【インシデント速報】2026年4月5日｜阿波銀行テスト環境に不正アクセス・YCC情報システムにランサムウェア攻撃
secure📅 2026年4月5日（日）速報
4月第1週末、金融機関・自動車関連企業・地方IT企業の3件のインシデントが公表されました。阿波銀行ではテスト環境への不正アクセスにより約2.7万件の個人情報が漏洩。YCC情報システムではサイバー攻撃によりファイルサーバーへの不正アクセスが確認されるなど、業種を問わず被害が拡大しています。
今週のインシデント概要（4/5時点）
金融機関・不正アクセス
阿波銀行のテスト環境が不正アクセス被害—2万7,745件の個人情報漏洩
- 公表日
- 2026年4月3日
- 被害対象
- 法人インターネットバンキング顧客・株主・関係先（2万7,745件）
- 流出内容
- 氏名、登録アドレス、一部預貯金口座番号、株主情報
- 原因
- 行内OAシステムのテスト環境への第三者による不正アクセス
阿波銀行は4月3日、行内情報共有システム（OAシステム）のテスト環境が不正アクセスを受け、保管していた顧客情報などが漏洩したと発表しました。外部セキュリティ会社からの連絡（3月24日）を端緒に調査を開始し、法人インターネットバンキング契約先情報1万872件・株主情報1万1,122件・その他顧客5,751件、計2万7,745件の情報漏洩が確認されました。なお、暗証番号・パスワードの漏洩は確認されていません。
🏢 中小企業への影響・教訓
- 「テスト環境だから安全」という思い込みは危険です。本番と同じ個人情報を使ったテスト環境は同等のセキュリティ管理が必要です。
- 外部のセキュリティ会社から「御社の情報が漏れているようだ」と連絡が入るケースが増えています。早期検知のため外部脅威インテリジェンスサービスの利用も検討の価値があります。
✅ 推奨対応
- テスト・開発環境に本番の個人情報をそのまま使用しない（マスキング・匿名化を徹底する）
- テスト環境のアクセス制限を本番同等に設定し、不要な外部公開ポートを閉じる
- クレデンシャルスタッフィング対策として、環境ごとに異なる認証情報を使用する
個人情報漏洩
カーステーション新潟で保険申込情報が外部漏洩—顧客の個人情報含む
- 公表日
- 2026年4月3日
- 被害対象
- 保険申込を行った顧客
- 流出内容
- 氏名、住所、車両情報、保険申込に関する情報
- 原因
- 保険申込システムの設定不備による情報漏洩
新潟県の自動車販売・カーライフサービス事業者「カーステーション新潟」は、保険申込情報の一部が外部に漏洩したと公表しました。同社が利用する保険申込システムの設定に不備があり、顧客の個人情報が含まれるデータへのアクセスが可能な状態になっていたことが発覚しました。
🏢 中小企業への影響・教訓
- 外部のSaaS・業務システムを導入する際、設定が適切かどうかを導入時だけでなく定期的に確認することが必要です。
- 自動車販売・保険代理店など、顧客の個人情報を多く扱う業種は特に注意が必要で、情報セキュリティポリシーの整備が急務です。
✅ 推奨対応
- 新規システム導入時にセキュリティチェックリストを作成し、公開範囲・アクセス権限を確認する
- 利用中のSaaSサービスのセキュリティ設定を定期的に見直す（四半期または年1回）
- 個人情報を取り扱うシステムは、プライバシーマーク・ISMSなど認証取得事業者を優先して採用する
不正アクセス・ランサムウェア疑い
YCC情報システムにサイバー攻撃—ファイルサーバーへの不正アクセスを確認、山形新聞読者情報も影響
- 公表日
- 2026年4月3日
- 被害対象
- 取引先・顧客（山形新聞クレジットカード購読者を含む）
- 流出内容
- 氏名、住所、電話番号、決済情報（調査中）
- 原因
- 第三者によるファイルサーバーへのサイバー攻撃・不正アクセス（4月2日早朝に確認）
山形県を拠点とするYCC情報システムは4月3日、ファイルサーバーへの不正アクセスを確認したと公表しました。攻撃は4月2日早朝に発覚しており、後の調査でランサムウェアを用いた攻撃が確認されました。同社が管理するシステムを通じて山形新聞のクレジットカード購読者情報（3月決済分）が漏洩した可能性があります。侵入経路・ランサムウェアの種類は調査中です。
🏢 中小企業への影響・教訓
- 地方のIT企業・システム会社も今やランサムウェア攻撃の標的です。自社だけでなく、取引先の顧客情報を預かる立場として、特に厳重な管理が求められます。
- ランサムウェアはVPN機器・リモートデスクトップ（RDP）の脆弱性・弱いパスワードから侵入するケースが多く、これらの対策が急務です。
✅ 推奨対応
- VPN機器・ファイアウォールを最新ファームウェアに更新し、既知脆弱性を解消する
- RDP（リモートデスクトップ）は必要最小限の利用に制限し、MFAを必須にする
- 重要ファイルの定期バックアップ（オフライン・クラウドへの二重保存）を実施し、復旧テストを行う
🔒 AND SECUREからの総括と今週のポイント
- テスト環境は「本番と同格」で守る：阿波銀行の事例はテスト環境に本番データを使うリスクを示しています。テスト環境の管理を本番同等に引き上げましょう。
- 地方・中堅IT企業もランサムウェアの標的：YCC情報システムの事例は、企業規模や地域を問わずランサムウェア攻撃が広がっていることを示しています。VPNや認証の強化を今すぐ確認してください。
- 外部ツール導入時のセキュリティ確認を：カーステーション新潟の事例のように、SaaSやシステムの設定不備による漏洩が後を絶ちません。導入時・定期的な設定レビューを習慣化しましょう。
出典・参考情報
- 阿波銀行テスト環境不正アクセス：阿波銀行公式発表・日本経済新聞・ASCII.jp（2026年4月3日）
- カーステーション新潟保険申込情報漏洩：Security NEXT（2026年4月3日）
- YCC情報システムへのサイバー攻撃：YCC情報システム公式発表・Security NEXT・山形新聞（2026年4月3日）
※本記事は公表情報をもとに編集部が整理したものです。詳細は各機関の公式発表をご確認ください。
