日経の情報漏洩｜約183万件と原因になったクラウドと偽メールの見分け方 2026

2026年10月20日

＠SOHO編集部

この記事のポイント

✓日経の情報漏洩を公式発表で整理
✓2026年10月16日に約183万件（個人を特定できる情報は約15万件）の漏洩を公表し
✓10月4日には社員アカウントの不正ログイン2件も発表

株式会社日本経済新聞社は2026年10月16日、システム開発に使っていたクラウドサービスが不正アクセスを受け、16日時点で約183万件の個人情報が漏洩したと発表しました。このうち氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含むものは約15万件で、残りの約168万件は単体では個人を特定できない識別子だけです。クレジットカード情報は含まれていません。日経は10月4日にも、社員のGoogle WorkspaceとMicrosoft 365のアカウントへの不正ログインを2件発表しており、Microsoft 365の件ではなりすましメール約9000件が送られました。日経の関係者を名乗るメールが届いたときは、リンクや添付を開かず、日経のお問い合わせフォームから連絡するのが、利用者がまずすることです。

この記事では、日本経済新聞社の公式発表3本だけをもとに、2026年10月20日時点で分かっていることと分かっていないこと、自分が対象かの確かめ方、なりすましメールの見分け方を整理します。報道で見かける数字ではなく、会社が発表した表現をそのまま使っています。

日経の情報漏洩の要点（2026年10月20日時点）

日経の発表は3本に分かれていて、それぞれ別の事案です。混ざりやすいので、最初に並べておきます。

発表日	対象	件数（発表の表現）	主な中身
2026年10月4日	社員が業務で使っていた「グーグルワークスペース」のアカウント	メールアドレスや氏名など1646人分（漏洩した可能性）	7月下旬以降の不正ログイン。社員や取引先などの情報。読者や取材先に関するものは含まれない
2026年10月4日	社員が使っていた業務ソフト「マイクロソフト365」のアカウント	なりすましメール約9000件を送信。漏洩件数は調査中	送信先のメールアドレスや氏名、一部メールの内容が漏洩したとみられる
2026年10月16日	システム開発に利用するクラウドサービス	16日時点で約183万件	個人を特定できる情報を含むもの約15万件、識別子のみ約168万件。クレジットカード情報は含まれない

件数が一番大きいのは10月16日の約183万件ですが、内訳を見ると、氏名やメールアドレスなどを含むのは約15万件です。残りの約168万件は「単体では個人を特定できない識別子のみ」と発表されています。識別子とは、システムが利用者やデータを区別するために振る番号や記号のことで、それだけでは誰の情報か分からないものを指します。

もう1つ押さえておきたいのは、10月4日のMicrosoft 365の件では、実際に悪性サイトへ誘導するメールが外へ送られているという点です。漏れた情報が後から悪用されるのを待つまでもなく、すでに日経の社員を名乗るメールが届いた人がいます。取材を受けたことがある人や、日経の社員とメールのやりとりがある人は、この件を自分ごととして読んでください。

一方で、日経電子版の購読者の情報が約183万件に含まれるのかどうかは、2026年10月20日時点の発表には書かれていません。「日経が漏洩したから電子版の会員情報が漏れた」と決めつけず、発表に書いてある範囲で判断することが大切です。

公表の経緯：10月4日の2件と、10月16日の約183万件

日付の順に、何が起き、何が発表されたかを並べます。

日付	出来事・発表の内容
2026年7月下旬以降	社員のGoogle Workspaceのアカウントに外部から不正ログイン
2026年8月上旬	グーグル社からの通知で不正ログインが判明。すぐにパスワードを変更
2026年9月30日	社員のMicrosoft 365のアカウントから、社内や取材先などへ悪性サイトに誘導するメールが送信される
2026年10月4日	Google Workspaceの件（1646人分）と、Microsoft 365の件（なりすましメール約9000件）を発表
2026年10月7日未明から朝	システム開発に利用するクラウドサービスが不正アクセスを受ける
2026年10月11日	クラウドサービスの件を個人情報保護委員会へ報告
2026年10月16日	クラウドサービスの件を発表。16日時点で約183万件の漏洩

