TECHNOLOGY ／ 業務システム・ツール・情報漏洩・委託先管理
委託先で顧客12.4万件流出の恐れ。預けた名簿は返却まで確かめる
公開 2026.10.05
委託先へのランサムウェア攻撃で、大東ガスの顧客約12.4万件に流出の恐れが出た。2年以上前の顧客の情報が、過去の仕事のファイルとして委託先に残っていた。仕事は終わってもデータは終わらない。預けた名簿の出口の決め方を図で整理する。
大東ガスの顧客約12.4万件の情報に、流出の恐れが出ました。漏れた先は、大東ガスのシステムではありません。2年以上前の顧客の情報が、過去の仕事のファイルとして委託先に残っていました。
外注先に名簿を渡したことがある会社なら、同じことが起きえます。仕事は終わっても、預けたデータは終わらないからです。
最初に結論：預けた名簿は、返却か削除まで確かめる
まず見るべき判断表｜立場ごとに見る場所
| 自社の立場 | 代表的な業種 | 見る場所 |
|---|---|---|
| 名簿を多く預かる | IT保守・受託開発・印刷・DM発送・コールセンター | 納品後に消す期限を決める |
| 預けも預かりもする | 士業・人材紹介・保険代理店 | 再委託先まで一覧にする |
| 名簿を多く預ける | 小売・EC・不動産管理・ガス | 契約の終わりに返却・削除の報告をもらう |
| 図面や見積を受け渡す | 部品製造・建設 | 受け渡し先も台帳に載せる |
委託の入口には、見積・契約・名簿の受け渡しという手順があります。足りないのは出口です。取引が終わったときに、返却か削除を確かめる手順を仕組みに入れます。
委託先1社への侵入で、ガス会社と市の名簿に流出の恐れ
ITサービス会社の両毛システムズは9月25日、社内ネットワークへの不正アクセスが、ランサムウェアによる攻撃だったと公表しました。
侵入されたのは8月12日です。VPN（社外から社内のネットワークにつなぐ入口）のアカウントが悪用されました。業務をクラウドに移すと、こうした社外からの入口は増えます。切り替えと同時に権限を見直す進め方は「バックオフィスDXの7つのステップ」で扱っています。
影響は、この会社に仕事を任せていた側に広がりました。大東ガスは9月28日、顧客約12.4万件の情報が流出した可能性があると公表しました。
同じ日に伊勢崎市も、児童生徒のタブレット用アカウントの情報について公表しています。件数は3,789件です。
報道によると、名張近鉄ガスも、顧客約6,800件の情報に流出の恐れがあると発表しました。
出典：両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月25日）、大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」（2026年9月28日）、伊勢崎市の公表（2026年9月28日）、伊賀タウン情報YOUの報道（2026年9月30日）をもとに筆者作成。
大東ガスが委託先から報告を受けたのは、侵入から43日後でした。
INCIDENT DATA
委託先1社への侵入で広がった影響
約12.4万件
大東ガスの顧客情報
約6,800件
名張近鉄ガスの顧客情報（報道）
3,789件
伊勢崎市の児童生徒のタブレット用アカウント情報
43日
侵入から大東ガスへの報告まで
流出の恐れがあるのは、どの委託元でも、委託先の側に置かれていた情報です。
そもそも「委託」とは？ 名簿のコピーを社外に預けること
外注先や保守会社に顧客の情報を扱わせることを、個人情報保護法では「委託」と呼びます。DMの発送、システムの保守、給与計算の代行も、これにあたります。名簿のコピーを、社外に預けている状態です。
預けても、責任は預けた側に残ります。法律は、預けた会社に、委託先を監督する義務を課しています。個人情報保護委員会のガイドラインは、その中身を3つに分けています。委託先を選ぶこと、契約で扱い方を決めること、扱いの状況を把握することです。
漏れたときの手続きもあります。本人が1,000人を超える場合や、不正アクセスのように不正の目的のおそれがある場合は、個人情報保護委員会への報告と、本人への通知が必要です。原則は、委託元と委託先の双方の義務です。委託先は、委託元に知らせれば報告を免除されます。
出典：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」の3-4-4（委託先の監督）、3-5（漏えい等の報告等）をもとに筆者作成。
ランサムウェアは、会社のデータを暗号化して使えなくし、元に戻す代わりに身代金を求める攻撃です。IPA（情報処理推進機構）の「情報セキュリティ10大脅威 2026」の組織編では、ランサム攻撃が1位、委託先などを狙った攻撃が2位でした。今回の件は、その2つが重なった形です。
本当に起きていること：仕事は終わっても、データは終わらない
大東ガスの公表には、見落とせない点があります。流出の恐れがあるのは、2023年11月から2024年4月までの利用客の情報です。
大東ガスは、過去に委託先との業務で扱ったファイルが、委託先の社内ネットワークに残っていたと説明しています。
この件の解説の多くは、VPNの守り方や、委託先からの接続の管理に目を向けています。それも大事です。けれども、このニュースの本質は、委託先の守りが甘かったことではありません。仕事が終わっても、預けたデータは終わらないことです。
仕事には終わりがあります。契約の期限や納品で、いつ終わったかを誰でも言えます。データには、その終わりがありません。返してもらったか、消してもらったかを確かめなければ、ファイルは相手の手元に残り続けます。
出典：大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」（2026年9月28日）、両毛システムズ（第3報）をもとに筆者作成。ファイルが委託先に置かれた時期は公表されていない。
