- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.04.10
- 原因の分類
- サプライチェーン
- 対策可能性
- 判定保留
この記事の3行まとめ
- UPSIDERが第三者に不正アクセスされ、決済などが一時停止
- オープンソースソフトウェアに悪意あるプログラムが混入されていたことが原因
- 現時点で漏えいは未確認、最終調査結果は5月中の見込み
2026年4月1日、UPSIDERは決済やログイン機能などを停止した。停止は攻撃によるシステムダウンではなく、被害の拡大を防ぐための措置だと説明している。原因は、利用しているオープンソースソフトウェアに第三者が悪意あるプログラムを混入させ、それを通じて社内環境への不正アクセスが行われたことだとしている。カード番号は暗号化されており、漏えいは確認されていないという。
確認された経路・公表元の推定
- 第三者が、利用しているオープンソースソフトウェアに悪意あるプログラムを混入させた。時期は資料に記載がない。
- 3月24日、当該ソフトウェアを利用したデバイスを起点に攻撃が実行された
- 3月31日、クラウドサービス提供元からの通知で被害防止措置が作動し、社内調査と初期対応を開始した
- 4月1日の午前3時40分から午前10時49分まで、被害の拡大を防ぐための措置として、カード決済・ログイン等を停止した
根拠の要点
資料は、原因を悪意あるプログラムの混入による不正アクセスと説明し、攻撃の起点は当該ソフトウェアを利用したデバイスだとしている。混入の経緯は資料に記載がない。
資料の基準時点：2026年4月10日時点
当時、対策できたのか
判定保留
資料は、攻撃時点の既知の脆弱性への未対応や認証設定の例外を明示しておらず、発覚時に未発見だったとも説明していない。ソフトウェアの検証体制や攻撃時点の防御条件も記載がないため、判定保留とした。
公表された対策
- 攻撃の起点となった該当端末を隔離・確保した
- 本番環境へのアクセス制限を厳格化した
- 個人情報保護委員会をはじめとする関係当局へ速やかに報告した
- 社内調査とは独立した第三者の専門機関による詳細な調査を実施している
- セキュリティ体制の抜本的な強化に全社で取り組むとしている
まだ分からないこと
- 混入されたオープンソースソフトウェアの名称と版
- 悪意あるプログラムが混入された時期と、侵入経路の詳細
- 社内調査では検証が困難な領域の影響範囲
- 最終的な影響範囲と今後の対応方針は第三者調査の結果を踏まえて判断される