---
title: "サントリーの不正アクセスで約10万人分漏えい｜M365のファイル大量ダウンロードを監査ログで調べる手順"
url: "https://www.issoh.co.jp/tech/details/19215/"
published: 2026-11-02
updated: 2026-11-02
categories: ["セキュリティ"]
publisher: "株式会社一創"
---

# サントリーの不正アクセスで約10万人分漏えい｜M365のファイル大量ダウンロードを監査ログで調べる手順

サントリーホールディングスは2026年11月2日、グループが利用する外部のクラウドサービスに第三者が不正にアクセスし、従業員や新卒採用の応募者など約10万人分の個人情報が漏えいしたと発表しました。共同通信は、このクラウドを米マイクロソフトのサービスと報じています。本記事では、報道で一致している事実を7区分の内訳とともに整理し、公表されていない点は、確認済みの事実とは別に扱う方針です。そのうえで、Microsoft 365を使う組織の管理者がファイルの持ち出しを自社テナントで確かめる手順を、監査ログを集計するPowerShellの実行例で示します。未管理端末からのダウンロード制限と異常検知をどこまで入れるかの判断も扱います。

## まとめ：サントリーの不正アクセスで報じられた事実と管理者が監査ログで確かめること

報道で一致しているのは、10月28日に外部クラウド上の異常を検知して不正アクセスを遮断したこと、翌29日にダウンロードされたファイルの一部に個人情報が含まれると確認したこと、11月2日に個人情報保護委員会へ速報したことです。漏えいはグループとパートナー企業の従業員約9万人分を中心に7区分で、クレジットカードなどの決済情報は含まれていません。侵入の手口と、マイクロソフトのどのサービスだったかは公表されていません。

同じクラウドを使う組織が今日やることは一つです。監査ログでファイルのダウンロードと同期の記録を引き、利用者・IPアドレス・時間帯の組で異常な件数がないかを見ます。監査ログは非E5のライセンスでは180日で消えるため、調査の開始が早いほど、遡って確認できる記録の範囲が広い状態です。そのうえで、未管理端末からのダウンロードを止めるか、異常検知を入れるかを、扱うデータの量で決めます。

| 項目         | 報道で一致している内容 |
| ---------- | ----------- |
| 異常の検知と遮断   | 2026年10月28日 |
| 個人情報の確認    | 10月29日      |
| 漏えいの規模     | 約10万人分（7区分） |
| 決済情報       | 含まれない       |
| 侵入手口・サービス名 | 非公表         |

## サントリーの不正アクセスで報じられた経緯と7区分約10万人分の内訳

### 10月28日の異常検知から11月2日の個人情報保護委員会への速報までの経緯

関西テレビとビジネス＋ITの11月2日の報道によると、サントリーは10月28日にグループが利用する外部クラウドサービス上の異常を検知し、その時点で不正アクセスを遮断して調査を始めました。10月29日には、漏えいしたファイルの一部に個人情報が含まれていることを確認しています。

11月2日に個人情報保護委員会へ速報を出し、対象者への個別連絡を始めました。問い合わせはフリーダイヤルで受け付けています。検知から公表までは5日で、件数は11月1日時点の集計です。調査は続いており、新たな事実が分かれば公表するとしています。

### 従業員約9万人・新卒応募者7,173人など7区分の漏えい項目と決済情報の扱い

ビジネス＋ITが報じた11月1日時点の内訳は次の7区分です。共同通信は「約7300人」「約7200人」と概数で伝えており、数字はこの表と一致します。

| 区分               | 漏えいした項目      | 人数    |
| ---------------- | ------------ | ----- |
| グループとパートナー企業の従業員 | 氏名・メールアドレス   | 約9万   |
| 体験プログラム登録者       | メールアドレス      | 7,323 |
| 2026年新卒採用の応募者    | 氏名・メール・電話番号等 | 7,173 |
| 社用携帯2台の登録先       | 氏名・電話番号      | 1,097 |
| モンテ物産の関係者        | 氏名・メール・電話番号  | 324   |
| 井筒まい泉の宅配顧客等      | 氏名・お届け先の位置情報 | 96    |
| 取引先の従業員          | 氏名・役職        | 25    |

