はじめに
中部電力株式会社は2026年8月4日、同社グループが利用する一部システムへの不正アクセスにより、グループ役職員・委託先社員・取引先関係者ら合計約7万4,100人の連絡先情報が外部に漏えいした可能性があることを公式発表しました。原因は資格情報（クレデンシャル）の不正利用であり、電力供給やお客さま情報への影響は現時点で確認されていないとしています。
大規模なインフラ企業で発生した今回の事案は、「クレデンシャルの管理と監視体制」の重要性を情シス担当者に改めて突きつけています。
目次
1. 何が起きたか
中部電力株式会社（本社：名古屋市）は、電力・ガス事業を中心に中部地方で幅広いエネルギー事業を展開する大手電力会社です。
2026年7月29日、第三者機関から情報提供を受けた同社が調査を実施したところ、同社が利用する一部システムに関連する資格情報が不正利用され、役職員の電子メールおよびグループの連絡先情報が参照されたおそれがあることが判明しました。
注目すべきは、同社自身が自発的にインシデントを検知したのではなく、外部からの情報提供によって発覚した点です。「外部からの通報で初めて気づく」ケースは、長期間にわたって侵害が見逃される可能性を示しており、組織内での継続的な監視体制の重要性を示唆しています。
インシデントの概要
| 項目 | 内容 |
|---|---|
| 被害企業 | 中部電力株式会社（グループ全体） |
| インシデント種別 | 資格情報の不正利用による不正アクセス・情報漏えいの可能性 |
| 発覚日 | 2026年7月29日（第三者機関からの情報提供） |
| 公式発表日 | 2026年8月4日 |
| 漏えい可能性のある対象者数 | 約74,100人（約7.4万人） |
| CVE番号 | 該当なし（インシデント案件） |
| 電力供給への影響 | なし（公式確認済み） |
| 顧客情報（電気・ガス）の流出 | 現時点で確認されていない |
2. インシデントの詳細
今回の不正アクセスで特徴的なのは、一般的な「システムの脆弱性を突く攻撃」ではなく、正規の資格情報（ユーザーID・パスワード等）が何らかの手段で入手・悪用されたという点です。
資格情報が悪用される代表的な手口には以下があります：
- クレデンシャルスタッフィング：他サービスから流出した認証情報を使い回して不正ログインを試みる手法
- フィッシング攻撃：偽サイトや不審メールで認証情報を騙し取る手法
- マルウェアによる認証情報窃取：Infostealer（情報搾取型マルウェア）によるパスワード盗難
公式発表では具体的な手口は明らかにされていませんが、現在も外部専門機関と連携して調査が進められています。
不正アクセスを受けたシステムは「電力供給やお客さま情報を扱うシステム」とは別であり、グループの連絡先管理やメール機能に関するシステムが標的となったとみられます。
3. 漏えいした可能性のある情報
2026年8月4日時点で判明している、漏えいした可能性のある個人情報は以下のとおりです。
| 対象者 | 件数 | 漏えいの可能性がある情報 |
|---|---|---|
| 関係機関、自治体、取引先などの関係者 | 約2,400人 | 会社・団体名、役職、氏名、メールアドレス、電話番号 |
| グループ役職員・委託先社員など | 約71,700人 | 会社名、所属、役職、氏名、メールアドレス、電話番号 |
| 合計 | 約74,100人 | — |
グループ役職員・委託先社員については「所属（部署・グループ会社名）」も漏えい対象に含まれます。氏名・メールアドレス・電話番号・所属が組み合わさった情報は、標的型フィッシング（スピアフィッシング）や詐欺電話に悪用されるリスクがあります。
現時点で対象外とされている情報: – 電気・ガスのお客さま情報（契約・支払い情報等） – パスワード等の認証情報
4. インシデントのタイムライン
| 日時 | 出来事 |
|---|---|
| 2026年7月29日 | 第三者機関から中部電力へ情報提供があり、不正アクセスを確認 |
| 2026年7月29日（同日） | 被害拡大防止措置を即時実施（資格情報の無効化、アクセス遮断） |
| 2026年8月4日 | 公式プレスリリースを公表、個人情報保護委員会・警察等への報告を完了 |
| 調査継続中 | 漏えい件数・内容の精査を外部専門機関と協力して進行中、対象者への個別通知準備中 |
5. 対応状況
中部電力は本事象発覚後、以下の対応を実施しています。
- 不正利用された資格情報の即時無効化
