戸田建設で取引先・従業員の情報流出、中小企業が確認したい管理対策

自社の情報管理を徹底していても、取引先との情報共有や外部委託先で扱うデータまで、十分に管理できているでしょうか。

2026年10月、戸田建設は、同社が管理するシステムへの不正アクセスにより、取引先の登録情報や従業員の個人情報の一部が外部に漏えいしたと公表しました。今回の事案は、社内の情報だけでなく、取引先情報や業務で扱うデータの管理体制を見直すきっかけになります。

戸田建設で何が起きたのか

戸田建設の公表によると、2026年10月5日、取引先への支払いを管理するシステムなどに対する外部からの不正アクセスを検知しました。調査の結果、10月1日から10月5日にかけて、該当システムから情報が漏えいした形跡を確認したとしています。

10月7日の公表時点で判明している対象情報は、取引先の担当者のメールアドレスが最大7,200件、取引データが最大6,000件、従業員4,778人分の氏名、住所、電話番号、メールアドレス、所属部署です。これらは情報の種類や単位が異なるため、単純に合算して人数を示すことはできません。

同社は、被害拡大を防ぐために該当システムなどをネットワークから隔離し、個人情報保護委員会への報告を行ったと説明しています。公表時点では、漏えいした情報が不特定多数に公開された事実や、不正利用された事実は確認されていないとしています。

原因や被害状況の詳細については、外部の専門機関と連携して調査を進めるとしていました。確認できている事実と、調査中の事項を分けて理解することが重要です。

中小企業にも関係する3つの視点

1．自社が保有する取引先情報を把握する

企業が扱う情報は、顧客名簿だけではありません。取引先担当者の連絡先、見積書、請求書、支払い情報、契約書、工事や納品に関するデータなど、日常業務の中で多くの情報を保有しています。

まずは、どの情報を、どのシステムや共有フォルダに保存しているかを一覧にしてみましょう。誰が閲覧・編集できるのか、外部へ共有しているか、保管する必要がなくなった情報を残していないかも確認します。

保有する情報を把握できていなければ、事故が起きた際に影響範囲を特定することも、取引先へ適切に説明することも難しくなります。

2．外部委託先や共有先のアクセス権限を見直す

会計処理、給与計算、請求業務、クラウドサービスの運用、システム保守などを外部へ委託している企業も多いでしょう。委託先に情報を渡す場合は、必要なデータだけを共有し、業務に必要な範囲にアクセス権限を限定することが基本です。

委託契約で情報の取り扱い、事故発生時の連絡、調査への協力、データの返却や削除などを定めているかも確認しましょう。契約書があるだけで安心せず、実際の運用が契約内容と一致しているかを点検することが大切です。

取引先とのファイル共有についても、共有リンクを誰でも開ける設定にしていないか、退職者や担当変更後のアカウントが残っていないか、定期的に確認してください。

3．取引先情報と従業員情報を適切に分けて管理する

取引先の担当者情報と従業員の個人情報では、利用目的や管理する部署が異なる場合があります。すべてを同じ共有フォルダやアカウントで扱うと、必要のない人まで情報を閲覧できる状態になりかねません。

情報の種類と業務上の必要性に応じて、保存場所、閲覧権限、管理責任者を整理しましょう。多要素認証の利用、アクセス記録の確認、ソフトウェアの更新、バックアップなどの基本対策もあわせて点検します。

事故が起きたときの連絡体制も重要

情報漏えいが疑われた際には、システムの確認だけでなく、影響を受ける情報の範囲、取引先への連絡、社内への報告、必要な外部機関への報告など、複数の対応が必要になる可能性があります。

誰が初動判断を行うのか、システム担当者や経営者へどう連絡するのか、取引先への説明を誰が担当するのかを、平時から決めておきましょう。委託先や主要な取引先の緊急連絡先も、担当者が不在でも確認できるようにしておくと安心です。

また、不審なメールやSMSを受信した場合は、URLをクリックしたり添付ファイルを開いたりせず、決められた窓口へ報告するルールを周知してください。戸田建設も、同社関係者を装った不審な連絡への注意を呼びかけています。

サイバー保険は補償内容と連絡手順を確認する

サイバー事故では、原因調査、システム復旧、専門家への相談、顧客や取引先への対応など、さまざまな費用が発生する可能性があります。サイバー保険を検討する際は、どの費用や損害が補償対象になるか、対象外となる条件は何か、事故発生時にどこへ連絡するかを確認しておきましょう。

補償範囲や支払条件は契約によって異なり、すべての損害が補償されるわけではありません。保険だけで対策を完結させず、アクセス権限の管理やバックアップ、事故対応手順と組み合わせて備えることが大切です。

サイバー保険の基本については、中小企業向けサイバー保険の実務ガイドをご覧ください。保険商品を比較する際の確認点は、サイバー保険の比較ポイントで整理しています。

事故後の復旧や事業継続への備えについては、サイバー事故に備える事業継続計画と復旧訓練も参考になります。

まとめ：取引先と共有する情報も自社の管理対象

戸田建設の事案では、取引先担当者のメールアドレスや取引データに加え、従業員の個人情報も流出したことが公表されました。情報管理は、自社の顧客データだけを対象に考えればよいわけではありません。

まずは、取引先や従業員に関する情報をどこに保管しているか、誰がアクセスできるか、外部委託先とどのように共有しているかを確認してみてください。あわせて、事故発生時の連絡先と初動対応の担当者を明確にしておきましょう。

参考情報

• 戸田建設公式：個人情報漏洩に関するお知らせとお詫び（2026年10月7日）
• Security NEXT：システムから取引先や従業員の情報が流出