海外の不正アクセス事例は？気になったので2026年の「侵入経路が公表された」16個の事例をまとめました

2026年11月4日

日本国内の情報漏えい事件は以前の記事で整理しましたが、「海外ではどんな不正アクセスが起きているのか」「日本と手口は違うのか」が気になったので、2026年に公表された海外の事例を調べてみました。

まず最初に海外の不正アクセス事例を調べていて気づいたのは、公式発表のほとんどに「どこから入られたか」が書かれていないことです。「権限のない第三者がシステムにアクセスした」で終わる発表が大半で、これでは自社の対策に活かせません。

そこでこの記事では、2026年に公表された海外の事例のうち、被害企業・組織の公式発表、米国SECへの提出書類(Form 8-K)、州司法長官への届出書簡に「侵入経路」が明記されているものだけを16件集めました。経路が書かれていない事例は、どれだけ大きくても載せていません。

後半では、16件の経路を4つに分類し、「何から対策していけばいいか」を順番に整理します。

1. 侵入経路が公表された16件(経路別)

経路A:人をだます——電話・メール・偽ログイン画面(7件)

1. Carnival Corporation(米国・クルーズ):従業員をソーシャルエンジニアリングでだまし、約600万人の個人情報

侵入経路(公式):「攻撃者はソーシャルエンジニアリングで従業員をだまし、社内ITシステムの一部にアクセスした」。4月14日に従業員アカウントの不正利用を検知、4月22日に個人情報のコピーを確認。
流出データ:氏名、住所、メールアドレス、電話番号、生年月日、政府発行ID番号(運転免許証・パスポート番号)。
被害規模:5,995,277人(メイン州司法長官への届出値)。
対応:不正活動の遮断、外部専門家による調査、米国在住者に2年間の信用監視。
出典:Substitute Notice(Carnival公式、2026年5月27日) / メイン州司法長官届出

2. Aura(米国・ID保護サービス):従業員への「電話フィッシング」で約1時間アカウントを乗っ取られ、約90万件

侵入経路(公式):「従業員の1人が標的型の電話フィッシング(phone phishing)攻撃の被害に遭い」、権限のない第三者が約1時間その従業員のアカウントにアクセス。
流出データ:約900,000件のレコード(大半は2021年に買収した会社のマーケティングツール内の氏名・メールアドレス)。現顧客2万人未満・元顧客1.5万人未満の連絡先(氏名、メール、住所、電話)。SSN・パスワード・金融情報は含まない。
対応:アカウントの即時遮断、外部専門家の起用、法執行機関への通報。
出典:Aura Statement on Exposure of Limited Customer Information(Aura公式、2026年3月19日更新)

3. Abbott(米国・医療機器・診断):がん診断事業の内部システムに「ビッシング(電話フィッシング)」で侵入

侵入経路(公式):「ビッシング攻撃(vishing attack)であり、暗号化マルウェア(ランサムウェア)の事象ではない」と明記。影響はがん診断事業の限られた内部システムのみ。
流出データ:影響を受けたファイルの一部に個人情報・個人健康情報を含む(8月5日更新)。件数は精査後に通知予定。
対応:外部専門家と法執行機関の関与。事業運営・製品供給・製造・ラボ業務への影響なし。
出典:Abbott statement on cyber incident in cancer diagnostics business(Abbott公式、2026年7月16日/8月5日更新)

4. IEH Corporation(米国・防衛向けコネクタ製造):取引先候補を装ったメール→偽のMicrosoft 365ログイン画面

侵入経路(公式):「攻撃者は取引先候補になりすまし、Microsoftの文書共有リンクを装ったハイパーリンクを送付。ユーザーがリンクを開き、偽のログインページにMicrosoft 365の認証情報を入力した結果、不正なアカウントアクセスが発生」。8月4日に発覚。
流出データ:メールボックスの内容(メール、添付、顧客とのやり取り、発注書、設計関連文書、輸出管理対象の可能性がある技術情報)。外部送信・持ち出しの証拠は現時点でなし。
対応:アカウントの保護、不正に設定されたメールボックスルールの無効化、証拠保全、Microsoft 365の認証保護の見直し。
出典:Form 8-K(SEC、2026年8月6日)

