日本経済新聞社、クラウドへの不正アクセスで約183万件の情報漏えい―約15万件の個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月16日更新日時: 2026年10月16日

日本経済新聞社は2026年10月16日、システム開発に利用するクラウドサービスが第三者の不正アクセスを受け、約183万件の情報が漏えいしたと公表しました。このうち、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含む個人情報は約15万件で、約12万件にメールアドレスが含まれています。残る約168万件は、単体では個人を特定できない識別子のみだったとしています。

不正アクセスは10月7日未明から朝にかけて発生しました。クラウドへアクセスするための認証情報が何らかの手段で窃取されており、同社は不正アクセスに利用された認証情報を無効化しています。16日時点で情報の悪用などの二次被害は確認されていません。

今回の漏えい情報が実際にフィッシングや詐欺へ転用された事実は確認されていませんが、氏名と連絡先などが組み合わされた場合には、個人だけでなく企業で働く利用者も、不審なメールや電話に注意が必要です。

日本経済新聞社への不正アクセス・情報漏えいのサマリー

日本経済新聞社が2026年10月16日15時、約183万件の情報漏えいを公表しました。
攻撃対象は、同社がシステム開発に利用していたクラウドサービスです。
不正アクセスは10月7日未明から朝にかけて発生しました。
約15万件には氏名、メールアドレス、住所、電話番号、生年月日のいずれかが含まれます。
この約15万件のうち、メールアドレスを含むものは約12万件です。両者を合算する数字ではありません。
約168万件は、単体では個人を特定できない識別子のみの情報です。
クラウドへの認証情報が窃取され、不正アクセスに使用されました。窃取手段の詳細は公表されていません。
10月11日に個人情報保護委員会へ報告。侵害範囲と情報項目の精査を続けています。
16日時点で情報の不正利用などの二次被害、システム停止やデータ改ざんは確認されていません。
漏えいが確認された個人情報の対象者には、個別に通知する方針です。

項目	公表内容
公表日	2026年10月16日
事業者	株式会社日本経済新聞社
対象環境	システム開発に利用するクラウドサービス
不正アクセスの発生	2026年10月7日未明～朝
確認された侵害	窃取された認証情報によるクラウドへの不正アクセス、保存情報の漏えい
漏えい規模	約183万件（件数であり人数とは限らない）
氏名・連絡先などを含む情報	約15万件。このうちメールアドレスを含む情報は約12万件
識別子のみの情報	約168万件（単体では個人を特定できないもの）
対応	不正アクセスに使用された認証情報の無効化、影響調査、対象者への個別通知方針
関係機関への報告	10月11日、個人情報保護委員会へ報告
16日時点の状況	二次被害、システム停止、データ改ざんは確認されていない

約183万件のうち、氏名や連絡先を含む情報は約15万件

日本経済新聞社の公表で区別する必要があるのは、総件数約183万件と、氏名などを含む約15万件の関係です。

約15万件については、氏名、メールアドレス、住所、電話番号、生年月日の「いずれか」が含まれると説明されています。すべての項目が一人ひとりの情報にそろって含まれるという発表ではありません。メールアドレス約12万件も、この約15万件の内数です。

約168万件は単体では個人を特定できない識別子のみで、情報の性質が異なります。ただし、識別子がほかの情報と結び付くリスクは別途評価されるべきものであり、「183万人の氏名・住所が流出した」といった理解は正確ではありません。

公表された情報項目から、漏えい対象が日経電子版の購読者に限定されるのか、法人契約者・取引先・イベント利用者などを含むのかは特定できません。対象者には日本経済新聞社が個別に通知するとしています。

窃取されたクラウド認証情報で不正アクセス、10月7日に発生

今回の攻撃では、システム開発用クラウドへのアクセスに使う認証情報が第三者に窃取されていました。攻撃者がその情報でアクセスし、クラウド上の保存情報が漏えいしました。日本経済新聞社は悪用された認証情報を無効化し、被害範囲の確認と原因究明、セキュリティ強化策を進めるとしています。

