九州電力、子会社で1354万件の顧客情報紛失、外部記憶媒体所在不明で

九州電力の連結子会社である九州電力送配電株式会社は、2026年5月26日に、一部システムのバックアップに使用されていた外部記憶媒体（SSD）が保管場所から見当たらなくなっている事態が発覚したと報告しました。このSSDには、託送システムおよびスイッチング支援システムを通じて収集された延べ1,354万件の顧客情報が保存されていました。具体的な内訳としては、個人情報が1,003万件、契約情報が351万件に上り、2026年6月時点で契約継続中の顧客情報も約714万件含まれています。紛失したデータには、需要者名、供給場所住所、電力使用量、小売電気事業者名、供給地点特定番号などが含まれるほか、スイッチング支援システム関連の情報には電話番号も含まれています。しかし、銀行口座番号、クレジットカード情報、メールアドレスといった機密性の高い情報は含まれていないと会社は強調しています。事態発覚後、同社は捜索を続けるとともに、6月4日には警察に被害届を提出し、現在捜査が進められています。また、現時点では、フリマサイトやインターネット上での情報流出は情報流出は未確認と述べており、今後も継続的に監視していく方針です。

今回の事案の背景には、九州電力送配電における外部記憶媒体の極めて杜撰な管理体制が指摘されています。同社はデータ保存用サーバの容量逼迫に対応するため、暫定的にSSDを用いたバックアップ運用を2026年1月から開始しましたが、これが情報漏えいリスクを伴う行為であるという認識が不足していました。具体的には、SSDはサーバ室内のキャビネットに保管されていましたが、施錠されておらず、また暗号化やパスワード保護といったデータ保護措置も講じられていなかったとのことです。さらに、バックアップ作業は委託先が行っており、その際に具体的な保管方法やセキュリティ対策を委託先へ明確に指示していなかったことも明らかになりました。これは、サーバ室の入退室管理といった「多重のセキュリティ対策」を過信し、外部記憶媒体単体の保護がおろそかになった、多層防御の意識欠如が根本原因とみられます。事態を重く見た同社は、再発防止策として「外部記憶媒体使用の三原則」、すなわち「使わない、持ち出させない、読み取れない」を徹底することを発表しました。これに基づき、原則として外部記憶媒体の使用を禁止し、やむを得ない場合は厳格な承認プロセスと鍵付き保管、そしてパスワード保護や暗号化を義務付ける方針です。加えて、社内規定の改正、委託先への明確な指示体制の構築、従業員および委託先への情報セキュリティ教育の強化、並びにその遵守状況の定期的な確認を行うとしています。

九州電力送配電は、今回の事案の対象となる顧客に対し、2026年8月上旬以降順次、ダイレクトメールを個別送付する形で通知を行う計画です。一度に発送できない分量であるため複数回に分けて送付し、住所不明の顧客に対しては別途ホームページで公表するとしています。また、顧客からの問い合わせに対応するため、専用のコールセンターを設置することも併せて発表しました。現時点では、本件が同社の業績に与える重要な影響は不明とされていますが、大規模な顧客情報紛失事案として、企業の信頼性やブランドイメージへの影響は避けられないでしょう。投資家にとっては、サイバーセキュリティ対策への投資増加や、顧客対応に伴う費用の発生といった短期的なコスト増が懸念されるほか、今後の事業活動への潜在的な影響を慎重に見極める必要があります。また、就職活動中の学生にとっては、同社の情報ガバナンス体制の脆弱性が露呈した形となり、入社後のセキュリティ意識の高さやリスク管理体制の文化を重視する傾向が高まる可能性があります。電力業界全体としても、今回の事案はセキュリティ対策の再点検を促す警鐘となる可能性があります。同社が発表した再発防止策が、実効性のある形で運用されるかどうかが、今後の評価を左右する重要な経営課題となります。