ローレルバンクマシン「Jijilla」への不正アクセス（最大22.3万帳票、利用企業・団体10社が発表）
公表日
AI-OCRサービス「Jijilla」を提供するローレルバンクマシンに2025年9月25日、身代金要求を伴う不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大22万3,000帳票分の情報が漏えいした可能性があります。このサービスを使っていた金融機関や大学など10社・団体も発表しています。
対象者は？
Jijillaを使って、アンケートや成績台帳の電子化などを委託していた企業・団体の関係者が対象になりえます。内訳は、無記名アンケートの回答データ（最大22万3,000帳票）、利用顧客の社員の氏名・メールアドレス18件、トライアル利用などで登録された氏名・メールアドレス361件です。特定個人情報、機微情報、クレジットカード情報などは含まれていないとしています。広島銀行では顧客2名の氏名の漏えいが判明しています。
同社は対象となる顧客に順次、個別に連絡しています。連絡先が分からない場合は、公表をもって通知に代えるとしています。委託先が関わる場合は、お取引先の企業・団体の発表もご確認ください。
いますぐできること
- 心当たりのないメールに注意し、不審なリンクや添付ファイルを開かないようにする。
- メールアドレスをIDにしているサービスのパスワードを変更する。
- 二要素認証（MFA）の設定を検討する。
何が起きたのか
2025年9月25日、Jijillaを使っている顧客から「サービスが使えない」との連絡があり、事案が発覚しました。調べたところ、サーバー内のファイルが消えており、身代金要求を伴う不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があったことが分かりました。同社はサーバーと関連システムをすぐに止め、ネットワークを遮断しました。外部専門家の調査では、10月15日に、第三者が辞書攻撃などを繰り返してデータベースに入った可能性が高いと判明しました。その後、広島銀行（10月29日）、慶應義塾大学通信教育部（11月4日）、パーソル総合研究所（11月14日）、伊予銀行（11月25日）などが次々に発表しました。同社は2026年1月9日に最終的な調査結果を公表しました。
なぜ起きたのか・なぜ広がったのか
調査では、第三者が辞書攻撃などを繰り返してデータベースに不正に入った可能性が高いとされています。ただし、どのアカウントが対象だったかなど、具体的な経路は公表されていません。影響が広がったのは、Jijillaが複数の企業・団体の委託先や再委託先の業務で使われており、同じサーバーにそれらのデータが置かれていたためです。広島銀行や伊予銀行の案件では、野村総合研究所から日本アスペクトコアへと再委託され、同社がJijillaでアンケートを電子データ化していました。
いまの状況2026-01-09 時点
同社は2026年1月9日に最終的な調査結果を公表しました。マルウェア感染パソコンやスマートフォン、サーバーに入り込んで悪さをするソフトウェアの総称です。「ウイルス」もマルウェアの一種です。情報を盗む、データを壊す、他のパソコンへの攻撃の踏み台にする、などの目的で使われます。や実害は、現時点で確認されていないとしています。データは削除されたうえで盗まれた可能性があります。流出が確認された件数は、まだ発表されていません。金銭面の影響や再発防止策の詳細も、渡された資料からは分かりません。
企業として考えたいこと
自社が委託・再委託している業務で、委託先がどんなクラウドサービスにどんなデータを、いつまで置いているか、把握できていますか。
技術的な要約
ローレルバンクマシン株式会社が提供するAI-OCRサービス「Jijilla」のサーバーに対し、2025年9月25日に身代金要求を伴う不正アクセスが発生した。利用顧客から「サービスが利用できない」と連絡があり発覚し、社内調査でサーバー内のファイル消失が確認された。フォレンジック調査では、第三者が辞書攻撃などを繰り返してデータベースに不正侵入した可能性が高いことが2025年10月15日に判明した。最大で22万3,000帳票分の情報が漏えいした可能性があり、利用顧客の社員の氏名・メールアドレス18件、トライアル利用者等の氏名・メールアドレス361件も含まれる。同社は2026年1月9日に最終的な調査結果を公表し、ランサムウェア等のマルウェア感染や実害は確認されていないとしている。Jijillaを利用していた金融機関・大学・調査会社など10社・団体が、委託先経由の影響として個別にインシデントを発表した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API報道・研究者外部専門家によるフォレンジック調査の結果、「第三者が辞書攻撃などを繰り返し実施することで、「Jijilla」サーバーのデータベースに不正侵入した可能性が高い」ことが2025年10月15日に判明した。侵入口となった具体的な経路や対象アカウントの種別は、渡された出典からは読み取れない。分類は辞書攻撃（総当たり系）に基づく。
- 脆弱性
