触媒最大手エヌ・イー ケムキャットの不正アクセスを外形調査から読む。住友金属鉱山とBASFの50:50合弁で、人もITも独立運用。親会社2社の知見は子会社に相続されるのか、社長交代を機にどう動くかを問う。
―― 合弁子会社に、親会社のセキュリティは相続されるのか
国内最大級の総合触媒メーカー、エヌ・イー ケムキャットが2026年8月20日、社内システムへの不正アクセスを公表した。
対象には、従業員、退職者、派遣社員、常駐する委託先社員などの個人情報が含まれる。
公表によれば、5月28日に不審な挙動を検知。調査の結果、第三者が従業員の使用アカウントを不正利用し、一部の社内システムへアクセスしていたことが確認された。
さらに外部専門家による調査では、同社端末上でマルウェアが実行されたことが原因と考えられるとされた。調査は7月31日に完了し、公表は8月20日。検知から約3か月をかけている。
公表文では、ランサムウェアには触れていない。
一見すると、「端末から入られ、認証情報を使われた」というインシデントのひとつに見える。
しかし、この会社の成り立ちを知ると、別の問いが浮かんでくる。
エヌ・イー ケムキャットは、住友金属鉱山とBASFが50％ずつ出資する合弁会社だ。1964年、住友金属鉱山と米国エンゲルハルドとの合弁で設立され、現在は住友金属鉱山が発行済株式の50％を直接保有し、BASF SEが50％を間接保有している。
世界的な企業2社を親に持つ会社なら、そのセキュリティの知見や経験も子会社へ受け継がれるのだろうか。
本稿は侵入経路を当てにいくものではない。
公開DNS、外部からの応答、公表資料、採用情報など、外から確認できる情報だけを材料に、この会社の「独立性」と「親会社との関係」を眺めてみる。
すると、合弁会社のセキュリティガバナンスという、少し違った問題が見えてくる。
まず、外から触れる面を確認した。
結論から言えば、少なくとも公開DNSや外部応答を見る限り、分かりやすい攻撃対象面は多くない。
公開DNSに現れる主要なホストは、コーポレートサイトと、業務系とみられる委託先ホスト程度だった。
コーポレートサイトには、HSTS、X-Frame-Options、nosniffなど基本的なWebセキュリティヘッダーも確認できる。
応答を見る限り、一般的なCDNやクラウド型WAFを前段に置いた構成には見えず、Webサーバーが直接応答しているように見える。
ただし、それ自体が今回の侵入経路だったことを示す材料はない。
もうひとつのホストは名前解決こそできるものの、主要な外部ポートからサービスは確認できなかった。
メールはMicrosoft 365を中心に、国内のメールセキュリティサービスや業務SaaSを組み合わせた構成に見える。
送信ドメイン認証では、DMARCが p=none、つまり監視モードだった。なりすましメールを受信側で拒否させる段階には進んでおらず、設定上の改善余地ではある。
ただし、これを今回の従業員アカウント不正利用と直結させることはできない。
外形調査で重要なのは、むしろそこだと思う。
外から見える穴が少ないことと、侵入されないことは同じではない。
公開サーバーに脆弱性が見つからなくても、従業員が使う端末でマルウェアが動けば、その先にある認証情報を狙える。
認証情報が奪われれば、正規のアカウントとしてクラウドサービスや社内システムへアクセスされる可能性もある。
subfinderでサブドメインをいくら探しても、Shodanで公開サービスをいくら眺めても、この入口は見えない。
今回の公表内容は、まさにそのタイプだった。
露出面が見えることと、侵入経路が分かることは別である。
まず、この事実を押さえておきたい。
調べていて、もうひとつ興味深かったのが、親会社のIT基盤へそのまま相乗りしているようには見えないことだった。
Webもメールも、公開範囲から見る限り、エヌ・イー ケムキャット独自の構成に見える。
ただし、ここから「内部のセキュリティ基盤まで親会社と完全に独立している」とまでは言えない。
EDR、認証基盤、SOC、端末管理、インシデント対応などが親会社とどこまで共有されているのかは、外からは分からないからだ。
一方で、会社そのものの独立性については、かなり明確な材料がある。
エヌ・イー ケムキャットは約700名規模の事業会社だ。公式会社概要では、2026年3月31日時点の就業人員を670名としている。自社で新卒・キャリア採用を行い、2028年度向けの新卒採用もすでに始まっている。
さらに興味深いのが、転職エージェントJAC Recruitmentに掲載されている同社の求人情報だ。
