象印マホービン台湾子会社にサイバー攻撃、顧客情報・駐在員パスポート流出の可能性

「日本企業の海外子会社って、本社と同じレベルで守られているの？」
「台湾の顧客情報や駐在員のパスポートまで漏れるって、何が起きたの？」

チップス

ボス、象印マホービンの台湾子会社がサイバー攻撃を受けたみたいでしゅ。パスポート情報まで漏れたんでしゅか？

ボス

うむ、5月15日に台湾象印で不正アクセスが公表された。発生は4月13日、流出判明は5月11日だ。海外拠点を持つ企業に共通する課題が見える。

本記事では象印マホービンの台湾子会社へのサイバー攻撃と、海外子会社のセキュリティ管理で日本企業が見直すべきポイントを解説します。
海外法人を持つ国内企業すべてに関わる事例です。

続きを読めば、海外子会社のリスクを本社目線でどう管理するかのヒントが得られます。

台湾子会社で何が起きたのか

発生から公表まで1か月余り、流出範囲の確定に時間を要した事例です。
まずは公表内容を時系列で見ていきましょう。

4月13日の障害から5月15日の公表まで

同社の発表によれば、台湾象印は2026年4月13日に外部からの不正アクセスを検知し、システム障害が発生しました。
当該サーバーをネットワークから即時遮断したうえで、外部専門家の支援を受けて調査を実施しています。
5月11日に機密情報・個人情報の流出可能性が確認され、5月15日付で公表に至りました。グループ会社への影響はないと説明されています。

公表された経緯を整理します。

流出した可能性のある情報

対象は台湾の顧客の氏名・メールアドレスと、一部従業員のパスポート情報や財務情報です。
パスポートは身分証として強力なため、悪用されると渡航偽装や金融口座開設に発展する恐れがあります。
クレジットカード番号など決済情報は含まれていないとされ、二次被害の範囲は一定程度限定されています。

チップス

パスポートが漏れるって、海外駐在員にとっては相当きついでしゅね…

ボス

うむ、本人確認書類の流出は影響が長期に及ぶ。海外駐在者を抱える企業はパスポートデータの保存方法を一度見直す必要があるな。

海外子会社のセキュリティ管理で問われる点

海外子会社は本社と切り離されがちで、セキュリティ運用に温度差が生まれます。
本件から導ける現実的な打ち手を見ていきます。

本社・現地法人の責任分界の見直し

海外子会社は現地法令や言語の壁を理由に、本社のセキュリティ基準が浸透しにくい構造を持ちます。
結果として、現地任せのパッチ運用やログ取得になりがちで、攻撃者から見れば本社の裏口に近い存在になります。
パスポート情報のような共通機微データを扱う場合は、本社の統制下にあるテナントへ集約する設計も検討に値します。

海外子会社で特に確認したい項目は以下のとおりです。

流出範囲確定までの「空白期間」をどう短くするか

今回は検知から流出判明まで約1か月、公表まではさらに数日かかりました。
この間、流出した個人は自分が被害者かどうか分からず、対策の手を打てません。
ログ保全と外部専門家の事前契約があれば、調査着手から確定まで数週間単位で短縮できる可能性があります。

チップス

調査会社って、攻撃を受けてから探すんじゃ遅いんでしゅね…

ボス

うむ、平時のうちにフォレンジック契約を結んでおく。攻撃を受けてから連絡先を探していては、二の矢三の矢を防げない。

まとめ：海外子会社は本社の裏口になり得る

海外子会社は地理的にも文化的にも遠い場所で、知らないうちに攻撃者の入口になっていることがあります。
本件から汲み取れる要点を整理します。

チップス

海外拠点も本社と同じくらい大事にしないとダメでしゅね！

ボス

うむ、攻撃者は組織図ではなく、もっとも守りが薄い拠点を狙う。グループ全体で備える視点を忘れるな。

詳しい情報はSecurity NEXTの報道を参照してください。