中電不動産、名鉄協商へのサイバー攻撃で個人情報漏洩の恐れ

中電不動産株式会社は2026年7月28日、駐車場管理業務を委託している名鉄協商株式会社がランサムウェアによる不正アクセスを受けた事案に関連し、同社の月極駐車場を契約していた顧客情報約4,000件が外部へ漏洩した可能性があると公表しました。対象となる情報は氏名、住所、口座情報、車両情報です。現時点で具体的な情報漏洩や不正利用は確認されていませんが、中電不動産は個人情報保護委員会へ報告し、利用者へ不審な電話やSMSに注意するよう呼びかけています。

• 中電不動産が駐車場管理業務を委託する名鉄協商でランサムウェアによる不正アクセスが発生しました
• 2018年7月1日から2024年10月31日までに中電不動産の月極駐車場を契約していた顧客が対象です
• 漏洩した可能性がある情報は氏名、住所、口座情報、車両情報です
• 対象件数は約4,000件です
• 現時点で具体的な外部流出や不正利用は確認されていません
• 中電不動産は2026年7月28日、個人情報保護委員会へ報告しました
• 名鉄協商は2026年6月23日からシステム障害が発生し、後の調査でランサムウェアによる不正アクセスの痕跡を確認しました
• 委託先で発生したインシデントが、委託元の顧客情報へ波及したサプライチェーン型の事案です

項目	内容
公表日	2026年7月28日
被害企業・委託元	中電不動産株式会社
業務委託先	名鉄協商株式会社
対象業務	月極駐車場の管理業務
事案の内容	名鉄協商が運用するサーバーでランサムウェアによる不正アクセスの痕跡を確認
漏洩情報の内容	氏名、住所、口座情報、車両情報
対象期間	2018年7月1日から2024年10月31日まで
対象件数	約4,000件
具体的な情報流出	現時点では確認されていない
不正利用の有無	現時点では確認されていない
個人情報保護委員会への報告	2026年7月28日に報告済み
顧客への注意喚起	不審な電話、SMS、心当たりのない連絡に応じないよう案内
原因の詳細	名鉄協商側で調査中。侵入経路や情報持ち出しの有無は未公表
対応状況	名鉄協商と連携し調査、中電不動産は委託先管理を強化する方針

名鉄協商のランサムウェア事案が中電不動産へ波及

中電不動産は、同社が月極駐車場の管理業務を委託する名鉄協商から、同社のサーバーでランサムウェアによる不正アクセスの痕跡が確認されたとの報告を受けました。

名鉄協商側の調査では、具体的な情報漏洩の事実は確認されていないものの、サーバーに保管されていた中電不動産の顧客情報が外部へ漏洩した可能性を否定できない状態です。

中電不動産はこの報告を受け、2026年7月28日に個人情報保護委員会へ報告しました。公表内容では、警察への相談状況や対象顧客への個別通知の有無は明らかにされていません。

今回の事案は、中電不動産のシステムが直接不正アクセスを受けたものではありません。駐車場管理を担う委託先のサーバーに保管されていた顧客情報が影響を受けた可能性がある、委託先経由のインシデントです。

月極駐車場の顧客情報約4,000件が対象

漏洩した可能性があるのは、2018年7月1日から2024年10月31日までの間に、中電不動産の月極駐車場を契約していた顧客の情報です。

対象となる情報は次の4項目です。

• 氏名
• 住所
• 口座情報
• 車両情報

件数は約4,000件とされています。対象件数が契約者数を指すのか、契約情報のレコード数を指すのかは説明されていません。

口座情報の具体的な項目も公表されていません。金融機関名、支店名、口座番号、口座名義などのどこまでが含まれるのかは不明です。車両情報についても、車種、車両番号、登録番号など、対象項目の詳細は明らかにされていません。

中電不動産は、現時点で本件に起因する不正利用などの被害は確認されていないと説明しています。

実際の情報流出は確認されていない

今回の発表で重要なのは、顧客情報が外部へ流出した事実が確認されたわけではない点です。

名鉄協商が運用するサーバーではランサムウェアによる不正アクセスの痕跡が確認されましたが、攻撃者が中電不動産の顧客情報へアクセスしたのか、ファイルを外部へ送信したのかは判明していません。

ランサムウェア攻撃では、ファイルを暗号化する前に情報を持ち出し、公開や売却を材料に金銭を要求する二重恐喝が使われる場合があります。一方、ランサムウェアの痕跡があることだけで、データの窃取まで行われたと断定することはできません。

ログの不足、攻撃者によるログ削除、暗号化による調査の制約などにより、情報持ち出しの有無を完全に判断できない場合があります。中電不動産は、具体的な漏洩は確認されていないものの、可能性を否定できないとして公表と当局報告を行いました。

名鉄協商では6月23日からシステム障害

名鉄協商では2026年6月23日、第三者による不正アクセスに起因するシステム障害が発生しました。

同社はネットワークを遮断し、各種Webサービスを停止して外部の専門家と調査を進めました。その後、サーバーにランサムウェアによる不正アクセスの痕跡が確認されたと公表しています。

本サイトでは、初期のシステム停止とランサムウェアの痕跡について、名鉄協商、ランサムウェアによる不正アクセスの痕跡を確認で取り上げています。

名鉄協商は2026年7月22日、カーシェアリングサービスのカリテコや法人向けMKPビジネスカードなど、一部のWebサービスを再開しました。復旧状況については、名鉄協商、不正アクセスによるシステム障害から一部サービスを復旧で整理しています。

