- 重要度
- 重要度：5段階中4 約250件
- 公表日
- 2026.10.21
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- 会社サイトに第三者が不正アクセスし、問い合わせ内容などが漏えいしたおそれ
- サイト管理用WordPressプラグインの脆弱性が悪用された
- サポートサイトのパスワードは再発行され、不審なメールに注意が必要
ティエスエスリンクが外部委託により運用するウェブサイトに、2026年6月12日から10月13日の影響期間中、第三者が不正アクセスした。サイト管理に使うWordPressプラグインの脆弱性が第三者に悪用され、対象期間中のお問い合わせ約160件の入力内容と、製品サポートサイトに登録された約250件のユーザーIDとログイン用パスワードが漏えいした可能性がある。現時点で改ざんや明確な二次被害は確認されていない。
確認された経路・公表元の推定
- 2026年6月12日から10月13日の影響期間、サイト管理に使うWordPressプラグインの脆弱性が第三者に悪用された
- 2026年10月13日、外部委託で運用するウェブサイトへの不正アクセスが判明した
- 不正な管理者アカウントや不正ファイルを削除し、既知の侵入経路を封じ込めた
- 2026年10月20日に個人情報保護委員会へ報告した
根拠の要点
資料は、サイト管理に使用していたWordPressプラグインの脆弱性が悪用されたと説明している。プラグイン名や脆弱性の識別子は書かれていない。既知の侵入経路を封じ込めたと述べるが、侵入の詳細は示されていない。
資料の基準時点：2026年10月21日時点の第一報
当時、対策できたのか
判定保留
修正版の公開時期、利用していたプラグインの更新状況、攻撃時点の防御条件が資料に書かれていないため、対策の欠落を判断できない。
公表された対策
- 不正な管理者アカウント、不正ファイル、不正利用されたプラグイン等を削除した
- 現在公開中のWebページと配布モジュールを照合し、現時点で改ざんは確認されていない
- 製品サポートサイトと評価版ダウンロードサイトのユーザーIDとログイン用パスワードを再発行し、対象者へ個別に連絡する
- 外部委託先への指揮・監督およびセキュリティ管理状況の確認を強化する
- 脆弱性対応、認証やログの管理、インシデント発生時の報告・対応体制を見直す
まだ分からないこと
- 利用していたプラグインの名称と脆弱性の識別子は資料に書かれていない
- 修正版の公開時期や、攻撃前に更新されていたかは分からない
- 一部期間の記録が残っていないため、一時的な改ざんや不正な通信がなかったことは完全には確認できない
- お問い合わせ情報が実際に第三者に取得されたかは確定していない
- 調査は外部委託先と継続中で、新たな事実が判明すれば公表するとしている