サントリー、外部クラウド不正アクセスで約9万人の情報漏えい

サントリーホールディングスとサントリービバレッジ＆フードは2026年11月2日、グループが利用する外部クラウドサービスに第三者が不正アクセスし、個人情報を含むファイルがダウンロードされたと発表した。企業の従業員だけでなく、採用応募者や一部顧客の情報も対象となっている。公表時点で情報の不正利用は確認されていないという。

10月28日に異常検知、翌日に個人情報を確認

公式発表によると、10月28日にクラウドサービスの異常を検知して不正アクセスを遮断し、調査を開始した。同日に持ち出されたファイル名を特定し、29日に一部ファイルに個人情報が含まれることを確認。11月2日には個人情報保護委員会へ速報を報告し、対象者への個別連絡を開始した。侵入経路や攻撃者の詳細は今回の発表では明らかにされていない。

従業員、採用応募者、顧客など7区分に影響

11月1日までに確認した対象のうち、最大の区分はグループおよびパートナー企業等の従業員約9万人で、氏名とメールアドレスが含まれる。また、企業活動体験プログラム「マル・デ・シャイン」の登録者7,323人のメールアドレス、2026年新卒採用のビジネス部門応募者7,173人の氏名・連絡先等も対象だ。各区分の人数は重複の可能性があり、単純合算を実人数として扱うことはできない。

さらに、社用携帯電話2台に登録されていた従業員や取引先関係者1,097人、モンテ物産の従業員等324人、井筒まい泉の宅配注文客と配送従業員96人、取引先従業員25人の情報も確認された。宅配関連には氏名と届け先の位置情報が含まれる。一方、会社はクレジットカードなどの決済情報は含まれていないと説明している。

企業が進める対応と利用者の注意点

両社は被害拡大防止策を講じたうえで調査を継続し、新たに公表すべき事実が判明した場合には速やかに知らせる方針を示した。公式案内には24時間受付の問い合わせフォームと電話窓口が掲載されている。対象の可能性がある人は、企業を名乗る不審なメールや電話に対し、送信元を確認せずに個人情報を入力しないなど、一般的なフィッシング対策が重要となる。

今回の事案は、社内で使う外部サービスにも機密性の異なる情報が保存されていることを示している。ただし、どの認証方式や設定が侵害されたかは不明であり、特定のクラウド製品や脆弱性が原因だと断定できない。アクセス権限の管理、異常なファイル取得の監視、保存データの棚卸しといった対策の重要性が改めて意識される事例となった。

公表内容は11月2日時点の調査結果であり、対象範囲や被害の詳細が今後更新される可能性がある。個別の該当状況や正式な対応については、サントリーの公式告知と窓口を確認する必要がある。