委託先・クラウド経由の情報漏えいが相次いだ2026年10月。大企業の被害を他人事にしないために中小企業が今すぐ見直すこと

2026年10月は、大きな会社の情報漏えいやシステム障害の公表が相次いだ月でした。証券会社、損害保険会社、鉄道会社など、名前を聞けば誰でも知っている会社ばかりです。

ただ、各社の発表をよく読むと、共通点があります。多くのケースで、攻撃を受けたのはその会社自身ではなく、仕事を任せていた「委託先」や、利用していた「クラウドサービス」でした。

「大企業の話だから、うちには関係ない」と思われるかもしれません。しかし、小さな会社もクラウドサービスを使い、仕事の一部を外部に任せています。そして同時に、大企業の「委託先」「取引先」として、データやシステムを預かる立場でもあります。

この記事では、10月に何が起きたのかを整理したうえで、小さな会社の経営者が今すぐ見直したいことを、専門用語をできるだけ使わずにまとめます。

この記事は2026年10月26日時点の公開情報をもとに作成しています。各社の調査は続いており、内容が更新される可能性があります。最新情報は記事末尾の参考情報（各社・各機関の公式発表など）もあわせてご確認ください。

まず結論：今すぐ見直すこと

1. 会社で使っているメール・クラウド・ネットバンキングに多要素認証を設定する
2. パスワードの使い回しをやめ、特に重要なアカウントから変更する
3. 使っているクラウドサービスと委託先を一覧にする（何を預けているか、連絡先はどこか）
4. パソコンのOSだけでなく、VPN装置やルーターなどの機器も更新する
5. クラウドとは切り離したバックアップを持ち、戻せるかを確認する
6. AIに入力してよい情報のルールを決める
7. 取引先から届くセキュリティチェックシートに答えられるよう準備する
8. 被害が起きたときの連絡先を一枚の紙にまとめておく

2026年10月に何が起きたのか

10月に公表された主な事案を、各社の発表と報道をもとに整理します。

委託先のシステムが攻撃されたケース

スカラコミュニケーションズの発表によると、10月2日20時30分頃から3日8時頃にかけて、第三者が「i-ask」の管理画面に不正にログインし、不正なプログラムを設置しました。その結果、同じサーバーで動いていた最大5社の問い合わせ情報が取得された可能性があるとしています。

これを受けて、利用企業も相次いで公表しました。

• 大和証券（10月5日）：約11万名分の氏名、メールアドレス、口座番号等が漏えいした可能性がある
• 損保ジャパン（10月7日）：事業者向けドライブレコーダーの問い合わせ対応で利用しており、延べ約6万件が漏えいした可能性がある

どちらの会社も、「当社のシステムに対する不正アクセスは確認されていない」と明記しています。それでも、お客さまへのお詫びや個別の連絡、専用の問い合わせ窓口の設置といった対応は、それぞれの会社が自ら行っています。

クラウドサービスが攻撃されたケース

IDCフロンティアは、10月7日午前3時40分頃から「IDCFクラウド」の一部で障害が発生し、原因は第三者による不正アクセス（ランサムウェア攻撃）だと発表しました。影響を受けたのは495の企業・自治体です。

10月8日の発表では、対象となった一部の区画に保存されていたデータについて、「取り出しや復元が困難な見通し」とし、復元は利用者自身が持っているバックアップからのみ可能という見解を示しました。その後、10月14日の発表で、スナップショット（ある時点の状態を保存する機能）を利用していた194の利用者についてはデータを取り出せることが確認されたとしています。また、仮想サーバー内のデータについては、外部への流出はなかったと判断したとしています。

このほか、9月下旬にはカーシェアリングの「タイムズカー」が、会員の運転免許証画像などの漏えいを公表しています。大きな会社であっても、被害は起きるというのが、この秋の状況です。

