NECの情報漏洩｜委託先経由で顧客の情報が流出した経緯と取引先が確かめること 2026

2026年10月21日

＠SOHO編集部

この記事のポイント

✓NECの情報漏洩について
✓システム開発・保守の委託先へのサイバー攻撃で正規アカウントが悪用され
✓情報共有用クラウドストレージのファイル漏えいが起きたとする2026年10月20日の発表を整理しました

日本電気株式会社（NEC）は2026年10月20日、システム開発と保守の業務を委託している企業が9月下旬にサイバー攻撃を受け、盗まれた正規アカウントの認証情報が悪用されたことで、NECの顧客企業で不正アクセスの被害と、個人情報を含む情報の漏えいが起きたと発表しました。漏えいが確認されたのは、NECが顧客や委託先との情報共有に使っていたクラウドストレージ内のファイルで、件数や顧客の名前は公表されていません。影響のあった複数の顧客には、NECがすでに個別に連絡しています。個人の利用者がまずすることは、NECを名乗る連絡に慌てて応じないことと、自分の情報を預けている会社からの正式な通知を待って、その内容で判断することです。

この記事では、2026年10月21日時点で公開されているNECの発表だけをもとに、何が起きて、何が分かっていて、何がまだ分かっていないのかを順番に整理します。今回の件は、利用者がNECと直接の契約をしていない形で起きているため、「自分が関係するのか」が分かりにくいのが特徴です。情報がどの会社からどの会社へ預けられていたのかという流れを先に整理し、そのうえで、個人と取引先の会社、そして委託や再委託の仕事を受けているエンジニアが、それぞれ何を確かめればよいかを説明します。

2026年10月21日時点で分かっていること

最初に、結論にあたる事実を並べます。どれもNECの2026年10月20日付の発表で確かめた内容です。

NECがシステム開発と保守の業務を委託している企業（発表では「委託先」）が、9月下旬にサイバー攻撃を受けました
攻撃で盗まれた正規アカウントの認証情報が悪用され、委託先の端末から、NECの顧客のシステム環境へ不正アクセスが行われました
顧客のサーバ内のファイルが暗号化され、各種のシステムが利用できない状態になりました
NECが作成し、顧客とNEC、NECと委託先など関係者の間で情報共有に使っていたクラウドストレージ内のファイルが漏えいしたことを確認しました
漏えいしたファイルには、顧客が保有する個人情報や、システム関連の情報などが含まれていました
影響のあった複数の顧客には、すでに個別に連絡したとしています
漏えいした個人情報の詳細は、判明しだい顧客に報告するとしています

一方で、発表には次のことが書かれていません。

委託先の会社の名前
影響を受けた顧客の会社の名前と数
漏えいした個人情報の件数と、具体的な項目
一般の個人向けの問い合わせ窓口

ここで注意したいのは、言葉の選び方です。NECの発表は「漏えいを確認しました」と書いています。ほかの会社の発表によくある「漏えいした可能性がある」「おそれがある」という書き方ではありません。クラウドストレージのファイルについては、外に出たことが確認された段階だということです。ただし、そのファイルに誰のどんな個人情報が入っていたかは、まだ示されていません。

公表の経緯：9月下旬の攻撃から10月20日の発表まで

発表に書かれた日付を並べると、次のようになります。

時期	出来事	分かったこと
2026年9月下旬	委託先がサイバー攻撃を受ける	正規アカウントの認証情報が盗まれた
発覚後	顧客のシステム環境への不正アクセス	サーバ内のファイルが暗号化され、各種システムが利用できない状態に
発覚後	クラウドストレージのファイルの漏えいを確認	顧客の個人情報やシステム関連情報を含む
2026年10月20日までに	NECが影響のあった顧客へ個別に連絡	複数の顧客が対象
2026年10月20日	NECが発表	経緯と主な被害状況、対策を公表
2026年10月21日時点	続報は確認できない	発表文への追記はない

攻撃を受けたのは9月下旬で、公表は10月20日です。発表の前に、影響のあった顧客には個別に連絡を済ませていたことになります。システムの開発や保守の仕事では、まず契約の相手である顧客企業に知らせ、顧客と相談しながら対応を進めるのが一般的な流れです。一般の個人に向けた公表が後になったのは、このためと読めます。

