サイバー攻撃まとめの続報——ふるさとチョイス、メール配信基盤、AI攻撃ツールまで、中小企業がいま見直すべきこと

前回の記事を公開した10月17日朝以降も、国内では「不正アクセスで個人情報が流出した」「安全のためサービスを止めた」という発表が週末をはさんで途切れずに続きました。ふるさと納税サイト「ふるさとチョイス」の約445万件、メール配信サービス「Cuenote FC」の延べ約900万件、阪急阪神百貨店の約126万件など、規模の大きな公表も相次いでいます。

この記事は、前回のまとめ（10月17日公開）の続報です。前回以降、おおむね10月17日から10月21日朝（日本時間）までに新たに公表された事案と、前回取り上げた事案の大きな続報を、被害企業・団体の発表と主要メディアの報道をもとに整理しました。続報は「更新」と明記しています。

日付はすべて日本時間で、件数は各社が発表した「最大」「延べ」「可能性」を含む数字をそのまま載せています。件数の数え方（人・件・アカウント）は事案ごとに違うため、単純に比べたり足したりはできません。また、公表された事案は非常に多く、ここでは影響の大きいもの、中小企業の参考になるものに絞っています。

この数日で起きたことの全体像
新たに公表された主な情報漏えい
「止めて調べる」サービス停止と不正ログイン
前回取り上げた事案の続報（更新）
AIを使った攻撃が「疑い」から「確認」の段階へ
海外の主な事例：バックアップサービス経由の侵入
いま何が起きているのか
中小企業がいま備えるべきこと
まとめ
参考リンク

この数日で起きたことの全体像

今回の特徴は大きく3つです。1つ目は、多くの会社が共同で使う「仕組みの提供元」が狙われる被害がさらに広がったことです。メール配信サービスのユミルリンク、Webサイト制作サービスのStudio、防災メールのアルカディア、システム開発の委託先を経由したNECの顧客など、1か所が破られると利用者側の会社や自治体、県警にまで影響が連鎖しています。

2つ目は、「情報が漏れた」と確定する前に、安全のためにサービスを止める会社が増えたことです。ソフトバンクの「My SoftBank」、ゲオ・セカンドストリート、Joshin、リクルートの「カーセンサー」などが、調査のためにWebサイトやアプリを一時停止しました。

3つ目は、攻撃にAIが使われている、という指摘が具体的な調査結果として出てきたことです。GMOサイバーセキュリティ byイエラエは10月19日、日本企業を狙った不正アクセスの攻撃元で、AIを使った侵入テストツール「ARTEX」が使われていたことを確認したと発表し、翌20日には政府も「実態解明に努める」と述べました。

