佐川・ユミルリンク・GMO…大規模情報流出が示す「委託先リスク」と、M＆A時代のゼロトラスト

●この記事のポイント
2026年10月には、佐川急便（最大約5323万件）、ユミルリンク（延べ約5163万件）、GMOインターネットへの身代金要求など、不正アクセス被害の公表が相次いだ。本稿では、委託先を経由した連鎖と、侵入後に内部で被害が広がる構造を整理する。そのうえで、ID管理を軸にしたゼロトラストがM＆A後の統合（PMI）や事業売却をどう速めるのか、NISTの定義と過去最多の5115件に上ったM＆A動向をもとにみてみる。

　9月から10月にかけて、企業による不正アクセス被害の公表がほぼ途切れなかった。なかでも注目を集めたのが、GMOインターネットの仮想デスクトップ型サーバー「お名前.com デスクトップクラウド」の事案だ。同社は10月20日、一部顧客のサーバーに第三者が不正なプログラムを設置したことを確認した。影響は2万6739サーバーに及ぶ。サーバー内に保存されていたFX取引口座のログイン情報が不正に使われた可能性があり、本人の意思によらない取引による損失も確認されている。報道によれば、攻撃者は当初5000万ドル（約80億円）、その後100万ドルを要求した。同社は応じない方針を示しており、警視庁が捜査している。

　規模の大きい事案だけを並べても、以下のとおりだ。件数は各社発表の「最大」「延べ」の値で、実人数とは限らない。

『公表日　企業（サービス）　規模　特徴』
10月28日　日本航空　約9万2000人（うち約2000人はパスポート番号を含む）
委託先Amadeus社のシステム経由

10月26日　ユミルリンク（メール配信）　延べ約5163万件
委託元企業の配信システム群に波及

10月26日　Joshin　最大約623万件
ごく一部に免許証画像・マイナンバーカード情報

10月23日　佐川急便　最大約5323万件（重複含む）
荷物問い合わせサービス

10月23日　パーク24（タイムズカー）
本人確認書類画像 約146万件に外部送信の痕跡
9月25日に異常を検知、第5報

10月22日　カプコン　約1177万件
共通アカウント「CAPCOM ID」

10月16日　Eストアー（BASE子会社）　約2335万6000人
8月発生分の最終報

10月15日　ソースネクスト　最大約2252万件
会員情報管理システム

10月15日　ビーケー・ジャパン（バーガーキング）　約1118万件
公式アプリ

10月8日　ローソン　約215万件
共通アカウント「ローソンID」

10月5日　物語コーポレーション（焼肉きんぐ）　約1078万件
公式アプリ

　外食、小売り、物流、ゲーム、航空、ITと、業種はばらばらだ。件数以上に重いのは中身の変化で、本人確認書類の画像やパスポート番号など、漏れても簡単には変更できない情報が含まれるようになっている。

●目次

• 共通項は「委託先」と「内側での横展開」
• M＆Aは「つなぐ相手」を一気に増やす
• ゼロトラストを「接続の作法」として捉え直す
• 比較：再編局面での境界型とゼロトラスト型

共通項は「委託先」と「内側での横展開」

　侵入の手口は各社とも調査中の部分が多く、一つの原因で括ることはできない。それでも、公表内容から読み取れる共通点はある。

　一つは委託先を起点とした連鎖だ。メール配信サービスを提供するユミルリンクの第2報によると、攻撃者はプログラムの脆弱性を突いてサポート担当者の認証情報を取得し、不正プログラムを使ってデータベースから情報を出力していた。対象のシステムは第1報時点の5から、第2報では不正アクセスの確認分で81に増えている。影響は委託元にも広がり、JR東海、JR西日本、JR九州は10月26日、新幹線予約サービス会員の情報約17万件が漏えいしたと発表した。日本航空の事案も、予約・搭乗手続きのシステムを提供する海外の委託先が起点だった。

　もう一つは、内部の認証情報を一度握られると、横への広がり（ラテラルムーブメント）を止めにくい構造だ。ユミルリンクでは、同じ担当者の認証情報で別のシステムへのログインも試みられていた。一人のIDが、複数のシステムを開ける合鍵のように機能した形だ。

　情報処理推進機構（IPA）の「情報セキュリティ10大脅威 2026」（組織編）でも、1位の「ランサム攻撃による被害」に続き、2位に「サプライチェーンや委託先を狙った攻撃」が入っている。

「委託先管理は、チェックシートを回収して終わりになりがちです。しかし委託先の担当者IDが盗まれれば、監査で問題なしとされた会社からでも侵入は起きます。問うべきは、委託先が破られたときに自社のどこまで届いてしまうかです」（サイバーセキュリティコンサルタント・新實傑氏）

M＆Aは「つなぐ相手」を一気に増やす

　この構造は、M＆Aやグループ再編の場面でより大きな形で現れる。レコフデータの集計では、2025年に日本企業が関わったM＆Aは5115件で2年連続の過去最多だった。買収で取り込むベンチャーや地方・海外の拠点は、本社と同じ水準のセキュリティ統制を持たないことが多い。

「社内ネットワークの内側は信頼し、外側を警戒する」境界型の設計のままだと、買収先を社内LANに入れる前に、監査、専用線やVPNの整備、Active Directoryの統合、端末の入れ替えといった作業が要る。どれも省けない作業だが、事業側は早くシナジーを出したい。その結果、「暫定でつないで先に進める」か「安全が確認できるまでつながない」かの二択になりやすい。前者は侵入口を、後者は統合の遅れを生む。