発表は、NECが「お客さま対応や全容の早期解明に注力しています」と書いて結んでいます。全容とは、被害の範囲や原因のすべてのことです。2026年10月21日時点では、まだ調査が続いている段階です。原文はNECの2026年10月20日の発表で読めます。

発表の原文で確かめる

発表の中心になる部分を、原文のまま引きます。

当社が作成し、お客さまと当社、当社と委託先など関係者間で情報共有に利用していたクラウドストレージ内のファイルが漏えいしたことを確認しました。当該ファイルにはお客さまの保有する個人情報やシステム関連情報などが含まれていました。漏えいした個人情報の詳細については、判明次第お客さまに報告します。出典: jpn.nec.com

この3文から読み取れることは3つあります。

1つ目は、漏えいしたのがNECの自社の顧客名簿ではなく、「お客さまの保有する個人情報」だということです。NECのパソコンや製品を買った人の情報が漏れた、という話ではありません。NECにシステムの開発や保守を頼んでいた会社が持っていた個人情報が、作業のための情報共有の場所から漏れた、という話です。

2つ目は、ファイルの中身に「システム関連情報」が含まれていたことです。システム関連情報とは、システムの構成や設定、作業の手順といった、システムを動かすための情報のことと考えられます。こうした情報が外に出ると、そのシステムが別の攻撃に狙われやすくなるおそれがあります。

3つ目は、詳細の報告先が「お客さま」になっていることです。個人への説明は、NECが直接するのではなく、まず顧客企業に報告し、そこから必要に応じて個人に知らされる流れが想定されています。

漏えいした情報と、まだ分かっていないこと

発表に書かれた内容を、確認されたことと、まだ示されていないことに分けると次のようになります。

区分	内容
漏えいが確認されたもの	関係者間の情報共有に使っていたクラウドストレージ内のファイル
ファイルに含まれていたもの	顧客が保有する個人情報
ファイルに含まれていたもの	システム関連情報など
別の被害	顧客のサーバ内のファイルの暗号化と、各種システムの停止
示されていないもの	個人情報の件数、氏名や住所などの具体的な項目
示されていないもの	影響を受けた顧客の名前と業種
示されていないもの	クレジットカード情報やマイナンバーなどの有無

発表は、漏れなかった項目を明記していません。ほかの会社の発表では「クレジットカード情報は含まれません」のように対象外の項目が書かれることがありますが、今回はそうした記載がありません。どの項目が含まれ、どの項目が含まれないかは、顧客企業ごとに違う可能性があります。分からないことを「含まれていない」と読み替えず、自分の情報を預けている会社からの通知を待つのが正確な受け止め方です。

暗号化の被害についても補足します。サーバ内のファイルが暗号化されたという書き方は、ランサムウェアによる被害でよく見られるものです。ランサムウェアとは、データを暗号化して使えなくし、元に戻す代わりに金銭を要求する不正なプログラムのことです。ただし、NECの発表はランサムウェアという言葉を使っていません。この記事でも、発表の書き方どおり「ファイルが暗号化された」とだけ書いておきます。

原因：委託先から盗まれた正規アカウントの悪用

発表が原因として書いているのは、委託先が受けたサイバー攻撃と、そこで盗まれた正規アカウントの認証情報の悪用です。認証情報とは、システムにログインするためのIDやパスワードなど、本人であることを示す情報のことです。

今回の流れを順に追うと、次のようになります。

NECからシステムの開発や保守を任されていた委託先が、9月下旬にサイバー攻撃を受けた
その攻撃で、顧客のシステムに入るための正規アカウントの認証情報が盗まれた
攻撃者は、委託先の端末から、その正規アカウントを使って顧客のシステム環境に入った
顧客のサーバのファイルが暗号化され、システムが止まった
関係者の間で情報を共有していたクラウドストレージのファイルも漏えいした

この手口で厄介なのは、「正規アカウント」が使われている点です。システムの側から見ると、ふだん作業をしている委託先の担当者が、いつもの端末から、いつものIDでログインしてきたように見えます。外から侵入してくる見慣れない相手を止める仕組みだけでは、こうした入り方を止めにくいのです。