5. Eskenazi Health(米国・公立病院):乗っ取られた取引先のメールアドレスからのフィッシングで、職員が「認証手続きを完了」

侵入経路(公式):「信頼している取引先のメールアカウントが侵害され、そのアドレス帳の宛先に数千通の不正メールが送信された。職員が受け取ったフィッシングメールは取引先からのものに見え、『安全な文書通知』のリンクを含んでいた。職員がリンクを開き、求められた認証手続きを完了した後、攻撃者は職員の業務アカウントにアクセスした」。不正アクセスは6月3日〜7月27日。
流出データ:個人属性・連絡先、保険・請求情報、医療記録番号、診療情報、物質使用障害の診断・治療情報、SSN。
被害規模:記載なし。
対応:アカウントの保護、フォレンジック調査、追加の防御策と職員教育の検討、ID保護サービス。
出典:Notice of Data Security Incident(Eskenazi Health公式、2026年9月25日)

6. Levi Strauss & Co.(米国・アパレル):ソーシャルエンジニアリングで従業員3人の会社支給PCに侵入

侵入経路(公式):「権限のない第三者が、ソーシャルエンジニアリングの手法によって従業員3人の会社支給コンピュータへの不正アクセスを可能にし、会社のファイルにアクセスした」。
流出データ:社内情報の一部がアクセス・持ち出し。消費者データへの影響はなし。
対応:対応手順の開始、封じ込め、外部専門家の起用。事業運営に重大な影響なし。
出典:Form 8-K(SEC、2026年8月7日)

7. AdaptHealth(米国・在宅医療機器):委託先契約者のセッションをソーシャルエンジニアリングで乗っ取り、クラウドの患者管理システムへ

侵入経路(公式):「第三者の契約者(third-party contractor)に紐づくユーザーセッションを侵害したソーシャルエンジニアリング攻撃の成功によるもの」。攻撃者はクラウド上の患者管理システム・文書保管基盤にアクセスし、保険請求用の保存パスワードファイルを持ち出し、外部の電子カルテポータルにもアクセス。
流出データ:患者の個人情報と保護対象保健情報、保険請求用パスワード。SSN・金融口座情報は対象システムに保存なし。
被害規模:8-Kでは「未確定」(米国HHSへの届出として約411万人と報じられていますが、公式ポータルでは未確認)。
対応:侵害アカウントの無効化、認証情報のリセット、アクセス制御の追加、12か月以上の信用監視。
出典:Form 8-K(SEC、2026年6月27日) / Notice of Cybersecurity Incident(AdaptHealth公式)

経路B:委託先・外部ツール・SaaS連携が入口(4件)

8. Vercel(米国・開発者向けクラウド):従業員が使っていた「サードパーティAIツール」の侵害→Google Workspaceアカウント乗っ取り→社内環境へ

侵入経路(公式):「インシデントは、Vercel従業員が使用していたサードパーティ製AIツール Context.ai の侵害に端を発する。攻撃者はそのアクセスを使って従業員個人のVercel Google Workspaceアカウントを乗っ取り、そこからVercel環境に侵入し、システム内を移動して機密指定されていない環境変数を列挙・復号した」。同ツールのGoogle Workspace OAuthアプリが広範に侵害されており、「多数の組織の数百人のユーザーに影響している可能性」としてOAuthアプリIDをIoCとして公開。
流出データ:「機密(sensitive)」指定されていない環境変数(APIキー、トークン、DB認証情報など)。影響は一部顧客+追加で少数のアカウント。npmパッケージの改ざんなし。
対応:Google Mandiant等の起用、法執行機関への通報、顧客に環境変数のローテーションとMFA(パスキー)有効化を推奨、環境変数管理機能の強化。
出典:Vercel April 2026 security incident(Vercel公式セキュリティ告知)

