エヌ・イー ケムキャット、従業員アカウント悪用で社内システムに不正アクセス　マルウェア実行が原因か、個人情報漏えいのおそれ

エヌ・イー ケムキャット株式会社は2026年8月20日、従業員が使用するアカウントを第三者に不正利用され、一部の社内システムへ不正アクセスを受けたと公表しました。

同社は5月28日に社内システムの不審な挙動を検知し、調査によって第三者による従業員アカウントの不正利用を確認しました。外部専門調査機関による調査は7月31日に完了し、個人情報を含むファイルについて「漏えいまたは漏えいしていたおそれがある」ことが判明したとしています。

原因について、外部専門調査機関からは同社の端末上でマルウェアが実行されたことにあると考えられるとの報告を受けています。ただし、マルウェアがどのように端末へ侵入したのか、マルウェアの種類、従業員アカウントがどのような方法で不正利用可能になったのかは公表されていません。

対象となる可能性がある情報には、従業員・退職者の氏名、住所、生年月日、人事情報のほか、派遣社員、常時業務を行う業務委託先の関係者、グループ会社社員の情報が含まれます。対象人数・件数は8月20日時点で公表されていません。

エヌ・イー ケムキャットの不正アクセスのサマリー

• 【確認済み】エヌ・イー ケムキャットは2026年5月28日、社内システムで不審な挙動を検知しました。
• 【確認済み】調査の結果、第三者が従業員の使用アカウントを不正利用し、一部の社内システムへアクセスしていたことを確認しました。
• 【確認済み】外部専門調査機関による調査は7月31日に完了しました。
• 【確認済み】個人情報を含む社内システム内のファイルについて、漏えいまたは漏えいしていたおそれがあることが判明しました。
• 【確認済み】外部専門調査機関は、原因について同社端末上でマルウェアが実行されたことにあると考えられると報告しています。
• 【確認済み】対象情報には従業員・退職者、派遣社員、一部の業務委託先関係者、グループ会社社員の個人情報が含まれます。
• 【確認済み】公表時点で、対象となる個人情報がインターネット上に公開された事実などは確認されていません。
• 【確認済み】不正利用されたアカウントの封じ込めは完了し、8月20日時点で社内システムへの不正アクセスは確認されていません。
• 【確認済み】個人情報保護委員会への報告と警察への被害申告を実施しています。
• 【確認できず】対象人数・件数は公表されていません。
• 【確認できず】マルウェアの侵入経路、種類・ファミリー、IOCは公表されていません。
• 【確認できず】従業員アカウントがどのような方法で不正利用可能になったのかは公表されていません。
• 【確認できず】ランサムウェア、攻撃者・脅威アクター、国家関与を示す情報は公表されていません。

項目	内容
公表日	2026年8月20日
検知日	2026年5月28日
外部調査完了日	2026年7月31日
対象組織	エヌ・イー ケムキャット株式会社
インシデント	従業員アカウントの不正利用による一部社内システムへの不正アクセス
原因	外部専門調査機関は、同社端末上でマルウェアが実行されたことにあると考えられると報告
マルウェア侵入経路	確認できませんでした
漏えい・流出した情報	従業員・退職者、派遣社員、常時業務を行う業務委託先関係者、グループ会社社員の個人情報について漏えいまたはそのおそれ
対象件数	公表されていません
インターネット上での公開	公表時点で確認されていません
現在の不正アクセス	8月20日時点で確認されていません
対応	アカウント封じ込め、パスワード変更、アクセス制御強化、関連端末・システム調査、認証情報見直し、監視強化など
個人情報保護委員会への報告	実施済み
警察への申告	被害申告済み

5月28日に不審な挙動を検知、従業員アカウントの不正利用を確認

エヌ・イー ケムキャットは5月28日、社内システムで不審な挙動を検知しました。

直ちに調査した結果、第三者が同社従業員の使用するアカウントを不正に利用し、一部の社内システムへアクセスしていたことを確認しています。

同社は当該アカウントのパスワードを変更し、関係システムへのアクセス制御を強化するとともに、外部専門調査機関へ調査を依頼しました。

不正アクセスが確認されたのは「一部社内システム」とされており、具体的なシステム名やサーバー、クラウドサービスなどは公表されていません。

また、従業員アカウントがどのような認証方式で保護されていたのか、多要素認証が利用されていたのかについても公表資料からは確認できません。

原因は「端末上でマルウェアが実行されたこと」と外部調査機関が報告

外部専門調査機関による調査は7月31日に完了しました。

調査結果について、エヌ・イー ケムキャットは「本事象の原因につき、当社の端末上でマルウェアが実行されたことにあると考えられる旨の報告を受けております」と説明しています。