中小企業にとって「他人事」ではない理由

1. 「預ける側」として巻き込まれる

今回のケースでは、利用していた会社自身には落ち度が見当たらなくても、委託先やクラウドが止まれば業務も止まり、お客さまへの説明責任は自社に残りました。

小さな会社も、会計ソフト、予約システム、ネットショップ、メール配信、ホームページのサーバーなど、多くのサービスにお客さまの情報や業務のデータを預けています。「どこに何を預けているか」を把握していないと、何かあったときに影響があるのかどうかすら判断できません。

2. 「預かる側」として狙われる

もう一つ大切なのは、小さな会社自身が、大企業の「委託先」になっているということです。取引先の顧客データを預かっていたり、取引先のシステムにつながる仕事をしていたりする場合、攻撃者から見れば守りの手薄な入口になりえます。

IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026［組織］」では、「サプライチェーンや委託先を狙った攻撃」が2位に入っています。また、10月19日に発行された「情報セキュリティ白書2026」でも、サプライチェーンへの脅威と中小企業の対策が注目トピックとして取り上げられています。

3. 取引先から「対策の証明」を求められる流れ

国の制度も動いています。

• サイバー対処能力強化法が10月1日に施行されました。直接の義務を負うのは電力・金融などの基幹インフラ事業者ですが、こうした会社は取引先を含めた対策を一層求められると考えられます
• 経済産業省は、取引先のセキュリティ対策の水準を共通の基準で示せるようにする「サプライチェーン強化に向けたセキュリティ対策評価制度（SCS評価制度）」の準備を進めています。IPAが運営し、★3（専門家の確認つき自己評価）、★4（第三者評価）などの段階が予定されています

現時点で中小企業に取得が義務づけられているわけではありません。ただ、今回のように委託先経由の被害が続くと、取引先から「セキュリティチェックシート」が届く機会は増えていくと考えておいたほうがよいでしょう。

今すぐ見直したい8つのこと

1. 多要素認証を設定する

多要素認証とは、パスワードに加えて、スマホに届く確認コードやアプリでの承認などを組み合わせてログインする仕組みです。パスワードが漏れても、それだけでは入られにくくなります。

まずは次のアカウントから設定しましょう。

• 会社のメール（Microsoft 365、Google Workspaceなど）
• ネットバンキング
• クラウドストレージ、会計ソフト、ネットショップの管理画面
• ホームページやサーバーの管理画面

2. パスワードの使い回しをやめる

今回のように、どこかのサービスからメールアドレスやパスワードが漏れると、同じパスワードを使っている別のサービスにも入られるおそれがあります。社員の「覚えやすいパスワード」の使い回しは、小さな会社でとても多い弱点です。

パスワード管理ツールを使い、サービスごとに別のパスワードにするのが現実的です。共有アカウントを複数の人で使っている場合は、退職者が出たときに必ず変更しましょう。

3. 使っているクラウド・委託先を棚卸しする

まずは一覧を作ることが第一歩です。次の項目を表にまとめておくと、何かあったときにすぐ判断できます。

一覧を作ると、もう使っていないのに契約やデータが残っているサービスが見つかることもあります。JPCERT/CC（JPCERTコーディネーションセンター）の10月8日の注意喚起でも、保存期間を過ぎたデータや、使い終わったデータを残さないことが対策として挙げられています。使っていないものは解約し、データを消しておきましょう。

4. OSと機器を更新する

パソコンやスマホのOSの更新はもちろん、VPN装置やルーター、NAS（社内のファイル保存用の機器）も更新の対象です。これらは一度設置すると放置されがちですが、インターネットにつながっているため、既知の弱点を突かれる入口になりやすい部分です。

JPCERT/CCの注意喚起でも、既知の弱点（脆弱性）を探して悪用する攻撃や、設定ファイル・バックアップファイルを狙う攻撃が確認されているとして、修正済みのアップデートの適用や、業務に不要なサービスや管理機能をインターネットに公開しないことを呼びかけています。サポートが終わった機器は、買い替えを検討しましょう。

