2026年10月20日、NECは、システム開発・保守業務を委託している企業が9月下旬にサイバー攻撃を受け、その影響で顧客のシステムに不正アクセスがあったと公表しました。翌21日には大阪公立大学が、同じ経路による被害の続報（第5報）を公表しています。
この事案で使われたのは、脆弱性を突く特別な手段ではなく、保守のために正しく発行された「正規のアカウント」でした。中小企業でも、保守業者に社内のサーバーやPCへ入るためのIDを渡していることは珍しくありません。この記事では公表内容を整理したうえで、自社で確かめたいことをまとめます。
大阪公立大学・NEC委託先の不正アクセスの経緯（公表から）
- 2026年9月下旬：NECがシステム開発・保守を委託している企業（大阪公立大学の公表では再委託先）がサイバー攻撃を受ける
- 10月2日：大阪公立大学で情報基盤システムの障害が発生。報道によれば10月8日まで全学部・研究科で授業が休講となった（対面授業は10月9日に再開）
- 10月5日：大阪公立大学が記者会見。仮想化基盤内の業務システム（教務システム関連の約13万件など）に漏えいの可能性があると発表
- 10月20日：NECが公表。委託先から窃取された正規アカウントの認証情報が悪用され、委託先の端末から顧客のシステム環境に不正アクセスがあり、サーバー内のファイルが暗号化されて各種システムが使えなくなった
- 10月21日：大阪公立大学が第5報を公表。再委託先が持つ正規のアカウントで大学のシステムに不正アクセスされたと説明。NECが利用していたクラウドストレージ内の、大学に関連する個人情報やシステム関連情報の漏洩が確認されたとの報告もNECから受けたとしている（件数などはNECに確認中）
認証情報がどのように盗まれたか、そのアカウントのログインにどのような認証が使われていたかは公表されていません。この記事でも、今回の事案で何をしていれば被害がなかったかは論じません。
原因は「正規のアカウント」 使われると何が難しいか
公表の流れを段階に分けると、次のようになります。
- 委託先が攻撃される：委託先の端末や環境から、顧客のシステムに入るための認証情報が盗まれる
- 正規のアカウントで入る：盗んだ認証情報で、委託先の端末から顧客のシステムにログインする
- サーバーで動く：サーバー内のファイルを暗号化する
②と③で使われているのは、保守のために発行された本物のアカウントです。ふだんから保守業者がそのIDで入っているので、ログインの記録を見ても、いつもの保守作業と見分けがつきにくくなります。確かめているのが「パスワードが合っているか」だけなら、パスワードを手に入れた人は誰でも保守業者として入れます。
ここに2つ目の鍵があると状況が変わります。パスワードに加えて、保守担当者本人が持つスマホなどでの確認がなければログインが終わらない形にしておけば、盗まれたのがパスワードだけの場合、そのIDでサーバーへ入ることはできません。
PC版 月1,800円／台（初期費用0円）・サーバー版 月20,000円／台。初月無料ではじめられます（税別・目安）
2要素認証が効く場面・効かない場面
委託先の攻撃の形によって、ログインの2要素認証が効くかどうかは変わります。公表されていない部分があるため、考えられる形ごとに整理します。
| 盗まれ方の形 | 社内のPC・サーバーへのログインの2要素認証 |
|---|---|
| 保守用のIDとパスワードだけが盗まれた | 効く パスワードが合っていても、本人のスマホでの確認がなければログインは終わらない |
| 委託先の端末そのものを乗っ取られ、ログイン済みの画面を使われた | 効きにくい すでにログインが終わった状態で操作される。接続を必要なときだけにする・作業後に切る運用が要る |
| 乗っ取った端末から、別のサーバーへ新しくログインした | 効く 次のサーバーへのログイン（リモートデスクトップ接続を含む）にも2つ目の鍵が要る |
※ 対象はWindowsのPC・サーバーへのログイン（リモートデスクトップ接続を含む）。クラウドストレージやクラウドサービスのログインは別の対策になります。