委託先がどのような攻撃を受け、なぜ認証情報が盗まれたのかについて、2026年10月21日時点の発表に具体的な説明はありません。原因の詳しいところは「調査中と発表」と読むのが正確です。

NECの対応

発表に書かれている対応は、次のとおりです。

影響のあった複数の顧客に、すでに個別に連絡した
顧客への対応と、全容の早期解明に力を注いでいるとした
漏えいした個人情報の詳細は、判明しだい顧客に報告するとした
委託先に、NECが管理する端末を貸与するなど、必要な対策を進めているとした
再発防止に向けて、委託先の管理と個人情報の管理を一層強化するとした
顧客をはじめ関係者に、迷惑と心配をかけたことへのお詫びを述べた

「委託先に当社管理の端末を貸与する」という対策は、原因と対になっています。委託先が自分で用意した端末から顧客のシステムに入れる状態だったため、その端末が攻撃されると顧客のシステムまで危なくなりました。NECが管理する端末だけで作業する形にすれば、端末の設定や更新、監視をNECの側でそろえられます。

一方で、発表には一般の個人向けの問い合わせ窓口や、パスワードの再設定の案内、補償についての記載はありません。書かれていないことは、行われていないという意味ではなく、発表の段階では示されていないというだけです。

個人の情報はどの会社からどの会社へ渡っていたか

今回の件を分かりにくくしているのは、情報が何段階にも預けられていたことです。個人の利用者から見た流れを整理します。

段階	誰が	個人情報との関わり
1	個人の利用者	顧客企業のサービスを使い、自分の情報を登録する
2	顧客企業	個人情報を保有し、管理する。NECにシステムの開発や保守を頼んでいる
3	NEC	顧客企業からシステムの仕事を受け、情報共有のクラウドストレージを作成した
4	委託先	NECからシステムの開発や保守の仕事を受けている。攻撃を受けた

個人の利用者が直接やりとりしているのは、1番目と2番目の関係だけです。NECや委託先の名前は、ふだんは利用者に見えません。そのため、NECの発表を読んでも、自分の情報が含まれているかどうかは分かりません。

個人情報保護法では、個人データの漏えいが起きたときの報告と本人への通知について、条文で次のように定めています。

ただし、当該個人情報取扱事業者が、他の個人情報取扱事業者又は行政機関等から当該個人データの取扱いの全部又は一部の委託を受けた場合であって、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を当該他の個人情報取扱事業者又は行政機関等に通知したときは、この限りでない。出典: laws.e-gov.go.jp

難しい言い回しですが、要するに、情報の扱いを任されていた会社（委託先）が、任せた会社（委託元）に事態を知らせた場合は、委託先は国への報告と本人への通知の義務を負わない、という決まりです。この場合、国への報告と本人への通知は、情報を預かっていた委託元の会社が行うことになります。

今回に当てはめると、一般には、個人への通知をするのはNECではなく、個人の情報を保有していた顧客企業の側になると考えられます。ただし、どの会社がどの義務を負うかは契約や事情で変わるため、個別の件について断定はできません。個人の利用者は、「NECから連絡が来るはず」と待つのではなく、自分が情報を預けている会社からの通知に気を配るのが現実的です。

自分が対象かを確かめる方法

個人の利用者が、自分の情報が含まれているかを確かめる方法は、2026年10月21日時点では限られています。次の順で考えます。

自分が情報を登録している会社や団体から、この件についての通知が届いていないかを確かめる。メールだけでなく、郵便やサービスのお知らせ欄も見る
利用しているサービスの公式サイトのお知らせ欄に、委託先への不正アクセスやシステム障害の発表が出ていないかを見る
9月下旬から10月にかけて、利用しているサービスで長いシステム障害が起きていなかったかを思い出す。障害の告知に、原因として委託先の件が書かれていることがある

3つ目は、手がかりにはなっても、それだけで対象だと決めつける根拠にはなりません。システムの障害には、ほかにも多くの原因があります。

勤め先がNECにシステムの仕事を頼んでいる会社員の場合は、社内の情報システムの担当部署から案内が出ているかを確かめます。勤め先の従業員の情報や取引先の情報が、システムの作業の中で共有されていた可能性があるためです。案内が出ていなければ、社内の窓口に問い合わせて、自分の部署の業務が関係するかを確かめるのが確実です。

