メニュー

コラム｜セキュリティ

委託先が不正アクセスを受けたら？預けた顧客情報を守る4つの確認と報告の期限

公開：2026-11-04　更新：2026-11-04　文：渡部 秀雄（DXプランニング代表）

参考に比較：英国

問い合わせフォームやメール配信を外部に任せている会社向けです。自社のシステムが無事でも、預け先から顧客情報が漏れることがあります。この記事では、委託先が攻撃されたときの確認と事前の準備をまとめます。

セキュリティ確認 回答案 対策しています取引先へ
この記事の要点
  • 2026年10月の委託先の事案は、どれも問い合わせ受付やメール配信などの周辺業務のツールで起きました。漏れたのは預けていた先からです。
  • 入口は委託先の管理者や担当者の認証情報でした。FAQシステムの事案では、同じサーバーに同居する複数の利用企業のデータに届きました。
  • 委託元には、委託先の選定・契約・取扱状況の把握の3つが求められます。漏えいの速報は、知ってから概ね3〜5日以内です。
  • 最初にやることは、顧客情報の預け先を一覧にし、項目・件数・保存期間・事故のときの連絡先を書き出すことです。

10月、預けた先から相次いだ漏えい

委託先が攻撃されると、自社のシステムが無事でも、預けた顧客情報が漏れることがあります。2026年10月に公表された事案は、この形でした。対象は、問い合わせの受付・FAQ・メール配信といった周辺業務のツールです。

委託先の事故に備える4つの手順預け先の一覧、6つの質問、契約の3点、事故時の段取りを順に示す。預け先の一覧と、委託先への6つの質問から始める委託先の事故に備える4つの手順手順1預け先を一覧に項目・件数・保存期間手順2委託先に6つを聞く答えと確かめた日手順3契約に3つを書く連絡・再委託・消去手順4事故のときの段取り窓口・速報・確報出所：個人情報保護委員会 ガイドライン通則編（令和8年6月一部改正）
委託先の事故に備える4つの手順

例えば月曜の朝、問い合わせフォームを任せている会社から「不正アクセスの発生について」というメールが届いたとします。自社のパソコンもサーバーも無事です。それでも、預けていた顧客の氏名や問い合わせ内容は、外に出たかもしれません。

FAQシステムの提供会社は、2026年10月2日20時30分頃から10月3日8時頃まで不正アクセスを受けました。これは提供会社の書き方です。利用企業の時計メーカーは、20時33分〜8時1分と発表しています。

漏えいの可能性があるのは最大713,126件で、影響する利用企業は最大5社です。項目は、氏名・メールアドレス・問い合わせ内容などです。件数は問い合わせ1件ごとに数えた延べの数で、実際の人数は名寄せ（同じ人の記録をまとめる作業）の途中です（FAQシステムの提供会社の発表、2026年10月6日）。

利用企業の1社の時計メーカーは、約10万名分の氏名・住所・電話番号・メールアドレスなどが漏れた可能性があるとしました。問い合わせ欄に口座番号やカード番号を書いた人は、それも対象です。このシステムは10月中旬に使うのをやめ、移行後に保管データをすべて消すとしています（時計メーカーの発表、2026年10月6日）。

メール配信サービスの提供会社の第二報では、49システムで漏えいがあり、延べ51,628,280件とされました。別のサービスでも190件です。16システムはまだ調べている途中です（メール配信サービスの提供会社の第二報、本文の日付は2026年10月26日）。この数字も延べの件数で、調べが進むと増えることがあります。

7月にも同じ形の事案がありました。不動産会社が駐車場管理を委託していた先のサーバーに、ランサムウェア（データを暗号化して身代金を求める攻撃）の痕跡が見つかりました。対象は2018年7月〜2024年10月の月極駐車場の契約者、約4,000件です。氏名・住所・口座情報・車両情報を含みます（不動産会社の発表、2026年7月28日）。6年あまりの契約者がまとめて対象になった、預ける期間が長いほど範囲が広がる例です。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威2026」組織編（2026年1月29日公開）では、「サプライチェーンや委託先を狙った攻撃」が2位でした。1位はランサム攻撃です（IPA）。報道の一覧では、10月26日〜11月2日の掲載分にも、キャンペーン応募の受付や国の委託事業での漏えいが並んでいます（ScanNetSecurity インシデント一覧）。

