日本脆弱性総合ポータル

ベーシック / ferret One：ferret Oneの複数の不備を悪用した不正アクセス、個人情報が閲覧・取得される

重要度
個人情報 計16,970件
公表日
2026.11.04
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. ferret Oneに不正アクセスがあり、個人情報計16,970件などが閲覧・取得された。
  2. 複数の不備を組み合わせて悪用され、10月19日に不正ログインされた。
  3. 利用者は不審なメールに注意し、URLを開かず、IDやパスワードを入力しない。

ferret Oneの複数の不備を組み合わせた悪用により、ログイン用メールアドレス4,317件と、お客様3社の個人情報を含む計16,970件が閲覧・取得された。お客様4社の非公開ページ情報も閲覧・取得された。2026年11月4日時点で、本件に起因する二次被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年10月13日〜14日：第三者が社内向けのバッチ処理管理画面に不正にアカウントを作成した。
  2. 2026年10月16日：一部のお客様サイトの非公開ページ情報が不正に取得された。同19日にも発生した。
  3. 2026年10月19日：複数の不備を組み合わせて悪用し、当社とお客様のアカウントに不正ログインした。午前10時3分〜11時20分頃に限られ、お客様2社の情報も取得された。
  4. 2026年10月21日〜27日：ログインの試みが続いたが、いずれも失敗した。
  5. 2026年10月26日：監視で検知していた不審な通信を調べ、本件を発見した。
  6. 2026年10月29日：脆弱性の調査過程で、第三者によるページ情報への不正アクセスを確認した。
  7. 2026年11月4日の第二報で、ログインを伴わない脆弱性の悪用により、お客様4社の非公開ページ情報が閲覧・取得されていたと公表された。

根拠の要点

公表元は調査の結果として、不正ログイン、不正ログインを起点とした脆弱性の悪用、ログインを伴わない脆弱性の悪用の3経路を説明し、複数の脆弱性を組み合わせて悪用されたことを示している。第一報では内部の管理機能における不備が示され、第二報で影響範囲と経路が特定された。攻撃手法の詳細は公表を控えるとしている。

資料の基準時点：2026年11月4日時点

当時、対策できたのか

判定保留

資料は、悪用された不備を2026年10月30日までにすべて修正したと説明している。一方、攻撃時点で対策が欠けていたとは明示しておらず、不備の具体的内容と攻撃手法は、同様の攻撃を防ぐため公表を控えている。10月13日以降の不審な通信は監視で検知され、防御で遮断されたが、不正ログインとの関連は把握できなかったとしている。攻撃時点の防御条件を資料から判断できないため、判定を保留する。

公表された対策

  • 悪用された不備を修正（2026年10月30日までに完了）
  • ページ情報へのアクセスに関する脆弱性への対応を完了（2026年10月30日）
  • 不正にログインされたアカウントのパスワードを初期化し、強制ログアウトを実施（2026年10月26日〜27日）
  • ご利用中の全利用者のログインで二段階認証を有効化（2026年10月27日）し、新たに登録する利用者も標準で有効化（同10月28日）
  • 社内向けの管理機能へのアクセス制限を強化し、ログイン試行回数を制限
  • 第三者が不正に作成したアカウントを削除
  • お客様へ、不審なメールへの注意を呼びかけ
  • 今後：ソースコードの脆弱性診断と、指摘事項の修正・再診断
  • 今後：外部の専門家による疑似的な攻撃での安全性の検査
  • 今後：不正な通信の検知・遮断と、不審なログインを検知する監視の強化
  • 今後：外部の専門機関による調査

この事例を理解するための動画

まだ分からないこと

  • 攻撃者の正体と目的
  • 攻撃手法の詳細と、悪用された不備の具体的な内容（同様の攻撃を防ぐため公表を控えている）
  • 第三者が社内向けの管理画面にどの経路で到達し、アカウントを作成できたか（資料に記載なし）
  • 当社アカウントの数が資料内で食い違う。第二報の本文は当社とお客様1社の計6アカウント、表は当社2アカウントとお客様1社2アカウントの計4、注記は当社4アカウントとお客様1社2アカウントの計6と記載している。
  • 管理画面の呼び方と作成日の記載が資料で異なる。第一報は「内部の管理機能」、第二報は「社内向けのバッチ処理管理画面」とし、アカウント作成日は第一報が2026年10月14日、第二報が10月13日〜14日とする。
  • 取得日2026-11-07とされた2026年10月27日付資料は第一報で、第二報（2026年11月4日付）より前に公表されている。publishedは既存値の2026-11-04のまま。
  • 個人情報が閲覧・取得された本人への対応（各社と協議中）
  • 今後判明する新たな事実や業績への影響（軽微と見込むとの説明のみ）

同じ会社の記事

ベーシックの事例をすべて見る

関連する事例

同じ原因分類の事例

事例の一覧に戻る