体験プログラムは「マル・デ・シャイン」で、対象は2023年末時点の登録者です。新卒採用はビジネス部門のオープン選考（早期・通常）に応募した人のマイページ登録情報です。決済情報は含まれず、現時点で不正利用は確認されていないとしています。

### 公表されていない侵入手口とクラウドの種類を推測で埋めない読み方

報道からは、攻撃者がどうやって入ったのかが読み取れません。認証情報の窃取か、多要素認証の突破か、アプリへの権限付与か、いずれに該当するのかは未公表です。共同通信は「米マイクロソフトのクラウドサービス」と書いていますが、ファイル共有のSharePointやOneDriveなのか、別のサービスなのかも明らかではありません。

本記事はここを推測で埋めません。以降の手順は、Microsoft 365でファイルを持ち出された場合に自社テナントで何を確かめるかという、読者の側の作業として書きます。サントリーの続報で手口が公表されれば、その内容に合わせて追記します。

## ファイルを持ち出す侵害とメールを悪用する侵害で異なる調査の起点と記録の種類

### 日経のなりすましメール型とサントリーのファイル流出型で見るべきログの違い

Microsoft 365のアカウント侵害は、被害の出方で調べる場所が変わります。日本経済新聞社の事案では乗っ取られたアカウントから約9,000件のなりすましメールが送られ、調査の中心はメッセージ追跡と受信トレイルールでした。その手順は[日経の不正アクセスで約183万件漏洩｜なりすましメール・乗っ取りの調査手順](https://www.issoh.co.jp/tech/details/18189/)で解説しています。

サントリーの件は「ダウンロードされたファイル」に個人情報が含まれていた、という報じられ方です。この型では、誰がいつどこからどのファイルを落としたかを示すファイル操作の監査記録が起点になります。メッセージ追跡をいくら引いても、ファイルの持ち出しは見えません。

| 被害の型        | 最初に引く記録          |
| ----------- | ---------------- |
| なりすましメールの送信 | メッセージ追跡・受信トレイルール |
| ファイルの持ち出し   | 監査ログのファイル操作      |
| 両方に共通       | Entra IDのサインインログ |

### 名簿ファイルが共有領域に残り続ける運用と漏えい範囲が広がる理由

7区分の中身は、従業員の連絡先一覧、採用の応募者一覧、イベント登録者の一覧と、いずれも名簿です。体験プログラムの区分は2023年末時点の登録者で、約3年前の一覧がファイルとして残っていたと読めます。業務が終わった名簿を消さずに共有フォルダーへ置き続けると、侵入されたときの漏えい範囲はその蓄積の分だけ広がります。

どのファイルに誰がアクセスできるかを一覧で把握していない組織は、侵害の調査でも範囲を確定できません。共有範囲の可視化と過剰共有の削り方は[Microsoft 365 Copilotの情報漏洩対策｜過剰共有の可視化とRCD・DLPの設定手順](https://www.issoh.co.jp/tech/details/17565/)で扱っています。Copilotを入れない組織でも、棚卸しの手順はそのまま使えます。

## Microsoft 365の監査ログで大量ダウンロードを調べる手順と実行例

### 監査ログ検索の前提となる権限・保持期間180日と記録が出るまでの60〜90分

Microsoftの[監査ログ検索の解説](https://learn.microsoft.com/en-us/purview/audit-search)によると、監査ログ検索はMicrosoft 365のエンタープライズ組織では既定で有効です。検索には「Audit Logs」か「View-Only Audit Logs」のロールが要ります。Exchange、SharePoint、OneDriveの記録が検索結果に出るまでは、操作から通常60〜90分かかります。

遡れる期間はライセンスで変わります。[監査ログの保持ポリシーの解説](https://learn.microsoft.com/en-us/purview/audit-log-retention-policies)では、E5ライセンスの利用者はExchange・SharePoint・OneDrive・Entra IDの記録が1年、それ以外の利用者は180日です。保持期間を後から延ばしても、既に記録された分の期限は変わりません。侵害に気づいた時点で、必要な期間の記録をCSVへ書き出して手元に残してください。