成長に効くか、仕組みになるか、人が育つか。この3つの物差しで見ると、これは「仕組みになるか」の問題です。委託の入口には、見積を取り、契約を結び、名簿を渡す、という手順があります。では、出口はどうでしょうか。取引が終わったときに返却か削除を確かめる手順が、あなたの会社の仕組みの中にあるかどうかです。
数字で見ると：名簿のコピーは、取引の数だけ増える
仮に、毎年3社の外注先に、顧客名簿を渡すとします。どの取引も、1年で終わるとします。
返却や削除を確かめなければ、名簿のコピーは毎年3か所ずつ増えます。
5年たつと、社外に15か所です。
そのうち12か所は、もう取引のない相手の手元にあります。確かめていれば、残るのは今の取引先の3か所です。
筆者試算。前提：毎年、新しい3社に名簿を渡し、取引はそれぞれ1年で終わる場合。
返却・削除を確かめない場合
15か所
5年後、社外に残る名簿のコピー。うち12か所は取引のない相手の手元
返却・削除を確かめる場合
3か所
残るのは今の取引先の手元だけ
取引のない相手とは、ふだん連絡を取りません。相手がどう守っているかも、見えなくなります。取引が続いている相手でも、何かあったときの知らせには時間がかかることがあります。大東ガスの例では、侵入から報告まで43日でした。つまり、預けた名簿の守りと知らせは、相手まかせになりやすいということです。
うちの業界は？ 預ける側か、預かる側かで、見る場所が違う
同じ「委託」でも、立場によって見る場所が違います。分かれ目は2つです。1つは、外に預ける名簿がどれだけ多いか。もう1つは、取引先から預かる名簿がどれだけ多いかです。
意外なのは、預かる側の怖さです。両毛システムズの例では、1社への侵入で、少なくとも3つの委託元の情報に流出の恐れが出ました。IT保守や受託開発、印刷、DM発送のように、多くの取引先から名簿を預かる会社では、1回の侵入が多くの取引先に広がりえます。取引先から「止まったときの備え」を問われる場面も増えています。その答え方は「中小企業のリスク管理入門」で整理しています。
預ける側の代表は、小売やEC、不動産管理のように、会員や顧客の名簿を持つ会社です。配送や会員管理、DMで、名簿を外に出す場面が多くあります。名簿を集めて営業に使うときの個人情報保護法の線引きは「BtoBマーケティングの始め方」で扱っています。士業や人材紹介のように、預かった名簿を、さらに外のシステムや再委託先に預ける業種もあります。
筆者整理。業種の置き場所は代表的な例で、会社によって異なる。
あなたの会社では？ 契約の「出口」に、返却と削除の確認を入れる
あなたの会社にも、終わった取引の名簿が、社外に残っていないでしょうか。DMの発送、イベントの受付、システムの入れ替え。名簿を渡した仕事は、思い出すと意外に多いはずです。残っているなら、それがこのニュースと同じ形です。
預ける側の会社なら（小売・EC・不動産管理など）、次の契約から、終わるときに返却か削除の報告をもらうことを書き入れます。個人情報保護委員会は、マイナンバーを含むデータ入力を委託するときの資料で、契約の終わりにデータが返還または削除されたことを確かめる必要があるとしています。マイナンバー以外の名簿でも、同じ考え方が使えます。
預かる側の会社なら（IT保守・受託開発・印刷・DM発送など）、納品のあと、いつ消すかを自社で決めます。決めた期限を取引先に示せれば、取引先が安心して仕事を任せる理由にもなりえます。
明日やるなら、過去3年に名簿を渡した先を、1枚に書き出してください。欄は、渡した先、何を何件、仕事の状態、今どうなっているか、の4つです。「不明」の行があれば、相手に「まだ持っていますか」と聞くところから始めます。
筆者作成。記入例は架空。
NEXT ACTION / 次にやること
過去3年に名簿を渡した先を、1枚に書き出す
欄は、渡した先、何を何件、仕事の状態、今どうなっているか、の4つです。「不明」の行があれば、相手に「まだ持っていますか」と聞くところから始めます。
VPNの守り方や多要素認証など、技術の基本は「サイバーセキュリティの基礎知識」にまとめています。名簿を預ける契約で、再委託の条件や漏れたときの連絡期限をどう書くかは「契約書のチェックポイント」で扱っています。
5問で確認する 預けた名簿の出口の管理
社外に預けた名簿が、取引の終了後も残っていないかを確かめる簡易チェックです。
SELF CHECK / 無料・登録不要
5問で確認｜預けた名簿の出口の管理
外注先・保守会社・代行会社とのやりとりを思い浮かべて、いちばん近いものを選んでください。回答はこの端末の中だけで処理され、送信・保存されません。
※一般的な検討項目を整理するための編集部独自の目安です。成果や適法性を判定・保証するものではありません。
出典・調査の対象範囲
- 両毛システムズ「当社社内システムへの不正アクセスに関するお知らせ（第3報）」（2026年9月25日） 原文を見る
- 大東ガス「システムサービス提供事業者へのサイバー攻撃に伴うお客さま情報流出の可能性について」（2026年9月28日） 原文を見る
- 伊勢崎市 学習者用タブレット端末等の保守管理委託先への不正アクセスに関する公表（2026年9月28日） 原文を見る
- 伊賀タウン情報YOU「名張近鉄ガス、顧客情報6800件漏洩か 委託先にランサム攻撃」（2026年9月30日） 原文を見る
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 原文を見る
- 個人情報保護委員会事務局「特定個人情報等のデータ入力業務の委託先に対する監督について」（令和4年4月） 原文を見る
- IPA「情報セキュリティ10大脅威 2026」（2026年1月29日） 原文を見る
※件数や経緯は各社・自治体の公表と報道に基づく、執筆時点の情報です。名簿のコピーの数の計算と自己診断は、考え方を示すための編集部の試算・整理です。
