NECの委託先にサイバー攻撃、顧客システムが停止し個人情報も漏えい　盗まれた正規アカウントを悪用

日本電気株式会社（NEC）は2026年10月20日、システム開発・保守の委託先がサイバー攻撃を受け、盗まれた正規アカウントの認証情報を悪用した不正アクセスにより、複数の顧客でシステム障害と情報漏えいが発生したと発表しました。顧客環境のサーバーではファイルが暗号化され、一部のシステムが利用不能になったほか、NECと顧客、委託先などが情報共有に使っていたクラウドストレージから、個人情報やシステム関連情報を含むファイルが漏えいしています。

委託先への攻撃が、委託先の端末と正規アカウントの認証情報を悪用し、顧客の業務停止や情報流出に波及した事案です。

NECの委託先を起点とする不正アクセスのサマリー

• 公表日：2026年10月20日
• 2026年9月下旬、NECがシステム開発・保守を委託する企業がサイバー攻撃を受けた
• 盗まれた正規アカウントの認証情報が悪用された
• 委託先の端末から顧客のシステム環境に不正アクセスが行われた
• 顧客サーバー内のファイルが暗号化され、各種システムが利用できない状態になった
• 関係者間で共有していたクラウドストレージのファイル漏えいを確認した
• 漏えいしたファイルには、顧客の個人情報とシステム関連情報が含まれる
• 影響があった複数の顧客には、NECが個別に連絡済み
• NECは委託先への管理端末の貸与などを進め、影響調査と委託先管理の強化に取り組んでいる

正規アカウントの認証情報を悪用し、委託先端末から顧客環境に侵入

NECによると、問題の委託先は2026年9月下旬にサイバー攻撃を受けました。その後、窃取された正規アカウントの認証情報を使い、委託先の端末から顧客のシステム環境に不正アクセスが行われました。

保守事業者のアカウントには、一般の利用者と異なり、サーバーや業務システムを管理するための権限が付与される場合があります。そうした認証情報が盗まれると、攻撃者が正規の業務アクセスに紛れ、顧客環境に接続できるおそれがあります。今回の発表は、正規アカウントが悪用されたことを確認していますが、そのアカウントの具体的な権限範囲や認証情報の窃取方法までは説明していません。

このような外部委託先を経由して組織のシステムに被害が及ぶ構図は、一般にサプライチェーン攻撃として整理されます。委託先で発生した侵害を、委託元や顧客のアクセス管理と切り離して考えられないことを示しています。

顧客サーバーを暗号化、クラウドストレージから個人情報などが流出

NECが公表した主な被害は、システムの利用不能と情報漏えいの二つです。

顧客のシステム環境では、サーバー内のファイルが暗号化され、各種システムが使えない状態になりました。ファイルが暗号化されると、業務アプリケーションが利用するデータや設定を読み込めなくなり、業務の停止・復旧作業の長期化につながるおそれがあります。ただし、NECは今回の発表で特定のランサムウェアグループや身代金要求の有無には言及していません。

別の被害として、NECが作成し、顧客とNEC、NECと委託先などの間で共有していたクラウドストレージ内のファイルについて、漏えいが確認されました。含まれていたのは、顧客が保有する個人情報やシステム関連情報などです。顧客環境への侵入とクラウドストレージからの情報取得について、それぞれの具体的なアクセス経路は公表されていないため、同一の認証情報だけで双方の被害が起きたとは断定できません。

個人情報が流出した場合には、関係者を装った不審な連絡や標的型のフィッシングに利用される可能性があります。さらにシステム構成、管理手順、接続先などの情報が含まれていた場合には、攻撃者が次の侵入先を調べる材料になるおそれもあります。後者はシステム関連情報が流出した際の一般的なリスクであり、今回どの種類の技術資料が流出したかを示すものではありません。

NECは、漏えいした個人情報の詳細について、判明次第、顧客に報告するとしています。

委託先の正規アカウントを悪用される危険性

外部の保守担当者は、障害対応や更新作業のために、顧客の環境へアクセスする必要があります。その一方で、長期間有効なアカウント、必要以上に広い管理権限、委託先の任意の端末から接続できる構成が重なると、一つの委託先の侵害が複数の顧客へ波及するリスクが生じます。

