三菱電機株式会社のサイバー攻撃被害｜個人情報、企業機密情報の流出、防衛・電力・鉄道など重要インフラ関連情報が流出の可能性

AI要約・精査

要約

精査

AI要約

AI精査

ChatGPTによるAI精査

GeminiによるAI精査

サイバー攻撃の被害事例

三菱電機株式会社個人情報、企業機密情報の流出、防衛・電力・鉄道など重要インフラ関連情報が流出の可能性

システム脆弱性を狙った攻撃
標的型攻撃（APT攻撃）

被害発生日2020年11月20日

企業名三菱電機株式会社

この事例の要点

三菱電機が2020年11月に公表した第三者による不正アクセス事案に関し、調査が完了したという報告です。この調査の過程で、新たに子会社の取引先の金融機関口座情報や個人情報、そして本社の一部の取引先情報が流出していたことが判明しました。同社は関係各所へ情報提供を行うと共に、セキュリティ対策のさらなる強化に努めるとしていますが、新たな攻撃を誘発する可能性があるとして、攻撃手法や対策の具体的な詳細は公表を差し控えています。

事例の概要

企業名	三菱電機株式会社
売上高	5兆5,217億円（2024年度）
総資産	6兆3,756億円（2024年度）
従業員数	149,914名（連結）（2024年度）
被害発生日	2020年11月20日
被害の内容	- 中国の防衛関係企業を経由して日本拠点に侵入 - 個人情報、企業機密情報の流出 - 防衛・電力・鉄道など重要インフラ関連情報が流出の可能性
出典	三菱電機公式発表「不正アクセスによる個人情報と企業機密の流出について」

対策に向けたガーディアンの見解

1サプライチェーン全体でのセキュリティガバナンス強化

今回の事案では、本社だけでなく子会社、さらにはその取引先へと被害が連鎖・拡大しています。これは、攻撃者がセキュリティ対策が比較的脆弱な関連会社や取引先を侵入の足がかりとする、典型的なサプライチェーン攻撃の様相を呈しています。対策として、グループ全体で統一されたセキュリティポリシーを策定し、その遵守状況を監査する仕組みが不可欠です。本社と同レベルのセキュリティ対策を子会社にも展開するだけでなく、重要な情報（特に金融機関情報など）を取り扱う取引先に対しても、契約時に一定のセキュリティ要件を課したり、定期的なセキュリティチェックを求めたりする「サプライチェーン・リスクマネジメント」の徹底が求められます。自社のみならず、ビジネスで繋がる全ての組織がセキュリティ共同体であるという意識改革が必要です。

2クラウド利用における設定不備とアクセス管理の再点検

本文書で「当該クラウドサービス事業者へ情報を提供」とある点から、攻撃の起点または情報の流出経路としてクラウドサービスが関与した可能性が考えられます。クラウドサービスは利便性が高い一方で、設定ミスが重大なセキュリティインシデントに直結するケースが後を絶ちません。クラウドサービスの利用においては、「責任共有モデル」を正しく理解し、利用者側が責任を持つべき設定項目（アクセス権限、認証方式、データの暗号化、ログ監視など）を網羅的に見直すべきです。特に、特権IDの管理不徹底や、多要素認証（MFA）が設定されていないアカウントは、格好の標的となります。CSPM（Cloud Security Posture Management）のようなツールを導入し、設定の不備を継続的に検知・修正する自動化された仕組みを構築することが、ヒューマンエラーを防ぎ、セキュリティレベルを維持する上で極めて有効です。

3インシデント発生後の情報開示とコミュニケーション計画の重要性

「調査に時間を要した」「攻撃と対策の詳細は差し控えます」という対応は、二次被害の防止や捜査協力の観点から一定の理解はできます。しかし、情報が流出した可能性のある取引先にとっては、具体的な状況が不明なままでは適切な自衛策を講じることが困難です。インシデント発生時に備え、平時からステークホルダー（顧客、取引先、監督官庁、社会）ごとに、どのタイミングで、どのレベルの情報を、誰が、どのように開示すべきかを定めたコミュニケーションプランを策定しておくことが重要です。全ての詳細を公開できない場合でも、被害を受けた可能性のある関係者には、判明した時点で速やかに事実を通知し、想定されるリスク（例：不審なメールや送金依頼への注意喚起）を伝えることで、被害の拡大を抑制する責任があります。インシデント対応における透明性と迅速なコミュニケーションは、企業の信頼を維持する上で不可欠な要素です。

企業がするべきセキュリティ対策については

サプライチェーン攻撃の起点は中小企業にある

ランサムウェアのカラクリと、ホームページ・メール・ブラウザ「3つの接点」の対策をまとめて解説しています。

対策の解説を読む

お勤め先のホームページは大丈夫ですか？守りの基本を無料で確かめられます

セキュリティ対策を相談する

大企業の情報システム・調達のご担当者取引先のセキュリティを診断で確かめる中小企業の経営者・ご担当者自社のホームページの守りを無料で確かめる

SOLUTION

GUARDIANの
サイバーセキュリティ
対策サービス

SCAN DOG ライト版

まずは大企業が保有する取引先（中小企業）数千社規模をライト版で一斉に簡易診断し、現状把握しましょう！経済産業省も推進する『サプライチェーン強化に向けたセキュリティ対策評価制度』にも対応した、自己評価・第三者評価をクリアにし、次なる対策「SCSC Dog」で課題を解決していきましょう。

SCSC Dog

診断によって現状把握を終えた取引先（中小企業）には、評価という結果＝課題だけが残ります。その解決策として、同時にご提供するのがSCSC Dogとなります。セキュリティ対策に特化した弊社WEBプラットフォーム上に、取引先（中小企業）ホームページをお預かりしサプライチェーン網をこれまで以上に強固なものへ引き上げます。

SCAN DOG 正規版

WEBプラットフォームとして安全を確保して終わりではありません。SCSC Dogご利用のお客様ホームページには、世界水準で最新鋭の攻撃パターンを網羅した第三者機関による診断サービス「SCAN DOG 正規版」を定期的に受け続けることができ、一時的な対策だけではなく恒久的に保全し続ける環境をご提供します。