新日本検定協会で個人情報3万件流出の可能性、損保13社の委託先がランサム被害に

「委託先が攻撃を受けたら、自社の顧客情報も巻き込まれるのでしょうか？」
「3万件規模の漏洩はどうやって起きたのでしょう？」

チップス

ボス、損保大手の委託先で3万件も漏洩したって本当でしゅか？うちは関係なくても怖いでしゅ…

ボス

新日本検定協会の件だな。委託先経由のリスクは、企業の規模を問わず無視できない時代だ。よく見ておこう。

取引先や委託先のセキュリティ事故は、自社のリスクに直結します。
本記事では、2026年5月11日に公表された新日本検定協会のランサム被害の全容と、企業が学ぶべき教訓を整理します。

事件の流れを押さえれば、自社や取引先で同じ手口を受けたときの備えが見えてきます。

損保13社の委託先で起きた3万件規模の漏洩

事件の流れと被害の規模をまず整理します。

攻撃発生から公表までの経緯

新日本検定協会は、貨物検査や事故調査を損害保険会社から請け負う公益性の高い機関です。
2025年11月26日に社内サーバーへアクセスできない事象が発生し、ランサム被害が確認されました。
2026年5月11日、最終調査結果として情報流出の可能性が公表されています。

公表までの主な経過は以下のとおりです。

流出した可能性のある情報の内訳

同協会の発表によると、外部流出の可能性が高いと判断された情報は計約3万350件に及びます。
損保13社が委託した案件分が全体の約6割を占め、関係する企業は60〜70社に及ぶ見通しです。

チップス

取引先や採用候補者の情報まで含まれてるんでしゅか…！

主な対象データは次のとおりです。

境界突破から特権奪取まで、典型的な侵入経路

攻撃者がたどった経路から、自社が学べる教訓を引き出します。

ネットワーク機器の脆弱性が起点

同協会の公表によれば、攻撃者はネットワーク機器の脆弱性を悪用して外部から侵入しました。
境界機器を突破した後、ドメイン管理者アカウントを奪取し、内部に自由に動ける足場を構築しています。
その上でファイル探索と窃取を行い、最後にランサムウェアでサーバーを暗号化したと報告されています。

攻撃者が踏んだ段階は次のように整理できます。

委託元企業が取るべき再発防止策

境界防御だけでは防ぎきれない以上、内部の動きを見張る仕組みが欠かせません。
特に管理者権限の常時利用は危険で、必要時のみ昇格させる運用が現実解になります。
委託元の立場でも、契約段階でセキュリティ要件を明確化しておくのが基本です。

ボス

自社が守られていても、預けたデータが委託先で抜かれては元も子もないからな。

委託元として押さえたいポイントは次のとおりです。

詳細は同協会の公表資料を参照してください。

まとめ:委託先リスクは「自社の問題」と捉え直す

新日本検定協会の事案は、境界突破と特権奪取という王道の手口で大規模流出に至った典型例です。
自社の守りが固くても、委託先の脆弱性ひとつで顧客情報が漏れる構造は変わりません。
取引先のセキュリティを「お任せ」から「共同管理」へ切り替える発想が、いま求められます。

ボス

守りは線ではなく面で考えるんだな。委託先・取引先まで含めた設計図を持つことが、これからの常識だ。

チップス

うちでも委託先のチェックリスト見直してみるでしゅ！