NEC委託先にサイバー攻撃｜顧客のシステム障害と情報漏えい対策

「自社のシステムは安全でも、委託先が攻撃されたらどうなるのか」

2026年10月20日、NEC（日本電気株式会社）は、システム開発・保守業務の委託先へのサイバー攻撃を起点として、顧客のシステム障害と情報漏えいが発生したことを公表しました。

NECによると、9月下旬に委託先がサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されました。

委託先の端末から顧客のシステム環境へ不正アクセスが行われ、サーバー内のファイルが暗号化された結果、各種システムが利用できない状態になったとしています。

さらに、関係者間の情報共有に利用していたクラウドストレージ内のファイルの漏えいも確認されています。

漏えいしたファイルには、顧客が保有する個人情報やシステム関連情報などが含まれていました。

今回の事案が示しているのは、自社だけを守っていても、委託先に与えたアクセス権限が悪用されれば、被害が波及する可能性があるということです。

この記事では、NECの公式発表で確認された事実を整理し、中小企業や建設会社が自社の委託先管理に活用できる実務対策を解説します。

1．NECが公表したサイバー攻撃の概要

NECは2026年10月20日、システム開発・保守業務の委託先へのサイバー攻撃に関連し、顧客環境での不正アクセスによる被害と情報漏えいを確認したと公表しました。

公式発表で確認できる主な内容は次のとおりです。

NECは顧客対応と全容の早期解明を進めているとしています。

この事案を理解する際に重要なのは、攻撃者が委託先を経由して顧客環境へアクセスした点です。

2．委託先から顧客へ被害が波及した経緯

NECの公式発表を基に、確認された流れを整理します。

1. システム開発・保守業務の委託先がサイバー攻撃を受けた
2. 正規アカウントの認証情報が窃取された
3. 窃取された認証情報が悪用された
4. 委託先の端末から顧客のシステム環境へ不正アクセスが行われた
5. 顧客環境のサーバー内ファイルが暗号化され、システムが利用できなくなった
6. 関係者間で共有していたクラウドストレージ内のファイルの漏えいも確認された

ただし、クラウドストレージからの情報漏えいが、サーバー内ファイルの暗号化と技術的にどのような順序・経路で発生したかについては、公式発表だけで詳細を断定できません。

今回の教訓は、外部委託先の端末や認証情報が、顧客システムへのアクセス経路として悪用され得るという点です。

3．盗まれた正規アカウントが悪用された問題

今回の事案では、窃取された正規アカウントの認証情報が悪用されたと公表されています。

正規アカウントとは、本来、業務上の利用を許可されたアカウントです。

例えば、システム保守会社が顧客のシステムを点検するために、許可されたアカウントでログインする場合があります。

しかし、その認証情報が第三者に知られれば、正規の利用者になりすました不正アクセスにつながる可能性があります。

重要なのは、アカウントが正規であることと、実際に操作している人物が正当であることは同じではないという点です。

中小企業でも、外部のIT会社、システム保守会社、クラウド管理事業者などにアクセス権限を与えている場合があります。

その権限を定期的に確認することが重要です。

4．顧客システムの障害とファイル暗号化

NECによると、顧客のシステム環境では、サーバー内のファイルが暗号化されたことで各種システムが利用できない状態になりました。

業務システムが利用できなくなると、会社の業務に影響する可能性があります。

例えば、受発注管理、顧客情報の参照、請求処理、在庫管理などです。

ただし、これらは一般的な影響例であり、今回のNECの顧客企業で実際に停止した業務の一覧ではありません。

また、ファイルの暗号化が確認されたからといって、攻撃手法やマルウェアの種類、身代金要求の有無を推測で断定することはできません。

公式発表で確認できる範囲と、一般的なサイバー攻撃の説明は分けて考える必要があります。

5．クラウドストレージからの情報漏えい

今回の事案では、NECが作成し、顧客・NEC・委託先などの関係者間で情報共有に利用していたクラウドストレージ内のファイルの漏えいも確認されています。

漏えいしたファイルには、顧客が保有する個人情報やシステム関連情報などが含まれていたとしています。

ここで注意したいのは、クラウドストレージを使うこと自体が危険という意味ではないことです。

問題となるのは、誰がアクセスできるか、どの情報を共有するか、権限をいつ削除するかなどの管理です。

共有先が多い場合、必要以上の情報を閲覧できる状態になっていないか確認することが重要です。

クラウドや外部事業者との情報共有については、クラウドサービス・外部事業者のリスクと管理の考え方も参考になります。

6．NECが公表した対応と未確認事項

NECは、影響を受けた複数の顧客へ個別に連絡し、顧客対応と全容の解明を進めていると説明しています。

また、委託先にNECが管理する端末を貸与するなどの対策を進め、委託先管理と個人情報管理の強化・徹底を図るとしています。

一方、2026年10月20日の公式発表だけでは、次の詳細は確定できません。

• 攻撃者の特定
• 認証情報が窃取された具体的な技術的経路
• 影響を受けた顧客の全社名
• 漏えいした個人情報の詳細な件数や範囲
• すべてのシステムの復旧完了時期
• 攻撃に使用されたマルウェアの種類

