テレビ朝日メディアプレックス、不正アクセスで従業員ら4,543件の個人情報漏えいの恐れ

株式会社テレビ朝日メディアプレックスは2026年7月30日、同社サーバーへの不正アクセスに関する外部専門機関の調査が完了し、従業員、採用応募者、個人取引先に関する個人データが漏えいした、または漏えいしたおそれがあると公表しました。公表された3区分の件数は合計4,543件で、従業員情報にはマイナンバーや銀行口座番号、個人取引先情報には銀行口座番号などが含まれる可能性があります。原因については、サーバーの認証連携に使用するアカウントの認証情報が窃取・悪用され、不正アクセスにつながった可能性があるとの調査結果が示されました。テレビ朝日メディアプレックスは個人情報保護委員会などへ報告し、対象者への通知を進めています。現時点で個人データの不正利用などの二次被害は確認されていません。

テレビ朝日メディアプレックスの不正アクセスと個人情報漏えいの概要サマリー

• テレビ朝日メディアプレックスは2026年7月30日、不正アクセスに関する第二報を公表しました
• サイバー攻撃の可能性を確認したのは2026年4月28日午前0時頃です
• 2026年6月19日、同社が保有する情報の一部が漏えいしたおそれが判明しました
• 外部専門機関の調査で、同社が使用するサーバーへの不正アクセスが確認されました
• 漏えいまたは漏えいしたおそれがある個人データは、公表件数の合計で4,543件です
• 従業員・退職者は1,343件で、マイナンバーや銀行口座番号などを含む可能性があります
• 新卒・中途・アルバイトの採用応募者は2,786件です
• 個人取引先は414件で、銀行口座番号、法人番号、適格請求書発行事業者番号などを含む可能性があります
• 4,543件は個人データの件数であり、重複を除いた実人数とは限りません
• 原因は、認証連携に使用するアカウントの認証情報が窃取・悪用された可能性とされています
• 認証情報の窃取経路、侵入期間、攻撃者、使用されたマルウェアなどは公表されていません
• 関係サーバーの停止と外部ネットワークの遮断を実施しています
• 個人情報保護委員会などの関係機関へ報告済みです
• 対象者には順次通知し、連絡できない人には公表をもって通知に代えるとしています
• 現時点で個人データの不正利用などの二次被害は報告されていません

項目	内容
公表日	2026年7月30日
被害企業	株式会社テレビ朝日メディアプレックス
事案の内容	同社が使用するサーバーへの第三者による不正アクセス
攻撃確認日	2026年4月28日午前0時頃
情報漏えいのおそれが判明した日	2026年6月19日
第一報	2026年7月3日
第二報	2026年7月30日
漏えい情報の内容	従業員、採用応募者、個人取引先の個人データ
公表件数の合計	4,543件
従業員・退職者	1,343件
採用応募者	2,786件
個人取引先	414件
マイナンバー	従業員・退職者の情報に含まれる可能性
銀行口座番号	従業員・退職者、個人取引先の情報に含まれる可能性
原因	認証連携用アカウントの認証情報が窃取・悪用された可能性
認証情報の窃取経路	未公表
攻撃者・攻撃グループ	未公表
二次被害	現時点で報告なし
個人情報保護委員会への報告	実施済み
対象者への通知	順次実施
初動対応	関係サーバー停止、外部ネットワーク遮断、外部専門機関による調査
再発防止策	セキュリティ体制と監視体制の全面的な見直し・強化

4月28日にサイバー攻撃の可能性を確認

テレビ朝日メディアプレックスは2026年4月28日午前0時頃、同社がサイバー攻撃を受けた可能性を確認しました。

事象を確認した後、関係サーバーを停止し、外部とのネットワークを遮断するなどの封じ込めを実施しています。外部専門機関へ調査を依頼し、原因と被害範囲の確認を進めました。

6月19日には、同社が保有する情報の一部が漏えいしたおそれがあることが判明しました。

同社は7月3日に第一報を公表しました。この段階では、個人情報を含む一部情報が漏えいしたおそれがあることは示されていましたが、対象者、件数、情報項目、原因は調査中でした。

7月30日の第二報では、外部専門機関による調査が完了し、不正アクセスが確認されたサーバーに保存されていたファイルについて、個人データが漏えいした、または漏えいしたおそれがあることが明らかになりました。