同社は2026年9月30日にも別件で、社員のMicrosoft 365アカウントから約9,000件の不審メールが送信された事案を公表しています。また、Google Workspaceや日経BPなどで発生した過去の事案もあります。それぞれの公表内容は日経グループへのサイバー攻撃・不正ログイン事例まとめで整理しています。

今回の10月7日のクラウド侵害と、過去のメールアカウント侵害について、同一の攻撃者や共通の侵入経路が確認されたわけではありません。今回も認証情報が「どのように窃取されたか」は明らかになっておらず、フィッシングが侵入原因だったとは断定できません。

個人向け：日経を装うメール・電話からの追加被害に注意

今回の漏えいを契機として、個人が警戒したいのは、日本経済新聞社や関連サービスを名乗って認証情報や追加の個人情報を聞き出す連絡です。これは現時点で確認された二次被害の報告ではなく、漏えいした連絡先が悪用された場合を想定した予防策です。

特に、次のような連絡には注意してください。

「情報漏えいの補償手続き」「本人確認が必要」「日経IDの再設定」「料金の返金」を名目に、メールやSMS内のURLからログインを促す連絡。
氏名、住所や過去の利用情報を知っているかのように装い、パスワード・確認コード・クレジットカード番号を入力させる連絡。
日経の担当者やサポート窓口を名乗る電話で、認証コードの読み上げや遠隔操作アプリの導入を求める連絡。

メールやSMSのリンクから手続きせず、事前に保存した公式サイトやブックマーク、正規アプリから案内を確認します。電話の場合は一度切り、公式サイトに掲載された連絡先へ自分からかけ直してください。差出人名や画面に表示される電話番号だけで本物と判断しないことも有効です。

すでに不審なサイトへ認証情報を入力した場合は、正規サイトから速やかにパスワードを変更し、同じパスワードを使うほかのサービスも確認してください。フィッシング詐欺の手口と対策では、メール、SMS、電話から誘導されるケースを整理しています。

法人向け：標的型攻撃メールとボイスフィッシングへの備え

日経電子版は、経営企画・マーケティングなどの職種や管理職を含むビジネスパーソンに利用されています。日本経済新聞社の媒体資料でも、有料会員のうち「経営＋経営企画・マーケ」が24%、部長以上が31%を占めるとしています。ただし、今回漏えいした約15万件に、こうした会員がどの程度含まれるかは公表されていません。

企業側では、社用メールアドレスへの連絡や業務上の用件を装った接触に備えておく必要があります。例えば、日経を名乗る「請求書の確認」「法人向け契約の更新」「取材・記事利用に関する確認」などのメールが届いても、本文のリンクや添付ファイルをそのまま開かず、既知の担当者・公式窓口へ別経路で確認する運用です。これらは想定される詐欺の口実であり、今回の情報が実際にそうした手口へ使われたと確認されたものではありません。

情報システム部門・管理部門で具体的に確認したい点は次のとおりです。

標的型攻撃メール対策：日経関連の通知や請求を装うメールも、不審メール報告の対象にする。正規企業名や過去のやり取りがあっても、URL・添付ファイル・認証要求は別途確認する。
ボイスフィッシング対策：電話で本人確認やアカウント保護を理由にワンタイムパスワード、MFA承認、社内システムへのログインを求められても応じない。公式に把握している番号へ折り返す。
管理職・経理・総務への周知：契約更新、振込先変更、アカウント保護、取材依頼といった業務を装う連絡では、通常の社内承認と別経路での確認を省略しない。
メールと電話を組み合わせた訓練：不審メールを開いたかだけでなく、通話中の指示でURLにアクセスしたり、MFAを承認したりせず、CSIRTや情報システム部門へ報告できるかを確認する。
不審連絡の横断調査：日経名義で同じ内容のメールが複数部署に届いた場合、担当者個人の判断で終わらせず、メールログや報告を突き合わせて社内全体の受信状況を確認する。

訓練の設計については標的型攻撃メール訓練の実施方法と効果測定を、電話を使ったなりすましと認証情報の聞き出しはボイスフィッシングの手口・事例と対策を参照してください。