新たに公表された主な情報漏えい

次の表は、前回の記事以降に公表された、件数の大きいものや影響が広いものです。

被害組織	日付（JST）	起きたこと	現状（公表時点）	出典
トラストバンク（ふるさとチョイス）	不正アクセスは10月17日。19日に異常を把握し15時50分にサービス停止、20日に流出を公表	会員情報4,454,097件が外部に流出（氏名、メールアドレス、住所、電話番号、ハッシュ化されたパスワード、寄附控除試算額）	サービス再開は未定。20日に個人情報保護委員会へ報告済み、21日に警察へ被害申告予定。同じパスワードを他で使っている人に変更を要請	トラストバンク発表
ユミルリンク（メール配信「Cuenote FC」）	10月16日未明に確認、19日公表	プログラムの弱点を突かれ、サポート担当者の認証情報を取得されたうえ、不正プログラムでデータを出力された。専用ASPプランの5システムからメールアドレスを含む情報延べ約900万件が出力されたと試算	サーバーを切り離し修正済み、捜査機関へ届け出。出力データの詳細や影響を受けた利用企業は調査中（企業名は未公表）	ユミルリンク発表
阪急阪神百貨店・エイチ・ツー・オーリテイリング（H2O ID）	10月16日に不正アクセスを確認、19日公表	「阪急百貨店・阪神百貨店予約サイト」経由で顧客管理システムに不正アクセスがあり、ほぼ全ての「H2O ID」会員約126万件の氏名、性別、住所、電話番号、メールアドレス、生年月日などが漏えい。17日には通販の「HANKYU HANSHIN E-STORES」「Remo Order」でも不正アクセスを確認	3サイトのシステムを停止。通販側が持つカード番号下4桁などの漏えいの可能性は調査中。カード番号全桁とパスワードの漏えい、不正利用・二次被害は発表時点で未確認。個人情報保護委員会へ報告し、警察に被害申告	H2O・阪急阪神百貨店発表
ニフティ（回線申込・受付管理システム）	10月19日10時20分ごろ確認、同日公表	2019年以降に光回線を申し込んだ顧客（同社Web申込分を除く）最大542,513件の会員ID、氏名、住所、メールアドレスなどが漏えいの可能性	通信元を遮断し、漏えい情報を調査中。口座・クレジットカード情報はこのシステムで保有していない	ニフティ発表
NEC（顧客システム）	委託先への攻撃は9月下旬、20日公表	システム開発・保守の委託先が攻撃され、盗まれた正規アカウントで顧客の環境に侵入。サーバー内のファイルが暗号化されシステムが使えなくなったほか、関係者で共有していたクラウドストレージのファイル（個人情報やシステム情報を含む）が漏えい	影響のあった複数の顧客に個別連絡。漏えいした個人情報の詳細は判明次第報告。委託先にNEC管理の端末を貸与するなどの対策	NEC発表
Studio（Webサイト制作サービス）と利用企業・自治体	Studioは10月16日公表、千葉県は20日公表	機能の脆弱性を突いたクラウド環境への不正アクセス（9月30日〜10月1日）で、全登録利用者のアカウント情報、サイトのフォームに送信された内容、登録された外部サービスのAPIキーなどが流出した可能性。千葉県は、委託事業4事業で登録事業者や問い合わせ者の情報が漏えいした可能性があると発表	Studioは「実際に取得された事実は確認できていないが、取得されたものとみなして対応」とし、パスワード変更やAPIキーの切り替えを依頼。フォーム利用者向けに個人情報保護委員会への報告についての案内も出している	Studio発表、千葉県発表
アルカディア（防災・安否確認メール）利用の県警	20日に各県警が明らかに（報道）	安否確認や非常招集用に同社のメール配信システムを使っていた神奈川県警（最大約1万6000人）、埼玉県警（全職員約1万3000人）、栃木県警（全職員約3900人）、群馬県警（ほぼ全職員約3700人）、福岡県警（約1万1000人）で、氏名、所属、メールアドレスなどが漏えいした可能性	情報の悪用は報道時点で未確認。アルカディア本体の被害は10月13日に公表済み	日テレNEWS、テレ朝news（福岡県警）
ジェトロ（日本貿易振興機構）	10月14日から不正アクセス、17日からサイト停止、19日に漏えい確認を公表	企業名や企業担当者のメールアドレスなど743件の個人情報が漏えい	サイトの一時停止を継続し、原因を調査中。対象企業へ通知済み	日本経済新聞
東邦ホールディングス子会社エンタッチ	10月13日16時ごろ発覚、19日公表	ランサムウェア攻撃を行う第三者の不正アクセスで、製薬企業の情報提供をリモートで行う事業のデータベースから、医療従事者の氏名・所属医療機関、利用者の氏名・メールアドレス、予約時の連絡先などが流出	件数は調査中。データの改ざん・消去や事業継続への支障はないとし、全パスワードを強制変更、警視庁に相談、個人情報保護委員会へ報告	東邦HD発表
ジャパンタイムズ・News2u（第2報）	9月18日にランサムウェア被害、10月15日に公開を確認、19日公表	攻撃者が盗んだと主張するデータが外部サイトで公開されたことを確認。2022年8月まで使っていた管理用ファイルサーバーで、2001年〜2022年8月の人事関連・取引先情報が含まれる可能性	電子版や購読者データベース、決済システムは別の基盤で運用していると説明。公開データの照合を続け、該当者には個別に連絡するとしている	The Japan Times

このほか、ITmediaの集計では、10月6日〜19日の約2週間に情報漏えい（そのおそれを含む）を公表した主な事案は33件、対象件数は単純合計で延べ約1億3000万件に達したとされています（各社が公表した最大値の合計で、重複を含みます。出典：ITmedia エンタープライズ）。今回の表は、主にその後に公表されたものを載せています。

「止めて調べる」サービス停止と不正ログイン

情報漏えいが確定していなくても、異常に気づいた段階でサービスを止める判断が目立ちました。利用者から見ると「急に使えなくなる」ため、取引や業務への影響が出ています。