NECの発表は、影響を受けた顧客企業の名前を公表していません。個人の側からは、自分の情報を預けている会社に問い合わせるほうが、対象かどうかを確かめやすい道です。

利用者がすること：分かっている範囲に合わせて

今回は、漏えいした個人情報の項目がまだ示されていません。そのため、やることは「どの漏えいでも効く基本」と「通知が来たときに足すこと」に分けて考えます。

やること	今回の件で必要か	理由
NECや顧客企業を名乗る不審な連絡への警戒	必要	報道で名前が広く知られた会社は、詐欺の差出人として使われやすい
パスワードの使い回しの見直し	やっておくとよい	項目が示されていない段階では、基本の備えとして
二段階認証の設定	やっておくとよい	パスワードが知られても、それだけではログインされにくい
カード明細の確認	通知でカード情報が含まれると示されたら必要	発表にカード情報の記載はない
住所や電話番号を使った詐欺への警戒	通知で含まれると示されたら必要	項目が分かってから重点を決める

NECを名乗る連絡に気をつける

漏えいの発表のあとには、発表した会社を装って「お詫び」「補償の手続き」「本人確認のお願い」をうたうメールや電話、SMSが出回ることがあります。今回のNECの発表は、顧客企業への個別の連絡を済ませたとしているもので、一般の個人に向けてNECから補償の手続きを案内するとは書かれていません。NECを名乗って個人に金銭の手続きやパスワードの入力を求める連絡が来たら、まず疑ってかかるのが安全です。

確かめるときは、届いたメールのリンクや、メールに書かれた電話番号を使いません。会社の公式サイトを自分で開き、同じ案内が出ているかを見ます。

通知が届いたら、項目に合わせて動く

自分が情報を預けている会社から通知が届いたら、まず漏えいした項目を確かめます。

メールアドレスが含まれていたら、その会社や関係する会社を名乗るメールに注意する
パスワードが含まれていたら、そのサービスと、同じパスワードを使っているほかのサービスのパスワードを変える
住所や電話番号が含まれていたら、郵便や電話での詐欺に注意する
カード情報が含まれていたら、カード会社に連絡し、明細を確かめる

住所が漏れたときにできることは、個人情報が流出して住所が漏れたときの対応｜起きることと防ぎ方の順番で詳しく説明しています。住所は変えにくい情報なので、変えられるものと変えられないものを分けて考える方法を紹介しています。二段階認証の仕組みはMFA（多要素認証）導入のメリットと製品比較で説明しています。

取引先の会社が確かめること

NECにシステムの開発や保守を頼んでいる会社や、NECと一緒に仕事をしている会社の担当者向けに、確かめたい点を整理します。影響のあった顧客にはNECから個別に連絡が行っているとされているので、連絡が来ていない会社は、少なくとも2026年10月20日時点でNECが影響を確認した会社ではない、と読めます。それでも、次の点は一度確かめておく価値があります。

NECと情報共有に使っているクラウドストレージがあるか、どんなファイルを保存してきたかを洗い出す
自社のシステムに、NECやその委託先のアカウントで外部から入れる経路があるかを確かめる。使われていないアカウントが残っていれば止める
外部の作業者が使うアカウントに、二段階認証やログインできる端末の制限がかかっているかを確かめる
作業者のアカウントで、ふだんと違う時間帯や場所からのログインがないかを、記録で確かめる
NECの営業担当者や保守の窓口に、自社が対象に含まれるかを、ふだんの連絡経路で確かめる

5つ目を確かめるときも、届いたメールの返信ではなく、契約のときから使っている窓口や担当者の連絡先を使います。発表をきっかけに、NECの担当者を名乗る偽のメールが届く可能性もあるからです。

2つ目と3つ目は、今回の原因と直接つながる点です。正規アカウントが盗まれると、見た目はふだんの作業と区別がつきません。外部の作業者のアカウントは必要な期間だけ有効にし、ログインできる端末を決め、二段階認証を必須にする。この3つがそろっていると、盗まれた認証情報だけでは入りにくくなります。中小企業がこうした対策を進めるときに使える支援の制度は、中小企業のサイバーセキュリティ対策2026｜IT導入補助金で防御力を強化する方法で紹介しています。