そこでは、住友金属鉱山とBASFの合弁会社でありながら、出資元との「上下関係はあまりなく」、受注、開発、製造、販売、新規ビジネスまで独自に進めていると説明されている。
同時に、「独立性を持ちながらも、グループ力を生かした海外展開・技術交流等のメリットは得られる体制」とも書かれている。
この一文は、今回の問題を考える上で象徴的だ。
独立していることと、親会社の力を借りることは、本来は対立しない。
実際、事業面ではすでにそれが行われている。
同社が開発した自動車触媒技術は、BASFとの技術提携を通じて海外へ展開されており、会社自身もBASFとの継続的な技術協力によって双方の技術向上を図るとしている。
製品や技術でそれができるのであれば、セキュリティでも同じことができるはずだ。
むしろ50:50の合弁会社だからこそ、2社分の経験を利用できる可能性がある。
では、親会社側はどうなのか。
住友金属鉱山は、情報セキュリティについてかなり具体的な取り組みを公開している。
同社は「グループ全体」の情報セキュリティ管理を掲げ、全PCへのEDR導入、外部SOCによる24時間365日の監視、SMM-CSIRTによるインシデント対応、標的型攻撃メール訓練などを明示している。
EDRのログも外部SOCが24時間365日監視し、異常時には情報システム部門とSMM-CSIRTが連携して対応する体制だ。
そして、その住友金属鉱山自身が今年4月にインシデントを経験している。
4月2日、フィリピンのニッケル製錬子会社Coral Bay Nickel Corporationで、2台のサーバーが暗号化されていることを検知した。
第三者による不正アクセスを原因とするランサムウェア事案だった。
一方、生産プラントの制御系には影響せず、操業は継続した。一部通信ネットワークを共有していた関係会社を含め、ネットワークの遮断も実施している。
もう一方の親会社、BASFも同様だ。
BASF Report 2025では、ITの可用性とセキュリティを確保するため、グローバルで統一されたプロセスとシステムを採用していると説明している。
ISO 27001をベースに、アクセス保護、暗号化、標準化されたIT基盤・プロセスを整備し、専任のCyber Defense Unitも持つ。取締役会・監査役会にはサイバーリスクや戦略的なセキュリティ施策の実施状況が定期的に報告される。
つまり、親会社2社とも、単に「セキュリティを重視しています」と掲げている会社ではない。
端末監視。認証。SOC。CSIRT。インシデント対応。グローバル標準。
今回エヌ・イー ケムキャットで問題になった「端末」と「認証情報」に近い領域についても、親会社側には相当量の知見と運用経験がある。
ここで、この会社ならではの問いが出てくる。
親会社が優れたセキュリティ対策を持っていることと、合弁子会社が同じ対策を実装していることは同義ではない。
資本は50％ずつ持てる。技術は共同開発できる。海外ネットワークも活用できる。
しかし、セキュリティの運用能力は、株式と一緒に自動的に移転するものではない。
EDRを導入するだけなら、製品を購入すればいい。
だが、誰がアラートを見るのか。どの端末まで管理対象にするのか。認証異常をどう検知するのか。子会社でインシデントが起きたとき、親会社のセキュリティ部門へどの時点で共有するのか。ある会社で起きた攻撃から得た教訓を、別の関係会社へどこまで横展開するのか。
こうしたものは、製品ではなくガバナンスと運用の設計である。
50:50の合弁会社では、ここが特に興味深い。
どちらか一方の親会社のITルールを、そのまま適用するとは限らない。
独立性の高い会社であれば、自社に合った仕組みを選ぶ合理性もある。
それ自体は悪いことではない。事業のスピードや現場への適合を考えれば、独自のガバナンスを持つことには大きな意味がある。
問題は、独立していることではない。
独立したガバナンスの中へ、親会社がすでに持っている知見と経験をどう取り込むかである。
ここには相乗効果があるはずだ。
住友金属鉱山が実際のインシデントから得た経験。BASFが世界規模で運用しているセキュリティ標準。そして、エヌ・イー ケムキャット自身が今回の調査で得た知見。
それぞれを自社の環境に合わせて組み合わせることができれば、単純にどちらか一方の親会社へITを寄せる以上の効果が期待できる。
時系列を並べると、さらに興味深い。
4月2日。住友金属鉱山のフィリピン子会社で、ランサムウェアによるサーバー暗号化を検知。
5月28日。エヌ・イー ケムキャットが、従業員アカウントの不正利用を含む不審な挙動を検知。
2か月も離れていない。
もちろん、両者を同じ攻撃者と結びつける材料はない。攻撃経路も同じとは言えない。
