今回は、中小企業が「他社に預けたデータ」と「これから変わる法律」にどう備えるかが問われる3本です。1本目は小売店向けPOS「スマレジ」のEC機能が管理画面ログインの脆弱性を突かれ、利用4社の管理者情報やWordPress連携情報が流出したおそれがある事案。2本目は情報システム会社・両毛システムズへのランサムウェア攻撃で、同社に委託していた3組織の過去データが漏えいした件。3本目は2026年7月に公布された改正個人情報保護法で、初めて課徴金制度が導入される点です。いずれも「委託先・SaaS任せにしていたリスクが自社に跳ね返る」という共通点があります。
NEWS 01
スマレジ公表（ScanNetSecurity報道）｜ 2026年9月25日
POS「スマレジ」のEC機能に不正アクセス、管理画面ログインの脆弱性で利用4社の管理者情報やWordPress連携情報が流出のおそれ
POSレジアプリを提供する株式会社スマレジは2026年9月25日、同社のネットショップ構築サービス「スマレジEC・リピート」「スマレジEC・B2B」が不正アクセスを受け、一部の個人データが第三者に閲覧・取得された可能性があると公表しました。原因は、顧客管理画面のログイン機能に存在した脆弱性が悪用されたことだとしています。この脆弱性はすでに2026年9月18日に修正を完了しているとのことです。
影響を受けた可能性があるのは、両サービスを利用していた4社です。閲覧・取得されたおそれのある情報には、各社が登録していた顧客情報（会社名・氏名・電話番号・住所・メールアドレス・購入履歴など）や注文情報のほか、サービスの管理者ログインIDと暗号化されたパスワード、連携していたWordPressのログインID・暗号化パスワード・プラグインのシークレットキーが含まれるとしています。クレジットカード情報はシステム上保有していなかったため対象外です。スマレジは不正に設置されたファイルの除去やログの精査を行い、影響のある顧客への個別連絡と個人情報保護委員会への報告を実施したとしています。
▌中小企業への影響
スマレジのようなPOS・EC構築サービスは、個店や中小の小売・卸が自前でシステムを持たずに使える点が利点ですが、「サービス側の脆弱性」は利用者がコントロールできません。今回特に重いのは、顧客データだけでなく管理者のログイン情報やWordPress連携の認証情報まで流出のおそれがある点です。これらが悪用されれば、自社のネットショップやサイトそのものを乗っ取られ、商品ページの改ざんや偽の決済画面の設置に発展しかねません。SaaSを使っていても、認証情報の管理責任は利用者側に残ります。
▌推奨対応
- スマレジECの利用企業は、管理者アカウントとWordPressのパスワードを直ちに変更し、使い回していた他サービスのパスワードも変える
- WordPress連携プラグインのシークレットキー・APIキーを再発行し、古いキーを無効化する
- 自社のECサイト・サイトの管理画面に不審なファイルや見覚えのない管理者アカウントがないか点検する
- 利用中のSaaS・ECサービスからの「不正アクセスのお知らせ」を見落とさない連絡窓口を社内で一本化する
- 管理画面ログインに多要素認証やIP制限を設定できるサービスは、必ず有効化する
NEWS 02
委託元各社公表（各社報道）｜ 2026年9月下旬
情報システム会社「両毛システムズ」へのランサムウェア攻撃で、委託元3組織の過去データが漏えい
情報システム開発・運用を手がける両毛システムズ（群馬県桐生市）がランサムウェアによるサイバー攻撃を受け、同社に業務を委託していた複数の組織の個人情報が漏えいしたことが、2026年9月下旬に各委託元の公表で明らかになりました。同社の調査によると、2026年8月12日にVPN機器のアカウントを悪用して社内ネットワークへ侵入され、8月14日に異常を検知してネットワークを遮断したとしています。攻撃者や侵入の詳細について同社は公式に特定を公表していませんが、ランサムウェアグループが犯行を主張しデータを公開したと報じられています。
漏えいが確認・公表された主な委託元と件数は、大東ガスが約12万4千件（氏名・住所・電話番号・料金番号・ガス使用量など）、群馬県伊勢崎市が3,789件（児童生徒の学校名・学年・氏名・アカウント名など）、名張近鉄ガスが約6,800件（氏名・住所・料金番号など）とされています。重要なのは、現在稼働している各組織の顧客システムそのものが侵害されたわけではなく、両毛システムズ側に保管されていた過去のデータファイルが影響を受けた点です。委託先に預けたまま残っていた数年前のデータが、委託先の侵害によって流出した形です。
▌中小企業への影響