システムの停止で影響を受けた人へ

今回の件では、情報の漏えいとは別に、顧客企業のサーバのファイルが暗号化され、各種のシステムが利用できない状態になったと発表されています。どの会社のどのシステムかは示されていませんが、9月下旬から10月にかけて、利用しているサービスや勤め先のシステムが長く止まっていた人もいるかもしれません。

システムが止まっている間や、再開した直後は、次の点に気をつけます。

手続きの期限や支払いの期日が、障害の間に過ぎていないかを、サービスの公式サイトのお知らせで確かめる。期限の延長が案内されていることがある
「システムの復旧にともない再登録をお願いします」「障害でお支払いが確認できませんでした」といったメールやSMSは、公式サイトのお知らせと照らし合わせてから対応する
再開後に、ログインの方法やパスワードの変更を求められたら、公式アプリや自分のブックマークからサイトを開いて手続きをする

障害の告知と漏えいの告知は、別々の日に出ることがよくあります。最初は「システム障害のお知らせ」として出て、調査が進んでから「不正アクセスによる情報漏えいのお知らせ」が出る、という順番です。障害の告知を見た覚えのあるサービスは、しばらくの間、お知らせ欄を時々見ておくと、通知を見落としにくくなります。

続報で確かめたい点

2026年10月21日時点のNECの発表は、経緯と主な被害状況を示した段階のものです。続報が出たときは、次の点が示されたかを確かめると、自分が取るべき行動が見えやすくなります。

漏えいした個人情報の件数と、具体的な項目
影響を受けた顧客企業が、自社の名前で発表を出したかどうか
委託先がどのような攻撃を受け、認証情報がなぜ盗まれたのか
クラウドストレージのファイルが、どの範囲で外に出たのか
盗まれた情報が悪用されたなどの二次被害の有無

2つ目は、個人の利用者にとって特に大事な点です。NECの発表で顧客の名前が伏せられていても、顧客企業がそれぞれ自社のサイトで発表を出すことがあります。その発表には、対象になった個人の範囲や、問い合わせ窓口が書かれるはずです。利用しているサービスの会社から発表が出たら、NECの発表よりも、そちらの内容を優先して読みます。

問い合わせ窓口

2026年10月21日時点のNECの発表には、この件専用の問い合わせ窓口の名称、電話番号、受付時間は載っていません。影響のあった顧客企業には個別に連絡したとされているので、顧客企業の担当者は、その連絡に書かれた窓口を使います。

個人の利用者は、次の順で連絡先を選びます。

自分の情報を預けている会社や団体の、公式サイトに載っている問い合わせ窓口
勤め先の情報システムの担当部署（勤め先の業務が関係する場合）

この件とは関係なく、不審なメールや電話を受けて判断に迷ったときは、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口に相談できます。IPAとは、情報セキュリティの対策を進める国の機関です。電話は03-5978-7509、受付は10時00分から17時00分（土日祝日と年末年始を除く）です。詳しくはIPAの情報セキュリティ安心相談窓口に載っています。

自分のメールアドレスが過去の漏えいに含まれていないかを調べる

今回の件をきっかけに、自分のメールアドレスがほかのサービスの漏えいに含まれていないかが気になった人もいるはずです。海外には、過去に世界で出回った漏えいのデータと照らし合わせて、メールアドレスが含まれているかを無料で調べられるサイトがあります。

調べ方と画面の見方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法で順を追って説明しています。国内のサービスの漏えいはそのサイトに載らないことも多いので、「載っていないから安全」とは読まないことが大切です。

もし過去の漏えいにアドレスが含まれていて、そのときのパスワードをほかのサービスでも使っているなら、そのパスワードは早めに変えておくべきです。今回の件の原因が「盗まれた正規の認証情報」だったように、IDとパスワードの組み合わせは、一度外に出ると、本人になりすますための鍵として使われます。

在宅で仕事をする人が気をつけること

ここからは、フリーランスや在宅で仕事をする人に向けた話です。今回の件は、委託や再委託の仕事を受けるエンジニアにとって、ひとごとではありません。システムの開発や保守の仕事では、元請けの会社から仕事を受け、さらにその一部を別の会社や個人に任せる形がよく見られます。在宅で仕事を受けるエンジニアも、この流れの中で顧客のシステムに入るアカウントを預かることがあります。

