2026年10月、JFEケミカル株式会社がIT環境への不正アクセスと情報漏えいについて公表しました。10月28日の第二報では、個人情報の不正取得またはそのおそれが最大約23万件に上るとされています。
今回の事例をきっかけに、製造業の経営者が考えたいのは「自社の重要情報を誰が閲覧できるのか」という問題です。図面、技術資料、取引先情報などの管理状況を、3つの視点から確認します。
目次［開く／閉じる］
1．JFEケミカルの不正アクセス概要
JFEケミカル株式会社は2026年10月21日、同社のIT環境に第三者による不正アクセスがあり、データが不正に取得されたことを公表しました。
さらに10月28日には第二報を発表し、影響が考えられる情報の範囲について説明しています。今回の事例は、製造業が保有する情報の管理体制を考えるきっかけになります。
自社に攻撃が起きた場合、どの情報が影響を受ける可能性があるのか、すぐに確認できる状態でしょうか。
2．第一報から第二報までの経緯
| 日付 | 公表・確認された内容 |
|---|---|
| 10月14日 | 不正アクセスの可能性を認識 |
| 10月19日 | 不正アクセスとデータの不正取得を確認 |
| 10月21日 | 第一報を公表 |
| 10月27日時点 | 影響の可能性がある個人情報を整理 |
| 10月28日 | 第二報を公表 |
異常を認識した日と、実際に攻撃者が侵入した日は必ずしも一致しません。事故の時系列を整理する際は、検知日、確認日、公表日を区別する必要があります。
3．確認された情報と未確定事項
第二報では、不正に取得された、またはそのおそれがある個人情報が最大約23万件とされています。氏名、所属先、電話番号、メールアドレスなどが対象に含まれます。
一方、侵入経路や攻撃手法の詳細については、現時点で公表内容から断定できません。また、今回の事例で図面や製造技術情報が流出したと確認されたわけではありません。
最大約23万件という数字は、すべてが流出確定した人数を意味するものではありません。重複する情報なども含まれる可能性があり、調査結果によって変わることがあります。
4．製造業が保有する重要情報
製造業では、顧客の連絡先だけでなく、製品図面、加工条件、設計仕様、見積資料、仕入先情報など、多様な情報を扱います。
これらはすべてが個人情報とは限りません。しかし、外部に渡ることで取引上の問題や競争上の不利益につながる可能性があります。
| 情報の種類 | 確認する内容 |
|---|---|
| 製品図面 | 保存先、共有相手、持ち出し方法 |
| 技術資料 | 閲覧権限、更新権限 |
| 取引先情報 | 保存範囲、外部共有の有無 |
| 見積・原価情報 | 閲覧可能な担当者 |
5．確認① 情報の保管場所
最初に確認したいのは、重要情報がどこに保存されているかです。社内サーバーだけでなく、社員のパソコン、クラウドストレージ、外付け記憶媒体などに分散している場合があります。
すべてのファイルを一度に整理する必要はありません。まず取引先から預かった図面や技術資料を対象に、保管場所を一覧化することから始めます。
主要取引先3社の図面が、どのフォルダーやサービスに保存されているか担当者に確認してください。
6．確認② アクセス権限
次に確認したいのは、誰が重要情報を閲覧、変更、ダウンロードできるかです。全社員がすべての図面を閲覧できる設定になっていないか、退職者や異動者の権限が残っていないか確認します。
業務に必要な人だけに必要な権限を付与する考え方を「最小権限の原則」といいます。管理者権限を日常業務で使用しないことも重要です。
共有リンクを知っていれば誰でも閲覧できる設定や、退職者のアカウントが残っている状態は、優先して点検したい項目です。
7．確認③ 事故発生時の対応
不審なログインやファイルの大量ダウンロードが見つかったとき、社員は誰に連絡することになっているでしょうか。担当者が不在でも対応できるよう、連絡先と初動手順を決めておく必要があります。
異常が疑われる場合は、状況を記録し、社内責任者や保守会社に速やかに連絡します。証拠となるログや端末の状態を不用意に消さないことも大切です。
休日や夜間に異常が見つかった場合、最初に連絡する相手を社員全員が知っていますか。
8．外部委託先との情報共有
製造業では、加工会社、設計会社、設備保守会社など、社外との情報共有が日常的に発生します。共有先が増えるほど、情報の管理状況を把握することが難しくなります。
外部委託先に渡す情報は業務に必要な範囲に限定し、共有期間が終了した場合のアクセス停止やデータの取扱いについても確認しましょう。
9．情報持ち出しへの備え
重要情報の管理では、外部からの攻撃だけでなく、誤送信、共有設定の間違い、USBメモリーの紛失などにも注意が必要です。
会社が認めた共有方法を明確にし、業務用アカウントの多要素認証、アクセス記録の保存、定期的な権限点検を組み合わせることが有効です。
10．社長が確認するチェックリスト
- □ 重要な図面・技術資料の保管場所が分かる
- □ 閲覧できる社員と委託先を把握している
- □ 退職者・異動者の権限を見直している
- □ 共有リンクの公開範囲を確認している
- □ 管理者アカウントに多要素認証を設定している
- □ 不審なアクセスを調べるログがある
- □ 事故時の社内外の連絡先が決まっている
- □ 重要データのバックアップを確認している
すべてに対応できていなくても、まずは現状を把握することが改善の第一歩です。特に保管場所とアクセス権限の2点は、経営者から担当者に確認しやすい項目です。
11．費用をかけずに始める対策
新しいセキュリティ製品を購入する前に、既存の設定や運用を見直す方法があります。例えば、不要な共有リンクの削除、退職者アカウントの停止、管理者権限の整理などです。
中小企業向けの公的な支援情報も活用できます。IPAの情報セキュリティ対策資料や中小機構の支援情報を参考に、自社の状況に合った対策を検討しましょう。
12．よくある質問
Q．小さな製造会社でも対策は必要ですか？
必要です。会社の規模にかかわらず、取引先から預かった図面や顧客情報を保有している場合があります。まず保管場所と共有相手を把握することが重要です。
Q．クラウドに保存すれば安全ですか？
クラウドを利用していても、共有設定やアカウント管理が適切でなければ情報漏えいにつながる可能性があります。多要素認証とアクセス権限の点検を行いましょう。
Q．最初に何を確認すればよいですか？
取引先から預かった重要な図面を一つ選び、保存場所、閲覧できる人、社外共有の有無を確認してください。具体的なファイルを対象にすると改善点を発見しやすくなります。
13．まとめ｜今日、社長が実行すること
JFEケミカルの事例は、企業が保有する情報と、その管理体制について考える機会になります。ただし、今回の不正アクセスの原因や影響を、他社の管理状況にそのまま当てはめることはできません。
製造業の経営者が今日から取り組めるのは、重要情報の保管場所、アクセス権限、事故発生時の連絡体制を確認することです。
「取引先から預かった図面を、誰が閲覧・持ち出しできるか教えてください」と担当者に聞いてみましょう。
公式一次情報
※本記事は2026年10月29日時点の公表情報をもとに作成しています。個別の事故原因や影響範囲については、今後の公式発表をご確認ください。
コメント Comments
コメント一覧
コメントはありません。
トラックバックURL
https://risk.pakira-izu.co.jp/2026/10/29/jfe-chemical-cyberattack-information-management/trackback/