10月4日の2件は、どちらも社員個人の業務用アカウントが乗っ取られた事案です。Google Workspaceはメールや文書、予定表を共同で使うためのグーグルの業務用サービスで、Microsoft 365は同じ役割のマイクロソフトの業務用サービスです。どちらも、社員がパスワードを変えた後は不正ログインが確認されていないと発表されています。

10月16日の件は、社員個人のアカウントではなく、会社がシステム開発に使っていたクラウドサービスが狙われた事案です。発表には「16日時点で」と時点が明記されていて、侵害を受けた範囲や漏洩した個人情報を精査している途中であることも書かれています。今後の調査で件数や中身が変わる可能性がある、という前提で読む必要があります。

10月4日の2件は、Google Workspaceの件の発表とMicrosoft 365の件の発表で、それぞれ全文を読めます。

2026年10月20日時点で、日経のお知らせの一覧には、この3件のほかに漏洩に関する続報は出ていません。10月15日に「Nikkei Asiaのウェブサイトおよびアプリのアクセス障害と復旧について」というお知らせが出ていますが、漏洩の件との関係はそのお知らせからは読み取れないため、この記事では扱いません。

原因になったクラウドと、認証情報の窃取

約183万件の原因について、日経は10月16日の発表で次のように書いています。

クラウドサービスにアクセスするための認証情報が何らかの手段で窃取されました。7日未明から朝にかけて不正アクセスを受け、クラウド上に保管していた個人情報が漏洩しました。当社は不正アクセスに使われた認証情報を無効にしました。出典: nikkei.co.jp

認証情報とは、システムに「正しい利用者だ」と認めてもらうための情報のことで、IDとパスワードの組み合わせや、プログラムがサービスに接続するための鍵のような文字列がこれに当たります。家にたとえると合鍵です。合鍵が盗まれれば、玄関の鍵を壊さなくても家に入れてしまいます。今回の発表は、この合鍵が「何らかの手段で」盗まれ、それを使ってクラウドに入られた、という説明です。

発表に書かれていないことも、はっきりさせておきます。

クラウドサービスの名前（どの会社のどのサービスか）は書かれていない
認証情報がどうやって盗まれたのかは「何らかの手段で」とされ、具体的な経路は書かれていない
10月4日に発表した社員アカウントの不正ログインと関係があるのかどうかも、書かれていない

報道では、クラウドの名前や手口について様々な見方が出ることがあります。しかし会社が発表していない以上、この記事では推測を書きません。「原因になったクラウド」は、2026年10月20日時点では「システム開発に利用するクラウドサービス」としか分かっていない、というのが正確なところです。

10月4日の2件の原因は、Google Workspaceが「外部から不正にログインされた」、Microsoft 365が「第三者が不正にログインしたとみられる」と書かれています。どちらも、パスワードを変えた後は不正ログインが確認されていないとあるので、何らかの形でログインの情報が第三者に知られていたと考えられますが、その経路も発表には書かれていません。

漏れた項目と、含まれないと明記された項目

3件それぞれについて、漏れた項目と、日経が「含まれない」と明記した項目を分けて整理します。

事案	漏れた（漏れたとみられる）項目	含まれないと明記された項目
クラウドサービス（10月16日発表）	氏名、メールアドレス、住所、電話番号、生年月日のいずれかを含む個人情報（約15万件、うちメールアドレスを含むもの約12万件）。単体で個人を特定できない識別子のみ（約168万件）	クレジットカード情報
Google Workspace（10月4日発表）	メールアドレスや氏名など1646人分（漏洩した可能性）。社員や取引先などの個人情報	読者や取材先に関するもの
Microsoft 365（10月4日発表）	送信先のメールアドレスや氏名、一部メールの内容（漏洩したとみられる）。件数は調査中	記載なし

約15万件の行にある「いずれか」という言葉に注意してください。5つの項目が全員分そろって漏れたという意味ではなく、1件ごとに含まれる項目が違い、少なくともどれか1つが含まれている、という意味です。メールアドレスを含むものは約12万件なので、偽のメールが届く可能性があるのは、多く見てもこの範囲の人ということになります。

パスワードについては、どの発表にも、利用者のパスワードが漏れたという記載はありません。「含まれない」という明記もありません。日経のサービスにログインするパスワードを、ほかのサービスでも使い回している人は、念のため見直しておくと安心です。

