- 重要度
- 重要度：5段階中3 漏えいのおそれ
- 公表日
- 2026.10.30
- 原因の分類
- 製品・サーバーの脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- 社内データ分析ツールの脆弱性を悪用され、データベースに不正アクセスされた。
- ツールの脆弱性が悪用され、会員などの個人情報が漏えいした可能性がある。
- 会員は次回ログインが必要で、不審なメール・SMS等に注意が呼びかけられている。
社内業務で使うデータ分析ツールの脆弱性が悪用され、そのツール経由で同社のデータベースに第三者が不正アクセスした。会員などの個人情報の一部が漏えいした可能性があるが、改ざんや破壊は確認されていないとしている。
確認された経路・公表元の推定
- 2026年10月14日、社内点検で本ツール内に当社が作成していない不審なアカウントを確認
- 10月22日、第三者が本ツールの脆弱性を悪用し、本ツール経由で当社のデータベースに不正アクセスして情報を取得した可能性を確認
- 10月22日、会員のログイン用認証情報を無効化し、データベース接続用の認証情報を変更
根拠の要点
資料は、データ分析ツールの脆弱性が悪用され、そのツールを経由してデータベースに不正アクセスされたと説明している。ツールはデータベースを閲覧のみ可能な設定にしており、改ざんや破壊は確認されていないとしている。
資料の基準時点：2026年10月30日公表の第一報時点
当時、対策できたのか
判定保留
資料には、攻撃時点で脆弱性の修正が未適用だったか、修正版の提供時期、防げたはずの設定があったかの記載がない。そのため対策の欠落は確認できず、判定を保留する。
公表された対策
- ツールの利用を停止した状態を継続する
- 外部から接続できる社内システムの点検を進める
- アクセス権限の見直しを進める
- 監視体制を強化する
- データベース接続に用いる認証情報を変更する
- 会員のログイン用認証情報を無効化する
- 個人情報保護委員会へ報告し、警察に相談する
この事例を理解するための動画
【GMOサイバー攻撃の全貌】Active DirectoryとRDPの仕組み。なぜクラウドへの侵入が自宅PCの危険につながるのか？
【なりすましと不正アクセス】本物のアドレスから届いた詐欺メールの見分け方まだ分からないこと
- 侵入が始まった時期
- 脆弱性の具体的な内容と対象となる製品名
- 漏えいした情報の範囲と対象となる利用者の特定結果
- アクセス記録等の詳細な調査結果
- 漏えいした可能性のある人数や件数