事案の概要データ
| 公表日 | 2026年10月16日 |
|---|---|
| 不正アクセスの時期 | 2026年10月7日 未明〜朝 |
| 対象 | システム開発用クラウド |
| 漏えいを確認 | 約183万件 |
| 内訳 | 氏名・メール・住所・電話・生年月日のいずれかを含む 約15万件（うちメール含む 約12万件）／単体では個人を特定できない識別子のみ 約168万件 |
| 原因 | 認証情報が何らかの手段で窃取され使用された（取得手口は未公表）。当該認証情報は無効化済み |
| カード情報 | 含まれない |
| 別事案 | 10月4日公表のGoogle Workspace・Microsoft 365の事案とは別 |
図解：この事故の構造
- 単体では個人を特定できない識別子のみ 約168万件
- 氏名・メール・住所・電話・生年月日のいずれかを含む 約15万件（うちメール含む 約12万件）
何が起きたのか
日本経済新聞社は2026年10月16日、システム開発用のクラウド環境が不正アクセスを受け、約183万件の漏えいを確認したことを公表しました。
不正アクセスが行われたのは10月7日の未明から朝にかけてです。認証情報が何らかの手段で窃取され、それを使ってアクセスされました。当該の認証情報はすでに無効化されています。
漏えいの内訳は、氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むものが約15万件（うちメールアドレスを含むものが約12万件）、単体では個人を特定できない識別子のみのものが約168万件です。クレジットカード情報は含まれません。
10月4日の事案とは別
同社は10月4日にも、社員のMicrosoft 365アカウントが乗っ取られて約9,000通のなりすましメールが送信された件と、Google Workspaceへの不正ログインで1,646人分に漏えいの疑いがある件を公表しています。
今回の事案はそれとは別です。わずか2週間足らずの間に、別経路で2度の侵害を受けたことになります。
2026年10月は、同じ組織で複数の事案が並行して発覚する例が目立ちました。10月16日のスカイチケットも、経路の異なる3件の事案を公表しています。
1つの侵害を塞いだ後も、「他の経路は大丈夫か」を確認することの重要性を示しています。攻撃者は複数の入口を同時に試しており、1つ見つかったときには別の入口も使われている可能性があります。
「開発用クラウド」に本番データがあった
攻撃を受けたのは、システム開発用のクラウド環境です。にもかかわらず、約183万件の実データが漏えいしました。
開発環境には、動作確認のために本番データのコピーが置かれることがあります。実際のデータで試さないと分からない不具合があるためです。しかし開発環境は、本番環境に比べてアクセス制限が緩いことが多い。
対策は明確です。開発環境では、本番データをそのまま使わず、氏名や連絡先を置き換えた「テスト用データ」を使うことです。マスキング（匿名加工）と呼ばれる処理で、専用のツールもあります。
中小企業でシステムを外注している場合、「開発会社に渡しているデータは本物ですか」と確認してみてください。本物を渡しているなら、それは自社の個人情報が社外にあるということです。
時系列で見る経過
- 2026年10月4日別事案として、Microsoft 365アカウントの乗っ取り（約9,000通）とGoogle Workspaceへの不正ログイン（1,646人分）を公表
- 2026年10月7日 未明〜朝システム開発用クラウドへ不正アクセスされる
- 2026年10月窃取された認証情報を無効化
- 2026年10月16日約183万件の漏えいを確認したと公表。二次被害・システム停止・データ改ざん等は未確認
中小企業が学ぶべきポイント
- 開発環境に本番データをそのまま置かない。氏名や連絡先を置き換えたテストデータを使う。
- 開発環境は本番よりアクセス制限が緩くなりがち。同じ基準で守る。
- 1つの侵害を塞いだ後も、他の経路を確認する。攻撃者は複数の入口を試している。
- 外注先に本番データを渡していないか確認する。渡しているなら自社の個人情報が社外にある。
- クラウドの認証情報（アクセスキー）は定期的に入れ替え、使っていないものは削除する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。