Microsoft 365の件で「一部メールの内容」が漏洩したとみられる点は、取材先や取引先として日経の社員とメールをやりとりしてきた人には大事な情報です。自分が送ったメールの本文に、契約の条件や連絡先、ほかの人の個人情報を書いていた場合、それが第三者の手に渡った可能性があります。どのメールが対象かは発表には書かれていないため、気になる人は日経の窓口で確かめる必要があります。

識別子だけの約168万件をどう受け止めるか

約183万件という数字だけを見ると大きく感じますが、そのうち約168万件は「単体では個人を特定できない識別子のみ」と発表されています。この部分をどう受け止めればよいかを整理します。

識別子は、システムの中で利用者やデータを区別するために振られる番号や記号です。会員番号のように意味のある番号の場合もあれば、ランダムな英数字の場合もあります。日経の発表は「単体では個人を特定できない」としており、識別子だけを手に入れても、それが誰なのか、どこに住んでいるのか、どんなメールアドレスなのかは分かりません。

そのため、識別子だけの約168万件に入っている人が、今すぐ偽のメールや電話の標的になる、という性質の情報ではありません。偽の連絡に使われやすいのは、メールアドレスを含む約12万件や、住所や電話番号を含む部分です。

一方で「単体では」という言葉が付いていることにも意味があります。識別子は、別のところから漏れた情報と組み合わせると、人を結びつける手がかりになる場合があるからです。個人情報保護委員会のガイドラインでも、ほかの情報と簡単に照らし合わせて特定の個人が分かる情報は、個人情報として扱うと整理されています。識別子だけの部分を件数に含めた理由は、発表には書かれていません。

利用者の側でできることは、識別子そのものについてはほとんどありません。大事なのは、メールアドレスやパスワードといった、ほかの情報と結びつく手がかりを自分の側で守っておくことです。パスワードの使い回しをやめ、二段階認証を設定しておけば、たとえ識別子と別の情報が結びつけられても、アカウントへの不正ログインまでは進みにくくなります。

日経の対応：認証情報の無効化、個別の通知、削除の依頼

3本の発表に書かれている日経の対応を、事案ごとに整理します。

事案	発表に書かれた対応
クラウドサービス	不正アクセスに使われた認証情報を無効化。10月11日に個人情報保護委員会へ報告。侵害の範囲と漏洩した個人情報を精査中。漏洩が確認された人には個別に知らせる。必要なセキュリティー強化策を講じる
Google Workspace	判明後すぐにパスワードを変更。個人情報保護委員会へ報告。個人情報の管理の徹底と不正アクセス対策の強化
Microsoft 365	パスワードを変更。なりすましメールの送信先に個別に連絡し、メールの削除を依頼。個人情報保護委員会へ報告し、侵害の範囲と漏洩件数を調査中

二次被害については、10月16日の発表で「漏洩した個人情報が悪用されるなどの二次被害や日経のシステム停止・データ改ざんなどの異常は16日時点で確認されていません」とされています。Google Workspaceの件も「現在までに二次被害は確認されていません」と書かれています。

発表に書かれていないことも挙げておきます。利用者のパスワードを会社側で一斉に初期化したという記載はありません。お詫びの品や補償についての記載もありません。個別の通知をどの手段（メールか郵便か）で送るのかも、2026年10月20日時点の発表には書かれていません。

会社が個人情報保護委員会へ報告し、漏洩が確認された本人に知らせるのは、法律で決まった手順です。個人情報保護委員会は個人情報の扱いを監督する国の機関で、漏洩した本人の数が1,000人を超える場合や、不正アクセスのように不正な目的で行われたおそれがある場合などは、会社に報告と本人への通知が義務づけられています。決まりの中身は個人情報保護委員会の漏えい等の対応のページで確かめられます。

自分が対象かを確かめる方法

3件のどれに当たる可能性があるかで、確かめ方が変わります。

クラウドサービスの約183万件

日経は「個人情報の漏洩が確認された方には個別にお知らせいたします」としています。対象なら日経から個別の連絡が届く、というのが基本です。ただし、どの手段で、いつまでに届くのかは発表に書かれていません。連絡が来ていないうちから「自分は対象外」と決めることも、「自分も対象だ」と決めることもできない段階です。