　買収先の弱点が買い手に引き継がれた例として知られるのが、米マリオット・インターナショナルだ。2016年に買収したスターウッドの予約システムには買収前から侵入が続いており、英国の情報コミッショナー事務局（ICO）は2020年、同社に1840万ポンドの制裁金を科した。買収前に始まっていた侵入が、買い手側の管理責任として問われた形だ。

「デューデリジェンスでセキュリティを確認する会社は増えました。ただ、クロージング後のIT統合の手順まで、価格や日程に織り込めている案件はまだ少ない。PMIが遅れるときは、たいていネットワークとIDの統合でつまずいています」（M＆Aコーディネーターで中小企業診断士の村上達哉氏）

ゼロトラストを「接続の作法」として捉え直す

　ゼロトラストは「何も信用しない」と訳されがちだ。米国立標準技術研究所（NIST）が2020年に公開したSP 800-207では、ネットワーク上の位置だけで暗黙の信頼を与えず、リソースごとにアクセスの可否を判断する考え方として整理されている。判断の材料は、利用者のID、端末の状態、アクセスの文脈だ。国内でもデジタル庁が2022年、政府情報システム向けの適用方針を示している。

　この設計は、M＆Aや再編の場面で次の4点で効いてくる。

1．初日からの業務連携：買収先の社員に親会社のID基盤（IdP）のアカウントを発行すれば、ネットワークを物理的につながなくても、クラウド型のCRMやコミュニケーションツールなど、必要なアプリに限って使えるようになる。
2．端末の状態に応じた段階的な許可：EDRの導入有無やOSの更新状況を確認し、未確認の端末にはブラウザでの閲覧だけを許す、といった制御ができる。端末の入れ替えを待たずに業務を始められる。
3．カーブアウト時の切り離し：アクセス権がIDとアプリの単位で整理されていれば、売却する事業の権限を移管・停止する作業が中心になる。絡み合った社内回線を解きほぐす手間が減り、TSA（移行期間中のサービス提供契約）の範囲を絞る余地も生まれる。
4．委託先への最小権限：社内網への包括的な接続ではなく、業務に必要なアプリだけを開ける。委託先が侵害されても、攻撃者がたどり着ける範囲を狭めやすい。

　ただし、ゼロトラストは製品を一つ入れれば済むものではない。オンプレミスの基幹システムはこうした制御に乗せにくく、ID台帳の整備やログを監視する体制がなければ機能しない。導入は段階的に進めるのが一般的で、数年がかりの取り組みになることも珍しくない。また、IDを軸にする以上、IDそのものの保護（多要素認証や異常なログインの検知）が甘ければ、弱点の場所が移るだけだ。

「ゼロトラストがうまくいくかは、IDの棚卸しでほぼ決まります。誰が何にアクセスできるかを平時に説明できる会社は、買収でも売却でも動きが速い。そこが曖昧なまま製品だけ入れても、効果は出ません」（同）

比較：再編局面での境界型とゼロトラスト型

　下の表は一般的な傾向を整理したものだ。所要期間や費用は、対象システムの構成や既存環境によって大きく変わる。

境界型防御
買収先との業務開始　　　　　回線接続・端末整備の完了後になりやすい
初期の追加投資　　　　　　　回線、VPN機器、端末更新が中心
子会社・委託先経由の横展開　内側に入られると広がりやすい
カーブアウト時の分離　　　　ネットワークの切り分けに時間がかかりやすい
運用の前提　　　　　　　　　境界機器の監視と更新

ゼロトラスト型
買収先との業務開始　　　　　IDとアプリ単位で、必要な範囲から先行できる
初期の追加投資　　　　　　　ID基盤、端末管理、アクセス制御の利用料が中心
子会社・委託先経由の横展開　アプリ単位の制御で範囲を限定しやすい
カーブアウト時の分離　　　　権限の移管・停止が作業の中心になる
運用の前提　　　　　　　　　ID管理、端末管理、ログ監視の継続

「破られない」より「破られても広がらない」へ

　10月の一連の事案は、自社の防壁だけを高くしても、委託先や取引先の側から入られる現実を示した。経営として問われるのは、侵入を前提に、被害がどこまで広がるかを設計の段階で抑えられているかどうかだ。

　そのうえで、セキュリティ投資を「守りのコスト」だけで測らない視点も要る。会社を買い、組み込み、必要になれば切り離す。M&Aが過去最多の水準で続くなか、IDを軸にしたアクセス設計は、事業ポートフォリオを組み替える速さにも関わってくる。

　取締役会でセキュリティを議題にするなら、「事故が起きたらどうするか」と並んで、「次に買う会社を、何日で安全に業務へ参加させられるか」を問うてみる価値はある。答えに詰まるようなら、そこが次の投資先だ。

（文＝BUSINESS JOURNAL編集部、協力＝新實傑／サイバーセキュリティコンサルタント）

【主な参照データ・出典】
Impress Watch「お名前.comデスクトップクラウドで不正アクセス FXで不正利用も発生」
ScanNetSecurity「お名前.com デスクトップクラウド」に不正アクセス（GMOインターネット第4報）
日本航空「Amadeus社が提供する旅客サービスシステムへの不正アクセスについて」
ネットショップ担当者フォーラム「佐川急便「お荷物問い合わせサービス」への不正アクセス」
IPA「情報セキュリティ10大脅威 2026」（2026年1月29日公開）
NIST SP 800-207「Zero Trust Architecture」（2020年8月）
英国ICO「Marriott International Inc, Penalty Notice」（2020年10月30日）