日経不正アクセスの発表が、2026年10月16日に出ました。日本経済新聞社がシステム開発に使うクラウドサービスが不正アクセスを受け、約183万件の個人情報が漏えいしたとしています。入口は、クラウドにアクセスするための認証情報でした。
同社は9月末から半月のあいだに、別の不正アクセスも2件公表しています。本記事は3件を時系列に並べ、今回の件の中身と、対象者がやること、開発チームが自分の環境で点検することをまとめます。
THE SCALE内訳
183万件のうち、氏名などを含むのは約15万件
183万件
漏えいした個人情報
10月16日時点
15万件
氏名・住所などを含む
うちメールアドレスを含む約12万件
168万件
識別子のみ
単体では個人を特定できない
30秒でわかる（2026年10月16日時点）
- ・規模：約183万件。氏名・メールアドレス・住所・電話番号・生年月日のいずれかを含むのは約15万件で、残りの約168万件は識別子のみ。カード情報は含まない
- ・入口：システム開発用のクラウドの認証情報が盗まれ、10月7日の未明から朝にかけて入られた。盗まれた手段は公表されていない
- ・対応：使われた認証情報を無効化。個人情報保護委員会へは11日に報告。悪用やシステム停止・改ざんは16日時点で確認されていない
- ・対象者：漏えいが確認された人には個別に連絡がある。連絡を名乗る偽のメールに注意
インシデントの読み方やほかの事案は サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説 にまとめています。
日経不正アクセスのタイムライン
TIMELINE時系列
半月で3件の不正アクセスを公表。今回は開発用クラウドの認証情報
-
9/30
社員のMicrosoft 365が乗っ取られる
なりすましメール約9,000件（10/4 公表）
-
10/4
Google Workspaceへの不正ログイン
1,646人分の漏えいの疑い（別の事案）
-
10/7
開発用クラウドに不正アクセス
盗まれた認証情報で未明から朝にかけて
-
10/16
183万件の漏えいを公表
個人情報保護委員会へは11日に報告済み
| 日時（日本時間） | 出来事 | 事案 |
|---|---|---|
| 2026-09-30 | 社員の Microsoft 365 アカウントが不正に使われ、なりすましメール約9,000件が社内や取材先に送られる | ① |
| 10-04 | ①を公表。あわせて Google Workspace への不正ログインによる1,646人分の漏えいの疑いを公表 | ①・② |
| 10-07 未明〜朝 | 盗まれた認証情報で、システム開発用のクラウドサービスに不正アクセス | ③ |
| 10-11 | ③を個人情報保護委員会に報告 | ③ |
| 10-16 | ③で約183万件が漏えいしたと公表 | ③ |
①〜③は、それぞれ別の事案として公表されています。互いに関係があるかどうかは、発表では説明されていません。③は、個人情報保護委員会への報告（11日）から公表（16日）まで5日ありました。
当サイトの環境からは、日本経済新聞社のお知らせのページを開けませんでした。発表の文言は、検索結果に載った本文を複数の検索で突き合わせて確かめています。
漏えいした情報と、まだ分かっていないこと
| 区分 | 件数 | 中身 |
|---|---|---|
| 個人情報（本人の情報を含む） | 約15万件 | 氏名・メールアドレス・住所・電話番号・生年月日のいずれか |
| うちメールアドレスを含む | 約12万件 | — |
| 識別子のみ | 約168万件 | 単体では個人を特定できない識別子 |
| 対象外 | — | クレジットカード情報 |
発表で分かっていないこと
- ・認証情報がどうやって盗まれたか
- ・開発用のクラウドに、なぜ利用者の個人情報があったのか（本番のデータの複製か、連携の途中のデータか）
- ・①②と③に関係があるか
- ・件数は16日時点のもので、精査が続いている
日経不正アクセスの対策——対象者がやること
・個別の連絡を待つ：同社は、漏えいが確認された人に個別に知らせるとしています
・連絡を名乗るメールを疑う：9月30日には、実際に日経の社員アカウントからなりすましメールが送られています。「漏えいのお詫び」「確認のお願い」をうたうメールが来ても、リンクは開かず、日本経済新聞社の公式サイトを自分で開いて確かめてください
・パスワードは使い回しを解消しておく：今回の項目にパスワードは挙がっていませんが、メールアドレスと氏名がそろうと、他のサービスへのなりすましの材料になります。同じパスワードを複数のサービスで使っているなら、この機会に分けておくと安全です
開発チームが自分の環境で点検すること
今回の入口は、本番のサービスではなく「システム開発に使うクラウド」の認証情報でした。認証情報が盗まれた手段は公表されていないので、日経で何が起きたかはここでは推測しません。そのうえで、開発用の環境を持つチームが確かめておきたい点を挙げます。
FOR DEV TEAMS開発チームの点検
開発用の環境でも、鍵が1本漏れれば本番の名簿まで届く
-
1.長く有効な鍵を置かない
一時的な認証情報に置き換え、使っていない鍵は消す
-
2.開発環境に本物の個人情報を置かない
テスト用にはマスクしたデータや合成データを使う
-
3.鍵の使われ方を見張る
普段と違う時間・場所からのアクセスに気づけるか
| 点検すること | 見るところ |
|---|---|
| 長く有効な鍵 | 開発者の端末や CI、設定ファイルに、何か月も有効なアクセスキーが残っていないか。一時的な認証情報に置き換えられるか |
| 鍵の権限 | 開発用の鍵で、本番のデータや別の環境まで読めてしまわないか |
| 開発環境のデータ | テストのために、本物の個人情報を複製していないか。マスクしたデータや合成データで足りないか |
| 使われ方の監視 | 普段と違う時間帯・場所・量のアクセスに、何日で気づけるか |
| 無効化の手順 | 漏れた疑いが出たとき、どの鍵を止めればよいかを、すぐに洗い出せるか |
開発用の環境は、本番より見張りが手薄になりがちです。そこに本番と同じ個人情報があれば、入口が開発用でも被害は本番と同じになります。外部サービスの鍵の取り替え方は、同じ週に起きた Studio不正アクセスで利用者がやること｜APIキー・フォーム・保護ページの鍵を取り替える手順 でも扱っています。
影響範囲と、続報で見るべき点
影響は、漏えいした約183万件にかかわる人です。本人を特定できる情報を含むのは約15万件で、そのうちメールアドレスを含む約12万件の人は、なりすましメールの宛先になりやすい層です。
続報では次の点を見ると、自分の対応を見直しやすくなります。
・件数の確定値と、対象者への連絡の進み具合
・認証情報が盗まれた手段と、再発防止策
・①②③に関係があったかどうか
似た事案として、さくらインターネット不正アクセスとは｜第三報の951と136万・2023年4月からの期間・自分の確認手順 も扱っています。続報が出たら、本記事も更新します。
参照ソース
- 日本経済新聞社「不正アクセスによる個人情報漏洩について」2026-10-16（当サイトの環境からは開けず、検索結果に載った本文で確認）
- 日本経済新聞「日経に不正ログイン、1646人分の個人情報漏洩か」（当事者である同社の報道。②の件数の確認に使用。見出しと検索結果の本文で確認）
