モリテックスチール、システム開発の再委託先サーバがサイバー攻撃被害——取引先の連絡先情報が漏えいの可能性

項目	内容
発生日	2026年4月1日（公表）
対象組織・業界	モリテックスチール（特殊鋼の製造・販売）
攻撃手法	システム開発委託先の再委託先サーバへのサイバー攻撃
情報源	Security NEXT（2026年4月1日）

概要

特殊鋼を製造・販売するモリテックスチールは、システム開発を委託していた事業者のさらに再委託先のサーバがサイバー攻撃を受けたと公表しました。取引先事業者に関する個人情報が漏えいした可能性があり、委託先と連携して原因・影響範囲の調査および再発防止対策を進めています。

漏えいの可能性がある情報は、事業者名・担当者・部署・住所・電話番号などの連絡先情報に加え、受注情報の備考欄に含まれる可能性のある氏名など個人情報とされています。

経緯

• （調査中・具体の発生日は公表時点で明示なし）
• 委託先・再委託先と連携し、原因・影響範囲の調査を開始
• 2026年4月1日: 事案を公表

原因

再委託先サーバへのサイバー攻撃と説明されていますが、侵入経路・攻撃手法は公表時点で明示されておらず、調査中とされています。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. 再委託先のセキュリティ水準がガバナンス外だった可能性: 委託先のセキュリティ要件は契約で規定していても、再委託先まで同水準の要件が伝達・遵守されているかを発注元が把握していないケースが多くあります
2. 開発環境からの認証情報漏えい・データ流出: システム開発の現場では、本番相当データを開発環境にコピーする運用が残っており、テスト用サーバの保護が本番より弱いことが多く見られます
3. 公開資産の設定不備・脆弱性悪用: 開発ベンダの管理する開発・検証環境がインターネットに露出した設定になっていた場合、脆弱性悪用・認証突破の対象になりやすくなります

対策

組織が学ぶべきこと

1. 「委託先の委託先」までセキュリティ要件を伝達する仕組みを持つ: 契約書上で再委託を許容している場合、発注元のセキュリティ要件がどこまで伝達・遵守されているかを定期的に確認する必要があります。再委託先のセキュリティ状況が把握されていないまま重要データを預けるのは、ガバナンス上の空白地帯となります。

2. 開発環境で扱うデータの匿名化・仮名化: 本番データをそのまま開発環境で扱う運用は、開発ベンダ側のインシデントが発注元の情報漏えいに直結する構造を作ります。仮名化・匿名化・サンプルデータ化を契約要件に組み込むことが有効です。

3. 委託先経由の漏えいでも「発注元の説明責任」は残る: 直接侵害されていなくても、委託先を経由して自社の取引先情報が漏えいすれば、取引先への説明責任と対応は発注元が負います。委託先のインシデント対応能力と、発注元への迅速な報告体制を契約で担保する必要があります。

ヤグラの視点 — 攻撃面の拡張：委託先の委託先まで、守るべき境界に含める

サイバー攻撃の侵入経路は、自社の情報システムだけではなくなっています。SaaS・クラウド基盤・システム開発委託先・その再委託先・海外子会社・関連会社まで、自社のデータが流れる経路すべてが攻撃面です。モリテックスチールのケースは、「再委託先」という自社から2階層離れたレイヤーでの侵害が、自社の取引先情報漏えいとして跳ね返ってくる構造を典型的に示しています。守るべき境界は法人単位・契約単位ではなく、データがどこまで流れているかで定義されるべきで、平時からデータフローを可視化し、委託先・再委託先を含めたリスク評価と監視体制の設計が必要です。侵入から検知までの時間差が被害規模を決めます。人手で全ログを監視するのは現実的でなく、AIによる24時間365日の横断ログ監視と自動封じ込め（検知から初動まで平均数分）が現実解になりつつあります。→ ヤグラ AI SOC

今後の対応

漏えいが確認された取引先件数、侵入経路の詳細、委託先・再委託先での再発防止対策、モリテックスチール側の委託先管理見直しについて続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-04-01	第一報を掲載