- 重要度
- 重要度：5段階中5 約11万人分
- 公表日
- 2026.11.13
- 原因の分類
- 自社実装の脆弱性、認証・アクセス設定
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- GFS会員サイトに不正アクセスがあり、約11万人分の個人情報が漏えいしたおそれがある。
- 画像アップロード機能の不具合と、サーバーの権限設定の不備が原因だった。
- お客様はパスワードを変更し、不審な連絡に注意するよう呼びかけられている。
GFS Educationが運営する「GFS会員サイト」に第三者から不正アクセスがあり、約11万人分の個人情報と、84人分のマイナンバーを含む情報が漏えいした、または漏えいしたおそれがあると公表された。原因は画像アップロード機能の脆弱性とサーバーのアクセス権限設定の不備とされ、クレジットカード番号は全桁の漏えいが確認されていないと説明されている。
確認された経路・公表元の推定
- 2026年11月9日、サーバーに異常な負荷がかかっていることを検知し、調査で第三者による不正アクセスが発覚した。
- 画像アップロード機能の脆弱性を悪用され、外部から不正なプログラムが設置・実行された。
- サーバー内のデータベースの情報や画像ファイルが外部へ持ち出された。原因には、サーバーのアクセス権限設定の不備も挙げられている。
根拠の要点
資料は、画像アップロード機能の不具合を悪用され、外部から不正なプログラムが設置・実行されたこと、およびサーバーのアクセス権限設定の不備を原因として挙げている。
資料の基準時点：2026年11月13日時点（現時点で判明している事実）
当時、対策できたのか
対策の欠落を確認
資料は、画像アップロード機能のプログラム不具合と、サーバーのアクセス権限設定の不備を原因として明示している。
公表された対策
- 攻撃元からの通信を完全に遮断した。
- 不正プログラムを隔離し、サーバー権限を縮小し、データベースのパスワードを変更した。
- 原因となったプログラムの不具合の修正を完了したとしている。
- 今後、セキュリティ監視システムの導入、システムへのアクセス制限の強化、個人情報の保管・管理方法の見直しを行う方針である。
- 所轄の警察署に被害届を提出し、捜査に協力する方針である。
- 個人情報保護委員会に報告を行った。
- 対象となるお客様へ、登録メールアドレス宛に個別に連絡と謝罪を行う。
- お客様に、パスワード変更、不審な連絡への注意、身に覚えのない契約の確認を呼びかけている。
まだ分からないこと
- 詳細な影響範囲は調査中で、資料では確定していない。
- 侵入の開始時期と、攻撃の経路の詳細は資料に書かれていない。
- 脆弱性の具体的な内容（攻撃手法の詳細）は資料に書かれていない。
- 漏えいした情報が悪用された事実は、資料では確認されていない。