ここで注意したいのは、「マルウェア実行」と「従業員アカウントの不正利用」の間にどのような技術的な経路があったのかまでは公表されていない点です。

情報窃取型マルウェアによるパスワード窃取、ブラウザセッション情報の窃取、遠隔操作など複数の手法が一般論としては考えられますが、本件でどの手法が使われたかは確認できません。

また、マルウェアがメール添付ファイル、Webサイト、ソフトウェア、外部媒体など、どの経路から端末上で実行されたのかも明らかにされていません。

したがって、本件を「フィッシングメールが原因」「インフォスティーラーによる認証情報窃取」などと断定することはできません。

セキュリティ対策Labでは、マルウェア感染と認証情報管理のリスクについて、QUICK、社員の個人PCがウイルスに感染し、業務IDの認証情報が漏洩でも取り上げています。ただし、QUICKの事案と今回の侵入経路が同じであることを示す情報はありません。

個人情報を含むファイルに「漏えいまたは漏えいのおそれ」

外部専門調査機関の調査では、不正アクセスを受けた一部社内システムに保存されていたファイルについて、個人情報の漏えいまたは漏えいしていたおそれがあることが判明しました。

対象者と情報は次の通りです。

対象者	対象となる情報
従業員・退職者	氏名、性別、生年月日、住所、メールアドレス、電話番号、人事情報など
派遣社員、事業所内で常時業務を行う業務委託先の関係者	氏名、性別、所属会社など
グループ会社社員	氏名、所属会社、役職など。一部はメールアドレス、電話番号等の連絡先情報

8月20日の公表では、対象となる人数・件数は明らかにされていません。

また、公表された対象情報の一覧には、顧客や一般消費者、取引先担当者の個人情報は記載されていません。ただし、これは今回公表された対象範囲についての記載であり、公開情報だけから社内システム全体の保存情報を推測することはできません。

「インターネット上で公開された事実なし」と「漏えいなし」は別

エヌ・イー ケムキャットは、公表時点で対象となる個人情報がインターネット上に公開された事実などは確認されていないと説明しています。

一方で、外部専門調査機関の調査結果を踏まえ、個人情報を含むファイルについて漏えいまたは漏えいしていたおそれがあると公表しています。

したがって、

「インターネット上で公開されていない」
「個人情報の漏えいがなかった」

は同じ意味ではありません。

情報が攻撃者に取得された後、公開されずに保持されるケースもあります。本件では、外部への持ち出しの具体的な証跡や対象ファイルごとの漏えい確定状況について詳細が示されていないため、公開の有無だけを根拠に被害がなかったと判断することはできません。

対象人数・件数は未公表

8月20日のリリースには、漏えいまたは漏えいのおそれがある個人情報の対象人数や件数は記載されていません。

同社公式の会社概要によると、エヌ・イー ケムキャットの就業人員は2026年3月31日時点で670人です。

ただし、今回の対象には退職者、派遣社員、事業所内で常時業務を行う業務委託先関係者、グループ会社社員も含まれるため、会社の現在の就業人員から対象件数を推計することはできません。

対象者には、判明した事実関係と漏えいまたはそのおそれがある情報の内容を踏まえ、順次個別に連絡するとしています。個別連絡ができない対象者については、今回の公表をもって通知に代える方針です。

個人情報保護委員会へ報告、警察にも被害申告

エヌ・イー ケムキャットは本件を個人情報保護委員会へ報告し、警察にも被害申告しています。

不正利用が確認されたアカウントについては封じ込めを完了しており、8月20日時点では社内システムへの不正アクセスは確認されていません。

同社が公表した対応は以下の通りです。

• 不正アクセスの封じ込めと認証情報の見直し
• 関連システム・端末の調査と安全性確認
• 外部専門調査機関による原因調査と影響範囲の特定
• 個人情報保護委員会への報告
• 警察・弁護士との連携
• 再発防止に向けたセキュリティ対策と監視体制の強化

