名張近鉄ガスは9月30日、情報管理を委託した両毛システムズの被害により、プロパンガス利用者の情報約6,800件に漏えいの可能性があると公表。都市ガス・コミュニティガスは対象外だ
両毛システムズの被害が、名張近鉄ガスの顧客情報にも及ぶ可能性が公表された。伊勢崎市の子どもたち、大東ガスの顧客、そして今度は名張近鉄ガスのプロパンガス利用者。委託先が1社破られただけで、業種もバラバラの組織が次々と巻き添えを食う様子は、もはや「サプライチェーン攻撃のお手本」としてセキュリティ研修の教材に使えそうな勢いだ。委託先管理を「発注時に一度確認して終わり」にしていた組織は、このニュースを他人事と思わない方がいい。※個人の感想です
三重県名張市を中心にプロパンガスを供給する「名張近鉄ガス」(大阪ガスグループ)は、2026年9月30日、顧客情報の管理などを委託している株式会社両毛システムズのファイルサーバーがランサムウェアによる不正アクセスを受けたことに伴い、自社の顧客情報が外部に漏えいした可能性があると発表しました。
対象となるのは、プロパンガスを利用する顧客の個人情報約6,800件です。具体的には氏名・住所・料金番号が対象で、このうち2件については電話番号も含まれるとしています。金融機関の口座番号やクレジットカード情報は対象に含まれていないとされています。都市ガス・コミュニティガスの顧客は対象外です。名張近鉄ガスは対象となる顧客に個別に連絡するとしています。なお、個人情報の悪用等の二次被害を確認していないという説明は、両毛システムズの第3報公表時点のものです。
両毛システムズをめぐっては、2026年8月12日にVPNアカウントを悪用した侵入があり、8月14日に異常を検知して調査を始めました。2026年9月の第3報では、外部専門機関の調査によりランサムウェア攻撃であることを確認したとしています。委託元への影響としては、これまでに群馬県伊勢崎市(児童生徒のアカウント情報3,789件)と大東ガス(過去の顧客情報を含むファイル約12万4,000件)などへの波及が公表されています。
今回の名張近鉄ガスのケースは、業務を委託した先での被害が、委託元の顧客情報へ影響し得ることを示しています。サプライチェーン攻撃(取引先や委託先を経由して間接的に被害が及ぶ攻撃)を考えるうえで、委託元と委託先の関係を区別することが重要です。伊勢崎市は学校向けのタブレット端末管理、大東ガスと名張近鉄ガスはいずれもガス事業者という違いはありますが、いずれも両毛システムズという共通の委託先を経由している点は同じです。
委託先が同じでも、業種によって漏えいする情報の種類や規模が異なる点も注目されます。名張近鉄ガスの約6,800件という件数は、大東ガスの約12万4,000件と比べると小規模ですが、料金番号という、ガス事業者ならではの情報が対象に含まれている点が特徴です。
対象とされたのは名張近鉄ガスのプロパンガス利用者の情報で、氏名・住所・料金番号(一部2件は電話番号も)です。都市ガス・コミュニティガスの利用者は対象外です。今回確認した情報の範囲では、クレジットカード情報など決済に直結する情報は対象に含まれていません。ただし、氏名・住所を使った不審な訪問・電話・郵便物による詐欺には注意が必要です。
委託元の企業・自治体にとっては、同一の委託先事業者が複数の取引先を抱えている場合、1件の侵入が複数の組織に同時に波及するリスクがあることを改めて示す事例です。
「サプライチェーン攻撃」とは、標的とする組織を直接攻撃するのではなく、その組織が取引・委託している企業を経由して間接的に被害を及ぼす攻撃です。今回のように、1つの委託先事業者が複数の委託元を抱えている場合、侵入1件で複数の組織・業種に同時に影響が広がることがあります。
委託先を選ぶ側の組織にとっては、価格や実績だけでなく、委託先自身がどのようなセキュリティ対策を取っているかを事前に確認することが、被害の予防につながります。
IT Postでは、1つの委託先事業者への攻撃が、自治体・複数業種の企業へと次々に波及する今回のケースが、地域の中堅IT企業に業務を委託している多くの自治体・中小企業にとって他人事ではないと考えます。特に、委託先の数が増えるほど、委託元の組織側だけで委託先のセキュリティ対策を把握し続けるのは難しくなります。業界団体や監督官庁が、委託先事業者に対する最低限のセキュリティ基準を示すなど、個々の組織の自助努力だけに委ねない仕組みづくりが必要ではないかというのがIT Postの見方です。
両毛システムズに業務を委託している組織について、今後さらに影響が明らかになる可能性があります。個人情報の漏えいが確認された場合、事業者には個人情報保護委員会への報告が法令上求められています。IT Postでは、新しい発表があり次第あらためて取り上げます。
名張近鉄ガスなどを「両毛システムズの委託先」と記載していた箇所を、業務を委託していた側である「委託元」に訂正しました。根拠を確認できない「3社目」という順序表現と、自治体を会社として数える記述を削除しました。都市ガス・コミュニティガスの利用者が対象外であることを明記し、二次被害未確認の説明は両毛システムズの第3報公表時点に帰属させました。第3報に日付の「9月25日」を断定する根拠がないため「2026年9月」に訂正しました。
スカラの10月6日公式発表では最大5社・最大71万3126件の延べ問い合わせが対象。東武鉄道の10月7日発表は閲覧・取得の形跡未確認という報告で、流出ゼロやその理由の証明ではない
損保ジャパンが2026年10月7日に発表した、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ対応を委託する外部システムへの不正アクセス。大和証券・シチズン時計と同じ委託先で起きた事案の内容と、損保ジャパン分の対象範囲を確かめる
ソフトバンク系IDCフロンティアが運営する「IDCFクラウド」で2026年10月7日に発生した障害。第2報でランサムウェア攻撃と確定、第3報で判明した復元困難なゾーンと495の企業・自治体への影響を確かめる
大阪公立大学のランサムウェア被害。10月8日の第4報が案内した10月9日の対面授業再開と臨時システム、情報流出の調査状況を整理。出願期限は選抜ごとの公式案内で確認する