### ファイルのダウンロードと同期を時間帯・IPアドレスで集計するスクリプト

ファイルの持ち出しで見る操作は二つです。[監査対象アクティビティの一覧](https://learn.microsoft.com/en-us/purview/audit-log-activities)では、`FileDownloaded`がサイトからの文書のダウンロード、`FileSyncDownloadedFull`がOneDrive同期アプリによるPCへのダウンロードと定義されています。同期アプリを使えばライブラリを丸ごと手元に落とせるため、ブラウザーでのダウンロードだけを見ると漏れます。

次のPowerShellスクリプトは、指定期間の二つの操作をすべて取得し、利用者・IPアドレス・1時間単位の組で件数を数え、しきい値以上の組を出力します。Exchange Online PowerShell（ExchangeOnlineManagementモジュール）と、監査ログのロールが前提です。

```
# 使い方: .\Find-MassDownload.ps1 -StartUtc "2026-10-21 00:00:00Z" -EndUtc "2026-10-29 00:00:00Z" -Threshold 200
param(
  [Parameter(Mandatory)][string]$StartUtc,
  [Parameter(Mandatory)][string]$EndUtc,
  [int]$Threshold = 200
)
Connect-ExchangeOnline -ShowBanner:$false

$ops  = "FileDownloaded","FileSyncDownloadedFull"
$sid  = "mass-dl-" + [guid]::NewGuid()
$rows = @()
do {
  # 同じSessionIdで繰り返し呼ぶと続きのページが返る（ReturnLargeSetは最大5万件）
  $page = Search-UnifiedAuditLog -StartDate $StartUtc -EndDate $EndUtc `
    -RecordType SharePointFileOperation -Operations $ops `
    -SessionId $sid -SessionCommand ReturnLargeSet -ResultSize 5000
  $rows += $page
} while ($page.Count -gt 0)

$rows = $rows | Sort-Object Identity -Unique
"取得件数: " + $rows.Count

# AuditData(JSON)から利用者・IPアドレス・時刻(UTC・1時間単位)・ファイルを取り出す
$events = $rows | ForEach-Object {
  $d = $_.AuditData | ConvertFrom-Json
  [pscustomobject]@{
    User    = $d.UserId
    Ip      = $d.ClientIP
    HourUtc = ([datetime]$d.CreationTime).ToString("yyyy-MM-dd HH:00")
    Op      = $d.Operation
    File    = $d.ObjectId
  }
}

# 利用者・IP・時間帯の組で数え、しきい値以上を件数の多い順に表示
$events | Group-Object User, Ip, HourUtc |
  Where-Object { $_.Count -ge $Threshold } |
  Sort-Object Count -Descending |
  Select-Object Count, Name

$events | Export-Csv -Path .\downloads.csv -NoTypeInformation -Encoding UTF8
```

しきい値の200は仮の値です。まず侵害と関係のない平常の1週間で同じスクリプトを走らせ、利用者ごとの1時間あたりの最大件数を見てから決めます。平常時に一桁の人が、ある時間帯だけ数百件を落としていれば、その組が調べる対象です。出力したCSVの`File`列を並べれば、持ち出されたファイルの一覧がそのまま作れます。

### 5万件の取得上限とUTC表記で読み違えないための期間の区切り方

[Search-UnifiedAuditLogのリファレンス](https://learn.microsoft.com/en-us/powershell/module/exchangepowershell/search-unifiedauditlog)によると、`ReturnLargeSet`でページングして取れるのは最大50,000件、1回の呼び出しの`ResultSize`は最大5,000件です。同じ`SessionId`で`ReturnNextPreviewPage`と混ぜると、上限が10,000件に下がります。取得件数がちょうど50,000件で止まったら取りこぼしがあるので、期間を1日単位に分けて取り直します。

日時の扱いにも注意が要ります。監査ログはUTCで記録され、タイムゾーンを付けずに渡した日時もUTCとして解釈されます。日本時間の10月28日の午前を見たいなら、UTCでは27日の15時から28日の3時です。スクリプトの`HourUtc`も同じくUTCなので、社内の報告書に書くときは9時間足して読み替えます。IPアドレスの読み方やサインインログとの突き合わせは[不正アクセスの調べ方｜ログの確認方法と痕跡を見つけるコマンド例](https://www.issoh.co.jp/tech/details/2788/)が参考になります。

