日本脆弱性総合ポータル

palan：社内用BIツールの脆弱性を悪用した不正アクセスによる個人情報漏えい

重要度
最大33,348名
公表日
2026.10.26
原因の分類
製品・サーバーの脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. BIツールの脆弱性を悪用され、最大33,348名分の個人情報が取得された
  2. BIツールの脆弱性を突かれ、攻撃者が不正な管理者アカウントを作った
  3. 他サービスで同じパスワードを使う人は変更し、不審な連絡に注意する

社内業務で使う外部のBIツールの脆弱性を悪用され、第三者の不正アクセスを受けた。BIツールから参照できるサービスのデータベースの情報の一部が取得された。データベースへの操作は読み取りのみで、改ざんや削除は確認されていない。現時点で二次被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年8月9日から2026年10月21日までの期間に不正アクセスが発生したとされる。
  2. 第三者が、社内で使うBIツールの脆弱性を悪用し、不正に管理者アカウントを作成した。
  3. その管理者アカウントから、BIツールで参照できるサービスのデータベースの情報が取得された。
  4. 2026年10月22日に不正アクセスが判明した。

根拠の要点

公表元は、BIツールの脆弱性を悪用した不正アクセスにより、不正に作成された管理者アカウントから、データベースの情報が取得されたと説明している。脆弱性の名称は資料に記載されていない。

資料の基準時点：取得日2026-10-28（資料に基準時点の明記なし）

当時、対策できたのか

判定保留

資料は、攻撃時点で既知の脆弱性への対応が欠けていたことや、発覚時にその脆弱性が未発見だったことを記載していない。脆弱性の名称や修正版の時期も書かれていないため、判定を保留する。

公表された対策

  • 発覚後、外部からのアクセスを遮断し、不正なアカウントを無効化して、BIツールを停止した。
  • データベースの認証情報を変更し、サービスのログインに関わる情報を無効化した。
  • 個人情報保護委員会へ報告し、アクセス記録等を調査している。
  • 登録メールアドレス宛に対象者へ個別に連絡し、キャンペーン参加者は企業・団体と協議して対応する。
  • 再発防止策として、BIツールを廃止し、社内システムへのアクセス制限と権限を見直す。
  • 利用ソフトウェアの脆弱性情報を監視して迅速に更新し、不正な操作を検知する体制を強化する。

この事例を理解するための動画

まだ分からないこと

  • 公表日は資料本文に明記がなく、URLの日付を使った。
  • 脆弱性の名称、CVE番号、影響を受けたバージョン、修正版の公開時期は資料に記載がない。
  • 攻撃時点で修正版やパッチが提供されていたか、適用状況は記載がない。
  • 初回の侵入日時と侵入経路の詳細、攻撃者の特定は調査中で、資料に記載がない。
  • パスワードのハッシュ値が漏えいした場合の影響の評価は資料に記載がない。
  • アクセス記録の調査結果と、二次被害の有無の最終的な確認結果は未公表である。
  • キャンペーン参加者の情報の扱いは、各企業・団体との協議後に決まる。
  • サービスの事業内容が資料で明示されていないため、業種は分類していない。

関連する事例

同じ原因分類の事例

事例の一覧に戻る