相次ぐ個人情報漏えいに学ぶセキュリティ対策：共通点は内側に入られたこと

こんにちは！システムデザインワークスの山岸です。

2026年9月から10月にかけて、タイムズカー、焼肉きんぐ、旭化成グループ、損保ジャパン、HISグループと、個人情報漏えい（漏洩）の発表が続きました。焼肉きんぐとタイムズカーだけで、アカウント数の単純合計は約1,740万件。重複があるにせよ、日本の人口の7人に1人に相当する規模です。ご自身やご家族がどちらかに登録している、という方は少なくないはずです。弊社でも、法人でタイムズカーを利用しているのでタイムズカーの漏えい対象者がおりました。

そのうえで伺います。自社の社内システムや管理画面が「どこから、誰に届く状態なのか」を即答できる方は、意外と少ないのではないでしょうか。

6件の事件に共通するのは、攻撃者が会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという「内側」に到達したことです。先行して被害を受けたアサヒグループホールディングスは、2026年2月に公表した再発防止策の柱に「リモートアクセスVPN装置の全面廃止」と「ゼロトラストモデルへの移行」を掲げました。さらに、アサヒを攻撃したランサムウェア集団 Qilin は、2026年10月の取材に対して日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と呼び、日本企業への攻撃は今後増えると公言しています。もう「大企業の話」ではなく、「日本の会社の話」です。

この記事は前後編です。前編では6件の事実関係と「内側に入られた」という共通点、そしてゼロトラストの考え方を整理します。後編では、Cloudflare Zero Trust が50ユーザーまで無料で使えること、IPアドレス制限やクライアント証明書も追加費用なしで重ねられることを、弊社の社内ポータルの構成を例に解説します。

なお、本記事は2026年10月8日時点の公開情報に基づいています。6件のうち4件は侵入経路が未公表のため、原因を断定する記述はしていません。被害に遭われた方には心よりお見舞い申し上げます。タイムズカーの事件そのものは、連載「タイムズカー漏えいに学ぶ」（全3回）で詳しく扱っています。

この記事はこんな方に向けて書いています

• 会員情報や顧客情報を扱うWebサービス・社内システムを運営している経営者、情報システム担当の方

• VPNや社内ネットワーク、管理画面のアクセス制限を「作った当時のまま」にしている方

• ゼロトラストという言葉は聞くが、自社の規模で現実的なのか分からない方

技術用語は本文で一言ずつ補足します。

相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）

1. 前編：共通点は内側に入られたこと（本記事）

2. 後編：50人以下の会社なら無料で始めるゼロトラスト

2026年秋に相次いだ6つの個人情報漏えい：タイムズカー・焼肉きんぐ・損保ジャパンなど（10月8日時点）

各社の公式発表から、確認できる事実を整理します。

損保ジャパンの件は、同社自身のシステムではなく、問い合わせ機能として使っていた外部サービスのサーバーが侵入されたものです。HISの件は、日本の本社ではなくタイ現地法人のファイルサーバでした。どちらも「自社の外にある、自社のデータ」が狙われています。

アサヒの事件自体は2025年のものですが、2026年2月に侵入経路と再発防止策が公表され、7月には件数が上方修正されました。何より、被害企業自身が「ゼロトラスト」を再発防止策に掲げたという点で、この記事に欠かせない事例です。

ここまでが公表された事実です。

攻撃者側は、日本を名指ししている

ここからは攻撃者側の主張です。犯罪集団の言い分ではありますが、弊社は真に受けるべきだと考えています。理由はこの節の最後に書きます。

アサヒを攻撃したランサムウェア集団 Qilin（キリン）は、2026年10月7日に報じられた JNN の取材に対し、日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」としたうえで、「日本の企業や政府機関に対する攻撃は今後、増加する可能性がある。これは脅しではなく、私たちの専門家としての見解」と述べました。取材の背景には、2026年5月下旬に大阪市内で日本の捜査当局に拘束された Qilin の中心メンバー（ロシア国籍）が、10月2日にドイツへ引き渡された件があります。Qilin は「世界中で匿名の300人以上の人物と協力関係にあるが、捜査当局からの圧力で活動を停止した例はない」とも答えています。

