良知経営サーバーへの不正アクセス（最大約45万件相当が対象となり得たが流出痕跡は確認されず）
公表日
神奈川県でスーパーを運営する良知経営のサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、最大約45万件相当のデータが対象となり得ましたが、調査の結果、流出した痕跡は確認されませんでした。
対象者は？
対象となり得たのは、仕入・販売・在庫データ、ポイント会員「トクトククラブ」の会員情報、「カリメラ」や食品・酒類配達先の顧客情報、カリメラ口座振替利用者の銀行情報47件、従業員（過去在籍含む）7,518名の情報などです。最大約45万件相当は初期段階の想定で、流出が確認された件数は0件です。クレジットカード情報は含まれていません。
対象のお客さまには、郵送・電話・メールで順次連絡するとされています。連絡がとれない方には、10月10日の公表をもって連絡に代えるとしています。詳しくは下のリンクの報道をご確認ください。
いますぐできること
- 同社から郵送・電話・メールの連絡が届いたら、内容を確認する。
- 同社を名乗る不審な連絡には、記載の電話番号やリンクを使わず、公式の連絡先で確かめる。
- 本件は株式会社神戸物産や他社運営の「業務スーパー」とは無関係と記載されているため、混同しない。
何が起きたのか
2025年8月18日、良知経営は自社のサーバーに第三者が不正に入ったことを見つけました。すぐにそのサーバーのつながりを切り、個人情報保護委員会と神奈川県警に知らせ、外部の専門機関に調査を頼みました。9月2日に最初のお知らせを出し、情報が外に出た可能性があると説明しました。9月30日に詳しい調査が終わり、情報が流出した痕跡は確認されなかったと判断しました。10月10日に最終のお知らせを出しました。
なぜ起きたのか・なぜ広がったのか
どこから入られたのか、攻撃した相手は誰かは、まだ発表されていません。最初のお知らせでは、対象となり得るデータの範囲を最大約45万件相当と広めに示していました。
いまの状況2025-10-10 時点
2025年10月10日の最終報で、流出した痕跡は確認されなかったと公表されました。同社はお詫びを表明し、再発防止に向けた体制強化を進めるとしています。侵入の経路や、業務への影響については、まだ発表されていません。
企業として考えたいこと
もし自社のサーバーに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかったら、遮断の判断、当局への報告、調査の依頼、お客さまへの連絡を、誰がどの順番で行うか決まっていますか。
技術的な要約
神奈川県でスーパー「パスポート」や業務スーパーのフランチャイズを運営する株式会社良知経営は、2025年8月18日にサーバーへの第三者による不正アクセスを検知し、直ちに当該サーバーの接続・通信を遮断した。個人情報保護委員会と神奈川県警へ報告し、外部専門機関の調査を開始した。9月2日の初報では、企業情報・個人情報の流出可能性があり、対象となり得るデータは最大約45万件相当（基幹データ、トクトククラブ会員情報、カリメラ口座振替利用者の銀行情報47件、従業員7,518名分など）と公表した。9月30日に外部機関の詳細調査が完了し、情報流出の痕跡は確認されず被害の発生は認められないと判断し、10月10日に最終報を公表した。初期侵入経路や攻撃者は公表されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明「サーバーへの第三者による不正アクセス」とのみ公表されており、侵入経路は公表されていない。
- 脆弱性
- CVE 非公表不明脆弱性・製品名は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- なし 当該サーバーの接続・通信を遮断したと公表されているが、業務停止の有無・影響は公表されていない。
- データ
- なし上限 450,000確定 0件業務データ氏名住所性別電話生年月日メール口座従業員情報取引先情報9月2日時点の想定は最大約45万件相当。内訳は、2006年5月～2023年4月末の仕入・販売・在庫データ、トクトククラブ会員情報（34店舗：既存16店＋閉店18店）、カリメラ配達先顧客情報、食品・酒類配達先顧客情報、カリメラ口座振替利用者の銀行情報47件（銀行名・支店名・口座番号）、従業員（過去在籍含む）7,518名の氏名・社員番号・勤怠データなど。クレジットカード情報は含まれない。最終報では流出痕跡は確認されなかった。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 他組織への波及は公表されていない。本件は株式会社神戸物産および他社運営の「業務スーパー」とは無関係と記載されている。
時系列
- 2025-08-18
- 2025-09-02
- 2025-09-03セキュリティ対策Labが、最大45万件の個人情報や取引先情報が流出した可能性があると報道。2
- 2025-09-12ScanNetSecurityが、企業情報及び個人情報が流出した可能性があると報道。3
- 2025-09-30外部機関の詳細調査が完了。情報流出の痕跡は確認されず、被害の発生は認められないとの判断に至った。1
- 2025-10-10最終報を公表。フォレンジック調査で個人情報が流出した痕跡は確認されなかったとした。1
- 2025-10-10対象のお客さまへ郵送・電話・メールで順次連絡し、連絡がかなわない方には本公表をもって連絡に代えるとした。1
- 2025-10-15セキュリティ対策Labが最終報を「情報流出の痕跡なし」として報道。1
技術解説
検知から最終報までの経緯 事実
2025年8月18日、良知経営は同社サーバーへの第三者による不正アクセスを検知した。直ちに当該サーバーの接続・通信を遮断し、個人情報保護委員会と神奈川県警へ報告したうえで、外部のセキュリティ専門機関による調査を開始した。9月2日に同社ホームページで初報を公表し、初動調査の結果として企業情報・個人情報の流出可能性を確認したと説明した。この時点で確定した流出の有無と範囲は調査継続中とされた。9月30日に外部機関の詳細調査が完了し、情報流出の痕跡は確認されず被害の発生は認められないとの判断に至った。10月10日に最終報が公表され、フォレンジック調査でも個人情報が流出した痕跡は確認されなかったとされた。
