# 相次ぐ個人情報漏えいに学ぶセキュリティ対策：共通点は内側に入られたこと - 公開日: 2026-10-08 - 更新日: 2026-10-08 - URL: https://systemdesignworks.co.jp/news/%E7%9B%B8%E6%AC%A1%E3%81%90%E5%80%8B%E4%BA%BA%E6%83%85%E5%A0%B1%E6%BC%8F%E3%81%88%E3%81%84%E3%81%AB%E5%AD%A6%E3%81%B6%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3%E5%AF%BE%E7%AD%96%EF%BC%9A%E5%85%B1%E9%80%9A%E7%82%B9%E3%81%AF%E5%86%85%E5%81%B4%E3%81%AB%E5%85%A5%E3%82%89%E3%82%8C%E3%81%9F%E3%81%93%E3%81%A8 - 発行: 株式会社システムデザインワークス > 相次ぐ個人情報漏えい（タイムズカー・焼肉きんぐ・損保ジャパンなど2026年秋の6件）に学ぶ、中小企業のセキュリティ対策の前編です。共通点は、攻撃者が会員管理システムや社内ネットワーク、委託先のシステムという「内側」に到達したこと。焼肉きんぐとタイムズカーだけで約1,740万アカウント、日本の人口の7人に1人に相当し、アサヒグループHDを攻撃した Qilin は日本を「世界最悪のセキュリティ体制の国のひとつ」と公言しました。アサヒが掲げた「VPN全面廃止」と「ゼロトラスト移行」を手がかりに、ゼロトラストの考え方を解説します。 こんにちは！システムデザインワークスの山岸です。 2026年9月から10月にかけて、タイムズカー、焼肉きんぐ、旭化成グループ、損保ジャパン、HISグループと、個人情報漏えい（漏洩）の発表が続きました。焼肉きんぐとタイムズカーだけで、アカウント数の単純合計は約1,740万件。重複があるにせよ、日本の人口の7人に1人に相当する規模です。ご自身やご家族がどちらかに登録している、という方は少なくないはずです。弊社でも、法人でタイムズカーを利用しているのでタイムズカーの漏えい対象者がおりました。 そのうえで伺います。自社の社内システムや管理画面が「どこから、誰に届く状態なのか」を即答できる方は、意外と少ないのではないでしょうか。 6件の事件に共通するのは、攻撃者が会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという「内側」に**到達した**ことです。先行して被害を受けたアサヒグループホールディングスは、2026年2月に公表した再発防止策の柱に「リモートアクセスVPN装置の全面廃止」と「ゼロトラストモデルへの移行」を掲げました。さらに、アサヒを攻撃したランサムウェア集団 Qilin は、2026年10月の取材に対して日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」と呼び、日本企業への攻撃は今後増えると公言しています。もう「大企業の話」ではなく、「日本の会社の話」です。 この記事は前後編です。前編では6件の事実関係と「内側に入られた」という共通点、そしてゼロトラストの考え方を整理します。[後編](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト)では、Cloudflare Zero Trust が50ユーザーまで無料で使えること、IPアドレス制限やクライアント証明書も追加費用なしで重ねられることを、弊社の社内ポータルの構成を例に解説します。 なお、本記事は2026年10月8日時点の公開情報に基づいています。6件のうち4件は侵入経路が未公表のため、原因を断定する記述はしていません。被害に遭われた方には心よりお見舞い申し上げます。タイムズカーの事件そのものは、[連載「タイムズカー漏えいに学ぶ」（全3回）](/news/タイムズカー漏えいに学ぶ：古いフレームワークを使い続けるリスク)で詳しく扱っています。 --- **この記事はこんな方に向けて書いています** - 会員情報や顧客情報を扱うWebサービス・社内システムを運営している経営者、情報システム担当の方 - VPNや社内ネットワーク、管理画面のアクセス制限を「作った当時のまま」にしている方 - ゼロトラストという言葉は聞くが、自社の規模で現実的なのか分からない方 技術用語は本文で一言ずつ補足します。 **相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）** 1. **前編：共通点は内側に入られたこと（本記事）** 2. [後編：50人以下の会社なら無料で始めるゼロトラスト](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト) --- ## 2026年秋に相次いだ6つの個人情報漏えい：タイムズカー・焼肉きんぐ・損保ジャパンなど（10月8日時点） 各社の公式発表から、確認できる事実を整理します。 | 公表日 | 企業・サービス | 件数 | 侵入を受けた場所 | 原因・経路の公表 | | --- | --- | --- | --- | --- | | 2026年9月28日・29日 | タイムズカー（パーク24） | 約660万アカウント。本人確認書類画像 約160万件 | 会員Webシステム | **未公表**（9月29日の第3報が最新） | | 2026年10月5日 | 焼肉きんぐ（物語コーポレーション） | 約1,079万件（登録 約1,081万件のほぼ全員）。会員番号・氏名・メールアドレス・電話番号 | 公式アプリの会員管理システム | **未公表** | | 2026年10月6日 | 旭化成セラピューティクス | 最大 約55.9万人（医療従事者 約51.4万人 + 約4.4万人、従業員 約700人） | 運営委託先が管理する医療従事者向けサイトの会員データベース | **未公表**（侵入経路は「是正済み」とのみ記載） | | 2026年10月7日 | 損保ジャパン | 延べ約6万件（問い合わせ単位。同一人物の重複を含む）。氏名・電話番号・住所・メールアドレス・勤務先・問い合わせ内容など | 事業者向けドライブレコーダーサービスの問い合わせ機能として使っていた、外部委託先（スカラコミュニケーションズ）のサーバー。損保ジャパン自身のシステムへの不正アクセスは未確認 | **公表済み**（委託先の発表：FAQシステムの管理サイトへの不正ログイン） | | 2026年10月7日 | HIS（タイ現地法人 H.I.S. TOURS） | 最大627名のパスポート情報（氏名・生年月日・旅券番号・有効期限など）とアレルギー情報 | タイ現地法人のファイルサーバ。検知は2025年12月11日で、公表まで約10か月 | **未公表** | | 2026年2月18日（攻撃は2025年9月29日） | アサヒグループホールディングス | 漏えいのおそれ 約228.9万件（7月17日に上方修正）。確認済み 11万5,513件 | 拠点のネットワーク機器を経由して社内ネットワーク、主要データセンターへ | **公表済み** | 損保ジャパンの件は、同社自身のシステムではなく、問い合わせ機能として使っていた外部サービスのサーバーが侵入されたものです。HISの件は、日本の本社ではなくタイ現地法人のファイルサーバでした。どちらも「自社の外にある、自社のデータ」が狙われています。 アサヒの事件自体は2025年のものですが、2026年2月に侵入経路と再発防止策が公表され、7月には件数が上方修正されました。何より、**被害企業自身が「ゼロトラスト」を再発防止策に掲げた**という点で、この記事に欠かせない事例です。 ここまでが公表された事実です。 ### 攻撃者側は、日本を名指ししている ここからは攻撃者側の主張です。犯罪集団の言い分ではありますが、弊社は真に受けるべきだと考えています。理由はこの節の最後に書きます。 アサヒを攻撃したランサムウェア集団 Qilin（キリン）は、2026年10月7日に報じられた JNN の取材に対し、日本を「世界最悪のコンピュータセキュリティ体制を持つ国のひとつ」としたうえで、「日本の企業や政府機関に対する攻撃は今後、増加する可能性がある。これは脅しではなく、私たちの専門家としての見解」と述べました。取材の背景には、2026年5月下旬に大阪市内で日本の捜査当局に拘束された Qilin の中心メンバー（ロシア国籍）が、10月2日にドイツへ引き渡された件があります。Qilin は「世界中で匿名の300人以上の人物と協力関係にあるが、捜査当局からの圧力で活動を停止した例はない」とも答えています。 **ランサムウェアとは、侵入先のデータを暗号化して使えなくし、復旧と引き換えに身代金を要求する攻撃手法のことです。** Qilin はその攻撃基盤を協力者に貸し出す形で活動しています。Cisco Talos の調査によると、2025年に国内で確認された Qilin のインシデントは22件で、国内全体の16.4%を占めました。同じ調査では、被害組織の57%が中小企業で、業種では製造業が28%と最多です。初期侵入の多くは、Telegram などで不正に入手した認証情報、つまり「盗まれたIDとパスワード」によるものでした。 「狙われるのは大企業」という前提は、数字の上でも崩れています。被害の半数以上は中小企業で、入口は高度な攻撃ではなく、どこかで漏れたパスワードです。 そして、この発言は報道で広く公開されました。「日本は狙いやすい」というメッセージは、Qilin 自身が攻撃を増やすかどうかにかかわらず、それを見た別の攻撃者や模倣犯を呼び込みます。