「まさかそこから」大阪公立大のランサム被害、NEC委託先への攻撃が発端と判明：正規アカウント盗まれる

NECはシステム開発・保守の委託先がサイバー攻撃を受け、複数の顧客でシステム障害と情報漏えいが発生したと発表した。2026年10月2日に公表された大阪公立大学のランサムウェア被害についても同事案の影響だったことも判明している。

[＠IT]

　NECは2026年10月20日、システム開発・保守の委託先がサイバー攻撃を受け、複数の顧客でシステム障害と情報漏えいが発生したと発表した。

　委託先の正規アカウントの認証情報が悪用され、顧客のシステム環境に不正アクセスされたという。サーバ内のファイルが暗号化され、各種システムが利用できなくなったのに加えて、顧客の個人情報などを含むファイルの漏えいも確認された。NECは影響を受けた顧客に個別に連絡し、被害の全容解明を進めている。

　同事案に関連する被害としては、大阪公立大学が2026年10月21日に、NECのシステム開発・保守の委託先が持つ正規アカウント経由でランサムウェア被害に遭ったことを公表した。

大阪公立大学のランサムウェア被害も委託先経由だと判明

　大阪公立大学によると、NECのシステム開発・保守の委託先は2026年9月下旬にサイバー攻撃に遭った。サイバー攻撃者は、同委託先から窃取した正規のアカウントを使用して、大阪公立大学のシステムに不正にアクセスしたという。

　NECが利用していたクラウドストレージ内に保存されていた大阪公立大学に関連する個人情報やシステム関連情報の漏えいも確認された。

　正規の認証情報を使ったアクセスは、単純な不正ログインの検知だけでは捉えにくい場合がある。ただし、今回の認証情報がどのように窃取されたのか、どのような権限でアクセスされたのか、認証時にどのような対策が機能していたのかは、NECの発表では明らかにされていない。障害が発生したシステムの具体的な種類や、影響を受けた顧客の数、復旧状況についても公表されていない。

　漏えいした個人情報の具体的な内容や件数、対象者数は明らかになっていない。NECは詳細が判明次第、顧客に報告する方針だ。

クラウド事業者や保守・運用を担う企業が持つ責任

　NECは事案の発覚後、委託先にNEC管理の端末を貸与するなど、必要な対策を進めている。今後は委託先管理と個人情報管理を一層強化し、再発防止を図る方針だ。

　委託先の端末から顧客環境へのアクセスが実行された今回の事案は、委託元が管理するアクセス経路や認証情報、共有データの保護といったサプライチェーン対策の重要性を示している。

　最近は国産クラウド事業者のIDCフロンティアもランサムウェア被害を報告している。企業のITシステムの土台となるインフラや、保守・運用といったメンテナンスなどを担う事業者は、重要かつ大量のデータを管理している。これらの事業者が被害に遭えば、多くの企業のビジネスが停止し、社会的にも大きな影響が出る。

　不正アクセス被害が激増している今、これらの重要情報にアクセスできる、あるいは管理している事業者にはあらためてセキュリティ対策の強化が問われている。

　今後の焦点は、認証情報が窃取された経緯や不正アクセスを許した要因に加え、影響を受けたシステムや顧客の範囲、漏えいした情報の詳細、復旧状況がどこまで明らかになるかだ。NECは顧客を含む関係者に謝罪し、被害の全容解明と再発防止に取り組むとしている。