ランサムウェアとは、侵入先のデータを暗号化して使えなくし、復旧と引き換えに身代金を要求する攻撃手法のことです。 Qilin はその攻撃基盤を協力者に貸し出す形で活動しています。Cisco Talos の調査によると、2025年に国内で確認された Qilin のインシデントは22件で、国内全体の16.4%を占めました。同じ調査では、被害組織の57%が中小企業で、業種では製造業が28%と最多です。初期侵入の多くは、Telegram などで不正に入手した認証情報、つまり「盗まれたIDとパスワード」によるものでした。

「狙われるのは大企業」という前提は、数字の上でも崩れています。被害の半数以上は中小企業で、入口は高度な攻撃ではなく、どこかで漏れたパスワードです。

そして、この発言は報道で広く公開されました。「日本は狙いやすい」というメッセージは、Qilin 自身が攻撃を増やすかどうかにかかわらず、それを見た別の攻撃者や模倣犯を呼び込みます。発言の真偽を議論するより、言われたとおりの前提に立って自社を点検するほうが現実的です。

共通点は「内側に入られた」こと

アサヒの公表文が示した侵入の流れ

6件のうち、侵入から被害までの流れが最も詳しく公表されているアサヒの事例を見ます。2026年2月18日の公表文「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」には、次の流れが書かれています。

• システム障害の約10日前に、外部の攻撃者が拠点にあるネットワーク機器を経由して社内ネットワークに侵入した

• 主要なデータセンターに入り込み、パスワードの脆弱性をついて管理者権限を奪取した

• 奪取したアカウントでネットワーク内部を探索し、主に業務時間外に複数のサーバーへの侵入と偵察を繰り返した

• 2025年9月29日、ランサムウェアが一斉に実行され、複数のサーバーと一部のパソコン端末が暗号化された

入口は1か所です。しかし一度「社内」に入ってしまえば、その先のサーバーは侵入者を社内の利用者として扱いました。約10日間、誰にも止められずに偵察が続いたのはそのためです。これが境界型防御の限界です。境界型防御とは、社内と社外の境目に守りを置き、内側に入った通信は信用する、という従来の考え方のことです。

アサヒが挙げた再発防止策は、この構造への回答になっています。

会員管理システムと委託先という「内側」

残る5件のうち、損保ジャパン以外の4件は経路が未公表なので、何が起きたかは分かりません。ただし、侵入を受けた場所は共通しています。タイムズカーは会員Webシステム、焼肉きんぐは公式アプリの会員管理システム、旭化成セラピューティクスは運営委託先が管理する会員データベース、損保ジャパンは問い合わせ機能として使っていた外部サービスのサーバー、HISはタイ現地法人のファイルサーバです。

いずれも「会員のデータベースに届く管理側の経路」が存在し、そこに到達されました。一般論として、この経路は次のような形で残っていることが少なくありません。

• 管理画面がインターネット上にあり、URLを知っていれば誰でもログイン画面まで届く

• 開発会社や運営委託先が、共有アカウントや固定のパスワードで日常的に接続している

• 退職者や契約が終わった委託先のアカウントが、消されずに残っている

損保ジャパンの件では、委託先のスカラコミュニケーションズが2026年10月6日に経路を公表しています。第三者が FAQ システムの管理サイトに不正にログインし、不正なプログラムを設置したうえで、同じサーバー上のデータベースから問い合わせ情報を取得した可能性がある、という内容です。この委託先1社の被害は損保ジャパンを含む最大5社・最大約71万件に及び、再発防止策には管理者認証の多要素化と環境の分離が挙げられています。管理画面にログインされれば、その先のデータベースは「内側」として扱われる構造が、ここでも見えます。

旭化成の事例は、委託先が管理するデータベースで不正アクセスが確認されたと公表されています。HISの事例では、日本で取得したパスポート情報が、海外のグループ会社のファイルサーバに保存されていました。自社のシステムを守っていても、委託先やグループ会社の経路が「内側」になっているケースは珍しくありません。

AI時代に「見つからない」前提は成り立たない

タイムズカー連載の第2回で整理したとおり、2024年以降、脆弱性を見つける作業と、その脆弱性を持つサイトを探す作業は、AIによって自動化されました。「うちは小さいから見つからない」という前提はもう成り立ちません。守る側は「見つかって、入口の1つは破られる」前提に立つ必要があります。この「侵害を前提とする」姿勢が、ゼロトラストの出発点です。