今後も監視を継続するとしています。

ランサムウェアや攻撃者は公表されていない

今回のリリースでは、ランサムウェアによるファイル暗号化、身代金要求、攻撃グループの犯行声明などについて記載されていません。

そのため、本件をランサムウェア被害と表現する根拠はありません。

また、マルウェアの種類、攻撃者、脅威アクター、国家との関係、C2サーバーなどのIOCも公表されていません。

「マルウェアが実行された」という情報だけから、特定のマルウェアファミリーや攻撃グループへ帰属させることはできません。

今後の続報では、マルウェアの侵入経路、アカウントが不正利用可能になった経緯、対象人数・件数、具体的なデータ持ち出しの状況などが確認ポイントになります。

なりすましメールや不審電話などの二次被害に注意

エヌ・イー ケムキャットは対象者に対し、同社を名乗る不審な電話、電子メール、郵便物などに注意するよう呼びかけています。

今回の対象情報には、氏名、住所、メールアドレス、電話番号、所属会社、役職、人事情報などが含まれるため、仮に第三者へ取得されていた場合、今後の二次被害として以下のようなリスクが考えられます。

• 同社やグループ会社を装ったフィッシングメール
• 人事・給与・福利厚生などを装った標的型メール
• 電話番号を利用したなりすましや詐欺電話
• 所属会社や役職を踏まえたビジネスメール詐欺（BEC）
• 住所情報を利用した不審な郵送物
• 公開情報と組み合わせたソーシャルエンジニアリング

これらは8月20日時点で二次被害が確認されたという意味ではなく、漏えいした可能性のある情報から今後想定されるリスクです。

エヌ・イー ケムキャットは触媒・貴金属関連事業を展開

エヌ・イー ケムキャットは1964年設立で、自動車触媒、化学触媒、燃料電池触媒、貴金属回収などの事業を展開しています。

本社は東京都港区にあり、沼津事業所、つくば事業所などを置いています。

今回公表された不正アクセスは「一部社内システム」が対象です。生産設備や工場の制御システム、製品供給などへの影響についてはリリースに記載されておらず、公開情報から影響を推測することはできません。

情報システム部門への示唆

今回の事案で注目すべきなのは、「端末上でのマルウェア実行」と「従業員アカウントの不正利用」が同じインシデントの中で確認されている点です。

ただし、外部専門調査機関の報告でも、マルウェアがどの認証情報を取得したのか、認証情報窃取が実際に発生したのかまでは公表されていません。

情報システム部門では、端末感染を単なる「PC1台のマルウェア感染」として扱わず、その端末上で利用されていた認証情報やセッション、クラウドサービスへのアクセス権限まで調査対象に含める必要があります。

特に確認したいのは、次のような項目です。

• 感染端末で利用していた業務アカウントの洗い出し
• パスワードだけでなくセッションやトークンの失効
• 不審なサインイン履歴や普段と異なる接続元の確認
• 特権アカウント・管理者権限への到達有無
• EDRや認証ログを横断した侵害範囲の調査
• 多要素認証の適用範囲と例外アカウントの見直し
• 端末からアクセス可能なファイル共有・クラウドストレージの権限確認
• マルウェア実行前後のメール、Webアクセス、ソフトウェア実行履歴の保存
• 認証情報変更後も不正セッションが残っていないかの確認

セキュリティ対策Labでは、認証情報が第三者に不正利用され、そこからクラウド環境への侵害へ発展した事例として、CAMPFIREの不正アクセス、従業員がGitHubの認証情報を個人開発サーバーへアップし不正利用されるも取り上げています。

CAMPFIREと今回のエヌ・イー ケムキャットでは侵入経路は異なりますが、「一つの認証情報やアカウントの侵害が、その先の社内・クラウド環境へのアクセスにつながる」という点では共通する管理課題があります。

また、マルウェアが実行された端末では、パスワード変更だけで十分とは限りません。侵害端末の隔離、フォレンジック調査、認証セッションの失効、必要に応じた端末再構築まで含めて判断する必要があります。

エヌ・イー ケムキャットは再発防止策として、認証管理の強化、アクセス管理の見直し、監視体制の強化、従業員教育の徹底を進めるとしています。

今回の事案は、エンドポイント対策とID・認証管理を別々の施策として扱うのではなく、端末侵害からアカウント悪用へ発展することを前提に連携させる必要性を示す事例といえます。

出典

• 当社社内システムへの不正アクセスに関するお知らせとお詫び – エヌ・イー ケムキャット株式会社
• 会社概要 – エヌ・イー ケムキャット株式会社
• 製品・サービス – エヌ・イー ケムキャット株式会社
• QUICK、社員の個人PCがウイルスに感染し、業務IDの認証情報が漏洩 – セキュリティ対策Lab
• CAMPFIREの不正アクセス、従業員がGitHubの認証情報を個人開発サーバーへアップし不正利用される – セキュリティ対策Lab