村田製作所の情報漏洩｜約8.8万件に取得のおそれ・2026年不正アクセスの原因と時系列

村田製作所は2026年3月6日、社内のIT環境が第三者の不正アクセスを受け、データが取得されたと公表しました（第一報）。4月27日の第三報では、取得された、またはそのおそれがある個人情報は約8.8万件（従業員と関係者 約7.3万件、社外関係者 約1.5万件）です。侵入経路と攻撃者は公表されていません。一方、米国子会社が米国の州当局へ出した届出では、侵害発生日が2025年3月10日とされています。この記事では、公式発表で確定している事実と未公表の範囲を分けて、原因、時系列、漏えい項目、再発防止策、2023年の事案との違い、取引先・従業員・退職者が取るべき対応を整理します（2026年10月13日時点。本社の「当社のIT環境への不正アクセスに関するお知らせ」は第三報が最後で、その後はグループ会社の告知（7月）と統合報告書（9月）で触れられています）。

まとめ：村田製作所の情報漏洩（2026年不正アクセス）の要点

• 何が起きたか：2026年2月28日に不正アクセスの可能性を認識。攻撃を受けたのは社内の情報共有を主目的とするシステムで、データの不正取得を確認済み。
• 件数と項目：従業員・家族・退職者 約7.3万件（銀行口座情報・健康情報を含み得る）、顧客・仕入先など 約1.5万件（氏名・連絡先など）。請求書・契約書・売上など個人情報以外の取引データも取得されたおそれがある。
• 原因：侵入経路・攻撃者・手口は未公表。米国子会社の届出では侵害発生日が2025年3月10日で、発覚まで約1年。
• ランサムウェアか：会社はランサムウェアとは発表していない。基幹システムと電子メールに被害はなく、外部ファイルのアップロードも確認されていない。
• 現在の状況：システムは通常稼働、生産・販売への影響なし。2026年9月の統合報告書でも新たな被害は確認されていないとしている。損失額は未公表で、取引先との協議次第で業績に影響し得るとの注記がある（株主総会資料）。
• やること：村田製作所を名乗るメール・SMS・電話は、本文中のリンクを使わず公式サイトの窓口で確かめる。取引先は、自社が渡した個人データの範囲と自社側の報告義務を確認する。

村田製作所への不正アクセスの時系列（2025年3月〜2026年9月）

発生・認識・公表・通知の日付順に並べると次のとおりです。2025年3月10日と2026年4月30日・5月1日は、日本語の公式発表には出てこない日付で、米国子会社が米国の州当局へ出した届出によるものです。

認識から第一報までは6日です。一方、米国の届出にある侵害発生日が正しければ、侵入から発覚まで約1年が経っていたことになります。日本の本社の発表は侵入の開始時期に触れていないため、この日付は「米国子会社の届出上の日付」として読んでください。

不正アクセスの原因と侵入経路：公式発表で公表済みの事実と未公表の範囲

「原因」を検索する人が多い事案ですが、村田製作所は侵入経路・攻撃者・使われた脆弱性を公表していません。ここでは、確定している事実と、発表に書かれていないことを分けます。

攻撃対象となった社内の情報共有システムと基幹・電子メールの被害状況

第二報（2026年4月6日）によると、不正アクセスを受けたのは「当社内の情報共有を主目的に使用しているシステム」で、社内システムの一部です。購買・生産・出荷を支える基幹システムと電子メールシステムには被害が認められていません。従業員の人事・福利厚生の申請書類と、取引先とのやり取りの記録が同じシステム内でどのように管理されていたかは公表されておらず、被害範囲が広がった具体的な理由は特定できない状況です。対象システムの製品名（クラウドのファイル共有か社内サーバか）も明らかにされていません。

米国届出の侵害発生日と海外報道による侵入期間

侵入の時期について最も具体的なのは、米国子会社 Murata Electronics North America が米国の州当局へ出した届出です。米インディアナ州司法長官の2026年届出一覧には、通知日2026年5月1日・侵害発生日2025年3月10日・対象者総数331人と載っています。米国のデータ侵害情報サイトClaimDepotとUpGuardは、この届出をもとに、不正アクセスは2025年3月から2026年2月28日まで続いたと伝えています（ClaimDepotが出典に挙げるニューハンプシャー州への届出は2026年4月30日付）。ClaimDepotによれば、対象となり得る情報は氏名・住所・社会保障番号・運転免許証やパスポートの情報・保険契約・健康に関する情報・金融口座番号などで、対象者にはKroll社の24か月の身元監視サービスが提供されます。

