【インシデント速報】2026年4月12日｜村田製作所で顧客情報流出・日本郵船の燃料調達システム侵害・CAMPFIREのGitHub不正アクセス
secure【インシデント速報】2026年4月12日｜村田製作所で顧客情報流出・日本郵船の燃料調達システム侵害・CAMPFIREのGitHub不正アクセス
大手製造業の情報共有システム、海運大手の業務システム、クラウドファンディング企業の開発環境と、攻撃対象が多岐にわたっている。自社でも「情報共有ツール」「業務用SaaS」「ソースコード管理」のアクセス制御を再点検すべき局面だ。
村田製作所｜情報共有システムへの不正アクセスで顧客・従業員情報が流出
電子部品大手の村田製作所は4月6日、社内の情報共有システムが第三者による不正アクセスを受け、顧客・取引先の情報および従業員の個人情報が不正に取得されたと発表した。同社は2月28日に不正アクセスの可能性を把握し、翌3月1日から調査を開始していた。
流出が確認されたのは、顧客・取引先に関する情報と従業員の個人情報。具体的な件数は現在も調査中とされている。購買・生産・出荷などの基幹システムやメールシステムへの被害は確認されておらず、製造・販売活動への支障はないという。不正アクセスの経路はすでに遮断済みで、外部アクセス制限の強化やセキュリティ設定の見直しが実施されている。
中小企業への影響
村田製作所の取引先として自社情報が含まれている可能性がある。また、同様の情報共有ツール（社内Wiki、ファイル共有、グループウェアなど）は中小企業でも広く利用されており、これらのアクセス権限設定が適切かを確認する必要がある。「基幹系は無事でも情報共有ツールから漏れる」という攻撃パターンは今後も増加が見込まれる。
推奨対応
- 社内の情報共有ツール（SharePoint、Confluence、Notion、Google Driveなど）のアクセス権限を棚卸しし、不要な共有設定を削除する
- 情報共有システムへのアクセスログを定期的に確認し、不審なアクセスパターンがないか監視する
- 村田製作所と取引がある場合は、同社からの連絡に注意し、不審なメール（フィッシング）に警戒する
日本郵船｜船舶燃料調達システムへの不正アクセスで個人情報が外部持ち出しの可能性
日本郵船は4月9日、グループが利用する船舶燃料調達システムにおいて第三者による不正アクセスが発生し、個人情報を含む一部データが外部に持ち出された可能性があると公表した。不正アクセスは3月24日午後に発生し、同社は直ちにシステムをネットワークから隔離して使用を停止。3月27日にシステムを復旧している。
漏えいした可能性がある情報は、日本郵船の社員（退職者含む）および取引先企業の社員に関する氏名・会社名・電話番号・メールアドレスなど。データの暗号化や金銭要求は確認されておらず、ランサムウェア型の攻撃ではない模様だ。同社は3月27日に個人情報保護委員会など各国関係当局へ速報を提出し、3月31日に所轄警察へも報告している。現時点で二次被害は確認されていない。
中小企業への影響
物流・海運業界のサプライチェーンに組み込まれている企業は、取引先の業務システムを通じて自社の担当者情報が漏えいするリスクがある。「自社のシステムは守っていても、取引先経由で漏れる」というサプライチェーンリスクの典型例だ。取引先からの情報漏えい通知を受けた際の社内対応手順を整備しておく必要がある。
推奨対応
- 日本郵船グループとの取引がある場合は、同社からの連絡を確認し、自社担当者の情報が含まれていないか確認する
- 取引先に提供している担当者情報の範囲を把握し、必要最小限に留める運用を徹底する
- 取引先起因の情報漏えい時の対応フロー（社内通知、パスワード変更、フィッシング警戒の周知など）を策定する
CAMPFIRE｜GitHubアカウントへの不正アクセスでソースコード閲覧の可能性
クラウドファンディングサービスを運営する株式会社CAMPFIREは4月3日、システム管理に使用するGitHubアカウントが第三者に不正アクセスされ、一部ソースコードが閲覧された可能性があると発表した。不正アクセスは4月2日22時50分頃に検知され、同社は直ちにアクセスを遮断。リスク調査と予防的対策を実施した。
現時点で個人情報や機密情報の漏えいは確認されていない。ただし、ソースコードが閲覧された場合、コード内に含まれる可能性のあるAPIキーやデータベース接続情報などの秘密情報が攻撃者に渡るリスクがある。同社は閲覧されたコードの範囲や侵入経路の詳細については公表していない。
中小企業への影響
GitHubやGitLabなどのソースコード管理サービスは、開発を行う中小企業でも標準的に利用されている。開発アカウントの認証情報が窃取されると、ソースコードだけでなく、コード内にハードコードされた認証情報やインフラ構成情報まで漏えいする。特にスタートアップや少人数チームでは、開発環境のセキュリティが後回しになりがちな点に注意が必要だ。
推奨対応
- GitHubアカウントに多要素認証（MFA）を必須化し、個人アクセストークンの有効期限を短く設定する
- ソースコード内にAPIキー・パスワード・接続文字列などの秘密情報をハードコードしていないか、git-secretsなどのツールでスキャンする
- リポジトリの公開範囲とチームメンバーのアクセス権限を定期的に見直す
編集部まとめ
今週は情報共有ツール、業務用SaaS、開発環境と、攻撃対象がそれぞれ異なる3件のインシデントが公表された。共通しているのは「基幹システム以外のサブシステムが狙われている」という点だ。ファイアウォールや基幹系の防御だけでなく、日常的に使っているツール群のアクセス制御・ログ監視・認証強化を、改めて見直すべきタイミングと言える。