特に確認したいのは、次の三点です。

1. 認証が通った後の振る舞いも監視すること。 正規アカウントでログインできたことは、利用者が正当な担当者であることの保証にはなりません。通常と異なる時間帯、接続元、操作内容、大量ダウンロードなどを調査できるログが必要です。
2. 接続先ごとに権限を区切ること。 委託先の一つのアカウントから複数顧客や広範なサーバーへアクセスできる場合、侵害の影響範囲が拡大しかねません。担当業務・期間・対象機器に応じた権限付与が基本です。
3. ファイル共有の権限を業務上必要な範囲に保つこと。 開発・保守の関係者が閲覧する資料には、顧客情報だけでなくネットワーク構成や設定情報が含まれることがあります。共有先・ダウンロード権限・保管期限を別途管理する必要があります。

企業が取るべき対策――委託先アカウント、端末、共有データを一体で管理

米国CISAのランサムウェア対策ガイドでは、外部事業者やマネージドサービス事業者のアクセスに対し、最小権限と職務の分離を適用し、業務に必要な機器・サーバーだけにアクセスを許可することを勧めています。米国NISTのサプライチェーンリスク管理指針も、委託先を含む調達・運用のライフサイクル全体でリスクを管理する考え方を示しています。

委託先アカウントの棚卸しと多要素認証。 保守用ID、管理者ID、共有ID、APIキーや認証トークンを一覧化し、利用者・権限・有効期限・最終利用日時を確認します。退職者や契約終了者の権限は速やかに停止し、保守アクセスには可能な限りフィッシング耐性のある多要素認証（MFA）を適用します。アカウントの窃取が疑われる場合は、パスワード変更だけでなく有効なセッションやトークンの失効も検討します。

接続端末を把握し、端末・IDの両方で接続を制御。 管理対象の端末に限定し、OS更新、ディスク暗号化、EDRの稼働、端末の健全性を接続条件にします。侵入後の不審な実行やファイル暗号化の兆候を調べる方法として、EDRの仕組みと役割も参考になります。製品導入を検討する際は、委託先端末も管理対象にできるか、検知後の隔離・調査まで対応できるかをEDR製品比較と選び方で確認できます。なお、EDRだけで認証情報の悪用やクラウドストレージからの情報流出を防げるわけではありません。

保守経路とクラウドストレージの監視。 委託先からの接続を専用の経路や踏み台環境に集約し、アクセスログ・操作ログを保持します。クラウドストレージは共有リンク、外部共有先、機密フォルダへの権限、ファイルの大量取得を確認し、必要に応じて権限の剥奪や共有停止ができる体制にします。

顧客横断の被害拡大を防ぐ設計と復旧準備。 顧客ごとに認証情報・管理権限・接続先を分離し、一つのアカウントが侵害されても他の環境に連鎖しにくくします。サーバーの暗号化を想定し、改ざんや削除から保護されたバックアップを確保したうえで、実際に復元できるか定期的に確認します。

委託先との事故対応手順を契約後も確認。 契約・運用段階で、セキュリティ要件、委託先の端末管理、再委託、ログ保存、事故発生時の通知期限、初動の責任分担を明文化します。具体的な確認事項は委託先のセキュリティ管理と監督の実務で整理しています。

情報システム部門が優先して確認したい事項

NECの顧客や同様の保守委託体制を持つ企業では、まず現在有効な委託先アカウントを確認し、権限が必要なシステムに限定されているか、異常な利用履歴がないかを調べることが出発点です。NECから個別の連絡を受けた場合は、影響のあるシステム、暗号化・停止の範囲、漏えいした資料の種類、個人情報の対象者、必要な利用者通知、再発防止策、復旧見通しを確認する必要があります。

今回の公表では、委託先企業や影響先の社名、漏えい件数、被害の全体像は示されていません。NECは引き続き顧客対応と全容解明を進めるとしています。

出典

• 委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び（2026年10月20日） – NEC
• #StopRansomware Guide – 米国CISA
• Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations, NIST SP 800-161 Rev.1 Update 1 – 米国NIST