対象：Chainalysisの製品を使う組織（コンプライアンス、調査、捜査機関のチームなど）の担当者と管理者、および同社の名前を使った連絡を受けうる人。本記事は同社の公式発表と報道にもとづく解説で、攻撃手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
- 対象者
Chainalysisの製品を使う組織（コンプライアンス、調査、捜査機関のチームなど）の担当者と管理者、および同社の名前を使った連絡を受けうる人。
- 影響が確認された範囲表で見る ↓
- ユーザーID
- 氏名
- メールアドレス
さらに1件
- 組織内の役割ラベル
- 未確認事項
- 組織ごとにアクセスされたレコード
- 侵入の経路と関係したシステム
- アクセスが続いた期間
さらに1件
- 外部の専門家による調査の結果
- 今やること手順を見る ↓
- 氏名・メール・役割を使った連絡に備える
- 2段階認証を有効にする
- 自分が始めていないリセットやログインの承認要求を承認しない
さらに2件
- 自組織の通知を確認し、内訳を問い合わせる
- 同僚に伝える
- 最終確認日時
- 2026年11月1日時点
発表の続報予定と確認の記録
10月30日の発表で、同社は調査が進みしだい、組織ごとに関係する更新を提供するとしています。2026年11月1日時点で、同社のブログに後続の発表は見つかりませんでした。
Chainalysisの利用者が今日やること
氏名・メール・役割を使った連絡に備える
氏名、メールアドレス、役割ラベルがあれば、あなたを知っている相手からのように見える連絡は作れます。資金回収、求人、アカウントの確認、サポート案件を装い、クリックやインストール、急ぎの返信を迫る連絡に注意してください。フィッシングとはを参照してください。同社のサイトは、連絡内のリンクでなく自分のブックマークから開きます。
2段階認証を有効にする
同社は、2段階認証のない組織には有効にするよう強く勧めており、アカウントマネージャーが手伝えるとしています。組織が許すなら、SMSより認証アプリやハードウェアキーを選びます。多要素認証ガイドを参照してください。
自分が始めていないリセットやログインの承認要求を承認しない
同社は、予期しないパスワードリセットの要求や認証の求めに注意するよう案内しています。届いたら承認せず、セキュリティ担当に伝えてください。自分が始めていない求めは、誰かがあなたのメールアドレスでログインを試している可能性を示します。
自組織の通知を確認し、内訳を問い合わせる
発表は顧客あての書面で、すでに通知を受けた顧客には更新を知らせる内容だとしています。アカウントの管理者は、自組織あての同社からの連絡を探し、内訳が出た段階で自組織のどのユーザーのレコードが関係したかを、アカウントマネージャーに問い合わせてください。登録済みのユーザーと役割の一覧を見直し、不要なアカウントは外します。
同僚に伝える
アカウントを持つ組織内の人に、同社名が詐欺の連絡に使われうること、報告先を伝えます。資金回収、採用、アカウントの確認と、具体的に伝えるほど気づきやすくなります。
何が起きたのか（Chainalysisの発表より）
以下は、2026年10月30日の同社の発表にもとづきます。発表は検知した正確な日付を示しておらず、今月（10月）に検知したと書いています。
2026年10月
外部の者による、同社のシステムと社内ツールへの不正アクセスを検知。正確な日付は示されていない。10月30日
同社が発表。顧客あての書面で「Some of you have been previously notified and we want to provide an update.」と記している。投稿は米国時間で10月30日付で、報道は米東部時間17:14ごろ（日本時間では10月31日）としている。10月31日
BleepingComputerが同社の発表を報道。利用された脆弱性、アクセスされたツール、アクセスの期間は公表されていないと伝えている。
アクセスされた（同社）
ユーザーID、氏名、メールアドレス、組織内の役割ラベルなど（例示）
現時点で証拠なし（同社）
パスワード、MFAの秘密、セッショントークン、調査の内容、取引結果
右側は現時点の証拠にもとづく同社の説明で、保証ではありません。
- 起きたこと
- 外部の者が、同社が「offensive agentic techniques」（攻撃的なエージェント型の手法の意）と呼ぶ方法で、システムと社内ツールに不正にアクセス
- アクセスされた情報
- 機微度の低い顧客データの一部（例として）：プラットフォームに登録されたユーザーのユーザーID、氏名、メールアドレス、組織内の役割ラベル