この記事では、次の4つの手順で備えます。自社の場面に合う手順から読めます。

場面読む手順減らせる心配
預け先が不明手順1　預けている先を一覧にするどこに何を預けたか分からない
説明を受けていない手順2　委託先に6つを聞く委託先の対策が見えない
契約に決まりがない手順3　契約に3つを書く連絡の遅れ・見えない再委託先・残るデータ
事故の連絡が来た手順4　事故のときの段取りを決める報告の期限に遅れる・なりすましの連絡

では、なぜ預けた先からまとめて漏れるのでしょうか。攻撃の流れを見ます。

なぜ委託先からまとめて漏れるのか

2つの事案とも、入口は委託先の管理者や担当者の認証情報（ログインのIDやパスワードなど）でした。そこから、複数の利用企業のデータに届いています。

FAQシステムの事案における不正アクセスの流れ管理サイトへの不正ログインから、不正なプログラムを経て、同一サーバー上の利用企業のデータベースに届いた流れを示す。管理サイトへの不正ログインから、複数の利用企業のデータに届くFAQシステムの事案：2026年10月管理サイト不正ログイン不正なプログラムを置く同じサーバー利用企業のDB利用企業のDB注：DBは情報をまとめて保管する仕組み。利用企業は最大5社。出所：FAQシステムの提供会社の発表（2026年10月6日）
FAQシステムで不正アクセスが広がった流れ

先に言葉を確かめます。脆弱性はプログラムの弱点、ライブラリは部品として組み込むプログラムです。データベース（DB）は情報をまとめて保管する仕組みで、セッション情報はログインした状態を保つための情報です。

段階FAQシステムの事案メール配信の事案
入口管理サイトに不正ログインライブラリの脆弱性を突かれる
認証情報管理サイトのログインを使われるサポート・品質管理担当者の分を取られる
侵入の後不正なプログラムを置く不正なプログラムを置く
持ち出し同じサーバー上の利用企業のDBからDBからデータを出力
広がり利用企業は最大5社同じ認証情報で他のシステムへ。セッション情報を取り不正ログイン

出所：FAQシステムの提供会社の発表（2026年10月6日）、メール配信サービスの提供会社の第二報

FAQシステムの提供会社は、持ち出された場所を「同一サーバ上で稼働していた利用企業のシステム環境のデータベース」と説明しています。1か所に入られると、同居するほかの利用企業のデータにも届いたことになります。

ただし、同居が被害の決め手だとは言い切れません。メール配信の事案で侵入を試みられたのは81システムです。複数企業で共用する3システムでは漏えいがなく、1社専用の78システムのうち49で漏えいしています。

共用だから危ない、専用だから安全とは、この数字だけでは言えません。見ておきたいのは、担当者の1つの認証情報で、どこまで入れてしまうかです。

気づいたきっかけも参考になります。FAQシステムの提供会社は、10月3日の朝にDBの監視アラート（異常を知らせる警告）で気づき、同じ日の8時頃に遮断しました。その日のうちに、利用企業へ報告しています。

同社は再発防止策として、管理者認証の強化、環境の分離、監視の強化、第三者による定期的な脆弱性診断を挙げました。管理者認証の強化には、多要素認証（パスワードに加え、スマートフォンでの確認など別の方法でも本人を確かめる仕組み）などが含まれます。

この節で見た入口・同居・監視の3点が、手順2で委託先に聞く質問の根拠になります。預けた先で起きた事故でも、預けた側には法律上の責任があります。次は、何が決まっているかを確かめます。

委託元に法律が求めること

個人情報を外部に預ける会社には、委託先を監督する義務があります（個人情報保護法25条）。漏えいしたときの報告義務は、原則として委託元と委託先の両方にあります。

個人情報保護委員会のガイドライン（通則編3-4-4、令和8年6月一部改正）は、委託元がやることを3つに分けています。①適切な委託先を選ぶ、②委託契約を結ぶ、③委託先での取扱状況を把握する、です。会社の規模で分けた決まりではないため、中小企業も同じ3つを確かめます。

違反になる例も挙がっています。委託先の安全管理措置を、契約のときも契約の後も確かめなかった場合や、再委託の条件を指示しなかった場合などです。

再委託（委託先がさらに別の会社に任せること）では、事前の報告か承認と、定期的な監査を求めるのが「望ましい」とされています。委託元が監督していない再委託先で不適切な扱いがあると、「元の委託元による法違反と判断され得る」とも書かれています（個人情報保護委員会 ガイドライン通則編）。

報告の期限は、委託先の事故でも短く決まっています（通則編3-5）。

項目決まっていること自社で決めておくこと
速報知ってから概ね3〜5日以内誰が出すか。委託先から知らせが届く期限
確報（通常）30日以内調べた結果をまとめる担当
確報（不正目的）60日以内。委託先への不正行為を含む委託先の調査結果を受け取る時期
起算点いずれかの部署が知った時点（法人）委託先からの連絡を受ける窓口を1つにする