対象	日付（JST）	起きたこと	現状（公表時点）	出典
ソフトバンク（My SoftBank、My Y!mobile、My Menu）	10月17日に発生、同日8時からWeb版を停止、19日公表	一部の関連システムへの不正アクセスの「試み」を監視システムが自動検知	アプリ版は利用可能。Web版の再開時期は未定	ソフトバンク発表
セカンドリテイリング（ゲオ、セカンドストリートなど）	不正アクセスは10月15日、17日からアプリ・Web停止、19日に第2報	社内システムへの第三者の不正アクセス	第2報で個人情報・機密情報の外部漏えいは確認されずと発表。ただしアプリ・Webサービスの停止は継続し、再開時期は未定	セカンドリテイリング発表
Joshin	10月16日に認識、17日にお知らせ	ネットワークへの不正アクセスの影響で一部サービスを提供できない状態	情報流出の有無を確認中。漏えいの可能性を否定できないとして個人情報保護委員会へ第一報	Joshin発表
リクルート（カーセンサーnet ほか）	10月17日に検知、同日17時ごろから停止	関連システムへの外部からの不審なアクセス	原因と影響範囲を調査中、再開時期は未定	リクルート発表
スクウェア・エニックス（アカウント）	10月19日公表	他社サービスで流出したとみられるメールアドレス／IDとパスワードの組み合わせで不正ログイン	被害が疑われるアカウントをログイン制限。ワンタイムパスワードの利用を推奨し、不正が続けば全アカウントのパスワードリセットもあり得るとした	FFXIV公式サイト、4Gamer.net

スクウェア・エニックスの件は、自社から情報が漏れたのではなく、「よそで漏れたIDとパスワード」を使って入られる典型例です。相次ぐ大量流出の後には、こうした「使い回し狙い」のログインが増えることを前提に考える必要があります。

前回取り上げた事案の続報（更新）

対象	日付（JST）	新たにわかったこと	現状	出典
【更新】岩井コスモ証券（委託先トレードワークス）	10月20日第2報	再調査で新たに364名の漏えいが判明し、対象は計4,975名に。さらに、不正アクセスがあった10月14日に売買管理システムへの攻撃もあり、7口座で本人の意図しない売買注文が出され、うち5口座で約定していたことを公表	対象口座は取引前の状態に戻す措置を取り、顧客の負担はないと説明。この不正注文は第2報で初めて公表された	岩井コスモ証券第2報
【更新】IDCフロンティア（IDCFクラウド）	10月18日第6報	停止していたバックアップサービス「IDCFクラウドバックアップ」の提供を再開。他社クラウドや社内サーバーなどへのデータの復元も可能に	スナップショット機能は停止を継続。なお10月14日の第5報では、影響ゾーンの仮想サーバー内データの外部流出はなかったと判断し、194の顧客でバックアップの取り出しが可能になったと公表していた（ITmediaのまとめによる）	IDCフロンティア第6報
【更新・前回の補足】JR東日本（えきねっと等）	10月15日発表	IDCF経由で漏えいの可能性があるとしていた会員情報について、メール配信の委託先から「漏えいはなかった」と判断したとの報告を受けたと発表	前回の記事では「調査中」と記載していました。補足します	日本経済新聞
【更新】メドレー（アットリンク）	10月19日発表	従来システムは再稼働させず、新たに構築した「@link クラウド β版」で、10月22日7時以降に予約・患者情報管理・診察カレンダーの機能から再開すると発表	患者向けアプリやWeb予約などは停止継続。患者の個人情報への影響は調査中	ITmedia NEWS
【更新】アドベンチャー（skyticket）	10月16日第2報（報道は17日）	「クレジットカード情報は流出していない」とした初報を訂正。2017年2月〜2018年6月に有料会員の会費支払いでカードを登録・利用した最大6,140人分のカード番号・名義・有効期限が流出	セキュリティコードは含まれないとしている	アドベンチャー第2報
【更新】ソースネクスト	10月19日報道	パスワードが読める状態で流出した理由について、同社は「暗号化していたが、鍵にアクセスできるシステムに侵入された」と説明	全会員のパスワード再設定を案内済み	ITmedia NEWS

前回取り上げた京王電鉄は、10月16日の第2報以降、本記事作成時点で新たな公式発表は確認できませんでした。

AIを使った攻撃が「疑い」から「確認」の段階へ

GMOサイバーセキュリティ byイエラエは10月19日、日本企業を狙った一連の不正アクセスの攻撃元を調べたところ、中国で開発されたAIの自律型侵入テストツール「ARTEX」が使われていたことを確認したと発表しました。ARTEXは本来、外部のAIと連携してシステムの弱点を自動で探し、防御に役立てるための道具です。いわば「24時間休まず鍵穴を試し続けるデジタル空き巣」を、攻撃者が手に入れた形です。