## 封じ込めと再発防止の判断｜未管理端末のダウンロード制限と異常検知を入れる条件

### セッション失効と共有リンクの棚卸しで持ち出し経路を閉じる順番

大量ダウンロードの組が見つかったら、最初にその利用者のアカウントを止め、セッションを失効させます。Microsoftの[緊急時のアクセス取り消しの解説](https://learn.microsoft.com/en-us/entra/identity/users/users-revoke-access)によると、Entra IDが発行するアクセストークンは既定で1時間有効です。失効の操作をしても、その時間内は既存のトークンで操作できる場合があるため、止める作業を先に済ませます。Entra IDの仕組みは[Microsoft Entra ID（旧Azure AD）とは](https://www.issoh.co.jp/tech/details/3163/)で整理しています。

次に見るのは共有リンクです。監査ログで`AnonymousLinkCreated`（サインイン不要のリンクの作成）と`SharingInvitationCreated`（組織外への共有）を同じ期間で引き、侵害されたアカウントが作ったリンクを削除します。サインイン不要のリンクは、アカウントを止めても、リンクを知っている人なら誰でもファイルを開けるからです。

### 未管理端末をブラウザー閲覧のみに制限するSharePointの設定と見送る場面

再発防止で効果が大きいのは、会社が管理していない端末からのダウンロードを止める設定です。[未管理デバイスからのアクセス制御の解説](https://learn.microsoft.com/en-us/sharepoint/control-access-from-unmanaged-devices)によると、SharePoint管理センターか`Set-SPOTenant -ConditionalAccessPolicy AllowLimitedAccess`で、未管理端末をブラウザーでの閲覧のみにできます。ダウンロード、印刷、同期はできなくなります。

この設定には二つの落とし穴があります。反映まで最大24時間かかり、既にサインイン済みのセッションには効きません。もう一つは、サインイン不要の「Anyone」リンクがこの制限の対象外で、リンクを持つ人は引き続きダウンロードできることです。設定するなら、Anyoneリンクの無効化と組み合わせます。

採用すべきなのは、従業員名簿や応募者情報のような個人情報を扱うサイトがある組織です。逆に、社外の協力会社が私物端末からファイルを編集する運用が中心のサイトに全社一律で入れると、業務が止まります。その場合の制限対象は、個人情報のあるサイトだけです。サイト単位で`Set-SPOSite`から制限をかける運用にしてください。テナントの実情に合わせて条件付きアクセスと共有設定を組み直したい場合は、[Microsoft 365・Copilot導入支援](https://www.issoh.co.jp/service/erp%5Fcrm/microsoft365/)で設定の見直しから相談できます。

### Defender for Cloud Appsの導入規模と7日間の学習期間

スクリプトによる事後の集計は、気づいた後にしか働きません。検知を早めるのが[Defender for Cloud Appsの異常検知ポリシー](https://learn.microsoft.com/en-us/defender-cloud-apps/anomaly-detection-policy)で、「Unusual multiple file download activities」として、1セッション内の通常と異なる大量ダウンロードを利用者の平常時と比べて警告します。ポリシーは既定で有効ですが、最初の7日間は学習期間で、すべての警告は出ません。

従業員が数百人を超え、個人情報を含むファイルを共有ライブラリで扱う組織なら、導入して警告の通知先を決めておくべきです。サントリーは自社で異常を検知していますが、検知の仕組みが無い組織では、外部からの指摘で初めて気づく形になりがちです。一方、数人の組織で全員が同じ端末と回線から使う規模なら、前述のスクリプトを月1回走らせる運用で足ります。

### 個人情報保護委員会への速報・確報と社外の本人への連絡の段取り

サントリーは発覚から5日で[個人情報保護委員会](https://www.ppc.go.jp/personalinfo/legal/leakAction/)へ速報しています。不正の目的をもって行われたおそれのある漏えいは、本人の数にかかわらず報告対象です。速報は発覚から3〜5日以内、確報は30日以内で、不正目的によるものは60日以内とされています。

