#サプライチェーン
サプライチェーン に該当するインシデントは 50件、業種は 11業種に分布しています。
2025年日本国際博覧会協会、再委託先がフィッシング被害 — 協会関係者と万博出演者の情報がメールごと流出のおそれ
続報を注視中中程度大阪・関西万博を運営した2025年日本国際博覧会協会は2026年8月25日、催事施設の管理運営などを委託した先の再委託先がフィッシング被害に遭い、協会関係者や万博出演者の個人情報が外部へ流出した可能性があると公表した。2026年5月13日に再委託先の従業員がフィッシング攻撃を受け、Microsoft 365のアカウントが不正アクセスされたもので、送受信したメールと添付ファイルのデータが対象。出演者については氏名・肩書・写真に加えてスピーチ原稿や台本も含まれる。件数は公表されていない。
株式会社ウェブライフ、OEM向けホームページ作成サービスのアクセス制御に不備 — 最大7,425名分が閲覧・改ざんされた可能性
続報を注視中中程度CMSやShopifyを中心としたECのSaaS事業を手がける株式会社ウェブライフは2026年8月18日、OEM向けホームページ作成サービスが不正アクセスを受け、最大7,425名分の顧客情報が漏えいした可能性があると公表した。原因はOEMパートナーの顧客管理システムのアクセス制御部分に不備があったこと。2026年8月14日から17日にかけて発生し、17日に自社の監視で異常なアクセスを検知している。対象者への連絡はOEMパートナー経由で行うとしており、自社サービス「BiNDup」は対象外。
医療法人豊和会 新札幌豊和会病院、破砕処分を委託した電子カルテのハードディスクがネットオークションで販売 — 患者の診療情報が漏えい
情報収集中重大医療法人豊和会 新札幌豊和会病院は2026年7月30日、電子カルテシステムの更新にともない入れ替えた旧パソコンのハードディスクについて、外部の産業廃棄物業者へ破砕処分を委託したものの適切に破砕されず、取り外されたハードディスクが他のパソコン部品に組み込まれたうえでインターネットオークションを通じて販売されていたと公表した。患者の氏名・生年月日・診療に関する情報等が対象で、件数は公表されていない。
株式会社ジェイアール東海髙島屋、アルバイト応募受付サーバへの不正アクセス — 追跡調査で対象が1,338人分から7,582人分に拡大
続報を注視中中程度株式会社ジェイアール東海髙島屋は2026年5月8日、アルバイトスタッフ管理システムに使うアルバイト応募受付用サーバへの不正アクセスを公表した。当初は過去5年分・最大1,338人分のアルバイトスタッフ情報が対象とされたが、7月24日の追跡調査結果では、同サーバに2015年9月13日以降の操作ログが残っていたことが判明し、対象は7,582人分に拡大した。外部への流出を示す痕跡は確認されていない。
Eストアー、EC構築サービス「ショップサーブ」への不正アクセスで最大約885万件が漏えい — 利用店舗側のログインID・振込先口座も対象
情報収集中深刻株式会社Eストアーは2026年8月1日、ECサイト構築・運営支援サービス「ショップサーブ」のサーバーが外部から不正アクセスを受け、購入者情報が外部へ送信されたと公表。翌8月2日の第2報で対象期間は2026年5月21日〜8月1日に広がり、件数は最大で延べ8,853,839件、会員ID・パスワード、クレジットカード情報の一部に加え、利用店舗側の管理画面・FTPのログインID／パスワードや振込先口座情報も漏えい対象に含まれることが判明した。
広島県水道広域連合企業団、委託検針員が水道使用者440件分の検針依頼リストを走行中に落下 — 住民が拾得し回収
全容判明中程度広島県水道広域連合企業団が2026年8月3日、検針業務を委託している検針員が2026年7月7日、水道使用者の氏名・設置場所・水道使用量など440件を記載した検針依頼リストをバイク走行中に落下させたと公表。住民が路上で拾得し駐在所へ投函、警察官経由で回収された。
北海道協同組合通信社、委託先クラウドに不正アクセス — 顧客情報が漏えいの可能性