対象となり得たデータの範囲と数字の読み方 事実
9月2日時点で対象となり得るとされたデータは、合計で最大約45万件相当である。内訳は、2006年5月～2023年4月末の仕入・販売・在庫データ、ポイント会員「トクトククラブ」情報（計34店舗のうち既存16店と閉店18店）、「カリメラ」や食品・酒類配達先の顧客情報、「カリメラ」口座振替利用者の銀行情報47件（銀行名・支店名・口座番号）、従業員（過去在籍含む）7,518名の氏名・社員番号・勤怠データなどである。当初想定にクレジットカード情報は含まれていない。最終報では、この最大約45万件相当は調査初期段階の想定とされ、結果として流出痕跡は確認されなかった。45万件は上限であり、流出が確認された件数ではない。
公表されている事項と連絡・対応の内容 事実
本分析が参照した情報には、侵入経路、攻撃者、悪用された脆弱性や製品名、侵入日、業務停止の有無についての記載がない。対応面では、10月10日の最終報で、対象となるお客さまへ郵送・電話・メールで順次連絡し、連絡がかなわない方には本公表をもって連絡に代えるとした。同社はお客さまや関係者に多大な心配と迷惑をかけたとして謝意とお詫びを表明し、再発防止に向けた体制強化を進めると説明した。また初報の報道では、本件は株式会社神戸物産および他社運営の「業務スーパー」とは無関係と記載されていたと伝えられている。
「流出痕跡なし」の意味合い 解釈
最終報の「痕跡は確認されなかった」は、調査で流出の証拠が見つからなかったという意味であり、流出が起きなかったと証明されたこととは性質が異なり得る。ログの保存範囲や調査対象の範囲によって、確認できる事実は変わるためである。一方で、検知から約6週間で詳細調査を終え、結論を公表した点は、関係者が状況を把握するうえで有益だったと考えられる。調査の根拠となるログの範囲などは本件の情報からは分からないため、結論の確度を断定的に評価することはできない。
段階的な公表と上限値の提示 解釈
初報で最大約45万件相当という上限を示し、後に流出痕跡なしと整理した流れは、確定していない段階で範囲を広めに見積もって知らせる手法の一例と読める。対象の可能性がある人にとっては、早い段階で警戒できる利点がある。他方で、上限値だけが先に広まると、実際の被害と受け取られやすい面もある。本件では最終報で当初想定との関係が示されており、上限と確定を区別して伝える姿勢がうかがえる。ただし、公式発表そのものは今回の出典一覧に含まれていないため、報道を通じた確認にとどまる。
対応
- 封じ込め
- 検知直後（2025-08-18）に当該サーバーの接続・通信を遮断し、外部のセキュリティ専門機関による調査を開始した。
- 公表の仕方
- 2025-09-02に自社ホームページで初報を公表し、2025-10-10に最終報を公表。対象のお客さまへ郵送・電話・メールで順次連絡し、連絡がかなわない方には公表をもって連絡に代えるとした。お詫びを表明し、再発防止に向けた体制強化を進めると説明した。
- 当局対応
- 個人情報保護委員会（報告）
- 神奈川県警（報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 長期間の業務データが同じサーバーに残っていた可能性が、対象範囲を大きく見積もる要因になり得る。 | 個人情報・取引データの保持期間を定め、期限を過ぎたデータは削除または分離保管する。閉店店舗の会員データも棚卸し対象に入れ、データ台帳で保管場所と最終利用日を管理する。 |
| 検知後すぐの遮断と当局報告が、初動の基本となる。 | サーバー隔離の手順（ネットワーク切断、アカウント停止、証拠保全）を手順書にし、年1回以上の机上訓練で担当者と連絡先を確認する。個人情報保護委員会への報告様式も事前に用意する。 |
| 流出の有無を後から判断するには、ログが十分に残っている必要がある。 | 認証・ファイル転送・外向き通信のログを一元収集し、改ざん困難な場所に最低12か月保管する。サーバーごとに取得項目を一覧化し、フォレンジックで必要になる項目の抜けを点検する。 |
| 件数は「上限」と「確定」を分けて伝えることが、利用者の理解を助ける。 | 公表文のテンプレートに「対象となり得る件数（上限）」「流出が確認された件数」「調査の進捗」の3欄を設け、続報のたびに更新する。 |
| 口座情報など機微性の高い情報は、基幹データと分けて管理する必要がある。 | 口座番号などは別システムまたは暗号化した専用領域に保管し、アクセスできるアカウントを最小限にする。アクセス記録を定期的にレビューする。 |
自組織などでの確認項目
- 自社のサーバーに、保持期間を過ぎた顧客データや閉店・終了した事業のデータが残っていないか。台帳で確認できるか。
- 不正アクセスを検知した際、サーバーを遮断する判断者と手順が決まっているか。当局への報告先と連絡先は最新か。
- ログから「流出の痕跡がない」と判断するために必要な記録を、自社はどの期間・範囲で保存しているか。
- 公表時に、件数の上限と確定を分けて書く文面を、自社はあらかじめ用意しているか。
未解明点
- 不正アクセスの初期侵入経路と侵入日はいつ・どのようなものだったのか。
- 攻撃者や、悪用された脆弱性・製品はあったのか。
- サーバーの遮断によって、店舗運営や配達などの業務にどの程度の影響があったのか。
- 再発防止に向けた体制強化の具体的な内容と実施時期はどうなっているのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-10-15報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-09-03報道本文確認済
- 3ScanNetSecurity2025-09-12報道本文確認済