NECネクサソリューションズ、委託先ジェイマックソフトで不正アクセス — 個人情報流出の痕跡は未確認

2025/12/22 情報収集中重大情報通信・IT #不正アクセス #サプライチェーン

項目	内容
発生日	非公表（2025年12月19日時点で判明）
対象組織・業界	NECネクサソリューションズ（IT／システム開発・保守）
攻撃手法	委託先ファイルサーバへの不正アクセス（詳細な侵入経路は非公表）
情報源	Security NEXT（2025年12月22日）

概要

NECネクサソリューションズは、2025年12月22日、開発・保守業務の委託先であるジェイマックソフトが運用するファイルサーバが不正アクセスを受けたことを公表しました。同社の説明では、調査の結果「顧客の個人情報が流出したことを示す痕跡などは確認されていない」とされ、NECネクサ側の開発環境への侵害も否定しています。

侵害の直接的な被害地点は委託先のインフラですが、NECネクサとしての公表責任が生じたのは、委託先が同社の業務データを扱う立場にあったためです。委託先で発生したインシデントが、委託元の顧客への説明責任として現れる、サプライチェーン起点の典型的な事例です。

経緯

2025年12月19日時点: 委託先ジェイマックソフトのファイルサーバへの不正アクセスが判明
ジェイマックソフト側で全システムを外部から切断
警察に相談、NECグループのセキュリティ専門部門が侵害内容・情報流出の有無を調査
2025年12月22日: NECネクサソリューションズが公表。顧客個人情報流出の痕跡は未確認と説明

原因

侵入経路・攻撃手法の詳細は公表されていません。委託先のファイルサーバがどのような形で外部からアクセス可能な状態にあったか、認証情報の窃取だったのか、公開ポート・脆弱性経由だったのかも明らかにされていません。

考えられる原因（推測）: 開発・保守委託先で運用されるファイルサーバは、(a) 開発資産（ソースコード・設計書）を委託元と共有するための外部アクセス経路、(b) 顧客データを一時的にコピーする作業領域、(c) 委託先の別顧客向け業務環境との論理分離、が課題になります。「不正アクセスを受けた」という表現から、外部からの明確な侵害行為があったことは確定していますが、委託先が自社セキュリティを委託元と同水準で運用できていたかが根本論点になります。

対策

組織が学ぶべきこと

1. 委託先の攻撃面は委託元の攻撃面

本件は、NECネクサ自体は直接侵害されていないにもかかわらず、委託元として公表責任を負っています。委託先が扱うのが「委託元の業務データ」である以上、委託先のセキュリティ体制は委託元の攻撃面の一部です。委託契約時のセキュリティ要件（アクセス制御・監査ログ・インシデント通報義務）を「契約書上の言及」で終わらせず、実効的な運用状況を定期的に確認する仕組みが問われます。

2. 「痕跡が確認されていない」の意味

「顧客個人情報流出の痕跡は確認されていない」という説明は、二通りの解釈が可能です。(a) 流出したという証拠が見つからない（ログが不完全な可能性）、(b) 十分なログを見て流出がなかったと確認した — 前者と後者では説明責任の重みが全く違います。委託先で発生したインシデントの場合、委託元は委託先のログ収集範囲・保存期間・分析能力を把握していないと、この主張の妥当性を検証できません。

3. 委託先切り分けの前提条件

NECネクサは「自社の開発環境への侵害は否定」と説明しています。この切り分けが可能であるためには、委託先と委託元のネットワーク・認証基盤が論理的に分離されていること、両者間の通信ログが独立して残っていること、が前提です。切り分けを平時から設計しておくことが、事後の被害範囲確定を加速させます。

ヤグラの視点 — 攻撃面の拡張、委託先という「外側の内側」

自社が直接侵害されていなくても、業務データを扱う委託先が侵害されれば、公表責任と顧客への説明責任は委託元に来ます。本件のようなサプライチェーン経由の侵害は、委託先のセキュリティ運用状況を「契約」でしか把握していない場合、対応の全てが後手になります。委託先で何が起きたか、委託元のデータがどのサーバに置かれていたか、外部からのアクセスがどのタイミングでどこまで到達したかを、委託元側から追跡できる仕組みが必要です。

契約先・委託先・海外拠点にまたがる侵害では、認証ログ・ファイルアクセスログ・ネットワークフローを組織横断で相関できないと、影響範囲は確定しません。ヤグラの AI SOC は、委託先を含む100+の連携先ログを集約・相関し、「委託先で起きたインシデントが、委託元のどのデータ・どのシステムに影響したか」を短時間で説明可能な状態にする基盤を提供します。

今後の対応

NECグループのセキュリティ専門部門が調査を継続しており、情報流出の有無・侵入経路の続報が予想されます。委託先で発生した侵害では、調査主体が委託先側になるため、続報の速度・詳細度は委託先の調査能力に依存します。

更新履歴

日時	内容
2026-07-30	初稿公開（2025年12月22日公表・アーカイブ整理）