中部電力・中部電力パワーグリッド・中部電力ミライズ、再委託先へのサイバー攻撃で帳票発行が停止

項目	内容
発生日	2026年3月12日以降
対象組織・業界	中部電力／中部電力パワーグリッド／中部電力ミライズ（電力事業）
攻撃手法	帳票業務の再委託先へのサイバー攻撃
情報源	Security NEXT（2026年3月16日）

概要

中部電力、中部電力パワーグリッド、中部電力ミライズの3社は、帳票発行・発送業務を委託している事業者の再委託先がサイバー攻撃を受けたおそれがあり、複数の帳票発行業務が停止したと公表しました。

停止対象は、請求書、口座振替通知、振込依頼書、振込明細、使用量通知、受給電力量通知など。委託先事業者は再委託先とのネットワーク接続を遮断し、被害の全容と情報流出の有無を調査しています。

経緯

• 2026年3月12日以降: 再委託先においてサイバー攻撃を受けたおそれを確認
• その後: 委託先事業者が再委託先とのネットワーク接続を遮断
• 2026年3月16日: Security NEXTが公表を報道
• 以降: 被害全容と情報流出有無を調査中

原因

再委託先で発生したサイバー攻撃の初期侵入経路・攻撃手法・攻撃者の身元は公表されていません。中部電力3社側は、帳票発行・発送業務を委託している事業者からの報告を受け、その事業者の再委託先が攻撃対象となった構造であると説明しています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、各社が公表したものではありません。

1. 再委託先の側で保有する印刷・封入用データが影響範囲になり得る: 請求書・口座振替通知・使用量通知といった帳票発行業務では、再委託先が印刷・封入のために顧客の氏名・住所・契約情報を含むデータを保持していた可能性があり、この範囲が影響対象となり得ます
2. 業務の連鎖遮断がインフラサービス継続に波及する構造: 電力事業のように大量の顧客への定期的な帳票発行が業務プロセスに組み込まれている業種では、再委託先の一段の停止が、契約者への通知・請求サイクル全体を止め得ます
3. 委託→再委託の連鎖上の可視性の限界: 委託元から見て、再委託先のシステム構成・アクセス経路・保有データ範囲は、契約上の情報だけでは平時に完全には把握しづらい構造にあります。この可視性の限界が、被害発生時の一次判断を難しくします

対策

組織が学ぶべきこと

1. 「再委託先」までを含めた資産マップを平時に持つ: 委託先の名称と契約範囲だけでなく、その先の再委託先がどの業務・どのデータを扱っているかを、可能な限り具体的な「サーバ・保管場所・保管期間」単位で把握しておく必要があります。委託契約の見直しタイミングは、再委託の実態を確認する数少ない機会です。

2. 影響の一次判断に必要な情報の合意フォーマットを事前に決める: 「再委託先が攻撃を受けたおそれ」段階で、委託元がどのような情報（対象データ範囲・時刻・遮断状況・影響業務）を何時間以内に受け取れるかを、契約と運用の両方で明文化しておくことが、公表判断の速さと精度を決めます。

3. 「業務そのものの停止」が顧客への到達点まで波及するリスクを可視化する: インフラ系の定期発行帳票のように、業務停止がそのまま契約者への通知停止・料金請求サイクルの停止に波及するプロセスは、代替経路・遅延許容の判断基準を平時に整えておくことが実務上重要です。

ヤグラの視点 — 攻撃面は、契約書の外側にも広がっている

サプライチェーンリスク評価制度をはじめ、監督官庁は「委託先だけでなく、その再委託先までを含めたリスク管理」を求めるようになっています。本件のように業務そのものを担う再委託先が攻撃を受けた場合、委託元は「自社は直接攻撃されていない」と説明することが最終的な説明責任にはならない構造にあります。攻撃者は、自社の境界防御を突破できない場合、契約と業務のつながりの中で監視・保護が薄い場所を必ず狙います。委託・再委託を含めた業務系ネットワークのアクセスログ・データ授受の記録を、AIによる横断監視で取得しておくことが、影響範囲を素早く言い切るための平時の投資になります。→ ヤグラ AI SOC

今後の対応

再委託先の攻撃詳細、情報流出の有無、業務再開時期、他委託元事業者への影響波及について続報が出れば、本記事に追記します。

更新履歴

日時	内容
2026-07-29	初報を公開（Security NEXT 2026-03-16報道ベース）