日販で元従業員が社外秘を含む社内メールを無断転送、取引先65社・295件の情報が漏えい|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年02月15日更新日時: 2026年02月16日

日販グループホールディングスおよび日本出版販売は2026年2月13日、グループの元従業員1名が社外秘を含む社内メールを複数回にわたり、社外関係者へ無断で転送・漏えいしていた事実が判明したと公表しました。漏えいしたメールには取引先に関する情報が含まれており、該当する取引先へは個別に謝罪と説明を実施済みとしています。

関連：【2025年】サイバー攻撃の事例

1 概要
2 原因
3 影響範囲
4 情報システム部門が押さえるべきポイント

概要

社内調査で確認した範囲として、対象期間は2019年12月から2025年9月まで、漏えいした取引先情報は65社・295件と説明されています。一方で、一般消費者（個人の顧客）の個人情報は含まれていないことを確認したとしています。

また、本件を重く受け止めた対応として、役員が報酬の一部を自主返納すると公表しています（代表取締役社長、取締役会長が各10％減額・1か月）。当該行為を行った元従業員については社内規程に基づき厳正に処分したとしています。

原因

公表文の範囲で原因として示されているのは、元従業員による社内メールの無断転送という内部不正（インサイダー行為）です。外部からの侵入やマルウェア感染ではなく、正規の閲覧・送受信が可能な立場にあった人物が、社外関係者へ転送したことが直接要因となっています。

影響範囲

影響は取引先情報に限定され、社内調査で確認できた範囲として65社・295件の漏えいが示されています。

個人顧客の個人情報は含まれないとされているものの、BtoBの取引情報は契約・条件・連絡先など機微性が高い場合があり、取引先との信頼関係、商慣行、交渉への影響が発生する可能性があります

情報システム部門が押さえるべきポイント

内部不正は、境界防御や脆弱性対策だけでは防ぎきれません。特にメールは業務の中心であり、無断転送は発生しやすい形態です。今回のような事案を踏まえると、実務では以下が要点になります。

DLPと監査ログの実効性
社外秘・取引先情報に該当するキーワードやラベルを用いたDLP、メールゲートウェイでの検知、監査ログの保全と定期レビューにより、事後発覚ではなく早期検知に寄せることが重要です。
退職・異動時の権限管理と監視強化
退職予定者や異動者はリスクが上がりやすいため、最小権限、アクセス棚卸し、特権IDの利用監査、データ持ち出し兆候のモニタリングを手当てしておく必要があります。
教育とルールの具体化
形式的な教育だけでは抑止力が弱いため、社外秘の定義、共有範囲、違反時の取り扱い、具体的なNG例（私用メールへの転送、外部ストレージへの添付保存など）を明文化し、運用に落とし込むことが効果的です。