SS顧客システムの暗号化と個人情報を含むファイルの漏えい確認暫定評価

NEC／システム開発・保守委託先の侵害事案の概要と評価

記事更新 2026/10/20

盗まれた正規アカウントで顧客システムが暗号化され、個人情報を含むファイルの流出も確認されました。

事案の概要

NECは2026年10月20日、システム開発・保守業務の委託先が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用されたと公表しました。

委託先の端末から顧客のシステム環境へ不正アクセスが行われ、サーバー内のファイルが暗号化されたことで各種システムが利用できなくなったとしています。影響のあった複数の顧客へは個別に連絡済みです。

発覚後は委託先へNEC管理の端末を貸与するなどの対策を進め、全容の解明と委託先・個人情報管理の強化に取り組むとしています。

NECと顧客、NECと委託先などの情報共有に使うクラウドストレージ内のファイルが漏えいしたことを確認しています。顧客が保有する個人情報やシステム関連情報が含まれ、個人情報の詳細は判明次第顧客へ報告するとしています。

個人情報の具体的な項目、件数、委託先名や顧客名は、この発表では示されていません。氏名や住所などの流出を推測で補いません。

委託先へのサイバー攻撃で正規アカウントの認証情報が盗まれ、その情報が顧客環境への不正アクセスに悪用されたとしています。

盗まれた委託先の正規アカウントが複数顧客のシステム侵入に使われ、サーバーファイル暗号化と利用不能を確認。複数独立顧客に波及する委託先権限の侵害をH2としてSS暫定。S2の有効な認証情報悪用は直接確認。個人情報の種類・人数、権限構成、復旧期間は未公表でありH1やX1は採らない。

SSの評価基準
大規模な機微情報・強い共通権限の侵害、複数組織への主要機能停止の波及、広い主要業務の長期中断、又は時間に依存する必須機能の喪失による深刻な被害。