9. 8×8(米国・クラウド通信SaaS):外部連携アプリ(Klue)のAPI連携を悪用してSalesforce CRMへ

侵入経路(公式):「権限のない第三者が、同社のSalesforce CRMに接続されたKlue Labs社のサードパーティ製API連携を悪用し、不正アクセスして情報を持ち出した」。6月11〜12日に発生、6月13日に発覚。
流出データ:現在・過去・見込み顧客の契約・商談情報の断片、営業メモ、連絡先(氏名、住所、電話、メール)。
被害規模:記載なし。
対応:Klue・Salesforceと連携して連携アプリを即時無効化、不正アクセスを排除。
出典:Form 8-K(SEC、2026年6月)

10. Veradigm(米国・医療IT):ベンダー環境から「自社APIの認証情報」を盗まれ、患者データをダウンロードされる

侵入経路(公式):「権限のない第三者が、ベンダーの環境から、ベンダーが顧客向けサービス提供に使う同社API(アプリケーション・プログラミング・インターフェース)の認証情報を取得し、その認証情報を使って患者の個人データのコピーをダウンロードした」。侵害された認証情報でアクセスできたのはそのAPIのみで、ネットワーク・サーバー・DBへのアクセスはなし。
流出データ:患者の個人データ(一部はSSNを含む)。臨床・医療データは含まない。
被害規模:「少数の顧客」に関するデータ。人数は記載なし。
対応:インシデント対応手順の開始、法執行機関への通報、影響顧客・個人への通知と信用監視。
出典:Form 8-K(SEC、2026年9月8日)

11. NYC Health + Hospitals(米国・公立病院):第三者ベンダーのセキュリティ侵害が原因で、生体情報まで流出

侵入経路(公式):「第三者ベンダーにおけるセキュリティ侵害が原因で、権限のない者がNYC Health + Hospitalsのシステムにアクセスした可能性がある」。2025年11月25日〜2026年2月11日頃にファイルがコピーされた。
流出データ:医療保険情報、診断・治療計画、生体情報(指紋・掌紋)、SSN・政府発行ID、金融口座情報と認証情報、請求データ。
被害規模:記載なし。
対応:検知・防御技術の追加、侵害アカウント全ての認証情報リセット、特定の不正ツールを狙った検知強化、リモートアクセス管理方針の更新。
出典:Notice of Data Breach(NYC Health + Hospitals公式、2026年3月24日)

経路C:外部公開システムの脆弱性(3件)

12. Mathspace(オーストラリア・教育テック):社内レポートツール(Metabase)の脆弱性、修正版公開から23日後に悪用され1,079,819人

侵入経路(公式):「攻撃者は、社内レポート用に使っている自社ホスティングのMetabaseの脆弱性を悪用した。この脆弱性により、正規のログインなしに同システムの管理者権限を得られた」。Metabaseは8月6日に重大な脆弱性の修正版を公開していたが、「既存の脆弱性通知プロセスがこの勧告を検知・エスカレーションしなかった」。不正アクセスは8月10日から、データのダウンロードは8月27日、更新適用は8月29日、侵害の確認は9月3日。
流出データ:生徒・保護者・教職員・自社スタッフのユーザーID、ユーザー名、氏名、メールアドレス、国、タイムゾーン、ユーザー種別、最終ログイン日など。パスワード・SSOトークン・学習記録は含まない。
被害規模:1,079,819人(豪州・ニュージーランドのみ)。
対応:Metabaseのオフライン化、APIキーの全失効、DBアクセスアカウントの無効化、OAIC・ACSC・NZ当局への届出(9月4日)。「脆弱性公開後の侵害チェックを完了していなかった」ことを認め、プロセスを変更。
出典:Mathspace data breach: what happened(Mathspace公式ブログ、2026年9月5日/8日更新)

13. Instructure「Canvas」(米国・教育SaaS):無料教員アカウントを足場に脆弱性を悪用、2回目は別の脆弱性

侵入経路(公式):4月29日に不正アクティビティを検知。5月7日「同じ攻撃者がCanvasの2つ目の脆弱性を通じて追加のアクセスを得た」。「攻撃者は2回ともFree-for-Teacher(無料教員)アカウントを使ってこの活動を行ったことを確認した」。
流出データ:ユーザー名、メールアドレス、コース名、履修情報、メッセージ。コース内容・提出物・認証情報は侵害されていない。
被害規模:公式ページに人数の記載なし(機関ごとに個別提供)。
対応:脆弱性と権限昇格経路の修正、Free-for-Teacherの恒久廃止、監視強化(2回目の攻撃は開始から約10分で検知・無効化)。
出典:Security Incident Update & FAQs(Instructure公式)