保守用のIDほど、2つ目の鍵が効く
自社のログイン運用チェック（1/10問）
業務で使うPCへのログインは、いまどの方法ですか？
選ぶと2問目へ進みます。残り9問・約3分。入力欄なし・登録不要です。
Windowsのログインは、パスワードを知っていれば誰でも本人として入れます
保守業者のIDも社員のIDも、確かめているのがパスワードだけなら、パスワードを手に入れた人がそのまま本人として入れます。社内のPC・サーバーで同じ状態が残っていないかが、自社で確かめるところです。
パスワードだけのログイン
漏れた・推測された・メモを見られたパスワードで、そのまま本人として入れます。記録の上でも本人と区別できません。
2要素認証のログイン
パスワードに加えて、本人だけが持つもの（スマホなど）が必要です。パスワードを知っているだけでは入れません。
- VPNや社内Wi-Fiから社内に入られたあと、被害がPC・サーバーへ広がるかどうかは、このログインの部分で決まります。
- 顔・指紋・PIN（Windows Hello）は、ログインを簡単にする仕組みで、2要素認証ではありません。
- 2要素認証というと手間が増えそうですが、本人のスマホを鍵にしたワンタッチログインなら、初回の設定のあとはPINもWindowsのパスワードも打たずに、スマホのワンタッチで入れます。長いパスワードを覚えて打つ手間は、むしろなくなります。
大学のワンタイムパスワードやVPNがあっても入られたのはなぜか
大阪公立大学では、学外から大学のシステムを使うとき、OMUIDとパスワードに加えてワンタイムパスワードを入力する二要素認証が使われています（設定のしかたは大学の情報基盤センターの案内を確認してください）。
一方、今回公表された侵入経路は、学生や教職員のログインではありません。再委託先が保守のために持っていた正規のアカウントで、委託先の端末から大学のシステムに入られたというものです。そのアカウントのログインに、ワンタイムパスワードなどの2つ目の確認が求められていたかどうかは公表されていません。
2要素認証は「どのログインに掛かっているか」で効き方が決まる
自社で確かめるときは、「2要素認証を入れているか」ではなく、社内のPC・サーバーへのログイン（リモートデスクトップ接続を含む）の一つひとつに2つ目の鍵が掛かっているかを見ます。考え方と方式はOSログイン・PCログインの二要素認証で整理しています。
大阪公立大学ではワンタイムパスワードを使っていたのに、なぜ被害にあったのですか？
大学が利用者向けに使っているワンタイムパスワードは、学外から大学のシステム（シングルサインオンのサービス）にログインするときの二要素認証です。今回公表された侵入経路は、NECの再委託先が保守のために持っていた正規のアカウントで、委託先の端末から大学のシステムに入られたというもので、利用者のログインとは別の経路です。そのアカウントのログインにどのような認証が使われていたかは公表されていません。
委託先経由の被害はこれまでも繰り返されている
- 大阪急性期・総合医療センター — 給食委託先のVPNから侵入し、全サーバー共通のWindowsパスワードで横展開
- デジタル庁GSS — VPN機器から侵入し、保守運用担当者のアカウントでサーバー上のファイルにアクセス
- 委託先PCのマルウェア感染 — 委託先の端末が入口になる形
社内のWi-Fiも、VPNと同じく社内への入口です。
どれも、入った後に使われたのは社内のPCやサーバーへのログインでした。委託先がどれだけ気をつけていても、相手の環境は自社から見えません。自社の側でできるのは、委託先のIDで自社のサーバーに入るときに、パスワード以外の確認を求めることです。
2要素認証にすると、ログインの手間はどう変わるか
いま（パスワードだけ）
- 長いパスワードを毎回入力打ち間違えればやり直し
- 忘れたら情シスへ連絡覚えきれず使い回しが起きる
- 漏れたらそのまま入られる鍵はパスワード1つだけ
本人のスマホを鍵にしたワンタッチログインにすると
- 1PCのログイン画面を開くいつものWindowsのログイン