この期間は、日本の本社が不正アクセスの可能性を認識した2026年2月28日で終わっています。つまり侵入は認識の約1年前から続いていた可能性があり、発覚が遅れた点は日本の発表からは読み取れない情報です。ただし、届出は米国子会社の従業員など331人についてのもので、日本の約8.8万件と対象者が一致するわけではありません。また、侵入期間がわかっても、どこから入られたかは米国の届出でも明らかにされていません。

再発防止策：実施済み6項目と今後の4項目

第三報（2026年4月27日）は、本件を踏まえた再発防止策を「既に実施」と「今後推進」に分けて挙げています。

入口に関わる対策が3項目（特定システムへの通信遮断、社内ネットワーク、クラウド環境のアクセス制限）あり、認証と権限管理の強化も挙げています。ただし、これらは再発防止策であり、それだけで正規アカウントの認証情報が使われたとは判断できません。VPN機器の脆弱性や委託先経由といった具体的な経路を示す記述も、発表にはありません。「外部流通監視の強化」は、取得された情報がネット上に出回っていないかを見張る対策で、第三報は公開の事実を確認していないとしています。「〇〇が原因」と言い切る記事は、公式発表のどこに書いてあるかを確かめてから読むべきです。

ランサムウェア該当性の未公表と業務影響の確認状況

村田製作所の発表には「ランサムウェア」という語がありません。第二報は「社内システムへの外部ファイルのアップロード等は確認されておりません」と書き、生産・販売は通常どおりです。データを暗号化して業務を止める典型的なランサムウェア被害（アサヒグループのサイバー攻撃では出荷が止まりました）とは異なり、今回確認されているのはデータの不正取得です。第三報では、取得されたおそれのある情報のインターネット上での公開は確認されていないとしています。犯行声明の有無には言及していません。

漏えいのおそれがある情報8.8万件の対象者別の内訳と取得項目

第三報が示した内訳です（4月27日時点）。件数には同一人物が重複して数えられている可能性があり、表の項目がすべての人について取得されたわけではない、と注記されています。

従業員と関係者の約7.3万件：銀行口座情報・健康情報の取得のおそれ

従業員側は「会社へ提供した私人としての情報」として、氏名・生年月日・性別・住所・連絡先・銀行口座情報・健康情報、その他の申請や手続きで提出した情報が挙がっています。家族と退職者も対象です。

顧客・仕入先の約1.5万件と、個人情報以外の取引データの取得のおそれ

社外関係者は、連絡や取引のために受け取った氏名・メールアドレス・電話番号などです。第三報は別枠で、一部の取引先との請求書・契約書・売上に関するデータなど「個人情報以外の当社外に関する情報」も取得されたおそれがあるとし、二次被害防止を理由に詳細を伏せています。担当者名・取引内容・請求書の書式がそろうと、実在の取引を装った請求書詐欺（BEC）の材料になります。対象となる取引先には会社から順次連絡するとしています（第二報）。

グループ会社ムラタメイクの自動車保険契約情報

本社のIT環境に置かれていたグループ会社の顧客情報にも影響が出ています。保険代理店のムラタメイク（村田土地建物）は2026年7月10日の個人情報漏えいのお知らせで、2015年3月末・2020年1月末・2021年7月末時点の自動車保険契約の氏名・証券番号・車両番号・契約保険会社・保険始期日・保険満期日が漏えいしたと告知しました。直近の契約情報は対象外で、住所・電話番号・メールアドレス等の連絡先と、口座情報・クレジットカード情報は漏えいしていないとしています。契約者が保険契約の手続きをしたり、ムラタメイクへ連絡したりする必要はなく、心当たりのない連絡があった場合はムラタメイク（0120-157-756、平日8時30分〜17時）へ相談するよう案内しています。

2023年のファイルサーバ不正アクセスとの比較：対象と公表内容の違い

村田製作所は2023年にも不正アクセスを公表しています。同じ会社で3年のあいだに2回ですが、中身は次のように違います。

2023年の第2報（6月13日）は、第三者が海外子会社を経由して複数のファイルサーバにアクセスしたこと、外部流出は「確証を得る事実は見つかっていません」と結論づけました。2026年は流出を認め、件数と項目まで出しています。開示は前回より早く、具体的になりました。一方、2026年の侵入経路が海外拠点経由かどうかは発表にないため、「前回と同じ手口」と結びつけるのは根拠を欠きます。米国の届出が示す侵入開始の2025年3月は、2023年の事案から約2年後にあたります。拠点や委託先を踏み台にする攻撃の一般的な型はサプライチェーン攻撃の起点別3類型で整理しています。

