日本電気株式会社（NEC）は2026年10月20日、システム開発・保守業務を委託している企業が9月下旬にサイバー攻撃を受け、その影響で、同社の顧客システムへの不正アクセスによる被害と情報漏えいが発生したと発表した。窃取された正規アカウントの認証情報（ログイン時の本人確認に使うIDやパスワードなど）が悪用され、顧客のサーバ内のファイルが暗号化されて各種システムが使えなくなったほか、関係者間の情報共有に使っていたクラウドストレージ（インターネット上でファイルを保存・共有するサービス）内のファイルが漏えいした。漏えいしたファイルには顧客が保有する個人情報やシステム関連情報が含まれていた。
委託先の端末から、正規アカウントで顧客環境へ
NECの発表によると、攻撃を受けたのは同社がシステム開発と保守業務を委託している企業（委託先）である。委託先の社名は公表されていない。
委託先が受けたサイバー攻撃で正規アカウントの認証情報が盗まれ、その認証情報を使って、委託先の端末から顧客のシステム環境に不正アクセスが行われた。顧客のサーバ内のファイルが暗号化されたことで、各種システムが利用できない状態になったという。
あわせて、NECが作成し、顧客とNEC、NECと委託先などの間で情報共有に使っていたクラウドストレージから、ファイルが漏えいしたことも確認された。これらのファイルには、顧客が保有する個人情報やシステム関連情報などが含まれていた。
影響を受けた顧客と今後の対応
NECは、影響のあった複数の顧客には個別に連絡済みとしている。顧客名や漏えいした個人情報の件数は公表しておらず、個人情報の詳細は判明しだい顧客に報告するとしている。報道によると、影響を受けた顧客は3社で、うち2社で個人情報の漏えいが確認されたという。
再発防止策として、NECは委託先に自社が管理する端末を貸与するなどの対策を進めている。今後は委託先管理と個人情報管理の強化を徹底するとしている。
委託先の「正規の入口」が攻撃経路になる
今回の事案では、委託先から盗まれた正規アカウントの認証情報が、顧客システムへの不正アクセスに悪用された。正規の認証情報によるアクセスは、通常の保守作業との見分けがつきにくいことがある。
システムの開発・保守を外部に任せている企業にとっては、自社の環境に入れる委託先のアカウントや端末が、そのまま攻撃の入口になり得る。委託先に付与している権限の範囲や、保守用アカウントの利用状況を把握できているか、作業端末の管理を誰が担っているかを、あらためて確認しておきたい。サーバやPCの不審な挙動を早く検知する仕組みや、委託先と共有しているストレージに置くファイルの範囲の見直しも重要になる。
同じ手口に、自社は備えられていますか？