- 重要度
- 重要度：5段階中4 役職員等107名
- 公表日
- 2026.10.26
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- 社内業務用アカウントの認証情報を悪用され、役職員と取引先の個人情報が流出した
- 認証情報がどう入手されたかは調査中で、まだ分からない
- 利用者の情報流出は確認されず、振込先変更の連絡は電話で確認が必要
2026年10月21日、第三者が不正に入手した社内業務用アカウントの認証情報を用いて社内のクラウド環境や業務ツールにログインされ、取引先担当者25名と役職員等107名の氏名・メールアドレス等が流出した。サービス利用者の情報流出は確認されていない。
確認された経路・公表元の推定
- 2026年10月21日、不正に入手された認証情報で社内業務用アカウントからクラウド環境や業務ツールにアクセスされた
- 同日、監視システムが当該アクセスを検知した
- 同日中に当該アカウントを停止し、不正なアクセスを遮断した
- その後の調査で、メールボックスの一部が閲覧され、業務用ツールの利用者情報が取得されたと判明した
- 2026年10月23日、個人情報保護委員会へ報告した
- 2026年10月26日から、対象者へ電子メールで個別に連絡した
根拠の要点
公表元は、不正ログインに使われた認証情報が社内業務用アカウントのものだと説明している。入手経路は調査中で、AIの利用に関する記載はない。
資料の基準時点：資料内に基準時点の記載なし（2026年10月31日取得）
当時、対策できたのか
判定保留
入手経路は現在調査中で、多要素認証の有無など攻撃時点の防御条件は資料に記載がないため、判定を保留する。
公表された対策
- 不正に利用されたアカウントを停止し、関連する認証情報を無効化・変更した
- 共有アカウントを廃止する
- 多要素認証を徹底する
- アカウント権限を見直す
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 認証情報の入手経路
- 不正アクセスの開始時期と期間
- 攻撃者の身元と目的
- 今後判明する新たな事実