今週は「認証情報とVPNをどう守るか」に直結する3本を取り上げます。中部電力では資格情報を不正に使われる形で約7万4,000件の連絡先情報が漏えいの可能性、丸高興業ではVPN機器を経由したランサムウェア侵入で少なくとも1.5GBが流出したおそれが判明しました。さらにアスクルは追加調査で漏えい懸念が約134万件に拡大し、個人情報保護委員会から行政指導も受けています。いずれも中小企業が明日から見直すべき論点を含みます。
ニュース1
NEWS 01
中部電力 ｜ 2026年8月4日発表
中部電力に不正アクセス、資格情報の悪用で約7万4,000件の連絡先情報が漏えいの可能性
中部電力は2026年8月4日、同社が利用する一部システムの資格情報が不正に利用され、社内外の連絡先情報が不正に閲覧された可能性があると発表しました。7月29日に第三者機関から不正アクセスに関する情報提供を受け、調査を進めていたものです。攻撃者は正規の資格情報を使ってシステムにアクセスしており、脆弱性を突く侵入とは異なる手口です。
漏えいの可能性がある情報は、関係機関・自治体・取引先など約2,400人の会社・団体名、役職、氏名、メールアドレス、電話番号と、同社グループの役職員および委託先社員など約7万1,700人分の会社名、所属、役職、氏名、メールアドレス、電話番号で、合計は最大約7万4,100件にのぼります。一方、電気・ガスの契約者情報については、発表時点で漏えいは確認されておらず、電力供給への影響もないとしています。
▌中小企業への影響
正規の資格情報を悪用された事案は、大企業だけの問題ではありません。取引先として連絡先情報が漏えい側に含まれた企業には、この情報を使ったなりすましメールや取引を装ったフィッシングが届くおそれがあります。自社が「漏えいさせる側」になるリスクと、「取引先の漏えいに巻き込まれる側」になるリスクの両方を想定する必要があります。
▌推奨対応
- 業務システムやクラウドサービスの管理者・一般アカウントに多要素認証（MFA）を設定し、ID・パスワードだけでは入れない状態にする
- 退職者・異動者のアカウント、委託先に渡した資格情報を棚卸しし、不要なものを速やかに無効化する
- 取引先を名乗る不審なメール・請求が来た場合の確認ルート（電話での折り返し確認など）を社内で共有する
- ログイン履歴やアクセスログを定期的に確認し、通常と異なる時間帯・場所からのアクセスを検知できるようにする
ニュース2
NEWS 02
丸高興業（調査結果公表）｜ 2026年8月中旬報道
丸高興業、VPN機器を経由したランサムウェア侵入で少なくとも1.5GBが流出のおそれ
建設関連の丸高興業は、2026年3月に発生したランサムウェア攻撃について、外部専門会社によるフォレンジック調査の結果を公表しました。調査では、VPN機器を経由して社内ネットワークに侵入され、不正に作成された管理者アカウントを使って複数のサーバーにアクセスされたことが確認されています。少なくとも1.5GBのデータが外部へ漏えいしたおそれがあると判断されました。
対象となったサーバーには、取引先の会社名・担当者名・住所・電話番号・メールアドレス・受発注履歴などが保存されていました。現時点で個人情報が実際に外部で悪用された事実は確認されておらず、対象人数も公表されていません。侵入経路が境界のVPN機器であった点は、多くの中小企業に共通するリスクを示しています。
▌中小企業への影響
リモートワークや拠点間接続のために導入したVPN機器は、外部から常に接続を受け付ける「入口」です。ファームウェアが古いまま放置されていたり、多要素認証が設定されていなかったりすると、そこが侵入口になります。侵入後に管理者アカウントを勝手に作られると、社内のサーバーを横断的に荒らされ、取引先情報まで流出します。
▌推奨対応
- 使用中のVPN機器・リモートアクセス機器の型番とファームウェアを確認し、最新版へ更新する
- VPNのログインに多要素認証を必須化し、ID・パスワードのみの接続を廃止する
- 管理者アカウントの一覧を確認し、身に覚えのないアカウントや不要なアカウントがないか点検する
- バックアップをネットワークから切り離して保管し（オフライン／イミュータブル）、暗号化被害時に復旧できる状態にする
ニュース3
NEWS 03
アスクル（第19報ほか）｜ 2026年7月30日・8月中旬
アスクル、ランサムウェア被害の追加調査で漏えい懸念が約134万件に拡大、行政指導も
アスクルは2026年7月30日、2025年10月に発生したランサムウェア攻撃について、外部への漏えいのおそれを否定できない個人情報を約60万件追加で特定したと公表しました。これにより漏えい懸念の総数は約134万件に拡大しています。対象は氏名・住所・電話番号・メールアドレスで、クレジットカード情報は含まれていないとしています。対象期間は2025年7月15日から10月19日までの発送に関する情報です。
あわせて同社は、2026年7月16日に個人情報保護委員会から個人情報の安全管理措置に関する行政指導を受けたことも明らかにしました。攻撃の発生から公表・調査完了までに長期間を要し、被害範囲が段階的に拡大していった経緯は、インシデント対応と平時の備えの両面で参考になります。
▌中小企業への影響
ランサムウェア被害では、初報の時点で被害範囲を確定できないことが少なくありません。調査が進むにつれて漏えい件数が増える展開は珍しくなく、その間の本人通知・行政対応・顧客説明の負担が長く続きます。監督官庁からの行政指導は企業規模を問わず対象になり得るため、安全管理措置（アクセス管理・ログ・バックアップ）を平時から整えておくことが問われます。
▌推奨対応
- 個人情報の保管場所と保有期間を棚卸しし、不要になったデータは削除して漏えい時の被害範囲を小さくする
- アクセス権限を業務上必要な範囲に絞り、誰がどのデータにアクセスできるかを台帳化する
- インシデント発生時の連絡・公表・本人通知の手順をあらかじめ文書化し、担当と代替者を決めておく
- 個人情報保護委員会への報告義務（漏えい等の報告・本人通知）の要件を確認しておく
まとめ
編集部まとめ
今週の3本に共通するのは、攻撃の入口が「認証情報」と「VPN・境界機器」に集中している点です。中部電力は正規の資格情報を悪用され、丸高興業はVPN経由で侵入されました。どちらも多要素認証とアカウントの棚卸しで侵入のハードルを大きく上げられます。
アスクルの事例は、被害が判明後も長期間にわたり拡大し、行政指導にまで至ることを示しています。侵入させない備え（MFA・パッチ・アカウント管理）と、起きた後の備え（バックアップ・通知手順・データの最小化）を、今週のうちに自社の状況に照らして点検してください。
参考文献
参考情報
- 中部電力「不正アクセスによる情報漏えいの可能性について」（2026年8月4日発表）
- ScanNetSecurity「丸高興業にランサムウェア攻撃、少なくとも1.5GBのデータが漏えいした可能性」（2026年8月18日）
- アスクル「ランサムウェア攻撃に伴う情報漏えいのおそれに関する本人通知の追加実施について」（2026年7月30日）／ScanNetSecurity（2026年8月17日）
secure