要点
発表された事実
- サントリーホールディングスとサントリービバレッジ＆フードは、業務で使う外部クラウドサービスに第三者の不正アクセスがあり、ファイルがダウンロードされたと公表した（サントリー）。
- 10月28日に異常を検知して遮断し、10月29日にダウンロードされたファイルに個人情報が含まれることを確認した（同）。
- 漏えいした情報は7つの区分にわたり、最大はグループ・パートナー企業の従業員約9万人分の氏名・メールアドレス（同）。
わかっていないこと
- 外部クラウドサービスの名称と、不正アクセスの経路。
- 不正アクセスがいつから続いていたか。
- 追加調査で漏えいの範囲が広がるかどうか。
関係しそうな既知の手口
- （考察）外部クラウドサービスへの不正アクセスでは、盗まれた認証情報や設定の不備が使われる例が多いが、今回の経路は公表されていない。
概要
- 主語：サントリーホールディングス、サントリービバレッジ＆フード
- 何が起きたか：業務で使う外部クラウドサービスに不正アクセスがあり、保存されていたファイルがダウンロードされた
- 漏えいした情報：従業員・応募者・取引先・一部顧客の氏名やメールアドレスなど（下表）
- 決済情報：含まれない
- 不正利用・脅迫：不正利用は確認されていない。攻撃者からの脅迫もないと報道されている
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-28 | 外部クラウドサービスでの異常を検知し、アクセスを遮断。ダウンロードされたファイル名を特定 | サントリー |
| 2026-10-29 | ダウンロードされたファイルに個人情報が含まれることを確認 | 同 |
| 2026-11-02 | 個人情報保護委員会に速報。対象者への個別連絡を開始し、公表 | 同 |
発表内容の整理
事実（サントリーによる）
| 区分 | 対象 | 漏えいした情報 | 人数 |
|---|---|---|---|
| ① | サントリーグループおよびパートナー企業の従業員 | 氏名、メールアドレス | 約90,000人 |
| ② | 「マル・デ・シャイン」の2023年末時点の登録者 | メールアドレス | 7,323人 |
| ③ | 2026年新卒採用のビジネス部門の応募者 | 応募に関する情報 | 7,173人 |
| ④ | サントリービバレッジソリューションの社用携帯電話2台に登録されていた人 | 氏名、電話番号 | 1,097人 |
| ⑤ | モンテ物産の関係者 | 個人情報 | 324人 |
| ⑥ | 井筒まい泉の宅配の顧客と配送従業員 | 氏名、届け先の位置情報 | 96人 |
| ⑦ | 取引先の従業員 | 氏名、役職 | 25人 |
- 決済情報は含まれていない。現時点で不正利用は確認されていない。
- 外部クラウドサービスの名称と、不正アクセスの経路は公表されていない。
事実（報道による）
- 産経新聞は、攻撃者からの脅迫などもないと報じている（産経新聞）。
考察
- 従業員の名簿、採用応募、社用携帯の電話帳、宅配の届け先など、性質の違うデータが同じクラウドサービスから出ている。部署をまたいでファイルを共有する場として使われていた可能性があるが、サービスの種類は明らかでない。
- 約9万人分の氏名とメールアドレスは、サントリーやグループ会社を装う標的型メールに使われうる。
関係しそうな既知の手口
事実
- サントリーは手口を公表していない。
考察
- 業務用のクラウドストレージやSaaSでは、盗まれたアカウント情報でのログインや、共有設定の不備からファイルを持ち出される例が国内外で続いている。今回がどれに当たるかは不明。
利用者・運用者がいまできること
- 対象となりうる人：サントリーからの個別連絡を確認する。サントリーやグループ会社を名乗るメールの添付ファイルやリンクに注意する。
- 企業：業務で使う外部クラウドサービスのアカウントに多要素認証が必須になっているか、不要になったファイルや個人情報が残っていないかを点検する。