日本脆弱性総合ポータル

北海道ガス：LNG受発注システムの不正アクセスで取引先と従業員の情報が流出した可能性

重要度
283件（ご本人通知完了分）
公表日
2026.05.07
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 北海道LNGのLNG受発注システムに外部から不正アクセスがあった。
  2. 取引先や従業員の会社名、氏名、メールアドレス、暗号化されたパスワードが流出した可能性がある。
  3. 個別連絡が届いていない元担当者や元従業員は、不審なメールに注意する。

北海道LNGのLNG受発注システムのサーバーに外部から不正アクセスがあり、取引先の担当者と両社の従業員の情報の一部が流出した可能性がある。通知が完了していない退職者などにも、公表で対応している。

確認された経路・公表元の推定

  1. 外部から委託先の本システムのサーバーに不正アクセスがあった（侵入経路は未公表）。
  2. 2026年1月22日、委託先で不正アクセスの痕跡が確認された。
  3. 発覚後、個人情報保護委員会へ報告し、外部からの遮断と監視強化を行った。
  4. 取引先担当者と両社の従業員の情報の一部が流出した可能性があると判明した。
  5. 2026年5月7日、通知が完了していない対象者向けに公表した。

根拠の要点

委託先で本システムへの不正アクセスの痕跡が確認されたと資料にある。侵入経路や手口の記載はなく、侵入口は未公表と判断した。

資料の基準時点：2026年5月7日公表時点

当時、対策できたのか

判定保留

資料は侵入経路を示しておらず、攻撃時点の既知の弱点への対応や認証設定の状態も書いていない。対策の欠落も発覚時の未発見も判断できないため、判定保留とした。

公表された対策

  • 外部からの不正アクセスを遮断した
  • 監視を強化した
  • 個人情報保護委員会へ報告した
  • 現在は安全な状態を確保していると説明した
  • 通知未完了の対象者に、不審なメール等への注意を呼びかけた

この事例を理解するための動画

まだ分からないこと

  • 侵入経路と攻撃の手口
  • 不正アクセスの開始時期と侵入日
  • 流出の有無の確定と、流出件数の全体の合計（未通知の13件を含む数は資料に示されていない）
  • 暗号化されたパスワードの扱いと影響範囲
  • 再発防止策の具体的な内容

関連する事例

同じ原因分類の事例

事例の一覧に戻る