利用しているSaaS・他社製ソフトの侵害による国内の被害事例(20件)と、まずやる対策
自社で作っていない部分、つまり使っているSaaS、組み込んだ他社製ソフト、借りているサーバが侵害されると、自社の顧客や社員の情報が漏れます。自社のネットワークに問題がなくても起きます。
この手口が効くのは、1つのサービスに多くの利用企業のデータが集まっているからです。利用企業からは中が見えず、提供元の発表で初めて知ることが多くあります。修正が出る前の未知の脆弱性(ゼロデイ)が使われると、利用企業の側では防げません。
この一覧には、利用企業から見て、SaaS・基盤・他社製ソフトの侵害が原因と公表された事案を入れています。Gyazoやさくらインターネットのように提供元が被害を受けた事案も、利用者から見た被害として含めています。
該当する事案(20件)
新しい順です。日付は第1報の公表日です。1つの事案が複数の手口に当てはまることがあります。
- 日本航空・日本トランスオーシャン航空・全日本空輸(旅客サービスシステムを提供する Amadeus への不正アクセスの波及)
航空会社が使う予約システムに不正アクセス。JAL・JTAの延べ約9万2,000件の予約情報が対象に
旅客サービスシステムを提供する Amadeus IT Group(本社スペイン)のシステムへの第三者による不正アクセス(ANAの発表)。侵入経路は公表されていない
2026年の一覧で見る → - デジタル庁(公式サイトの問い合わせフォーム。Studio の被害の波及)
Web制作サービス「Studio」への不正アクセスの波及で、問い合わせフォームの入力内容 最大1万3,323件が漏えいした可能性
サイトの制作に使っていたStudio株式会社のクラウド環境への第三者による不正アクセス(Studioからの報告としてデジタル庁が公表)。対象はStudioのクラウド環境内のデータ
2026年の一覧で見る → - バルテック(POS・業務クラウド「FreePOS」「MOT」シリーズなど。利用企業に波及)
業務クラウドの脆弱性を突かれてマルウェアを設置され、契約企業1,213件の情報などを外部へ送信。20超のサービスを停止
第三者が同社サービスのプログラムの脆弱性を悪用してサーバー内に侵入し、マルウェアを設置した(会社の発表)
2026年の一覧で見る → - ラクスライトクラウド「ブラストメール」(メール配信サービス。利用企業・自治体の配信先に波及)
メール配信サービスのサーバーに侵入され、全契約者の情報と345契約の配信先リストなどが持ち出し
外部の第三者が同社のAPI用のサーバー2台に侵入してコマンドを実行し、そこから販売管理システムとサービスのデータベースに接続してデータを持ち出した(会社の発表)。侵入経路の詳細は調査中
経緯・原因・対応を読む → - デジタルアーツ(「i-FILTER@Cloud」などクラウドサービスの運用環境)
クラウドサービスの運用に使う認証情報が盗まれ、運用環境に侵入。2025年7月ごろにさかのぼる痕跡も
クラウドサービスの運用に用いる認証情報が第三者に不正に取得され、これを使ってサービスの運用環境に侵入された(会社の発表)。認証情報が取得された経路は公表されていない
2026年の一覧で見る → - ユミルリンク「Cuenote FC」(メール配信サービスの専用ASPプラン。利用企業の配信先に波及)
メール配信サービスなど50システムに不正アクセス。49システムでデータが出力され、漏えいのおそれは延べ最大5,162万8,280件
プログラムの脆弱性により、同社のサポート・品質管理担当者のサービスへの認証情報を取得され、不正プログラムを設置されてデータベースからデータを出力された。その認証情報で他のシステムへの認証も試みられていた(会社の発表)
経緯・原因・対応を読む → - Studio(ノーコードWeb制作サービス「Studio」。利用企業・団体のサイトのフォームに波及)
Web制作サービスの脆弱性を悪用され、全登録顧客のアカウント情報やフォームの送信内容が外部から取得できる状態に
第三者がStudioの一部機能の脆弱性を悪用して、同社が利用するクラウド環境に不正アクセスし、環境内のデータを外部から取得できる状態にしていた(会社の発表)。暗号化して保存していた情報も、復号に必要な鍵が同じ不正アクセスで読み出された。原因の詳しい調査は外部の専門機関に依頼する調整中
経緯・原因・対応を読む → - Fivot「IDARE」
業務用の外部ソフトの脆弱性を突かれ、利用者12万9,659人の登録情報・残高・取引履歴が漏えい
カスタマーサポート等の業務で使っていた外部ソフトウェアの脆弱性を悪用した不正アクセス(ソフトウェア名は未公表)
2026年の一覧で見る → - NEXT STAGE「Qualiz」「ACRO5」(社内で使うBIツール)
社内で使うBIツール(Metabase)が不正利用され、取引先などの情報最大約4万件が漏えいした可能性
社内業務で使うMetabase社のBIツールで、脆弱性のリスクが公表されていたところ、第三者がアカウントを不正に利用し、ツールから同社サービスのデータベースを検索できる状態にあった(会社の発表)
2026年の一覧で見る → - JR九州フードサービス(トイポ社の顧客管理アプリ「トイポアプリ」の被害の波及)