中電不動産の今回の発表により、名鉄協商のインシデントが自社サービスの停止だけでなく、業務委託元から預かった顧客情報にも影響した可能性が明らかになりました。

契約終了後の顧客情報も対象に含まれる可能性

対象期間は2018年7月1日から2024年10月31日までです。発表日から見ると、少なくとも1年9か月以上前に契約期間が終了した顧客情報も対象に含まれる可能性があります。

ただし、対象者全員がすでに契約を終了していることや、保存期間が不適切だったことを意味するものではありません。契約書、請求・入金記録、法令上の保存義務、問い合わせ対応などのため、契約終了後も一定期間情報を保管する必要がある場合があります。

一方で、保存する目的が終了した情報を長期間保持すると、インシデント発生時の影響範囲が広がります。

委託元と委託先は、保存が必要な情報項目、保存期間、削除方法、バックアップからの削除、契約終了時の返却・消去について、定期的に見直す必要があります。

氏名・住所・車両情報を使うなりすましに注意

中電不動産は、利用者に対し、不審な電話やSMSに十分注意し、心当たりのない連絡へ応じないよう呼びかけています。

氏名、住所、契約していた駐車場、車両情報などが組み合わされると、中電不動産、名鉄協商、駐車場管理会社、金融機関を装う連絡に説得力を持たせることができます。

想定される連絡には、口座振替の再登録、駐車場料金の未払い、契約更新、車両登録の確認、返金、補償などを口実にしたフィッシングや電話詐欺があります。

これは、現時点でそのような二次被害が確認されたという意味ではありません。漏洩の可能性がある情報の内容から考えられるリスクです。

利用者は、電話やSMSで口座情報、暗証番号、インターネットバンキングの認証コードを求められても回答せず、中電不動産または名鉄協商の公式窓口へ自分で連絡して確認する必要があります。

委託元にも個人情報保護の責任

個人情報の取扱いを外部事業者へ委託しても、委託元の管理責任がなくなるわけではありません。

個人情報保護委員会は、個人データの取扱いを委託する場合、委託先に対する必要かつ適切な監督を行うことを求めています。委託先の選定、契約、取扱状況の把握などを通じて、安全管理措置が実施されているかを確認する必要があります。

中電不動産は、本件を重く受け止め、今後は委託先管理を一層強化するとしています。

今回のように委託先が複数企業のデータを同じ基盤で管理している場合、一度の侵害が複数の委託元へ波及します。委託元は、自社システムの対策だけでなく、委託先のランサムウェア対策、バックアップ、アクセス管理、ログ保全、インシデント通知体制を確認する必要があります。

委託先への不正アクセスが顧客企業へ波及した別の事例としては、フラウ・インターナショナルが委託先への不正アクセスで顧客情報漏洩の可能性を公表した事案もあります。

個人情報保護委員会へ報告

中電不動産は2026年7月28日、個人情報保護委員会へ本件を報告しました。

個人情報保護委員会は、不正アクセスなど不正な目的で行われたおそれがある行為により、個人データが漏洩した場合や、そのおそれがある場合を報告対象としています。

本人の数が1,000人を超える漏洩またはそのおそれも、報告が必要となる事態の一つです。本件は約4,000件が対象で、不正アクセスによる情報漏洩の可能性があるため、中電不動産は報告を行ったとみられます。

同委員会の案内では、漏洩などを発覚した場合、速報を原則として3～5日以内、確報を30日以内に行います。不正な目的による行為が関係する場合、確報の期限は60日以内です。

中電不動産が今回行った報告が速報または確報のどちらに当たるのかは公表されていません。

情報システム部門への示唆

情報システム部門と個人情報保護担当部門は、自社の顧客データをどの委託先が、どのシステムで、どの期間保管しているかを把握してください。

業務委託契約には、インシデント発生時の通知期限、調査への協力、ログ提供、再委託先の管理、対象者への通知費用、当局報告、損害負担などを具体的に記載する必要があります。

委託先からの通知が、調査完了後や公表直前にならないよう、侵害の疑いを把握した段階で速報を受ける連絡体制を設けてください。委託元には個人情報保護委員会への報告期限があるため、委託先からの連絡が遅れると法定対応にも影響します。

データ台帳では、委託先名、保管場所、情報項目、件数、保存期間、削除予定日、再委託先、アクセス権限を記録します。業務終了後も残っているデータやバックアップを定期的に確認し、保存目的が終了した情報を削除できる運用を整えてください。

ランサムウェア対策では、MFA、VPNやリモートアクセス機器の更新、ネットワーク分離、EDR、改ざんされないバックアップ、管理者権限の制限、ログの長期保全が重要です。

委託先の監査を質問票だけで終わらせず、脆弱性診断、第三者認証、インシデント対応訓練、復旧時間の実績、バックアップ復元テストなど、実際の運用状況を確認してください。

利用者への案内では、漏洩の有無が確定していないことを明確にしつつ、想定されるフィッシング、なりすまし、口座関連の不審連絡について具体的に伝える必要があります。

出典

• 当社業務委託先における不正アクセスに伴うお客さま情報漏えいの可能性について – 中電不動産
• 不正アクセスによるシステム障害発生に関するお知らせ – 名鉄協商
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• 名鉄協商、ランサムウェアによる不正アクセスの痕跡を確認 – セキュリティ対策Lab
• 名鉄協商、不正アクセスによるシステム障害から一部サービスを復旧 – セキュリティ対策Lab
• フラウ・インターナショナル、委託先への不正アクセスで顧客情報漏洩の可能性 – セキュリティ対策Lab