- 不正アクセス元からの通信遮断
- 電力供給・顧客情報を扱うシステムへの不正アクセス痕跡がないことの確認
- 漏えいした可能性のあるメール情報の特定・内容精査
- 外部専門機関と連携した調査の継続
- 関係官庁・個人情報保護委員会・警察への報告・相談
- 対象者への個別対応（準備中）
また、同社は中部電力グループ従業員を装った不審なメール・電話への注意喚起も行っています。
メール本文中のURLへのアクセスや添付ファイルの開封をおこなわないほか、個人情報などの入力・回答はおこなわないようお願いいたします。 — 中部電力株式会社 公式プレスリリースより
6. 再発防止策と対応の優先順位
今回のインシデントは「資格情報の不正利用」が核心です。情シス担当者が自社環境を見直す際の優先ポイントをまとめます。
① 資格情報の管理とMFAの適用状況を確認する
資格情報悪用を防ぐ最も効果的な対策は多要素認証（MFA）の徹底適用です。
確認・実施ポイント: 1. Microsoft 365 / Google Workspace 等のMFAを全ユーザーに強制適用（条件付きアクセスポリシーの見直し） 2. レガシー認証プロトコル（SMTP AUTH・POP・IMAP等）を無効化（MFAをバイパスされるリスクを排除） 3. 特権アカウント・管理者アカウントにPhishing-resistant MFA（パスキー・FIDOキー等）を適用
② アカウント・アクセスログの監視強化
自組織でインシデントに気づけるか？ を問い直すことが重要です。
確認ポイント: – 異常なログイン（海外IPアドレス・深夜帯・短時間での大量失敗等）を検知する仕組みが整っているか – Microsoft Entra ID（旧Azure AD）のサインインログ・監査ログが有効化・保存されているか – SIEM（セキュリティ情報・イベント管理）ツールによるアラート設定がされているか
③ 連絡先・ディレクトリ情報へのアクセス制御を見直す
今回の漏えい対象は「グループ連絡先情報」でした。組織ディレクトリへのアクセス権限を棚卸しすることが重要です。
確認ポイント: – 社内ディレクトリ（AD / Azure AD / M365 グローバルアドレス一覧等）のアクセス権限が最小権限になっているか – 委託先・外部パートナーへのアクセス範囲が必要最低限に絞られているか
④ インシデント対応計画の整備と報告プロセスの確認
今回は外部機関からの通報で発覚しており、速やかな対応が求められます。
確認ポイント: – 個人情報保護委員会への72時間以内の速報義務（改正個人情報保護法）を把握・対応できるか – インシデント対応手順書（IRP）が整備され、定期的に訓練されているか – 外部専門機関（フォレンジック調査会社・CSIRT等）への連絡先が事前に準備されているか
7. まとめ・YJKからのコメント
今回の中部電力グループへの不正アクセス事案は、「資格情報の悪用」がインフラ規模に関わらず発生しうる深刻な脅威であることを改めて示しています。大手電力会社においても、資格情報管理の不備がグループ全体で7万4,000件超の情報漏えいリスクにつながった事実は、あらゆる規模の組織にとって教訓となります。
情シス担当者の方々に特に注目してほしいのは、「外部からの通報で発覚した」という経緯です。自社の監視体制が機能していなければ、侵害が長期間気付かれないまま継続するリスクがあります。MFAによるアカウント保護の強化と、ログ監視・異常検知の仕組みづくりは、規模を問わず今すぐ取り組むべき施策です。
また、今回漏えいした情報には氏名・メールアドレス・電話番号・所属組織が含まれており、これらを組み合わせたスピアフィッシングや詐欺電話への悪用が懸念されます。従業員へのセキュリティ意識向上トレーニング（SATE）の実施も、合わせて検討してください。
以下の組織は特に優先度を上げて対応してください：
- MFAが未導入・部分適用にとどまっているシステムを持つ組織
- グループ会社・委託先が多く、アカウント管理が複雑化している組織
- ログ監視・異常検知の仕組みが未整備の環境
- 個人情報保護委員会への報告対応プロセスが整っていない組織
YJKでは、MFA導入支援・アカウントセキュリティ診断・インシデント対応計画の策定支援を承っております。自社環境のセキュリティ対策状況にご不安をお持ちの場合は、お気軽にご相談ください。
8. 出典
- 中部電力株式会社 公式プレスリリース: 不正アクセスによる情報漏えいの可能性について（2026年8月4日）