要点
発表された事実
- NEC（日本電気）は2026年10月20日、システム開発・保守業務を委託している企業が9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用された結果、NECの顧客で不正アクセスの被害と、個人情報を含む情報の漏えいを確認したと公表した（NEC）。
- 顧客のシステム環境に、委託先の端末から正規アカウントを使った不正アクセスがあり、サーバ内のファイルが暗号化されて各種システムが使えない状態になった（同）。
- NECが作成し、顧客とNEC、NECと委託先など関係者の情報共有に使っていたクラウドストレージ内のファイルも漏えいした。ファイルには顧客が保有する個人情報やシステム関連情報などが含まれていた。個人情報の詳細は判明次第、顧客に報告するとしている（同）。
- 影響のあった複数の顧客には個別に連絡済み。NECは委託先に自社管理の端末を貸し出すなどの対策を進め、委託先管理と個人情報管理を強化するとしている（同）。
- 委託先や被害を受けた顧客の社名、漏えいした情報の件数は公表されていない（ITmedia NEWS）。報道では、情報が漏えいした顧客は3社、うち2社で個人情報の漏えいを確認したとされる（読売新聞、日本経済新聞の見出し）。
わかったこと
- 【2026-10-21】被害を受けた顧客の一つが大阪公立大学だと判明した。大学は10月21日11時30分の第5報で、10月2日に起きた情報基盤システムの障害の原因は、NECが開発・保守を再委託している事業者が9月下旬にサイバー攻撃を受け、その事業者の正規アカウントで大学のシステムに不正アクセスされたことだと、10月20日にNECから報告を受けたと発表した。NECが使っていたクラウドストレージに保存されていた「大学に関連する個人情報およびシステム関連情報」の漏洩も報告され、内容と件数はNECに確認中。大学が10月5日の会見で漏洩の可能性があるとした教務システム関連の情報（約13万件など）は大学の仮想化基盤内のもので、このクラウドストレージの情報とは別だとしている（大阪公立大学 第5報、朝日新聞）。大学の被害の経緯は大阪公立大学の記事にまとめている。
- 【2026-10-22】大阪大学も10月21日、全学教育用電子計算機システムの運用を委託しているNECから、卒業生5万9014人、在学生1万5035人、教職員3802人の計7万7851人分（重複を除く）の個人情報が漏えいしたと発表した。主な項目は氏名、大阪大学個人ID、大学が付与するメールアドレス、学籍番号または職員番号、所属情報。大学は10月9日、第三者が大学の個人情報を含むファイルを9月26日にダウンロードしていたとNECから報告を受けた。NECは大学に報告していない協力会社と情報を共有するため、個人情報を含むファイルをクラウドストレージで共有し、作業後に消すべきファイルも保持していた。大学はこれを「重大な問題」としている。NECの調査では大学のシステム自体への不正アクセスの痕跡はなく、不正利用や二次被害も確認されていない（大阪大学、ITmedia NEWS）。
わかっていないこと
- 委託先の社名と、委託先で認証情報がどう盗まれたのか
- 被害を受けた顧客の名前、システム停止の範囲と復旧の状況（【2026-10-21追記】大阪公立大学が自ら公表。【2026-10-22追記】大阪大学も情報漏えいを公表。ほかの顧客は不明）
- 暗号化に使われたランサムウェアの種類と、犯行声明の有無
- クラウドストレージから流出したファイルと個人情報の件数・項目（【2026-10-22追記】大阪大学分は7万7851人と公表。全体の件数は不明）
- 攻撃者がクラウドストレージにどうやって届いたのか（委託先のアカウントか、共有の設定か）
- 被害を受けた顧客側からの公表があるかどうか
関係しそうな既知の手口
- （考察）保守のための正規の接続が、そのまま攻撃者の通り道になった。委託先の端末は顧客環境に入る権限を持っているため、そこが乗っ取られると、顧客側のファイアウォールや認証は「正規の作業」として通してしまう。
概要
- NECの開発・保守の委託先が9月下旬に攻撃され、正規アカウントの認証情報を盗まれた。
- 攻撃者はそのアカウントで委託先の端末から顧客のシステムに入り、サーバのファイルを暗号化した。
- 関係者で共有していたクラウドストレージからも、顧客の個人情報やシステム情報を含むファイルが流出した。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026年9月下旬 | NECの開発・保守の委託先がサイバー攻撃を受け、正規アカウントの認証情報が窃取される（NEC） |
| （日付非公表） | 委託先の端末から正規アカウントで顧客のシステム環境に不正アクセス、サーバ内のファイルが暗号化される。関係者共有のクラウドストレージからファイルが漏えい（NEC） |
| 2026-09-26 | 第三者が大阪大学の個人情報を含むファイルをダウンロード（大阪大学） |
| 2026-10-09 | NECが大阪大学に、9月26日のファイルのダウンロードを報告（大阪大学） |
| 2026-10-20（火） | NECが公表。影響のあった複数の顧客には連絡済み（NEC） |
| 2026-10-21（水）11:30 | 大阪公立大学が第5報で、10月2日のシステム障害はNECの再委託先の正規アカウントを使った不正アクセスが原因とNECから報告を受けたと発表。NECのクラウドストレージから大学関連の個人情報とシステム関連情報の漏洩も報告された（大阪公立大学 第5報） |