- CVE 非公表不明Jijillaサーバー（データベース）CVEや特定の製品脆弱性は公表されていない。調査結果は辞書攻撃などによる不正侵入の可能性が高いというもの。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 利用顧客から「サービスが利用できない」と連絡があり、サーバー内のファイル消失が確認された。同社は当該サーバーおよび関連システムを即時停止し、ネットワークを遮断した。
- データ
- おそれ上限 223,000確定 —件氏名メールその他単位は帳票。OCR処理されたアンケート回答データ最大22万3,000帳票（回答項目数約55万箇所相当）。無記名アンケートで直接的な個人情報の記載欄はなかったと説明されている。このほか氏名・メールアドレスとして、利用顧客の社員18件、トライアル利用などで登録された361件（合算379件）。特定個人情報、機微情報、クレジットカード情報などは含まれないとしている。委託先経由の個別分として、広島銀行の顧客2名の氏名、パーソル総合研究所の満足度アンケート電子化データ51件がある。攻撃者はデータを削除したうえで窃取した可能性があるが、現時点で実害は確認されていない。
- 波及先
- 10 社・団体
- みずほ証券
- 丸三証券
- 第一フロンティア生命保険
- 野村證券
- NRIフィナンシャル・グラフィックス
- 東洋証券
- 広島銀行
- 慶應義塾大・通信教育部
- パーソル総合研究所
- 伊予銀行
- 金銭影響
- —
- サプライチェーン
- 発注元（パーソル総合研究所、広島銀行、伊予銀行、慶應義塾大学通信教育部など）、受託・再委託先（野村総合研究所、日本アスペクトコア）、日本アスペクトコアが業務で利用した外部製品Jijillaという多層構造で発生した。日本アスペクトコアは郵送回収したアンケート回答をLBM提供のクラウドサービスで電子データ化していた。
時系列
- 2025-09-25
- 2025-09-25Jijilla利用顧客から「サービスが利用できない」との連絡があり事案が発覚。社内調査でサーバー内のファイル消失を確認し、同社は当該サーバーと関連システムの即時停止、ネットワーク遮断などを実施した。1
- 2025-10-10パーソル総合研究所が委託先（日本アスペクトコア）側の事案について報告を受け、調査を開始した。2
- 2025-10-15フォレンジック調査で、第三者が辞書攻撃などを繰り返しJijillaサーバーのデータベースに不正侵入した可能性が高いことが判明した。1
- 2025-10-15パーソル総合研究所が、個人情報を含むデータ流出の可能性を示す痕跡を確認した。2
- 2025-10-27野村総合研究所から広島銀行へ、顧客2名の氏名の漏えいが判明した旨の報告があった。3
- 2025-10-29広島銀行が外部委託先での情報漏えいについて発表した。3
- 2025-11-04慶應義塾大学通信教育部が、業務委託先が過去に使用したクラウドシステムへの不正アクセスについて発表した。4
- 2025-11-14パーソル総合研究所が、委託先の日本アスペクトコアでの不正アクセスに起因するデータ流出（満足度アンケート電子化データ51件）を公表した。2
- 2025-11-25伊予銀行が、業務委託先企業が利用していたクラウドサービスへの不正アクセスについて発表した。5
- 2026-01-09ローレルバンクマシンが、フォレンジック調査を含む最終的な調査結果を公表した（最大22万3,000帳票分の漏えいの可能性）。1
技術解説
発覚から原因判明までの経緯 事実
2025年9月25日、Jijillaを利用する顧客から「サービスが利用できない」との連絡があり、事案が発覚した。社内調査でサーバー内のファイル消失が確認され、同社は当該サーバーと関連システムの即時停止、ネットワーク遮断、利用顧客への状況説明、所轄警察と個人情報保護委員会への報告、外部専門業者によるフォレンジック調査を実施した。調査の結果、第三者が辞書攻撃などを繰り返してJijillaサーバーのデータベースに不正侵入した可能性が高いことが10月15日に判明した。侵入後、攻撃者はデータを削除したうえで窃取した可能性があるとされる。一方でランサムウェアなどのマルウェア感染は確認されておらず、現時点で実害も確認されていない。同社は2026年1月9日に最終的な調査結果を公表した。
漏えいの可能性がある情報の内訳 事実
漏えいした可能性がある情報は最大22万3,000帳票分で、OCR処理されたアンケート回答データ（回答項目数約55万箇所相当）である。無記名アンケートで、直接的な個人情報の記載欄はなかったと説明されている。このほか氏名・メールアドレスとして、利用顧客の社員18件と、トライアル利用などで登録された361件が対象に含まれる。特定個人情報、機微情報、クレジットカード情報などは含まれていないとしている。委託先経由の個別分としては、広島銀行の顧客2名の氏名、パーソル総合研究所の満足度アンケート電子化データ51件が示されている。22万3,000帳票は「可能性がある」上限の数字で、流出が確定した全体件数は出典から読み取れない。
利用企業・団体への波及と委託の構造 事実
