2025年4月11日、精密部品メーカーのミネベアミツミ株式会社は、自社ファイルサーバーが外部からのサイバー攻撃を受けたことにより、株主などを含む最大約16万件の個人情報が外部に流出した可能性があると発表しました。これは、同社が3月18日に公表した第一報に続くもので、最新の調査結果と対応状況を明らかにした第二報となります。
目次
サイバー攻撃の経緯と初動対応
2025年3月11日、ミネベアミツミの特定拠点に設置されたファイルサーバーが、悪意ある第三者による不正アクセスを受けたことが社内の監視体制によって検知されました。同社は即座に外部接続の遮断と当該サーバーのネットワークからの隔離を実施。その後、外部のセキュリティ専門機関および弁護士と連携して、原因の特定と影響範囲の調査を開始しました。
また、2025年3月18日にはこの事象を公表するとともに、警察および個人情報保護委員会へも報告を行っています。
漏洩した可能性のある情報の内容
現時点で判明している限りでは、以下の情報が流出した可能性があるとしています。
個人情報最大約16万件
-
ミネベアミツミグループの一部顧客・取引関係者の情報
（氏名、住所、所属会社名、役職、電話番号、メールアドレス等） -
一部の株主および元株主の情報
（氏名、住所、保有株数等） -
グループ従業員の情報
（氏名、住所、電話番号、メールアドレス等）
該当する個人には、順次文書による連絡が行われる予定ですが、連絡先不明者については本リリースをもってお知らせとするとのことです。
個人以外の法人取引先情報
法人の取引先に関しては、ミネベアミツミの営業担当部署が個別に対応を進めています。
現時点での影響と今後の対応
同社によると、ネットワークのセキュリティ点検はすでに完了しており、全てのシステムは問題なく安全に運用されているとしています。これまでのところ、事業運営に支障をきたすような影響や、情報の不正利用といった二次被害は確認されていません。
サイバー攻撃の原因は、第三者がVPNを悪用してネットワーク機器に不正アクセスし、内部システムへ侵入したことに起因していると特定されています。現在は被害範囲の最終確認と、再発防止策の策定が進められており、今後は自社ウェブサイトを通じて随時報告が行われる予定です。
標的型攻撃メールへの注意喚起
今回流出の可能性がある情報の中には、法人の業務用メールアドレスが含まれています。これにより、攻撃者が以下のような手口で悪意ある標的型攻撃メールを送信してくる可能性があります
-
実在の取引先を装ったフィッシングメール（請求書、見積書、注文書などを偽装）
-
マルウェアが添付されたZIPファイルやOffice文書
-
偽ログインページへの誘導（パスワードの搾取目的）
企業のIT部門および個人ユーザーは、以下の対応を徹底する必要があります
-
不審な送信元、件名、添付ファイルを開かない
-
メールに記載されたURLは直接クリックせず、公式サイト経由で確認する
-
不審メールは速やかに情報システム部門に報告する
セキュリティ観点からの注意点と一般対策
今回の事案を受け、企業や団体が参考にすべき情報セキュリティ上の教訓と対策は以下のとおりです。
VPN利用の見直しと強化
-
多要素認証（MFA）の導入：VPN接続においては、ID・パスワードだけでなく、多要素認証を必須にするべきです。
-
不要なVPNアカウントの整理：使用されていないアカウントは即時削除し、アクセス範囲も最小限に制限する。
-
VPNソフトウェアの最新化：脆弱性の対象になりやすいため、常に最新バージョンへの更新を行う。
ログ監視と不正アクセスの早期検知
-
SIEMの導入や外部SOCサービスの活用により、異常なトラフィックや挙動をリアルタイムで監視。
-
アクセスログや操作履歴を継続的に保全し、インシデント発生時にトレース可能な状態を維持する。
情報の保管ルールの徹底
-
古いデータは定期削除：保存期間が過ぎた個人情報や業務データを残すことはリスクそのもの。
-
保存領域の分類：業務継続に必要なファイルと保管不要なデータを明確に分離し、アクセス権を分ける。
社員教育とルール策定
-
セキュリティ意識向上研修：全社員がサイバー攻撃のリスクを理解し、日々の業務で警戒心を持つことが必要。
-
インシデント対応マニュアルの整備：迅速かつ的確な初動対応を可能にする手順書を社内に整備しておく。
