サイバー猛攻で浮かぶ企業IT資産と委託先管理の重大盲点と対策

相次ぐ漏えいで変わる経営リスクの前提

国内企業のサイバー被害は、単発の不運ではなく、企業統治の前提を変える局面に入っています。タイムズカー、問い合わせ管理サービス、証券関連の顧客情報など、攻撃対象は業種や企業規模を問わず広がっています。

重要なのは、攻撃手法が一つに収れんしていない点です。ランサムウェア、外部公開システムへの侵入、委託先サービスの侵害、アカウントの不正利用が重なり、被害の見え方もそれぞれ異なります。経営者がいま確認すべきなのは、どの製品が危ないかだけではありません。自社がどこに、何の情報を、誰の権限で、どれだけ長く置いているかというIT資産の全体像です。

攻撃対象を広げた公開システムと委託先

660万件で浮かぶ本人確認情報の重み

パーク24は2026年9月28日、タイムズカーWebシステムへの不正アクセスで、約660万件のアカウント情報が第三者に取得されたことを公表しました。対象にはタイムズカー会員や退会済み会員、タイムズビジネスサービス会員などが含まれます。氏名、住所、生年月日、電話番号、メールアドレスに加え、運転免許情報や本人確認書類画像なども対象に挙げられました。

同社は、クレジットカード情報の漏えいは確認していないと説明しています。パスワードについても復元できない形式で保管されていたとしています。それでも、漏れた情報の性質は軽くありません。運転免許証や本人確認書類は、単なる連絡先よりもなりすましに使われやすく、金融サービスや通信契約などの不正申込に転用されるリスクがあります。

この事案が示すのは、デジタルサービスの本人確認情報が、事業の利便性を支える資産であると同時に、侵害時には社会的な負債にもなるという現実です。カーシェアリングのように、本人確認、免許確認、法人会員管理、外部ID連携を抱えるサービスでは、顧客接点のシステムがそのまま高価値データの保管庫になります。

ここで問われるのは、攻撃された後の謝罪文の巧拙ではありません。本人確認に必要だった情報を、利用目的が終わった後も保持していなかったか。画像そのものを残す必要があったのか。暗号化、アクセス制御、保管期間、削除処理を取締役会が理解できる粒度で管理していたかです。

問い合わせ管理から広がった委託先連鎖

大和証券をめぐる事案では、攻撃対象が自社の中核取引システムではなく、問い合わせ管理に使う委託先サービスだった点が注目されます。報道や関係先の公表によれば、約11万人分の氏名、メールアドレス、口座番号などが漏えいした可能性があり、個人を特定できない問い合わせ情報などを含めると約22万件に上ります。

同じ委託先であるスカラコミュニケーションズのFAQシステム「i-ask」をめぐっては、最大5社、延べ最大713,126件の問い合わせ情報が影響を受けた可能性が公表されました。シチズン時計、損害保険ジャパン、東武鉄道、オリックス生命保険などにも影響が広がったと報じられています。

委託先で起きた事故は、自社の事故ではないという説明だけでは、もはや通用しにくくなっています。個人情報保護法上も、委託先の監督は個人情報取扱事業者の重要な責務です。顧客から見れば、問い合わせフォームに入力した情報は、委託先ではなく企業ブランドに預けた情報です。

問い合わせ情報は、企業の中では軽く見られがちです。しかし、実際には氏名、連絡先、口座番号、証券番号、勤務先、医療情報、相談内容などが自由記述欄に混在しやすい領域です。入力フォームの設計次第では、顧客が本来記入すべきでない機微情報まで書き込んでしまいます。

そのため、委託先管理は契約書の条項確認だけでは足りません。どの項目を取得させるのか、自由記述欄に禁止事項を表示しているか、保存期間を定めているか、委託先側の管理者認証に多要素認証があるか、ログをどれだけ保持するかまで確認が必要です。委託はリスク移転ではなく、リスクの共同管理です。

IT資産総点検を経営課題にする理由

公開アプリと外部サービスの棚卸し

JPCERT/CCは2026年10月、国内組織で不正アクセスによる個人情報等の漏えい被害が相次いでいるとして注意喚起しました。一般利用者向けアプリだけでなく、BIツールや従業員向け管理システムなど、本来は不特定多数のアクセスを想定していないシステムも被害に遭っていると指摘しています。

IPAも同じタイミングで、外部公開アプリケーションや外部サービス、保有データの速やかな点検を求めました。特定の製品脆弱性だけを原因と断定する段階ではなく、公開アプリ、外部から利用できるサービス、アカウント侵害が起点となっている傾向があるためです。

経営上の実務に落とすと、最初の作業は「守るべきものを知る」ことです。自社ドメインで公開しているWebアプリ、クラウドサービス、VPN、管理画面、API、委託先が運用する問い合わせ基盤、部門単位で契約しているSaaSを一覧化する必要があります。情シスだけでなく、営業、マーケティング、人事、法務、IRが独自に導入したサービスも対象です。

この棚卸しでは、単なるサービス名の一覧では不十分です。外部公開の有無、保有データの種類、管理者権限の所在、多要素認証の有無、ログ保持期間、脆弱性対応の責任者、委託先の再委託有無を同時に確認します。とくにM&Aや事業提携を重ねた企業では、旧システムや休眠サービスが残りやすく、攻撃者にとっての入口になります。

