【インシデント速報】2026年5月24日｜ユニバーサルミュージック310万件流出・東京鋪装工業ランサム被害・トヨタ系カー用品店攻撃
secure【インシデント速報】2026年5月24日｜ユニバーサルミュージック310万件流出・東京鋪装工業ランサム被害・トヨタ系カー用品店攻撃
・ユニバーサルミュージックのECサイトで310万件超の個人情報流出が確定。フィッシング詐欺への悪用に注意。
・東京鋪装工業がランサムウェア攻撃を受け、取引先・従業員の口座情報を含む個人情報が流出した可能性。
・トヨタ系カー用品店「ジェームス」のサーバが侵害され、会員の氏名・住所・メールアドレス等が流出の恐れ。
① ユニバーサルミュージック — ECサイトから310万件超の個人情報流出が確定
ユニバーサルミュージック合同会社は2026年5月18日、同社が運営するECサイト「UNIVERSAL MUSIC STORE」および「THE BEATLES STORE」への不正アクセスにより、合計310万5,585件の個人情報が流出したことを確認したと発表した。被害は2025年10月に発覚し、サービスを一時停止して調査を進めてきた結果、今回の最終調査報告に至った。
流出した情報は氏名、住所、電話番号、メールアドレス、購入履歴（配送先・請求先情報を含む）。クレジットカード情報とログインパスワードについては流出していないと説明している。漏えい件数は新潟県の全人口（約220万人）を大幅に上回る規模であり、国内ECサイト被害としては過去最大級の一つに数えられる。
同社は対象者への個別通知、専用問い合わせ窓口の設置、警察および個人情報保護委員会への報告を実施済みとしている。再発防止策の詳細については今後公表する予定。
中小企業への影響
310万件というスケールは大企業の話に見えるが、今回流出した氏名・住所・電話番号の組み合わせは、架空請求や宅配業者を装ったフィッシング詐欺に直接悪用できる。自社のECサイトや会員サービスで同様の認証管理上の不備がないか再点検が必要だ。また取引先・顧客のメールアドレスが社内システムに保存されている場合、同様の攻撃を受けた際の被害範囲を事前に把握しておくべきだ。
推奨対応
- ECサイト・会員サービスの管理画面にIPアドレス制限と多要素認証（MFA）を設定し、不審なログインを検知できる仕組みを用意する。
- 保有する個人情報の棚卸しを実施し、不要なデータを削除。最小限のデータのみ保持する「データミニマイゼーション」を徹底する。
- フィッシング被害が疑われる顧客からの問い合わせ対応フローを事前に整備し、被害が判明した際に速やかに公表できる体制を構築する。
② 東京鋪装工業 — ランサムウェア攻撃で取引先・従業員の口座情報が流出の可能性
道路舗装工事・土木工事を手がける東京鋪装工業株式会社は2026年5月22日、同社システムでランサムウェアによるものと思われる障害が発生したと公表した。2026年4月2日に異常を検知し、対象機器をネットワークから即時遮断。外部専門機関と連携して被害の封じ込めと原因究明を進めてきた。
調査の結果、顧客・取引先の社名・氏名・メールアドレス・口座情報、および同社従業員の氏名・住所・生年月日が外部に流出した可能性があることが判明した。現時点で二次被害の確認はなく、事業への影響についても否定している。対象者への個別連絡は実施中。
口座情報が含まれている点は深刻で、なりすましによる不正送金やビジネスメール詐欺（BEC）への悪用が懸念される。現在もリークサイトの監視を継続している。
中小企業への影響
建設・土木業は近年ランサムウェアの標的になりやすい業種の一つだ。現場の作業員が利用するVPNや古いOSの端末が侵入口となるケースが多い。口座情報の流出は、取引先へのなりすましメールによる振込先変更要求（ビジネスメール詐欺）に直結する。「取引先から振込先変更の連絡が来た場合は電話で本人確認する」というルールを今すぐ組織内に周知すること。
推奨対応
- VPN装置のファームウェアを最新版に更新し、不要なリモートアクセスアカウントを削除。VPN接続ログを定期的に確認する。
- 業務PCのOSとソフトウェアを最新状態に保ち、古いWindowsが残っている場合は早急に更新または隔離する。
- 振込先変更依頼は電話での二次確認を義務付けるルールを社内・取引先間で共有し、ビジネスメール詐欺（BEC）に備える。
③ トヨタモビリティパーツ「ジェームス」— サーバへのサイバー攻撃で会員情報が流出の可能性
トヨタモビリティパーツ株式会社は2026年5月20日、同社が運営するカー用品店「ジェームス」が第三者によるサイバー攻撃を受けたと発表した。2026年4月25日・26日にサーバへの攻撃を検知し、直ちにネットワークを遮断して調査を開始した。
調査の結果、会員の氏名、住所、電話番号、生年月日、性別、メールアドレス、会員番号が外部に流出した可能性があることが確認された。対象となる顧客への個別連絡を進めており、不審なメール・SMS・電話への注意を呼びかけている。外部専門機関と連携して原因究明とセキュリティ強化策を検討している。
「ジェームス」は全国に約400店舗を展開する大手カー用品チェーンであり、会員数は数十万人規模に上るとみられる。流出した生年月日・性別・住所の組み合わせはダークウェブでの個人情報売買に利用される可能性がある。
中小企業への影響
大手チェーンの会員管理システムも攻撃対象になる事例が増えている。自社の顧客管理システムや予約システムが古いOSや未更新のソフトウェアで動作していないか確認が必要だ。また攻撃から検知まで時間がかかるケースも多い。「検知できない攻撃もある」という前提でネットワーク監視ログを定期的に確認する体制を整えること。
推奨対応
- 顧客・会員管理システムへのアクセスを業務用端末のみに限定し、外部からの直接接続を禁止する。
- 個人情報を扱うシステムの操作ログを90日以上保存し、不審なアクセスを事後確認できる体制を整える。
- 会員情報を保有している場合、流出時の顧客通知フロー（通知文テンプレート・連絡先リスト）をあらかじめ準備しておく。
編集部まとめ
今週公表された3件に共通するのは「被害の発覚から公表まで数週間〜数ヶ月かかっている」点だ。攻撃を受けても気づかない期間が存在する。中小企業がいま取れる最も現実的な対策は、VPN・ファームウェアの更新と個人情報の保有量を減らすことの2点に絞られる。保有しないデータは漏れない。ECサイト・会員システムの棚卸しを今週のうちに着手してほしい。