14. CenterPoint Energy(米国・電力ガス):「外部公開システムの1つ」経由で顧客情報を取得、ネット投稿で発覚

侵入経路(公式):「権限のない第三者が、同社の外部公開システム(external facing systems)の1つを通じて、顧客の一部に関する個人情報を取得した」。9月に第三者がオンラインに投稿した「顧客データを入手した」という主張を認知して調査。
流出データ:顧客の個人情報(詳細は調査中)。
被害規模:「顧客の一部」。人数は調査中。
対応:外部専門家による調査、法執行機関・規制当局への通報。電気・ガスの供給に影響なし。
出典:Form 8-K(SEC、2026年9月14日)

経路D:使い回しパスワードと端末への遠隔操作ソフト(2件)

15. Chick-fil-A(米国・外食):他サービスから流出したメール・パスワードで自動ログイン攻撃(クレデンシャルスタッフィング)

侵入経路(公式):「権限のない者が、第三者の情報源から入手したアカウント認証情報(メールアドレスとパスワードなど)を使って、6月17日〜19日に当社のウェブサイトとモバイルアプリに対して自動化された攻撃を仕掛けた」。
流出データ:氏名、メールアドレス、会員番号、モバイル決済番号、QRコード、カード下4桁、アプリ内クレジット残高。
被害規模:書簡に記載なし。
対応:影響アカウントの強制ログアウト、保存済み決済手段の削除、残高の復元、パスワードリセット。
出典:Chick-fil-A 顧客通知書簡(マサチューセッツ州、2026年7月20日)

16. LPL Financial(米国・証券):アドバイザーの端末に「リモートアクセスソフトウェア」、8か月間気づかず

侵入経路(公式):「6月1日、金融アドバイザーの端末上のセキュリティ監視ソフトが、リモートアクセスソフトウェアを使って権限のない第三者が端末にアクセスしていたことを示す活動を検知した」。不正アクセスは「2025年9月29日には始まっていた可能性」があり、発見まで約8か月。
流出データ:氏名、SSN、口座番号・種別、連絡先、取引履歴、口座残高。
被害規模:書簡に記載なし。
対応:ソフトの削除、認証情報のローテーション、アドバイザーのポータル・メールアクセスの無効化、追加の技術的対策。
出典:LPL Financial 顧客通知書簡(マサチューセッツ州、2026年9月14日)

2. 16件の経路を並べてわかったこと

経路件数事例共通点A. 人をだます7件Carnival、Aura、Abbott、IEH、Eskenazi、Levi Strauss、AdaptHealth電話(ビッシング)が2件、メール+偽ログイン画面が2件。「認証手続きを完了させる」型が目立つB. 委託先・外部ツール・SaaS連携4件Vercel、8×8、Veradigm、NYC H+H自社ではなく、つながっている相手(AIツール・連携アプリ・ベンダー)の認証情報が入口C. 外部公開システムの脆弱性3件Mathspace、Instructure、CenterPoint修正版が出ていたのに適用が遅れた(Mathspaceは23日)、無料アカウントが足場D. 使い回しパスワード・遠隔操作ソフト2件Chick-fil-A、LPL Financial他所から流出したパスワードの再利用、端末上の未許可ソフトを8か月検知できず

もう1つ共通していたのは、「入られた後、どこまで行かれたか」が被害の大きさを決めていることです。

Auraは1時間で遮断し、アクセスされたのはマーケティングリストのみ。「機密情報は暗号化され、アクセスが厳しく制限されていた」と説明しています。
Veradigmは、盗まれた認証情報で触れるのが「そのAPIのみ」だったため、ネットワーク・DBには及びませんでした。
逆にVercelは、従業員1人のGoogleアカウントから社内環境へ「ピボット」され、顧客の環境変数(APIキー等)まで到達しています。AdaptHealthも契約者1人のセッションから、患者管理システムと外部の電子カルテポータルまで行かれました。

