事案の概要データ
| 公表日 | 2026年10月20日 |
|---|---|
| 発生 | 2026年9月下旬 |
| 経緯 | 開発・保守の委託先がサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用された |
| 被害 | 委託先端末から顧客システムへの不正アクセス。サーバー内ファイルの暗号化。共有クラウドストレージからのファイル漏えいも確認 |
| 顧客名・個人情報の詳細・人数・件数 | 非公表 |
| 対応 | 影響を受けた顧客へは個別に連絡済み |
| 注記 | ランサムウェアとは明記されていない |
| 判明した影響先（10月21日） | 大阪大学 77,851人（卒業生59,014名・在学生15,035名・教職員3,802名）、大阪公立大学（件数は確認中） |
図解：この事故の構造
何が起きたのか
NECは2026年10月20日、開発・保守を委託していた先がサイバー攻撃を受けた影響で、顧客システムへの不正アクセスが発生したことを公表しました。発生は2026年9月下旬です。
経緯は、委託先で窃取された正規アカウントの認証情報が悪用され、委託先の端末から顧客システムへアクセスされたというものです。サーバー内のファイルが暗号化され、共有クラウドストレージからのファイル漏えいも確認されています。
顧客名、個人情報の詳細、人数・件数は非公表です。影響を受けた顧客へは個別に連絡済みとされています。なお、公表文ではランサムウェアとは明記されていません。
「委託先の端末から顧客システムへ」
この事案の構造が重要です。攻撃されたのはNECでも顧客でもなく、NECが開発・保守を委託していた先でした。
システムの開発や保守を行う委託先は、業務上、顧客システムへアクセスするための正規のアカウントを持っています。その認証情報が奪われれば、攻撃者は正規の保守作業者として顧客システムに入れます。
システムから見れば、それは「いつもの保守作業」です。検知は極めて困難になります。
2026年9月のデジタル庁GSSの事案も、保守運用に使うVPN機器が入口でした。保守経路は、業務に必要でありながら最も狙われやすい経路です。
多重の委託構造
この事案では、顧客 ← NEC ← 委託先、という3段階の構造になっています。顧客から見れば2つ先の会社で起きた事故です。
大規模なシステム開発では、元請けから一次下請け、二次下請けへと業務が流れるのが一般的です。そして末端になるほど、セキュリティへの投資余力は小さくなります。
発注する側としては、「御社はこの業務をどこかに再委託しますか」「再委託先のセキュリティはどう確認していますか」を契約前に確認する価値があります。
2026年10月17日の足利市（委託先ビジネステック）、10月20日の国土交通省（事務局 博報堂）、岩井コスモ証券（委託先トレードワークス）と、委託構造を経由した事案が続いています。
保守アカウントをどう守るか
保守のためのアカウントは、常時有効にしておく必要はありません。現実的な対策は3つあります。
1つ目は、保守作業の都度、申請して有効化する運用にすること。作業が終わったら無効に戻します。これにより、奪われても使える時間が限られます。
2つ目は、保守アカウントに多要素認証をかけること。委託先の端末が感染していても、もう一つの要素がなければ入れません。
3つ目は、保守アカウントの操作をすべて記録すること。「いつもの保守作業」に見える操作でも、ログを後から見れば異常に気づけます。
中小企業でも、業務システムの保守業者にアカウントを渡している場合は同じです。そのアカウントが常時使える状態になっていないか確認してください。
大学2校への影響が判明した
2026年10月21日、影響先の一部が明らかになりました。大阪大学が77,851人分（卒業生59,014名・在学生15,035名・教職員3,802名）、大阪公立大学も第5報で影響を公表しています。
いずれも、NECの再委託先・協力会社が持つ正規アカウントが経路でした。大阪大学の調査では、「未報告の協力会社の関与」「契約に基づかない共有」「作業終了後の削除漏れ」が確認されています。
委託先の、さらにその先の会社でデータが扱われ、しかも発注元が把握していなかった——この構造が、被害を広げました。
ただし、NECの全顧客の被害を同一原因と断定することはできず、各組織が公表する件数も合算できません。
時系列で見る経過
- 2026年9月下旬開発・保守の委託先がサイバー攻撃を受け、正規アカウントの認証情報が窃取される
- 2026年9月下旬委託先端末から顧客システムへ不正アクセス。サーバー内ファイルの暗号化と共有クラウドストレージからのファイル漏えいが発生
- 2026年10月影響を受けた顧客へ個別に連絡
- 2026年10月20日事案を公表。顧客名・件数は非公表
- 2026年10月21日大阪大学が77,851人分、大阪公立大学が第5報で影響を公表。NECの再委託先・協力会社の正規アカウントが経路と判明
中小企業が学ぶべきポイント
- 保守用アカウントは常時有効にしない。作業の都度、申請して有効化する運用にする。
- 保守アカウントに多要素認証をかける。委託先の端末が感染していても止められる。
- 保守アカウントの操作をすべて記録する。「いつもの作業」に見える異常は後から分かる。
- 発注時に「再委託の有無」と「再委託先のセキュリティ確認方法」を聞く。
- 委託先の端末が感染すると、正規の経路で自社システムに入られる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。