京都新聞、委託先「47CLUB」のランサム被害でプレゼント応募者190人分の個人情報が流出
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年11月28日（委託先「47CLUB」への攻撃） |
| 対象組織・業界 | 京都新聞社（新聞業）／委託先: 47CLUB |
| 攻撃手法 | ランサムウェア（攻撃グループ「SafePay」） |
| 情報源 | Security NEXT（2026年3月3日） |
2026年3月3日、京都新聞社は、プレゼント企画の応募情報の管理を委託していた47CLUBが2025年11月28日にランサムウェア攻撃を受け、応募者190件分の氏名・住所・電話番号が流出したと公表しました。
- 2024年2月・8月・11月: プレゼント企画実施（応募情報を47CLUBに委託）
- 2025年11月28日: 委託先「47CLUB」が攻撃グループ「SafePay」によるランサムウェア攻撃を受ける
- 2026年3月3日: 京都新聞社が情報流出を公表
委託先での被害発生から公表まで約3カ月を要しています。
47CLUBが受けた攻撃の初期侵入経路・攻撃手法の詳細は公表されていません。
考えられる原因（推測）: SafePayは2024〜2025年に活動が顕在化した比較的新しいランサムウェア集団で、公開サーバ・VPN機器の脆弱性悪用、認証情報の窃取による横展開などが報告されています。委託先事業者が被害を受けた場合、依頼元企業（本件では京都新聞社）は攻撃経路や侵入時刻を直接調査できず、委託先からの報告に依存します。ここで報告が遅れると、対象応募者への通知・注意喚起も遅れ、二次被害のリスクが増します。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 委託先が持つ「自社顧客の情報」の棚卸し
Section titled “1. 委託先が持つ「自社顧客の情報」の棚卸し”プレゼント応募のような一過性のキャンペーン情報は、社内では「終了済み」として意識から外れがちですが、委託先には保管され続けています。過去のキャンペーンごとに、どの委託先がどの情報をいつまで保管しているかの棚卸しが、事故時の一次連絡先リスト作成を左右します。
2. 委託契約の「侵害時通知」条項
Section titled “2. 委託契約の「侵害時通知」条項”委託先の侵害から3カ月経過して依頼元企業が公表する構図は珍しくありません。委託契約に「侵害検知後X時間以内の通知義務」「証跡提供の範囲」「原因・影響報告の粒度」を明示しておかないと、事後対応が全て後手になります。
3. 応募者への注意喚起の速度
Section titled “3. 応募者への注意喚起の速度”氏名・住所・電話番号が流出すると、その情報を悪用したなりすまし電話・郵送物・SMSが数日〜数週間後に届き始めます。流出公表と同時に、対象者への注意喚起（弊社を装う不審な連絡への警戒）を出せるかで、二次被害の規模が変わります。
ヤグラの視点 — 二次攻撃の連鎖を、時間差で断つ
Section titled “ヤグラの視点 — 二次攻撃の連鎖を、時間差で断つ”流出した情報は、直後には使われません。攻撃者はリストを整理し、他のリークデータと突き合わせ、数週間〜数カ月後に具体的な文面で狙い撃ちを始めます。「京都新聞のプレゼント企画にご応募いただいた〇〇様」と名指しでフィッシングメール・SMSが届く、というシナリオが典型です。
対応の重心は「流出を止める」から「連鎖を断つ」に移ります。対象応募者への注意喚起はもちろんですが、社内側でも「自社を装う攻撃が始まった兆候」を早期に検知する仕組みが必要です。従業員・顧客双方から「これは京都新聞から来た本物ですか？」という問い合わせが増えたときに、それを1件のインシデントとして扱えるかどうか。
ヤグラの PhishAI はメール・SMS・電話等の複数チャネルの不審報告を受け付け、AIが数分で影響範囲を分析します。連絡先データの流出後は、「同じ攻撃が別の顧客にも届いていないか」を即座に把握できる体制が二次被害の規模を左右します。
京都新聞社は対象応募者に書面で連絡を取り、不正利用への注意を呼びかけています。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 過去アーカイブとして記事化（キュレーション） |