【インシデント速報】2026年5月20日｜ユニバーサルミュージック310万件流出ほか2件

2026年8月3日 2026年8月3日

secure

【インシデント速報】2026年5月20日｜ユニバーサルミュージック310万件流出・象印台湾子会社サイバー攻撃・コープいしかわ委託先ランサムウェア

今日のポイント（3点）:
① ユニバーサルミュージックのECサイトが不正アクセスを受け、310万件超の個人情報が流出確定。氏名・住所・購入履歴が対象で、不審な連絡への注意が必要。
② 象印マホービンの台湾子会社がサイバー攻撃を受け、顧客情報や従業員パスポート情報が流出の可能性。グループ会社・海外拠点が攻撃起点になる事例が続く。
③ コープいしかわの委託先がランサムウェアに感染し、組合員約6,000件のデータが漏えいの可能性。自社が攻撃されなくても「委託先経由」で被害が及ぶリスクに注意。

【インシデント①】ユニバーサルミュージック ECサイト不正アクセス―310万件超の個人情報が流出確定

ユニバーサルミュージック合同会社は2026年5月18日、同社が運営するECサイト「ユニバーサルミュージックストア」への不正アクセスに関する調査結果を発表した。調査の結果、合計3,105,585件の顧客個人情報が外部へ流出したことが確認された。

事態の発端は2025年10月。SNS上で「顧客の個人情報が流出している」とする投稿が確認され、同社が社内調査を開始。10月25日にシステムメンテナンスを実施し一部サービスを停止、10月28日に再開していた。その後の詳細調査を経て、2026年5月18日に流出規模を正式発表した。

流出した情報は氏名・生年月日・性別・住所・電話番号・メールアドレス・購入履歴。クレジットカード番号や決済情報は同社システムに保持していなかったため流出は確認されていないが、氏名・住所・購入履歴の組み合わせはなりすましやフィッシング詐欺に悪用される可能性が高く、注意が必要だ。

中小企業への影響

310万件という規模は国内でも最大級の情報漏えい事案のひとつ。自社がECサイトを運営している場合、同様の攻撃は中小企業にも及ぶ。攻撃者は規模を問わず「顧客情報が保存されたサイト」を標的にする。また、流出した氏名・住所データを使った業者へのなりすまし詐欺メール・電話が増加する恐れがあり、自社の取引先や顧客への注意喚起も必要になる場合がある。

推奨対応

自社ECサイトの不正アクセス検知ログを確認し、異常なリクエストやログイン試行がないか点検する
ECサイトで利用している外部決済・ショッピングカートプラグインのバージョンを最新に保つ
顧客情報の保存期間・保存範囲を最小化する「データ最小化」の方針を文書化し、不要なデータは定期削除する
「ユニバーサルミュージック」を装ったフィッシングメール・詐欺電話に関する情報を従業員に共有する

📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

【インシデント②】象印マホービン台湾子会社がサイバー攻撃―顧客情報・従業員パスポート情報が流出の可能性

象印マホービン株式会社は2026年5月15日、台湾の連結子会社「台象股份有限公司（台象）」がサイバー攻撃を受け、顧客の個人情報および一部従業員のパスポート情報などが外部へ流出した可能性があると発表した。

台象において、2026年4月13日にサーバーへの不正アクセスが検知された。同日ネットワークから遮断するなど初期対応を実施。その後の調査で、4月中旬にダークウェブ上で「台湾象印のサーバーをハッキングし機密情報を奪った」とする書き込みが確認された。5月11日に顧客の個人情報などが流出した可能性があると判明し、公表に至った。

流出の可能性がある情報は台湾顧客の氏名・メールアドレス等の個人情報、および一部従業員のパスポート情報。クレジットカード情報や決済情報の流出は確認されていない。被害件数の詳細は現時点で調査中。

中小企業への影響

国内の親会社とは別に、海外の子会社・グループ会社が攻撃起点となるケースが増えている。日本企業の海外拠点はセキュリティ対策が親会社より遅れがちで、攻撃者に狙われやすい。またダークウェブでの情報公開は攻撃後の二次被害（身代金要求・追加漏えい）を示すことが多く、海外拠点を持つ企業は自社の国際ネットワーク構成とアクセス管理を早急に見直す必要がある。

推奨対応

海外拠点・グループ会社のシステムに日本と同水準のアクセス管理・ログ監視を適用しているか確認する
海外拠点からの本社ネットワークへのアクセス経路を棚卸しし、不要な接続を遮断する
従業員のパスポート等の機密書類データをシステム上で管理している場合は、保存方法の暗号化・アクセス制限を見直す

📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

【インシデント③】コープいしかわ委託先がランサムウェア感染―組合員・届け先約6,000件の情報が流出の可能性

生活協同組合コープいしかわは2026年4月24日（ScanNetSecurity報道：5月14日）、同組合のギフトカタログオンラインショップを運営する委託先企業がランサムウェア攻撃を受けたと発表した。委託先のサーバー内のファイルが暗号化される被害が確認されており、組合員データ1,756件・届け先データ4,264件（合計約6,020件）の個人情報が流出した可能性がある。

委託先において4月10日に異常が検知され、調査の結果4月16日にランサムウェア攻撃によるものと報告を受けた。流出の可能性がある情報は氏名・住所・電話番号などの連絡先と取引情報。金融機関口座情報・クレジットカード情報・マイナンバーは対象外。外部専門機関の調査では、現時点で外部への情報持ち出しを示す直接的な痕跡は確認されていないが、流出の可能性は否定できないとしている。

中小企業への影響

「自社は攻撃を受けていないが委託先が被害に遭い、自社の顧客データが流出した」というサプライチェーン型の事案。自社がどれだけセキュリティ対策を強化しても、業務を委託している先のセキュリティが弱ければ顧客情報は流出しうる。EC運営・データ入力・印刷・発送などを外部委託している中小企業は、委託先のセキュリティ水準を契約条件として定めておく必要がある。

推奨対応

個人情報を扱う委託先との契約に「情報セキュリティ水準の維持」「インシデント発生時の速報義務」を明記する
委託先に対して年1回程度のセキュリティ状況確認（アンケートや現地確認）を実施する
委託先へ提供する個人情報の件数・種類を必要最低限に絞り、定期的に整理・削除する
自社のランサムウェア対策（オフラインバックアップ、バックアップの定期テスト）を点検する

📌 このインシデントは継続追跡中です（詳細記事は順次公開予定）

編集部まとめ

今回の3件に共通するのは「自社だけを守っていても防げない攻撃」という点だ。大手ECサイトからの大規模流出、海外子会社経由のネットワーク侵害、委託先ランサムウェアによるデータ漏えい―いずれも自社の直接管理が届かない領域が突かれている。委託先・グループ会社・利用クラウドサービスを含めた「自社の情報がどこにあるか」を把握し、それぞれにセキュリティ基準を設けることが今期の優先課題だ。