| 2026-10-21（水） | 大阪大学が、NECから卒業生・在学生・教職員計7万7851人分の個人情報が漏えいしたと発表。NECが大学に報告していない協力会社とクラウドストレージでファイルを共有していたと説明（大阪大学） |
発表内容の整理
事実（NECの発表）
| 項目 | 内容 |
|---|---|
| 起点 | NECのシステム開発・保守の委託先へのサイバー攻撃（9月下旬） |
| 悪用されたもの | 窃取された正規アカウントの認証情報 |
| 被害1 | 顧客のシステム環境に委託先の端末から不正アクセス。サーバ内のファイルが暗号化され、各種システムが利用不能に |
| 被害2 | NECが作成し関係者で情報共有に使っていたクラウドストレージ内のファイルが漏えい。顧客保有の個人情報やシステム関連情報を含む |
| 対応 | 影響のあった複数の顧客へ個別連絡。委託先にNEC管理の端末を貸与。委託先管理・個人情報管理の強化 |
| 非公表 | 委託先名、顧客名、件数（ITmedia NEWS） |
考察
NECの発表は「委託先の端末から」「正規アカウントを用いた」と書いている。攻撃者は委託先の環境を足場にして、委託先が普段の保守で使う経路と権限のまま顧客環境に入ったことになる（考察）。顧客側から見ると、接続元もアカウントも普段どおりなので、接続の時点で見分けるのは難しい。
漏えいの経路が二つある点も特徴だ。一つは暗号化されたサーバ、もう一つは関係者の共有クラウドストレージだ。共有ストレージには、複数の顧客の資料が一か所にまとまりやすい。システム構成やパスワードの書かれた資料が入っていれば、そこから別の顧客の環境に手が伸びる恐れもある（考察）。
対策として「NEC管理の端末を委託先に貸し出す」を挙げていることから、委託先が自前の端末で顧客環境に接続していたことがうかがえる（考察）。委託先の端末の管理（更新、EDR、ログ）が委託元の目の届かないところにあったことが、今回の弱点の一つと見られる。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- 第一興商では、委託先の従業員PC1台のマルウェア感染から、ビッグエコー会員など約872万4000件が漏えいのおそれとなった（第一興商の記事）。
- ライドオンエクスプレスでは、登録者情報を預けていたサーバー運営会社のランサムウェア被害で、最大約650万件の漏えいの可能性が公表された（ライドオンエクスプレスの記事）。
- 岩井コスモ証券では、ネット取引の運用・保守の委託先トレードワークスで管理機能の設定不備が突かれた（岩井コスモ証券の記事）。
考察
- 保守用の常時接続は「常時開いた扉」：保守のために委託先から顧客環境へいつでも入れる状態だと、委託先が乗っ取られた瞬間に顧客環境も危険にさらされる。作業のたびに顧客側が接続を許可する、作業時間外は経路を閉じる、といった運用が被害の広がりを抑える（考察）。
- 共有ストレージの「置きっぱなし」：プロジェクトが終わっても共有ストレージに資料が残り続けると、漏えい時の被害が大きくなる。誰がどの共有フォルダに入れるか、不要な資料を消しているかの棚卸しが必要だ（考察）。
利用者・運用者がいまできること
事実（発表に基づく）
- NECは影響のあった顧客に個別に連絡し、漏えいした個人情報の詳細は判明次第、顧客に報告するとしている（NEC）。
考察（運用者向け）
- 委託先が使う保守用アカウントと接続経路を洗い出す。常時使えるアカウントは、作業時だけ有効にする方式や、接続元の端末を限定する方式に切り替える。
- 委託先の端末で顧客環境に入る場合、その端末の管理状況（OS更新、EDR、多要素認証）を契約と点検で確かめる。
- 共有クラウドストレージの共有範囲と保存資料を見直し、認証情報やネットワーク構成図などを置かない、置く場合は期限を決めて消す。
- 委託先経由の接続についても、作業時間外のログイン、大量のファイル操作、暗号化の兆候を検知できるようにしておく。
参考リンク
- 委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び（NEC、2026-10-20）
- NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいも（ITmedia NEWS、2026-10-20）
- NEC委託先にサイバー攻撃 - 顧客システムで障害、個人情報流出（Security NEXT、2026-10-20）
- ＮＥＣにサイバー攻撃、顧客企業３社の情報が漏えい…２社では個人情報漏えいを確認（読売新聞、2026-10-20）
- NEC、システム開発の委託先にサイバー攻撃 顧客3社の情報漏洩（日本経済新聞、2026-10-20）
- 本学情報基盤システムにおける障害の発生について【第5報】委託先公表のサイバー攻撃事案に伴うシステム障害・情報漏洩について（大阪公立大学、2026-10-21）
- 大阪公立大のシステム障害、NECの再委託先へのサイバー攻撃が原因（朝日新聞、2026-10-21）
- 委託事業者における個人情報漏えいについて（大阪大学、2026-10-21）
- 大阪大、学生など7.8万人の情報漏えい NECが無断で協力会社とデータ共有（ITmedia NEWS、2026-10-22）