マツダやメディカ出版で被害、NetScalerも要注意 3月後半の重要インシデント振り返り：セキュリティ注目トピック

2026年3月後半は、日本の企業や事業基盤を巡って不正アクセスやランサムウェア被害の公表が相次いだ。業務システムの脆弱性悪用や外部サービスの管理画面不正利用など5つの事例を整理した。

[中村篤志，キーマンズネット]

　2026年3月後半は、国内でも見過ごせないインシデントの公表が続いた。情報漏えいの恐れが出た事案だけでなく、予約基盤の管理アカウント悪用や、事業ドメインをかたる不審メール、ランサムウェアによる業務影響、公開系機器の脆弱（ぜいじゃく）性など、手口や影響はさまざまだ。いずれも、業務システムや外部サービス、公開系機器の運用に関わる事案となっている。

　本稿で取り上げるのは以下の5つだ。

1. マツダ、業務システムへの不正アクセスで692件の情報流出の可能性
2. ホテル日航プリンセス京都、Expedia管理者アカウント不正利用で偽メッセージ送信
3. 子育てエコホーム支援事業、メールアドレスをかたる不審メール送信を公表
4. メディカ出版、ランサムウェア被害の第2報を公表
5. JPCERT/CC、NetScalerの深刻な脆弱性に注意喚起

1．マツダ、情報流出の可能性

　マツダは2026年3月19日、タイからの調達部品の倉庫業務に利用している管理システムで外部からの不正アクセスの痕跡を確認し、同社やグループ会社、取引先の従業員に関する個人情報692件が外部へ流出した可能性があると公表した。原因は、業務に利用していたシステムに存在していたセキュリティ上の脆弱性が悪用されたことだとしている。一般顧客の情報は当該システムに登録しておらず、流出の可能性はないという。マツダは再発防止策として、監視強化や通信制御強化などを進めるとしている。

出典：不正アクセス発生による個人情報流出可能性のお知らせとおわび（マツダ）

2．ホテル日航プリンセス京都、偽メッセージ送信

　ホテル日航プリンセス京都は2026年3月19日、不正アクセスによって一部宿泊客の個人情報が流出した可能性があると公表した。発表によると、2026年3月2日に第三者が同ホテルの管理者用アカウント（オンライン旅行予約サービス「Expedia」のアカウント）を不正利用し、従業員になりすまして、メッセージングアプリ「WhatsApp」を通じてクレジットカード情報の入力を求める偽メッセージを送信していた。同ホテルは、予約客に対してメールやチャットでクレジットカード情報や支払いを求めることはないとして注意を呼び掛けている。

出典：不正アクセスによるお客さまの個人情報流出についてのおわびとお知らせ（ホテル日航プリンセス京都）

3．子育てエコホーム支援事業、不審メール送信

　子育てエコホーム支援事業は2026年3月23日、同事業のサーバに第三者からの不正アクセスがあり、事業のメールアドレスをかたった悪意ある不審メールが複数の宛先に不正送信されていたと公表した。詳細調査の結果、機密情報の外部漏えいやサーバ内データの改ざんは確認されなかったとしている。

出典：当方ドメインをかたる不審なメールに関するおわびと注意喚起（子育てエコホーム支援事業）

4．メディカ出版、ランサムウェア被害が継続

　メディカ出版は2026年3月25日、ランサムウェアによる不正アクセス被害に関する第2報を公表した。2026年3月13日に発生した障害について、影響を受けたサーバを即時隔離し、外部のセキュリティ専門家とともに調査と復旧を進めているという。2026年3月25日時点では、個人情報などの流出件数は未確定で、社外への情報流出や不正利用などの二次被害報告はないとしている。一方で、商品の受注や配送については通常通り提供できるものと遅延が見込まれるものがあるとし、安全性が確認できた端末から順次復旧を進めている。

出典：不正アクセス（ランサムウェア）被害に関するご報告と現在の状況について（第2報）（メディカ出版）

5．NetScalerに脆弱性、JPCERT/CCが注意喚起

　JPCERT/CCは2026年3月31日、「Citrix NetScaler ADC」および「NetScaler Gateway」における境界外読み取りの脆弱性「CVE-2026-3055」に関する注意喚起を公開した。JPCERT/CCによると、Cloud Software Groupは2026年3月23日に関連情報を公表しており、この脆弱性によって遠隔の第三者が意図しないメモリ領域のデータを読み取る可能性がある。JPCERT/CCは修正済みバージョンへのアップグレードを推奨している。

出典：NetScaler ADCおよびNetScaler Gatewayにおける境界外読み取りの脆弱性（CVE-2026-3055）に関する注意喚起（JPCERT/CC）

見落としやすい“入り口”をどう見るか

　今回挙げた事例を並べると、狙われるのは公開Webサイトそのものだけではない。周辺業務システムや外部サービスの管理画面、メール送信基盤、境界系機器など、日々の運用で見落としやすい場所が入り口になっている。大きな事故を対岸の火事として見るのではなく、自社の管理画面権限、修正プログラムの適用状況、公開系機器の更新、なりすましメール対策を点検するきっかけにしたい。