気になる人は、日経が10月16日の発表で案内しているお問い合わせフォーム（support.nikkei.com の「本件に関するお問い合わせ先」）から確かめます。フォームのアドレスは、届いたメールのリンクからではなく、10月16日の発表ページから辿ってください。

Google Workspaceの1646人分

発表では、漏洩した可能性があるのは社員や取引先などの情報で、読者や取材先に関するものは含まれていないとされています。日経と仕事上の取引がある会社や個人が中心と読めます。取引先として日経の社員とメールをやりとりしている人は、勤め先の担当窓口を通じて、日経から連絡が来ていないかを確かめるのが確実です。

Microsoft 365のなりすましメール約9000件

2026年9月30日に、日経の社員の名前やアドレスでメールを受け取った覚えがある人は、この件の送信先に入っている可能性があります。日経は送信先に個別に連絡し、メールの削除を依頼したと発表しています。受信箱を2026年9月30日の日付で見直し、日経の社員から心当たりのないメールが届いていないかを確かめてください。

ほかの漏洩にも巻き込まれていないか

日経に登録したメールアドレスを、ほかのサービスでも使っている人は、過去の別の漏洩に含まれていないかも調べておくと安心です。調べ方はHave I Been Pwnedの使い方｜メールアドレスとパスワードの漏洩を確認する方法と、大手クラウドの過去の漏洩で、画面の順に説明しています。

日経を名乗る偽メールの見分け方

日経は10月4日の発表で「当社やグループ会社の関係者になりすましたメールが増える可能性があります」と注意を呼びかけています。実際に9月30日には、社員のアカウントから悪性サイトに誘導するメールが送られました。ここでは、届いたメールを開く前に確かめることを書きます。

本物のアカウントから届く偽メールがある

今回のMicrosoft 365の件で注意したいのは、偽のメールが「本物の社員のアカウント」から送られたことです。送信元のアドレスを見れば偽物と分かる、という見分け方が通用しません。以前やりとりしたことのある相手から、いつもと同じアドレスで届くため、疑う理由が見つかりにくいのが特徴です。

だからこそ、送信元より中身で判断します。次のどれかに当てはまるメールは、送信元が知っている人でも開く前に立ち止まってください。

前のやりとりと関係のない件名で、急に「資料を共有しました」「確認をお願いします」と届く
本文が短く、リンクを押させることだけが目的に見える
リンクの行き先が、相手の会社のドメインではない見慣れないアドレスになっている
ログインやパスワードの入力を求める画面に誘導される
添付ファイルを開くと「編集を有効にする」「マクロを有効にする」と表示される

リンクは押す前に行き先を見る

リンクの文字の上にマウスを重ねる（スマートフォンなら長押しする）と、実際の行き先のアドレスが表示されます。表示された文字と行き先が違う、行き先が知らないアドレス、という場合は開きません。共有された資料が本当に必要なら、メールのリンクを使わず、電話や別の連絡手段で相手に「この資料を送りましたか」と確かめてから開きます。

偽メールを受け取ったときの連絡先

日経は、不審なメールを受信した場合、お問い合わせフォームから連絡するよう求めています。偽のメールは開かずに残しておき、フォームで「いつ、どのアドレスから、どんな件名で届いたか」を伝えると、日経の調査の材料になります。

もしリンクを開いてパスワードを入力してしまったら、すぐにそのサービスのパスワードを変え、同じパスワードを使っていたほかのサービスも変えます。パソコンの動きがおかしい、ウイルスに感染したかもしれない、といった技術的な相談は、情報処理推進機構（IPA）の情報セキュリティ安心相談窓口が受け付けています。電話は03-5978-7509、受付時間は10時から17時（土日祝日と年末年始を除く）です（IPAの情報セキュリティ安心相談窓口）。お金をだまし取られた、アカウントを乗っ取られたといった被害は、警察庁のサイバー事案に関する相談窓口から都道府県警察に相談できます。

偽メールの手口と、組織で見分ける力をつける方法は、社員のセキュリティ意識を向上させるフィッシングメール模擬訓練の効果｜2026年最新の従業員教育ガイドでも解説しています。

