設定・管理の不備による国内の被害事例(11件)と、まずやる対策
入口が未知の脆弱性でなくても、一時的に開けたままのアクセス許可、共有アカウント、使い回しのパスワード、平文で保存したパスワード、誰も見ていないログといった設定・管理の不備が、侵入を許し、被害を広げます。
この種類の不備が残りやすいのは、導入時や緊急時に入れた設定が、理由や期限の記録がないまま残るからです。1つ1つは小さくても、攻撃者はそこを探します。
この一覧には、調査報告書、行政、または会社の発表が、設定・管理の不備を原因や被害拡大の要因として挙げた事案を入れています。
該当する事案(11件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- 岩井コスモ証券(委託先: トレードワークスのシステム)
委託先システムの設定の不備を突かれ、顧客4,975名の情報が漏えい。7口座で意図しない売買注文も
システムを提供するトレードワークスの「システムの一部の管理機能において設定に不備があり、第三者にこれを悪用された」(トレードワークスの発表)。通常のログイン経路は多要素認証などで防がれていたとしている
2026年の一覧で見る → - アドベンチャー「skyticket」
経路の違う3件の不正アクセス。最大約1,464万件の顧客情報が流出し、第2報でカード情報最大6,140名分の流出も判明
3件の経路が別々。(1)skyticketの一部管理機能を不正に操作され、そこから他のサーバーやクラウド上のデータにアクセスされた。(2)業務管理システムの脆弱性を悪用された。(3)バス予約の予約完了ページがログインなしで表示できる状態になっており、機械的に閲覧された
2026年の一覧で見る → - チケットプラス「チケプラ」
外部からの攻撃ではない。2026-09-28にアクセス集中の対策としてWebページのキャッシュ設定を変えたため、同時にアクセスした人に別の会員の情報が表示された(不正アクセスとデータベースの改ざんは確認されていないと公表)
2026年の一覧で見る → - ベネフィット・ワン「ベネワン・プラットフォーム」
アンケート機能の不具合で、他の利用企業の従業員情報1万3,460名分がダウンロード可能に
外部からの攻撃ではない。2025-06の改修で入ったアンケート結果ダウンロード機能の条件設定の不備。2025-10に社内で不具合を把握していたが、解消作業が適切に行われていなかった(会社の発表)
2026年の一覧で見る → - 集英社「HAPPY PLUS COMMUNITY」
CMSの設定の不備を突かれ、ブロガー2,835人分などが漏えい
利用しているCMSの設定の不備に起因するAPI認証情報を狙った攻撃。特権ユーザーのアカウントを不正に作られ、APIリクエストを繰り返された(会社の発表)
2026年の一覧で見る → - さくらインターネット
レンタルサーバ951アカウントに影響。販売管理システムへの不正アクセスは3年続いていた
一部サーバへの不正アクセスとマルウェアの設置が見つかった。侵入経路は「記録の制約」で確定できなかったと公表。販売管理システムで初期パスワードがハッシュ化されずに保存されていたことも判明
経緯・原因・対応を読む → - KDDI(ISP 6社に波及)
ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件
ISP向けメールシステムに組み込んでいた第三者製ソフトの未知の脆弱性
経緯・原因・対応を読む → - アスクル(無印良品・ロフトのECに波及)
多要素認証の「例外」だった委託先アカウントから侵入。221億円の最終赤字
例外的に多要素認証をかけていなかった業務委託先向けの管理者アカウントのID・パスワードが漏れ、悪用された。攻撃者はEDRを無効化してからランサムウェアを展開。バックアップもランサムウェアを想定した構成になっていなかった(調査報告書)
経緯・原因・対応を読む → - PR TIMES
経緯の分からない許可IPと使っていない共有アカウントから侵入。発表前のリリースも
リモートワーク移行時に管理画面への許可IPアドレスを追加しており、そのうち追加の経緯が分からないIPから、普段使っていない共有アカウントで認証が通った
