化学メーカーのJFEケミカルが、社内IT環境への不正アクセスにより、取引先・社外関係者・社員の個人情報を含むデータが第三者に取得されたと公表しました(2026年10月28日の第二報)。対象は最大約23万件で、件数は精査中です。この記事では公表された事実を整理したうえで、取引先の連絡先が流出したとき、取引のある会社は何に備えるべきか、そして業務システムを作る開発会社は何を設計に組み込むべきかを、システム開発会社の代表として考えます。
要点 (事実のみ)
- JFEケミカルは2026年10月28日、「当社IT環境への不正アクセスおよび情報漏洩に関するお詫びとお知らせ(第二報)」を公表した。第一報は10月21日。
- 10月27日時点で、第三者に不正取得された、またはそのおそれのある個人情報は最大約23万件。同一個人の重複算入や、それだけでは個人を特定できないデータが含まれており、精査を進めているとしている。
- 対象はお取引先、社外関係者、同社と同社社員。含まれる情報は氏名、所属先、電話番号、メールアドレス等のいずれか、または複数。お取引先・社外関係者について、個人のクレジットカード番号や銀行口座情報の漏洩は確認されていない。
- 不正アクセスを受けたデータの公開や二次被害は、現時点で確認されていない。原因・対象データ・影響範囲は外部のサイバーセキュリティ専門機関と連携して調査中で、侵入経路は発表文に記載がない。
- 同社は、データを悪用した不審な連絡が届くおそれがあるとして、心当たりのない電子メール、電話、郵送物への注意を呼びかけ、影響を受ける可能性のある関係者へ順次連絡している。
徐 聖博の見解
漏れたのが「連絡先」であることの意味
原因が公表されていない段階で、どこに落ち度があったかを論じるつもりはありません。私が注目しているのは、漏れた情報の中身です。氏名、所属先、電話番号、メールアドレス。カード番号や口座情報は含まれていないとされています。
この組み合わせは、金銭を直接奪うには足りません。しかし「誰が、どの会社の、どの窓口と、どの連絡手段でやり取りしているか」が分かります。これは取引先になりすました連絡を組み立てるための材料として、十分に使えるものです。発表文が不審なメールや電話への注意を呼びかけているのも、この点を踏まえたものだと読みました。
つまり、この件で備えるべきなのはJFEケミカル1社ではありません。同社と取引のある会社の担当者の側が、なりすましの「受け手」になりうるという点が重要です。
取引のある会社が先に決めておくこと
なりすましに対して、メールの文面で見抜くことに頼るのは無理があります。本物の担当者名と所属が書かれていれば、見分けはつきません。効くのは、文面ではなく手順で止める仕組みです。
- 振込先の変更や請求書の再送は、メール以外の既知の連絡先で確認する。 電話番号は届いたメールに書かれたものではなく、自社で持っている台帳の番号を使います。
- 請求書の受け取り経路を固定する。 取引先ごとに、どの経路で届いたものを正とするかを決めておきます。
- 「急ぎ」「担当者変更」を理由にした例外処理を、承認なしで通さない。
どれも技術ではなく業務と権限の話です。私は以前から、紙やExcelでも成立しない業務はシステムを入れても成立しないと考えていますが、なりすまし対策はその典型で、確認の手順が決まっていなければツールを入れても止まりません。
「最大約23万件、重複を含む」から読み取れること
もう一つ、作る側として気になったのは件数の示し方です。最大約23万件で、重複や個人を特定できないデータを含み、精査中。これは、取得されたデータの中に「何人分の、誰の情報が」入っていたかを、すぐには数えられない状態だと読みました。
同じ人の連絡先が、営業の顧客管理、購買の取引先マスタ、経理の支払先、メールの添付ファイルなど、複数の場所に別々に存在している。業務システムでは珍しくない構造ですが、これが漏えい時の影響範囲の特定を遅らせ、関係者への連絡も遅らせます。法令上の報告や通知の判断は専門家の領分なので踏み込みませんが、判断の前提になる「誰の何がどこにあるか」を答えられるかどうかは、システムの設計で決まると私は考えています。
開発会社の事業判断にどう効くか
開発会社にとって、この件は二つの面で他人事ではありません。
一つは、開発会社自身が「取引先・社外関係者」として名簿に載る側だという点です。製造業の顧客と取引していれば、担当者の氏名とメールアドレスは顧客のシステムの中にあります。顧客側で漏えいが起きたとき、自社の名前を使ったなりすましが顧客に届く可能性もあれば、顧客を名乗った連絡が自社に届く可能性もあります。請求・支払いの確認手順を顧客と取り決めておくことは、自社の売上を守ることでもあります。
もう一つは、作る側としての話です。顧客管理や取引先管理のシステムを作るとき、個人情報をどのテーブル・どのファイル・どのバックアップに持っているかを一覧にして、納品物に含めることを提案すべきだと考えています。連絡先を複数のシステムに複製する設計は作りやすい一方で、漏えい時の棚卸しを難しくします。どこを正本にし、どこに複製し、何年で消すのか。これを要件定義の段階で決めておけば、事故の際に「最大約○件、精査中」の期間を短くできます。見積もりに乗りにくい作業ですが、ここを説明できる会社かどうかが、セキュリティを気にする発注側からの評価を分けると見ています。
政府のサイバー緊急対策パッケージを取り上げた記事でも書いたとおり、初動を担うのは多くの場合、システムを作り保守している委託先です。そのとき、データの所在を答えられることは、委託先の基本的な価値になります。
まとめ
JFEケミカルの件は、原因も影響範囲もまだ調査中です。ただ、取引先の連絡先が流出したという事実だけで、取引のある会社がやるべきことははっきりしています。振込先変更や請求の確認を、メール以外の手順で止められるようにしておくことです。そして業務システムを作る開発会社は、個人情報の所在を一覧で答えられる設計を、最初から納品物に含めておくべきだと私は考えています。
関連して読んでいただきたい記事:
- 政府のサイバー緊急対策パッケージ、企業は何を準備すべきか
- ConnectWise侵害に学ぶサプライチェーン攻撃対策——委託先に渡したアプリ権限は「連携を止めても残る」
- 顧客管理システム開発の完全ガイド
出典: 当社IT環境への不正アクセスおよび情報漏洩に関するお詫びとお知らせ(第二報)(JFEケミカル株式会社、2026年10月28日)
