- 重要度
- 重要度：5段階中3 漏えいのおそれ・業務やサービスの停止・最大で1090万件
- 公表日
- 2026.06.08
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 顧客情報入りのSSD紛失で最大1090万件、不正アクセスで4,139件が漏えいのおそれ
- SSDは暗号化もパスワードもなく、施錠もされていなかった
- お客さまに特段の手続きは不要で、不審な連絡に注意する
九州電力送配電は、2026年6月8日に顧客情報を保存した持ち運び型SSDを紛失したと発表した。契約者名や住所、使用電力量データが含まれ、最大で1090万件が社外に漏えいしたおそれがある。銀行口座やクレジットカードの情報は含まれず、流出の事実は確認されていないとしている。2026年11月5日には、一部システムへの不正アクセスにより電力量情報4,139件が社外に漏えいした可能性があるとの発表があった。両者の関係は資料では確認できない。11月13日には、対象のお客さまへダイレクトメールで知らせを送付し、現時点で二次被害は確認されていないとした。当該システムはネットワークから切り離され、電力量・料金照会サービスが一部停止している。電力の安定供給に支障はないとしている。
確認された経路・公表元の推定
- サーバーの容量が逼迫したため、保存領域を増強するまでの一時的な運用として、外部記憶媒体をバックアップに使っていた。
- 顧客情報を保存したSSDには暗号化もパスワード設定もなく、保管場所に施錠もしていなかった。
- 2026年4月27日、SSDの存在が最後に確認された。
- 4月27日から紛失の発覚までの1カ月間に、委託先の会社の57人がサーバー室に出入りしていた。
- 2026年5月26日、バックアップ作業中にSSDが本来置かれているキャビネットになく、紛失が発覚した。
- 室内の捜索やヒアリングを行ったが、行方は分かっていない。
- 福岡県警に窃盗の疑いで被害届を提出した。
- 2026年6月8日、紛失を公表し、経済産業省は7月8日までに事実関係と再発防止策を報告するよう求めた。
- 2026年10月30日、同社のシステムで不自然なエラーを検知し、調査で不正アクセスの可能性が判明したため、当該システムを緊急に停止した。
- サーバのログ調査で、一部の情報が社外に漏えいした可能性が判明した。
- 2026年11月2日、個人情報保護委員会と監督官庁へ報告した。
- 2026年11月5日、漏えいの可能性がある情報（使用電力量など）と件数を公表した。
- 当該システムをネットワークから切り離し、電力量・料金照会サービスを一部停止した。
- 2026年11月13日、対象のお客さまへダイレクトメール（通知封書）でお知らせを送付した。
根拠の要点
2026年6月8日の日経記事では、顧客情報を保存したSSDが5月26日のバックアップ作業時にキャビネットになく、紛失が発覚したとしている。データには暗号化もパスワード設定もなかったとされ、施錠もしていなかったとする。侵入や不正アクセスを示す記載はない。2026年11月5日のプレスリリースでは、10月30日に不自然なエラーを検知し、サーバのログ調査で一部の情報が社外に漏えいした可能性があるとしている。侵入経路と侵入時期は書かれていない。2026年11月13日のお知らせは、詳細な調査を続けるとし、現時点で二次被害は確認されていないとしている。二つの件の関係を示す記載はない。
資料の基準時点：2026年11月13日付のお知らせ（2026年11月14日取得）、2026年11月5日付のプレスリリース、2026年6月8日（21:16更新）の記事時点
当時、対策できたのか
判定保留
SSDのデータに暗号化もパスワード設定もなかったと日経記事は伝えている。ただし紛失の経緯と行方は分かっておらず、11月の不正アクセスも侵入口と攻撃時点の防御条件が資料に書かれていない。11月13日のお知らせも原因の詳細を示していない。対策の欠落が原因だったと確定できないため、判定保留とする。
公表された対策
- 2026年6月の件で、漏えいのおそれがある顧客に個別に連絡することとしている
- 2026年6月の件で、個人情報保護委員会や資源エネルギー庁などに報告した
- 2026年6月の件で、窃盗の疑いがあるとして福岡県警に被害届を提出した
- 11月の不正アクセスで、対象のシステムをネットワークから切り離した
- 電力量・料金照会サービスを一部停止した
- 2026年11月2日、不正アクセスについて個人情報保護委員会と監督官庁へ報告した
- 11月の不正アクセスで、対象のお客さまにダイレクトメール（通知封書）でお知らせを送付した（11月13日）
- 原因究明と再発防止策の徹底に取り組むとしている
- お客さまには特段の手続きを求めず、不審な連絡に注意するよう呼びかけた
- 問い合わせ窓口として九州電力送配電コールセンターを設けた
まだ分からないこと
- SSDの紛失の経緯と現在の行方
- SSDの顧客情報が社外に流出したかどうか
- 紛失に委託先の会社の57人が関わったかどうか
- 11月の不正アクセスの侵入口、侵入時期、不正を行った主体。11月13日時点では詳細な調査を続けているとのみ書かれている
- 漏えいした情報の悪用の有無。11月の件については11月13日時点で二次被害は確認されていないとされ、6月の件については資料に記載がない
- 6月の媒体紛失と11月の不正アクセスの関係。資料からは同一の事件か別の事案か確認できない
- 関連記事の見出しに「個人情報1003万件」とあり、本記事の1090万件と数字が食い違う
- 電力量・料金照会サービスの復旧時期（資料では現在検討中）
- 経済産業省が求めた報告（7月8日まで）の内容と、再発防止策の詳細