発言の真偽を議論するより、言われたとおりの前提に立って自社を点検するほうが現実的です。 ## 共通点は「内側に入られた」こと ### アサヒの公表文が示した侵入の流れ 6件のうち、侵入から被害までの流れが最も詳しく公表されているアサヒの事例を見ます。2026年2月18日の公表文「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」には、次の流れが書かれています。 - システム障害の約10日前に、外部の攻撃者が**拠点にあるネットワーク機器を経由して**社内ネットワークに侵入した - 主要なデータセンターに入り込み、**パスワードの脆弱性をついて管理者権限を奪取**した - 奪取したアカウントでネットワーク内部を探索し、**主に業務時間外に**複数のサーバーへの侵入と偵察を繰り返した - 2025年9月29日、ランサムウェアが一斉に実行され、複数のサーバーと一部のパソコン端末が暗号化された ```mermaid flowchart LR A["拠点の
ネットワーク機器"] --> B["社内ネットワーク"] B --> C["データセンター
管理者権限を奪取"] C --> D["複数サーバーへ
侵入と偵察（約10日）"] D --> E["ランサムウェア
一斉実行"] style A fill:#fde2e2,stroke:#c00 style E fill:#fde2e2,stroke:#c00 ``` 入口は1か所です。しかし一度「社内」に入ってしまえば、その先のサーバーは侵入者を社内の利用者として扱いました。約10日間、誰にも止められずに偵察が続いたのはそのためです。これが**境界型防御**の限界です。境界型防御とは、社内と社外の境目に守りを置き、内側に入った通信は信用する、という従来の考え方のことです。 アサヒが挙げた再発防止策は、この構造への回答になっています。 | 再発防止策（公表文より） | 何を変えるのか | | --- | --- | | リモートアクセスVPN装置の全面廃止 | 「社内に入れば信用する」入口そのものをなくす。VPN機器の脆弱性や盗まれた認証情報を使った侵入は、近年のランサムウェア被害で定番の入口になっている | | ゼロトラストモデル対応のパソコン端末への完全移行 | 端末ごとに毎回検証する | | 全システムでのネットワークの分離・接続の制限 | 1か所が破られても横に広がらない | | 全パソコン端末のEDR設定強化 | 不審な動きを検知して止める | | 認証・権限管理の強化、アカウント作成・変更・削除の自動化 | 管理者権限と残存アカウントを減らす | ### 会員管理システムと委託先という「内側」 残る5件のうち、損保ジャパン以外の4件は経路が未公表なので、何が起きたかは分かりません。ただし、侵入を受けた場所は共通しています。タイムズカーは会員Webシステム、焼肉きんぐは公式アプリの会員管理システム、旭化成セラピューティクスは運営委託先が管理する会員データベース、損保ジャパンは問い合わせ機能として使っていた外部サービスのサーバー、HISはタイ現地法人のファイルサーバです。 いずれも「会員のデータベースに届く管理側の経路」が存在し、そこに到達されました。一般論として、この経路は次のような形で残っていることが少なくありません。 - 管理画面がインターネット上にあり、URLを知っていれば誰でもログイン画面まで届く - 開発会社や運営委託先が、共有アカウントや固定のパスワードで日常的に接続している - 退職者や契約が終わった委託先のアカウントが、消されずに残っている 損保ジャパンの件では、委託先のスカラコミュニケーションズが2026年10月6日に経路を公表しています。第三者が FAQ システムの**管理サイトに不正にログインし**、不正なプログラムを設置したうえで、同じサーバー上のデータベースから問い合わせ情報を取得した可能性がある、という内容です。この委託先1社の被害は損保ジャパンを含む最大5社・最大約71万件に及び、再発防止策には管理者認証の多要素化と環境の分離が挙げられています。管理画面にログインされれば、その先のデータベースは「内側」として扱われる構造が、ここでも見えます。 旭化成の事例は、委託先が管理するデータベースで不正アクセスが確認されたと公表されています。HISの事例では、日本で取得したパスポート情報が、海外のグループ会社のファイルサーバに保存されていました。**自社のシステムを守っていても、委託先やグループ会社の経路が「内側」になっている**ケースは珍しくありません。 ### AI時代に「見つからない」前提は成り立たない [タイムズカー連載の第2回](/news/タイムズカー漏えいに学ぶ：AIが変えた攻撃の常識)で整理したとおり、2024年以降、脆弱性を見つける作業と、その脆弱性を持つサイトを探す作業は、AIによって自動化されました。