預かっているアカウントは、取引先の鍵だと考える

顧客のシステムに入るためのIDとパスワード、接続のための鍵ファイル、VPN（社外から社内のネットワークに安全につなぐ仕組み）の設定は、自分のものではなく、取引先から預かった鍵です。自分のパソコンが攻撃されて認証情報が盗まれると、今回のように、取引先のその先の顧客にまで被害が広がることがあります。

在宅で作業する人が、ふだんから整えておきたいことを挙げます。

取引先から貸与された端末があるなら、その端末だけで作業する。私用のパソコンに認証情報を保存しない
貸与の端末がない場合は、仕事専用のパソコンかユーザーアカウントを用意し、OSとソフトの更新を欠かさない
認証情報は、ブラウザやテキストファイルに保存せず、パスワード管理のアプリに保存する
仕事が終わったアカウントは、取引先に止めてもらうよう自分から申し出る
自分の端末で不審な動きに気づいたら、原因が分からなくても、すぐ取引先に知らせる

最後の点は、気後れしやすいところです。自分のミスだったらと思うと、知らせるのをためらう人もいます。けれども、正規アカウントが悪用される攻撃では、早く知らせるほど被害の広がりを抑えられます。

自分が報告する側になる場面

個人情報保護委員会は、事業者が漏えいの報告と本人への通知の義務を負う場合として、要配慮個人情報を含むもの、財産的な被害のおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が1,000人を超えるものを挙げています。個人情報保護委員会とは、個人情報の扱いについて事業者を監督する国の機関です。詳しくは個人情報保護委員会の漏えい等報告のページで確かめられます。

先に引いた条文のとおり、仕事を任された側が任せた側に事態を知らせると、任された側の国への報告の義務はなくなる決まりがあります。逆に言えば、任された側にとって最初にすべきことは、任せた側に速やかに知らせることです。どこまでを誰が報告するかは契約や事情で変わるため、一般論で決めつけず、契約書の決まりと取引先の指示を確かめます。取引先への報告の文面は、事実と推測を分け、敬語を整えることが大切です。ビジネス文書検定の内容は、こうした報告の文書を整える練習にもなります。

ネットワークの知識が仕事の幅を広げる

外部の作業者のアクセスをどう制限するか、どの経路を閉じるかは、ネットワークの基本を知っていると判断しやすくなります。ネットワーク機器の設定やルーティングの基礎を体系的に学べる資格として、CCNA（シスコ技術者認定）があります。システムの開発や保守を在宅で受ける仕事の種類は、アプリケーション開発のお仕事で紹介しています。

運営者の視点：委託の連鎖の中で信頼される人

@SOHO編集部は、2004年から在宅ワークとフリーランスの仕事の仲介を続けてきました。その中で感じるのは、システムの仕事を任せる側が、技術や実績と同じくらい「預けたアカウントや情報をどう扱う人か」を見ているということです。貸与の端末だけで作業する、仕事が終わったらアカウントを返す、異変があればすぐ知らせる。こうした当たり前を毎回守れる人に、次の仕事が集まります。セキュリティの知識をいかせる仕事の種類は、AI・マーケティング・セキュリティのお仕事で紹介しています。

中間の手数料がかからない直接の取引では、依頼する側は同じ予算でより多くの仕事を頼めて、受ける側は手取りが厚くなります。委託の段階が少ないほど、情報が渡る先も減り、事故が起きたときに誰に知らせればよいかもはっきりします。その分、アカウントの扱いや事故のときの連絡の決まりを、当事者どうしで最初に決めておくことが、直接の取引を長く続けるための土台になります。

よくある質問

Q. NECの情報漏洩で、何が漏れたのですか？

NECは2026年10月20日、システム開発と保守の委託先へのサイバー攻撃で盗まれた正規アカウントが悪用され、顧客との情報共有に使っていたクラウドストレージ内のファイルが漏えいしたと発表しました。ファイルには顧客が保有する個人情報やシステム関連情報が含まれていました。件数と具体的な項目は示されていません。