今回は4本を取り上げます。アスクルは昨年のランサムウェア被害の追加調査で、漏えいのおそれがある個人情報が新たに約60万件見つかり、累計で約134万件に拡大。個人情報保護委員会からの行政指導も明らかになりました。新エフエイコムは4月の被害で取引先従業員の情報が流出した恐れを公表。加えてFortinet製品の脆弱性修正と、IPAの夏休み向け注意喚起を取り上げます。いずれも「調査が進むほど被害が膨らむ」「取引先経由で情報が漏れる」という中小企業に直結するテーマです。
NEWS 01
アスクル（発表）／ ITmedia 等 ｜ 2026年7月30日
アスクル、漏えい懸念が約134万件に拡大 新たに約60万件を特定、個情委は行政指導
アスクルは2026年7月30日、2025年10月19日に発生したランサムウェア攻撃に伴うシステム障害について第19報を公表しました。継続的な調査・精査の結果、外部への漏えいのおそれを否定できない個人情報を新たに約60万件特定し、これまでの分と合わせて漏えいのおそれがある個人情報は累計で約134万件に達したとしています。
今回追加で特定された約60万件は、2025年7月15日から10月19日までに同社から発送した注文に関する情報で、氏名・住所・電話番号・メールアドレスが含まれます。クレジットカード情報は含まれていないとしています。あわせて同社は、2026年7月16日に個人情報保護委員会から個人情報および特定個人情報の安全管理措置について行政指導を受けたことも公表しました。
▌中小企業への影響
注目すべきは、攻撃発生から9カ月以上たった今も対象件数が増え続けている点です。ランサムウェア被害は初報時点で全容がわからず、フォレンジック調査が進むにつれて漏えい範囲が拡大するのが通例です。「最初の発表より被害が大きくなる」前提で、初動から証拠保全と通知体制を整えておく必要があります。監督官庁からの行政指導は企業規模を問わず対象になります。
▌推奨対応
- 自社が保管する個人情報の「保管期間」と「保管場所」を棚卸しし、不要になった過去データを削除・最小化する
- ランサム被害を想定し、ログ（アクセス記録・通信記録）を一定期間残す設定になっているか確認する
- 漏えい判明時の個人情報保護委員会への報告（速報は概ね3〜5日以内、確報は30日以内が原則）の流れを社内で確認する
- 初報後も調査で範囲が広がる前提で、対外公表・本人通知の追加ができる体制を決めておく
NEWS 02
新エフエイコム（発表）／ ScanNetSecurity 等 ｜ 2026年7月21日
新エフエイコム、ランサム被害で取引先従業員の個人情報が流出した恐れ
FA機器を扱う新エフエイコムは2026年7月21日、4月に発生したランサムウェアによるシステム障害について、外部専門機関によるフォレンジック調査の結果を公表しました。調査により、第三者がアカウント情報を窃取したうえで同社ネットワークへ不正侵入していたことが判明したとしています。
攻撃者に閲覧または取得された可能性があるファイルも特定され、その中には一部取引先の従業員に関する個人情報や取引関連情報が含まれていた可能性があります。個人情報としては氏名・勤務先名・所属部署名が含まれる可能性があるとされ、同社は本人および取引先へ順次個別に連絡を進めています。
▌中小企業への影響
侵入の起点が「窃取されたアカウント情報」だった点が重要です。パスワードの使い回しやフィッシングで認証情報が盗まれると、脆弱性がなくても正規ログインとして侵入されます。また、漏えいしたのが自社ではなく「取引先従業員の情報」だった点も見逃せません。取引先から預かった名刺情報・担当者データを保管している中小企業は、加害者にも被害者にもなり得ます。
▌推奨対応
- VPN・リモートデスクトップ・クラウド管理画面など外部からログインできる口に多要素認証（MFA）を設定する
- 取引先・従業員のアカウントでパスワードの使い回しがないか確認し、退職者アカウントを速やかに無効化する
- 取引先から預かった個人情報（名刺・担当者リスト等）の保管範囲を棚卸しし、アクセス権を絞る
- 取引先が被害公表した場合の自社への影響確認・照会対応の窓口を決めておく
NEWS 03
Fortinet（アドバイザリ）／ IoT OT Security News 等 ｜ 2026年7月14日
Fortinet、FortiOSなど7件の脆弱性を修正 VPN・ファイアウォール機器は更新確認を
