日本テレネットがランサム攻撃、大和リース「Dシェア」会員の氏名・電話番号・対応履歴が漏えいの可能性

「コールセンター委託先が攻撃されると、自社の顧客情報まで漏れるんでしゅか？」
「電話の対応履歴って漏れたら何が困るんでしゅか？」

チップス

ボス、大和リースのカーシェア「Dシェア」が日本テレネット経由で情報漏えいの可能性って聞いたんでしゅ。委託先経由って、どこまで責任が及ぶんでしゅか？

ボス

ふふふ、委託元の責任は重い。攻撃者は守りの薄い委託先を狙うものだ。再委託の構造まで含めて点検が要る。

2026年4月23日、大和リースは委託先である日本テレネットへのランサムウェア攻撃により、カーシェアリングサービス「Dシェア」会員情報が漏えいした可能性があると発表しました。
5月29日にはScanNetSecurityが続報を伝え、影響範囲の広がりが改めて確認されています。
本記事では、何が起きたのか、なぜ委託先経由の被害が拡大するのかを整理し、自社でできる備えを示します。

記事を読むことで、業務委託のサプライチェーンに潜むリスクと、自社で取るべき具体的な対策が明確になります。

事件の概要：委託先経由で広がった被害

まずは公式発表ベースで判明している事実を整理しましょう。

何が漏れた可能性があるのか

大和リースの説明によると、漏えいのおそれがある情報は、Dシェアのコールセンターに電話をかけた会員の対応情報です。
クレジットカード情報や運転免許証情報は、日本テレネット側のサーバには保存されていない、あるいは保存できない仕組みのため流出のおそれはないとされます。
対象情報を整理すると以下の通りです。

チップス

カード情報や免許証が漏れてないのは安心でしゅけど、対応履歴って漏れたらどう悪用されるんでしゅか？

ボス

過去の問い合わせ内容を握れば、本人なりすましのフィッシングが格段に成立しやすくなる。電話一本で信用を奪える材料になるんだ。

攻撃ルートと影響範囲

侵害を受けたのは、日本テレネットが運用していた「添付ファイル分離メールサーバ」とされます。
この種の中継サーバは複数の取引先メールが集約されるため、攻撃者にとっては効率の良い情報源です。
同じサーバを介していた他社のサービスにも、同様の漏えい可能性があると報じられています。

委託先経由の被害を防ぐために

続いて、委託元の立場で押さえるべき備えを整理します。

委託先のサプライチェーン全体を可視化

業務委託は、自社が直接契約する一次委託先だけでなく、その先の再委託先も含めた構造で捉える必要があります。
Dシェアの事案でも、コールセンターを担う日本テレネットが侵害対象となりました。
委託元として整備すべき観点は以下の通りです。

対応履歴のような「軽く見られがちな情報」を守る

クレカや免許証ほど派手ではないものの、対応履歴やメール本文は、なりすまし詐欺の燃料になる重要情報です。
「個人情報」の範囲をクレカ・免許証など狭く捉えていると、今回のような事案で対応が後手に回ります。
守るべき情報を再評価するときの考え方を表にまとめます。

チップス

うちもコールセンターを外注してるから、再委託まで把握できてないかもしれないでしゅ…。

ボス

気づいた今が見直しの絶好機だな。契約・運用・監査の三位一体で再構築するんだ。

まとめ

日本テレネットへのランサム攻撃と「Dシェア」の事案は、委託先経由の漏えいリスクを改めて突き付けました。
クレカや免許証だけでなく、対応履歴のような「軽く見られがちな情報」もリスク評価の対象に含める必要があります。
再委託まで含めたデータフローの可視化と、契約上のインシデント通知義務を、いま一度整えていきましょう。

サプライチェーンを含めたセキュリティ整備は、第三者視点で動けるフリーランス人材との協業が効果を発揮します。
詳細は ScanNetSecurityの報道 を参照してください。