事案の概要データ
| 発覚 | 2026年2月28日（不正アクセスの可能性を認識） |
|---|---|
| 第一報 | 2026年3月6日 |
| 第三報（詳細） | 2026年4月27日 |
| 従業員・家族・退職者 | 約7万3000件（氏名、生年月日、住所、銀行口座、健康情報） |
| 顧客・仕入先等 | 約1万5000件（氏名、メールアドレス、電話番号） |
| その他 | 請求書・契約書・売上など個人情報以外の取引データも取得のおそれ |
| 被害範囲 | 社内の情報共有を主目的とするシステム。基幹システムとメールには被害なし |
| 事業影響 | 生産・販売は通常どおり継続 |
図解：この事故の構造
- 従業員・家族・退職者 約7万3000件／氏名・生年月日・住所・銀行口座・健康情報
- 顧客・仕入先等 約1万5000件／氏名・メールアドレス・電話番号
何が起きたのか
村田製作所は2026年2月28日に不正アクセスの可能性を認識し、3月6日に第一報を公表。4月27日の第三報で詳細を明らかにしました。
攻撃を受けたのは、社内の情報共有を主目的とするシステムです。漏えいのおそれがあるのは、従業員・家族・退職者 約7.3万件（氏名、生年月日、住所、銀行口座、健康情報）と、顧客・仕入先など 約1.5万件（氏名、メールアドレス、電話番号）、あわせて約8.8万件です。
加えて、請求書・契約書・売上データなど、個人情報以外の取引データも取得されたおそれがあるとされています。
従業員の情報が主な被害
この事案の特徴は、漏えいの中心が顧客ではなく「従業員とその家族、退職者」だった点です。しかも銀行口座情報と健康情報が含まれる可能性があるとされています。
健康情報は、個人情報保護法上の「要配慮個人情報」にあたり、通常の個人情報より厳格な扱いが求められます。健康診断の結果やストレスチェックの記録などが該当します。
企業は顧客情報の保護には意識が向きやすい一方、従業員の情報——人事データ、給与振込口座、健康診断結果、家族構成——の管理が手薄になりがちです。しかしこれらは、顧客情報と同等かそれ以上に機微な情報です。
中小企業でも、人事・労務のデータがどこに保存され、誰がアクセスできるかを確認する価値があります。「総務のパソコンに全部入っている」という状態は珍しくありません。
生産・販売は止まらなかった
被害を受けたのは情報共有システムで、基幹システムとメールには被害が及ばず、生産・販売は通常どおり継続されました。システムが分離されていたことが、事業への影響を抑えた形です。
一方で、米インディアナ州への届出によると、侵害の発生日は2025年3月10日とされており、認識（2026年2月28日）まで約1年が経過していた可能性が指摘されています。
侵入を1年近く気づけなかったという点は、2026年9月に調査が完了したさくらインターネットの事案（販売管理システムへの不正アクセスが2023年4月から約3年間）とも共通する課題です。
時系列で見る経過
- 2025年3月10日米国への届出によれば、この日が侵害の発生日とされる
- 2026年2月28日不正アクセスの可能性を認識し、調査を開始
- 2026年3月6日第一報を公表
- 2026年4月27日第三報で詳細を公表。約8.8万件の漏えいのおそれを発表
- 2026年以降不審な通信元からのアクセス遮断、社内ネットワークへのアクセス制限強化、認証方式と権限管理の強化を実施
解決までの道のり
影響範囲を約8.8万件と特定して段階的に公表し、アクセス遮断・ネットワークのアクセス制限強化・認証方式と権限管理の強化という再発防止策を実施しました。生産・販売を止めずに対応を完了させています。
対応の流れ
- 2026年2月28日不正アクセスの可能性を認識し、調査を開始
- 2026年3月6日第一報を公表し、関係者へ状況を説明
- 2026年3月〜4月外部専門機関とともに調査を実施し、影響範囲を精査
- 2026年4月27日第三報で詳細を公表。対象者ごとの件数と情報項目を明示
- 2026年以降不審な通信元からのアクセスを遮断
- 2026年以降社内ネットワークへのアクセス制限を強化
- 2026年以降認証方式と権限管理を強化
解決できたポイント／残った課題
- 基幹システムとメールが分離されており、生産・販売を止めずに済んだ
- 対象者（従業員／顧客・仕入先）ごとに件数と情報項目を分けて公表した
- 第一報から第三報まで段階的に情報を出し、調査の進展を説明した
- 認証方式と権限管理の強化という、侵入を前提とした対策に踏み込んだ
- 一方で、米国への届出では侵害発生が2025年3月とされ、認識まで約1年かかった可能性がある
- 一方で、銀行口座情報と健康情報という機微な情報の漏えいのおそれは解消できなかった
中小企業が学ぶべきポイント
- 従業員・退職者の情報も顧客情報と同じレベルで守る。人事データの保存場所を把握する。
- 健康情報は「要配慮個人情報」。取得・保管・廃棄のルールを明文化する。
- 業務システムを分離しておけば、1つが被害を受けても事業は止まらない。
- 侵入から認識まで1年。「入られた後に気づく仕組み」（ログ・EDR）が必要。
- 退職者のデータをいつまで持つか、保存期間を決めて削除する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。