利用者がすること

漏れた項目に合わせて、やることを優先度の順に並べます。日経の3件で漏れたのは、氏名やメールアドレスなどの連絡先と、一部のメールの内容です。クレジットカード情報は含まれないと明記されているので、一番の備えは「連絡を疑うこと」と「パスワードを使い回さないこと」です。

1. 日経を名乗る連絡を、リンクから開かない

日経の関係者を名乗るメールが届いても、本文のリンクから手続きをしないでください。日経の発表には、補償の手続きやカード情報の再入力、パスワードの入力をメールで求めるという記載はありません。日経のサービスを使うときは、ブックマークや公式アプリから自分で開きます。

2. 使い回しているパスワードを見直す

日経の発表で、利用者のパスワードが漏れたという記載はありません。ただし、メールアドレスが漏れた人は、そのアドレスを手がかりに、よく使われるパスワードを試される攻撃の的になりやすくなります。日経のサービスと同じメールアドレスと同じパスワードを、ほかのサービスでも使っている場合は、この機会に別々のパスワードに変えておきます。

3. 二段階認証を設定する

二段階認証とは、パスワードに加えて、スマートフォンに届く確認コードなど、もう1つの手段で本人かを確かめる仕組みです。今回の日経の件のように「認証情報が盗まれた」事案では、パスワードだけで守っていたアカウントが狙われます。メール、ネットバンク、仕事で使うクラウドから順に設定すると、被害が大きくなりやすいところを先に守れます。選び方はMFA（多要素認証）導入のメリットと製品比較｜2026年の認証セキュリティ決定版で整理しています。

4. 住所や電話番号が含まれていた人は、郵便と電話にも注意する

約15万件の中には、住所や電話番号を含むものがあります。個別の連絡で住所や電話番号が漏れたと分かった人は、日経を名乗る電話や郵便物にも注意してください。電話で個人情報やカード番号を聞かれても答えず、一度切って、公式サイトに載っている連絡先へ自分からかけ直します。住所が漏れたときの備えは個人情報が流出して住所が漏れたときの対応にまとめています。

5. パスワードを入力してしまったときは、ログイン履歴と転送設定を見る

偽のメールのリンクから、メールやクラウドのパスワードを入力してしまった人は、パスワードを変えるだけでなく、そのアカウントのログイン履歴と、メールの自動転送の設定も確かめます。乗っ取りに成功した第三者は、届いたメールを自分のところへ転送する設定をこっそり加えることがあるからです。GmailやOutlookなどの多くのメールサービスでは、設定の画面から最近のログインの記録と、転送やフィルタの設定を確かめられます。見覚えのない転送先があれば削除し、ログインしたままの端末を一括でログアウトさせます。

問い合わせ窓口

日経の発表に載っている、この件の問い合わせ先は次のとおりです。

事案	問い合わせ先（発表の表記）
クラウドサービス（10月16日発表）	お問い合わせフォーム（support.nikkei.com の ask_2301）
Microsoft 365（10月4日発表）	お問い合わせフォーム（support.nikkei.com の ask_0101）。不審なメールを受信した場合の連絡もここ
Google Workspace（10月4日発表）	発表に記載された専用のメールアドレス

どの発表にも、この件専用の電話番号や受付時間は書かれていません。問い合わせはフォームかメールで行う形です。フォームのアドレスは、届いたメールのリンクからではなく、日経の公式サイトのお知らせのページから辿って開いてください。偽の問い合わせフォームに個人情報を入力させる手口があるからです。

フォームに書く内容は、日経に登録しているメールアドレス、問い合わせたい事案（10月16日の件か、10月4日の件か）、知りたいこと（自分が対象か、どの項目が漏れたか）を短くまとめておくと、やりとりが少なくて済みます。パスワードやカード番号を書く必要はありません。

会社の対応に納得がいかないときや、個人情報の扱いについて一般的な相談をしたいときは、個人情報保護委員会の「個人情報保護法相談ダイヤル」も使えます。電話は03-6457-9849、受付時間は9時30分から17時30分（土日祝日と年末年始を除く）です（個人情報保護法相談ダイヤル）。会社に代わって調べる窓口ではなく、法律やガイドラインに沿って助言をする窓口です。