情報収集中中程度北海道協同組合通信社が、販売管理システム構築の委託先が利用するクラウドストレージへの不正アクセスで、顧客の氏名・住所・電話番号が漏えいした可能性があると公表。
リンドスポーツ、12年前に取引終了した元FAX送信委託先のランサム被害で顧客情報3,075件が流出——「取引を終えたのにデータは残っていた」構図
続報を注視中中程度株式会社リンドスポーツが2014年以前にFAX送信を委託していた日本テレネットがランサムウェア攻撃を受け、当時預けたままだった顧客情報3,075件（所属団体名・担当者氏名・FAX番号）が流出した可能性。取引終了から12年後の通知。
福岡大 委託先「ノストラム」の就活対策サイトがランサム被害、学生最大3.3万人分の情報流出可能性
情報収集中重大福岡大が委託していた就職活動対策サイトの運営会社「ノストラム」でランサム被害が発生。2023年度〜2026年度在籍者の学籍番号・生年月日・模擬試験結果など最大3万3,668人分、うち800人については氏名も含めて流出した可能性。
フラウ・インターナショナル、メール問い合わせ管理の委託先が不正アクセス被害、顧客情報漏えいの可能性
情報収集中中程度フラウ・インターナショナルが利用するメール問い合わせ対応管理の外部サービス運営会社で、第三者による不正アクセスが確認され、顧客の氏名・メールアドレス・電話番号が漏えいした可能性。
ミカサ、廃棄PCに顧客情報が残存し第三者が取得 — 最大4298人分、10年前のオンラインショップ購入者
続報を注視中中程度スポーツ用品・工業用ゴム製品メーカーのミカサが2026年6月19日、廃棄事業者に依頼したパソコンからデータが削除されずに流通し、第三者が取得していたと公表。2013年9月〜2016年3月のオンラインショップ購入者最大4298人分の個人情報が残存していた。
浦添市の委託先従業員がPCを盗難、計83台が所在不明・うち3台に住民情報が保存
全容判明中程度沖縄県浦添市で、業務委託先のヘルプデスク担当従業員が施錠された部屋から業務用ノートPCを盗み逮捕。全庁調査の結果、計83台が所在不明、当初「無し」とされた被害端末のうち3台に住民情報が保存されていたことが判明。
大気社、インドネシアグループ会社の従業員メールアカウントが不正アクセス——踏み台に不審メール送信
情報収集中軽微空調設備工事の大気社は、インドネシアのグループ会社「Taikisha Indonesia Engineering」で従業員1人のメールアカウントが不正アクセスを受け、同国内の一部宛先に不審メールが送信されたと公表。原因と影響範囲を調査中。
大阪市、委託事業者がメール誤送信 — 児童の保護者10人分のメールアドレスがCCで相互閲覧可能に
全容判明軽微大阪市が2026年6月2日、「児童の安全確保と居場所づくり事業」の委託事業者が児童の保護者10人へ事務連絡メールを送信した際、送信先を誤ってCCに設定し、保護者のメールアドレス10人分が受信者間で閲覧できる状態になっていたと公表。
東邦大学医療センター大森病院、委託業者がペースメーカプログラマを紛失 — 患者の設定・測定データや病名が保存
情報収集中重大東邦大学医療センター大森病院は、業務委託先においてペースメーカプログラマが所在不明になったと公表。機器には患者の氏名・生年月日・診察券番号・ペースメーカ設定および測定データ・病名が保存されていた可能性があり、対象患者はデータ保存期間を踏まえて特定中。
横浜DeNAベイスターズ、クラウドファンディング支援者情報が流出のおそれ — CAMPFIREのGitHubアカウント侵害の影響が球団の企画に波及
情報収集中中程度横浜DeNAベイスターズは、CAMPFIREで実施した「日本一優勝パレード2024」プロジェクトの支援者情報が流出した可能性があると公表。CAMPFIREのシステム管理用GitHubアカウントへの不正アクセスに起因するもので、氏名・住所・電話番号・メールアドレス・口座情報などが対象。
