事案の概要データ
| 第1報 | 2026年8月28日（最大35,000名分） |
|---|---|
| 第2報 | 2026年10月22日（24,000名） |
| 対象 | 外部クラウドサービスの施工案件情報 |
| 漏えい（第2報） | 24,000名（漏えいまたは漏えいした可能性） |
| 原因 | 外部クラウドの特定アカウントの認証情報が漏えいし、そのアカウントからデータがダウンロードされた |
| 明記された要因 | 多要素認証がなく、パスワード強度も不十分だった |
| 不正利用 | 未確認 |
図解：この事故の構造
何が起きたのか
コロナは2026年8月28日に第1報（最大35,000名分）を出し、10月22日の第2報で24,000名としました。件数は絞り込まれています。
原因は、外部クラウドサービスの特定アカウントの認証情報が漏えいし、そのアカウントからデータがダウンロードされたことです。対象は施工案件の情報でした。
第2報で明記されたのは、そのアカウントに多要素認証がなく、パスワードの強度も不十分だったという点です。不正利用は確認されていません。
原因を率直に書いた公表
「多要素認証がなく、パスワード強度も不十分だった」——この記述は、自社の不備を明確に認めるものです。
多くの公表文は「高度な手口により」「巧妙な攻撃を受け」といった表現を使います。それに比べると、本件の記述は率直です。
2026年10月12日のあっぷらぼ（管理用経路を絞っていない自社の設定不備）、2024年の岡山県精神科医療センター（調査報告書が「十分に防げた人災」と結論）と同じ性質の誠実さです。
原因を率直に書くことには意味があります。読んだ他社が「自社のクラウドアカウントはどうなっているか」と確認する契機になるからです。曖昧な表現では、誰も自分ごとにできません。
クラウドアカウントの守り方
この事案が示す対策は、極めて基本的な2つです。
1つ目は、多要素認証をかけること。クラウドサービスの管理アカウントには、例外なく設定します。パスワードが漏れても、もう一つの要素がなければログインできません。
2つ目は、パスワードの強度を確保すること。短く単純なパスワードは、総当たりや推測で破られます。パスワード管理ツールを使えば、長くランダムなパスワードを設定しても覚える必要はありません。
どちらも追加費用なしで、今日から実行できます。2026年10月の事案を振り返れば、この2つだけで防げた可能性のあるものが数多くあります。
中小企業でも、今使っているクラウドサービス（会計、勤怠、ファイル共有、ECカートなど）の管理画面に多要素認証がかかっているかを、一度確認してください。
件数が減る訂正
第1報の最大35,000名分から、第2報で24,000名に絞り込まれました。
2026年10月は、増える方向の訂正が目立ちました。ブックオフ、Eストアー、トラストバンクです。一方で、減る訂正もあります。10月21日のニフティ（542,513件→最大18,000件）、そして本件です。
第1報の数字は「アクセスされうる範囲の上限」であり、調査が進むと「実際にアクセスされた範囲」に絞り込まれます。初報の数字は暫定であり、どちらにも動きうると理解しておく必要があります。
時系列で見る経過
- 2026年8月外部クラウドの特定アカウントの認証情報が漏えいし、データがダウンロードされる
- 2026年8月28日第1報を公表（最大35,000名分）
- 2026年10月22日第2報。24,000名とし、多要素認証がなくパスワード強度も不十分だったと明記
中小企業が学ぶべきポイント
- クラウドサービスの管理アカウントに多要素認証をかける。追加費用なしでできる。
- パスワード管理ツールを使えば、長くランダムなパスワードでも覚える必要はない。
- 原因を率直に書くと、他社が自分ごととして点検する契機になる。
- 初報の数字は暫定。増える方向にも減る方向にも動きうる。
- 今使っているクラウドサービスの管理画面に多要素認証がかかっているか、今日確認する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。