この傾向は世界の統計とも一致します。Verizonの2026年版データ侵害調査報告書(DBIR)では、最初の侵入経路は「脆弱性の悪用」が31%で最多(認証情報の悪用は13%)、第三者が関与する侵害が48%(前年比60%増)と報告されています。

出典:2026 DBIR Healthcare Snapshot(Verizon公式PDF)

3. 何から対策していけばいいか(優先順)

16件の経路と、公的機関の公式ガイダンスを突き合わせて、着手する順番で並べました。

優先1:フィッシングに強いMFAを「全員・全システム」に(経路A・D対策)

7件が「人をだます」型で、そのうちEskenaziとIEHは職員がログイン画面で認証を完了させた上で侵入されています。SMSやプッシュ通知型のMFAだけでは、偽ログイン画面に入力した認証情報とコードをそのまま横流しされます。

Microsoftは「MFAはIDベースの攻撃の99%超をブロックできる」「ID攻撃の97%超はパスワード攻撃」としています。
米CISAは「フィッシング耐性MFA(FIDO/WebAuthn、PKIベース)がMFAのゴールドスタンダード」とし、SMS・音声は最後の手段と位置づけています。
Chick-fil-Aのような他サービスから流出したパスワードの使い回しには、顧客向けサービスでも「漏えい済みパスワードの拒否」「ログイン試行の自動化検知」が有効です。

出典:Microsoft Digital Defense Report 2025(Microsoft公式ブログ) / Implementing Phishing-Resistant MFA(CISA、2022年)

優先2:「電話での本人確認」の手順を決める(経路A対策)

AuraとAbbottは電話(ビッシング)でした。メールの訓練はしていても、「ITサポートを名乗る電話」「取引先を名乗る電話」への対応手順がない会社は多いです。

電話でのパスワードリセット・MFAリセット・権限変更の依頼は、折り返し(既知の番号)で確認するか、受け付けない。
「急いでいる」「上司の指示」「今すぐ」という圧力を、手順を止めるサインとして教育する。

優先3:外部公開システムの脆弱性情報を「受け取って、適用して、侵害チェックする」プロセス(経路C対策)

Mathspaceは、修正版が8月6日に出ていたのに「脆弱性通知プロセスが勧告を検知・エスカレーションしなかった」ため、23日後に悪用されました。さらに更新後も「侵害チェックを完了していなかった」ため、侵入済みだったことに気づくのが遅れています。

外部公開しているWeb・API・ポータル・管理ツール(BIツール、レポートツール含む)の一覧を作り、使っているソフトの脆弱性情報の受け取り先(メール・RSS)を担当者に紐づける。
重大な脆弱性は「適用」だけでなく「公開日から適用日までの間に侵入されていないかのログ確認」までをセットにする。
Instructureの「無料アカウント」のように、本番環境に足場を作れるアカウント種別を洗い出す。

出典:Mathspace公式ブログ / Instructure公式

優先4:SaaS連携・AIツール・委託先の「つながり」を棚卸しする(経路B対策)

Vercel(AIツールのOAuth)、8×8(連携アプリのAPI)、Veradigm(ベンダーが持つAPI認証情報)、NYC H+H(ベンダー侵害)は、すべて自社の外にある認証情報が入口でした。

Google WorkspaceやMicrosoft 365、SalesforceにOAuthで接続されているアプリの一覧を出し、使っていないものを失効させる(VercelはOAuthアプリIDをIoCとして公開しています)。
委託先・ベンダーに渡しているAPIキー・アカウントを一覧化し、到達できる範囲を最小にする(Veradigmは「そのAPIのみ」に限定していたことで被害を抑えました)。
契約終了時の失効まで運用に組み込む。

優先5:端末の未許可ソフト検知と、「入られた後」の到達範囲を狭める(経路D・被害拡大対策)

LPL Financialは監視ソフトが検知して発覚しましたが、8か月かかりました。Levi Straussは従業員3人のPCから社内ファイルに到達しています。

EDR(端末監視)で、許可していないリモートアクセスツールのインストールと通信を検知・ブロックする。
Auraのように「機密情報は暗号化し、アクセスを厳しく制限」しておくと、アカウントを1つ取られても被害が限定されます。1つのアカウントから社内全体に「ピボット」できない設計(最小権限・ネットワーク分離)を優先する。

