委託先が攻撃されたら、自分のサービスも対象になる？

委託先や提供会社の名前が同じでも、すべてのサービス・利用企業・顧客が被害対象になるとは限りません。 確認するのは「どのサービスが、どの情報・システム・権限・機能を通じて関係していたか」です。

例えば、ソニー損保はPCSへ委託したロードサービス案件に影響の可能性を限定し、GMO-PGは別基盤の他サービスへの影響を否定しています。一方、Commerbleの他テナントについては、調べたログの範囲で同様の痕跡が未確認という説明です。これらは確認の範囲と確度が異なります。委託案件の範囲・別基盤の説明・ログ調査の範囲

サプライチェーン攻撃と、委託先の情報漏えいは同じ？

NISTの定義では、サプライチェーン攻撃は、標的の製品・サービスを供給するつながりの弱点を悪用する攻撃を指します。供給網には組織内の機能も外部の取引先も含まれます。用語の定義

この記事では、この定義と周辺の委託先リスクを分けて説明します。以下の事例をすべて同じ攻撃類型と認定するものではありません。委託先から情報が流出したことと、委託先を経由して利用企業のシステムに侵入されたことは別です。 公表されていない侵入先や被害の連鎖を補ってはいけません。

確認する出来事 関係するもの 区別すること
委託先を経由した侵入 保守用アカウント、接続経路、管理権限など 委託先自身のシステムへの不正アクセスと、利用企業側への侵入を分ける
委託先が預かる情報の流出 受付・配送・受注などで渡した情報 利用企業のシステムが侵入されなくても、預けた情報への影響はあり得る
委託機能や共通基盤の停止 受付、予約、決済、注文などの機能 サービス停止と情報流出の有無を別に確認する

一つの委託先から、複数企業へ影響するのはなぜ？

保険会社や店舗が、受付・注文管理などの機能を外部へ委託すると、利用者が直接契約していない会社でも情報を扱うことがあります。PCSのロードサービスやGALLERY・2のEC基盤は、その関係を確認できる例です。保険会社の委託関係・店舗とEC基盤

一つのサービスを複数企業が利用している場合でも、企業ごとの情報や権限の分け方、攻撃された機能、確認されたアクセスの範囲によって影響は変わります。実際にどの構成だったかは、各事件の公式発表で確認します。

同じ会社の別サービスも対象になる？

共通しているものが会社名だけなのか、システム基盤なのか、認証や管理権限なのかを分けます。同じ提供会社であることだけでは、データベースやアカウントも共通だとは分かりません。

GMO-PGは、対象をライフカード向けの個別機能としたうえで、他顧客向け機能や決済代行などとは基盤が異なると説明しています。別サービスへの影響が限定されたと読む根拠は、会社名ではなく、公表された機能と基盤の違いです。 この説明を別の企業・事件に一般化することもできません。対象機能と他サービス

影響した範囲と、限定された範囲を事例で比較する

次の表は3組の公表例を比較したものです。PCSの取引先やCommerbleの利用店舗の全一覧ではありません。未掲載の企業・サービスを対象外とは判断できません。表の確認日は原典を確認した日で、各社の調査完了日ではありません。

提供会社・基盤 → 利用企業・サービス 公表された依存関係 確認された影響・事実 対象外と公表された範囲 未確認・調査中の範囲 公式出典 確認日
PCS → ソニー損保・アクサ損害保険のロードサービス 保険会社が受付・手配などの業務を委託 PCSへの不正アクセスと委託関係を公表。アクサは当該システムに自社顧客情報が含まれると説明 ソニー損保は影響の可能性をPCSへ委託した案件のみに限定。アクサ第1報には対象外範囲の明示なし ソニー損保は契約者情報の持ち出し等を確認中。アクサは流出の有無・影響範囲が未確認 ソニー損保・アクサ損害保険 2026年11月4日
Commerble → GALLERY・2オンラインショップ 店舗がCommerbleのEC基盤を利用 購入者情報を不正に参照する操作を確認。外部漏えいの可能性を公表 参照されたDBにパスワード・カード番号は保存せず、カード番号漏えいはないと説明。他テナント全体の影響否定ではない 他テナントは調査したログ等の範囲で同様の痕跡が未確認。影響範囲の調査は継続 Commerble 2026年11月4日
GMO-PG → ライフカードのVプリカ ライフカード向けイシュイングサポート個別機能 ライフカードは69アカウント分の情報窃取を確認 他顧客向け機能や決済代行など、別基盤の他サービスへの影響はないとGMO-PGが説明 11月2日の続報ではカード情報等を含む3件の不正利用と二次被害は未確認。参照資料で具体的侵入手段は確認できない GMO-PG・ライフカード 2026年11月4日

利用者としての対象条件は、PCSのサービスガイドとCommerbleのサービスガイドで確認できます。事件の経緯は、PCS、GALLERY・2、Vプリカの各事例を参照してください。

「影響なし」「未確認」「調査中」はどう違う？

「影響なし」は、発表主体が明示したサービス・情報・時点に限って読みます。GMO-PGの別基盤の説明がその例です。「未確認」は、調べた範囲で事実が確認されていない状態です。Commerbleの他テナントの説明では、調査したログの範囲という条件が付きます。「調査中」は結論が出ていないことを示し、被害があるともないとも置き換えられません。範囲を限定した影響否定・確認範囲と調査継続

発表日、対象サービス、確認方法・範囲、残る不明点を一緒に読みます。 古い第1報の「未確認」と、後の続報の「確認済み」を並べる場合も、いつの説明なのかを添えます。

自分が利用するサービスについて確認すること

  1. 自分が利用した店舗・保険会社などの公式発表を確認します。委託先の名前を知らなくても、購入・予約・受付などの利用を通じて接点がある場合があります。
  2. 対象サービスと委託された業務を確認します。同じ会社の別サービスを利用しただけで対象と決めません。
  3. 公表された対象期間・利用条件と、手元の利用履歴や通知を照合します。
  4. 対象情報と確認状態を読みます。参照された可能性、外部流出の確認、不正利用の確認は別です。
  5. 個別通知や続報の状況を、利用先の最新の公式案内で確認します。通知がないことだけで対象外とは判断できません。

この確認順は情報を整理するためのものです。個人の被害を当サイトが判定するものではありません。個別の対応や詳細・最新の案内は、出典欄の公式発表・公式サイトで確認してください。

事業者が委託先について確認すること

事業者は、委託契約の会社名だけでなく、預ける情報、接続できるシステム、使う権限、停止時に困る業務を整理します。以下は関係を整理する観点であり、各事件で原因として確認された事項の一覧ではありません。

確認する項目 整理する内容
預ける情報 情報項目、保存先、保存期間、再委託先との関係
接続・権限 どのシステムへ、どのアカウントで、どこまで操作できるか
共通する基盤 他の委託業務・サービスと、情報や管理権限をどこまで分けているか
停止時の影響 受付・受注などの依存機能、代替運用、再開を判断する条件
発表・通知の分担 確認した事実、対象範囲、不明点を誰が整理し、利用者にどう知らせるか

会社やシステムのつながりがあることと、攻撃がそのつながりを通って広がったことは別です。公表された根拠で確認できる関係だけを記載し、不明な範囲は不明なまま残すことが、利用者の判断にも役立ちます。