はじめに
東京都水道局は2026年3月6日、令和7年度の水使用実態に関する調査研究委託に関連して、受託者の協力会社がサイバー攻撃を受け、約13万件の個人情報が漏えいした可能性があると公表しました。水道局のシステムが直接攻撃されたわけではなく、水道局が契約した受託者の、さらに先にある協力会社が被害を受けたという構図です。
その後、協力会社は6月24日に調査結果を公表し、顧客から預かった個人情報は流出していないと判断したと発表しています。結果として大きな被害には至らなかった可能性が高い事案ですが、発注側が学べることは少なくありません。
ベンダーの多重下請け構造、発注側はどこまで把握すべきかやIT業界の「商流」とは？元請け・一次請け・二次請けの違いと発注側が知っておくべきことで解説してきた「商流が深くなるほど、発注側から見えにくくなる」というリスクが、現実のインシデントとして表れた事例です。この記事では、事案の概要を整理したうえで、発注側が「委託先のさらに先」をどう管理すべきかを考えます。
何が起きたのか
東京都や関係各社の公表資料と報道をもとに整理すると、事案の概要はおおむね次のとおりです。
- 東京都水道局は、スマートメーターを設置している利用者へのアンケートなどを通じて水の使い方を分析する調査研究業務を、クロス・マーケティングに委託していた
- この業務の一部を、協力会社のシード・プランニングが担っていた
- 2026年3月2日、シード・プランニングのシステムに第三者が不正アクセスし、一部のサーバーと端末がランサムウェアに感染してファイルが暗号化された
- 3月6日、水道局は、使用水量・お客さま番号・住所・使用者名など約13万件が漏えいした可能性があると公表した（同日時点で、情報の流出は確認されていないとしていた）
- 6月24日、シード・プランニングは調査結果を公表し、顧客から預かった個人情報は流出していないと判断したと発表した
調査結果では、侵入経路について、2024年6月から外部に公開されていたWebアプリケーションサーバーの公開ポートを経由し、PHPの脆弱性を悪用されたとされています。その後、ドメイン管理者の権限を奪われ、一部のシステムでランサムウェアが実行されました。
もう一つ注目したいのは、同じ会社が東京都の他の部署からも直接業務を受託していたことです。東京都は3月に、デジタルサービス局・都市整備局・保健医療局・産業労働局・教育庁の5つの委託業務でも、同じ被害の影響を受けた可能性があると公表しています。川崎市も、同社に委託していた業務について公表し、4月30日の最終報で、その業務に関する情報流出はなかったと確認したとしています。
なぜ「委託先のさらに先」は見えにくいのか
発注者（この場合は水道局）が通常やり取りをするのは、直接契約を結んでいる受託者です。受託者が業務の一部を協力会社に再委託していると、発注者から見たその協力会社は「名前も知らない相手」になりがちです。
ベンダーの多重下請け構造、発注側はどこまで把握すべきかで整理したとおり、再委託そのものは業界で一般的な仕組みであり、それ自体が問題なのではありません。問題は、発注者が「受託者に任せているから大丈夫」と考え、その先で個人情報がどう扱われ、どんなセキュリティ対策の下に置かれているかを確認していないケースが多いことです。
今回の侵入経路は、外部に公開されたサーバーの脆弱性でした。こうした基本的な対策の水準は、直接契約している受託者であれば確認の機会がありますが、再委託先になると、発注者が確認する機会はほとんどありません。
さらに、調査や分析のような専門性の高い業務では、同じ専門会社が複数の発注者から仕事を受けていることがよくあります。1社が攻撃を受けると、取引のある複数の自治体や企業に一斉に影響が広がります。発注者から見れば「自社の委託先が1社被害を受けた」という話でも、実際には同じ業者を通じて多くの組織が同じリスクを共有していることになります。
発注側が自社で整えておきたい仕組み
ここからは、事業会社の情シスやDX担当として、同様の事案に備えて整えておきたい仕組みを整理します。
1. 再委託の可否と、再委託先への条件を契約に明記する
委託契約を結ぶ際は、再委託を認めるかどうか、認める場合はどんな条件（事前承諾、委託元と同等の安全管理措置の遵守など）を課すかを契約書に明記しておくのが基本です。IT契約書で発注側が確認すべき3つのポイント｜支払い条件・検収・知的財産権でも触れたように、契約段階での確認が、後のトラブルを防ぐ最も確実な方法です。
2. 個人情報を扱う業務は、再委託先の名前と対策の概要まで把握する
すべての再委託先を細かく把握する必要はありません。ただし、個人情報など機密性の高いデータを扱う業務では、再委託先の会社名と、データを置く環境やセキュリティ対策の概要まで、受託者を通じて把握しておくべきです。ベンダーの多重下請け構造の記事で整理した「リスクの高い工程ほど深く把握する」という考え方と同じです。
3. 預けるデータを最小限にし、業務が終わったら消してもらう
漏えいの「可能性」が出た時点で、発注者は対象者への説明や問い合わせ対応に追われます。調査業務であれば、氏名や住所まで本当に必要なのか、番号だけに置き換えられないかを、委託の前に検討しておく価値があります。あわせて、業務が終わったデータを確実に削除してもらい、その報告を受ける取り決めにしておくと、影響範囲そのものを小さくできます。
4. 事故発生時の報告ルートを、再委託先まで含めて整備する
再委託先で事故が起きた場合、報告は「協力会社→受託者→発注者」と複数の階層を経由します。この経路が決まっていないと発注者への報告が遅れ、アフラック生命保険 約440万人の情報漏洩から考えるで触れたような初動の判断にも影響します。再委託先まで含めた報告の流れと、報告までの時間の目安を、委託契約の段階で取り決めておくことが重要です。
まとめ
東京都水道局の事案は、発注者が直接契約した受託者ではなく、その先にある協力会社が被害を受けたという点で、商流の深さが発注側のリスク管理の死角になりうることを示しました。最終的に個人情報の流出はなかったと判断されていますが、同じ業者に委託していた複数の組織が一斉に公表と調査に追われています。再委託の可否と条件を契約に明記すること、個人情報を扱う業務では再委託先まで把握すること、預けるデータを最小限にすること、そして事故時の報告ルートを再委託先まで含めて整備すること。この4点が、「委託先のさらに先」に備えるための最低限の仕組みになります。
参考
- 東京都水道局「委託事業における不正アクセス被害について」
- 東京都「委託業務受託者へのサイバー攻撃について」
- 川崎市「委託事業者サーバーへの不正アクセス被害について（最終報）」
- ScanNetSecurity「シード・プランニングにランサムウェア攻撃、顧客から預かった個人情報は流出していないと判断」
執筆者プロフィール：SIer（元請け）とITコンサルファーム（発注側支援）、両方の立場でプロジェクトに従事（通算9年）。要件定義からベンダーマネジメントまで一貫して対応し、基幹システム刷新・DX推進プロジェクトに多数従事。
コメント