委託先経由の情報漏えいとは｜最近の事例と中小企業の対策

委託先経由の情報漏えいとは

委託先経由の情報漏えいは、業務を任せている会社や使っているクラウドのサービスが攻撃を受け、そこに預けていた自社の顧客や社員の情報が漏れる被害です。印刷・発送、配送、メール配信、Web サイトの制作サービス、システムの保守など、個人情報を外に渡している業務はすべて当てはまります。

自社のパソコンが無事でも、漏れたのは自社が集めた情報です。個人情報保護法では、個人データの扱いを任せた会社（委託元）は委託先を監督する義務を負います（法第25条）。委託先が委託元に事実を知らせた場合、委託先の報告の義務は免除され、個人情報保護委員会への報告は委託元が行います（委員会のガイドライン〔通則編〕3-5-3-5）。

IPA の「情報セキュリティ10大脅威 2026」（2026年1月29日）では、組織編の2位が「サプライチェーンや委託先を狙った攻撃」（2019年から8年連続）です。1位のランサム攻撃とともに、4年続けて1位と2位を占めています。

最近の手口（公的機関の発表から）

守りの弱いところから入る IPA の10大脅威 2026 の解説書（組織編、2026年3月12日）は、攻撃者は対策の固い組織を直接は狙わず、取引先や委託先などの弱いところを攻撃し、そこが持つ標的の組織の情報を盗むと説明しています。ソフトウェアの開発元や、運用・保守を請け負う会社（MSP）の資産管理ソフトに不正なプログラムを仕込み、その利用者を感染させる手口も挙げています。委託先への攻撃にはランサムウェアがよく使われます（「ランサムウェアとは」）。

漏えいの報告の約1割は委託先から 個人情報保護委員会の「令和7年度年次報告」（2026年7月7日）によると、2025年4月〜2026年3月に委員会へ直接報告された民間事業者の漏えい等13,345件のうち、漏えいした場所が委託先だったのは1,292件（9.7％）で、うち328件は不正アクセスが原因でした。地方公共団体などでは21.0％（2,030件のうち427件）が委託先です。

クラウドの利用も「委託」として監督する 委員会は2026年10月7日、大規模な漏えいを踏まえた注意喚起を出し、「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」を改訂しました。挙げた事例のうち、委託先に関わるのは次の3つです。

クラウドの事業者が不正アクセスを受け、多くの利用企業の個人データが暗号化された。利用企業は「クラウドの利用は委託に当たらない」と考えて監督していなかった
システムの会社と結んだ保守の契約に脆弱性の対応が含まれておらず、VPN 装置などの脆弱性が放置された
グループ内だからと、人事のデータを任せた親会社を子会社が監督していなかった

同じ注意喚起は、使う必要のなくなった個人データを消さずにいて漏えいが深刻になった事例にも触れています。

過去の事例：印刷・発送の委託先（イセトー）

個人情報保護委員会が2025年3月19日に公表した指導によると、印刷・発送を請け負うイセトーのサーバーが2024年5月26日に不正アクセスを受け、ランサムウェアで暗号化され、盗まれたファイルがダークウェブで公開されました。

漏えいした人は3,076,477人。直接の委託元は41団体で、その先の委託元を含めると約100団体に影響しました
入口は VPN 機器で、2021年4月から更新されていませんでした。使われた管理者のアカウントは2017年2月から同じパスワードで、多要素認証もありませんでした
預かった情報を置く場所のルールは規程にも契約書にもなく、一部の部署が攻撃を受けたサーバーへ情報をコピーしていました

委託元から見ると、預ける情報の扱いを契約に書き、委託先の VPN やパスワードの管理を確かめることが教訓です（「VPN機器からの侵入とは」）。

クラウドの事業者が入られた例（ブロードバンドタワー）

ブロードバンドタワーの2026年2月24日の最終報によると、2025年12月5〜8日、クラウドサービス「c9 Flex」の V シリーズで提供していた仮想サーバー3台が既知の脆弱性を突かれ、そこを踏み台に運用の仮想サーバー3台にも入られました。ほかの利用者のサーバーやデータセンターへの侵害はないと確かめたとしています。事業者の脆弱性の対応は利用者から見えないため、知らせを受けたら自社の影響を確かめる手順が要ります（「ゼロデイ攻撃・脆弱性を突く攻撃とは」）。

中小企業の対策（チェックリスト）

個人情報保護委員会のガイドライン・注意喚起と、IPA の10大脅威 2026・「中小企業の情報セキュリティ対策ガイドライン第4.0版」（2026年3月27日。経営者の原則に「委託先の情報セキュリティ対策まで考慮する」を置いています）をもとに並べます。

