ネクサスエナジー、ランサムウェアで個人情報漏洩の可能性を公表|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年03月27日更新日時: 2026年03月27日

ネクサスエナジーは2026年3月19日、同社サーバーなどが第三者による不正アクセスを受けてランサムウェアに感染した件について、保有する個人情報に漏えいが生じた恐れを否定できないと公表しました。

1 何が起きたか
2 漏えいの可能性がある情報
3 情報システム部門が注目すべきポイント

何が起きたか

公表によると、被害が確認されたのは2025年4月14日です。ネクサスエナジーのサーバーなどがランサムウェア攻撃を受け、データが暗号化される被害が発生しました。これを受けて同社は、外部専門家と警察と連携しながら、原因の特定、システム保護、復旧作業を進めてきたとしています。2025年7月31日の時点では、情報流出の明確な痕跡は確認されていないとしていましたが、その後の慎重な調査を踏まえ、2026年3月19日に個人情報漏えいの恐れを否定できないと判断し、あらためて公表しました。

漏えいの可能性がある情報

ネクサスエナジーが示した漏えいの可能性がある情報は、顧客の基本属性と連絡先に加え、車両番号まで含まれています。ガソリンスタンド事業では、給油以外にも車検、整備、保険、レンタカーなど複数のサービス接点があるため、顧客情報が比較的広い範囲で蓄積されやすいことを踏まえると、氏名や住所だけでなく車両関連情報まで対象に含まれる点は見過ごせません。少なくとも公表文ベースでは、対象情報は本人確認や連絡、車両管理に関わる情報群と受け止めるべきです。

一方で、クレジットカード情報とマイナンバー情報は当該サーバーに保存されていなかったと明記されています。

情報システム部門が注目すべきポイント

今回の事案でまず押さえたいのは、ランサムウェア被害は暗号化だけで終わらず、長期の影響調査と顧客通知対応まで含めて初めて全体像が見えてくるという点です。2025年4月の被害確認から、2025年7月の初報、2026年3月の漏えい可能性公表まで時間を要しており、情シス部門には初動封じ込めだけでなく、フォレンジック、通知要否判断、対外説明まで見据えた体制が求められます。