経緯・原因・対応を読む → - イセトー(委託元: 自治体・金融機関・公文など)
通知書の印刷委託先が被害。307万人分が流出し、委託元に波及
VPNからの不正アクセス。VPN機器を約3年更新せず、管理者パスワードは約7年同じで推測しやすいものだった。置くべきでないネットワークに個人データをコピーしていた(個人情報保護委員会の指摘)
経緯・原因・対応を読む → - 岡山県精神科医療センター
電子カルテが全停止。保守用VPNの脆弱性が6年放置されていた
保守用VPN装置の脆弱性が2018年の設置以来放置されていた。推測しやすいID・パスワードが複数システムで使い回され、全ユーザーに管理者権限が付いていた(調査報告書)
経緯・原因・対応を読む →
事案に共通していること
一時的な設定と、使っていないアカウントが残っていました。PR TIMESの発表によると、リモートワークへの移行時に管理画面への許可IPアドレスを追加しており、そのうち追加の経緯が分からないIPから、普段使っていない共有アカウントで認証が通りました。アスクルの調査報告書は、委託先向けの管理者アカウントだけが多要素認証の例外だったと指摘しています。
パスワードと権限の管理が指摘されています。岡山県精神科医療センターの調査報告書は、推測しやすいIDとパスワードが複数のシステムで使い回され、全ユーザーに管理者権限が付いていたと指摘しています。イセトーについて個人情報保護委員会は、管理者パスワードが約7年同じだったことや、保管すべきでないネットワークに個人データをコピーしていたことを指摘しました。さくらインターネットは、初期パスワードの平文保存やログ管理の不備も判明したと公表しています。
不備があると、気づくのも遅れます。さくらインターネットでは、販売管理システムへの不正アクセスが2023年4月から2026年3月まで続いていました。アスクルの調査報告書は、バックアップがランサムウェアを想定した構成になっていなかったことも挙げています。年に1回の棚卸しでも、こうした不備の多くは見つけられます。
まずやる対策
- 1
アクセス許可を定期的に棚卸しする
許可IP、ファイアウォールの例外、公開設定を一覧にし、追加した理由と期限を記録します。理由の分からないものは閉じます。
- 2
共有アカウントと使っていないアカウントをなくす
複数人で使うアカウントは個人ごとに分けます。普段使っていないアカウントは止め、要るときだけ有効にします。
- 3
パスワードの扱いを見直す
初期のままのパスワード、使い回し、推測しやすいものを変えます。パスワードは平文で保存せず、ハッシュ化(元に戻せない形に変換)して保存します。
- 4
管理者権限を必要な人に絞る
全員に付いている管理者権限を外し、作業に要る人と期間に絞ります。
- 5
ログを見る担当と頻度を決める
ログを取るだけでなく、誰がどのくらいの頻度で見るかを決めます。普段と違うアクセスを知らせる設定も入れます。
- 6
個人データを置いてよい場所を決める
個人データを置いてよいシステムとネットワークを決め、作業用のコピーが残っていないかを定期的に確かめます。
自社で確認すること
- 1 一時的に開けたアクセス許可や公開設定に、理由と期限が記録されていますか
- 2 複数人で使う共有アカウントや、全員に付いた管理者権限が残っていませんか
- 3 ログを、誰が、どのくらいの頻度で見ていますか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
許可IP、アカウント、権限の棚卸しをお手伝いできます。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- 設定・管理の不備は、どうやって見つければよいですか
- 許可IP、公開設定、アカウント、管理者権限、パスワードの保存方法を一覧にし、それぞれに理由と期限があるかを確かめます。社内の目だけで見落としが心配なら、外部の診断を受けるのも方法です。
- 小さな会社でもできますか
- できます。表計算ソフトの一覧から始められます。国内の事案で指摘された不備の多くは、許可IP、共有アカウント、パスワード、ログといった、特別な製品がなくても確かめられるものでした。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。