2026年10月15日、NTT ExCパートナーはメールアドレスの漏えい懸念について調査結果を更新しました。10月13日の初報ではクラウド型学習管理システム「LStep」に関係する最大約9万件のメールアドレスに漏えいの可能性があるとしていましたが、第2報では「現時点でメールアドレスの漏えいを示す事実はない」と判断しています。
一方、発端となったIDCFクラウドへの不正アクセスそのものが否定されたわけではありません。「約9万件が流出した」と誤解しないために、初報と第2報の違い、利用者が確認しておきたいこと、関連する調査結果を整理します。
結論：「約9万件の流出が確定した」という発表ではない
- 10月13日：最大約9万件のメールアドレスに漏えいの可能性があると公表。
- 10月15日：IDCフロンティアとメールサービス事業者の調査結果を受け、現時点で流出を示す事実はないと判断。
- 注意点：IDCFクラウドへの不正アクセスやサービス障害は実際に発生しています。
今回の第2報は、流出が確認された情報について件数を修正したものではなく、初報で示された「漏えいの可能性」を追加調査によって見直したものです。
NTT ExCパートナーとは？対象の「LStep」はどんなサービス？
NTT ExCパートナーは、企業向けの人材育成・研修関連サービスなどを提供するNTTグループの企業です。今回関連する「LStep（エルステップ）」は、eラーニングの受講や教材・テスト・学習履歴の管理に利用するクラウド型学習管理システムです。
不正アクセスを受けたのがLStepそのものだったと公表されているわけではありません。LStepに関係するメール配信サービスの事業者が利用していたIDCフロンティアの「IDCFクラウド」で不正アクセスが発生した、という関係です。
10月7日から15日までの経緯
- 10月7日：IDCFクラウドの一部システムへの不正アクセスが発生。関連するメール送信サービスでも障害。
- 10月9日：NTT ExCパートナーによると、対象のメール送信機能はこの時点で復旧。
- 10月13日：NTT ExCパートナーが初報。メールアドレス最大約9万件に漏えいの可能性。
- 10月14日：IDCフロンティアが第5報を発表し、対象の仮想サーバー内のデータについて外部流出を示す痕跡がないと説明。
- 10月15日：NTT ExCパートナーが第2報。メールアドレスの流出を示す事実はないと判断。
10月13日の初報で「最大約9万件」とされた理由
初報の段階では、メール配信サービスの提供事業者が利用するクラウド環境で不正アクセスが確認された一方、調査は継続していました。そのため、関係するメールアドレスへの影響を完全には否定できず、最大約9万件に漏えいの可能性があるとして注意喚起が行われました。
「最大約9万件」は流出が確認された件数ではありません。また同社は、氏名・住所・電話番号やメールの件名・本文・添付ファイル、パスワード、LStep内の学習履歴などについて、漏えいの可能性は確認されていないと説明していました。
10月15日の第2報で何が変わった？
NTT ExCパートナーは、IDCフロンティアとメールサービス事業者から受けた調査報告を踏まえ、現時点でメールアドレスの流出を示す事実はないと判断しました。新たに流出の証拠が見つかったという発表ではなく、当初の懸念を裏付ける事実が確認されなかったという更新です。
ただし、将来の追加調査まで含めて「流出は絶対にあり得ない」と断言する意味ではありません。同社は、新たに知らせるべき事実が判明した場合は公式サイトなどで報告するとしています。
IDCFクラウドでは48社への不正照会も確認：同じ件数なの？
ここは区別が必要です。IDCフロンティアの10月14日第5報では、対象の仮想サーバー内のデータについて流出を示す痕跡はないと判断した一方、別の管理ポータルで48社の登録情報への不正照会が確認されたことも公表しました。
その対象には、担当者名を含む可能性のあるメールアドレスが2社分・各1件含まれていましたが、外部への持ち出しを示す痕跡は確認されていません。この48社・2件は、LStepに関する「最大約9万件」と同一の集計ではありません。クラウド事業者の被害全体について「すべての情報が無関係だった」と断定することも避けるべきです。
LStep利用者はパスワード変更が必要？確認しておくこと
今回の公表だけを理由に、LStep利用者全員に直ちにパスワード変更を求める公式案内は確認されていません。初報でもパスワードの漏えいの可能性は確認されていないと説明されています。
- 公式通知を確認：勤務先・研修の管理担当者から案内がないか確認する。
- 不審なメールに注意：パスワードの入力を求めるリンクを安易に開かず、必要なら公式サイトを自分で開く。
- 不明点は担当者へ：自分の組織が対象か、研修関連メールに影響が残っていないかを確認する。
なお、メール送信機能はNTT ExCパートナーの初報によると10月9日時点で復旧しています。これは当該メール送信機能の情報であり、IDCFクラウド全体の復旧完了と同義ではありません。
よくある質問
メールアドレス9万件が流出したのですか？
いいえ。最大約9万件は10月13日の初報で「漏えいの可能性がある」とした件数です。10月15日の第2報では、現時点で流出を示す事実はないと判断しています。
氏名やパスワード、学習履歴も漏えいしましたか？
NTT ExCパートナーの初報では、これらの情報について漏えいの可能性は確認されていないと説明しています。
不正アクセス自体が誤報だったのですか？
いいえ。IDCフロンティアはIDCFクラウドへのランサムウェア攻撃とサービス障害を確認しています。今回の調査結果は、懸念されたメールアドレスの外部流出についての判断です。
まとめ：初報の「可能性」が第2報で見直された
NTT ExCパートナーが10月15日に示した結論は、最大約9万件のメールアドレスについて現時点で流出を示す事実はない、というものです。一方、IDCFクラウドへの不正アクセスや障害は実際に発生しています。漏えい懸念の見直し、クラウド障害、別の管理ポータルへの不正照会を混同しないことが重要です。
本記事は2026年10月16日時点の公表資料に基づいています。新しい事実が判明した場合は公式発表を確認してください。