注：委託先が委託元に知らせれば、委託先の報告義務はなくなります。知らせる目安は概ね3〜5日以内です。出所：個人情報保護委員会 ガイドライン通則編（令和8年6月一部改正）

「委託先が報告するなら、自社は報告しなくてよいのでは」と考えがちですが、そうはなりません。委託先が委託元に知らせた場合、個人情報保護委員会へ報告するのは委託元です（通則編3-5）。委託先から連絡を受けたら、受けた日時を記録し、速報の期限（概ね3〜5日以内）を数え始めます。

報告の数も多くあります。令和7年度の漏えい等の報告は19,417件で、そのうち事業者からは17,139件でした。報告のうち「不正の目的」によるものは22.3%で、10件のうち2件あまりにあたります。

委託先の監督そのものが問われた例もあります。損害保険会社4社が、委託先の監督（25条）の違反で、令和7年4月30日に指導を受けました（個人情報保護委員会 令和7年度年次報告、令和8年7月）。

なお、改正個人情報保護法が2026年7月10日に成立し、7月17日に公布されています（個人情報保護委員会）。

では、この3つの義務と報告の期限に備えて、自社で何をすればよいのか。次の節で、4つの手順にします。

委託先の事故に備える4つの手順

前の節までの仕組みと法律の決まりを、4つの手順にしました。冒頭の表から、自社の場面に合う手順へ飛べます。

手順1　預けている先を一覧にする

顧客情報をどこに預けているか、すぐに答えられないとき

顧客情報を預けている先を書き出し、預けている項目・件数・保存期間・事故のときの連絡先を並べます。

対象は、問い合わせフォーム、メール配信、FAQ、予約、駐車場や端末の管理などです。ネット経由で使うクラウドのサービス（SaaS）も、業務を任せている委託先も含めます。

新しい表は作りません。以前、「取引先からセキュリティチェックシートが届いたら、中小企業がまずやること」で、最初に「預かった情報の扱い表」を作ると書きました。今回はその表に、預けている項目・件数・保存期間・事故のときの連絡先の4列を足します。

おすすめは、件数と保存期間から先に埋めることです。理由は、預けた期間が長いほど、漏れる範囲が広がるからです。7月の駐車場管理の事案では、6年あまりの契約者、約4,000件が対象になりました。この工程で、どこに何を預けているか分からないという心配が減ります。

手順2　委託先に6つを聞く

委託先の対策について、説明を受けたことがないとき

10月の事案の再発防止策から逆算した6つの質問を送り、答えと確かめた日を一覧に書きます。

  1. 管理画面に多要素認証を入れていますか。
  2. 利用企業ごとに、システムの環境を分けていますか。
  3. データベースを監視し、異常のときにアラートを出していますか。
  4. 第三者による脆弱性診断を受けていますか。
  5. ログインの画面やAPI（システム同士をつなぐ窓口）に、接続できる場所の制限（IP制限）をかけていますか。
  6. サポート担当者のアカウントを、どう管理していますか。

1〜4は、FAQシステムの提供会社が挙げた再発防止策です（提供会社の発表、2026年10月6日）。5と6は、担当者の認証情報が取られ、ほかのシステムにも使われたメール配信の事案から足しました（提供会社の第二報）。

この質問は、ガイドラインの「取扱状況の把握」にあたります（個人情報保護委員会 通則編3-4-4）。この工程で、委託先の対策が見えないという心配が減ります。

手順3　契約に3つを書く

契約書に、事故のときの連絡やデータの消去の決まりがないとき

知らせる期限・再委託の条件・データの消去の3つを、契約か覚書に書きます。

  • 知らせる期限：例えば「事故を知ってから24時間以内に委託元へ知らせる」。これは例で、法律の決まりではありません。委託元が速報を概ね3〜5日以内に出すには、委託先からの知らせが先に要ります。FAQシステムの提供会社は、気づいた日のうちに利用企業へ報告しています。
  • 再委託の条件：再委託は、事前の報告か承認を条件にします。監督していない再委託先の問題は、委託元の違反と判断され得るためです。
  • データの消去：契約が終わったときや保存期間を過ぎたときに消し、消したことを報告してもらいます。

