エフワンがランサムウェア被害、17万件の個人情報流出─委託先経由のサプライチェーン責任を問う

「中堅IT企業がランサムウェアにやられたら、何が起きるのでしょうか？」
「自社のIT委託先が侵害されたら、自分の顧客情報も漏れる？」

チップス

ボス！エフワンっていう会社がランサムウェアにやられて、17万件の個人情報が漏れたって…
うちもIT委託先のひとつなんでしゅが、これって他人事じゃないでしゅよね？

ボス

その不安は正しい。
1月30日に攻撃を受け、4月8日に最終報を出したのがエフワンだ。
勤務先・氏名・連絡先など17万件分が外に流れた可能性が公式に確認されている。

本記事ではエフワン事案を整理しつつ、IT委託先が侵害されたときに発注側企業が取るべき対応も解説します。
「自社は被害者じゃない」と思いがちなケースほど、責任が問われる時代に入っています。

委託先経由のサプライチェーン被害が、いま日本企業の最大リスクのひとつになっています。

エフワン事案の概要：1月の攻撃から4月最終報までの流れ

エフワン株式会社は2026年1月30日午前0時頃、社内システムがランサムウェアに感染。
同日朝8時半に社員からの報告で発覚し、外部調査会社と連携して原因調査と影響範囲特定を進めてきました。
5月8日にScanNetSecurityが報じた段階で、最終報は4月8日に既に出ています。

漏洩した情報の種類

漏れたのは、氏名・生年月日・性別・住所・電話番号(携帯含む)・勤務先名・部署・役職・勤務先住所・勤務先電話番号・メールアドレスといった項目です。
BtoB営業のターゲット情報として、ほぼ完全な「名刺データベース」が流出した形になります。
受け取った側は、なりすましメールや特殊詐欺の標的選定に転用できる粒度です。

チップス

勤務先と役職まで漏れてるって、フィッシングの素材として一級品でしゅね…

ボス

そうだ。「総務部の○○さん宛て」というメールが来たら、つい開いてしまうだろう？
BEC(ビジネスメール詐欺)の精度を爆上げする情報だな。

委託先が侵害された企業が取るべき対応

IT委託先・取引先が侵害された場合、発注側企業にも応分の対応責任が生じます。
個人情報保護法と改正サプライチェーン責任の流れでは、「外部に丸投げした」では済まされません。

事案発覚時のチェックリスト

まずは委託先に「どの自社データが漏洩対象か」を文書で確認することが第一歩です。
その上で、自社顧客への通知要否を個人情報保護委員会の基準に照らして判断します。

中長期で見直すべき委託先管理

事件後の対応だけでなく、平時の委託先管理を強化することが本質的な再発防止策です。
契約段階でセキュリティ要件を明文化し、年次でSAQ(自己評価質問票)を取得する運用が標準になりつつあります。

実装したい仕組みは以下の通りです。

チップス

うちの委託先契約、セキュリティ条項がほぼないでしゅ…大丈夫でしゅかね。

ボス

契約改定は次の更新タイミングで必ずやれ。
「インシデント時の通報義務」と「再委託の事前承認」、この2つだけでも入れておくと違うぞ。

詳細はScanNetSecurityの報道を参照してください。

まとめ：委託先被害を「自社のリスク」として捉え直す

17万件の漏洩というインパクトの背後には、委託先経由で広がるサプライチェーンリスクの構造があります。
自社が守るべきは自社サーバだけではなく、データを渡している全ての先までです。

チップス

「データを渡したら、もうあちらの責任」って思ってたでしゅ…考え方変えないとマズいでしゅね。

ボス

個人情報保護法の改正でも、委託元の監督義務は強化されている。
「委託したから安心」の時代は、もう終わりだ。

委託先管理の設計や契約書見直しは、専門知識が必要な領域です。
社内で対応が難しい場合は、セキュリティフリーランスを活用してスポットで強化するのも現実的な選択肢です。