- 重要度
- 重要度：5段階中4 合計45,194名
- 公表日
- 2026.09.18
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- BIツールMetabaseの脆弱性を悪用され、顧客の個人情報が漏えいした
- 集計用ツールの弱点から第三者に入られ、顧客情報が取得された
- 不審な連絡はリンクを開かず返信せず、速やかに削除する
建設現場向けサービス「アザス」と衣類回収サービス「するーぷ」の顧客情報について、BIツール「Metabase」の脆弱性を悪用した不正アクセスがあり、個人情報が漏えいした。対象は合計45,194名と確定した。2026年9月16日に異常を検知し、同日中に不正アクセス経路を遮断した。パスワードは管理していないため、漏えいしていないとしている。
確認された経路・公表元の推定
- データの集計・分析のためにBIツール「Metabase」を利用していた
- Metabaseに存在した脆弱性が悪用され、第三者による不正アクセスが発生した
- 2026年9月16日にシステムで異常を検知し、同日中に不正アクセス経路を遮断した
- 2026年9月16日にMetabaseの利用を終了した
- 調査で一部顧客情報の取得が確認され、後に対象は合計45,194名と確定した
根拠の要点
資料は、BIツール「Metabase」の脆弱性を悪用した不正アクセスが発生したと説明している。調査で第三者による不正アクセスと一部の顧客情報の取得を確認したとし、対象は合計45,194名と確定したとしている。
資料の基準時点：2026年10月28日時点
当時、対策できたのか
判定保留
資料は、Metabaseの脆弱性の内容、CVE、修正版の公開時期、攻撃時点の適用状況を書いていない。2026年9月16日をもってMetabaseの利用を終了したとし、脆弱性対応プロセスの強化を恒久対策に挙げているが、既知脆弱性への未対応だったかは判断できない。
公表された対策
- 2026年9月16日中に不正アクセス経路を遮断した
- 2026年9月16日をもってMetabaseの利用を終了した
- より高いセキュリティ水準のツール・環境を前提に、利用ポリシーを厳格化した
- 脆弱性対応プロセス、監視・ログ管理の強化、アクセス権限の最小化などの恒久対策に継続的に取り組んでいる
- 対象者へは、登録メールアドレス宛に個別の連絡を順次行っている
- 会社を装う不審なメールや電話に注意するよう呼びかけている
- 個人情報保護委員会へ報告した
まだ分からないこと
- 侵入の正確な日時
- 悪用された脆弱性の内容とCVE番号
- 攻撃時点で修正版が公開され、適用されていたかどうか
- 影響を受けたMetabaseのバージョンと、外部公開の設定
- 侵入に使われた機能や認証の詳細
- 攻撃へのAI関与の有無