北海道協同組合通信社、委託先クラウドに不正アクセス — 顧客情報が漏えいの可能性

項目	内容
発生日	2026年7月15日（不正アクセス発生日）
対象組織・業界	株式会社北海道協同組合通信社（酪農・畜産関連の通信社）
攻撃手法	委託先クラウドストレージへの不正アクセス（サプライチェーン）
情報源	サイバーセキュリティ.com（2026年7月28日）

概要

株式会社北海道協同組合通信社は2026年7月23日、販売管理システムの構築・保守を委託する事業者が利用していたクラウドストレージに第三者から不正アクセスがあり、顧客の個人情報が漏えいした可能性があることを公表しました。漏えい対象は氏名・住所・電話番号で、クレジットカード情報・銀行口座情報・マイナンバーは対象外です。

経緯

• 2026年7月15日: クラウドストレージへの不正アクセスが発生
• 2026年7月16日: 委託先から同社へ報告
• 2026年7月23日: 公表
• 委託先が販売管理システム再構築に伴うデータ移行時に、顧客情報を共有フォルダへ一時的に保管していたところ、不正アクセスが発生
• 対応: 共有フォルダアクセス停止、外部セキュリティ専門会社による調査実施、対象者への個別連絡予定、委託先の管理体制見直し

原因

同社は「クラウドストレージの不適切な管理体制」と説明しています。共有フォルダのアクセス権限設定・認証設定・公開範囲の詳細は公表されていません。

考えられる原因（推測）: 委託先が「一時的に保管」していた共有フォルダに対する不正アクセスでは、(a) 認証情報（アカウント/パスワード）の窃取・使い回し、(b) 共有フォルダのアクセス権限設定の不備（公開範囲が広すぎる・誰でもリンクで閲覧可能な設定）、(c) クラウドストレージサービスの設定不備（IP制限なし・MFA未設定）、が典型です。「データ移行の一時的な保管」は運用上の暫定措置になりがちで、恒久システムに比べてアクセス制御が緩くなるリスクが構造的に存在します。

対策

組織が学ぶべきこと

1. 「委託先経由の侵害」は自社の外で起きる

本件では、不正アクセスの標的は自社ではなく販売管理システム構築の委託先でした。しかし漏えいするのは自社の顧客情報であり、対応責任も自社が負います。委託契約時のセキュリティ要件・監査権限・インシデント時の通報義務の設計が、実際のリスク低減に直結します。

2. 「一時的な保管」の危険性

本件で不正アクセスを受けたのは、システム再構築のためのデータ移行中に一時的に共有フォルダへ保管されていた顧客情報です。恒久システムと違い、一時保管の環境はアクセス権限・監視・暗号化のいずれも緩くなりがちで、攻撃者にとっては格好の標的です。データ移行・システム移行時の一時保管ルール（保管期間の制限・アクセス制御・暗号化・移行完了後の即時削除）が問われます。

3. 委託先のクラウドストレージ使用の可視化

委託先がどのクラウドストレージサービスを、どのアカウントで、どの範囲の権限で使っているかを、委託元が把握できているケースは多くありません。契約時に使用サービス・アカウント・データ取扱範囲を明示させることが、事後の説明責任を果たすための最低ラインです。

ヤグラの視点 — 攻撃面の拡張：委託先クラウドという「見えない攻撃面」

近年、自社のシステムは相応の防御が固められている一方で、業務委託先・パートナー企業のシステム経由の侵害が急増しています。委託先は自社の統制下にはなく、監査・監視・アクセス制御の水準が組織ごとに異なるため、攻撃者にとっては「守りの弱い経路」として狙われやすい構造があります。

さらに厄介なのは、委託先がどのクラウドサービス・どの共有フォルダを使っているかを、委託元が把握しきれていないことです。契約書上は「顧客情報を扱う」と書いてあっても、実運用でどんな一時保管があるか、どんな移行作業でどこにデータが置かれるかは見えないままです。ヤグラの AI SOC は、境界機器・SaaS・クラウドストレージ等のログを含む横断的なログ監視の基盤を提供し、「見えない攻撃面」を可視化する方向のアプローチを支えます。委託先を含めた攻撃面全体の可視化と継続監視が、サプライチェーンリスク時代の現実解になりつつあります。

今後の対応

同社は外部専門会社による調査を継続しており、実際の漏えい件数・対象者の確定と、対象者への個別連絡が進む見込みです。委託先の管理体制見直しの内容も注視点です。

更新履歴

日時	内容
2026-08-02	初稿公開（アーカイブキュレーション）