村田製作所の事業・業績・株価への影響：生産・販売と損失額の公表状況

村田製作所は、生産・販売活動に支障はないと第二報・第三報で繰り返し、4月30日の2025年度決算説明会でも同じ説明をしました。同じ資料では、2025年度の売上収益は1兆8,309億円で過去最高、営業利益は2,818億円です。7月31日の2027年3月期 第1四半期決算短信には本件の記載がなく、2026年4〜6月の売上収益は5,023億円（前年同期比20.7%増）、営業利益は985億円（同59.8%増）でした。

9月29日に発行された統合報告書「Murata value report 2026」は、リスクマネジメントの章（p.53）の情報セキュリティの項で本件に触れ、「新たな被害は確認されていません」「システムは通常どおり稼働しており、生産・販売活動への影響はありません」と記載しています。あわせて、情報セキュリティ管理の考え方と体制を検証し直し、再発防止に向けた見直しと強化を進めているとしています。本件による損失額や業績予想の修正は公表されていません。ただし、5月28日公表の第90回定時株主総会資料（電子提供措置事項のうち交付書面に記載しない事項）は、連結の偶発負債と単体の偶発債務の注記で本件を取り上げ、今後の取引先との協議等の状況次第では将来の財政状態と経営成績に影響する可能性があるが、影響額を合理的に見積もることが困難なため計算書類に反映していない、としています。取引先の情報が取得されたことの金銭的な影響は、まだ確定していないということです。株価（証券コード6981）には需要動向や為替など複数の要因が関わり、本件と株価の関係を示す材料は会社から出ていません。

取引先・従業員・退職者の確認事項：二次被害を防ぐための立場別の対応

第三報は、想定される二次被害として「なりすまし被害、フィッシングメール、SMS等による標的型攻撃」を挙げています。立場ごとに確認することが違います。

取引先の担当者：渡した個人データの範囲と委託関係に応じた自社側の報告義務

まず、自社が村田製作所に渡したのが「取引のための担当者の連絡先」だけか、それとも自社の顧客や従業員の個人データの取扱いを委託していたかを分けます。前者なら、漏えいした事業者として報告する主体は村田製作所です。後者の委託関係にあるなら、委託元である自社も個人情報保護委員会への報告義務を負い得ます（個人情報保護法26条1項）。不正アクセスによる個人データ等の漏えいまたはそのおそれは、原則として施行規則7条3号の報告対象となり、件数の下限はありません。ただし、高度な暗号化等の保護措置により報告対象から除かれる場合があります。期限は、知った後「速やかに」の速報と、知った日から60日以内の確報です（個人情報保護法施行規則8条2項。不正目的以外は30日以内）。判断の流れは個人情報保護委員会への報告義務の対象4類型と期限で詳しく扱っています。あわせて、請求書の振込先変更の連絡は、既存の電話番号で折り返して確認する運用にします。

従業員・家族・退職者：口座と健康情報の取得のおそれを前提にした警戒

第三報（2026年4月27日）は取得されたおそれのある情報に銀行口座情報と健康情報を挙げています。対象者は口座の入出金を確認し、「口座確認のため」と称する電話やSMSでは暗証番号やワンタイムパスワードを伝えないことです。口座番号だけでは引き出しはできませんが、氏名・生年月日・住所と組み合わせた本人確認の突破や、銀行・会社を装う連絡の材料になります。退職者は会社からの連絡を受け取りにくい立場のため、登録住所やメールが古い人は公式サイトの問い合わせ窓口から確認してください。

村田製作所を名乗る連絡の見分け方：送信元の確認と公式窓口への照会

本件の問い合わせ先は、村田製作所の公式サイト内の「セキュリティ関連お問い合わせ」フォーム（corporate.murata.com の /ja-jp/contact/security-inquiry）です。メールやSMSに書かれたリンク・電話番号から手続きを進めず、ブラウザで公式サイトを開き直して窓口を使います。第三報（2026年4月27日）の時点で会社は二次被害を確認していませんが、本物の担当者名や過去の取引内容が書かれていても、それだけでは正規の連絡と判断できません。送信元ドメインと依頼内容を確認し、振込先変更やログインの依頼は既知の窓口へ別途照会します。手口の見分け方はフィッシング詐欺の成立の仕組みと技術的対策を参考にしてください。社内の端末やアカウントに不審なアクセスがなかったかを確かめる場合は、不正アクセスのログ確認・解析方法の手順が使えます。自社の公開サーバや社内システムに外から入られる穴が残っていないかを第三者の目で確かめたい場合は、脆弱性診断・セキュリティ診断で対象範囲の洗い出しから相談できます。

