NECの委託先を経由した顧客環境への不正アクセス
- タグ
- 国内
NECが2026年10月20日に出した発表文［1］によると、システム開発と保守の業務を委託する企業がサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されたことにより、NECの顧客で不正アクセスによる被害の発生や、個人情報を含む情報の漏えいを確認した［7］。委託元の大阪大学は10月21日、確認されている漏えいの対象者が重複を除いて77,851人だと発表した［6］。
経緯
ITmedia NEWSが記事に掲載したNECの発表文によると、顧客のシステム環境には、委託先の端末から正規アカウントを用いた不正アクセスが行われた［7］。サーバ内のファイルが暗号化されたことにより、各種システムが利用できない状態となった［7］。NECが作成し、顧客とNEC、NECと委託先など関係者間で情報共有に使っていたクラウドストレージ内のファイルが漏えいしたことも確認した［7］。
大阪公立大学は第5報で、基盤システムの保守・運用を委託するNECから、情報基盤システムの障害の原因の報告を受けたと説明した［2］。NECがシステム開発および保守業務を再委託している事業者が持つ正規のアカウントで、大学のシステムに不正にアクセスされたことが原因とした［2］。
大阪大学の告知によると、全学教育用電子計算機システムの運用を委託しているNECから報告を受けた後の調査で、大学に報告されていない協力会社が業務の一部に関与していたことが明らかになった［6］。NECは大学との契約に基づかず、協力会社との情報共有のため、大学の個人情報を含むファイルをクラウドストレージ上で共有していた［6］。作業終了後に削除すべきファイルも保持しており、これらのファイルが第三者にダウンロードされたことが判明した［6］。大学は、協力会社の関与と、NECによるファイルの共有と保持を「重大な問題」と認識しているとした［6］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | NECの委託先（大阪公立大学の表記では再委託先）がサイバー攻撃を受けた | ［2、7］ |
| 2026年 | - | 大阪大学の個人情報を含むファイルが第三者にダウンロードされた | ［6］ |
| 2026年 | 大阪公立大学の保守管理の委託会社 | 大阪公立大学の情報基盤システムのサーバーが順次停止する事象を確認し、原因の調査を始めた | ［5］ |
| 2026年 | 大阪公立大学 | 記者会見で、障害をサイバー攻撃、いわゆるランサムウェア攻撃によるものと判断していると説明した | ［4］ |
| 2026年 | NEC | 大阪大学に、ファイルのダウンロードを報告した | ［6］ |
| 2026年 | NEC | 大阪公立大学に報告し、17時に発表文を公表した | ［2］ |
| 2026年 | 大阪公立大学 | 第5報を出した | ［2］ |
| 2026年 | 大阪大学 | 委託事業者における個人情報漏えいを公表した | ［6］ |
| 2026年 | 大阪公立大学 | 卒業生と保護者向けの相談・問い合わせ窓口を設けた | ［3］ |
影響範囲
NECは、漏えいしたファイルには顧客の保有する個人情報やシステム関連情報などが含まれていたと説明した［7］。影響のあった複数の顧客には、既に個別に連絡している［7］。
大阪公立大学の第5報では、NECが利用していたクラウドストレージに保存されていた「本学に関連する個人情報およびシステム関連情報」の漏洩が確認されたとの報告も、NECから受けた［2］。10月5日の会見で情報漏洩の可能性があるとした業務システム（「教務システム関連の情報：約13万件など」）は、大学の仮想化基盤システム内のものである［2］。NECが管理していたクラウドストレージの情報とは別のものだとした［2］。仮想化基盤システムからの情報漏洩の有無は、引き続き調べる［2］。
大阪大学は、漏えいした情報の項目は対象者によって異なるとした［6］。主な情報は、氏名、大阪大学個人ID、大学が付与するメールアドレス（OUMailアカウントなど）、学籍番号または職員番号、所属情報である［6］。NECによる調査では、今回の件に関連すると判断される、大学の全学教育用電子計算機システムへの不正アクセスの痕跡は確認されていない［6］。大阪大学は、この件に起因すると考えられる漏えい情報の不正利用や二次被害も確認されていないと説明した［6］。
対応と現状
NECの発表文では、発覚の後、委託先にNECが管理する端末を貸与するなど必要な対策を進めている［7］。
大阪公立大学は相談窓口の告知で、窓口の設置を対応の第一段階とし、卒業生と保護者の不安や心配を軽減するとともに、この件に起因すると思われる事象や相談の内容を把握するためだと説明した［3］。
大阪大学の告知では、個別の対象情報を今後通知する［6］。漏えいした情報を悪用したフィッシングメールやなりすましメールなどへの注意も求めた［6］。NECに対しては、収束に向けた対応、原因究明及び再発防止策の徹底を求めていく［6］。
未公表の事項
出典
当事者
- ［1］日本電気株式会社『委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び』（2026年10月20日公開、保存記録のみ） 保存記録
関係組織
- ［2］大阪公立大学『本学情報基盤システムにおける障害の発生について【第5報】委託先公表のサイバー攻撃事案に伴うシステム障害・情報漏洩について』（2026年10月21日公開）
- ［3］大阪公立大学『本学情報基盤システムにおける障害にともなう相談・問い合わせ窓口について』（2026年10月23日公開）
- ［4］大阪公立大学『情報基盤システムにおける障害に関する記者会見を実施』（2026年10月6日公開）
- ［5］大阪公立大学『本学情報基盤システムにおける障害の発生について記者会見（式次第・資料1〜3）』（2026年10月6日公開、PDF）
- ［6］国立大学法人大阪大学『委託事業者における個人情報漏えいについて』（2026年10月21日公開）
報道機関
- ［7］アイティメディア株式会社『NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいも』（2026年10月20日公開）
更新記録
- 2026年10月25日：公開した。
- 2026年11月3日：リードの文の言い回しを改めた（事実と出典は変えていない）。