住友金属鉱山側はサーバーが暗号化されたランサムウェア事案。ケムキャット側は端末上のマルウェア実行と、従業員アカウントの不正利用が公表されている。
技術的に「同じ事件だった」と考えるべきではない。
しかし、グループのセキュリティガバナンスという視点では考えさせられる。
ひとつの関係会社で重大なサイバーインシデントが起きたとき、その経験を別の関係会社へどの速度で共有できるのか。
4月2日から5月28日までは、わずか8週間程度しかない。
仮に教訓を共有する仕組みが十分に存在していたとしても、新しい対策を検討し、選定し、導入し、全端末へ展開し、運用に乗せるには短い。
だから、この2件を並べて、「親会社が学ばなかった」「子会社へ対策を入れなかった」と評価するのは公平ではない。
外からは、そもそもどのような情報共有が行われていたのかも分からない。
むしろ重要なのは、これからどう動くかだと思う。
さらに、もうひとつ時系列が重なる。
5月8日。エヌ・イー ケムキャットは代表取締役の交代予定を発表した。
5月28日。今回の不正アクセスを検知。
6月26日。新しい経営体制が正式に発足した。
5月8日の公式発表では、6月26日付でアクセル・ピルグリム氏が代表取締役社長、西垣武志氏が代表取締役副社長に就任する予定であることが示されており、現在も両氏がそれぞれ社長、副社長を務めている。
新社長のアクセル・ピルグリム氏は、直前にBASF・メタルズ・ジャパンのディレクターを務めていた。
一方、西垣武志氏は住友金属鉱山出身で、Sumitomo Metal Mining Americaの代表取締役副社長、Sumitomo Metal Mining ArizonaやSMM Morenciの代表取締役社長など、複数の海外法人の経営を担ってきた人物だ。
つまり、単純な「BASF化」と見るのも違う。
社長はBASF側との接点が強い。副社長は住友金属鉱山で長い経験を持つ。
50:50の合弁会社らしく、両方の親会社につながる新しいトップ体制になった。
しかも、その交代の途中で今回のインシデントが発生している。
これは今後を見る上で、かなり興味深いタイミングだと思う。
今回の外形調査だけで、エヌ・イー ケムキャットの内部セキュリティが弱かったとは言えない。
住友金属鉱山と同等のEDRが入っていた可能性もある。BASFに近い認証対策を独自に実装していた可能性もある。
十分な対策をしていても、侵入されることはある。
外から確認できるのは、公開IT基盤には独自性が見え、会社自身も事業上の独立性を特色としていること。そして、その親会社2社には、それぞれ蓄積されたサイバーセキュリティの知見と、実際のインシデント対応経験があることまでだ。
だから今回注目したいのは、「どちらが悪かったのか」ではない。
この会社が、これからどう変わるのかだ。
これまでと同じように、独自のガバナンスを維持しながら、自社の方法でセキュリティを強化していくのか。
社長交代を機に、BASFが持つグローバルなセキュリティ標準や運用を、これまで以上に取り込んでいくのか。
あるいは、住友金属鉱山が実際のインシデント対応から得た経験と、BASFのグローバルな標準、その両方を自社のガバナンスへ取り込んでいくのか。
私は、この三つ目が一番興味深い。
独自のガバナンスを持つことと、親会社の知見を取り込むことは両立する。むしろ、そこには相乗効果がある。
エヌ・イー ケムキャット自身、事業面ではすでに「独立性を持ちながら、グループ力を生かす」会社として紹介されている。
ならば、それがセキュリティでも起きるのか。
外から見える変化は限られる。それでも、定点観測できるものはある。
DMARCが監視モードから強制ポリシーへ進むのか。メールや認証周辺の公開構成に変化が出るのか。IT・セキュリティ関連の採用が強化されるのか。そして何より、今後公表される再発防止策の中に、両親会社の知見を取り込んだ形が見えてくるのか。
親会社の関係会社でインシデントが起き、その2か月弱後に合弁子会社でも別のインシデントが起きた。その間に、経営トップも交代した。
独自のガバナンスを持ってきた会社が、今回を境にどう変わるのか。
独自路線をさらに強くするのか。BASFのグローバル標準へ近づくのか。それとも、住友金属鉱山とBASF、双方の知見と経験を取り込みながら、独自のガバナンスを進化させるのか。
独立性を失う必要はない。親会社と同じ仕組みにする必要もない。しかし、親会社がすでに持っている経験を使わない理由もない。
合弁会社だからこそ使える「2社分の経験」を、これからどう生かしていくのか。
今後の対応に注目したい。
Aikido Community Japan
公開日: 2026/8/21
最終更新: 2026/8/22
セキュリティの最新情報をお届けします。