【インシデント速報】2026年8月13日｜中部電力7万4千人漏えいの恐れ・JSTメール1.6万件流出・ドットマネー再開
secure【インシデント速報】2026年8月13日｜中部電力7万4千人漏えいの恐れ・JSTメール1.6万件流出・ドットマネー再開
中部電力と科学技術振興機構（JST）で、盗まれた資格情報を使った不正アクセスによりメール関連の情報が漏えいした可能性が相次いで判明。
1つのアカウントの乗っ取りが大量の情報流出につながる構図が共通している。
自社の業務システム・メールに多要素認証（MFA）が入っているか、今日この場で確認する。
中部電力、資格情報の不正利用で約7万4千人分の連絡先が漏えいの恐れ
中部電力は2026年8月4日、社内で利用する一部システムが不正アクセスを受け、取引先やグループの役職員ら最大約7万4100人分の個人情報が外部に漏えいした可能性があると公表した。発覚のきっかけは7月29日に第三者機関から寄せられた情報提供で、調査の結果、同社が使うシステムに関わる資格情報（ID・パスワード等）が不正に利用されていたことが確認されている。
漏えいの可能性がある情報は、グループ役職員や委託先社員ら約7万1700人分の氏名・電話番号などの連絡先情報が中心。加えて、自治体や取引先関係者ら約2400人分については、氏名・メールアドレスに加えてメール本文まで不正に閲覧された可能性があるとしている。電力・ガスの供給や顧客情報への影響は確認されておらず、不正利用された経路はすでに遮断済みだ。
中小企業への影響
大企業でも「盗まれた正規のID・パスワードでログインされる」攻撃は防ぎきれていない。パスワードだけの認証では、どこかで漏れた1組の資格情報が侵入の入口になる。取引先として大企業のシステムに接続している中小企業は、自社の認証情報が漏れると、相手先の被害の起点にされる恐れもある。
推奨対応
- 業務システム・クラウドサービスのログインに多要素認証（MFA）を必須設定にする。特に社外からアクセスできるものを優先する。
- 取引先・委託先と共有しているアカウントや、退職者が使っていたIDが放置されていないか棚卸しする。
- 「普段と違う場所・時間からのログイン」を検知・通知する設定があれば有効化する。
科学技術振興機構（JST）、役職員12人のメールボックスから約1.6万件が流出の可能性
国立研究開発法人・科学技術振興機構（JST）は2026年8月7日、第三者による不正アクセスにより、役職員のメールボックスに保管されていたメールの一部が外部に漏えいした可能性があると公表した。7月28日に外部機関から情報提供を受け、外部専門機関と連携して調査した結果、判明したものだ。
漏えいの可能性があるのは、役職員12人のメールボックスに保管されていたメール情報の一部・約1万6000件。この中には、やり取りの相手方となる外部のメールアドレス約1300件、JST役職員のメールアドレス約1000件が含まれるとしている。不正アクセスに悪用された経路はすでに遮断し、アクセス権限の無効化などの措置を実施済みで、現時点で漏えいした可能性のある情報が不特定多数に公開された事実や不正利用された事実は確認されていないという。
中小企業への影響
メールボックスは、過去の見積書・請求書・契約書のやり取りや取引先の連絡先が丸ごと蓄積された「情報の宝庫」だ。1人分のメールアカウントが乗っ取られるだけで、取引先を含む大量の情報が一度に流出する。中小企業でも、フィッシングで盗まれた1人分のパスワードから同じ被害が起きる。
推奨対応
- メール（Microsoft 365・Google Workspace等）のアカウントにMFAを設定し、古いメール認証方式（IMAP/POPのパスワード単独ログイン）を無効化する。
- 不要になった古いメールは定期的に削除・アーカイブし、乗っ取られたときに流出する情報量そのものを減らす。
- 従業員向けにフィッシングメールの見分け方を周知し、不審なログイン通知が来たらすぐ報告する運用を決めておく。
不正アクセスで停止していた「ドットマネー」、GMOへ事業承継し8月12日に再開
ポイント交換サービス「ドットマネー」は、システムへの不正アクセスを受け2026年6月8日よりサービスを全面停止していたが、2026年8月12日正午以降に順次再開された。あわせて、GMOタウンWiFi株式会社がサイバーエージェントから同事業を8月10日付で承継したことも発表されている。
ドットマネーは累計口座開設数が約3500万件、年間ポイント流通額が約180億円にのぼる大規模サービスだ。再開にあたっては、セキュリティ事業を手がけるGMOサイバーセキュリティ byイエラエと連携し、安全対策を講じたうえで段階的に再開する形をとった。約2カ月にわたるサービス停止は、インシデント発生後の事業継続の難しさを示している。
中小企業への影響
不正アクセスの怖さは情報流出だけではない。原因調査と安全確認のためにサービスを止めざるを得ず、その間の売上・信用の損失が経営を直撃する。復旧に2カ月かかった今回の事例は、「起きてから対応する」コストの大きさを物語る。小規模事業者ほど、長期停止に耐える体力がない。
推奨対応
- 自社サービスやECが止まった場合の連絡・復旧手順（誰が何を判断するか）を、平時に1枚の紙にまとめておく。
- 顧客データや決済に関わるシステムは、外部の専門会社にすぐ相談できる連絡先を事前に確保しておく。
- 重要データのバックアップを取得し、実際に復元できるか定期的にテストする。
編集部まとめ
今週は「盗まれた正規の資格情報でログインされる」不正アクセスが続いた。パスワードだけの守りはもはや前提が崩れている。中小企業がまず打つべき一手は、社外からアクセスできる全アカウントへのMFA導入と、使っていない古いID・古いメールの棚卸しだ。守る情報を減らし、入口を二重にする。この2つだけでも被害の確率は大きく下がる。