ファイル流出型では、持ち出されたファイルの一覧がそのまま本人の範囲になります。スクリプトの出力から対象ファイルを確定し、ファイル内の人数を数えて確報を固める順に進めます。採用応募者のように社外の本人がいる場合は、連絡手段が漏えいしたメールアドレスそのものなので、なりすましメールへの注意も通知文に入れてください。4類型と期限の実務は[個人情報保護委員会への報告義務](https://www.issoh.co.jp/column/details/17840/)で詳しく扱っています。

## よくある質問

サントリーの不正アクセスについて、対象になりうる人と管理者から出やすい質問をまとめました。

### サントリーの商品を通販で買ったことがありますが、情報は漏れていますか？

11月1日時点の7区分に、一般の通販会員の区分はありません。対象は従業員と取引先、新卒採用の応募者、体験プログラム「マル・デ・シャイン」の2023年末時点の登録者、井筒まい泉の宅配顧客などです。クレジットカードなどの決済情報も含まれていません。サントリーは対象者に個別に連絡するとしているため、連絡が無ければ現時点の対象外と考えられます。調査は続いているので、続報は確認してください。

### 2026年新卒採用に応募しました。何に注意すればよいですか？

報道によると、ビジネス部門のオープン選考（早期・通常）の応募者7,173人分のマイページ登録情報が対象で、氏名、メールアドレス、電話番号などが含まれます。今後、選考や内定を装ったメールやSMS、電話が届く可能性があります。届いたメールのリンクからIDやパスワードを入力せず、採用マイページには自分でブックマークしたURLから入るようにしてください。

### 侵入の手口は分かっていますか？

11月2日時点の報道では公表されていません。共同通信は米マイクロソフトのクラウドサービスと報じていますが、どのサービスか、認証情報が盗まれたのか、多要素認証が突破されたのかの記載はありません。手口の推測に基づいて対策を選ぶより、自社テナントでファイルのダウンロード記録とサインイン記録を確かめるほうが先です。

### 自社のMicrosoft 365で同じことが起きていないか、何から確かめればよいですか？

最初に、監査ログ検索が有効かを`Get-AdminAuditLogConfig`で確認します。次に、直近の期間で`FileDownloaded`と`FileSyncDownloadedFull`を利用者・IPアドレス・時間帯で集計し、件数が突出した組を探してください。見つかった組はEntra IDのサインインログで、業務で使わない国や回線からのログインがないかを突き合わせます。非E5ライセンスでは記録が180日で消えるので、結果はCSVで残してください。

### 監査ログはどのくらい前まで遡れますか？

E5ライセンスの利用者はExchange・SharePoint・OneDrive・Entra IDの記録が1年、それ以外の利用者は180日です。2023年10月17日より前に記録された分は90日でした。保持期間を後から延ばしても、既に記録された分の期限は延びません。長く遡りたい場合は、平常時から監査ログを自社のストレージやSIEMへ定期的に書き出しておく必要があります。

## 関連記事

- [日経の不正アクセスで約183万件漏洩｜なりすましメール・乗っ取り・開発用クラウドの調査手順](https://www.issoh.co.jp/tech/details/18189/)：Microsoft 365の乗っ取りをメール送信の側から調べる手順
- [Microsoft 365 Copilotの情報漏洩対策｜過剰共有の可視化とRCD・DLPの設定手順](https://www.issoh.co.jp/tech/details/17565/)：共有範囲の棚卸しと過剰共有の削り方
- [大和証券の情報漏洩・不正アクセス：約11万人の対象確認と委託先i-askの経緯](https://www.issoh.co.jp/tech/details/18132/)：同じ10万人規模の漏えいを対象者の確認から見る事例
- [SharePointとBoxの比較｜料金・外部共有・容量・既存システム連携で決める選び方](https://www.issoh.co.jp/column/details/18758/)：外部共有の制御で保存先を選び直すときに
- [個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務](https://www.issoh.co.jp/column/details/17840/)：漏えい発覚後の報告の段取りに

---

出典: [サントリーの不正アクセスで約10万人分漏えい｜M365のファイル大量ダウンロードを監査ログで調べる手順](<https://www.issoh.co.jp/tech/details/19215/>)（株式会社一創）