在宅で仕事をする人が気をつけること

日経の件は、読者だけでなく、取材先や取引先として日経の社員とメールをやりとりしてきた人にも関わります。在宅で記事の執筆、翻訳、デザイン、システム開発などを受けている人には、取引先の立場で考えておきたいことがあります。

自分が送ったメールに、取引先の情報が入っていなかったか

Microsoft 365の件では「一部メールの内容」が漏洩したとみられています。日経の社員とのやりとりの中で、自分の取引先の担当者名、顧客の名簿、契約の条件などを本文や添付ファイルで送っていた場合、それが漏洩した中に含まれる可能性があります。

個人情報保護委員会のガイドラインでは、個人情報をデータベースにして事業に使っている人は、規模に関係なく「個人情報取扱事業者」に当たるとされています。フリーランスや個人事業主でも、顧客の名簿を仕事で扱っていれば当てはまります。ただ、今回のように相手先の会社で漏洩が起きた場合、法律上の報告と本人への通知の義務を負うのは、まずその情報を扱っていた日経の側です。自分に報告の義務があるかどうかは、情報の中身や、取引先から個人情報の扱いを任されていたか（委託を受けていたか）で変わります。判断に迷うときは、個人情報保護委員会の相談ダイヤルで確かめてください。

取引先に知らせた方がよい場面

法律上の義務とは別に、取引先に一言伝えておいた方がよい場面があります。自分のメールアドレスや名前を名乗る偽メールが取引先に届くおそれがあるとき、取引先の情報を含むメールを日経の社員に送っていたときです。「自分の名前で不審なメールが届いたら開かずに知らせてほしい」と伝えておくと、取引先の被害を防げます。伝えるときは、分かっている事実と、分かっていないこと（どのメールが対象かは調査中であること）を分けて短く書きます。

システム開発を受けている人への教訓

今回の約183万件は、システム開発に使うクラウドの認証情報が盗まれたことが入口でした。在宅でシステム開発を受けている人は、取引先のクラウドに接続するための認証情報を預かることがあります。認証情報をソースコードやチャットに書かない、使い終わったら取引先に無効化を頼む、パスワードには二段階認証を組み合わせる、といった扱いが、取引先の情報を守ることに直結します。開発の仕事の中身はアプリケーション開発のお仕事で紹介しています。

漏洩が続くいま、在宅で働く人がアカウントを守るために

2026年10月は、新聞社、コンビニ、百貨店、旅行予約と、日常で使うサービスで個人情報の漏洩の発表が相次ぎました。日経の件が示しているのは、大きな会社でも、社員1人の業務用アカウントや、開発に使うクラウドの認証情報といった「合鍵」1本から情報が外に出てしまうということです。在宅で働く人にとっては、自分のアカウントが取引先にとっての合鍵になっている、という意識が欠かせません。

2004年から在宅ワークとフリーランスの仲介を続けてきた@SOHOの運営で見てきた範囲では、取引が長く続く人ほど、アカウントの管理を仕事の信用の一部として扱っています。仕事用と私用のメールアドレスを分ける、パスワードを使い回さない、二段階認証を設定する、取引先から預かった認証情報は終わったら返す。こうした地味な備えを最初に済ませている人は、万一のときにも説明がしやすく、取引先から安心して任されます。

セキュリティの知識を在宅の仕事に生かしたい人は、AI・マーケティング・セキュリティのお仕事で、どんな仕事があるかを見ておくと、漏洩対策の知識が収入につながる場面が分かります。

まずは今日、日経の関係者を名乗るメールが受信箱に届いていないかを確かめ、届いていたらリンクを開かずにお問い合わせフォームから連絡してください。そのうえで、使い回しているパスワードを変え、大事なサービスから二段階認証を設定していけば、今回の漏洩で起こりうる被害の多くに備えられます。

よくある質問

Q. 日経電子版の会員情報も漏れたのですか？

2026年10月16日の発表では、システム開発に利用するクラウドサービスから約183万件が漏洩したとされていますが、日経電子版の会員情報が含まれるかどうかは書かれていません。漏洩が確認された人には日経から個別に知らせるとされているので、気になる場合は発表ページから辿ったお問い合わせフォームで確かめてください。