食の安全を裏側で支える検査・認証の現場から、個人情報流出のおそれが明らかになった。海外貨物検査株式会社（OMIC）は2026年7月14日、同社と契約する有機JAS認証審査員が「サポート詐欺」の被害に遭い、貸与していたPCに保存されていた顧客の個人情報が外部に流出した可能性があると公表した。氏名は約1,000件にのぼる。専門機関の調査では現時点で不正利用は確認されていないものの、審査員という「人」を起点に、組織の管理体制の隙が突かれた典型例といえる。
一枚の警告画面から始まった
OMICの公表によると、発端は2026年6月13日。当該審査員が自宅でインターネットを閲覧していたところ、画面上に「セキュリティ警告」が表示された。審査員が警告画面の指示に従って操作を進めた結果、悪意のある第三者にPCを遠隔操作される状態に陥った。いわゆる「サポート詐欺」の手口である。
サポート詐欺は、偽の警告やサポート窓口を装った電話番号を画面に表示し、利用者自身に電話をかけさせたり、遠隔操作ソフトを導入させたりして端末の制御を奪う。ウイルスによる侵入と違い、被害者本人が「言われるがままに」操作してしまう点に特徴があり、技術的な防御をすり抜けやすい。今回もこの人的な導線が突破口となった。
流出したおそれのある情報
OMICが現時点で判明しているとする、流出の可能性がある個人情報の項目と件数は次のとおりである。
お名前が約1,000件、住所が4件、生年月日が6件、職歴（有機JAS担当者経歴書に記載の内容）が115件、電話番号が10件、E-メールアドレスが25件。氏名の件数が突出しており、審査業務を通じて蓄積された関係者の情報が広く含まれていた実態がうかがえる。
一方で被害の広がりは端末単位にとどまった。OMICは、当該PCが「社内ネットワークに接続しない単独の環境」であったため、被害は本端末のみに留まり、社内システム等への影響は一切ないと説明している。ネットワーク分離が、被害の横展開を食い止める最後の砦として機能した形だ。
会社が認めた「管理体制の不備」
注目すべきは、OMICが原因を個人の不注意に帰さず、組織側の問題として明記した点である。同社は原因として、悪意のあるウェブサイトへのアクセスをシステム的に制限する仕組みが不十分であったこと、そして最新のサイバー脅威に対する社内のセキュリティ教育やインシデント発生時のルールの徹底がされていなかったことを挙げ、「弊社全体の管理体制の不備」があったと認めた。
発覚後、OMICは直ちに該当PCのネットワーク遮断などの措置を講じるとともに、個人情報保護委員会への報告と管轄警察署への相談を実施。外部専門機関の協力を得てダークウェブの調査を継続し、システムのセキュリティ対策強化と、全従業員および契約審査員へのセキュリティ教育の徹底に取り組むとしている。二次被害については、現在までのところ情報の不正利用等の事実は確認されていないという。ただしOMICは、流出したおそれのある氏名や職歴が悪用され、同社や関連企業を装った不審な連絡（標的型メールや電話など）が来る可能性は完全には否定できないとして、心当たりのない連絡への注意を呼びかけている。
「委託先・契約者」という盲点
この事案が投げかけるのは、社員教育だけでは守り切れない領域の存在である。被害に遭ったのは正社員ではなく「契約する審査員」であり、被害現場は「自宅」だった。企業のセキュリティ対策は往々にして社内ネットワークとオフィス内の従業員を中心に組み立てられるが、検査・認証、士業、コンサルティングといった業種では、外部の専門家に業務端末や顧客データを預ける場面が避けられない。その端末が管理の目の届かない自宅で使われるとき、組織のガバナンスは急速に薄まる。
OMIC自身が「悪意あるサイトへのアクセス制限」と「教育・ルールの徹底」の不足を原因に挙げたことは示唆的だ。サポート詐欺はマルウェアのようにシステムだけで弾き切れるものではなく、「警告画面の指示に従わない」「表示された番号に電話しない」という利用者の判断が最後の防御線になる。だからこそ、貸与端末を扱うすべての人――正社員か契約者か、社内か在宅かを問わず――に同じ水準の教育とルールを行き渡らせ、あわせて業務端末でのアクセス制御や、不審時の連絡・遮断手順を整えておくことが、同種被害を防ぐ現実的な備えとなる。食の信頼を担保する認証機関で起きた今回の一件は、サプライチェーンの末端に位置する「一台のノートPC」が、組織全体のリスクになり得ることを改めて示している。