- 2スマホの通知をワンタップ本人のスマホが2つ目の鍵
- 3ログイン完了パスワードを盗まれても、スマホがなければ入れない
自社で今日確認できること
- 保守業者に渡しているIDを一覧にできるか。どのサーバー・PCに入れるIDか、誰が使っているか（委託先アカウントの管理）
- そのIDが、パスワードだけで社内のサーバーやPCに入れないか（Windows Serverの特権アカウント）
- 保守業者がどの端末から、いつ接続しているか。常時つながったままになっていないか（保守業者のリモート接続）
- 保守業者のIDが、いつ・どこからログインしているか。Active Directoryの環境ではドメインコントローラーの記録で確かめられます（ADでユーザーのログオン履歴を確認する方法）。標準のAdministratorが有効のまま共用されていないかも見ます（既定のAdministrator・Guestを無効にする手順）
- リモートデスクトップで入れるサーバーと人が絞られているか（接続ユーザーの制限／リモートデスクトップの2要素認証）
- 保守の契約が終わった業者や、担当が替わった人のIDが残っていないか（使われていないアカウントの整理）
- 保守業者のIDでの接続を、全PC・サーバー分まとめて見られるか。1台ずつ記録を調べる形だと、気づくのが遅れます（複数台のPCのログを1か所に集める方法）
- 委託先に、パスワードの扱いや2要素認証の有無を事実で確かめているか（委託先のセキュリティを確認する項目）
全PC・サーバーを1台ずつ見て回らずにまとめて管理する方法はADなしで社内のPC・サーバーをまとめて管理する方法、さらにログインを2要素認証にする方法はOSログイン・PCログインの二要素認証、Active Directoryがない会社が1台から始める手順はADなしでPCログインに2要素認証を入れる方法にまとめています。
自社なら普段の管理のどこで気づけるか
保守業者のIDは、ふだんの保守作業でも使われます。だからこそ、「いつ、どのPCから、どのサーバーに入ったか」を普段から1か所で見られるようにしておくと、作業報告と記録を照らし合わせるだけで済みます。夜間や休日も、ログインの連続失敗やランサムウェアの前兆があるときだけ担当者のLINEに届くようにしておけば、何もない日は見に行かなくてよくなります。
保守の契約が終わったときや担当者が替わったときも、どのIDがどこに入れるかが一覧になっていれば、残っているIDを探して回る手間がかかりません。取引先や監査で「委託先のアクセスをどう管理しているか」と聞かれても、その日のうちに記録を出して説明できます。
出典
- NEC「委託先への不正アクセスに起因するお客さまのシステム障害、情報漏えいに関するお詫び」（2026年10月20日）
- 大阪公立大学「本学情報基盤システムにおける障害の発生について【第5報】」（2026年10月21日）
- 熊本日日新聞（共同通信配信）「大阪公立大が対面授業再開 ランサム攻撃で障害続く」（2026年10月9日）
- ビジネス+IT「大阪公立大学、ランサムウェア攻撃でサーバー500台停止、13万人分の個人情報流出か」（2026年10月6日）
- @IT「「まさかそこから」大阪公立大のランサム被害、NEC委託先への攻撃が発端と判明：正規アカウント盗まれる」（2026年10月22日）
- 大阪公立大学 情報基盤センター「OMU認証システム」
記事中の事実関係は、上記の公表内容（2026年11月2日時点で確認）に基づきます。大学の二要素認証の仕組みは、2026年11月10日に大学の公開ページで確認しました。
いまの運用を棚卸ししてみる
保守業者や社員のIDで、PCや社内サーバーにパスワードだけで入れる状態が残っていないか。applippliの無料棚卸しでは、10問・約3分で、PCログインまわりで何が手当て済みで、何がパスワードだけのまま残っているかを一覧にできます。
自社の不正アクセス対策をどこから進めるかは、不正アクセス対策とは 侵入経路別の優先順位で、2026年の統計と事例をもとに整理しています。