導入していた顧客管理アプリへの不正アクセスで、会員約2万6,900名の情報が漏えいした可能性
顧客管理アプリ「トイポアプリ」を提供するトイポ社への第三者からの不正アクセス。一部のAPIで、権限のない第三者が他のユーザー情報を取得できる状態になっていた(トイポ社の説明として会社が公表)。脆弱性は修正済み
2026年の一覧で見る → - コミューン「Commune」「Commune for Work」(ヤマハ・スズキ・Sansan・パナソニック・LINEヤフーなどの利用コミュニティ)
企業向けコミュニティ基盤に不正アクセス。推計約30.7万人の会員情報が漏えい
外部の第三者が同社システムの不備を突いた。非公開コミュニティの招待リンクを不正に取得して一般会員として登録し、管理者になりすまして会員情報の閲覧・取得とデータの上書きを行った(会社の発表)。利用企業の設定や運用に起因するものではないとしている
2026年の一覧で見る → - 大和証券(委託先: スカラコミュニケーションズ「i-ask」)
委託先スカラコミュニケーションズのFAQシステム「i-ask」の管理サイトに不正ログインされ、不正プログラムを設置されて、同じサーバ上の利用企業のデータベースから問い合わせ情報を取得された(委託先の発表)。ログイン情報の入手経路は未公表。大和証券のシステムへの侵入は確認されていない
経緯・原因・対応を読む → - 手間いらず「TEMAIRAZU」(利用する宿泊施設の予約者に波及)
宿泊施設向け予約管理システムに不正アクセス。予約者最大約445万人の宿泊予約情報が閲覧・取得された可能性
未公表(セキュリティ上の理由で、不正アクセスの具体的な手法と対策の詳細は公表しないとしている。原因箇所は特定し、対策を完了したと公表)
2026年の一覧で見る → - Helpfeel「Gyazo」
アップロードサーバの脆弱性で、ユーザー関連データ約2,362万件
画像アップロードサーバの脆弱性を悪用され、任意のコマンドを実行された。2026-09-11に検知し、09-12に遮断・修正
経緯・原因・対応を読む → - VOISING(利用するBIツール)
利用するBIツールの既知の脆弱性を突かれ、約17万件の個人情報が漏えい
利用するBIツール(ビジネスインテリジェンスツール)の脆弱性を悪用された。修正プログラムを適用する前に不正アクセスされ、システムに侵入された(第4報、会社の発表)。会社は、既知の脆弱性への修正が、脆弱性情報の公開から攻撃までに間に合わなかったことを直接の原因としている
2026年の一覧で見る → - さくらインターネット
レンタルサーバ951アカウントに影響。販売管理システムへの不正アクセスは3年続いていた
一部サーバへの不正アクセスとマルウェアの設置が見つかった。侵入経路は「記録の制約」で確定できなかったと公表。販売管理システムで初期パスワードがハッシュ化されずに保存されていたことも判明
経緯・原因・対応を読む → - Eストアー「ショップサーブ」
EC構築サービスに不正プログラム。最終報で約2,335万6,000人・7,858店が対象(当初は延べ885万件と発表)
外部の第三者が、同社のサーバー上で稼働するアプリケーションの脆弱性を悪用して不正なプログラムを実行し、データベースの情報を外部へ送信していた(最終報、2026-10-16)。期間は2026-05-21〜08-01。この経路以外の侵害と、バックドアなど不正なプログラムの設置は認められなかったとしている
経緯・原因・対応を読む → - KDDI(ISP 6社に波及)
ISP向けメールシステムの脆弱性で、メールアドレス約1,223万件
ISP向けメールシステムに組み込んでいた第三者製ソフトの未知の脆弱性
経緯・原因・対応を読む → - マイナビ
マイナビ転職などのサービス本体ではなく、業務で使っていた外部のクラウドサービス。手口の詳細は未公表
2026年の一覧で見る → - IIJ「IIJセキュアMXサービス」
他社製Webメールソフトの未知の脆弱性で、31万アカウントの漏えいを確認
他社製Webメールソフト「Active! mail」の未知の脆弱性(ゼロデイ)
経緯・原因・対応を読む →
事案に共通していること
他社製ソフトの未知の脆弱性が、多くの利用者に一度に響きました。IIJのメールサービスでは、他社製Webメールソフト「Active! mail」のゼロデイ脆弱性が突かれ、31万1,288アカウントの漏えいが確認されました。総務省は2025年7月に行政指導を行いました。KDDIのISP向けメールシステムでは、組み込んでいた第三者製ソフトの未知の脆弱性が突かれました。当初は最大1,422万件と発表され、2026年7月6日の続報で、メールアドレス約1,223万件、うちパスワード約762万件と確定しました。
利用企業の顧客にまで被害が及んでいます。Eストアーの「ショップサーブ」では、不正プログラムが2026年5月21日から8月1日まで動き、2026年10月16日の最終報で対象者は約2,335万6,000人(当初は延べ約885万件と発表)、対象店舗は7,858店とされました。キングジムなどの出店企業も個別に公表しています。マイナビでは、サービス本体ではなく業務で使っていた外部のクラウドサービスが侵害され、最大11万1,505件が対象になりました。手口の詳細は未公表です。