「うちは小さいから見つからない」という前提はもう成り立ちません。守る側は「見つかって、入口の1つは破られる」前提に立つ必要があります。この「侵害を前提とする」姿勢が、ゼロトラストの出発点です。 ## ゼロトラストとは何か：「社内だから安全」をやめること **ゼロトラストとは、社内ネットワークの内側にいることを理由にアクセスを信用せず、すべてのアクセスを毎回「誰が・どの端末で・どこから」の条件で検証する考え方です。** 米国立標準技術研究所（NIST）が2020年8月に公開した SP 800-207 で体系化されました。アサヒの公表文にも「社内外を問わず全てのユーザー、デバイス、ネットワーク接続に対して、情報資産へのアクセスごとに厳格な認証と認可を求める」という注釈が付いています。 要点は3つです。 | 原則 | 意味 | アサヒの事例で言えば | | --- | --- | --- | | 明示的に検証する | 場所ではなく、本人・端末・経路を毎回確認する | 社内ネットワークに入れただけでは、サーバーに届かない | | 最小権限 | 必要な人に、必要な範囲だけ許可する。管理者は明示する | 管理者権限を奪われても、届く範囲が限られる | | 侵害を前提とする | 入口の1つが破られても横に広がらないよう分け、検知する | 10日間の偵察が、初日に検知される | 誤解されやすいのですが、**VPNを廃止すること自体が目的ではありません。** VPNは「社内に入れば信用する」モデルの象徴なので、アサヒはそこを変えました。VPNの代替として、システムごとに前段で本人と端末を検証する形にします。 では、この考え方を中小企業が実現するには何が要るのでしょうか。必要なのは「IDの基盤」と「前段で検証するサービス」の2つです。Google Workspace や Microsoft 365 を使っていれば、前者はすでにあります。後者は、無料で始められます。後編で、料金と弊社の実装を具体的に紹介します。 ## まとめ（前編） - 2026年秋の6件に共通するのは、攻撃者が会員管理システムや社内ネットワーク、委託先やグループ会社のシステムという「内側」に**到達した**ことです。侵入の流れを詳しく公表したアサヒは、VPN廃止とゼロトラスト移行を再発防止策に掲げました - Qilin は日本を「世界最悪のセキュリティ体制の国のひとつ」と名指しし、日本企業への攻撃は増えると公言しました。国内被害の57%は中小企業で、入口の多くは盗まれたIDとパスワードです。**もう他人事ではありません** - **ゼロトラストとは「社内だから安全」をやめ、すべてのアクセスを毎回検証すること**です。VPNの廃止はその手段であって、目的ではありません - 必要なのは「IDの基盤」と「前段で検証するサービス」の2つだけです。[後編](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト)では、50ユーザーまで無料で始められる具体的な構成を、弊社の社内ポータルを例に紹介します ## よくある質問 **Q. Qilin の「日本は世界最悪のセキュリティ体制」という発言は、真に受けるべきですか？** A. 真に受けるべきだと考えています。犯罪集団の主張ではありますが、実際にアサヒグループHDを含む国内被害が出ており、Cisco Talos の調査では2025年の国内ランサムウェア被害組織の57%が中小企業でした。さらに、この発言は報道で広く公開されたため、「日本は狙いやすい」というメッセージとして、Qilin 以外の攻撃者や模倣犯を呼び込むおそれがあります。発言の真偽を議論するより、言われたとおりの前提で、自社の入口がいくつあり、誰がどこから入れるかを点検することが現実的です。 **Q. ゼロトラストとは、VPNをやめることですか？** A. いいえ。VPNの廃止は手段の1つにすぎません。ゼロトラストの本質は「社内ネットワークの内側にいることを理由に信用しない」ことで、すべてのアクセスを本人・端末・経路の条件で毎回検証します。アサヒグループHDがVPN装置の全面廃止を掲げたのは、VPNが「社内に入れば信用する」モデルの入口だったからです。システムごとに前段で検証する仕組みに置き換えれば、結果としてVPNは不要になります。 **Q. 委託先に運用を任せている会員サイトは、自社で何を確認すればよいですか？** A. 「委託先がどの経路で、誰のアカウントで、どのデータに触れるか」を文書で出してもらうことが出発点です。共有アカウントや固定パスワードで接続している、契約終了後もアカウントが残っている、といった状態は委託先側の「内側」が自社の「内側」になっていることを意味します。旭化成セラピューティクスの事例は委託先が管理するデータベースで、損保ジャパンの事例は問い合わせ機能として使っていた外部サービスのサーバーで、それぞれ不正アクセスが確認されたと公表されています。 --- **相次ぐ個人情報漏えいに学ぶセキュリティ対策（前後編）** 1. **前編：共通点は内側に入られたこと（本記事）** 2. [後編：50人以下の会社なら無料で始めるゼロトラスト](/news/相次ぐ個人情報漏えいに学ぶセキュリティ対策：50人以下の会社なら無料で始めるゼロトラスト) --- ## ご相談お待ちしております。 「社内システムの入口が、いくつあるか数えたことがない」という方も多いのではないでしょうか。それは珍しいことではありません。大切なのは、今回の6件を「大企業の話」で終わらせず、自社の点検の出発点にすることだと考えています。 **栃木県でシステム開発・アプリ開発・Web サイト制作の会社をお探しの方、社内システムや管理画面のアクセス制御の見直し、委託先を含めたアクセス経路の棚卸しをご検討中の方へ。** システムデザインワークスでは、自社の社内ポータルで実践した構成をもとに、現状の棚卸しから設計、導入、運用まで一貫してサポートしております。最初の一歩は、「社内システムの一覧と、それぞれに誰がどこから入れるか」を1枚にまとめるところからで構いません。お気軽にお問い合わせフォームよりご連絡ください。 --- 参考（一次情報・2026年10月8日時点）: - [アサヒグループホールディングス「サイバー攻撃被害の再発防止策とガバナンス体制の強化について」（2026年2月18日）](https://asahigroup-holdings-ir-umb.azurewebsites.net/media/ncujrqpv/20260218_j.pdf) / [漏えいのおそれ件数の上方修正（ITmedia、2026年7月17日）](https://www.itmedia.co.jp/news/article/2607/17/1260717107/) - [物語コーポレーション「『焼肉きんぐ』公式アプリ 会員管理システムへの第三者からの不正アクセスによる個人情報漏えいに関するお詫び」（2026年10月5日）](https://www.monogatari.co.jp/news/261005_news/) - [旭化成セラピューティクス「医療従事者向け情報提供ウェブサイト『Pharma DIGITAL』への不正アクセスおよび個人情報漏えいの可能性について」（2026年10月6日）](https://www.asahi-kasei.co.jp/pharma/oshirase_20261006.html) - [パーク24株式会社 第2報（2026年9月28日）](https://www.park24.co.jp/news/2026/09/20260928-1.html) / [第3報（2026年9月29日）](https://www.park24.co.jp/news/2026/09/20260929-1.html) - [損害保険ジャパン「当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について」（2026年10月7日）](https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2026/20261007_1.pdf?la=ja-JP) / [スカラコミュニケーションズの発表](https://scala-com.jp/news/2026/10-1/) - [エイチ・アイ・エス「子会社ファイルサーバへの不正アクセスによる個人情報流出の可能性に関するお詫びとお知らせ」（2026年10月7日）](https://www.his.co.jp/news/20980.html) - [TBS NEWS DIG「“日本は世界最悪のコンピュータセキュリティ体制” ハッカー集団「Qilin」中心メンバー拘束で取材に応じる」（2026年10月7日）](https://news.yahoo.co.jp/articles/232fc93e84cb02201877ddd9d77051460fb00cd1) / [ビジネス+IT「ランサムウェア集団 Qilin の中心メンバー日本で拘束」（2026年10月6日）](https://news.yahoo.co.jp/articles/ea16b37f4f0dbb6cf726041c982e5029e8d743b6) - [TechTarget ジャパン「アサヒグループも襲った Qilin の手口とは 2025年国内被害22件」（2026年4月21日、Cisco Talos 調査）](https://techtarget.itmedia.co.jp/tt/news/2604/21/news01.html) - [NIST SP 800-207 "Zero Trust Architecture"（2020年8月）](https://csrc.nist.gov/pubs/sp/800/207/final)