【インシデント速報】2026年7月30日｜SMS配信基盤・引越業者・委託先ランサム被害
secure【インシデント速報】2026年7月30日｜SMS配信基盤・引越業者・委託先ランサム被害
今回の3件はいずれも「自社だけで完結しない被害」が特徴。SMS配信基盤への攻撃はOEM提供先へ波及し、委託先へのランサムウェア攻撃は12年前の顧客情報を流出させた。取引先・委託先を含めた情報の棚卸しと、業者側のセキュリティ確認を今すぐ始めたい。
メディア4u（ファブリカホールディングス子会社）｜SMS配信基盤への不正アクセス
法人向けSMS配信サービスを手がける株式会社メディア4uは、同社のSMS送信システムが外部からの不正アクセスを受け、管理コンソールに登録された情報の一部が流出し、システム経由で不正なSMS送信が行われたと公表した。攻撃の確認は2026年6月24日、公表は7月14日（第1報）、7月17日に第2報とFAQを、7月29日にさらに続報を出している。
流出した可能性のある個人情報は最大2万2928件（一部報道では9万件超の情報が対象）。影響は自社サービスにとどまらず、OEM提供先であるエンバーポイント株式会社の「SMSPublisher」にも及んだ。SMS配信は本人認証（SMS認証）やワンタイムパスワードの送信にも使われるため、不正SMSはフィッシングの踏み台にされる恐れがある。
中小企業への影響
SMS認証や販促SMSを外部サービスで送っている企業は多い。配信基盤そのものが乗っ取られると、自社の顧客に「自社を名乗る不正SMS」が届き、自社が加害者側に見えてしまう。委託しているSMS・メール配信ベンダーが被害を受けていないか、契約先の公表情報を確認する必要がある。
推奨対応
- 利用中のSMS・メール配信サービスの障害・セキュリティ情報ページを確認し、影響有無を問い合わせる
- 配信管理コンソールのログインに多要素認証を設定し、共有アカウント・使い回しパスワードを廃止する
- 顧客に「当社からのSMSにはURLを含めない」など正規連絡の見分け方を事前告知しておく
ネットワーク引越センター（株式会社ネットワークジャパン）｜ランサムウェアでDB削除
引越サービスを展開する株式会社ネットワークジャパン（ネットワーク引越センター）は、顧客管理システムが第三者による不正アクセスを受け、顧客情報の滅失・漏えいのおそれがあると2026年7月9日に公表した。攻撃は7月2日午前2時38分ごろに発生し、データベースが削除されたうえで、復旧と引き換えに暗号資産を要求する文書が残されていた。
同社は判明後ただちに不正アクセス経路の遮断、データベースへの外部接続の停止、管理者パスワードの変更、システム復旧とデータ保全を実施。外部専門業者と連携して原因究明と再発防止を進めるとしている。データを暗号化するのではなく「削除して身代金を要求する」手口で、バックアップの有無が事業継続を左右した事案といえる。
中小企業への影響
顧客管理システムを1か所に集約している中小企業ほど、DB削除型の攻撃で顧客名簿を丸ごと失うリスクが高い。バックアップを取っていても、本番と同じネットワーク上に置いていれば一緒に削除・暗号化される。オフラインまたは書き換え不可の保管先を確保できているかが分かれ目になる。
推奨対応
- 顧客DBのバックアップを本番から切り離した場所（オフライン／イミュータブルストレージ）に取得し、復元テストを行う
- 外部から直接データベースへ接続できる経路を塞ぎ、管理者アカウントに多要素認証を設定する
- 深夜・休日の不審ログインを検知・通知する仕組みを整える（攻撃は深夜に起きている）
日本テレネットへのランサムウェア攻撃｜委託先経由でリンドスポーツの顧客情報も流出
FAX一斉送信などの業務を請け負う日本テレネット株式会社は、2026年3月9日に社内サーバでシステム障害を検知し、ランサムウェア型攻撃でファイルの一部が暗号化されたと3月17日に公表。6月12日の調査結果では、攻撃者がネットワーク機器経由で内部に侵入したことが確認され、最大106万6千件の個人情報が漏えいした恐れがあるとされた（データの外部転送の痕跡は検出されず）。
この攻撃は委託元にも波及した。スポーツ用品販売のリンドスポーツは7月27日、2014年当時にFAX送信業務を委託していた日本テレネットへの攻撃により、当時提供していた顧客情報3075件（所属団体名・担当者氏名・FAX番号）が流出した可能性があると公表した。約12年前の限定的データで正確な特定が困難なため、同社はホームページ公表と問い合わせ窓口設置をもって個別通知に代えるとしている。
中小企業への影響
「自社は攻撃されていない」のに、過去に業務委託した相手が被害を受けて自社の顧客情報が流出する典型例。しかも12年前に預けたデータが今になって問題化した。委託先に渡したまま回収・削除を確認していない個人情報は、時間が経っても自社の責任として残り続ける。
推奨対応
- 過去に個人情報を預けた外部委託先を洗い出し、契約終了先には返却・削除の完了を書面で確認する
- 委託契約に「委託先での漏えい時の通知義務」と「委託期間終了後のデータ廃棄」を明記する
- 保有し続ける必要のない古い顧客データは自社側でも定期的に廃棄し、流出時の被害範囲を狭める
編集部まとめ
今回の3件に共通するのは、被害が自社の外へ広がる／外から来るという点だ。配信基盤はOEM先へ、ランサムはバックアップごと、委託先の被害は過去の顧客情報へと連鎖する。守るべきは自社サーバだけではない。取引先・委託先に預けたデータの棚卸しと、切り離したバックアップの確保を、今週の宿題にしたい。
参考情報
- メディア4u の SMS 送信システムへのサイバー攻撃、エンバーポイントの「SMSPublisher」にも影響（ScanNetSecurity）
- SMS配信システムへの不正アクセスに関するお知らせとお詫び（第2報）（株式会社メディア4u）
- ネットワークジャパンにランサムウェア攻撃、復旧と引き換えに暗号資産を要求する文書を設置（ScanNetSecurity）
- ネットワーク引越センター、ランサムウェア被害で情報の滅失・漏えいの恐れ（セキュリティ対策Lab）
- リンドスポーツ、12 年前の顧客情報 3,075 件が流出の可能性（ScanNetSecurity）
- 日本テレネット、ランサムウェアの被害で最大106.6万件の個人情報漏洩の恐れ（セキュリティ対策Lab）