同じ事案について、みずほ証券、丸三証券、第一フロンティア生命保険、野村證券、NRIフィナンシャル・グラフィックス、東洋証券、広島銀行、慶應義塾大・通信教育部、パーソル総合研究所、伊予銀行の10社・団体がインシデントを発表している。広島銀行は2025年10月29日、慶應義塾大学通信教育部は11月4日、パーソル総合研究所は11月14日、伊予銀行は11月25日に発表した。広島銀行と伊予銀行の案件では、アンケート調査を野村総合研究所に委託し、同社が日本アスペクトコアに再委託していた。日本アスペクトコアは郵送で回収した回答をLBM提供のクラウドサービスで電子データ化していた。パーソル総合研究所の案件は、発注元、受託した日本アスペクトコア、外部製品Jijillaの三層構造で発生したと説明されている。
多層委託と過去データという観点（解釈） 解釈
ここからは出典の記述に基づく解釈である。多くの発表では、利用企業・団体は自らJijillaを使ったのではなく、委託・再委託先がJijillaを使っていた。そのため発注元からは、自社の依頼データがどのクラウドツールで処理されたかが見えにくかった可能性がある。広島銀行の対象は2020・2021年度の調査、伊予銀行は2021年9月と2023年2月の調査で、完了済みの過去業務のデータがツール側に残っていた点も特徴である。業務完了後のデータの保管期間や削除の扱いが論点になりうる。侵入の原因は辞書攻撃などと説明されているため、認証の強度や試行回数の制限が論点になるが、対象アカウントの種別や経路は公表されておらず、断定はできない。
対応
- 封じ込め
- 当該サーバーおよび関連システムの即時停止、ネットワーク遮断、利用顧客への状況説明、外部専門業者によるフォレンジック調査を実施した。
- 公表の仕方
- 2026年1月9日に最終的な調査結果を公表した。対象顧客へ順次個別連絡を行い、連絡先不明の場合は公表をもって通知に代えるとした。フィッシングメールへの警戒、不審なリンクや添付ファイルを開かないこと、メールアドレスをIDとするサービスのパスワード変更、二要素認証（MFA）設定の検討を注意喚起している。
- 当局対応
- 所轄警察への報告
- 個人情報保護委員会への報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 辞書攻撃などの繰り返し試行は、認証側で止める仕組みが要る | データベースや管理系の認証に、試行回数制限、一時ロックアウト、失敗ログの閾値アラートを実装する。DBは公開せず送信元IPを制限し、管理系ログインにはMFAを必須にする。 |
| 委託・再委託先が使うクラウドツールは発注元から見えにくい | 委託契約に、利用するクラウド/SaaSと再委託先の事前届出義務を入れる。委託先・再委託先・利用ツールの台帳を作り、年次で棚卸しする。 |
| 完了済み業務のデータが外部ツールに残り続けるリスクがある | 委託終了時にデータ削除を義務づけ、削除完了報告を受領する。SaaS側の保持期間を設定し、期限超過データを自動削除する。 |
| サーバー内のファイル消失は、サービス停止と復旧能力に直結する | 本番と分離したオフラインまたは不変（Immutable）のバックアップを取得する。定期的にリストア訓練を行い、復旧手順とRTOを文書化する。 |
| 多数の顧客に影響する事業者は、利用顧客への状況説明を迅速に行う必要がある | 利用顧客ごとの影響データ一覧を即時に出せるよう、データとテナントの対応表とアクセスログを保全・保管する。顧客向けの連絡テンプレートと連絡網を事前に整備する。 |
自組織などでの確認項目
- 自組織が委託・再委託している業務で、委託先がどのクラウドサービスを使っているかを把握できていますか。台帳や契約上の届出義務はありますか。
- 自組織のデータベースや管理画面に、ログイン試行回数の制限とMFAは設定されていますか。失敗ログの急増を検知して通知する仕組みはありますか。
- 完了した過去の業務のデータが、委託先やクラウド上にどれだけ残っていますか。保管期間と削除の確認手順は決まっていますか。
未解明点
- 侵入に使われたアカウントの種別と具体的な経路、辞書攻撃の対象は何だったのか。
- 実際の侵入開始時期は2025年9月25日より前なのか。
- データが窃取されたかどうかは確定したのか。流出が確認された件数はどれだけか。
- ローレルバンクマシン自身の最終報の全文と、再発防止策の具体的な内容。
- この事案による金銭的な影響や、利用企業・団体への補償はあったのか。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-01-13報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2025-11-17報道本文確認済
- 3ScanNetSecurity2025-11-13報道本文確認済
- 4ScanNetSecurity2025-11-26報道本文確認済
- 5ScanNetSecurity2025-12-08報道本文確認済
- 6慶應義塾 広報室2025-12-26公式本文確認済