扶桑電通、クラウドストレージへの不正アクセスで個人情報 2万6,489件に漏えいの可能性　認証情報を不正利用

扶桑電通株式会社は2026年9月10日、7月に公表したクラウドストレージへの不正アクセスについて、第2報を公表しました。

外部のセキュリティ専門会社と調査した結果、第三者による認証情報の不正利用が原因だったことを確認しています。一方、その認証情報がどのような経路で第三者へ渡ったのかは特定できませんでした。

不正アクセスを受けた共有フォルダには、取引先の顧客や担当者の氏名、住所、電話番号を含むファイルが保存されており、漏えいした可能性がある個人情報は2万6,489件です。

銀行口座番号やクレジットカード情報などの決済関連情報は対象に含まれていません。9月10日時点で、個人情報の不正利用などの二次被害も確認されていません。

扶桑電通は第1報後、外部利用者を対象とした多要素認証（MFA）の導入、パスワードポリシー強化、外部共有フォルダ管理の見直し、年2回のアカウント棚卸しなどを再発防止策として実施しています。

扶桑電通クラウドストレージ不正アクセスのサマリー

確認できている内容：

• 扶桑電通は2026年7月15日、クラウドストレージの共有フォルダへの不正アクセスを確認しました。
• 対象は、同社が社外関係者との情報共有に利用していた共有フォルダです。
• 7月22日に第1報を公表し、一部情報に漏えいの可能性があると説明しました。
• 9月10日の第2報で、第三者による「認証情報の不正利用」が原因だったことを確認しました。
• 認証情報が不正利用された具体的な経路は特定できていません。
• 認証情報の不正利用以外に、本件に関連する不審な活動は確認されませんでした。
• 不正アクセスを受けた共有フォルダには個人情報を含むファイルが保存されていました。
• 漏えいの可能性がある個人情報は2万6,489件です。
• 対象は取引先の顧客および担当者です。
• 対象情報は氏名、住所、電話番号です。
• 銀行口座番号、クレジットカード情報などの決済関連情報は含まれていません。
• 対象者には個別に連絡しています。
• 9月10日時点で個人情報の不正利用などの二次被害は確認されていません。
• 外部利用者へのMFA義務化などの再発防止策を進めています。
• 9月10日時点で調査は完了しており、新たな事実は確認されていません。

項目	内容
不正アクセス確認	2026年7月15日
第1報	2026年7月22日
第2報	2026年9月10日
対象組織	扶桑電通株式会社
対象サービス	同社が利用するクラウドストレージ
対象	社外関係者との共有フォルダ
原因	第三者による認証情報の不正利用
認証情報の流出経路	特定できず
漏えいの可能性がある個人情報	26,489件
対象者	取引先の顧客および担当者
情報項目	氏名、住所、電話番号
決済関連情報	銀行口座番号、クレジットカード情報などは対象外
二次被害	9月10日時点で確認されず
個人情報保護委員会	第1報時点で報告済み
調査状況	9月10日時点で完了

7月15日にクラウドストレージへの不正アクセスを確認

扶桑電通は2026年7月15日、社外関係者との情報共有に利用していたクラウドストレージサービスの共有フォルダの一部に、第三者が不正アクセスしていたことを確認しました。