デジタルアーツの集計では、2026年上半期に国内で公表されたセキュリティインシデントは727件で、不正アクセスが267件、マルウェア感染が153件でした。同社は、サプライチェーンに起因する連鎖的インシデントが件数を押し上げたと分析しています。自社単体の対策だけでは、被害の波及を止めにくい構造です。

ログ保全とデータ最小化の実務

IT資産の棚卸しと並行して必要なのが、ログの保全です。攻撃を完全に防ぐことが難しい以上、侵入の有無、影響範囲、情報取得の可能性を後から検証できる状態を作ることが重要です。ログが短期間で消えるクラウドサービスや、管理者操作の記録が取れない古いシステムは、事故時の説明責任を著しく難しくします。

個人情報保護委員会は2026年10月7日、大規模な漏えい等事案を踏まえた注意喚起を公表しました。そこでは、アクセス制御、識別と認証、外部からの不正アクセス防止、不正アクセス等の検知、ログ保管などが技術的安全管理措置として整理されています。さらに、利用する必要がなくなった個人データは消去するよう努めるべきだと改めて示しました。

この「持たない」という対策は、地味ですが最も強い防御です。漏えいして困る情報を暗号化することは重要ですが、そもそも不要な情報を保有しなければ、攻撃者に奪われることもありません。本人確認書類、問い合わせ履歴、退会済み会員情報、古いキャンペーン応募情報などは、利用目的、法定保存期間、削除予定を確認すべき領域です。

JIPDECの企業IT利活用動向調査2026では、ランサムウェア感染経験の割合が45.8％とされ、約8割の企業が何らかのセキュリティインシデントを経験していると分析されています。フィッシングやビジネスメール詐欺、委託先を起点とする漏えいも上昇傾向です。攻撃は高度化している一方で、基本的な棚卸し、権限管理、ログ確認ができていない企業ほど説明責任を果たしにくくなります。

取締役会が見るべき指標も変える必要があります。脆弱性診断を年1回実施したか、教育を受講したかだけでは足りません。外部公開資産の把握率、重要システムの多要素認証率、特権IDの棚卸し頻度、ログ保持日数、不要データ削除率、重大委託先の監査完了率を、経営指標として追う段階です。

AI悪用論に流されない防御投資の優先順位

IPAの情報セキュリティ10大脅威2026では、組織向け脅威としてランサム攻撃が1位、サプライチェーンや委託先を狙った攻撃が2位に入り、AIの利用をめぐるサイバーリスクも初選出されました。AIが攻撃者の文面作成、偵察、脆弱性探索を助ける可能性は否定できません。

ただし、直近の個別事案について、AIが直接の原因だったと断定できる公表は限られます。原因を「AI時代だから」で片付けると、古い管理画面、不要データの放置、委託先の認証不足、ログ欠落といった目の前の弱点が見えなくなります。経営判断としては、流行語よりも被害経路に資金を配分すべきです。

優先順位は明確です。第一に、外部公開資産と外部サービスの棚卸しです。第二に、管理者権限と特権IDの多要素認証です。第三に、個人データの保管場所、保管期間、削除ルールの見直しです。第四に、委託先のセキュリティ水準を契約、監査、ログ共有で確認することです。

金融庁も2026年10月9日、金融機関等に対し、サードパーティリスク管理やインシデント対応態勢を含む点検を求めました。本人確認書類画像を含む顧客情報の漏えいが相次ぐなか、非対面本人確認では書類画像や容貌画像の不自然さを改めて確認するよう促しています。情報漏えいは、漏れた瞬間で終わらず、なりすましや不正申込の入口になります。

取締役会が確認すべき90日以内の宿題

企業がいま行うべきことは、セキュリティ部門への丸投げではありません。取締役会は90日以内に、外部公開システム、委託先サービス、重要データの一覧を経営資料として受け取り、未確認領域を明示させるべきです。分からないものは守れず、説明もできません。

次に、重大な個人データを扱うシステムについて、多要素認証、最小権限、ログ保持、暗号化、削除ルールを確認します。委託先には、再委託、管理者認証、脆弱性対応、インシデント時の通知期限を確認し、契約条項だけでなく運用証跡を求める必要があります。

最後に、事故発生時の意思決定手順を見直します。誰が遮断を決めるのか、誰が個人情報保護委員会や所管当局に報告するのか、顧客向け公表で何を言えるのかを平時に決めておくことです。サイバー攻撃は技術問題である前に、企業の信頼を管理するガバナンス問題です。

参考資料:

• タイムズカーWebシステムへの不正アクセスに関する調査結果および今後の対応について（第2報）
• FAQシステム「i-ask」への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ
• 委託先事業者に対する不正アクセスによるお客様情報の漏えいの可能性について
• 当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について
• 大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命――5社に影響した「同じ委託先」への不正アクセス
• 大和証券の外部委託先への不正アクセスによるお客さま情報の漏洩の可能性について
• 直近で相次いでいる国内組織における不正アクセスに関する注意喚起
• 不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について
• 情報セキュリティ10大脅威 2026
• 企業IT利活用動向調査2026から見る日本企業のDX、AI活用、ランサムウェア被害の実態
• 解説1 サイバー攻撃による企業活動への影響
• 2026年上半期国内セキュリティインシデント集計
• 企業のセキュリティインシデントに関する調査レポート2025
• 大規模な漏えい等事案を踏まえた対応について（注意喚起）
• 現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について