【インシデント速報】2026年8月22日｜コタ ランサム10.9万件・旭化成セラピューティクス委託先流出・エリッツHD設定不備
secure【インシデント速報】2026年8月22日｜コタ ランサム10.9万件・旭化成セラピューティクス委託先流出・エリッツHD設定不備
8月20〜21日に公表された3件は、ランサムウェア（コタ）・委託先の公開領域（旭化成セラピューティクス）・クラウドの設定不備（エリッツ）と入り口は違いますが、被害を広げたのはいずれも「保管したデータの守りの甘さ」でした。自社と委託先が個人情報を「どこに・誰がアクセスできる形で」置いているか、棚卸しから始めてください。
コタ株式会社 — ランサムウェア被害の続報、株主・取引先など延べ約10.9万件が閲覧された可能性
美容室向けヘアケア製品メーカーのコタ株式会社（東証プライム上場）は8月20日、3月に発生したサイバー攻撃について続報を公表しました。発端は3月27日に確認された一部社内PC端末の動作不良で、調査の結果、第三者による不正アクセスと、一部サーバー・社内PCがランサムウェアに感染しデータが暗号化されていたことが判明しています。
外部専門家による調査の結果、保存されていた個人情報が第三者に閲覧された可能性が否定できないとしています。対象は株主情報55,408件、直送サービス利用者情報35,274件、取引先関係者情報16,133件などで、合計すると延べ約109,147件にのぼります。8月20日時点で個人情報の悪用被害は確認されていませんが、同社は法令に従い対象者への通知を進めるとしています。発覚（3月）から個人情報に関する確報（8月）まで約5か月を要しています。
中小企業への影響
ランサムウェアは業務停止（暗号化）だけの問題ではなく、株主・取引先・顧客の情報まで一括で危険にさらします。今回のように発覚から被害範囲の確定まで数か月かかることも珍しくなく、その間は「何が漏れたか分からない」状態が続きます。上場企業では株主名簿も攻撃対象になる点も見落とせません。
推奨対応
- バックアップはネットワークから切り離した状態（オフライン・書き換え不可）で保管し、復旧手順を定期的に試す
- サーバー・端末にEDRを導入し、感染を検知したら即座にネットワークから隔離できる体制を整える
- 個人情報の保管場所を棚卸しし、暗号化とアクセス権限の最小化を徹底する
旭化成セラピューティクス — 委託先の患者支援システムから患者・医療従事者の個人情報が流出
旭化成セラピューティクスは、関節リウマチ治療薬の患者サポートプログラムにおいて、運営を委託していた支援システムから患者や医療従事者の個人情報が流出したことを明らかにしました。同社は運営業務をシミックヘルスケア・インスティテュート（CHI）に委託しており、2026年6月15日に、CHIのシステムで個人情報を含むファイルへ第三者がアクセスし、流出していたことが判明しました。
CHIの調査によると、ウェブ公開領域に配置されていた一部ファイルに第三者がアクセスして取得しており、7月11日に個人情報の含有を確認、7月13日に旭化成セラピューティクスへ報告があったとしています。対象は患者30人の氏名・居住都道府県・電話番号・年齢・性別・かかりつけ医療機関、患者216人のメールアドレス、医療従事者1,535人の氏名・医療機関名、委託元企業関係者159人の氏名・営業所名など。データの取り扱いやアクセス制御の運用に不備があり、確認・監督体制も不十分だったとしています。
中小企業への影響
今回は、業務を委託した先の「ウェブからアクセスできる領域」に個人情報ファイルが置かれ、認証もかからない状態だったという典型的な設定・運用不備です。業務を外部に出しても、預けた情報の管理・監督責任は委託元に残ります。特に患者情報のようなセンシティブな情報ほど、流出時の影響は大きくなります。
推奨対応
- 委託先に預けるデータの保存場所・公開範囲・アクセス制御を、契約時だけでなく運用開始後も定期的に確認する
- 「ウェブからアクセスできる領域」に個人情報ファイルを置かない運用を、委託先・再委託先にも徹底させる
- センシティブ情報は必要最小限だけ渡し、不要になったら確実に削除させる
エリッツホールディングス子会社 — クラウドのアクセス制限不備で入居申込者情報が流出の可能性
関西地域を中心に不動産事業を展開するエリッツホールディングスは、子会社のエリッツにおいて個人情報が流出した可能性があることを明らかにしました。同子会社では、入居申込者とやり取りしたメールの内容などを含むファイルをクラウド環境に保存していましたが、アクセス制限の設定に不備があったとしています。
対象ファイルには、2021年4月3日以降に入居申込者との間でやり取りされた情報が記録されており、個人情報が記載された書類も含まれます。問題は2026年8月17日に外部の調査会社からの指摘で判明しました。同子会社は不備があった部分を修正するとともに、情報流出の有無や対象件数などを調査中としています。
中小企業への影響
クラウドストレージや共有フォルダの公開・共有設定ミスは、規模を問わず最も多い漏えい原因の一つです。「社内だけのつもり」で置いたファイルが、リンクを知る第三者やインターネットからアクセスできる状態になっていることがあります。今回も自社では気づかず外部の指摘で発覚しており、日常的な点検の重要性を示しています。
推奨対応
- クラウドストレージの共有リンク・公開設定を棚卸しし、「リンクを知る全員」「一般公開」になっていないか点検する
- 個人情報を含むファイルは共有範囲を限定し、期限付きリンクやパスワードを併用する
- アクセス権限を定期的に見直す運用を定め、外部診断や自動チェックの導入も検討する
編集部まとめ
今日の3件はいずれも「保管したデータの守りの甘さ」が被害を広げました。コタはランサムで暗号化と情報閲覧、旭化成セラピューティクスは委託先の公開領域、エリッツはクラウドの設定不備。攻撃の入り口は違っても、決め手はアクセス制御と保管管理の不備でした。自社と委託先が「どこに・誰がアクセスできる形で」個人情報を置いているか、まず棚卸しから始めてください。