宮城県、みやぎポイント事業の店舗向けメールで1通だけ宛先設定を誤る — 3632店中100店舗のアドレスが露出
全容判明中程度宮城県は、みやぎポイント事業の参加店舗3632店へ案内メールを100件ずつBCCで分割送信していたところ、1通で誤って送信先を宛先に設定したと公表。100店舗のメールアドレスが受信者間で閲覧できる状態になった。送信は業務委託先が実施し、数分後に気づいた。
北広島市教育委員会、修学旅行の資料を委託先添乗員が電車内で紛失 — 生徒151人の氏名とアレルギー・宗教上の配慮事項
続報を注視中中程度北海道北広島市教育委員会は2026年5月14日、市立中学校の修学旅行で旅行業務を委託していた東武トップツアーズの添乗員が、移動中の電車内で旅行資料を紛失したと公表。生徒151人と引率教員12人の氏名に加え、生徒4人の食物アレルギーや宗教上の理由による食材への配慮事項が記載されていた。
ダンダダン、フランチャイズ店舗の従業員がアルバイト応募者の履歴書をSNSに投稿 — 投稿は削除、本人に直接謝罪
全容判明軽微「肉汁餃子のダンダダン」を運営する株式会社ダンダダンは2026年5月2日、フランチャイズ店舗の従業員による不適切なSNS投稿で、アルバイト応募者の履歴書に含まれる個人情報が外部に公開されたと公表。投稿は削除済みで、二次被害は確認されていない。
マツダ病院、画像診断の委託先クラウドで患者626人分が閲覧可能に — 露出は約1年8カ月、病院への報告はその1年2カ月後
全容判明中程度マツダ病院は2026年5月11日、画像診断業務の委託事業者がクラウドに保存した患者管理データのファイル共有設定に不備があり、626人分の氏名・患者IDなどが第三者から閲覧できる状態だったと公表。2023年4月から2024年12月まで露出が続き、委託先が修正した後、病院に報告が届いたのは2026年2月だった。
名古屋市、ボランティア登録システムに開発時の動作確認ページが残存 — 登録者25人のメールアドレスが閲覧可能に
全容判明軽微名古屋市は「なごやウェルカムサポーター事業」の委託先が構築したシステムに、開発時に設置した動作確認用ページが残存していたと公表。ボランティア登録者がログイン状態で特定のURLにアクセスすると、他の登録者のメールアドレス25人分を閲覧できる状態だった。
AGS、再委託先（YCC情報システム）へのランサム攻撃で情報流出のおそれ——AGS本体は被害なし、後の調査で漏えい痕跡は確認されず
続報を注視中重大システム開発会社AGSの受託業務の再委託先である株式会社YCC情報システムがランサムウェア攻撃を受け、外部への情報流出のおそれを公表。AGS本体は直接被害を受けておらず、影響顧客に個別連絡。後日の調査で情報漏えい痕跡は確認されず。
GMOあおぞらネット銀行、委託先が無断流用したファイルから顧客情報1820件が流出 — 非表示ワークシートに残存
全容判明中程度事務業務の委託先が同行のデータ様式ファイルを無断で他社向け業務に流用し、削除したはずの顧客情報が非表示ワークシートに残存。口座名義・口座番号・残高など1820件が他社へ渡った。
モビリティプラットフォーム「MaaS Car」、コールセンター再委託先ランサム被害で会員情報流出可能性——2年分の対応記録が対象
情報収集中重大カーシェアリング「MaaS Car」を運営するモビリティプラットフォームは、コールセンター業務再委託先の日本テレネットがランサム被害を受け、2024年5月から2026年3月までの対応記録に含まれる会員情報が流出した可能性があると公表。
名古屋市、委託先が指導者21人分の研修受講状況を類似名の別団体へ誤送信 — 発覚は誤送信先からの連絡
全容判明軽微「なごや土日クラブ活動ポータル」の委託先事業者が、研修未受講の通知メールを名称が似た別団体の代表者へ送信。指導者21人分の氏名と研修受講状況が含まれ、発覚は3日後の受信者からの連絡だった。
三精テクノロジーズ、カナダ子会社FORRECにサイバー攻撃——グループ全体・取引先への影響を調査中
