触媒メーカーのエヌ・イー ケムキャット、社内システムに不正アクセス — 退職者を含む従業員と派遣・業務委託先の情報が漏えいのおそれ

項目	内容
発生日	2026年5月28日に社内システムで不審な挙動を検知。侵入の開始時期は公表されていない
公表日	2026年8月20日（報道は2026年8月27日）。外部調査機関による調査は7月31日に完了
対象組織・業界	エヌ・イー ケムキャット株式会社（自動車用・化学用・燃料電池用の触媒製品、貴金属回収／製造）
影響件数	公表されていない。従業員・退職者は氏名・性別・生年月日・住所・メールアドレス・電話番号・人事情報、派遣社員・業務委託先は氏名・性別・所属会社、グループ会社社員は氏名・所属会社・役職（一部に連絡先情報）
攻撃手法	第三者が従業員のアカウントを不正利用して一部システムへアクセス。原因は同社の端末上でマルウェアが実行されたことにあると考えられるとされる
情報源	エヌ・イー ケムキャット「当社社内システムへの不正アクセスに関するお知らせとお詫び」（2026年8月20日）、サイバーセキュリティ.com（2026年8月27日）

概要

自動車用・化学用・燃料電池用の触媒製品と貴金属回収を手がけるエヌ・イー ケムキャット株式会社は2026年8月20日、社内システムへの外部からの不正アクセスにより、同社が取り扱う個人情報が漏えいした可能性があると公表しました。

2026年5月28日、社内システムで不審な挙動を検知して調査を開始し、第三者が従業員のアカウントを不正利用して一部システムへアクセスしていたことを確認しています。原因については、同社の端末上でマルウェアが実行されたことにあると考えられると報告されています。

漏えいの可能性がある情報は、対象の区分ごとに異なります。従業員および退職者については氏名、性別、生年月日、住所、メールアドレス、電話番号、人事情報。派遣社員および業務委託先については氏名、性別、所属会社。グループ会社社員については氏名、所属会社、役職で、一部に連絡先情報が含まれます。件数は公表されていません。

外部調査機関による調査は7月31日に完了しています。同社はパスワードの変更、アクセス制御の強化を実施し、警察および個人情報保護委員会へ報告しました。あわせてセキュリティ対策の強化を進めるとしています。

経緯

• 侵入の開始時期: 公表されていない
• 2026年5月28日: 社内システムで不審な挙動を検知し、調査を開始
• 調査: 第三者が従業員のアカウントを不正利用して一部システムへアクセスしていたことを確認。原因は端末上でのマルウェアの実行にあると考えられると報告
• 対応: パスワードの変更、アクセス制御の強化。警察および個人情報保護委員会へ報告
• 2026年7月31日: 外部調査機関による調査が完了
• 2026年8月20日: エヌ・イー ケムキャット株式会社が公表
• 2026年8月27日: 報道により広く伝えられる

原因

判明している事実: 第三者が従業員のアカウントを不正利用して社内システムへアクセスしたこと、およびその原因が同社の端末上でマルウェアが実行されたことにあると考えられることです。マルウェアが持ち込まれた経路、侵入の開始時期、漏えいした件数は、いずれも公表されていません。

考えられる原因（推測）

同社は原因を「端末上でマルウェアが実行された」と説明しています。端末で動いたマルウェアが認証情報を取り出し、それを使って社内システムへ入られた、という順序が読み取れます。この形だと、システム側から見れば正規の従業員がログインしているので、認証の失敗も警告も残りません。

対象の区分に退職者が含まれている点は目を引きます。氏名や住所に加えて人事情報まで挙げられており、在職中の記録が退職後も同じシステムに残っていたことになります。人事の情報は保管が義務づけられている部分もあるため、残っていること自体が誤りとは言えません。ただし、どこに何年分置くかを決めていたかどうかは、公表内容からは分かりません。

派遣社員・業務委託先・グループ会社社員まで対象が広がっているのも、この事案の特徴です。自社が雇用している人だけでなく、その場所で働くすべての人の情報が同じシステムに集まっていたということになります。

対策

組織が学ぶべきこと

1. 個人情報の棚卸しに、従業員と退職者の情報を入れる

今回の対象は顧客ではなく、そこで働く人たちの情報でした。個人情報の保管場所を数えるとき、顧客データベースは必ず対象に入りますが、人事システムや退職者の記録は情報システム部門の視界から外れがちです。管理する部署が違うためで、悪意があるわけではありません。誰の情報がどこに何年分あるのかを、雇用の形態ごとに答えられるようにしておく必要があります。

2. 派遣社員や業務委託先の情報も、自社が説明する対象になる

対象には派遣社員、業務委託先、グループ会社社員が含まれています。雇用契約の相手ではなくても、自社のシステムに情報を置いているなら、漏えいしたときに説明するのは自社です。名簿として持っている理由（入退館の管理、業務の割り当て、支払いの処理）ごとに、必要な項目だけを持つ形に絞れます。

3. マルウェアが実行できる範囲を、端末の設定で狭める

起点は端末上でのマルウェアの実行でした。利用者がうっかり実行してしまう場面は減らせても、ゼロにはできません。そのうえで効くのは、実行そのものを制限する側の設定です。日常業務を管理者権限で行わない、実行を許可するプログラムを一覧で管理する、メールの添付ファイルやダウンロードしたファイルのマクロを既定で無効にする。どれも導入済みの機能で設定できる範囲にあり、実行された場合に届く先を狭めます。

ヤグラの視点 — 発見までの時間：正規のログインとして記録された侵入を、どこで見つけるか

この事案の連鎖は3つの段でできています。端末でマルウェアが実行され、そこから認証情報が渡り、正規の従業員アカウントで社内システムに入られた。後半の段が厄介なのは、攻撃者が本物の認証情報を持っているからです。ログインは成功します。パスワードの警告も、失敗の記録も出ません。防御の側から見れば、その従業員が普通に出社して普通にログインしたのと区別がつきません。ウイルスを使わずIDを奪って動くこの形は、ウイルス対策ソフトの守備範囲にも入りません。

それでも同社は5月28日に「不審な挙動」として拾っています。認証が通ったかどうかではなく、そのアカウントがその後どう動いたかを見たということです。この形の攻撃を見つけるには、認証の記録、端末の記録、ファイルサーバの参照記録、外向きの通信を横断して並べる必要があります。どれか一つだけを見ていても、そこに映っているのは正常なログインだけです。

そして、この横断を人手で毎日続けるのには無理があります。24時間分のログをすべて読む人員は置けないので、実際にはアラートが上がったものを業務時間内に順番に確認する形になります。侵入から検知までの時間差が開くのは、担当者の注意力ではなくこの構造から来ています。横断したログをAIが常時見て、検知から初動までを数時間〜数日ではなく数分の単位に引き下げる。人手の限界を前提に置いたこの組み方が、現実解になりつつあります（→ ヤグラ AI SOC）。

今後の対応

• 漏えいした件数の確定
• マルウェアが持ち込まれた経路と、侵入の開始時期
• 対象者への個別連絡の範囲
• 再発防止策の具体的な内容

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-28	2026年8月20日の公表内容および2026年8月27日の報道をもとに記事を公開