ゼロトラストとは何か：「社内だから安全」をやめること

ゼロトラストとは、社内ネットワークの内側にいることを理由にアクセスを信用せず、すべてのアクセスを毎回「誰が・どの端末で・どこから」の条件で検証する考え方です。 米国立標準技術研究所（NIST）が2020年8月に公開した SP 800-207 で体系化されました。アサヒの公表文にも「社内外を問わず全てのユーザー、デバイス、ネットワーク接続に対して、情報資産へのアクセスごとに厳格な認証と認可を求める」という注釈が付いています。

要点は3つです。

誤解されやすいのですが、VPNを廃止すること自体が目的ではありません。 VPNは「社内に入れば信用する」モデルの象徴なので、アサヒはそこを変えました。VPNの代替として、システムごとに前段で本人と端末を検証する形にします。

では、この考え方を中小企業が実現するには何が要るのでしょうか。必要なのは「IDの基盤」と「前段で検証するサービス」の2つです。Google Workspace や Microsoft 365 を使っていれば、前者はすでにあります。後者は、無料で始められます。後編で、料金と弊社の実装を具体的に紹介します。

まとめ（前編）

• 2026年秋の6件に共通するのは、攻撃者が会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという「内側」に到達したことです。侵入の流れを詳しく公表したアサヒは、VPN廃止とゼロトラスト移行を再発防止策に掲げました

• Qilin は日本を「世界最悪のセキュリティ体制の国のひとつ」と名指しし、日本企業への攻撃は増えると公言しました。国内被害の57%は中小企業で、入口の多くは盗まれたIDとパスワードです。もう他人事ではありません

• ゼロトラストとは「社内だから安全」をやめ、すべてのアクセスを毎回検証することです。VPNの廃止はその手段であって、目的ではありません

• 必要なのは「IDの基盤」と「前段で検証するサービス」の2つだけです。後編では、50ユーザーまで無料で始められる具体的な構成を、弊社の社内ポータルを例に紹介します

相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）

1. 前編：共通点は内側に入られたこと（本記事）

2. 後編：50人以下の会社なら無料で始めるゼロトラスト

ご相談お待ちしております。

「社内システムの入口が、いくつあるか数えたことがない」という方も多いのではないでしょうか。それは珍しいことではありません。大切なのは、今回の6件を「大企業の話」で終わらせず、自社の点検の出発点にすることだと考えています。

栃木県でシステム開発・アプリ開発・Web サイト制作の会社をお探しの方、社内システムや管理画面のアクセス制御の見直し、委託先を含めたアクセス経路の棚卸しをご検討中の方へ。 システムデザインワークスでは、自社の社内ポータルで実践した構成をもとに、現状の棚卸しから設計、導入、運用まで一貫してサポートしております。最初の一歩は、「社内システムの一覧と、それぞれに誰がどこから入れるか」を1枚にまとめるところからで構いません。お気軽にお問い合わせフォームよりご連絡ください。

参考（一次情報・2026年10月8日時点）:

• アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日） / 漏えいのおそれ件数の上方修正（ITmedia、2026年7月17日）

• 物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）

• 旭化成セラピューティクス「医療従事者向け情報提供ウェブサイト『Pharma DIGITAL』への不正アクセスおよび個人情報漏えいの可能性について」（2026年10月6日）

• パーク24株式会社 第2報（2026年9月28日） / 第3報（2026年9月29日）

• 損害保険ジャパン「当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について」（2026年10月7日） / スカラコミュニケーションズの発表

• エイチ・アイ・エス「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（2026年10月7日）

• TBS NEWS DIG「“日本は世界最悪のコンピュータセキュリティ体制” ハッカー集団「Qilin」中心メンバー拘束で取材に応じる」（2026年10月7日） / ビジネス+IT「ランサムウェア集団 Qilin の中心メンバー日本で拘束」（2026年10月6日）

• TechTarget ジャパン「アサヒグループも襲った Qilin の手口とは 2025年国内被害22件」（2026年4月21日、Cisco Talos 調査）

• NIST SP 800-207 "Zero Trust Architecture"（2020年8月）