不正アクセス確認後、同社は当該共有フォルダへのアクセス権を停止し、関係システムの調査を開始しました。

さらに、

• 共有フォルダの共有停止
• 関係アカウントの削除
• アクセスログの調査
• 対象顧客への個別連絡

を進めました。

不正アクセスされたフォルダの一部には個人情報が保存されていたため、第1報の段階で個人情報保護委員会へ漏えいの可能性がある事案として報告しています。

原因は「認証情報の不正利用」

9月10日の第2報で、扶桑電通は不正アクセスの原因を公表しました。

外部のセキュリティ専門会社と調査した結果、第三者が認証情報を不正利用し、共有フォルダへアクセスしていたことを確認しています。

一方、その認証情報を第三者がどのように取得したかは特定できませんでした。

したがって現時点では、

• フィッシング
• パスワードリスト攻撃
• マルウェアによる認証情報窃取
• 他サービスから漏えいしたパスワードの使い回し
• 内部からの持ち出し

など、具体的な窃取経路を断定することはできません。

扶桑電通は、本件に関連して認証情報の不正利用以外の不審な活動は確認されなかったとしています。

個人情報2万6,489件に漏えいの可能性

不正アクセスを受けた共有フォルダには、取引先に関係する個人情報を含むファイルが保存されていました。

漏えいした可能性がある情報は次のとおりです。

対象者	情報	件数
取引先の顧客および担当者	氏名、住所、電話番号	26,489件

公式発表は「漏えいの可能性がある個人情報」としており、2万6,489件すべてについて外部への持ち出しを確認したとはしていません。

銀行口座・クレジットカード情報は対象外

扶桑電通によると、漏えいの可能性がある情報に、

• 銀行口座番号
• クレジットカード情報
• その他の決済関連情報

は含まれていません。

今回公表された対象項目は、氏名、住所、電話番号です。

一方、住所と電話番号を含む個人情報が第三者に渡った場合、なりすまし電話やフィッシング、営業連絡を装った詐欺などに悪用される可能性があります。

対象者には扶桑電通から個別に連絡しています。

9月10日時点で二次被害は確認されず

扶桑電通は9月10日時点で、本件に起因する個人情報の不正利用などの二次被害は確認していません。

ただし、不正利用が確認されていないことと、情報漏えいの可能性が否定されたことは別です。

今回の調査では、対象共有フォルダへの不正アクセスと、そこに個人情報が保存されていたことまで確認されています。

そのため扶桑電通は、対象者への個別連絡を継続しています。

外部利用者へのMFAを義務化

再発防止策として、扶桑電通はクラウドストレージの外部利用者を対象に多要素認証（MFA）を導入します。

認証情報が第三者に取得された場合でも、パスワードだけではアクセスできない状態にする対策です。

今回の事案では、第三者による認証情報の不正利用が原因として確認されています。

そのため、パスワード単体の認証からMFAへ移行することは、今回確認された攻撃経路に直接対応する対策になります。

ただし、MFAにも方式によってフィッシング耐性が異なります。

クラウドストレージや重要SaaSでは、可能であれば、

• パスキー
• FIDO2セキュリティキー
• 証明書ベース認証

など、フィッシング耐性のある認証方式も検討対象になります。

パスワードポリシーと共有フォルダ管理も見直し

扶桑電通はMFA以外にも複数の再発防止策を公表しています。

パスワードポリシーの強化

パスワードの複雑性要件を見直し、定期的な変更ルールを適用するとしています。

認証情報の管理ルールを改め、第三者による不正利用を防ぐ狙いです。

外部共有フォルダの運用ルールを強化

社外関係者との情報共有に利用するフォルダについて、

• 利用実態
• アクセス権の管理方法
• 定期点検ルール

を見直します。

クラウドストレージでは、プロジェクト終了後も外部アカウントや共有権限が残り続ける場合があります。

保存する情報とアクセス可能な利用者を定期的に確認する必要があります。

年2回のアカウント棚卸しを実施

扶桑電通は、アカウント管理の一環として年2回の棚卸しを実施するとしています。

棚卸しでは、

• ルール違反のアカウント
• 不要になったアカウント

を検出し、整理します。

特に外部利用者向けのクラウドアカウントでは、

• 退職
• 異動
• 契約終了
• プロジェクト終了

によって不要になった権限が残りやすくなります。

アカウントが不要になったタイミングで削除する仕組みに加え、定期棚卸しで取りこぼしを確認する運用が必要です。

社内セキュリティ教育も継続

扶桑電通は情報セキュリティ教育の一環として、定期的な社内教育も実施するとしています。

今回の認証情報がどのような経路で第三者に取得されたかは特定できていないため、今回の事案が従業員のフィッシング被害だったと断定はできません。

ただし、認証情報を狙う攻撃への対策では、

• フィッシング
• パスワード使い回し
• 不審なMFA承認要求
• 偽ログインページ
• 未承認ブラウザー拡張
• インフォスティーラー

などを想定した教育が対象になります。

第1報から第2報までの時系列

日付	内容
2026年7月15日	クラウドストレージの共有フォルダへの不正アクセスを確認
7月15日以降	共有フォルダのアクセス停止、関係アカウント削除、アクセスログ調査
7月22日	第1報を公表。個人情報を含む一部情報に漏えいの可能性があると発表
7月22日時点	個人情報保護委員会へ第1報を提出
7月以降	外部セキュリティ専門会社と原因・影響範囲を調査
9月10日	第2報を公表。認証情報の不正利用を確認
9月10日	個人情報2万6,489件に漏えいの可能性があると公表
9月10日	調査完了、新たな事実は確認されず

クラウドストレージでは「共有先」までID管理の対象にする

今回の事例では、社内利用者だけでなく、社外関係者との情報共有に使うクラウドストレージが対象でした。

企業ではクラウドストレージの管理を、

「誰がファイルをアップロードできるか」

だけでなく、

「外部の誰が、いつまで、どの情報へアクセスできるか」

まで管理する必要があります。

確認したい項目は次のとおりです。

• 外部利用者にもMFAを必須化しているか
• 共有リンクに有効期限を設定しているか
• 外部アカウントをプロジェクト終了時に削除しているか
• 共有フォルダへ保存する個人情報を必要最小限にしているか
• 共有フォルダへの大量ダウンロードを検知できるか
• 通常と異なる国・地域からのログインを監視しているか
• 同一アカウントの不自然な同時ログインを検知できるか
• 退職者・契約終了者のアカウントを自動で停止できるか
• 外部共有の棚卸しを定期的に実施しているか
• 監査ログを調査可能な期間保存しているか

クラウドサービスでは、サーバー自体に侵入されなくても、正規の認証情報が悪用されれば第三者が正規ユーザーと同じ経路から情報へアクセスできます。

そのため、ID管理と共有権限管理をクラウドストレージの主要なセキュリティ対策として扱う必要があります。

情報システム部門への示唆

扶桑電通の第2報では、原因として「認証情報の不正利用」まで特定できた一方、その認証情報が盗まれた具体的経路は分かりませんでした。

このようなケースでは、インシデント後にパスワードだけを変更して終わらせず、

• 既存セッションの失効
• MFA再登録
• OAuth・外部アプリ連携の確認
• 共有リンクの失効
• APIキー・トークンの確認
• 不審なダウンロード履歴の確認
• 外部ユーザーの棚卸し

まで実施する必要があります。

また、外部利用者にMFAを適用していなかった場合、社内のMFA導入率だけをKPIにしても、クラウド共有経路のリスクは残ります。

自社従業員、委託先、取引先、外部ゲストを含め、「クラウドへアクセスする全利用者」を認証ポリシーの対象にできているかを確認する必要があります。

情報漏えい対策全体については、情報漏洩対策とは？企業が実施すべき原因別の予防策と発生時の対応でも整理しています。

出典

• 当社が利用するクラウドストレージへの不正アクセスについて（第2報） – 扶桑電通株式会社
• 当社が利用するクラウドストレージへの不正アクセスについて（第1報） – 扶桑電通株式会社