Astemo不正アクセスに学ぶ！建設会社の共有クラウドと委託先対策

元請会社や協力会社と、図面・見積書・工程表・工事写真をクラウドで共有していませんか。

もし、共有先の従業員アカウントが第三者に乗っ取られたら、自社が管理する情報にも影響が及ぶ可能性があります。

2026年10月16日、Astemo株式会社は、データ共有クラウド環境への不正アクセスによって、保有するデータの一部が外部に流出したと公表しました。今回の事例では、業務委託会社の従業員アカウントの侵害が確認されています。

この記事では、Astemoの公表事例と、建設会社で想定されるリスクを区別しながら、元請・協力会社との情報共有で社長が確認すべきことを解説します。

1. Astemoで何が起きたのか

Astemoは2026年10月16日、同社が利用するデータ共有クラウド環境への不正アクセスと、保有データの一部流出を公表しました。

公表時点で、流出したデータには、従業員、仕入先関係者、外部協力会社関係者など約350名分の個人情報が含まれているとされています。

一方、顧客関係者や消費者の個人情報は含まれていないと説明されています。流出した情報の内容や影響範囲などについては調査が続けられています。

出典：Astemo株式会社「データ共有クラウド環境への不正アクセスおよび情報流出に関する公表資料」（2026年10月16日）

今回の事例から考えたいのは、自社の従業員だけでなく、共有クラウドを利用する委託先のアカウントも情報管理上の重要な確認対象になるという点です。

2. 委託先アカウントが侵害された経緯

公表資料などによると、事案の経緯は次のとおりです。

注意したいのは、身に覚えのない多要素認証通知が発生していた点です。ただし、通知が出たことだけで侵害の具体的な手口が確定するわけではありません。

多要素認証を設定するだけで安心せず、異常な認証要求を発見したときの連絡手順も必要です。

3. 建設会社に関係する理由

今回のAstemoの事案は、自動車関連企業のデータ共有環境で発生したものです。建設会社で同じ被害が確認されたという意味ではありません。

しかし、建設業でも元請会社、協力会社、設計事務所、設備会社など、多くの関係者が情報を共有します。

• 元請と協力会社で共有する施工図面
• 見積書・数量表・発注資料
• 工程表・作業予定表
• 工事写真・検査記録
• 現場関係者の氏名・連絡先

共有先のアカウントが侵害された場合、そのアカウントに認められた権限の範囲で、情報が不正に閲覧・取得される可能性があります。

重要なのは、クラウドに保存していること自体ではなく、誰にどこまでのアクセスを認めているかを把握することです。

4. 図面・見積書・工事写真のリスク

建設会社で共有情報が不正に取得された場合、内容によって次のような影響が考えられます。

• 施工図面：建物の構造や設備配置など、外部に公開していない情報が知られる
• 見積書：取引条件、原価情報、単価などが流出する
• 工程表：工事の進捗や作業予定が外部に知られる
• 工事写真：現場内部や設備、関係者が写った画像が取得される
• 連絡先一覧：関係者への不審なメールやなりすましに悪用されるおそれがある

これらは建設会社で想定されるリスクであり、Astemoの事案で建設図面や工事写真が流出したという意味ではありません。

共有する資料の重要度に応じて、閲覧のみ、編集可能、ダウンロード可能といった権限を区別することが大切です。

5. 外部アカウントを確認する

最初に確認したいのは、共有クラウドに登録されている外部利用者の一覧です。

例えば、次の状態がないか確認します。

• 工事が終了した協力会社のアカウントが残っている
• 退職者や担当変更前の従業員が利用できる
• 同じアカウントを複数人で使っている
• 業務に不要なフォルダまで閲覧できる
• 外部利用者の登録・削除の責任者が決まっていない

工事が終了したからといって、共有権限が自動的に削除されるとは限りません。

現場の終了時に、外部アカウントの権限も見直すことを、工事完了時の確認項目に加えると実務的です。

6. 多要素認証の注意点

多要素認証は、パスワード以外の認証要素を組み合わせ、不正ログインのリスクを下げる対策です。

ただし、利用者が身に覚えのない認証要求を承認したり、偽のログイン画面に誘導されたりするリスクもあります。

社内と協力会社の利用者には、次の対応を周知してください。

• 自分でログインしていないときの認証要求は承認しない
• 不審な認証通知が続いたら管理者に連絡する
• 認証コードをメールや電話で他人に伝えない
• 可能な場合はフィッシング耐性の高い認証手段を利用する
• 不審なログイン履歴を確認できる体制を整える