情報収集中重大舞台設備・遊園地アトラクションを手がける三精テクノロジーズは、カナダ子会社FORRECがサイバー攻撃を受けたと公表。日本時間2026年4月3日に検知し、情報流出の有無を含む被害状況、グループ全体および取引先への影響を確認している。
YCC情報システム、ファイルサーバにサイバー攻撃——山形新聞購読者のクレジットカード決済情報流出の可能性
情報収集中重大山形新聞社グループのシステムインテグレーターYCC情報システムは、ファイルサーバがサイバー攻撃を受けたと公表。山形新聞購読者のうちクレジットカード決済利用者について、氏名・住所・電話番号・決済額などが流出した可能性があり、影響範囲と復旧作業を進めている。
モリテックスチール、システム開発の再委託先サーバがサイバー攻撃被害——取引先の連絡先情報が漏えいの可能性
情報収集中重大特殊鋼を製造・販売するモリテックスチールは、システム開発を委託していた事業者の再委託先サーバがサイバー攻撃を受けたと公表。取引先事業者の名称・担当者名・部署・住所・電話番号などの連絡先情報と、受注情報備考欄に含まれ得る個人情報が対象。委託先と連携し原因調査と再発防止を進めている。
ジョイフル、委託先ザイナスへのサイバー攻撃で2万3585人分の個人情報流出可能性——給与口座・所得・既往歴まで含む
続報を注視中重大ファミリーレストランのジョイフルは業務委託先の株式会社ザイナスがサイバー攻撃を受け、ザイナスが再委託先へのデータ受け渡し用に準備していたサーバから約2万3585人分の個人情報が流出した可能性を公表した。
マツダ、タイ部品倉庫の管理システム脆弱性を悪用され692件流出——グループ・取引先の従業員情報が影響範囲
続報を注視中中程度マツダはタイから調達した部品を保管する倉庫の管理システムが脆弱性を悪用され、同社・グループ・取引先の従業員情報692件が流出した可能性を公表。修正プログラム適用と接続元制限、監視強化を実施。
中部電力・中部電力パワーグリッド・中部電力ミライズ、再委託先へのサイバー攻撃で帳票発行が停止
情報収集中重大中部電力とグループ2社は、帳票発行・発送業務の委託先の再委託先がサイバー攻撃を受けたおそれがあり、請求書や口座振替通知など複数の帳票発行業務が停止したと公表した。
河西工業、米国子会社KASAI NORTH AMERICAのサーバがサイバー攻撃を受け経路と影響を調査
情報収集中重大自動車内装樹脂製品を製造する河西工業は、米国子会社KASAI NORTH AMERICAのサーバでサイバー攻撃を検知したと公表した。事業継続への影響はなく、グループ内への波及も確認されていない。
東京大学、研究室サーバに不正アクセス——学外サーバ侵害から共同研究者アカウント奪取の連鎖で
情報収集中重大東京大学は、学外サーバの侵害から共同研究者の認証情報が悪用され、同大の研究室サーバへの不正アクセスに至ったと公表した。同サーバを起点に学内外のサーバへ不正アクセスが行われた形跡が確認されている。
京都新聞、委託先「47CLUB」のランサム被害でプレゼント応募者190人分の個人情報が流出
続報を注視中中程度京都新聞社のプレゼント応募情報の管理を受託していた47CLUBが2025年11月28日にランサムウェア「SafePay」の攻撃を受け、応募者190件の氏名・住所・電話番号が流出。
ENEOSグローブエナジー、LPガス配送委託先経由でランサム被害 — 約1300件流出
続報を注視中中程度ENEOSホールディングスのグループ会社ENEOSグローブエナジーが、LPガス配送を委託していたエネサンスホールディングスへのランサム攻撃を通じ、北海道・神奈川県の顧客約1300件の情報が流出。委託先ネットワークの共有構造が波及要因となった。
神奈川県、委託先キズキがファイル共有の権限設定を誤り、システムが意図しないメールを同報送信 — 支援対象者4人分
続報を注視中軽微神奈川県は2025年12月26日、業務委託先のキズキがファイル共有ドライブに講座スケジュールの案内ファイルを格納した際、手順と異なる本来必要のないアクセス権限設定を行ったため、システムから意図しないメールが同報送信されたと公表した。支援対象者4人のメールアドレスが受信者間で閲覧できる状態となった。発生は2025年12月3日で、同日に受信者からの連絡で判明している。
