日本脆弱性総合ポータル

paiza：動作検証環境の認証不備で個人データがアクセスされ得る状態に

重要度
攻撃されてもおかしくない状態（被害なし）
公表日
2026.11.13
原因の分類
認証情報・シークレット、認証・アクセス設定
対策可能性
対策の欠落を確認

この記事の3行まとめ

  1. 動作検証環境の認証不備で、退職者などからアクセスされ得る状態だった
  2. 認証情報を変えず長く使い続け、権限の管理も不適切だった
  3. 流出は未確認で、対象の利用者には個別にメールで案内している

paiza株式会社が管理する動作検証環境で、認証管理の不備により、退職者など従前のアクセス権限を持つ第三者からアクセスされ得る状態が、2013年の環境構築時から2026年8月13日まで続いた。対象となり得る個人データは最大902,576件とされ、ユーザーIDや学習・応募の履歴などを含む。外部への流出や二次被害は現時点で確認されていないと説明されている。

確認された経路・公表元の推定

  1. 2013年の環境構築時から、動作検証環境の認証情報を変えず長期間運用していた
  2. 退職者など従前の権限を持つ第三者が、外部経由でアクセスできる状態が続いた
  3. 2026年7月17日、行政機関からの照会を受けて緊急調査し、認証管理の不備を確認した
  4. 2026年8月13日、対象環境を遮断し、アクセス制御を強化した

根拠の要点

資料は、動作検証環境の認証情報（ベーシック認証等）を変更せず長期間運用し、退職者等から外部経由でアクセスされ得る状態が継続したことを原因としている。公表元は、行政機関からの照会を受けた緊急調査で認証管理上の不備を確認したと説明している。

資料の基準時点：2026年11月13日の公表時点

当時、対策できたのか

対策の欠落を確認

資料は、認証情報（ベーシック認証等）を変更せず長期間運用したことと、権限削除の運用が不適切だったことを原因として挙げており、対策の欠落が明示されている。

公表された対策

  • 内部専用の安全な接続経路からのみアクセスを許容するネットワーク制御に切り替えた（2026年8月13日完了）
  • 退職等に伴う権限削除の運用を徹底する
  • テスト用データのマスク基準を再検証し、セキュリティ管理マニュアルを改訂する
  • 外部専門機関の脆弱性診断などを活用し、個人情報の取扱いと管理体制の定期的な確認を強化する

まだ分からないこと

  • 第三者による実際のアクセスの有無（資料では監視とログ解析を継続中としている）
  • 資料は公表時点の情報で、その後の調査結果は含まれていない

関連する事例

同じ原因分類の事例

注意喚起の一覧に戻る