5. 切り離したバックアップを持つ

IDCFクラウドの件で、IDCフロンティアは「復元は利用者自身が持っているバックアップからのみ可能」という見解を示しました。クラウドを使っていても、データを守る責任は利用者にも残るということです。

• 大切なデータは、普段使っている環境とは別の場所（別のクラウド、外付けのドライブなど）にも保存する
• 外付けのドライブは、バックアップのとき以外はつなぎっぱなしにしない（ランサムウェアに一緒に暗号化されるのを防ぐため）
• 年に一度は、本当に元に戻せるかを試しておく

6. AIに入れてよい情報のルールを決める

「情報セキュリティ10大脅威 2026」では、「AIの利用をめぐるサイバーリスク」が初めて3位に選ばれました。社員が便利なAIサービスに、取引先の情報やお客さまの個人情報をそのまま貼り付けてしまうと、それ自体が預かった情報の持ち出しになりかねません。

難しい規程は不要です。まずは次のような簡単なルールを決めて、社内で共有しましょう。

• 会社として使ってよいAIサービスを決める（入力内容が学習に使われない設定かも確認する）
• お客さまの個人情報、取引先から預かった情報、パスワードは入力しない
• 取引先との契約（秘密保持契約など）で、外部サービスの利用が制限されていないか確認する

7. セキュリティチェックシートに答えられるようにする

取引先から届くチェックシートには、「多要素認証を使っているか」「バックアップを取っているか」「委託先を管理しているか」「事故のときの連絡体制はあるか」といった質問が並ぶことが多いです。ここまでの1〜6に取り組んでおけば、多くの質問に答えられるようになります。

「はい」と答えた内容は、取引先との約束になります。実際にはできていないのに「はい」と書くのは避け、できていない項目はいつまでに対応するかを添えて回答しましょう。

8. 被害が起きたときの連絡先をまとめる

いざというときに慌てないよう、次の連絡先を一枚の紙にまとめて、すぐ見られる場所に置いておきましょう。

個人情報保護委員会によると、不正アクセスやランサムウェアなどによる個人データの漏えい（そのおそれを含む）は、件数にかかわらず報告の対象になります。速報は発覚から3〜5日以内、確報は原則30日以内（不正な目的によるおそれがある場合は60日以内）が目安です。「小さな会社だから報告は関係ない」わけではない点に注意してください。

「できるところから」で大丈夫です

ここまで8つ挙げましたが、一度に全部やる必要はありません。おすすめの順番は次のとおりです。

1. 今週中：メールとネットバンキングの多要素認証、使い回しているパスワードの変更
2. 今月中：クラウド・委託先の一覧づくり、機器の更新状況の確認、連絡先の一枚紙
3. 年内：切り離したバックアップの仕組みづくり、AI利用ルール、チェックシートへの備え

費用をかけずに始められることも多くあります。IPAでは、中小企業向けに見守り・駆け付け・保険をまとめた「サイバーセキュリティお助け隊サービス」の案内もしているので、自社だけで見るのが難しい場合は検討してみてください。

C-TechLabにできること

C-TechLabでは、専任のIT担当者がいない小さな会社さまのセキュリティの見直しを、IT相談としてお引き受けしています。

• クラウド・委託先の棚卸し：お使いのサービスやアカウントを一緒に洗い出し、預けている情報と連絡先を一覧にします
• 多要素認証・パスワード管理の導入：Microsoft 365やGoogle Workspaceなどの設定から、社員の方への説明までお手伝いします
• 機器の更新状況の確認：パソコン、ルーター、NASなどの更新状況を確認し、買い替えの優先順位をご提案します
• バックアップの見直し：クラウドとは切り離したバックアップの仕組みづくりと、復元テストを行います
• AI利用ルールづくり：会社の実情に合わせた、分かりやすい社内ルールの作成をお手伝いします
• セキュリティチェックシートへの回答支援：取引先から届いたチェックシートの内容を一緒に確認し、回答と、足りない対策の準備をサポートします