長く気づけなかった事案や、規模の大きな事案もあります。さくらインターネットでは、販売管理システムへの不正アクセスが2023年4月から2026年3月まで続いていました。Gyazoでは、画像アップロードサーバの脆弱性から約2,362万件のユーザー関連データが流出しました。利用企業ができるのは、何を預けているかを把握し、提供元の発表を受け取り、そのときに止める判断を用意しておくことです。
まずやる対策
- 1
使っているSaaSと置いているデータの一覧を作る
部署ごとに契約したSaaSも含めて、何を使い、どの顧客データを置いているかを一覧にします。管理者と契約の担当者も書きます。
- 2
置くデータを減らす
SaaSに置く項目を業務に要るものに絞ります。古いデータを消す期間を決め、使わなくなったSaaSからはデータを消して解約します。
- 3
提供元の発表を受け取れるようにする
障害、脆弱性、不正アクセスの発表が、社内の決まった担当者に届くようにします。メールの通知先が退職者になっていないかも確かめます。
- 4
SaaS同士をつなぐ認証情報を棚卸しする
APIキーや連携用のアカウントを一覧にし、権限を絞ります。IIJの事案では連携用の認証情報も、Eストアーの事案では店舗管理画面の認証情報も漏えいの対象になりました。
- 5
侵害されたときの手順を決めておく
提供元が侵害を発表したとき、自社で何を止め、どの認証情報を変え、誰に連絡するかを決めておきます。
自社で確認すること
- 1 会社で使っているSaaSと、そこに置いている顧客データの一覧がありますか
- 2 提供元が障害や不正アクセスを発表したとき、社内の誰に届きますか
- 3 SaaS同士をつなぐ認証情報(APIキーなど)を、誰がどこで管理していますか
当社がお手伝いできること
当社はAIを使った開発を行う会社で、セキュリティの専門会社ではありません。被害が起きたときの調査(フォレンジック)や対応は専門の会社に依頼してください。当社がお手伝いできるのは、下のような、システムを作り直す側の仕事です。
入口とアカウントの棚卸し
社外から入れる機器・管理画面・クラウドのアカウントと権限を洗い出します。使っていないもの、多要素認証の例外、共有アカウントを一覧にします。
認証の強化の組み込み
自社の顧客向けサービスや業務システムに、パスキーなどフィッシングに強い認証を組み込みます。
VPNを使わない接続への置き換え
当社が自社で使っているCloudflareのゼロトラスト(Cloudflare One)で、VPN機器を置かずに社内システムへ入れる構成を作ります。
持つデータを減らす
退会者や古い取引のデータを、決めた期間で自動で消す仕組みを作ります。
気づける仕組み
ログを集め、大量のデータの取り出しや深夜のログインなど、普段と違う動きを担当者に知らせる仕組みを作ります。
よくあるご質問
- 自社で作っていないシステムの被害は、防げないのではないですか
- 未知の脆弱性そのものは利用企業では防げません。ただし、置くデータを減らすこと、連携用の認証情報を絞ること、提供元の発表をすぐ受け取って止める手順を持つことで、被害の大きさは変えられます。
- 使っているSaaSの侵害が発表されたら、まず何をしますか
- 自社のどのデータがそのSaaSにあるかを確かめ、そのSaaSに関わるパスワードや連携用の認証情報を変えます。提供元の続報を追い、自社の顧客への連絡と、個人情報保護委員会への報告が要るかを判断します。
関連する手口・解説
この手口の被害かもしれない、何から手を付けるか迷ったら、まず相談してください。
不審なメールが来た、不正アクセスかもしれない、漏えいの通知が届いた、取引先が被害に遭った。いまの状況を一言で送ってください。 状況を伺い、最初にやること、どこに頼むか(公的な窓口・専門会社の種類)、当社でできることを整理して、2営業日以内にメールでお返しします。無料です。いま被害が起きている場合は、フォームより先にIPA・警察・事故対応の専門会社・加入しているサイバー保険の事故窓口へ連絡してください。
- 1
状況を送る
フォームの送信は1分です。「社員が怪しいメールを開いた」「取引先から漏えいの連絡が来た」といった一言で十分です。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。会社のドメインを書いていただければ、なりすましメール対策(SPF・DKIM・DMARC)の設定も公開情報で確かめます。
- 2
2営業日以内にメールで返信
お返しするのは次の3点です。①最初にやること ②どこに頼むか(公的な窓口・専門会社の種類) ③当社でできること。確認作業をAIで回す仕組みなど当社が手伝える部分があれば、その範囲と費用の目安もお返しします。
- 3
必要なら1時間のオンライン相談
返信を読んで終わりにしてかまいません。続けて話したい場合は、1時間のオンライン相談を無料で承ります。
ご相談後に、こちらからしつこく営業することはありません。相談の内容は、ご相談者の同意なく第三者に渡しません。パスワード、お客様の個人情報、被害の証拠となるファイルは送らないでください。