コマツ、システム設定不備により登録ユーザー約13.9万名の情報が他ユーザーから閲覧可能に

項目	内容
発生日	2026年6月公表（閲覧可能だった期間は調査・公表内容を参照）
対象組織・業界	株式会社小松製作所（建設機械製造）
攻撃手法	攻撃ではなくシステム設定不備による情報露出
情報源	サイバーセキュリティ.com（2026年6月18日）、Security NEXT（2026年7月1日）

概要

小松製作所（コマツ）のシステムにおいて設定不備があり、登録ユーザー139,302名の個人情報が、他の登録ユーザーから閲覧できる状態になっていたことが公表されています。

本件は外部からの不正アクセス（攻撃）ではなく、システム設定の不備による情報露出です。

経緯

• 2026年6月18日: 設定不備により約13.9万名の情報が閲覧可能な状態にあったことが報道される
• 7月1日: 続報（登録ユーザー情報がユーザー間で閲覧可能だった件）が報道される

原因

システムの設定不備。技術的な詳細（どの設定が、いつから）は報道時点で記載されていません。

対策

組織が学ぶべきこと

1. 「攻撃されなくても漏えいする」——設定不備は静かなインシデント: 設定不備による露出は、攻撃の痕跡がないため発見が遅れがちです。Webサービス・クラウドの公開範囲・権限設定を定期的に監査するプロセスが必要です。

2. 設定変更は「新しい露出」を生む: サービスの機能追加や設定変更のたびに、意図しないアクセス経路が生まれる可能性があります。リリース時のセキュリティレビューと、変更後の継続的な監視をセットで運用することが重要です。

3. 「誰が閲覧したか」を特定できるか: 露出期間中に実際に情報が閲覧されたかどうかは、アクセスログが残っていて初めて特定できます。ログの取得・保全は、影響範囲の説明責任を果たすための前提条件です。

ヤグラの視点 — 攻撃者がいないインシデントこそ怖い

不正アクセスにはアラートが鳴りますが、設定不備には鳴りません。「正規の権限で、正規の画面から、見えてはいけないものが見える」——これは従来型の防御製品が最も苦手とする形のインシデントです。露出は攻撃を待たずに発生し、発見されるまで静かに続きます。設定変更のたびに新しい露出が生まれていないかを継続的に点検する運用と、万一の際に「誰が閲覧したか」を答えられるログの整備。この2つが、攻撃者のいないインシデントへの現実的な備えです。（関連: ヤグラ AI SOC）

今後の対応

続報・詳細公表を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-07-14	第一報を公開