企業に送った問い合わせの文章が、氏名やメールアドレスとともに持ち出されていた。
スカラコミュニケーションズは2026年11月13日、FAQシステム「i-ask」への不正アクセスについて、外部専門機関による調査結果を公表した。情報の持ち出しが確認された範囲は、利用企業4社、延べ55万2,179件。変更されないまま残っていた初期パスワードと、画像アップロード機能の設定不備が侵入・不正操作につながったという。11月13日の公式発表で、10月の初報から踏み込んだ事実が明らかになった。
i-askという名前に覚えがなくても、対象となる企業の問い合わせフォームを使ったことがある人は、どの窓口や期間が対象か確かめたい。企業の窓口に何を相談し、どんな情報を書き込んだか。それが今回、自分への影響を確かめる手掛かりになる。
4社分の情報持ち出しを確認、55万件は延べ件数
提供元が10月6日に公表した初報では、同じサーバーで稼働する最大5社の環境から、問い合わせ情報が漏れた可能性があるとされていた。対象は最大71万3,126件。同じ人が複数回問い合わせた分も含む、問い合わせ単位の数字だった。
11月13日の第2報では、情報を含む圧縮ファイルが外部へ持ち出されたことを確認したと説明している。対象は4社・延べ55万2,179件に絞られ、当初調べていた1社については持ち出しがなかったと判明した。全体の被害人数は公表されておらず、55万2,179件をそのまま人数に置き換えることはできない。
持ち出された情報には、問い合わせ本文や氏名・住所・電話番号・メールアドレスのほか、FAQや業務上の知識をまとめた情報、i-askの利用者・管理者のアカウントと認証情報が含まれる。漏れた項目は利用企業ごとに異なり、第2報には4社の社名や会社別の確定内訳は記載されていない。
不正ログインの2分後にプログラムを設置
調査でたどれた動きは具体的だ。10月2日20時34分に管理サイトへの不正ログインが成功し、20時36分には画像アップロード機能を悪用したWebShellが設置された。WebShellは、外部からサーバーに命令を送るために使われる不正なプログラムだ。その後、データベースの照会・複製などの操作が行われたという。
同社は初期パスワードの変更と接続元の制限を任意にしており、設定しなくても使い続けられたと説明する。アップロードしたファイルをプログラムとして実行させない設定も不十分だった。提供元自身が、いずれもサービス管理上の不備と認めている。
認証を通過した後も、アップロードされたものを実行させない仕組みや、別の利用企業のデータに届かせない境界が必要になる。公表された経緯から読み取れるのは、パスワード管理だけに対策を集中させても、侵入後の被害拡大には備えきれないという問題だ。
攻撃者が初期パスワードをどう知ったか、誰が攻撃したかは公表されていない。特定の脆弱性やランサムウェアとの関係も、今回の発表からは確認できない。
異変の発覚は10月3日朝だった。初報によると、データベースの監視アラートをきっかけに調べ、同日8時頃に不正アクセスを遮断。影響する利用企業にも同日中に報告した。11月13日は新たに攻撃された日ではなく、調査結果を公表した日となる。
問い合わせの文章に残る、名簿以上の情報
問い合わせ履歴には、連絡先のほかにも生活や取引の事情が残る。オリックス生命の10月8日発表（PDF）は、漏えいの可能性がある情報として、証券番号や問い合わせ内容に加え、本人が申告した医療情報を挙げた。対象は複数回の問い合わせを含む約2万6,500件で、同社システムへの不正アクセスは確認されていないとしている。
シチズン時計の10月6日発表も、問い合わせ本文に銀行口座やクレジットカードの情報を書いていた場合、それらが対象となる可能性を示した。ただし、これはフォームに書き込まれた情報の説明だ。ECサイトや会員制サービスへのアクセスは確認されていないという。
漏洩情報が悪用された場合、以前の相談内容を知る相手から連絡が来れば、名前だけを呼ばれる場合よりも、本物の担当者だと信じやすくなる。相談の文章は、その人が何に困り、何を確認したかったのかまで伝えてしまう。
