2026年9月から10月にかけて、情報漏洩のニュースが連日のように報じられています。
その中で、ひとつの共通点に気づいた方もいるのではないでしょうか。
「自社が直接狙われたわけではないのに、情報が漏れた」という企業が急増しているのです。
クラウド基盤、SNS基盤、委託先の端末――攻撃者が狙うのは、もはや「その企業自身」とは限りません。この記事では、直近の事例をもとに、なぜこの構造が増えているのか、そして中小企業が何を点検すべきかを整理します。
一つの侵入が、何十社にも波及する
2026年10月に入ってから確認された、代表的な「波及型」の情報漏洩事案を3つ紹介します。
① クラウド基盤「IDCFクラウド」→ JR東日本・JR九州
IDCフロンティアが提供するクラウド基盤「IDCFクラウド」がランサムウェア攻撃を受け、東日本リージョン1の一部で障害が発生しました。茨城県庁をはじめ495の企業・自治体に影響が及んだほか、同基盤を利用していたJR東日本の「えきねっと」「大人の休日倶楽部」会員の情報（最大約206万件）、JR九州の会員情報（最大約130万件）にも漏洩の可能性が波及しました。
JR東日本・JR九州のどちらも、直接の侵入を受けたわけではありません。クラウド上で稼働していたメール配信用の外部サービスが影響を受けたことが原因です。
② SNS基盤「Commune」→ ヤマハ・スズキ・ヤマハ発動機・パナソニック・LINEヤフー・Sansanなど
企業向けコミュニティープラットフォーム「Commune」「Commune for Work」の基盤に不正アクセスがあり、約30万7000会員分の情報が漏洩した可能性が公表されました。この基盤を使って自社コミュニティーを運営していたヤマハ（ネットワークエンジニア会）、スズキ（スズキヴィレッジ）、ヤマハ発動機（PAS Life）、パナソニック、LINEヤフー、Sansanなど、名の知れた複数の大手企業が次々と「自社も影響を受けた可能性がある」と公表する事態になりました。
ここで興味深いのは、ヤマハ（楽器・音響機器メーカー）とヤマハ発動機（二輪車メーカー）という、名前は似ていても別法人の2社が、同じ基盤を介してそれぞれ独立に約1,600名規模の漏洩を公表している点です。利用している基盤が同じであれば、企業の規模や業種を問わず、同時多発的に影響が及び得ることを象徴する事例といえます。
③ 委託先の端末感染 → 第一興商（最大872万件）
カラオケ「ビッグエコー」を展開する第一興商では、個人情報の取り扱いを委託していた再委託先企業の従業員端末1台がマルウェアに感染したことが発端となり、顧客・従業員あわせて最大約872万件の個人情報が漏洩した可能性があると公表されました。
これは「委託先のそのまた委託先」という、多層化した業務委託の末端で起きた事故が、委託元の保有する大量の顧客情報にまで影響した事例です。
なぜ「波及型」が増えているのか
背景にあるのは、多くの企業が会員管理・コミュニティー運営・インフラ基盤といった機能を、自社で開発せず外部のSaaS・クラウドサービスに委託するようになったことです。
これ自体は合理的な経営判断です。しかし、攻撃者から見れば、一つの基盤に侵入するだけで、その基盤を利用する何十社・何百社分の情報に同時にアクセスできる可能性があることを意味します。個別の企業を一社ずつ攻略するより、はるかに効率の良い「まとめ買い」のような攻撃対象になっているのです。
さらに、委託先が別の会社へ業務の一部を再委託していることも珍しくありません。委託元の企業が、再委託先のセキュリティ対策まで把握し、管理できているケースは限られます。
中小企業が今、点検すべきこと
「うちは狙われるような大企業ではない」という感覚は、この構造の前では通用しません。小規模な企業であっても、会員管理・予約システム・問い合わせフォームなどを外部のSaaSやクラウドに委託していれば、その基盤側の事故に巻き込まれる可能性があるからです。
- 委託先・利用サービスの棚卸し：自社がどの外部サービス・クラウド基盤に顧客情報やコミュニティー運営を委託しているか、まず一覧化する。
- 再委託の有無を確認する：委託先がさらに別の会社へ業務の一部を再委託していないか、契約段階で確認し、再委託先にも相応のセキュリティ水準を求める。
- 「委託先の事故」を想定した連絡体制を作る：委託先・基盤提供元で事故が起きた場合に、自社として何を確認し、誰が顧客に説明するのかをあらかじめ決めておく。
- 自社が「委託先」の立場であることも忘れない：自社が他社から業務委託を受けている場合は、自社の端末・アカウント管理の甘さが、委託元の大量の顧客情報流出につながり得ることを認識する。
まとめ：見るべきは「自社」だけではない
情報漏洩対策というと、自社のシステムやネットワークを固めることに意識が向きがちです。しかし、ここまで見てきた事例が示すのは、自社の対策がどれほど万全でも、委託先・利用している基盤側の事故で情報が漏れ得るという現実です。
「どこに」「何を」委託しているのかを把握すること。それが、自社では直接コントロールできないリスクに向き合う、最初の一歩になります。