モビリティプラットフォーム「MaaS Car」、コールセンター再委託先ランサム被害で会員情報流出可能性——2年分の対応記録が対象

項目	内容
発生日	2026年3月9日（システム障害検知）／2026年4月15日（公表）
対象組織・業界	モビリティプラットフォーム（カーシェアリング「MaaS Car」運営）／ユーピーアール（コールセンター委託先）／日本テレネット（再委託先）
攻撃手法	再委託先へのランサムウェア攻撃
情報源	Security NEXT（2026年4月15日）

概要

カーシェアリングサービス「MaaS Car」を運営するモビリティプラットフォームは、コールセンター業務の再委託先である日本テレネットのサーバがランサムウェア攻撃を受け、対応記録に含まれる会員情報が流出した可能性があると公表しました。

コールセンター業務はユーピーアールに委託されており、その再委託先での被害です。対象期間は2024年5月9日から2026年3月8日までの対応記録で、氏名・電話番号・対応履歴などが含まれます。当初は「委託業務データは被害サーバと異なるサーバで管理されており流出なし」と報告されていましたが、後の調査で流出の可能性が判明した経緯があります。具体的な対象会員数は特定作業中です。

経緯

• 2026年3月9日: モビリティプラットフォームがシステム障害を検知
• （不明）: 再委託先・日本テレネットへのランサムウェア攻撃発生
• 当初: 委託業務データは別サーバで管理されており流出なしと報告
• （不明）: 追加調査で流出可能性が判明
• 2026年4月15日: モビリティプラットフォームが事案を公表

原因

直接原因は再委託先である日本テレネットへのランサムウェア攻撃です。当初の「別サーバ管理・流出なし」報告から、後の調査で流出可能性が判明した経緯があり、影響範囲の確定に時間を要した構造がうかがえます。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、各社が公表したものではありません。

1. 委託→再委託の連鎖: モビリティプラットフォームがユーピーアールに委託し、ユーピーアールが日本テレネットに再委託する二段構造は、元請け側から見て「データがどのサーバに置かれているか」の可視性が下がりがちです
2. 当初報告のギャップ: 「別サーバ管理」の情報がどの時点の実態を反映していたかは公表されていませんが、バックアップやアーカイブが別サーバに残存していた場合、初動での「流出なし」報告と後の「流出可能性」の再評価が乖離する典型パターンです
3. 対応記録の2年分保持: コールセンターの対応履歴は通話品質・クレーム対応の証跡として長期保存されがちで、それがランサム被害時の影響範囲を拡大させました

対策

組織が学ぶべきこと

1. 「委託先の委託先」までを含めた保管データマップを持つ: 元請け企業は、再委託先で自社のどのデータがどのサーバに置かれているかを契約で明示させ、定期的に更新する仕組みが必要です。今回のように「別サーバで管理されていた」という説明が変わり得る前提で、実態把握の頻度を上げるべきです。

2. コールセンター対応記録の保存期間を業務要件から見直す: 2年分の対応履歴が影響範囲に含まれた事実は、保存期間の必要性を組織として再検証する機会です。品質改善に必要なのは統計データや直近の記録で、個人を特定できる形での長期保存が本当に必要かを問い直す価値があります。

3. 事案発生時の「影響範囲報告は段階的に見直す」を前提化: 初動での「流出なし」報告が後に覆るのは、決して珍しくありません。委託元・利用者・監督官庁への説明は、「現時点の判断」と「今後の追加報告予定」を明示する段階報告として組み立てることで、信頼を維持できます。

ヤグラの視点 — 攻撃面の拡張：委託→再委託の連鎖にセキュリティ責任は届いているか

サプライチェーン侵害は、いまや「取引先」だけでなく「取引先の取引先」に拡張しています。本件では元請けのモビリティプラットフォームが直接契約していないはずの再委託先・日本テレネットの侵害が、2年分・2社のブランド価値・数万件規模の可能性がある会員情報に波及しました。契約書の再委託承認欄にサインする瞬間には、そのデータがどのサーバに置かれ、いつ削除され、事案発生時に誰が誰に第一報を入れるかが決まっています。攻撃面の可視化——自社が直接統制できないネットワーク上のデータの存在——を、契約時点・年次棚卸し・事案対応時の3段階で捉える発想が、現代のサプライチェーンリスク管理の骨格になりつつあります。ログ監視の観点でも、委託先ネットワークへの接続点や共有アカウントの異常を継続的に監視することが、二次波及の早期検知につながります。→ ヤグラ AI SOC

今後の対応

対象会員数の確定、日本テレネット側の調査結果、他委託元への影響拡大の有無について続報を注視し、判明次第本記事に追記します。

更新履歴

日時	内容
2026-04-15	第一報を掲載