時計メーカーは、事案のあったシステムの使用を10月中旬にやめ、移行後に保管データをすべて消すとしています。JPCERT/CC（国内のセキュリティ事故の連絡・調整を行う組織）も、10月8日の注意喚起で対策の1つに「保存期間を過ぎたデータや利用目的を終えたデータを残さない」を挙げました。この注意喚起は委託先に限ったものではなく、国内組織への不正アクセス全般が対象です（JPCERT-AT-2026-0030）。この工程で、連絡が遅れる、再委託先が見えない、データが残り続けるという心配が減ります。

手順4　事故のときの段取りを決める

委託先から「不正アクセスの可能性」と連絡が来たとき（来る前に決めておくとき）

連絡を受ける窓口を1つにし、受けた日時を記録して、速報と確報を出す人を決めます。

速報は知ってから概ね3〜5日以内、確報は30日以内です。不正な目的による場合は60日以内です。起算点は「いずれかの部署が知った時点」です（通則編3-5）。例えば営業あてに届いたメールでも、その日から数え始めることになります。

窓口と報告する人は、「中小企業のAI・セキュリティ無料相談先はどこか」で書き足した、被害時の連絡先の紙に加えます。

漏えいのあとは、関係者を装うメール・SMS（携帯電話のショートメッセージ）・電話が来ることがあります。メール配信の事案では、提供会社のドメイン（メールアドレスの@より後ろの部分）を使ったなりすましメールが確認されています。件名は「ご利用確認のお願い」などです。顧客に注意を呼びかける文面は、事故の前に作っておきます（記事の後半の確認表に例を置きました）。

委託先の発表は、調べが進むと件数が増えることがあります。メール配信の事案では、第二報の時点で16システムがまだ調査中でした。最初の連絡だけで「自社は影響なし」と決めず、続報を待って一覧を更新します。

手順2の質問を、ほかの国の会社はどこまでしているのでしょうか。参考に、英国の調査を見ます。

海外ではどうしているか（参考）

日本の中小企業にとっての意味から書きます。英国でも、取引先のリスクを正式に評価している会社は、規模が小さいほど少数です。全部の取引先を一度に調べるより、まず直接の委託先から始める。その順番を考える材料になります。

英国DSIT（科学・イノベーション・技術省）の調査（2026年4月30日公表）では、直接の取引先を正式に評価している企業は15%でした。100社のうち15社ほどです。取引先全体まで評価しているのは6%です。

企業の規模直接の取引先を評価している割合
大企業48%
中企業30%
小企業22%
零細企業12%

注：規模の区分は同調査によるもの。同じ調査で、過去12か月に侵害や攻撃を経験した企業は43%（前年と同じ）。日本には、これと比べられる一次統計が見つかりませんでした。出所：DSIT Cyber Security Breaches Survey 2025/26

では、日本ではこの先、何が変わるのか。決まっている予定と見通しを整理します。

今後の展開

10月の事案は、件数も原因もまだ確定していません。委託先を確かめる国の制度も、これから受付が始まるところです。時期ごとに、決まっている予定と見立てを分けて示します。

半年以内：件数と原因の続報が出る

メール配信サービスの提供会社では、16システムの件数をまだ調べています（第二報）。FAQシステムの提供会社も、実際の人数を名寄せで確かめている途中です（2026年10月6日）。延べ件数や影響する会社の数は、今後も増える可能性があると見ています。

不正な目的による漏えいの確報は、知ってから60日以内です。10月に知った事案なら、期限は12月ごろになります。これは通則編3-5から数えた目安で、各社が公表した予定ではありません。

1〜2年：SCS評価制度の受付が始まる

SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度。会社のセキュリティ対策の水準を★の段階で示す国の制度）では、★3と★4の受付が近づいています。★3は、すべての会社が最低限そろえる水準です。要求項目は26件で、専門家の確認付きの自己評価です。

★4は43件で、第三者が評価します。VPN装置（社外から社内につなぐための機器）などの脆弱性検査も含みます。★5は今後具体化されます。★3・★4は、2027年3月の受付開始を目指して準備中です（IPA、2026年10月28日更新）。

そのため、今すぐ委託先に「SCS★3以上」を条件にすることはできません。それまでは、★3の26項目の考え方を参考にしながら、手順2の6つの質問で委託先の対策を確かめます。

IPAは、委託元が委託先に適切な★を示し、実施状況を確かめる使い方を想定しています。受付が始まると、委託先を選ぶときに★を聞く会社が増える可能性があると見ています。預ける側にも、預かる側にも関わる変化です。