ホームページやWebシステムを外部に任せている場合の、保守体制の見直しについてもご相談ください。「何から手をつければいいか分からない」という段階でも大丈夫です。代表エンジニアが直接、状況を伺います。

よくある質問

大企業の委託先経由の情報漏えいは中小企業にも関係がありますか？

はい、関係があります。中小企業もクラウドサービスや委託先にお客さまの情報や業務データを預けているうえ、大企業の委託先や取引先として情報を預かる立場でもあるため、巻き込まれる側にも、守りの手薄な入口として狙われる側にもなりえます。

中小企業がまず取り組むべきセキュリティ対策は何ですか？

まずは会社のメールとネットバンキングに多要素認証を設定し、使い回しているパスワードを変更することです。そのうえで、使っているクラウドサービスと委託先の一覧づくり、機器の更新状況の確認、被害が起きたときの連絡先の整理へと進め、年内に切り離したバックアップやAI利用ルールを整えると取り組みやすくなります。

クラウドサービスを使っていれば自社でバックアップを取らなくても大丈夫ですか？

いいえ、自社でもバックアップを持つ必要があります。2026年10月のIDCFクラウドの障害では、IDCフロンティアが「復元は利用者自身が持っているバックアップからのみ可能」という見解を示しており、普段使っている環境とは切り離した場所にもバックアップを保存しておくことが大切です。

小さな会社でも個人情報が漏えいしたら報告が必要ですか？

はい、必要になる場合があります。個人情報保護委員会によると、不正アクセスやランサムウェアなどによる個人データの漏えい（そのおそれを含む）は件数にかかわらず報告の対象で、速報は発覚から3〜5日以内、確報は原則30日以内（不正な目的によるおそれがある場合は60日以内）が目安です。

自社だけでセキュリティ対策をするのが難しい場合はどうすればいいですか？

外部のサービスに相談するのが現実的です。IPAは中小企業向けに見守り・駆け付け・保険をまとめた「サイバーセキュリティお助け隊サービス」を案内しており、C-TechLabでもクラウド・委託先の棚卸しや多要素認証の設定、取引先から届くセキュリティチェックシートへの回答支援などを、初回相談無料でお手伝いしています。

参考情報

• IDCフロンティア「【第3報】当社サービスの一部システムへの不正アクセスによる障害について」（2026年10月8日）
• IDCフロンティア「【第5報】不正アクセスによる障害に関する調査の進捗について」（2026年10月14日）
• スカラコミュニケーションズのお知らせ（「i-ask」への不正アクセスについて）（2026年10月6日）
• 大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日）
• 損害保険ジャパン「当社事業者向けサービスで使用する外部委託先システムへの不正アクセスによるお客さま情報漏えいの可能性について」（2026年10月7日）
• タイムズカーのお知らせ（不正アクセスについて・第3報）（2026年9月29日）
• ScanNetSecurity「えきねっと会員・大人の休日倶楽部会員の漏えいはなかったと判断 ~ IDCフロンティアへの不正アクセス」
• Impress Watchの報道（IDCFクラウドの障害について）（2026年10月8日）
• @IT「大和証券、シチズン、損保ジャパン、東武鉄道、オリックス生命――5社に影響した「同じ委託先」への不正アクセス 各社はどう動いた？」（2026年10月10日）
• JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」（2026年10月8日公開、23日更新）
• IPAのプレスリリース（情報セキュリティ白書2026について）（2026年9月30日）
• IPA「情報セキュリティ10大脅威 2026」
• IPA「SCS評価制度の詳細情報」
• IPA「サイバーセキュリティお助け隊サービス」
• IPA「情報セキュリティ安心相談窓口」
• 警察庁「サイバー事案に関する相談窓口」
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• INTERNET Watchの記事（サイバー対処能力強化法の施行について）（2026年10月1日）
• @IT「政府が「攻撃元サーバ」に踏み込む 10月始動「能動的サイバー防御」で何が変わる？」