報道によると、同社が調べた攻撃元の1つは日本企業約20社を標的にしており、うち9社は同じ業種でした。さらに、日本企業を狙うAI利用の攻撃基盤をほかに6つ見つけ、それぞれ業種ごとに標的が分かれていたといいます。標的として確認した企業のうち8社は9〜10月に情報漏えいを公表しており、同社は同じ攻撃グループが複数の被害に関わっているとみて、情報を法執行機関に共有しました（ITmedia NEWS、Impress Watch）。どの企業の被害にAIが使われたのか、具体的にどのAIモデルが使われたのかは、日本の事案については明らかにされていません。

同じARTEXは、韓国の金融機関を狙った9月下旬〜10月上旬の攻撃でも使われていたと、米CrowdStrikeが10月上旬に報告しています。政府側では、木原官房長官が20日の会見で「外国主体の関与の可能性も含めて、あらゆる可能性を考慮しながら、攻撃主体や攻撃元の実態解明に努めていく」と述べ、被害企業からの直接のヒアリングも行っていると明らかにしました。一方で事案の詳細は「現時点で確たることを申し上げる段階にはない」としています（日本経済新聞）。なお、JPCERT/CCも10月15日のブログで、一連の不正アクセスに関連する攻撃元サーバーを調べた結果、攻撃者がAIを使って既知の脆弱性のスキャンやAPI経由の攻撃をしていたことを確認したと報告しています（JPCERT/CC Eyes）。

海外では、AIのプログラミング支援ツール「OpenCode」の運営元が10月17日（米国時間）、古いシステムへの侵入で、Web版サービス「OpenCode Console」の利用者の1.4%に影響があったと公表しました。TechCrunchによると、一部の利用者はそこにAIサービスを使うための「APIキー」（いわば合鍵）を保存しており、これが悪用されて数百ドル、中には1,000ドルを超える不正請求を訴える利用者もいたといいます。AnthropicとGoogleは流出したとみられるキーを無効化し、OpenAIは返金に応じたとされています。OpenCodeは影響を受けた利用者に各社でキーを無効化・再発行するよう求め、本件は継続中としています。同社は「大規模な蒸留攻撃（AIの出力を大量に集める行為）」に関連すると説明していますが、その目的は証明されていないとする見方もあります（TechCrunch）。

AIツールの合鍵を外部サービスに預けたままにしておくと、それ自体が狙われる、という点は、AIを業務に取り入れ始めた中小企業にも直接関係する教訓です。

海外の主な事例：バックアップサービス経由の侵入

米IT管理ソフト大手ConnectWiseは、Microsoft 365やGoogle Workspaceのデータを守るクラウドバックアップサービスへの不正アクセスを10月17日（米国時間）に確認し、週末にかけて関連サービスを停止しました。The Recordによると、セキュリティ企業Huntressは、このサービス用の認証情報が盗まれ、顧客のMicrosoft 365環境への侵入に使われたと分析しています。Microsoftも、顧客がこのアプリに与えていた強い権限が悪用された可能性が高いとしています。Huntressは10月15日ごろから攻撃が広がり、計162の顧客環境で不正なサインインを確認したとしています。ConnectWiseはバックアップデータが侵害された兆候はないと説明していますが、サービス再開の時期は示していません（The Record）。日本の利用企業への影響は、本記事作成時点で報じられていません。

バックアップのような「守るための道具」は、メールやファイルを丸ごと読める強い権限を持っています。その鍵が盗まれると、攻撃者にとっては「マスターキー」になる、という点は覚えておきたいところです。

いま何が起きているのか

この数日の発表を並べると、攻撃者は「大企業そのもの」よりも、多くの企業が共同で使う配信・制作・予約・保守の仕組みや、委託先が持つ正規のアカウントを入口にしています。ユミルリンクでは担当者の認証情報、NECの件では委託先の正規アカウント、Studioでは外部サービスのAPIキーと、「本物の鍵」が使われている点が共通しています。