- アクセスの証拠なし（現時点、ブログ本文より）
- 調査の内容（グラフ・メモ・案件）、取引やクエリの結果、平文のパスワード、MFAの秘密、セッショントークン、認証情報
- 対応
- 外部のサイバーセキュリティの専門家を起用。大規模言語モデルも使ってプラットフォームの点検を拡大。顧客に通知（顧客あての書面）
- その他
- 直近のBinanceの盗難とは無関係と同社は説明
分かっていること・分かっていないこと
2026年11月1日時点の状態です。「現時点で証拠なし」は同社の言い方で、「アクセスされていないと確認」とは同じではありません。
| 項目 | 発表の内容 | 状態 |
|---|---|---|
| ユーザーID | アクセスされた（例として挙げられた項目） | 確定（同社） |
| 氏名 | アクセスされた（例として挙げられた項目） | 確定（同社） |
| メールアドレス | アクセスされた（例として挙げられた項目） | 確定（同社） |
| 組織内の役割ラベル | アクセスされた（例として挙げられた項目） | 確定（同社） |
| 調査の内容（グラフ・メモ・案件） | 現時点でアクセスの証拠なし | 確認されていない（同社） |
| 取引・クエリの結果 | 現時点でアクセスの証拠なし | 確認されていない（同社） |
| 平文のパスワード・認証情報 | 現時点でアクセスの証拠なし | 確認されていない（同社） |
| MFAの秘密・セッショントークン | 現時点でアクセスの証拠なし | 確認されていない（同社） |
| 同種のほかの項目 | 同社の一覧は「such as」で始まる例示 | 記載なし |
| 対象のユーザー数・組織数 | 組織ごとの内訳は準備中 | 記載なし |
| 侵入の経路 | 公表されていない | 記載なし |
| アクセスの期間 | 公表されていない | 記載なし |
読み方：「現時点で証拠なし」は変わりうる
同社は、この説明は現時点の証拠にもとづくもので、調査は続いているとしています。同社がさらに説明するまで、2段階認証を維持し、予期しない求めは疑ってください。
これらの項目で何が起きうるか
一般に、氏名・メールアドレス・役割の組み合わせは次のように悪用されえます。今回これらが起きたという意味ではありません。
- 標的型のフィッシング：あなたの名前、勤務先、職務を知っている形で、同社や同僚からのように見える連絡
- 暗号資産のコンプライアンスや調査の仕事をする人に向けた、偽の資金回収や採用の誘い
- メールアドレスを起点にしたアカウント乗っ取りの試み（リセットやログインの要求の繰り返し）
- 役割を使った、同社のサポートや自組織のヘルプデスクへのなりすまし
運営者が見直すこと：同社が公表した経緯から
同社が公表した事実から言えることです。Chainalysisへのさらなる評価ではありません。
- 何に触れて、何に触れていないかを早く伝える。 同社はアクセスされた情報と、アクセスの証拠がない情報を分けた。顧客は全体像が出る前に動き方を決められる。
- 社内ツールも、顧客向けのシステムと同じ強さで守る。 同社は社内ツールにも到達されたとしている。社内ツールへのアクセスにも同じ強さの認証と記録を。
- AIを使った侵入を前提に備える。 同社は手法を「offensive agentic techniques」と呼ぶ。自律的なAIエージェントが使われた別の事例はHugging Faceへの侵入を参照。
- 役割や本人の情報は必要な分だけ持つ。 氏名・メール・役割ラベルがあれば、標的型の連絡は作れる。
出典（公開情報）
本記事の事実は以下の公開情報にもとづきます。同社が確認していない侵入経路は推測せず、載せていません。
- Chainalysis, セキュリティインシデントの発表（2026年10月30日）— chainalysis.com
- BleepingComputer, "Chainalysis discloses data breach from offensive agentic techniques"（2026年10月31日）— bleepingcomputer.com
更新履歴
2026-11-01：初版。同社の10月30日の発表と報道1件にもとづく。組織ごとの内訳や詳細が出た段階で更新する。
次に読む
- 関連する事件：Binanceの暗号資産盗難（同社は今回の件と無関係としている）
- AIを使った攻撃：Hugging Faceへの侵入：自律AIエージェントによる攻撃／AIを使ったサイバー攻撃への備え
- アカウントを守る：多要素認証ガイド／フィッシング
- 2026年のほかの事件：2026年の情報漏えい・サイバー攻撃