その先：委託先を選ぶ基準が変わる

IPAの10大脅威2026では、委託先を狙った攻撃が2位でした。今回の事案の再発防止策には、環境の分離や管理者認証の強化が並んでいます。この流れが続くと、利用企業ごとに環境を分けているかや、担当者のアカウントの管理が、委託先を選ぶ基準として見られるようになる可能性があると見ています。

2つのシナリオと、見ておく兆し

  • A：委託先が★や第三者診断の結果を自分から示すようになれば、手順2の質問は、その結果を確かめる作業に置き換えられます。
  • B：★の取得が広がらなければ、手順2の6つの質問を自社で聞き続けます。

どちらに進むかは、次の3つで見分けられます。

  1. 2027年3月の★3・★4の受付が、予定どおり始まるか
  2. 使っているサービスの会社が、★や診断の結果を公表し始めるか
  3. 今回の事案の確報や続報で、件数と原因が更新されるか

日本の中小企業にとっての意味は、2027年3月の受付までに手順1〜3を済ませておくと、判断の材料がそろうことです。一覧と回答があれば、★を委託の条件に加えるかどうかを自社で決められます。以前、「取引先からセキュリティチェックシートが届いたら」で、受付までに★3を目指すか、回答集で答え続けるかを決めると書きました。預ける側の判断も、同じ時期にそろえて決められます。では、今日の時点で手を付けられることを挙げます。

今日からできること

  1. 顧客情報を預けているサービスと委託先を書き出す。
    どうやって：請求書やクレジットカードの明細から毎月払っているサービスを拾い、扱い表に行を足します。
  2. 各行に、預けている項目・件数・保存期間・事故のときの連絡先を書く。
    どうやって：管理画面のデータ件数と、契約書のデータの扱い・解約の条項を見ます。
  3. 件数が多い先か、保存期間が長い先の1社に、6つの質問を送る。
    どうやって：下の確認表の質問を、そのままメールに貼ります。
そのまま使える委託先の確認表

(A) 一覧に足す列

  • サービス名／任せている業務／預けている項目／件数／保存期間／事故のときの連絡先／確かめた日

(B) 委託先への6つの質問

  1. 管理画面に多要素認証を入れていますか。
  2. 利用企業ごとに、システムの環境を分けていますか。
  3. データベースを監視し、異常のときにアラートを出していますか。
  4. 第三者による脆弱性診断を受けていますか。
  5. ログインの画面やAPIに、接続できる場所の制限（IP制限）をかけていますか。
  6. サポート担当者のアカウントを、どう管理していますか。

(C) 契約で確かめる3点

  • 事故を知ってから委託元に知らせる期限（例：24時間以内）
  • 再委託は、事前の報告か承認が条件になっているか
  • 契約終了時・保存期間の経過時に消去し、消去を報告してもらえるか

(D) 事故のときの段取り

  • 連絡を受ける窓口：（　　　）／受けた日時：（　　　）
  • 速報の期限：知ってから概ね3〜5日以内／報告する人：（　　　）
  • 確報の期限：30日以内（不正な目的なら60日以内）
  • 顧客への注意の呼びかけ文：「当社や委託先を名乗るメール・SMS・電話で、パスワードやカード番号をお尋ねすることはありません。不審な連絡を受けた場合は、返信せず当社窓口へご連絡ください。」

DXプランニングで受けられるサービス

チェックシートの回答支援では、項目の読み解き、今の状態の確認と回答案づくり、足りない対策の実施、社内ルールづくりを受けられます。料金は50項目までで30,000円です。この記事の扱い表や委託先への回答を、取引先から届くチェックシートに答える材料として整える場面でも使えます。委託先への質問づくりや一覧の定期的な見直しは、IT顧問（月20,000円、月2時間まで）で相談・点検として受けられます。

この記事の状況に当てはまる方へ

チェックシートの回答支援の詳細を見る 無料で相談する

まとめ

委託先で起きた事故でも、預けた側には監督と報告の責任があります。備えは、預け先の一覧と、委託先への6つの質問から始めます。新しく作る前に、今あるものを活かせないか。そこから考えるのが、DXプランニングのやり方です。一覧は、すでにある扱い表に列を足して作れます。

出典

この記事を書いた人渡部 秀雄（DXプランニング代表）。IT企業で、企業向けのデータ連携基盤の構築・検証、帳票づくりの自動化、ホームページのサーバー管理から更新までの運用に携わっています。IT担当がいない中小企業・団体の外部のIT担当として、相談から仕組みづくり、保守までを引き受けています。

まずは無料でご相談ください

対応できるかの確認・お見積りまでは無料です。その場で契約を求めることはありません。通常、2日以内（土日を含む）にお返事します。

無料で相談する