認証方式や利用できる機能は、クラウドサービスによって異なります。

7. 共有範囲と権限を見直す

外部利用者が必要以上の情報にアクセスできないよう、共有範囲を確認します。

サービスによっては、閲覧とダウンロードを細かく分離できない場合もあります。利用中のサービスで設定可能な機能を確認してください。

情報共有の利便性を保ちながら、必要最小限の権限にすることが重要です。

8. 不審なアクセスを発見したら

身に覚えのないログイン、異常なダウンロード、大量のファイル取得などが見つかった場合は、社内の管理者やIT担当者へ速やかに連絡します。

1. 発見時刻、対象アカウント、確認した異常を記録する
2. 管理者・クラウド提供会社・必要な専門家に連絡する
3. 対象アカウントやセッションの停止・無効化を検討する
4. アクセスログなど調査に必要な記録を保全する
5. 影響を受けた共有先や情報の範囲を確認する
6. 契約・法令に応じた関係先への連絡要否を判断する

操作を急ぐあまりログを消去すると、後から調査が難しくなることがあります。具体的な停止・保全手順は、利用サービスの仕様と専門家の助言に従ってください。

緊急時の連絡先を事前に決めておく重要性については、関連記事「サイバー事故の緊急連絡先を事前に準備する重要性」も参考になります。

9. 元請と協力会社の役割分担

共有クラウドを安全に運用するには、元請会社と協力会社の間で、誰が何を管理するのか明確にする必要があります。

• 元請会社：共有先の承認、アクセス権限の設定、利用終了時の削除
• 協力会社：自社従業員のアカウント管理、退職・異動時の連絡、不審な認証通知の報告
• 双方：事故時の連絡先、情報共有範囲、記録保全、再発防止の協力

これは役割分担の一例です。実際の管理責任は、契約内容、クラウドの管理主体、利用規約などによって異なります。

IPAの「ビジネスパートナーや委託先等を含めたサプライチェーン全体の状況把握及び対策」でも、委託先を含めたリスク管理と役割・責任範囲の明確化が重要とされています。

10. 今日からできる3つの対策

大きな設備投資を始める前に、次の3点を確認してください。

① 外部アカウントの一覧を確認する

現在アクセスできる元請・協力会社・設計事務所などの利用者を一覧にし、契約終了や担当変更がないか確認します。

② 多要素認証の設定を確認する

利用者に多要素認証が設定されているか確認し、身に覚えのない認証通知への対応を周知します。

③ 共有データと操作履歴を確認する

図面や見積書などの重要資料が、誰に共有されているかを確認します。あわせて、ログインやダウンロードの履歴を確認できるか調べます。

クラウドを利用する際の基本対策は、IPAの「中小企業の情報セキュリティ対策ガイドライン」と付録「中小企業のためのクラウドサービス安全利用の手引き」も参考になります。

11. 事故対応費用とサイバー保険

委託先のアカウント侵害が原因で情報流出が発生した場合、事実関係の調査、アクセスログの解析、関係先への説明、システムの安全確認などが必要になる可能性があります。

サイバー保険では、契約条件に応じて調査費用や事故対応費用などが補償対象となる場合があります。

ただし、委託先アカウントの侵害や共有クラウドでの情報流出が、すべての契約で補償されるわけではありません。

対象となる事故、被保険者の範囲、外部クラウドや委託先に関する条件、免責事項、保険会社への連絡手順などを確認する必要があります。

補償内容の考え方については、関連記事「中小企業が知るべきサイバー保険の全貌と実務ポイント」も参考になります。

12. 社長向けチェックリスト

• □ 自社が利用する共有クラウドを把握している
• □ 元請・協力会社など外部利用者の一覧を確認できる
• □ 工事終了後に不要な権限を削除している
• □ 退職・異動時のアカウント停止手順がある
• □ アカウントの使い回しを避けている
• □ 多要素認証の設定を確認している
• □ 不審な認証通知の報告先が決まっている
• □ 図面・見積書の共有範囲を把握している
• □ 公開リンクや不要な編集権限を確認している
• □ ログイン・ダウンロード履歴を確認できる
• □ 事故時の連絡先と役割分担が決まっている

すべてを一度に整えるのが難しければ、まず外部利用者の一覧を確認するところから始めましょう。

13. まとめ：共有先のアカウントまで確認できていますか

Astemoの公表事例は、委託先の従業員アカウントを通じて、共有クラウドの情報が流出するリスクを示しています。

建設会社でも、元請や協力会社との情報共有は日常業務の一部です。

だからこそ、共有する情報の重要度を把握し、外部アカウントの権限、多要素認証、操作履歴を確認することが重要です。

今日、担当者に一つ聞いてみてください。

「今、共有クラウドにアクセスできる協力会社の一覧は確認できる？」

その一覧を確認することが、図面・見積書・工事写真など、大切な情報を守る第一歩になります。