一方、各社が10月時点で「可能性」として挙げた個別の情報項目について、11月13日の提供元発表だけで一律に流出確定へ書き換えることはできない。自分に関する判断には、問い合わせ先企業の個別案内が必要だ。
自分の問い合わせが対象か、企業ごとの案内を確かめる
関連する企業の公表資料を、対象の窓口ごとに並べた。以下は各社がそれぞれの日付に発表した内容であり、55万2,179件の確定内訳を示す表ではない。
| 公表元 | 確認したい問い合わせ・公表内容 |
|---|---|
| 大和証券 10月5日発表 公式サイトのお知らせ | Webサイトの問い合わせ管理などで利用する外部委託先システムの情報。氏名・メールアドレス・口座番号などが漏れた可能性を公表。同社は、対象情報だけで口座へのアクセスや取引はできないと説明している。 |
| シチズン時計 10月6日 | シチズン、ブローバ、フレデリック・コンスタントのWeb問い合わせフォーム。10月3日時点で委託先システムに保存されていた情報が対象。公式発表に専用の問い合わせ窓口がある。 |
| 損保ジャパン 10月7日・PDF | 事業者向けドライブレコーダー「SMILING ROAD」のFAQ・問い合わせ機能。問い合わせ本文や連絡先、勤務先などの情報が漏れた可能性を公表。対象となるサービスを確かめたい。 |
| オリックス生命 10月8日・PDF | 公式Webサイトから寄せた問い合わせ情報。10月16日の続報（PDF）では役職員・退職者の情報約2,100件の漏えい可能性も追加されたが、この追加分に顧客情報は含まれない。 |
調査で漏洩が否定されたケースもある。東武鉄道は11月2日の調査結果（PDF）で、外部専門機関の調査により、同社に関する情報の漏洩がなかったことが確認されたとの報告を受けたと公表した。利用していたサービス名が同じでも、結果は企業ごとに確認する必要がある。
再発防止策には、これから実施するものもある
スカラコミュニケーションズは、初動で不正プログラムの隔離や管理者パスワードの変更を実施し、個人情報保護委員会に報告、警察に相談した。11月13日の発表でも、アップロードファイルの実行を防ぐ設定への対策は実施済みとしている。
一方、二要素認証の導入、強いパスワードや接続元制限の標準化、利用企業ごとの環境の保護強化は12月28日までに完了予定だ。対策が列挙されていても、すべてが既に運用されているという意味ではない。サービス全体の停止範囲や全面復旧の時点についても、第2報には具体的な記載がない。
初期パスワードで使い続けられる状態をなくすには、注意喚起に加えて、変更が済むまで利用を進められない設計も考えられる。利用企業が選ぶ設定と、提供元が必ず守らせる条件をどこで分けるか。今回の公表は、その判断を見直す材料になる。
過去の相談内容を知る相手にも、連絡先の確認を
心当たりのある人は、企業からの個別通知と、上記の公式発表を確認したい。問い合わせ内容を言い当てる電話やメールでも、それだけで本物の担当者とは判断しない。返信やリンクのクリックを急がず、自分で開いた公式サイトから窓口を確かめる。損保ジャパンも、氏名や問い合わせ内容を利用したなりすましへの注意を呼びかけている。
i-askの利用者・管理者アカウントを持ち、そのパスワードを別のサービスでも使っていた場合は、使い回している先でも変更するよう提供元が求めている。一般の問い合わせフォーム利用者については、各企業が案内する対象と対応を確認しよう。
スカラコミュニケーションズは11月13日時点で、今回の情報漏洩による不正利用などの二次被害は確認されていないと説明している。自分がどの窓口に何を送ったのかを確かめ、相談内容を知る相手からの連絡にも一呼吸置いて対応したい。
問い合わせ対応で保存される情報については、別の事案を扱ったロート製薬の顧客情報・通話録音の漏洩に関する記事でも取り上げている。
情報確認時点は2026年11月14日午前1時7分（日本時間）。スカラコミュニケーションズの10月6日初報と11月13日第2報、本文中にリンクした各社の公式発表に基づく。アイキャッチはベア三郎を用いたAI生成イラストで、事故現場を撮影したものではありません。
コメント