サントリーが利用する外部クラウドに不正アクセス、約10万人分が漏えい

従業員や応募者など約10万人分が漏えい、カード情報は含まず

2026年11月2日、サントリーホールディングスはサントリービバレッジ＆フードと連名で、グループで使っている外部のクラウドサービスが不正アクセスを受けたと発表しました。何者かが持ち出したファイルの中に、個人情報が混ざっていたとのこと。

サントリーが発表した漏えいは合わせて約10万人分で、クレジットカードなどの決済情報は含まれていません。 サントリーは、個人情報が悪用された事実も現時点では確認していないとしています。

11月1日までに漏えいがわかった個人情報（サントリーの発表より）

対象	漏えいした情報	人数
サントリーグループとパートナー企業などの従業員	氏名・メールアドレス	約9万人
「マル・デ・シャイン」に2023年末時点で登録していた人	メールアドレス	7,323人
2026年新卒採用（ビジネス部門オープン選考）の応募者	氏名・メールアドレス・電話番号など	7,173人
サントリービバレッジソリューションが使う社用携帯電話（2台）の連絡先にあった従業員など	氏名・電話番号	1,097人
モンテ物産とパートナー企業の従業員	氏名・メールアドレス・電話番号	324人
井筒まい泉の宅配を注文した人と、配送した従業員	氏名・お届け先の位置情報	96人
サントリー（株）取引先の従業員	氏名・役職	25人

「11月1日までに漏えいがわかった個人情報（サントリーの発表より）」の人数を合計すると10万6,038人です。対象同士で同じ人が重なっているかについて、サントリーは触れていません。

従業員約9万人は氏名とメールアドレスが漏えい

人数が最も多いのは、サントリーグループとパートナー企業などの従業員です。つまり、グループとパートナー企業などで働く約9万人が、全体の10万6,038人の8割以上を占めます。 漏えいしたのは氏名とメールアドレスで、電話番号は含まれていません。

取引先の従業員を含む情報も、ほかに2種類あります。サントリービバレッジソリューションが使う社用携帯電話（2台）の連絡先にあった1,097人分の氏名と電話番号、サントリー（株）取引先で働く25人の氏名と役職です。サントリーの社員だけでなく、取引先の担当者も漏えいの対象になりました。

応募者の漏えい情報には電話番号も含まれる

サントリーの企業活動体験プログラム「マル・デ・シャイン」の登録者と新卒採用の応募者も、漏えいの対象に含まれます。このうち、2026年新卒採用のビジネス部門に応募した7,173人は、氏名とメールアドレスに加えて電話番号なども漏えいしました。 応募者について漏えいしたのは、採用のマイページに登録した情報です。

「マル・デ・シャイン」に2023年末の時点で登録していた7,323人については、漏えいしたのはメールアドレスのみです。グループ会社の井筒まい泉では、宅配を注文した人と配送した従業員の氏名とお届け先の位置情報96人分が漏えいしました。モンテ物産でも、従業員などの氏名・メールアドレス・電話番号324人分が対象に含まれています。

サントリーは10月28日に異常を検知し、5日後に発表

サントリーは10月28日に、外部クラウドサービスの異常を検知しました。そして、検知した当日のうちに不正アクセスを遮断し、翌日には個人情報が含まれることを確認しています。 発表したのは検知から5日後の11月2日です。

異常の検知から発表まで（サントリーの発表より）

日付	サントリーの対応
10月28日	外部クラウドサービスで異常を検知。不正アクセスを遮断し、漏えいしたファイル名を特定
10月29日	持ち出されたファイルに個人情報が含まれていると判明
11月2日	個人情報保護委員会へ速報し、対象者へ個別に連絡。お詫びのページを公開

28日にアクセスを遮断、29日に個人情報が含まれると判明

サントリーは10月28日時点で、持ち出されたファイルの名前まで特定していました。翌29日にはそのファイルの一部に個人情報が含まれることを確認しています。そして、11月2日には個人情報保護委員会へ速報を出し、対象者へ個別に連絡しているとのこと。

被害が拡大しないよう、サントリーは必要な対策を講じているとしています。現時点で、漏えいした個人情報が不正に利用された事実は見つかっていません。流出した情報をもとにした脅迫も、サントリーは受けていないと明らかにしました。

サントリーは手口を明らかにせず、対象はマイクロソフト365

お詫びのページは、不正アクセスを受けたサービスを「サントリーグループが利用する外部クラウドサービス」とだけ記載しています。ただし、対象のサービスは社員が業務で使う「マイクロソフト365」でした。 サービス名は、サントリーが報道機関へ説明したものです。 サントリーは侵入手口を11月6日時点で明らかにしていませんが、同じサービスを業務に使う企業は、自社の設定を見直すきっかけにできます。