優先6:「侵入から検知までの時間」を測る

16件の検知までの期間は、Aura(約1時間)、Instructureの2回目(約10分)から、Eskenazi(約2か月)、Mathspace(約3週間)、LPL(約8か月)まで幅があります。英国NCSCの「Cyber Essentials」は、ファイアウォール、セキュアな設定、セキュリティ更新管理、ユーザーアクセス制御、マルウェア対策の5つの基本管理策を最低ラインとしています。まずこの5つが全端末・全サーバーで揃っているかを確認し、その上で「検知までの時間」を机上訓練で測ってみるのが近道です。

出典:Cyber Essentials overview(英国NCSC)

まとめ

2026年に公表された海外の不正アクセスのうち、侵入経路が公式に書かれている16件を集めると、「人をだます」が7件で最多、次いで「委託先・外部ツール・SaaS連携」4件、「外部公開システムの脆弱性」3件、「使い回しパスワード・遠隔操作ソフト」2件でした。電話によるビッシングが2件、偽ログイン画面で認証を完了させる型が2件と、MFAがあっても人の操作で突破される事例が目立ちます。

対策の順番は、①フィッシング耐性MFA、②電話での本人確認手順、③脆弱性情報の受け取り〜適用〜侵害チェックのプロセス、④SaaS連携・AIツール・委託先の棚卸し、⑤端末の未許可ソフト検知と到達範囲の限定、⑥検知時間の計測、が一次情報から導ける優先順位です。どれも「今あるものの一覧を作る」ことから始められます。

セキュリティ対策のご相談(セルバ)

セルバでは、Webシステム・業務システムの開発と合わせて、セキュリティ点検を行っています。

外部公開システムの脆弱性診断:Webアプリ・API・管理ツールの診断と、修正・運用プロセスの整備
認証基盤の強化:Microsoft Entra IDなどを使ったSSO・フィッシング耐性MFA(パスキー)の導入
SaaS連携・外部ツールの棚卸し:Microsoft 365・Google Workspace・Salesforceに接続されたOAuthアプリ・API連携の可視化と最小権限化
委託先アクセスの設計:委託先アカウント・APIキーの到達範囲の限定、契約終了時の自動失効

「外部公開システムの一覧がそもそもない」「どのSaaSに何がつながっているか分からない」という段階からで大丈夫です。現状を伺ったうえで、優先順位と概算をお伝えしますので、お気軽にご相談ください。

お問い合わせ | 株式会社セルバ【東京・大阪】| 利益向上にこだわる会社お急ぎの方はお電話でもご相談いただけます平日9:3www.selva-i.co.jp

エンジニアの方へ(採用)

セルバでは、Webシステム開発・生成AIシステム開発・SAP連携に加えて、セキュリティ点検や認証基盤(Entra ID・Microsoft Graph API)の開発を一緒に進めるエンジニアを募集しています。「脆弱性診断の経験がある」「SSO・MFAの導入をやったことがある」という方はもちろん、この記事のように一次情報から侵入経路を読み解いて対策に落とし込む仕事に興味がある方も歓迎です。ぜひご連絡ください。

株式会社セルバ採用サイト | 10年後の未来を見据えてあなたのアイデアが時代をつくる10年後の未来を見据えてあなたのアイデアが時代をつくるwww.selva-i.co.jp

情報漏えい対策として簡単にできることって何？｜気になったのでIPAの公式ガイドと、被害企業が公表した再発防止策から14個を紹介します

中山健代表取締役

株式会社セルバ代表取締役。
学生時代にアルバイトでWEB製作会社に入りプログラムを覚える。大学卒業後SIerにて金融システムの開発に携わった後、再びWEB業界へ。

WEB系のプログラム言語とサーバー構築、さらにはCOBOLも出来ます！
最近ではシステム開発だけでなく、SEOやマネタイズなどのグロースハックや企画を担当する事が多いです。