- 重要度
- 重要度：5段階中5 業務やサービスの停止・計108件のアカウント情報
- 公表日
- 2026.11.09
- 原因の分類
- 製品・サーバーの脆弱性、認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- Z会グループで2つのシステムに不正アクセスがあり、計108件のアカウント情報が漏れた。
- Z-IDの認証基盤の脆弱性が突かれ、従業員のアカウント情報も悪用された。
- 13件のアカウントは第三者にパスワードを変更され、対象者には個別に案内した。
Z会グループの2つのシステムで不正アクセスがあり、2026年10月14日から15日にかけて計108件のアカウント情報が漏えいした。内訳は従業員等95件とお客様13件。Z-IDでは、認証基盤の脆弱性を悪用され、13件のアカウントのパスワードが第三者に変更された。決済情報や機密情報の流出、サーバーへの侵入は確認されていないとしている。
確認された経路・公表元の推定
- 2026年10月14日未明、Z-IDシステムの認証基盤の脆弱性を突いた不正アクセス（事前試行）があり、お客様1件のアカウント情報が漏えいした。
- 同日18時頃、株式会社栄光の工数管理システムに不正アクセスがあり、従業員および業務委託先企業のアカウント情報95件が漏えいした。このシステムへの侵入経路は資料に書かれていない。
- 窃取された従業員のアカウント情報が悪用され、Z-IDのパスワードリセット機能に機械的なアクセスが953件行われた。
- アカウント名が一致した13件のアカウントで、第三者によりパスワードが変更された。
- 当該13名のお客様の氏名、Z-ID、メールアドレス等が閲覧された可能性がある（該当者のみ申込日情報）。
根拠の要点
資料は、Z-IDの認証基盤の脆弱性を悪用した不正アクセスと、工数管理システムから窃取した従業員アカウントを使った機械的なログイン試行を一連の事案として説明している。
資料の基準時点：2026-11-10取得時点（投稿日2026年11月9日）
当時、対策できたのか
判定保留
資料は、Z-IDシステムの脆弱性が確認されていたと書いているが、攻撃時点で修正が未適用だったかは書かれていない。改修の完了は事後の対応として書かれている。
公表された対策
- Z-IDシステムのセキュリティ改修を完了した。
- 対象のお客様には個別にご案内を完了した。
- 工数管理システムは外部からのアクセスを遮断し、運用を再開せず利用を終了した。
- 関係者には個別に案内と注意喚起を行った。
- 当社が運用する全業務システムで多要素認証やIP制限等の適用状況を再点検し、適切な管理体制を確認した。
- Z会グループ全体のセキュリティ監視体制を一層強化するとしている。
まだ分からないこと
- 工数管理システムへの侵入方法は資料に書かれていない。
- Z-IDの脆弱性の内容（製品か自社実装か）と、攻撃時点で修正されていたかが書かれていない。
- 脆弱性の修正版の提供時期が書かれていない。