そして、その入口探しをAIで自動化している可能性が、民間の調査で具体的に示されました。人間なら数週間かかる弱点探しを短時間で、しかも業種を絞って次々に試せるとすれば、「うちは小さいから狙われない」という考えはますます通用しません。攻撃は「会社名」ではなく「開いている扉」を探しているからです。

一方で、被害側の対応にも変化が見えます。異常の段階でサービスを止める、従来システムを捨てて作り直す（メドレー）、委託先に自社管理の端末を貸す（NEC）など、「入られた後」を前提にした判断です。中小企業にとっても、防ぐ対策と同じくらい「止まったときにどう回すか」が問われています。

中小企業がいま備えるべきこと

バックアップや多要素認証、送金の折り返し確認といった基本は前回のまとめで整理しました。ここでは、今回の事例から特に急いで確認したいことに絞ります。

「うちが使っている共通サービス」を書き出す。メール配信、ホームページ制作ツール、予約システム、問い合わせフォーム、安否確認メール、システム保守の委託先などを一覧にします。今回名前が出たサービス（Cuenote、Studio、アルカディアの配信サービスなど）を自社や制作会社が使っていないか確認してください。たとえばStudioで作ったホームページの問い合わせフォームにお客さまの情報が届いていた場合、その情報を預かっているのは自社です。提供元の案内を読み、個人情報保護委員会への報告や本人への連絡が必要かを確認しましょう。

外部サービスに預けている「合鍵」を交換する。ホームページツールと他のサービスをつなぐAPIキー、AIツール用のキー、Microsoft 365やGoogleにつないでいる外部アプリの許可などは、家の合鍵を何本も配っている状態に近いものです。使っていない連携は解除し、使っているものは発行し直します。AIのキーには、使いすぎを防ぐ利用上限を設定しておくと、万一悪用されたときの請求額を抑えられます。

委託先に渡しているアカウントを点検する。保守業者や制作会社に渡しているIDは、その会社だけが使う専用のものか、多要素認証がかかっているか、契約が終わった業者のIDが残っていないかを確認します。NECのように「委託先の端末」がやられると正規の鍵で入られてしまうため、強い権限は必要なときだけ渡す運用が理想です。

公開している入口を減らし、更新を止めない。AIによる自動探索は、古いプラグインや使っていない管理画面、放置したフォームを機械的に探します。JPCERT/CCやIPAも、不要な管理機能の公開停止や、未適用の修正プログラムの適用、ログの確認を呼びかけています。日本国内の顧客しか使わないサービスなら、海外からのアクセスを制限するのも一つの方法です。

パスワードの使い回しをやめ、ワンタイムパスワードを使う。漏えいが続くと、よそで漏れたパスワードでの不正ログインが増えます。社員にも、仕事用のアカウントで私用と同じパスワードを使っていないか確認してもらいましょう。

「漏えい後の詐欺」を社員とお客さまに伝える。今回の発表のほとんどが、会社をかたった不審なメールやSMS、電話への注意を呼びかけています。ふるさとチョイスでは寄附控除の試算額まで流出しており、住所や電話番号と組み合わせた、本物らしい連絡が来るおそれがあります。「メールやSMSのリンクは開かず、公式サイトやアプリから確認する」と社内で徹底しておきます。

サービスが止まったときの代わりの手段を決めておく。今回、予約や通販、会員サイトが数日単位で止まりました。自社が使う予約・受注システムが止まったら、電話・FAX・紙の台帳で何日回せるか、誰に連絡するかを決めておくと、慌てずに済みます。

困ったら公的窓口に早めに相談する。IPAは10月16日に「不正アクセス対策特設サイト」を開設し、被害を受けている、またはその可能性がある企業・組織向けに、初動対応の相談窓口（電話 03-6759-5760、平日9時30分〜17時30分、12時〜13時を除く）を設けています。中小企業向けの対策ガイドラインや自社診断ツールもまとめられています。

まとめ

前回のまとめからわずか4日ほどの間にも、ふるさと納税サイト、メール配信基盤、百貨店、通信会社、大手IT企業の顧客と、業種を問わず被害の公表が続きました。共通しているのは、多くの企業が頼る共通サービスや委託先の「本物の鍵」が入口になっていること、そしてその入口探しにAIが使われている可能性が具体的に示されたことです。

中小企業にできることは、特別な製品を買うことよりも、まず「どのサービスに、誰に、どんな鍵を渡しているか」を把握し、不要なものを閉じて交換することです。今週中に社内で一覧を作り、止まったときの代わりの手段まで話し合っておくことをおすすめします。