公表件数の合計は4,543件

第二報で公表された個人データの件数は、従業員・退職者1,343件、採用応募者2,786件、個人取引先414件です。

3区分を単純に合計すると4,543件です。

ただし、公式発表は「件数」と表記しており、重複を除いた実人数は明らかにしていません。同じ人物が複数の立場で登録されている場合や、1人について複数のファイルが存在する場合の数え方も公表されていません。

そのため、4,543人分と断定するのではなく、公表された個人データの件数が合計4,543件と表現するのが適切です。

同社は対象となる人へ順次連絡しています。個別に連絡できない人については、今回の公表をもって通知に代えるとしています。

従業員・退職者1,343件にマイナンバーや口座番号

従業員と退職者に関する個人データは1,343件です。

対象となる可能性がある情報は、次の全部または一部です。

• 氏名
• マイナンバー
• 生年月日
• 性別
• 住所
• 電話番号
• 銀行口座番号
• その他の情報

マイナンバーと銀行口座番号を含む可能性があるため、今回の3区分では特に慎重な対応が必要です。

マイナンバーだけで行政サービスへのログインや銀行口座からの送金ができるわけではありません。しかし、氏名、生年月日、住所、電話番号、口座番号などと組み合わされると、本人確認を装った連絡や、より精度の高いなりすましへ悪用されるおそれがあります。

個人情報保護委員会は、漏えいした情報にマイナンバーが含まれる場合、特定個人情報の漏えい等に関する報告手続きを案内しています。

テレビ朝日メディアプレックスは、個人情報保護委員会などの関係機関へ報告済みです。

採用応募者2,786件の連絡先などが対象

新卒、中途、アルバイトの採用応募者に関する個人データは2,786件です。

対象となる可能性がある情報は、次の全部または一部です。

• 氏名
• 生年月日
• 性別
• 住所
• 電話番号
• メールアドレス
• その他の情報

履歴書、職務経歴書、学歴、勤務歴などが含まれていたかは公表されていません。

採用応募者の情報は、応募先企業、選考状況、内定連絡などを装うフィッシングに悪用される可能性があります。

攻撃者がテレビ朝日メディアプレックスや転職サービスの担当者を装い、追加書類の提出、オンライン面談、本人確認、採用管理システムへの再ログインなどを求めることが考えられます。

本人確認書類の画像、マイナンバー、銀行口座番号が採用応募者情報に含まれるとの記載はありません。公表されていない情報まで漏えいしたと断定しないよう注意が必要です。

個人取引先414件に銀行口座番号など

個人取引先に関する個人データは414件です。

対象となる可能性がある情報は、次の全部または一部です。

• 氏名
• 生年月日
• 性別
• 住所
• 電話番号
• 銀行口座番号
• 法人番号
• 適格請求書発行事業者番号
• その他の情報

個人事業主やフリーランスなどとの取引に関連する情報とみられますが、対象者の具体的な職種や契約内容は公表されていません。

氏名、電話番号、口座番号、適格請求書発行事業者番号などが組み合わされると、請求書差し替え、振込先変更、支払確認を装うビジネスメール詐欺に利用される可能性があります。

取引先は、テレビ朝日メディアプレックスを名乗る連絡だけでなく、金融機関、税務関係機関、会計事務所、取引先企業を装うメールや電話にも注意が必要です。

振込先変更や請求書再発行の依頼を受けた場合は、メールの返信や記載された電話番号を使わず、従来から把握している連絡先で事実を確認してください。

認証連携アカウントの認証情報が悪用された可能性

外部専門機関の調査では、サーバーへの認証連携に使用するアカウントの認証情報が窃取・悪用され、不正アクセスが行われた可能性があると報告されました。

認証連携用アカウントは、複数のサーバーやシステム間で認証を行うために使用されるサービスアカウントや連携アカウントである可能性があります。

ただし、テレビ朝日メディアプレックスは、アカウントの種類、権限、認証方式、MFAの有無、接続元、対象システムを公表していません。

認証情報が窃取された経路も明らかにされていません。

フィッシング、マルウェア、端末侵害、設定ファイルからの取得、パスワードの使い回し、委託先からの流出など、一般的には複数の経路が考えられますが、今回の原因がいずれかだったと断定することはできません。

