朝日放送テレビ、委託先アイネックスへの不正アクセスで社員6件の個人情報漏洩の恐れ

朝日放送テレビ株式会社は2026年8月24日、グループ会社の株式会社アイネックスで発生した不正アクセスに伴い、同社へ委託していた業務関連情報に漏えいのおそれがあるとして調査していた事案について、調査結果を公表しました。

アイネックスが外部専門事業者と実施したフォレンジック調査では、同社従業員が取引先を装うフィッシングメールに反応し、フィッシングサイトへログイン情報を入力したことで、ID・パスワードが流出したことが不正アクセスの原因と推測されています。

調査の結果、第三者による操作・閲覧を否定できないメールに含まれていた46件の氏名、携帯電話番号、メールアドレスに漏えいのおそれがあり、このうち6件が朝日放送テレビの従業員に関する情報でした。当初懸念されていた朝日放送テレビからアイネックスへの委託業務関連情報については、これらを除き、それ以外の漏えい、または漏えいのおそれは確認されていません。

朝日放送テレビ・アイネックス不正アクセスのサマリー

• 確認済み：朝日放送テレビは2026年8月24日、グループ会社アイネックスで発生した不正アクセスに伴う調査結果を公表しました。
• 確認済み：アイネックスでは2026年6月17日、従業員1名のメールアカウントと連携するクラウドサービスへ第三者が不正アクセスしました。
• 確認済み：不正アクセスは6月24日、当該メールアカウントから外部への不審なメール送信を確認したことで発覚しました。
• 分析結果：従業員が取引先を装うフィッシングメールに反応し、フィッシングサイトへログイン情報を入力したことで、ID・パスワードが流出したことが原因と推測されています。
• 確認済み：6月24日に確認された不審メール送信により、373件のメールアドレスが漏えいしました。
• 確認済み：373件の内訳は、アイネックス従業員217件、取引先従業員112件、朝日放送グループ会社従業員44件です。
• 確認済み：第三者による操作・閲覧を否定できないメールは32件あり、そこに含まれる46件の氏名、携帯電話番号、メールアドレスに漏えいのおそれがあります。
• 確認済み：46件のうち6件が朝日放送テレビ従業員に関する情報です。
• 確認済み：当初懸念されていた朝日放送テレビからの委託業務関連情報について、上記以外の漏えい、または漏えいのおそれは確認されませんでした。
• 確認済み：アイネックスは個人情報保護委員会へ報告し、対象者へ個別に通知しています。
• 確認済み：朝日放送テレビは第一報の段階で、個人情報保護委員会、監督官庁、SARC（放送セキュリティセンター）へ報告しています。
• 確認済み：8月24日時点で、漏えい情報の不正利用は確認されていません。
• 未確認：攻撃者の属性、国家・犯罪組織との関連、金銭要求などは公表されていません。

項目	内容
調査結果公表日	2026年8月24日
初回公表日	2026年7月1日
不正アクセス発生日	2026年6月17日
発覚日	2026年6月24日
対象組織	株式会社アイネックス
委託元	朝日放送テレビ株式会社
インシデント	従業員1名のメールアカウントおよび連携クラウドサービスへの不正アクセス
侵入原因	取引先を装うフィッシングメールを起点としたID・パスワード流出と推測
漏えいが確認された情報	不審メール送信に伴うメールアドレス373件
漏えいのおそれがある情報	46件の氏名、携帯電話番号、メールアドレス
朝日放送テレビ関連	上記46件のうち6件が朝日放送テレビ従業員に関する情報
その他の委託業務関連情報	上記以外の漏えい・漏えいのおそれは確認されず
不正利用	8月24日時点で確認されていません
個人情報保護委員会	アイネックスが報告。朝日放送テレビも第一報時に報告
その他の報告先	朝日放送テレビは監督官庁、SARCへ報告
再発防止	ID・パスワード・認証の運用管理見直し、全社周知、フィッシング・パスワード使い回しに関する研修

6月17日にアイネックスのメール・クラウドへ不正アクセス

本件は、朝日放送テレビのグループ会社で、放送・映像制作などを手掛けるアイネックスの従業員アカウントが侵害された事案です。

アイネックスによると、6月24日に従業員1名のメールアカウントから外部へ不審なメールが送信されていることを確認しました。

社内調査を実施した結果、6月17日に第三者が当該メールアカウントへ不正ログインし、連携するクラウドサービスにも不正アクセスしていたことが判明しました。

アイネックスは6月24日、当該アカウントのパスワード変更と強制ログアウトなどを実施し、不正アクセスの拡大を防止する措置を講じました。

朝日放送テレビは7月1日の第一報で、同社がアイネックスへ委託している業務関連情報が影響を受けたおそれがあると公表し、調査を進めていました。

原因は取引先を装うフィッシング、ID・パスワードが流出か

外部専門事業者によるフォレンジック調査の結果、不正ログインが発生する前に、対象従業員が取引先を装うフィッシングメールに反応していたことが判明しました。

アイネックスは従業員へのヒアリングなどから、フィッシングサイトへログイン情報を入力したものと考えられ、ID・パスワード情報の流出が不正アクセスの原因と推測しています。

