SaaS
このタグの記事 4 件
Web制作サービス「Studio」に不正アクセス：全登録者の情報とフォームの送信内容が流出した可能性、フォームを送った人とサイト運営者がやること
Studio株式会社は2026年10月16日、同社が利用するクラウド環境に第三者による不正アクセスがあり、Web制作サービス「Studio」に登録しているすべての顧客について情報が外部に流出した可能性があると発表した。第三者はStudioの一部機能の脆弱性を悪用して不正にアクセスし、環境内のデータを外部から取得できる状態にしていた。不正アクセスを確認できている期間は2026年9月30日〜10月1日（日本時間）で、同社は10月13日に社内の調査で確認し、10月13〜14日に脆弱性の修正と経路の遮断を終えた。流出した可能性があるのは、アカウント情報（ユーザー名、メールアドレス、ハッシュ化されたパスワードなど）、デザインエディタ・CMSの内容、Studioで作ったサイトのフォームに送信された内容、ライブプレビューのURL、API連携に登録した外部サービスのAPIキーやトークン、パスワード保護ページのパスワード、Webhook通知のURLなど。暗号化して保存していた一部の情報も、復号に必要な鍵が同じ不正アクセスで読み出されたため内容を知られた可能性があるとしている。実際に第三者に取得された事実は確認できていないが、取得されたものとみなして対応している。件数と二次被害の有無は調査中。Studioでサイトを作っていた企業・団体も、フォームに送信された個人情報が流出した可能性があると相次いで発表しており、Luupは21,368件、Link-Uグループは7,663件、TRUSTARTは約1,440件、埼玉県のさいたま緑の森博物館は162件としている。Studio株式会社は10月17日、個人情報保護委員会からの要請を受けて、フォームを使う顧客に同委員会への個別の報告をいったん保留するよう求めた（本人への通知は保留の対象外）。当サイトの結論：Studioで作られたサイトのフォームを使った人は、そのサイトの運営者のお知らせを確かめ、問い合わせ内容に触れる連絡のリンクは開かない。サイト運営者は、Studioの案内の順にパスワードと連携の鍵を切り替える。
アルカディア「SpeeCAN RAIDEN」に不正アクセス（メールアドレス最大約313.6万件・推定）：自治体の防災メールの登録情報が漏えいの可能性、登録者がやること
株式会社アルカディアは2026年10月13日、同社が運営するメール等の一斉配信サービス「SpeeCAN RAIDEN」が第三者による不正アクセスを受け、連絡先の名前・メールアドレス・電話・FAX番号、担当者・契約情報、履歴として保存されている配信本文が漏えいした可能性があると発表した。最大件数はメールアドレス約313.6万件、電話番号約10.5万件、FAX番号約1.5万件（いずれも推定値で調査中）。10月11日16時30分に不審な挙動を確認し、12日3時ごろに応急措置、13日11時に侵入経路となったサービス（raiden3、ライデン・スクールのs2）を緊急停止した。10月14日には、NET119と119RAIDENでも漏えいの可能性があると追加し、10月16日の第11報で、NET119は9,020件のメールアドレスに紐づく利用者の名前・生年月日・住所などの個人情報（要配慮個人情報は漏えいしていないことを確認）、119RAIDENはメールアドレス約9.7万件などとした。停止したサービスは10月15日15時ごろに復旧した。決済情報は扱っていない。自治体も各自お知らせを出しており、静岡市は防災メール登録者3万4,336人のメールアドレスなどの漏えいが判明したとし、本物と同じ「@raiden.ktaiwork.jp」を送信元とするカード会社を装った偽メールを確認している。同社は10月21日の第17報で、10月13日1時17分〜7時16分に不正なプログラムによって同社システムからフィッシングメール1,423,428通が送られ、うち少なくとも869,575通は同社が保有するメールアドレスへの配信ではなかったと公表し、外部機関によるダークウェブ調査を行うとした。個人情報保護委員会と総務省への報告を契約者・代理店に代わって行うための案内メールも送っている。当サイトの結論：送信元では本物と見分けられないので、防災メールの送信元はブロックせず、カードや個人情報の確認を求めるメールのリンクは開かない。
コミューン「Commune」に不正アクセス（延べ16万6,505人）：企業コミュニティの会員情報が漏えい、会員と運営者がやること
コミューン株式会社は2026年10月9日、同社が運営する企業向けコミュニティサービス「Commune」「Commune for Work」が外部の第三者による不正アクセスを受け、一部のコミュニティで会員情報が漏えいしたと発表した。漏えいは10月5日18時ごろ〜6日21時ごろと、10月7日13時17分〜14時36分に起きた。第一報では、漏えいした会員を最大で約30.7万人（重複を除いた実人数の推計）としていたが、10月21日の続報で、詳しい調査の結果、漏えいの対象となった会員は16万6,505人（会員IDの単位でコミュニティごとに数えた延べ人数。同社が運営するコミュニティや検証用・デモ用のコミュニティを含み、攻撃者が作ったアカウントは含まない）、うちメールアドレスを含む情報が漏えいした会員は12万5,601人と確認した。それ以外の会員で漏れたのは、表示名・自己紹介・非公開グループの所属など。144人はパスワードが本人の操作によらず仮パスワードに変更された。パスワードそのもの、ダイレクトメッセージの漏えいは確認されておらず、決済情報は同社では保持していない。原因は、非公開コミュニティの招待リンクの不正な取得と、管理者へのなりすましと説明している。コミュニティを運営する利用企業も各自のお知らせを出しており、日本能率協会マネジメントセンターの「時間〈とき〉ラボ」ではプロフィール欄の氏名・住所・年齢・電話番号も漏えいした。コミューンは流出したメールアドレスの悪用を防ぐため10月10日0時50分から全コミュニティを止めて臨時メンテナンスを行い、管理者アカウントの二要素認証の必須化などの対策をとった。10月16日、希望した利用企業から順次、Webブラウザ版に限り一部の機能を制限して再開すると発表した（アプリ版、メールアドレスを使った新規登録、パスワードを忘れた場合の再設定は停止中）。臨時メンテナンスや検証で、新たな不正アクセスや漏えいは確認されていないとしている。10月21日の続報では、10月9日に総務省（関東総合通信局）へ速報を出したこと、警察署へ相談を始めたこと、ログの全件解析で攻撃者が残したプログラム・アカウント・設定などは確認されていないこと、第三者機関によるフォレンジック調査の準備を進めていることも公表した。当サイトの結論：参加しているコミュニティの運営企業のお知らせで対象かを確かめ、コミュニティ名を名乗るメールのリンクは開かない。
2026年の国内情報漏えいの侵入経路：脆弱性より正規の認証情報によるものが多い（横断分析）
2026年8月に公表された国内の主要事案を経路で分類すると、脆弱性型より認証情報型が多い。共通するのは『自分のサーバーは無傷なのに、外部のサービスの正規のアカウントから入られた』こと。当サイトの結論＝脆弱性管理を完璧にしても、この型は1件も止まらない。だから対策の比重を、パッチから『認証情報の寿命・範囲・置き場所』と『委託先とSaaSの棚卸し』へ移す必要がある。