公式発表も、認証情報の窃取・悪用を確定的な原因ではなく、不正アクセスにつながった可能性として記載しています。

セキュリティ対策Labでは、ビジュアルアーツでクラウドストレージの認証情報が窃取され、マイナンバーを含む個人情報が漏えいした可能性のある事案を取り上げています。

認証情報を起点とする侵害では、パスワード変更だけでなく、連携先、既存セッション、トークン、秘密鍵、APIキーを含めて影響を確認する必要があります。

侵入期間とデータ持ち出しの詳細は未公表

テレビ朝日メディアプレックスは4月28日にサイバー攻撃の可能性を確認しましたが、攻撃者が最初に侵入した日時は公表していません。

不正アクセスが継続した期間、アクセス元、実行された操作、漏えいが確認されたファイルと漏えいのおそれにとどまるファイルの区別も明らかにされていません。

第二報では、サーバー上のファイルについて「漏えい又は漏えいしていた恐れ」があると説明しています。

この表現からは、外部への持ち出しを確認できたファイルと、不正アクセスの状況から漏えいの可能性を否定できないファイルが含まれていると読めます。ただし、どの区分が実際の漏えいに該当するかは公開されていません。

攻撃者や攻撃グループ、ランサムウェア感染、身代金要求、ダークウェブ上での公開についても言及されていません。

公表されていない攻撃グループや攻撃手法を推測で結び付けるべきではありません。

不正利用などの二次被害は未確認

2026年7月30日時点で、テレビ朝日メディアプレックスは個人データの不正利用などの二次被害が発生したとの報告を受けていません。

被害が未確認であることは、漏えいした可能性のある情報が利用されていないことを将来にわたって保証するものではありません。

個人情報は、攻撃直後ではなく数か月後にフィッシング、なりすまし、金融詐欺などへ使われることがあります。

対象者は、次のような連絡に注意する必要があります。

• 情報漏えいの確認を理由に個人情報を再入力させる
• マイナンバーの再登録や変更手続きを装う
• 銀行口座の安全確認や凍結解除を装う
• 採用選考や内定手続きを装って偽サイトへ誘導する
• 報酬や請求書の振込先変更を求める
• 本人確認を理由に認証コードや暗証番号を聞き出す
• テレビ朝日やテレビ朝日メディアプレックスの担当者を装う
• 個人情報保護委員会や行政機関を名乗り、手数料を要求する

金融機関や行政機関が、電話やメールで暗証番号、ワンタイムパスワード、カードのセキュリティコードを尋ねることはありません。

不審な連絡を受けた場合は、メールに記載された連絡先ではなく、公式サイトや従来から使用している連絡先から確認してください。

マイナンバーが対象となった人が確認すべきこと

マイナンバーが対象となった可能性のある人は、テレビ朝日メディアプレックスからの個別通知を確認してください。

通知内容に不明点がある場合は、同社が案内する専用窓口へ問い合わせます。

マイナンバーは原則として自由に変更できませんが、漏えいによって不正に利用されるおそれがあると認められる場合、本人が市区町村へ番号変更を請求できる制度があります。

実際に変更が必要かは個別状況で異なるため、同社からの案内、市区町村、個人情報保護委員会などの正規窓口へ相談してください。

マイナンバーの漏えいを理由に、第三者から有料の変更手続きや口座保護サービスを勧められても応じないよう注意が必要です。

銀行口座番号が対象の場合は、口座の入出金明細を確認します。口座番号だけで通常は出金できませんが、氏名、住所、電話番号などと組み合わされると、金融機関を装う詐欺の説得材料になる可能性があります。