自社のシステムが堅牢でも、システム開発・保守・データ入力などを委託している先が侵害されれば、自社の顧客情報が流出します。今回のように「委託先に渡したまま削除されていなかった過去データ」は盲点になりがちです。中小企業は、請求書作成・名刺管理・顧客データ入力・Web制作などを外部に委託する場面が多く、その委託先が同じ構図で狙われれば、自社が説明責任を負うことになります。委託先の選定と、預けたデータの棚卸しは自社の責任範囲です。
▌推奨対応
- 外部に委託しているデータ（顧客リスト・名簿・過去案件のファイル等）を棚卸しし、「どの委託先に・何を・いつまで」渡しているか一覧化する
- 委託契約に、保管期限・返却または削除の義務・漏えい時の報告フローが明記されているか確認する
- すでに業務が終わった委託先に残っている不要データの削除を依頼し、削除完了の報告を受け取る
- 委託先が多要素認証・VPNのパッチ適用・バックアップのオフライン保管を行っているか、チェックリストで確認する
- 委託先で漏えいが起きた場合に、自社から本人へ速やかに通知・注意喚起できる体制を整えておく
NEWS 03
個人情報保護委員会／各法律事務所解説（公布済み法令）｜ 2026年7月17日公布
改正個人情報保護法が成立・公布、初の課徴金制度を導入へ――施行は2年以内、中小企業も準備を
2026年7月17日、改正個人情報保護法が公布されました。施行は公布から2年以内に政令で定める日とされ、現時点ではまだ施行前の準備期間にあたります。今回の改正で最も注目されるのが、個人情報の分野で初めて導入される課徴金制度です。悪質な違反に対して金銭的な制裁を科すもので、報道・解説によれば、漏えいした本人の数が一定規模を超え、かつ事業者が必要な注意を怠っていた場合などが対象になると見込まれています。課徴金の具体的な算定方法や対象の線引きは、今後の政令・規則やガイドラインで定められる予定です。
このほか改正では、16歳未満の個人情報について原則として法定代理人の同意を必要とすること、顔の特徴量などの生体データの取扱いで本人への周知を義務づけオプトアウトによる第三者提供の対象外とすること、権利利益を害するおそれが小さい漏えいについて本人通知の例外を設けることなどが盛り込まれています。施行はまだ先ですが、課徴金制度は違反の抑止を狙うものであり、企業規模の大小で適用対象から外れるわけではありません。中小企業も「どの個人情報を・何のために・どこまで保有しているか」を今のうちに整理しておくことが、施行時のあわてた対応を避ける近道です。
▌中小企業への影響
これまで個人情報保護法の違反には、是正の命令や勧告が中心で、直接の金銭的な制裁はありませんでした。課徴金制度の導入は、「漏えいを起こしても注意喚起で終わる」という前提が変わることを意味します。施行までに数年の猶予はありますが、顧客名簿・採用応募者情報・従業員情報などを扱う中小企業にとっても無関係ではありません。特に、同意の取り方・保有データの範囲・漏えい時の対応手順は、施行前から整えておくべき実務です。
▌推奨対応
- 自社が保有する個人情報の一覧（取得目的・保管場所・保管期限・アクセス権限）を作成し、不要なデータを減らす
- 16歳未満の情報を扱う事業（学習塾・習い事・子ども向けサービス等）は、保護者同意の取得フローを見直す
- 顔認証・入退室の生体データを使う場合は、利用目的の本人周知と記録の運用を整える
- 漏えい発生時の個人情報保護委員会への報告・本人通知の手順書を用意し、連絡担当を決めておく
- 施行令・ガイドラインの公表を定期的に確認し、課徴金の対象要件が固まり次第、自社の該当性を点検する
編集部まとめ
今回の3件に共通するのは、「他社やサービスに預けたデータ・認証情報」と「法制度の変化」が、中小企業のリスクに直結するという点です。まず着手すべきは、①利用中のSaaS・ECの管理者パスワードと連携キーの見直し、②委託先に預けたデータの棚卸しと不要分の削除、③保有する個人情報の整理と漏えい対応手順の準備の3つです。課徴金制度の施行までに、できることから手をつけておきましょう。
参考情報
- スマレジ「スマレジECにおける不正アクセスについて」（2026年9月25日）／スマレジEC お知らせ
- 「『スマレジEC・リピート』『スマレジEC・B2B』に不正アクセス、一部の個人データが閲覧・取得された可能性」ScanNetSecurity
- 両毛システムズへのランサムウェア被害と委託元各社の公表（大東ガス・伊勢崎市・名張近鉄ガス）／「国内セキュリティインシデント週報（2026年9月23日〜29日）」Zenn ほか各社報道
- 改正個人情報保護法（令和8年／2026年7月17日公布）に関する各法律事務所の解説、個人情報保護委員会の公表資料