ネットワーク機器大手のFortinetは2026年7月14日、FortiOS・FortiProxy・FortiPAM・FortiSandboxなど複数製品を対象とする7件の脆弱性を修正するアドバイザリを公開しました。深刻度は低〜中程度が中心とされ、Webフィルターの警告ページを悪用したHTTPレスポンス分割（CRLFインジェクション）や、認証済みユーザーが悪用可能なバッファ関連の不具合などが含まれます。
影響を受けるとされるのはFortiOS 6.4〜7.6系、FortiProxy 7.0〜7.6系など幅広いバージョンで、対応版へのアップデートが案内されています。個別の脆弱性番号や適用対象は自社の利用バージョンにより異なるため、ベンダーの公式アドバイザリで確認が必要です。（※個別CVEの深刻度・悪用状況は公式情報での確認を推奨します）
▌中小企業への影響
FortiGate等のUTM／ファイアウォールやVPN機器は、中小企業でも社内ネットワークの入口として広く使われています。境界に置かれる機器の脆弱性は、放置すると外部から社内への侵入経路になりやすく、過去にもFortinet製品の脆弱性が実際の侵害に悪用された事例があります。今回は深刻度が中心的に低〜中とはいえ、境界機器のファームは「出たら早めに当てる」運用が基本です。
▌推奨対応
- 利用中のFortinet機器のファームウェアバージョンを確認し、公式アドバイザリの対応版へ更新する
- ファーム更新は業務影響を考え、まずは計画停止の枠を確保して段階適用する
- 管理画面・SSL-VPNのインターネット公開範囲を見直し、必要な接続元IPに絞る
- 自社にネットワーク機器の管理者がいない場合は、保守委託先に最新ファームの適用状況を照会する
NEWS 04
IPA（発表） ｜ 2026年7月30日
IPA、夏休みの情報セキュリティ注意喚起を公開 長期休暇前後のチェックを呼びかけ
IPA（情報処理推進機構）は2026年7月30日、「2026年度 夏休みにおける情報セキュリティに関する注意喚起」を公開しました。長期休暇は担当者が不在になりがちで、被害の検知や対応が遅れやすいことから、休暇前・休暇中・休暇明けのそれぞれで取るべき対策を、個人・組織のシステム利用者・システム管理者に分けて整理しています。
今回はネットワーク貫通型攻撃や、侵害された機器を攻撃の中継点にする「ORB化」への警戒、IoT機器を踏み台にしたDDoS攻撃への対策に加え、脆弱性対策・設定確認・ログ監視、BCP／BCMによる危機管理体制の整備を挙げています。個人向けには詐欺メール・フィッシング・偽のセキュリティ警告（サポート詐欺）への注意も改めて呼びかけています。
▌中小企業への影響
お盆前後は出社人数が減り、不審なアクセスや被害の発見が遅れます。攻撃側もこの時期を狙う傾向があり、休暇明けに「気づいたら被害が拡大していた」という事態が起きやすくなります。少人数の中小企業ほど、担当者が休むと対応できる人がいなくなるため、休暇前の備えと連絡体制の準備が効きます。
▌推奨対応
- 休暇前に重要データのバックアップを取得し、ネットワークから切り離して保管する
- 使わないサーバー・PCは電源を切り、外部公開している機器のパッチ適用状況を確認する
- 休暇中に緊急事態が起きた際の連絡先・判断者・遮断手順を紙でも共有しておく
- 休暇明けは、メールを開く前にOS・ソフト・セキュリティ対策の更新を行い、不審メールの有無を確認する
編集部まとめ
今回は「調査が進むほど被害が膨らむ」事案が続きました。アスクルは累計約134万件、新エフエイコムは取引先従業員へと影響が広がっており、いずれも初報だけで判断できない性質を示しています。共通する教訓は、①個人情報の保管範囲を平時から最小化しておくこと、②窃取された認証情報での侵入を防ぐ多要素認証、③境界機器のファーム更新の3点です。
加えて、お盆の長期休暇が控えています。IPAの注意喚起が指摘するとおり、休暇前のバックアップ隔離と連絡体制の整備は、いざというときの被害を大きく左右します。パッチ適用・認証強化・バックアップ隔離の基本から着手してください。
参考情報
- アスクル株式会社「ランサムウェア攻撃に伴う情報漏えいのおそれに関する本人通知の追加実施について（第19報）」（2026年7月30日）
- ITmedia NEWS「アスクル、個人情報の漏えい懸念が約134万件に 新たに約60万件特定」（2026年7月31日）
- 新エフエイコム株式会社「ランサムウェアによるシステム障害に関する調査結果のご報告」（2026年7月21日）／ ScanNetSecurity 報道
- Fortinet 公式セキュリティアドバイザリ（2026年7月14日公開分）
- IPA「2026年度 夏休みにおける情報セキュリティに関する注意喚起」（2026年7月30日）
secure
