- 重要度
- 重要度：5段階中5 746,277件
- 公表日
- 2026.10.23
- 原因の分類
- 自社実装の脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- 出張買取・引越の案件管理システムに不正アクセスされ、顧客情報が漏えいした。
- データベースへのアクセスに関する脆弱性を悪用されたとみられる。
- 対象者には個別に案内し、専用の問い合わせ窓口を準備している。
2026年10月20日未明から朝にかけて、案件管理システムが第三者にデータベースへのアクセスに関する脆弱性を悪用されて不正アクセスを受け、顧客情報等が取得された。取得されたのは、顧客のメールアドレス746,277件（うち11件は氏名と住所を含む）、取引先業者・従業員等の氏名とメールアドレス750件、取引先業者・従業員等が利用する端末に関する氏名と端末識別情報1,000件である。クレジットカード番号などの決済情報は含まれていないとしている。現時点で、不正利用などの二次被害は確認されていないとしている。
確認された経路・公表元の推定
- 2026年10月20日未明から朝にかけて、第三者がデータベースへのアクセスに関する脆弱性を悪用して案件管理システムに不正アクセスした。
- 同日10時30分に案件管理システムへの外部アクセスを停止し、11時05分に申込フォームの受付を停止した。
- 不正アクセスを確認した後、関連アカウントのパスワードを変更し、対策を進めている。
根拠の要点
2026年10月20日にアクセスログを調査した結果、不正アクセスを確認した。原因はデータベースへのアクセスに関する脆弱性の悪用とみている。直近で公表されたPHPに関する脆弱性とは関連がないと確認している。
資料の基準時点：2026年10月23日の公表時点
当時、対策できたのか
判定保留
資料は、悪用された脆弱性の具体的な内容や修正版の提供時期を示しておらず、詳細な原因は調査中としている。攻撃時点の防御状況の記載もないため、判定を保留する。
公表された対策
- 案件管理システムへの外部アクセスを停止し、関連アカウントのパスワードを変更した。
- 本件で悪用された脆弱性への対策、ログイン機能のセキュリティ強化、不審なアクセスの監視強化を進めている。
- 2026年10月28日を目途に、安全対策と確認を経てシステムと申込フォームを再開する予定である。
- 個人情報保護委員会へ報告し、警察等の関係機関へ相談・報告している。
- グループ全体で、認証管理、アクセス権限管理、監視体制、脆弱性管理、脆弱性診断、WAF等による防御の点検と強化を進めている。
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 詳細な原因と影響範囲は、外部のセキュリティ専門機関と連携して調査中である。
- 悪用された脆弱性の具体的な内容、製品かコードかの区分、修正の時期は資料に記載がない。
- 攻撃者や攻撃の手口の詳細は資料に記載がない。
- 連結業績への影響は精査中である。