個人情報保護委員会などへ報告

テレビ朝日メディアプレックスは、本件を個人情報保護委員会などの関係機関へ報告しています。

マイナンバーを含む特定個人情報の漏えいまたは漏えいのおそれがある場合は、通常の個人データとは別に、マイナンバー法に基づく報告と本人通知の枠組みがあります。

同社は対象者へ順次連絡し、個別に連絡できない人には今回の公表をもって通知に代えるとしています。

個人情報保護委員会への報告日、速報・確報の区分、その他の報告先は公表されていません。

第二報で外部専門機関の調査完了を公表しているため、今後は関係機関からの指導内容や、対象件数の修正、追加の二次被害が判明した場合に続報が出るかが確認点になります。

再発防止策はセキュリティ・監視体制の全面見直し

テレビ朝日メディアプレックスは、これまで社内規程の整備やセキュリティ対策ソフトの導入などを行ってきたと説明しています。

今回の調査結果と外部専門家の助言を踏まえ、システムのセキュリティ体制と監視体制を全面的に見直し、強化する方針です。

一方、第二報では、MFA、EDR、特権アクセス管理、ネットワーク分離、ログ監視、認証情報のローテーションなど、個別の実施内容は公表されていません。

原因として認証連携用アカウントの認証情報悪用が示された以上、再発防止ではアカウント単体のパスワード変更だけでなく、同じ認証情報を利用していた全システムの確認が必要です。

情報システム部門への示唆

認証連携用アカウントは、人が日常的にログインする一般アカウントより見落とされやすい一方、複数システムへアクセスできる強い権限を持つことがあります。

サービスアカウントや連携アカウントを長期間変更せず、利用元を制限しないまま運用すると、認証情報が漏えいした際に侵害範囲が広がります。

情報システム部門は、次の対策を確認してください。

• サービスアカウントと認証連携アカウントをすべて棚卸しする
• アカウントごとの所有者、利用目的、接続元、接続先、権限を記録する
• 対話型ログインが不要なアカウントではログイン方法を制限する
• 利用元IPアドレス、端末、ネットワークを限定する
• MFAまたは証明書認証など、パスワードだけに依存しない方式を採用する
• パスワード、APIキー、トークン、秘密鍵をシークレット管理基盤へ保存する
• 認証情報をソースコード、設定ファイル、スクリプト、チケットへ平文で残さない
• 定期ローテーションと緊急失効の手順を整備する
• 退役したシステムや不要な連携アカウントを削除する
• 深夜のログイン、通常と異なる接続元、大量ファイルアクセスを検知する
• サーバー間通信にも最小権限を適用する
• 人事、採用、経理、マイナンバー関連データを用途ごとに分離する
• マイナンバーや口座番号を業務上必要な期間だけ保持する
• 重要ファイルへのアクセスと外部転送を記録する
• EDR、認証ログ、ネットワークログ、クラウド監査ログを相関分析する
• 不正アクセス発覚時に全セッション、トークン、連携鍵を失効する

認証情報が窃取された可能性がある場合、パスワードを変更して調査を終えるのは不十分です。

攻撃者が既存セッション、アクセストークン、秘密鍵、APIキーを取得していれば、パスワード変更後もアクセスを継続できる可能性があります。認証基盤と連携先を横断し、すべての資格情報を洗い出す必要があります。

ファイルサーバーでは、従業員、採用応募者、取引先の情報を同じ権限で広く閲覧できる状態にせず、業務ごとに保存領域と権限を分離してください。

特にマイナンバーは利用目的と取扱担当者が限定される情報です。通常の人事ファイルと同じ場所へ保存せず、アクセス記録、持ち出し制御、保存期間、削除手順を厳格に管理する必要があります。

今回の事案では、4月28日の攻撃確認から、6月19日の漏えい可能性判明、7月3日の第一報、7月30日の第二報まで約3か月を要しました。

インシデント対応では、封じ込めと並行してログを保全し、対象者、情報項目、侵入経路、認証情報の影響範囲を早期に整理できる体制が求められます。平時から資産台帳、データ台帳、アカウント台帳を整備しておくことが、調査と通知の迅速化につながります。

出典

• 当社サーバへの不正アクセスに関するお知らせとお詫び（第二報） – 株式会社テレビ朝日メディアプレックス
• 当社サーバへの不正アクセスに関するお知らせとお詫び（第一報） – 株式会社テレビ朝日メディアプレックス
• 特定個人情報の漏えい等事案が発生した場合の対応について – 個人情報保護委員会
• 漏えい等の対応とお役立ち資料 – 個人情報保護委員会
• ビジュアルアーツ、クラウドストレージへの不正アクセスでマイナンバーなど漏えいのおそれ – セキュリティ対策Lab
• 日本毛織、不正アクセスで従業員や顧客の個人情報漏えいの可能性 – セキュリティ対策Lab
• 不正アクセスとは―定義・件数・手口・目的・防止策を専門家が解説 – セキュリティ対策Lab