漏洩ニュース・事例2025.07.31

日鉄ソリューションズが９万件の情報漏洩！ゼロデイ攻撃の概要と対策を解説

2025年、日鉄ソリューションズがゼロデイ攻撃で約9万件の個人情報漏洩。修正パッチなしの脆弱性悪用という巧妙な手口と、企業が学ぶべき情報セキュリティ対策を解説します。

こんにちは！ワニたんです。

最近、情報漏洩のニュースを目にする度に、「またか……」とため息が出るワニたんです🐊
企業やサービスが便利になる一方で、情報漏洩リスクも増え続けていますが、そんな中、再び大手企業から驚きの情報漏洩ニュースが舞い込んできました……。

2025年7月8日、日鉄ソリューションズ株式会社（以下、NSSOL）は、自社の社内ネットワークがサイバー攻撃を受け、一部の個人情報が漏洩した可能性があると公式に発表しました。

同社は外部のセキュリティ専門機関と連携し、原因を調査した結果、使用していたネットワーク機器に存在する未修正の脆弱性（ゼロデイ脆弱性）を悪用した攻撃が行われていたことが判明しました。これは「ゼロデイ攻撃」と呼ばれ、脆弱性の存在が公になる前に、それを突いて攻撃を仕掛ける非常に巧妙かつ危険な手法です。

今回の脆弱性には修正パッチが提供されていない状態だったため、防御は困難だったと見られます。

今回の不正アクセスにより、約9万件の個人情報が外部に流出した可能性があることが明らかになっています。被害対象は、以下の3つの区分に分かれています。

対象	内容
お客様情報	氏名、会社名、所属、役職、会社住所、業務用メールアドレス、電話番号
パートナー企業関係者（過去の契約者含む）	氏名、業務用メールアドレス（@nssol.ne.jpなど）
同社従業員（過去の在籍者含む）	氏名、所属、役職、業務用メールアドレス

重要な点として、NSSOLが提供するクラウドサービスおよび顧客向けのシステムは、この攻撃の影響を受けていないとしています。つまり、被害はあくまで「社内ネットワークおよびサーバー」に限定されていました。

また、現時点ではダークウェブやSNSでの情報拡散の兆候や、情報の悪用による二次被害は確認されていません。それでも、同社は不審なメールや電話に対する注意喚起を行っています。

日鉄ソリューションズは以下の対応を行っています。

このように、事件発覚後の対応はスピード感と実効性を伴っており、今後は「再発防止」に向けて全社的なセキュリティ運用の見直しと強化が進められます。

今回の事件を理解する上で重要なのが、「ゼロデイ攻撃」の概念です。これは、ソフトウェアやシステムに潜む未発見の脆弱性を悪用する攻撃手法で、開発元が脆弱性に気づく前、あるいは修正パッチが公開される前に攻撃されることが特徴です。

このため、従来のセキュリティソリューションでは防ぎにくく、標的型攻撃（APT）と組み合わされることで、大きな被害に発展するケースが増加しています。

同じく2025年には、メールサービス「Active! mail」のゼロデイ脆弱性（CVE-2025-42599）が悪用され、約31万件のメールアドレスと586契約の情報が流出するという深刻なインシデントも発生しています。

これらの事例は、ゼロデイ脆弱性が企業の命運を左右する脅威であることを如実に示しています。

「最新のソフトウェア」だけでは安全ではない
NSSOLはネットワーク機器のソフトウェアを最新に保っていましたが、それでもゼロデイ脆弱性の前には防げませんでした。「最新＝安全」ではないことを示しています。
不審な挙動に即応できる体制の重要性
異常検知から初動対応までの迅速さが、被害拡大を食い止める重要な鍵となります。ふるまい検知や出口対策の強化は今後の標準対応となるでしょう。
透明性と説明責任が企業の信頼を守る
NSSOLは事件の詳細を4か月後に公表しましたが、その間にも関係者への連絡と個別対応を行い、社会的責任を果たしています。これは企業の信頼を失わないための模範的な対応と言えるでしょう。