名古屋市、居住支援事業の委託業者が相談者2,198件分の報告書を無関係の関係機関へ誤送信 — 訪問して削除を確認
続報を注視中中程度名古屋市は2025年12月24日、居住支援コーディネート事業の業務委託先において、同市へ個人情報を含む報告書をメールで送信しようとした際、無関係の関係機関へ送信するミスがあったと公表した。相談者の氏名・年齢・相談内容など2,198件を含む報告書が添付されていた。関係機関からの申し出により発覚し、市は誤送信先を訪問して謝罪したうえで削除を依頼し、削除されたことを確認している。
神奈川県、委託先が「かながわコミュニティカレッジ講座」受講者32人へのメールを宛先に設定して送信
続報を注視中軽微神奈川県は2025年12月23日、かながわ県民活動サポートセンターの委託先であるソーシャルコーディネートかながわが、かながわコミュニティカレッジ講座の受講者向けメールを送信する際に送信先を誤って宛先に設定したと公表した。受講者32人分のメールアドレスが受信者間で閲覧できる状態となった。2025年12月7日に発生し、翌8日に受信者からの連絡で判明、9日に謝罪と削除依頼を行っている。
日産自動車、顧客管理システムの開発委託先が侵害され日産福岡販売の顧客約2万1,000人分が流出
続報を注視中重大日産自動車は2025年12月23日、販売会社の顧客管理システムの開発を委託しているRed Hatのデータサーバが侵害されたことが判明したと公表した。日産福岡販売で車両購入やサービス入庫をしたことがある顧客約2万1,000人の氏名・住所・電話番号・メールアドレスの一部と、営業活動に使用する関連情報が流出した。侵害の検知は2025年9月26日で、10月3日に委託先から報告を受けている。
NECネクサソリューションズ、委託先ジェイマックソフトで不正アクセス — 個人情報流出の痕跡は未確認
情報収集中重大NECネクサソリューションズは2025年12月22日、開発・保守業務の委託先であるジェイマックソフトのファイルサーバが不正アクセスを受けたことを公表。顧客個人情報流出の痕跡は現時点で確認されていないと説明。
岩手県、物価高騰対策事業の事務局ポータルが約9か月間外部から閲覧可能に — アクセス制限を意図的に解除、申請事業者5,707件分が流出
続報を注視中中程度岩手県は2025年12月19日、物価高騰対策賃上げ支援事業の事務局業務の委託先が内部情報共有のため作成したポータルサイトが、2025年2月から約9か月間にわたり外部から閲覧できる状態だったと公表した。当初はIDとパスワードで保護されていたが、幹事社の担当者がアクセスできなかったためアクセス制限をかけない状態に変更されていた。申請事業者5,707件に関する担当者氏名や電話番号などを含む16件の資料が公開されていた。
埼玉県、委託先の埼玉新聞社の従業員が業務用ノートパソコンを紛失 — 補助事業者236者の実施計画書などが保存
続報を注視中中程度埼玉県は2025年12月18日、委託先である埼玉新聞社の従業員が業務用ノートパソコンを紛失したと公表した。2024年度の47者と2025年度の189者、あわせて236者の補助事業者情報が保存されていた。事業者名や所在地、資本金、従業員数に加え、実施計画書や補助事業実施結果報告書、現地確認報告書も含まれる。2025年12月17日の時点で第三者への情報流出や不正使用による二次被害は確認されていない。
アスクル、ランサムウェア攻撃で全物流センターが停止 — 委託先の管理者アカウントが起点、漏えいのおそれは累計約134万件に
続報を注視中深刻アスクル株式会社は2025年10月19日にランサムウェア攻撃を受け、全物流センターが停止した。侵入経路は業務委託先が使用していた管理者アカウントの認証情報漏えいで、多要素認証が適用されていなかった。2025年12月12日の調査結果報告で約74万件の漏えいのおそれを公表し、2026年7月30日にはさらに約60万件を追加特定。累計は約134万件にのぼる。2026年7月16日には個人情報保護委員会から行政指導を受けた。