差出人の確認を手作業に頼らない場合は、メールソフトで .eml 形式に保存したメールを次の Python（標準ライブラリのemail.parserのみ。Python 3.9.6で動作を確認）で確認できます。ファイルを読むだけで、送信や削除はしません。このコードはヘッダーの表示補助であり、送信元の真正性を検証するものではありません。Fromの一致や表示されたpassだけで安全と判断せず、Authentication-Resultsは自社のメール管理者が信頼できる受信サーバ由来と確認したものだけを参照してください。OFFICIAL には、過去に受け取った正規メールで確かめた差出人ドメインを入れてください。受信側サーバが付ける Authentication-Results で spf・dkim・dmarc が fail の場合や、返信先が別ドメインの場合は、本文の依頼に応じず既知の窓口へ照会します。

# 受信メール（.eml）の差出人ドメインと認証結果を表示する読み取り専用スクリプト
# 使い方: python check_sender.py 受信メール.eml
import sys
from email import policy
from email.parser import BytesParser
from email.utils import parseaddr

# 過去に受け取った正規メールで確かめた差出人ドメインに置き換える
OFFICIAL = ("example.com",)

with open(sys.argv[1], "rb") as f:
    msg = BytesParser(policy=policy.default).parse(f)

name, addr = parseaddr(str(msg.get("From", "")))
domain = addr.rsplit("@", 1)[-1].lower()
match = any(domain == d or domain.endswith("." + d) for d in OFFICIAL)
print(f"From: {name} <{addr}>")
print(f"差出人ドメイン: {domain} / 登録済みドメインと一致: {match}")
for h in msg.get_all("Authentication-Results", []):
    print("Authentication-Results:", " ".join(str(h).split()))
reply = parseaddr(str(msg.get("Reply-To", "")))[1]
if reply and reply.rsplit("@", 1)[-1].lower() != domain:
    print(f"注意: 返信先が別ドメインです（{reply}）")

差出人を偽ったメール（差出人が似せたドメイン、返信先が別ドメイン、spf・dmarc が fail）を読ませると、次のように表示されます。

From: Murata Support <[email protected]>
差出人ドメイン: murata-support.example.net / 登録済みドメインと一致: False
Authentication-Results: mx.example.jp; spf=fail smtp.mailfrom=murata-support.example.net; dkim=none; dmarc=fail header.from=murata-support.example.net
注意: 返信先が別ドメインです（[email protected]）

よくある質問

村田製作所の情報漏洩はいつ起きたのですか？

村田製作所が不正アクセスの可能性を認識したのは2026年2月28日で、第一報は3月6日です。米国子会社が米国の州当局へ出した届出では、侵害発生日は2025年3月10日とされ、海外の報道は侵入が2026年2月28日まで続いたと伝えています。

漏えいのおそれがある個人情報は何件ですか？

2026年4月27日の第三報で、従業員と家族・退職者が約7.3万件、顧客・仕入先などの社外関係者が約1.5万件、合計約8.8万件です。同一人物が重複して数えられている可能性があると注記されています。

不正アクセスの原因は何ですか？

侵入経路・攻撃者・手口は公表されていません。攻撃を受けたのは社内の情報共有システムで、会社は不審な通信元の遮断、アクセス制限、認証方式と権限管理の強化など6項目を実施済みとし、外部監査の拡充など4項目を今後進めるとしています。

今回の攻撃はランサムウェアですか？

会社はランサムウェアとは発表していません。基幹システムと電子メールに被害はなく、外部ファイルのアップロードも確認されておらず、生産・販売は通常どおりです。確認されているのはデータの不正取得です。

その後の続報や新たな被害はありますか？

2026年10月13日時点で、本社の番号付きの発表は第三報（4月27日）が最後です。その後、7月10日にグループ会社ムラタメイクが自動車保険契約の情報の漏えいを告知し、9月29日の統合報告書は「新たな被害は確認されていません」としています。

取引先や従業員は何をすべきですか？

村田製作所を名乗る連絡は公式サイトの窓口で確かめ、振込先変更や口座確認の依頼には、正規の連絡と確認できるまで応じないでください。取引先は、個人データの取扱いを委託していた場合に自社側の報告義務が生じるかを確認します。

関連記事

• 個人情報保護委員会への報告義務｜対象4類型・速報3〜5日と確報30日の実務
• サプライチェーン攻撃とは？起点別3類型と最新事例・対策の優先順位
• アサヒ サイバー攻撃の時系列まとめ｜経緯・原因・被害額・復旧とQilinメンバー拘束（2026年10月時点）
• マイナビ個人情報漏洩の一覧（2020〜2026年の7件）：11万件の対象確認・登録は危険か・偽連絡の見分け方
• フィッシング詐欺とは？成立の仕組みと実装者向けの技術的対策を解説