MCリテールエナジー、外部委託先サーバに大量アクセス — 電力小売『まちエネ』申込停止

項目	内容
発生日	2026年1月30日（サーバ停止日）
対象組織・業界	株式会社MCリテールエナジー（電力小売『まちエネ』運営）
攻撃手法	外部委託先管理サーバへの通常とは異なる大量アクセス（DDoS/ランサム等の分類は非公表）
情報源	Security NEXT（2026年2月2日）

概要

電力小売事業を展開するMCリテールエナジーは、2026年2月2日、外部委託先が管理するサーバにおいて通常とは異なる大量のアクセスを検知したと公表しました。同サーバは1月30日に停止・隔離され、家庭向け・法人向け電力小売サービス『まちエネ』の申込および料金シミュレーションのサービスを停止しています。

個人情報については「攻撃を受けたサーバの内部に保存されておらず」と説明され、情報流出は現時点で確認されていません。影響範囲は調査中です。

経緯

• 2026年1月30日: 外部委託先管理サーバで通常とは異なる大量のアクセスを検知、サーバを停止・隔離
• 『まちエネ』の申込・料金シミュレーションを停止
• 2026年2月2日: 経緯を公表
• 影響を受けた範囲は調査中

原因

攻撃タイプ（DDoS攻撃、ブルートフォース、ランサム侵入前の偵察活動など）は公表されておらず、「通常とは異なる大量のアクセス」との表現に留まります。

考えられる原因（推測）: 電力小売事業者のWeb基盤への大量アクセス事案では、(a) DDoS攻撃によるサービス妨害、(b) ブルートフォース／パスワードリスト攻撃による認証情報探索、(c) 脆弱性スキャン活動、(d) API濫用（申込フォームへの自動投稿）、が典型的な可能性です。「委託先が管理するサーバ」であることから、事業者側が直接的な監視・防御を実施していたわけではなく、委託先の検知能力に依存する構造だった点も特徴です。

対策

組織が学ぶべきこと

1. 「委託先管理サーバ」の監視責任分界

Webサービスの構築・運用を外部委託する構成は一般的ですが、「異常検知は誰が」「初動対応の意思決定は誰が」「ログの保存・分析は誰が」を契約時に明確化していないと、インシデント発生時の対応速度が落ちます。本件は委託先の検知能力が機能した好例と見ることもできますが、逆に「事業者側が独立して監視・確認する仕組み」の有無で対応の粒度は変わってきます。

2. 電力小売事業のインフラ位置づけとSCS評価制度

電力小売事業は生活インフラであり、サービス停止は消費者影響を伴います。経済安全保障・サプライチェーンリスク管理の観点で、ログ取得・月次レビュー・予兆監視・相関分析体制・インシデント範囲明確化といった要件（例: SCS評価制度★3〜★4に相当）が今後さらに問われる領域です。

3. 「サーバ内に個人情報なし」の設計は攻撃面を狭める

本件では、大量アクセスを受けたサーバに個人情報が保存されていなかったことが、被害評価を明確にできた大きな要因です。「Webフロント層」「認証層」「顧客DB層」を分離し、公開サーバに個人情報を置かない設計は、大量アクセス系の攻撃に対して極めて有効です。

ヤグラの視点 — 説明責任のログ：委託先を含む監視体制を、規制はどう見るか

生活インフラ事業者（電力・ガス・水道・通信）は、事業継続性と個人情報保護の両面で規制監督下にあります。本件のように「委託先サーバへの攻撃で自社サービスが停止した」場面では、事後の説明において「委託先の監視体制はどうなっていたか」「事業者側でもログを保有し独立検証できたか」「同種攻撃が再現された場合の対応フローは合意されていたか」を問われます。

サプライチェーンリスク管理評価制度（SCS）や政府統一基準、あるいは資源エネルギー庁のガイドラインは、いずれも「委託先を含めた監視と説明責任」を求めています。委託先任せではなく、事業者側でもログを集約し、必要時に横断で相関分析できる体制の構築が現実解となりつつあります。ヤグラの AI SOC は、100+の連携先ログを集約するSIEM機能を含み、委託先・自社を横断した監視レイヤーを構築するための基盤として活用できます。

今後の対応

影響を受けた範囲の調査結果、および『まちエネ』サービス再開時期、同種の攻撃が他の新電力事業者で発生していないかを注視します。

更新履歴

日時	内容
2026-07-30	初稿公開（キュレーション）