【インシデント速報】日経アメリカMS365不正ログイン・マツダ病院委託先設定ミス・ダンダダン従業員SNS流出｜2026年5月18日
secure【インシデント速報】日経アメリカMS365不正ログイン・マツダ病院委託先設定ミス・ダンダダン従業員SNS流出｜2026年5月18日
① 日経アメリカ：Microsoft 365への不正ログインで291人分の個人情報が流出の可能性（5月8日公表）
② マツダ病院：画像診断委託先のクラウド設定ミスで患者626人分の情報が約1年半にわたり閲覧可能（5月11日公表）
③ ダンダダン：フランチャイズ店舗の従業員がアルバイト応募者の履歴書情報をSNSに投稿（5月11日公表）
クラウド不正ログインMS365アカウント侵害で取引先になりすましメール送信 ― 日経アメリカ（日本経済新聞社米国子会社）
日本経済新聞社は2026年5月8日、米国子会社である日経アメリカ社において、従業員が業務で使用する「Microsoft 365」のアカウントが外部から不正ログインされたことを公表した。
被害の発覚は2026年3月上旬。当該従業員とやり取りのあった取引先から、なりすましメールが届いたという連絡が入り、不正ログインの事実が判明した。攻撃者はアカウントを乗っ取り、取引先になりすましたフィッシング的なメールを送信していたとみられる。
流出した可能性がある情報は、従業員・取引先の合計291人分の氏名・会社名・メールアドレス。読者情報や取材関連情報は含まれていない。同社はアカウントのパスワードを即座に変更し、その後の不正ログインは確認されていないという。個人情報保護委員会への報告も済んでいる。
中小企業への影響
Microsoft 365は国内中小企業でも広く使われているクラウドサービスだ。アカウントを乗っ取られると、自社の取引先や顧客に対してなりすましメールが送信され、詐欺や情報搾取の踏み台に使われる。被害は自社にとどまらず、取引先への信用損失へと連鎖する点が深刻だ。パスワード単体での認証に頼っている環境は今すぐ見直しが必要だ。
推奨対応
- Microsoft 365（およびGoogle Workspace等のクラウドサービス）に多要素認証（MFA）を設定する。SMSよりも認証アプリ（Microsoft Authenticatorなど）の使用が望ましい。
- 不審なログインを早期に検知するため、サインインログの定期確認またはアラート設定を行う。Microsoft 365であれば「サインインログ」をEntra管理センターで確認できる。
- 取引先・顧客から「不審なメールが届いた」という連絡があった場合は、即座にアカウントのパスワードリセットとMFAを強制する手順を社内で整備しておく。
クラウド設定ミス委託先の設定不備で患者情報が約1年半にわたり閲覧可能に ― マツダ病院
マツダ病院（広島県府中町）は2026年5月11日、画像診断を委託している事業者のクラウド設定ミスにより、患者の個人情報がインターネット上で閲覧できる状態になっていたことを公表した。
委託事業者は2023年4月上旬、患者管理データをクラウドへ保存した際にファイル共有設定を誤り、アクセス制限が行われないまま第三者が閲覧できる状態となっていた。対象は2021年2月から同年3月にかけて同院でCT・MRI・RIの撮影を行った患者626人分で、ローマ字またはカタカナ表記の氏名、患者ID、撮影日、撮影種別、部位などが含まれる。撮影画像・検査結果・病名は含まれていない。
委託事業者が問題を把握したのは2024年11月下旬で、同年12月中旬に設定を修正。しかし病院への報告が行われたのは2026年2月16日と、設定修正から約14か月後だった。現時点で二次被害は確認されていないという。
中小企業への影響
クラウドの設定ミスは「やった覚えがない」まま発生しやすく、今回のように発覚・報告まで数年かかるケースもある。自社ではなく委託先のミスであっても、個人情報保護法上の責任は委託元が負う。委託先の管理体制を定期的に確認しないと、知らぬ間に情報が流出し、対応が遅れるリスクがある。
推奨対応
- クラウドサービス（OneDrive・Google Drive・Dropboxなど）で情報を共有する際は、「リンクを知っている人全員がアクセス可能」などの過剰な公開設定になっていないか定期的に確認する。
- 個人情報を含むデータを業者に委託する場合、委託契約に「セキュリティインシデント発生時の速やかな報告義務（48時間以内など）」を明記しておく。
- 委託先がどのクラウドサービスを使用しているか把握し、年に1回以上は設定状況の確認・監査を実施する。
内部者による情報流出フランチャイズ従業員のSNS投稿でアルバイト応募者の履歴書情報が流出 ― 肉汁餃子のダンダダン
餃子専門店「肉汁餃子のダンダダン」を運営するダンダダンは2026年5月11日、フランチャイズ店舗の従業員がアルバイト応募者の個人情報をSNSに投稿したことを公表した。
問題となったのは、店舗の従業員が応募者から受け取った履歴書の内容をSNSに投稿したもの。投稿はすでに削除されているが、一定期間にわたり公開状態だった。流出件数は公表されていない。同社は対象となる応募者全員に連絡を取り、経緯の説明と謝罪を行っている。再発防止策として、フランチャイズ店舗を含む全従業員に対し、SNS利用と個人情報取り扱いの注意喚起を実施した。
従業員教育が十分でなかったことと、フランチャイズ店舗を含む管理体制の不備が原因と同社は認めている。
中小企業への影響
サイバー攻撃でなくても、従業員の不注意なSNS投稿一つで個人情報流出は起きる。特にフランチャイズや外部スタッフを抱える職場では、管理が行き届きにくい。履歴書・応募書類・顧客情報などを無断で撮影・投稿する行為は、本人が悪意を持っていなくても情報漏えいに当たる。採用活動中の書類管理と、SNSポリシーの周知が急務だ。
推奨対応
- 採用書類（履歴書・応募フォームデータ）は担当者以外がアクセスできないよう管理し、使用後は速やかにシュレッダーまたはデータ削除を行う。
- SNSへの業務関連情報の投稿禁止を就業規則・フランチャイズ契約に明記し、入社・加盟時に必ず説明する。
- 定期的に従業員向けの情報セキュリティ研修を実施する。特に「個人情報と認識しにくいもの（名前・写真など）」が漏えいの対象になることを具体例で伝える。
編集部まとめ
今週のインシデントに共通するのは「外部攻撃よりも身近なミス」だ。クラウドサービスの不正ログインは多要素認証で大幅に防げる。設定ミスは自社だけでなく委託先にも起こりうる。SNS投稿による流出は、ルールと教育があれば防げる。高度な攻撃への備えより先に、基本的な管理を徹底することが、中小企業のセキュリティ向上への近道だ。
