【インシデント速報】2026年5月25日｜ユニバーサルミュージック310万件流出・近鉄エクスプレス海外拠点不正アクセス・コープいしかわ委託先ランサムウェア
secure① ユニバーサルミュージックのECサイト不正アクセスで310万件超の個人情報流出が確定。日本最大規模の一つ。
② 近鉄エクスプレスのシンガポール子会社が不正アクセスを受け業務停止→5月20日に復旧。海外拠点が弱点になるパターン。
③ コープいしかわの委託先がランサムウェア被害を受け約6,020件の組合員情報が流出の可能性。サプライチェーン攻撃の典型例。
ユニバーサルミュージック 情報漏えい 310万件超
ユニバーサルミュージック株式会社は2026年5月18日、運営するECサイト「UNIVERSAL MUSIC STORE」および「THE BEATLES STORE」で合計3,105,585件の個人情報が流出したと発表した。漏えいした情報は氏名・生年月日・性別・住所・電話番号・メールアドレス・購入履歴（配送先・請求先含む）。クレジットカード情報とログインパスワードは同社システムに保持しておらず流出はないとしている。
事件の発端は2025年10月25日。SNS上に顧客情報の流出を示唆する投稿が確認され、同社が調査を開始。同日中にシステム上で不正アクセスの痕跡を確認し、即日システムメンテナンスを実施した。2025年10月28日に通常営業を再開した後、外部専門機関も交えた調査を続け、約7カ月後の2026年5月18日に流出件数310万5,585件を正式に公表した。
被害規模は新潟県の全人口（約220万人）を上回り、国内ECサイト漏えいとしては過去最大級の一つ。同社は対象者への個別通知と、個人情報保護委員会への報告を進めている。
中小企業への影響
大手企業のECサイトで発生した漏えいでも、取引先・関係者として個人情報を登録していた場合には被害を受ける。また「購入履歴」の流出はフィッシング詐欺やなりすまし詐欺に悪用されやすい。自社でECサイトを運営している場合、不正アクセスの痕跡を検知できる仕組みがあるか今一度確認したい。
推奨対応
- 自社ECサイトのアクセスログを定期的に確認し、通常と異なるアクセスパターン（海外IP、深夜の大量アクセス等）を検知できる体制を整える
- クレジットカード情報は自社システムに保持しない設計（決済代行サービスを活用）を採用し、漏えい時の被害範囲を限定する
- SNSや外部情報源からの情報漏えい示唆を監視する仕組みを設け、事案発覚を早める
近鉄エクスプレス（KWEシンガポール子会社） 不正アクセス 業務復旧済
株式会社近鉄エクスプレスは2026年5月17日、グループ会社であるKWE-Kintetsu World Express (S) Pte Ltd.（シンガポール現地法人）において、2026年5月15日未明に第三者による不正アクセスが確認されたと発表した。不正アクセス確認後、直ちに関連システムの遮断・隔離措置を実施。シンガポールの航空輸出関連業務および国内倉庫業務の一部に影響が生じた。
その後、安全性の確認を経て2026年5月20日にシステムを再開。影響が出ていた業務は通常運用へ復旧したと発表した。現時点でシンガポール以外の業務への影響、および基幹業務システムへの波及は確認されていない。個人情報の流出有無については調査を継続中。
近鉄エクスプレスは物流大手として知られ、2025年にも別件でランサムウェア被害を受けていた（2025年4月）。同社にとって2年連続となるサイバーインシデントで、海外拠点のセキュリティ管理が継続的な課題となっている。
中小企業への影響
日本の大手企業でも海外子会社・関連会社はセキュリティ水準が低く、攻撃の入口になりやすい。中小企業でも海外取引先やクラウドサービス上の共有システムを通じた侵害リスクがある。物流・貿易系の取引先が被害を受けた場合、自社の輸出入業務にも影響が出ることを想定した代替手段を準備しておきたい。
推奨対応
- 海外子会社・委託先のセキュリティ基準が本社と同等であるか確認し、差異がある場合は改善計画を策定する
- 取引先へのサイバー攻撃による業務停止に備え、複数の取引先・代替ルートを確保しておく（BCP対応）
- 不正アクセス発生時の「遮断→調査→復旧」手順を文書化し、担当者が迷わず対応できるようにしておく
コープいしかわ（委託先ランサムウェア被害） サプライチェーン攻撃 個人情報流出の可能性
生活協同組合コープいしかわは2026年5月14日、ギフトカタログオンラインショップの業務委託先においてランサムウェア被害が発生し、組合員の個人情報が流出した可能性があると発表した。委託先社内システムで2026年4月10日に異常が検知され、調査の結果4月16日にランサムウェア攻撃によるサーバ内ファイルの暗号化が確認された。
流出の可能性がある情報は、ギフトカタログオンラインショップを利用した組合員の氏名・住所・電話番号等の連絡先情報および取引情報。件数は組合員データ1,756件、お届け先データ4,264件の合計約6,020件。金融機関口座情報・クレジットカード情報・マイナンバーは対象外。外部専門機関の調査では現時点で外部への情報持ち出しを示す直接的な痕跡は確認されていないが、流出の可能性を完全には排除できない状況。個人情報保護委員会への報告は4月17日に完了している。
中小企業への影響
今回のように、自社ではなく委託先がランサムウェア被害を受けた場合でも、預けていた顧客データの漏えい責任は発注元にも及ぶ。中小企業でも、ECサイト運用・受付業務・名簿管理などを外部委託している場合は同じリスクがある。「委託先のセキュリティ対策を確認したことがない」という状態は早急に改善が必要。
推奨対応
- 個人情報を預けている委託先に対し、セキュリティ対策状況（ランサムウェア対策・バックアップ等）を書面で確認する（年1回以上）
- 委託契約に「セキュリティインシデント発生時の報告義務」「損害賠償条項」を明記し、被害発生時の責任の所在を明確にしておく
- 委託先の被害を想定したインシデント対応手順（顧客通知、個人情報保護委員会への報告など）を事前に準備しておく
編集部まとめ
今週の3件は「ECサイト漏えい」「海外拠点不正アクセス」「委託先ランサムウェア」と攻撃経路が異なる。共通しているのは、自社が直接攻撃されたのではなく、どこかの管理の隙間を突かれている点だ。中小企業であれば、まず「どこに誰のデータを預けているか」を棚卸しするところから始めてほしい。
