Ericsson 米国法人がデータ侵害を公表：サービス・プロバイダー侵害で従業員／顧客データ漏洩の恐れ

Ericsson US confirms breach after third-party provider attack

2026/03/10 SecurityAffairs — スウェーデンに本社を持つ通信大手 Ericsson Inc. は、ハッキングを受けたサービス・プロバイダーから、データ漏洩が発生したと公表した。この攻撃により、従業員や顧客の個人情報が漏洩し、多数の個人が影響を受けている。

Ericsson からカリフォルニア州司法長官に提出されたデータ侵害通知書には、「2025年4月28日に、当社のサービス・プロバイダーにより確認されたのは、システム上の特定データへの不正アクセスなどの不審な事象だった。このサービス・プロバイダーは、直ちに外部のサイバー・セキュリティ専門家の支援を得て調査を開始した。さらに連邦捜査局 (FBI) にも通報し、セキュリティを強化し、将来における同様のリスクを低減するための対策を実施した」と説明している。

Ericsson は多国籍ネットワーク通信企業であり、モバイル／固定ネットワーク・インフラ／ソフトウェア／サービスを提供している。世界中の通信事業者に対して 5G／IoT／クラウド・ソリューションを提供し、コネクティビティ／デジタル・トランスフォーメーション／高度な通信技術の実現を支援している。

調査の結果、2025年4月17日〜4月22日に同社のサービス・プロバイダーにおいて特定ファイルへの不正アクセスが発生したことが判明した。侵害が発生した後に、このサービス・プロバイダーは FBI に通報し、サイバー・セキュリティ専門家の協力を得てインシデントの調査を開始した。一部データが漏洩した可能性が確認されたが、現時点で不正使用や悪用は確認されていない。

Ericsson は、「調査に基づき、当社のサービス・プロバイダーは外部のデータ専門家を起用し、影響を受けた可能性があるファイルの包括的な調査を実施し、侵害を受けた個人情報の特定を行ってきた。この調査は 2026年2月23日に完了し、影響を受けたファイルに顧客の個人情報が含まれていたことが確認された」と述べている。

同社は影響を受けた個人に対し、IDX を通じて無料の個人情報保護サービスを提供している。このサービスに含まれるのは、クレジット監視／ダークウェブ監視／個人情報盗難復旧／$1 million の個人情報詐欺被害補償などである。これらのサービスは、2026年6月9日までに登録した個人を対象に提供される。

現時点で、このインシデントについて犯行声明を出したランサムウェア・グループは確認されていない。

今回のインシデントは、Ericsson が業務を委託していた、サービス・プロバイダーが攻撃を受けたことが原因となっています。 2025年4月17日から 22日にかけて、このプロバイダーのシステム内に保管されていた特定のファイルに、外部からの不正なアクセスが生じたことが確認されています。現時点では、特定の CVE 番号を伴う脆弱性の悪用なのか、認証情報の管理不備によるものかは不明ですが、サプライチェーンを構成する外部組織のセキュリティ状況が、自社のデータ安全性に直結することが再認識させられます。自社だけでなく、連携先を含めた情報管理が重要です。