ここで重要なのは、クラウドサービス自体の脆弱性が悪用されたと公表されているわけではない点です。

また、多要素認証の有無や具体的なクラウドサービス名、攻撃者がどの認証方式を使用したかについては公表されていません。公開情報から推測することはできません。

不審メール送信で373件のメールアドレスが漏えい

調査では、6月24日に確認された不審なメール送信によって、373件のメールアドレスが漏えいしたことが確認されています。

内訳は次のとおりです。

対象	件数
アイネックス従業員	217件
取引先従業員	112件
朝日放送グループ会社従業員	44件
合計	373件

この373件は、フォレンジック調査で「漏えいが確認されたメールアドレス」です。

一方、クラウド上に保存されていたメールのうち、第三者による操作や閲覧を否定できないものについては、別に「漏えいのおそれ」として整理されています。

32件のメールで第三者による操作・閲覧を否定できず

アイネックスの調査では、第三者による操作・閲覧などを否定できないメールが32件確認されました。

これらのメールには、合計46件の氏名、携帯電話番号、メールアドレスが含まれており、同社はこれらを「漏えいのおそれがある情報」としています。

内訳は次のとおりです。

対象	件数
アイネックス従業員	21件
取引先従業員	19件
朝日放送テレビ従業員	6件
合計	46件

「第三者による操作・閲覧を否定できない」ことと、「実際に第三者が閲覧したことが確認された」ことは同じではありません。

このため、46件については「漏えいが確認された」と断定せず、「漏えいのおそれがある」とする必要があります。

朝日放送テレビの委託業務関連情報は6件を除き影響確認されず

朝日放送テレビは7月1日の第一報で、アイネックスへ委託している業務関連情報について、第三者に閲覧された可能性を否定できないと公表していました。

8月24日の調査結果では、朝日放送テレビ従業員に関する6件の氏名、携帯電話番号、メールアドレスについて漏えいのおそれが残りました。

一方、アイネックスは、当初懸念していた朝日放送テレビからの受託業務関連情報について、今回特定された情報以外の漏えい、または漏えいのおそれは確認されなかったとしています。

したがって、本件を「朝日放送テレビの委託業務データが広範囲に流出した事案」と表現するのは適切ではありません。

現時点で確認できる朝日放送テレビ固有の影響は、従業員6件の個人情報に漏えいのおそれがあることです。

個人情報保護委員会などへ報告、二次被害は確認されず

アイネックスは本件について個人情報保護委員会へ報告し、対象者へ個別に通知しています。

朝日放送テレビも7月1日の第一報で、個人情報を含む情報が閲覧された可能性を否定できないとして、個人情報保護委員会、監督官庁、SARCへ報告したことを明らかにしていました。

8月24日時点では、漏えいまたは漏えいのおそれがある情報について、不正利用は確認されていません。

ただし、氏名、携帯電話番号、メールアドレスなどが悪用された場合、アイネックスや朝日放送テレビ、取引先を装うフィッシングメールやなりすまし連絡に使われる可能性があります。

アイネックスは、不審なメールを受信した場合、本文中のリンクや画像をクリックせず、添付ファイルも開かずに削除するよう注意を呼びかけています。

これは現時点で二次被害が確認されているという意味ではなく、今後想定されるリスクへの注意喚起です。

再発防止で認証管理とフィッシング対策を見直し

アイネックスは再発防止策として、従業員全員のID・パスワードおよび認証に関する運用・管理方法を見直しています。

あわせて、今回の経緯や外部への影響、二次被害の可能性について全社へ共有し、注意喚起を実施しています。

今後も、フィッシングメールへの対応、パスワード使い回しの危険性などを扱う情報セキュリティ研修を継続するとしています。

一方、公開資料では、多要素認証の新規導入、条件付きアクセス、フィッシング耐性のある認証方式への移行など、具体的な技術対策までは明らかにされていません。

情報システム部門への示唆

今回の事案では、委託先の従業員1名の認証情報がフィッシングで流出したことを起点に、メールアカウントだけでなく、連携するクラウドサービスまで第三者にアクセスされました。

SaaSやクラウドサービスを利用する環境では、1つのIDがメール、ファイル共有、業務アプリなど複数サービスへの入口になる場合があります。パスワードが窃取された場合の影響を限定するため、認証情報の保護だけでなく、アカウント単位のアクセス範囲を把握しておく必要があります。

また、委託元から見れば、自社環境への直接侵入がなくても、委託先のメールやクラウドに保存された業務関連情報が影響を受ける可能性があります。

委託先管理では、ISMSなどの取得有無を確認するだけでなく、実際にどの情報をどのクラウドへ保存しているのか、従業員アカウントにどの認証方式を適用しているのか、不審ログインや大量メール送信をどのように検知するのか、事故時に委託元へ何時間以内に報告するのかまで確認する必要があります。

今回、アイネックスでは6月17日に不正アクセスが始まり、6月24日の不審メール送信によって発覚しました。認証成功後のアクセスをすべて正常とみなさず、通常と異なる場所・端末・時間帯からのログイン、短期間のメール大量送信、クラウドサービス上での異常な閲覧などを組み合わせて監視することが重要です。

フィッシング対策についても、教育だけに依存しないことが求められます。従業員が認証情報を誤って入力する可能性を前提に、フィッシング耐性のある認証、条件付きアクセス、リスクベース認証など、資格情報が漏えいしても不正ログインを成立させにくい仕組みを検討する必要があります。

出典

• グループ会社における不正アクセスに伴う当社委託情報の漏えいのおそれに関する調査結果について – 朝日放送テレビ株式会社
• メールアカウントおよびクラウドサービスへの不正アクセスに関するお詫びとお知らせ（第二報） – 株式会社アイネックス
• メールアカウントおよびクラウドサービスへの不正アクセスに関するお知らせ – 株式会社アイネックス
• グループ会社における不正アクセスに伴う当社委託情報の漏えいの可能性について – 朝日放送テレビ株式会社