サントリーは今後も詳細を究明し、新たな事実が判明すれば速やかに公表するとしています。11月6日時点で、サントリーは新たな事実を公表していません。

国内企業が公表した漏えいの件数と原因は、時系列一覧にあります。メール配信の委託先が不正アクセスを受けたソラシドエアの漏えい事案は、別の記事で詳しくまとめています。

対象かを知りたい人は専用の窓口へ

サントリーは漏えいの対象者へ個別連絡を進めており、問い合わせを受け付ける専用の窓口も設けました。したがって、個別連絡を待つ間にご自身が対象か知りたい場合は、フォームか電話で問い合わせられます。 どちらの窓口も、サントリーが公開したお詫びのページの末尾に掲載されています。

問い合わせの窓口（サントリーの発表より）

窓口	受付の時間
お問い合わせフォーム	24時間
フリーダイヤル0120-050-310（オペレーターが応対）	平日9時30分〜17時（土日祝日と年末年始は休み）

問い合わせフォームは24時間受け付ける

平日の日中に電話できない人や土日に問い合わせたい人は、フォームを使いましょう。 フォームは、お詫びのページにあるリンクから開くと確実です。

漏えいしたメールアドレスや電話番号には、サントリーを装ったなりすましメールやSMSが届く恐れがあります。届いたメッセージのリンクから問い合わせ先を開くのは避けましょう。

フリーダイヤルは平日9時30分から17時まで

電話の窓口では、オペレーターが問い合わせに応じています。また、オペレーターと直接話したい人は、土日祝日と年末年始を除いてフリーダイヤル0120-050-310へ電話しましょう。 受付は9時30分から17時までです。

祝日の11月3日は例外として電話を受け付けていました。番号はお詫びのページにあるものだけを使い、届いたメールやSMSの本文にある番号には電話しないようにしましょう。

情報が漏えいした人と、外部クラウドを利用する企業の備え

今回の漏えいを受けて備えが必要なのは、氏名・メールアドレス・電話番号が漏えいした人と、同じように業務のファイルを外部クラウドに置いている企業です。したがって、漏えいした人はサントリーを装うメールやSMS内のリンクにアクセスせず、外部クラウドを業務に使う企業は利用中のサービスと認証の設定を見直しておきましょう。

立場ごとの備え（IPAの資料とサントリーの発表より）

立場	備え
情報が漏えいした人	突然届くメールやSMS内のリンクにはアクセスせず、公式サイトをご自身で調べて問い合わせる
外部クラウドを利用する企業	利用中の外部サービスをすべて洗い出し、多要素認証などで認証を強化する

個人として：サントリーを装う連絡のリンクにアクセスしない

IPA（情報処理推進機構）は漏えいしたメールアドレスや電話番号がリスト化されて販売され、フィッシングなどの詐欺を狙ったなりすましメールやSMSの宛先に使われる可能性を指摘しています。そのため、サントリーを装うメールやSMSが突然届いたら、メール内のリンクにはアクセスせず削除し、気になるときは公式サイトをご自身で調べて問い合わせましょう。

突然届くメールやSMSは詐欺と考えて削除

IPAは突然届くメールやSMSを基本的にすべて詐欺と考え、無視して削除するよう勧めています。今回は応募者の電話番号も漏えいしたため、選考の連絡を装ったSMSにも気をつけましょう。

本物か分からないときは公式サイトから問い合わせる

IPAは本物の連絡かどうかを見分けたいときは正規のサイトをご自身で確認し、その窓口へ問い合わせるよう勧めています。サントリーの場合は、お詫びのページにあるフォームかフリーダイヤルを使うと確実です。

利用しなくなったアカウントは削除

日頃の対策として、IPAはサービスに登録する個人情報を本当に必要な分に限定し、利用しなくなったアカウントは削除するよう呼びかけています。登録先が少ないほど、どこかで漏えいが発生したときに巻き込まれる可能性も低くなります。

企業として：利用中の外部クラウドを洗い出し、認証を強化

サントリーの事例では社員だけでなく取引先や応募者、顧客情報まで同じ外部クラウドから漏えいしました。この事例を踏まえ、業務に外部クラウドを使う企業は、利用中のサービスをすべて洗い出し、ログインに多要素認証を設定しておきましょう。

利用している外部サービスをすべて洗い出す

IPAは2026年10月9日、自社が利用している外部サービスをすべて洗い出すよう事業者に呼びかけました。部署ごとに契約したクラウドストレージやファイル共有サービスも一覧にしておけば、異常を検知したときに関わるデータをすぐに調べられます。

外部サービスの認証機能を強化

外部サービスでも、多要素認証やパスワードといった認証機能を強化しておきます。パスワードだけでログインできる管理画面が残っているなら、多要素認証を設定しておきましょう。

不要な情報は持たず、保有する情報を必要最小限にする

不要な情報は持たないという原則のもと、保有する情報を必要最小限にします。企業は外部クラウドに置いたファイルに過去の応募者名簿や取引先の連絡先が残っていないか、点検しておくといいでしょう。