自社が委託元のとき（情報を預けている側）

顧客や社員の情報を渡している委託先・クラウドのサービス（メール配信・フォーム・Web 制作・配送・印刷・給与計算など）と、再委託先を一覧にし、預けている項目と件数を書く
業務に要らない項目を渡さない。使い終わった名簿や配信先のリストを消し、委託を終えたら委託先が消したことを確かめる
委託先を選ぶ前に、多要素認証・脆弱性の対応・ログの保存などの体制を書面で確かめる。クラウドは利用規約や安全性の資料で確かめる
契約に、安全管理の内容、事故を何日以内に知らせるか、再委託の事前の承認、報告を求められることを書く。保守の契約に脆弱性の対応が入っているかも確かめる
年に1回は委託先の扱いの状況を確かめる。グループ会社にも同じ基準を使う
サービスの管理画面のアカウントを人ごとに分けて多要素認証を付け、預けた API キーをすぐ切り替えられるよう手順と担当を決める
委託先から事故の連絡が来たときの担当（影響の確認・委員会への報告・本人への通知・問い合わせの窓口）と、サービスが止まったときの客への連絡の方法を決める

自社が委託先のとき（情報を預かっている側）

預かった情報の置き場所を規程に書き、別のサーバーやパソコンにコピーしていないかを確かめる
契約の期間が過ぎたデータ、終わった仕事のデータを消し、消した記録を残す
VPN 機器・ファイアウォールに修正版を当て、VPN と管理者のアカウントに多要素認証を付ける。長く変えていない管理者のパスワードを変える
VPN 機器やサーバーの接続の記録を、調べられる期間と量で残す
不正アクセスに気づいたら委託元へすぐ（目安は3〜5日以内）知らせる手順と連絡先を決め、委託元の報告に協力できるよう記録を残す
取引先に対策を聞かれたときに説明できるよう、行っている対策を1枚にまとめる

被害にあったら

影響を確かめる：委託先から知らせを受けたら、預けていた情報の項目と件数、自社の客が含まれるかを確かめ、受けた連絡を記録する
個人情報保護委員会に報告する：不正アクセスなど不正の目的のおそれがある漏えい（おそれを含む）は、件数にかかわらず報告と本人への通知が必要です。委託元は、遅くとも委託先から通知を受けた時点で事態を知ったことになります（速報は概ね3〜5日以内、確報はこの場合60日以内）
詐欺に注意を呼びかける：客と社内に、自社や委託先を名乗る不審なメール・SMS に気をつけるよう伝える
連携を切り替える：預けていた API キー・パスワードを変え、管理画面のアカウントを確かめる
相談する：IPA の「企業組織向けサイバーセキュリティ相談窓口」、JPCERT/CC の「インシデント対応依頼」、都道府県警察のサイバー事案の相談窓口

出典

IPA「情報セキュリティ10大脅威 2026」（2026年1月29日）、「同解説書（組織編）」（2026年3月12日）
IPA「中小企業の情報セキュリティ対策ガイドライン」（第4.0版、2026年3月27日）
個人情報保護委員会「令和7年度個人情報保護委員会年次報告」（2026年7月7日）
個人情報保護委員会「大規模な漏えい等事案を踏まえた対応について（注意喚起）」（2026年10月7日）、「WARNING～不正アクセスによる個人データ漏えい防止のための注意喚起～」（2026年10月7日改訂）
個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」、「漏えい等の対応とお役立ち資料」
個人情報保護委員会「株式会社イセトーに対する個人情報の保護に関する法律に基づく行政上の対応について」（2025年3月19日）
ブロードバンドタワー「当社へのサイバー攻撃に関する調査結果と今後の対応について（最終報）」（2026年2月24日）
ユミルリンク「当社システムへの不正なアクセスに関するご報告（第一報）」（2026年10月19日）、「同（第二報）」（2026年10月26日）
ラクス「【第2報】当社子会社が提供する「ブラストメール」における不正アクセスによる情報漏えいおよびサービス停止について」（2026年10月21日）、ラクスライトクラウド「ブラストメールの緊急停止および個人情報漏えいに関するお詫びとご報告」（2026年11月6日更新）
ペイクラウドホールディングス「「アララメッセ－ジ」への不正アクセスによる情報流出およびサービス停止について（第２報）」（2026年11月2日）、「同（第３報）」（2026年11月6日）
Studio「【重要】不正アクセスによる情報流出に関するお詫びとお願い（第一報）」（2026年10月16日）
プレステージ・インターナショナル「当社グループの業務システムへの不正アクセスによる個人情報漏えいに関するお知らせとお詫び」（2026年11月2日）
セブン‐イレブン・ジャパン「当社デリバリーサービス「7NOW」の委託先への不正アクセスに伴う、お客様情報の漏えいについてのお知らせとお詫び」（2026年11月3日）、日本郵便「当社の委託先における不正アクセスによるお客さま情報の漏えいについて」（2026年11月5日）
SMBCコンシューマーファイナンス「当社保証システムへの不正アクセスによるお客さま情報の漏えいについて」（2026年11月5日）
IPA「企業組織向けサイバーセキュリティ相談窓口」、JPCERT/CC「インシデント対応依頼」、警察庁「サイバー事案に関する相談窓口」

委託先経由の情報漏えいとは｜最近の事例と中小企業の対策