際、自組織へ遅滞なく連絡が届くエスカレーション基準および24時間連絡体制が契約上で確立されているか。
- 取引先や監督官庁などから提出方法変更の案内（電子メールへの切り替え等）を受け取った際、送信元の正当性をSPF/DKIM確認や正規窓口への照会で検証する手順が社内で徹底されているか。
未解明点
- 不正アクセスに悪用された侵入経路や具体的な脆弱性（公開Webアプリの欠陥、認証情報の漏洩など）は何か。
- デントリネット内に保管されていた延べ約1100社の財務状況や販売量などの機密データについて、実際に外部への情報漏洩や閲覧が行われたのか。
出典
- 1TT Incidents Log2026-10-28研究者本文確認済
- 2NHK2026-10-28T22:26+09:00報道本文確認済
- 3ビジネス＋IT2026-10-29報道本文確認済
- 4プラスチックパレット株式会社2026-10-29報道本文確認済
- 5セキュリティ対策Lab2026-10-29報道本文確認済
- 6HOKKAIDO AI LAB2026-10-28報道本文確認済
- 7日本経済新聞2026-10-28報道本文確認済