浜松市、委託先のイベント申込フォームで「前の回答を表示」から他人の申込情報が閲覧可能に — 103人分
続報を注視中中程度浜松市は2025年12月12日、委託先のSBSプロモーションが運営していた「プレコンフェスタ浜松2025」来場者募集用の申込フォームに設定の不備があったと公表した。フォームの送信完了画面に表示される「前の回答を表示」をクリックすると、送信時点より以前の申し込み情報を閲覧できる状態になっていたもの。2025年10月20日から11月27日にかけて、103人分の氏名・電話番号・メールアドレスが対象となった。
千葉労災病院、常駐委託業者の従業員がFAX番号を誤入力し患者2人の情報を第三者宅へ誤送信 — 書類は回収済み
全容判明中程度千葉労災病院は2025年12月10日、常駐する委託業者の従業員が本社へ書類をファックスで送信する際、番号の入力を誤り第三者宅へ誤送信したと公表した。書類には患者2人のカタカナ氏名と検査材料の変更指示などが記載されていた。誤送信した書類はすでに回収済みで、二次流出の可能性は低いとしている。再発防止策としてFAX番号の事前登録や複数による送信先チェックを挙げている。
福岡市、成人の日記念行事の案内ハガキ145人分を委託業者が紛失 — 納品時の照合で不足が判明
続報を注視中中程度福岡市は2025年12月10日、成人の日記念行事の案内ハガキの一部を委託業者が紛失したと公表した。2025年11月26日に納品された際、一部が見当たらないことが判明したもので、対象は145人分。ハガキには氏名と住所が記載されていた。関係各所を探したものの発見できず、対象者に経緯を説明し謝罪する書面を送付している。
神奈川県、委託先でイベント申込者42人分のメールアドレスが受信者間に露出 — 委託先が自ら気づいて県へ報告
続報を注視中軽微神奈川県は2025年12月8日、委託先である服部学園 OCHABI artgym においてイベント申込者へのメール送信時に宛先設定を誤り、合計42人分のメールアドレスが受信者間で閲覧できる状態になったと公表した。発生は2025年11月30日15時ごろで、委託先が事象に気づいて県へ報告している。対象となった申込者へメールで謝罪し、誤送信したメールの削除を依頼した。
守口市、委託先で特定健康診査の受診票などが所在不明 — 健診結果を含む3人分、受渡しルールの徹底不足
続報を注視中中程度大阪府守口市は2025年12月1日、住民の特定健康診査の受診票や問診票などが所在不明になっていると公表した。データ入力を委託していたパーソルビジネスプロセスデザインにおいて、書類の受渡しや保管などのルールが明確に徹底されていなかったことが原因。対象は3人分で、氏名・生年月日・年齢・性別・住所・電話番号・健診結果が記載されていた。
愛知県、あいち海上の森センターの体験プログラム申込フォームで別人の個人情報が閲覧可能に — 委託先の共有設定変更ミスで36人分
続報を注視中軽微愛知県は2025年11月27日、あいち海上の森センターの体験プログラム「キッズアカデミー」の申込フォームで、申込者の個人情報が別の申込者から閲覧できる状態になっていたと公表した。業務委託先がセンターと申し込み状況を共有した際に設定の変更を誤ったことが原因で、16組36人の氏名・住所・電話番号・年齢・メールアドレスが対象となった。
長崎市、委託先が修学旅行ガイドへの業務メールに個人情報データを誤添付 — 166人分が流出し、半年後に発覚
続報を注視中中程度長崎市は2025年11月13日、委託先の長崎国際観光コンベンション協会が修学旅行の案内ガイド10人へ業務内容を通知するメールを送信した際、当時登録されていたガイドの個人情報を含むデータを誤って添付していたと公表した。対象は166人分で、氏名・住所・電話番号・生年月日・年齢・メールアドレスおよび要配慮個人情報が含まれる。発生から半年以上経過した2025年6月に、別の職員が過去のメール履歴を確認した際に判明した。