2026.11.11 ニュース
当社システムへの不正なアクセスに関するご報告（第三報）

　2026年10月19日（第一報）および10月26日（第二報）にてお知らせいたしました、当社が運営するメール配信サービス「Cuenote FC」等に対する外部からの不正アクセス事案（以下、「本事案」といいます。）につきまして、その後の詳細調査、関係するサーバ基盤を対象としたログ解析、および外部セキュリティ専門機関との連携検証の進捗を踏まえ、現時点までに判明した事実、漏洩件数、攻撃手法、および再発防止策を取りまとめ、報告を更新いたします。
今般、このような事態を招き、お客様ならびに関係各位に多大なるご迷惑とご心配をおかけしておりますことを、改めて心より深くお詫び申し上げます。

１．本事案の被害の概要および漏洩件数
システムに対する当社内でのフォレンジック調査およびデータ突合の結果、不正アクセスを受けた対象システムおよび外部への持ち出しが確認された個人情報の件数は以下の通りです。

（Cuenote FCにおける対象データ別の延べ漏洩件数）

（Cuenote BASEにおける対象データの漏洩件数）
190件（企業名、氏名、電話番号、メールアドレス）

※流出したデータ項目の詳細は引き続き確認中であり、今後分かり次第公表する予定です。なお、クレジットカード情報等の決済情報の流出は現時点では確認されておりません。

２．第一報から第二報にかけて漏洩対象システムが増加した理由
・第一報（5システム）
本事案初動において、システムに対する直接的な実行命令や不正プログラムの設置、データベースへの直接接続といった「システム内部への重大な直接侵害」が確認されたシステムを特定・停止し、公表いたしました。

・第二報（新たに45システム追加、計49システム）
外部専門機関と連携し、当社全システムを対象とするWebアクセスログ・認証ログの遡及監査（第2次詳細調査）を実施いたしました。その結果、攻撃者が初期侵害拠点から窃取した有効なセッション情報を悪用し、Web管理画面の正規CSV出力機能を経由してデータをダウンロードしていた事象（後述の攻撃手法２）を新たに特定いたしました。
この手法は不正プログラムの設置やデータベースへの直接侵入を伴わず、一見すると正規の管理者操作に見えるものであったため、詳細なセッション情報の解析完了をもって判明し、第二報として公表・個別通知を行うに至りました。

３．確認された攻撃の２つの手法と当社の対策
本事案において確認された攻撃手法は、大きく分けて以下の2系統です。

【攻撃手法１】不正プログラムの設置と内部侵入（直接侵入・横展開型）
プログラムの脆弱性をついて、サーバ内部に不正プログラムを使って、システムの中枢のデータベースへ直接侵入してデータを出力する手法です。さらに、管理用の内部ネットワークを伝って別のサーバへも侵入を拡大させました。（第１報の対象）

【攻撃手法２】ログイン情報の盗用となりすまし（正規機能の悪用型）
プログラムの脆弱性をついて、当時ログイン中だった正規利用者の一時的なセッション情報を盗み取り、正規の利用者になりすまして管理画面へ入る手法です。その後、画面に元から備わっている通常のデータ出力機能（CSVダウンロード）をそのまま悪用してデータを持ち出しました。（第２報の対象）

４．本事案の経緯・対応時系列
攻撃の覚知から初動対応、外部専門機関の参画、各公表、および現在に至る時系列は以下の通りです。

５．現在におけるサービス稼働状況および安全性の確認結果
当社では、本事案の判明後、すべてのサービス基盤を対象として、侵入経路の遮断、不正プログラムの排除、アクセス権限の見直し、およびシステムログの詳細調査を実施してまいりました。これらの調査・対策を踏まえ、今回確認された攻撃手法に対する必要な安全対策を実施し、サービスの稼働再開に必要な安全性の確認を完了しております。

現在、外部専門機関によるフォレンジック調査のため稼働を停止しているCuenote FC専用ASPの一部システムおよびCuenote BASEを除き、各サービスは正常に稼働しており、お客様におかれては通常通り安全にご利用いただける状態です。

① 不正プログラムの排除
全サーバを対象としたスキャンにより、不正プログラムが存在しないことを確認済みです。

② 侵入経路の遮断
起点となった脆弱性修正プログラムの適用、ならびに接続元IP制限の適用を完了しております。

③ 影響のない環境の安全性確認
今回被害が確認されなかった専用環境および共用サービス環境については、攻撃の成立条件を満たしておらず、かつ詳細なログ監査により不正アクセスや情報漏洩の痕跡がないことを確認済みです。

６．再発防止策
当社では、被害拡大防止策にとどまらず、アーキテクチャおよび組織運用の根本的見直しを行い、以下の再発防止策を実施していきます。

① セキュアコーディングおよび脆弱性管理の抜本的強化
ファイルアクセス処理等における厳格な入力値検証の実装、および設計・レビュー規程の改訂を徹底するとともに、AIを活用したソースコードレビューや潜在的脆弱性の自動検知体制を導入し、さらに外部専門機関による定期的な第三者脆弱性診断を導入していきます。

② 特権アクセス管理および保守運用のゼロトラスト化
運用保守における作業即応性を維持しつつ侵害リスクを排除するため、システム内に恒常配置された共有管理者権限を撤廃し、多要素認証を前提としたセキュアゲートウェイ経由で、タスク実行時のみ最小権限を確立・運用します。

③ 多層防御による24時間365日の監視・インシデント即応体制の確立
全サーバ環境を対象に異常を監視するシステムを配備し、不審なファイル配置に対してアラート発報するとともに、専任監視体制による24時間365日の常時チェック、脅威の発生と同時に対応する運用を行います。

７．公的機関への報告状況
当社は、管轄警察署への被害届の提出および捜査への協力を継続しております。また、個人情報保護委員会および一般社団法人日本情報経済社会推進協会（JIPDEC）への報告を行っております。なお、独立行政法人情報処理推進機構（IPA）に対しても所定の手続きを進めております。

８．今後の見通しおよび最終報告について
本件が2026年12月期の業績に与える影響につきましては、現在精査中であり、今後開示すべき事項が生じた場合には速やかに公表いたします。
現在、不正プログラムが設置された対象システムについて外部専門セキュリティ機関に委託しておりますフォレンジック調査の最終解析作業が進められております。同機関による調査結果報告書を受領した段階で、調査結果の総括として「最終報」を改めて公表させていただく予定です。

改めまして、貴社ならびに関係各位、そして対象となったお客様に多大なるご迷惑とご心配をおかけしておりますことを、重ねて深くお詫び申し上げます。

以上