NEC委託先サイバー攻撃：正規アカウント悪用による顧客システム暗号化と大阪大学など個人情報流出
nec-contractor-breach-2026 · 公表 2026-10-20
NECのシステム開発・保守委託先が9月下旬にサイバー攻撃を受け、窃取された正規アカウント認証情報で顧客システムへ不正アクセスされました。サーバファイルが暗号化され障害が発生し、NECと顧客、委託先が共有していたクラウドストレージから個人情報やシステム関連情報が漏えいしました。顧客3社のうち2社で個人情報漏えいが確認され、大阪大学では約7万7,851人分の情報が対象となりました。
確認範囲: 侵害を確認
侵入経路と確認できたこと
- 公表で確認
委託先が9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用されました。委託先の端末から正規アカウントを用いた不正アクセスが行われました。
[s1]9月下旬にサイバー攻撃を受け、窃取された正規アカウントの認証情報が悪用 - 公表で確認
顧客システム環境に不正アクセスされ、サーバ内のファイルが暗号化されシステムが利用できない状態となりました。NECと顧客、委託先間で共有していたクラウドストレージ内のファイルが漏えいし、顧客の個人情報やシステム関連情報が含まれていました。
- 公表で確認
大阪大学では在学生1万5,035人、卒業生5万9,014人、教職員3,802人の計7万7,851人分の個人情報が漏えいしました。NECが大学に報告していない協力会社と情報を共有するため、個人情報を含むファイルをクラウドストレージ上で共有していました。
[s3]計7万7,851人分 / 大学に報告していない協力会社
時系列
公表された対応
- 公表で確認
発覚後、NECは委託先に当社管理の端末を貸与するなど必要な対策を進めています。影響のあった複数の顧客には既に個別に連絡を行い、対応や全容の早期解明に注力しています。
[s1]委託先に当社管理の端末を貸与
原因・対策の仮説
未評価。この事例には編集者の仮説をまだ追加していません。安全性や原因の確定を示すものではありません。
当時の回避可能性を考える材料
運用・設定を点検
委託先の端末管理と認証情報保護が不十分でした。また、顧客への報告なしに協力会社と個人情報を共有していた管理体制にも問題がありました。関連ルールで委託先管理、認証情報保護、情報共有の承認プロセスを点検します。
未解明の点・AIの関与
確認した一次資料からは、攻撃者によるAI利用を判断できません。
顧客3社の名称（大阪大学を除く）、委託先の名称、具体的な侵入経路、使用されたCVE、漏えいした情報の全容は未確定です。
情報元
[s1] NEC · 一次情報
委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び ↗公開 2026-10-20 · 確認 2026-11-02
[s2] ITmedia NEWS · 二次情報
NECの委託先にサイバー攻撃 正規アカウント悪用し顧客のサーバ暗号化、個人情報の漏えいも ↗公開 2026-10-20 · 確認 2026-11-02
[s3] ITmedia NEWS · 二次情報
大阪大、学生など7.8万人の情報漏えい NECが無断で協力会社とデータ共有 ↗公開 2026-10-22 · 確認 2026-11-02