リンドスポーツ、12年前に取引終了した元FAX送信委託先のランサム被害で顧客情報3,075件が流出——「取引を終えたのにデータは残っていた」構図
| 項目 | 内容 |
|---|---|
| 発生日 | 元委託先（日本テレネット）でのランサム被害を契機に発覚、2014年時点で預けたデータが対象 |
| 対象組織・業界 | 株式会社リンドスポーツ（スポーツ用品）／株式会社日本テレネット（FAX送信サービス） |
| 攻撃手法 | 元委託先へのランサムウェア型サイバー攻撃、長期保存されていた委託データが影響範囲に |
| 情報源 | リンドスポーツ 公式、ScanNetSecurity（リンドスポーツ・2026年7月27日）、ScanNetSecurity（日本テレネット・2026年7月27日） |
スポーツ用品を扱う株式会社リンドスポーツは、かつてFAX送信業務を委託していた株式会社日本テレネットがランサムウェア型のサイバー攻撃を受け、リンドスポーツが2014年時点で日本テレネットに預けていた顧客情報約3,075件が流出した可能性があると公表しました。
対象は所属団体名（学校・部活名など）、担当者氏名、FAX番号。2014年11月に日本テレネットとの取引を終了しており、リンドスポーツが公表した経緯によれば、取引終了から約12年が経過した2026年に「委託先で当時のデータが保管されたままだった」ことが発覚した形です。日本テレネット側の発表では、現時点でデータが外部に転送された痕跡は検出されていないとされています。
- 2014年6月: リンドスポーツから日本テレネットへの最後の顧客情報提供
- 2014年11月: 両社の取引終了
- 2026年（時期未公表）: 日本テレネットがランサムウェア型のサイバー攻撃を受ける
- 2026年7月13日: リンドスポーツが自社顧客情報の流出可能性を公表
- 2026年7月27日: 日本テレネット・リンドスポーツ双方の事案がScanNetSecurityで報道
侵害の直接原因は、元委託先である日本テレネットへのランサムウェア型攻撃です。リンドスポーツ側での認識・管理範囲の外で起きた事象ですが、「取引終了時に委託先で預けたデータの削除・返却を確認していなかった、あるいは記録が残っていなかった」ことが、12年前のデータが影響範囲に含まれることになった構造的な要因です。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、両社が公表したものではありません。
- 取引終了時のデータ削除確認プロセスが定型化されていなかった: 委託契約終了時に委託先が保持するデータの削除証明を取得する運用がなければ、預けたデータは委託先の内部で長期間保管されがちです
- 委託先側もデータの棚卸し優先度が低かった: FAX送信のような単発的な業務データは、取引終了後もバックアップ・アーカイブとして残存しやすく、明示的な削除ジョブがなければ「アクセスされないまま置かれ続ける」状態になります
- 12年後のランサム侵害でその塊が一括してリスクに変わった: 過去データが暗号化・窃取の対象に含まれることで、忘れられていた保管データが「今の情報漏えい事案」として顕在化します
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 委託終了時の「データ削除証明」を運用に組み込む: 委託契約書に削除条項を書くだけでは不十分で、委託先からの削除完了報告書・削除ログ・第三者確認のいずれかを取得して記録に残すプロセスが必要です。特にFAX送信・DM発送・キャンペーン抽選などの単発業務は、契約終了時のデータ処理が抜けやすい類型です。
2. 現行委託先だけでなく「過去の委託先」も棚卸し対象: サプライチェーンリスク評価の対象は往々にして現行の取引先に限られますが、本件のように過去の委託先で長期保存されていたデータが漏えい源になるケースがあります。「かつて何のデータを、どの相手に預けたか」を組織として記憶しておく仕組みが、通知義務の履行と再発防止の前提です。
3. 委託先の側でも「顧客ごとのデータ保持ポリシー」を明示する: 委託を受ける事業者は、取引終了後にデータをどう扱うか（返却・破棄・保管期間）を契約とシステムの両面で定義しないと、10年以上前の他社データが自社の侵害範囲に含まれるという事態を招きます。
ヤグラの視点 — 取引を終えても、データは残る
Section titled “ヤグラの視点 — 取引を終えても、データは残る”サプライチェーン侵害の議論は「今どこと繋がっているか」に集まりがちですが、本件は違います。攻撃を受けたのは12年前に取引を終えた元委託先で、そこに残っていた過去データが、今のリンドスポーツと3,075件の学校・部活担当者の名前を今日のニュースに引き戻しました。データは削除されない限りリスクを持ち続け、時間の経過は攻撃者にとっては保管期間の延長でしかありません。「かつて誰に何を預けたか」の棚卸しは、現行のセキュリティ対策と同じくらい実務的な意味を持ちます。委託契約終了時のデータ削除確認と、そのプロセス自体を組織の記憶として持ち続ける運用が、10年後の見えない負債を減らす唯一の手段です。
日本テレネット側の追加調査結果（データ転送痕跡・他社の元委託データへの影響有無）、リンドスポーツからの対象者への通知進捗を注視し、判明次第本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-07-28 | 第一報を公開（リンドスポーツ＋日本テレネット統合） |