これらについては、追加の公式発表を確認する必要があります。

未公表の事項を推測で補わないことが、事故報道を正確に理解するうえで重要です。

7．中小企業にも共通する委託先リスク

今回の事案は、大企業だけの問題として考えるべきではありません。

中小企業でも、業務システムの導入や保守、クラウドサービスの管理などを外部へ委託することがあります。

例えば、次のような委託先です。

• パソコンやネットワークの保守会社
• 会計システムの管理事業者
• クラウドサービスの設定事業者
• Webサイトの制作・保守会社
• 販売管理・受発注システムの保守会社
• 外部のシステム開発会社

こうした委託先が自社のシステムへアクセスできる場合、委託先の認証情報や端末が不正利用されるリスクも考慮する必要があります。

重要なのは、委託先を疑うことではありません。

委託先と自社の双方で、必要なアクセス権限や事故時の連絡手順を確認しておくことです。

8．建設会社の元請・下請・協力会社に置き換えると

建設業では、元請会社、下請会社、協力会社、設計事務所などが情報を共有する場面があります。

例えば、次のような情報です。

• 施工図面や設計データ
• 工程表や工事写真
• 現場関係者の連絡先
• 見積書や発注情報
• 施工管理クラウド内の記録
• 協力会社へ共有する作業指示書

もし、協力会社の担当者に付与したクラウドのアクセス権限が不正利用された場合、共有情報が第三者に閲覧される可能性があります。

また、権限の範囲によっては、情報の変更や削除などが問題になる場合も考えられます。

建設会社では、協力会社へ情報を共有するとき、閲覧だけでよいのか、編集まで必要なのかを区別することが重要です。

9．委託先のアカウントとアクセス権限の管理

委託先のアクセス権限を管理するために、次の事項を確認しましょう。

誰に権限を付与しているか

委託先の会社名だけでなく、利用するアカウントや担当者、管理責任者を把握します。

何にアクセスできるか

対象システム、共有フォルダ、管理画面などを確認します。

どこまで操作できるか

閲覧、編集、削除、管理者操作などの権限を整理します。

いつまで必要か

契約終了、担当者変更、保守作業終了などの時点で、不要な権限を削除します。

認証と利用状況を確認できるか

多要素認証、ログイン履歴、不審なアクセス通知など、利用サービスで対応できる対策を確認します。

多要素認証は重要な対策ですが、それだけですべての攻撃を防げるわけではありません。

必要最小限の権限、適切な端末管理、アクセス記録の確認を組み合わせることが重要です。

10．共有クラウドと重要情報を守る対策

委託先や協力会社とクラウドで情報を共有する場合、次の点を確認しましょう。

1. 共有する情報を必要な範囲に限定する
2. 共有先のアカウントを把握する
3. 閲覧権限と編集権限を分ける
4. 共有リンクの公開範囲を確認する
5. 不要になった共有権限を削除する
6. 重要な操作やアクセスの記録を確認する
7. 必要なデータのバックアップと復旧手順を整える
8. 委託先で事故が起きた場合の連絡先を決める

例えば、工事が終了した後も、協力会社の旧担当者が図面フォルダへアクセスできる状態になっていないでしょうか。

過去の共有設定が残っている場合、情報管理上のリスクとなる可能性があります。

まずは、重要な共有フォルダを一つ選び、現在のアクセス権限を確認することから始められます。

11．委託先から事故連絡を受けた際の初動

委託先から「サイバー攻撃を受けた」と連絡があった場合、自社への影響を確認する必要があります。

ただし、委託先が攻撃を受けたからといって、自社の情報漏えいやシステム侵害が確定するわけではありません。

まずは、次の事項を確認しましょう。

• 攻撃を受けたシステムやサービスは何か
• 自社のデータやアカウントが関係するか
• 委託先が自社システムへアクセスできるか
• 認証情報が悪用された可能性はあるか
• 共有ファイルへの不正アクセスは確認されているか
• 自社の業務システムに異常はないか
• 委託先が実施した封じ込め対応は何か
• 今後の調査結果や追加連絡はいつ届くか

自社への不正アクセスが疑われる場合は、システム管理者や専門事業者と連携し、必要なアクセス遮断や認証情報の見直しを検討します。

ログや通信記録などの証拠を適切に保全することも重要です。

事故発生時の連絡先や社内の役割分担については、サイバー事故に備える緊急連絡体制の準備も参考になります。

12．経営者向け委託先管理チェック表

委託先や協力会社に関する管理状況を、次の表で確認してください。

すべての項目が、あらゆる会社に一律に義務付けられているわけではありません。

自社の規模、委託内容、取り扱う情報、契約条件に応じて、必要な対策を整理しましょう。

事故への備えを検討する際は、中小企業のサイバー保険と実務対策も参考になります。ただし、今回のような事故が保険で補償されるかどうかは、契約条件や事故状況によって異なります。

13．今回の教訓と今日の一歩

NECが公表した今回の事案では、委託先への攻撃が、正規アカウントの認証情報の悪用を通じて顧客のシステム環境に波及しました。

顧客環境のファイル暗号化によるシステム障害と、共有クラウドストレージからの情報漏えいが確認されています。

中小企業にとって重要なのは、自社のシステムにアクセスできる外部委託先を把握しているかという点です。

外部委託は多くの企業にとって必要な業務です。

だからこそ、委託先と協力し、アクセス権限や事故時の連絡手順を管理する必要があります。

「自社の対策」と「委託先との接続管理」。

両方を確認することが、取引先と自社の重要な情報を守るための実務的な一歩です。

出典：NEC公式発表（2026年10月20日）