アルケア株式会社の業務用携帯Apple Account乗っ取り（顧客約200件・従業員約400件の電話帳情報流出のおそれ）
公表日
アルケア株式会社の営業担当従業員の業務用携帯電話のApple Accountが乗っ取られ、電話帳にあった顧客約200件と従業員約400件の情報が流出したおそれがあります。
対象者は？
電話帳に登録されていた医療機関・代理店のお客さま(主に茨城県・栃木県)約200件と、アルケア株式会社および関係会社の従業員約400件が対象です。お客さまは医療機関名または会社名、氏名(基本的に姓のみ)、電話番号が対象です。従業員は氏名、業務用携帯電話番号、メールアドレスが対象です。お客さまのメールアドレスなどは流出しておらず、患者さんと一般の方の情報は含まれないと発表されています。
同社は、本件の従業員と接点があったと確認できた営業先などのお客さまへ、順次個別に連絡しています。詳しくは同社の公式のお知らせをご確認ください。
いますぐできること
- 知らない番号からの不審な電話には応答せず、必要に応じて着信拒否設定をする。
- アルケアや関係先をかたるメールに書かれたURLはクリックしない。
- 身に覚えのない請求や勧誘があったときは、同社の窓口に連絡する。
何が起きたのか
2025年12月1日、営業担当の従業員の業務用携帯電話に「セキュリティ強化」を求めるSMSが届きました。記載のURLを開くと偽のサイトにつながり、従業員はApple Accountのメールアドレスとパスワードを入力しました。翌12月2日、第三者によってアカウントの情報が書き換えられ、携帯電話1台が初期化されました。会社が復旧を試みましたが、セキュリティ情報が書き換えられていたため復旧できませんでした。電話帳に登録されていた情報が流出した可能性があるとして、12月25日に公表しました。
なぜ起きたのか・なぜ広がったのか
会社の説明では、SMSを使ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。(スミッシング)で偽サイトにIDとパスワードを入力し、Apple Accountが乗っ取られたことが原因とされています。電話帳にまとまった連絡先が登録されていたため、影響を受ける可能性のある件数が増えました。これ以上の詳しい理由は、まだ発表されていません。
いまの状況2026-01-19 時点続報待ち
2026年1月19日時点で、会社は個人情報保護委員会へ報告済みで、外部専門家の協力のもとで調査を進めています。セキュリティ体制の強化と教育の徹底を図るとしています。流出が確定した件数、補償、具体的な再発防止策については、まだ発表されていません。
企業として考えたいこと
自社の業務用スマートフォンのアカウントが乗っ取られたとき、その端末に保存された連絡先の件数と中身をすぐに把握し、会社が復旧に動ける状態になっていますか。
技術的な要約
アルケア株式会社は2025年12月25日、従業員に貸与している業務用携帯電話の電話帳に登録された顧客・従業員の氏名や電話番号などが、不正アクセスにより外部へ流出した可能性があると公表した。2025年12月1日に営業担当従業員の業務用携帯へ「セキュリティ強化を求めるSMS」が届き、記載URLの偽サイトでApple Accountのメールアドレスとパスワードを入力した。翌12月2日に攻撃者がアカウント情報を書き換え、業務用携帯1台の初期化を確認したが、セキュリティ情報が書き換えられていたため復旧できなかった。流出の可能性があるのは医療機関・代理店の顧客約200件と同社・関係会社の従業員約400件で、患者および一般の方の情報は含まれないとしている。個人情報保護委員会へ報告済みで、外部専門家の協力のもと調査と再発防止を進めるとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認公式発表によれば、営業担当従業員の業務用携帯電話にセキュリティ強化を求めるSMSが外部から届き、記載URLから偽サイトへ遷移してApple Account（メールアドレス）とパスワードを入力した。原因はSMSを用いたフィッシング（スミッシング）によるApple Accountの乗っ取りと説明されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務用携帯電話1台が初期化された。業務停止に関する記載は公表にない。
- データ
- おそれ上限 600確定 —件氏名電話メール取引先情報従業員情報医療機関・代理店の顧客約200件（医療機関名または会社名、氏名（基本的に姓のみ）、電話番号。メールアドレスなどは流出していない）と、同社・関係会社の従業員約400件（氏名、業務用携帯電話番号、メールアドレス）の合算（200+400=600）。患者および一般の方の情報は含まれない。流出確定件数は公表されていない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-12-01営業担当従業員の業務用携帯電話に「セキュリティ強化を求めるSMS」が外部から届いた。3
- 2025-12-01
- 2025-12-02
- 2025-12-02
- 2025-12-25
- 2025-12-25個人情報保護委員会へ報告したと公表した。3
- 2025-12-25対象者の特定を進め、本件従業員と接点があった営業先等のお客さまへ順次個別に連絡していると公表した。3
- 2025-12-25
- 2025-12-25外部専門家の協力のもと事実関係の調査を進め、セキュリティ体制の強化と教育の徹底を図るとした。3
- 2025-12-26セキュリティ対策Labが本件を報じた。1
- 2026-01-19ScanNetSecurityが本件を報じた。2
技術解説
攻撃の流れ(公表されている範囲) 事実
2025年12月1日、営業担当従業員の業務用携帯電話に「セキュリティ強化を求めるSMS」が外部から届いた。記載のURLを開くと偽サイトに遷移し、従業員はApple Account(メールアドレス)とパスワードを入力した。翌12月2日、攻撃者によってApple Accountの情報が書き換えられ、業務用携帯電話1台が初期化されていることを確認した。復旧を試みたが、セキュリティ情報が書き換えられていたため復旧できなかった。同社は原因を、SMSを用いたフィッシング(スミッシング)による認証情報の入力と、それに伴うApple Accountの乗っ取りと説明している。
流出のおそれがある情報と件数 事実
流出の可能性があるのは、電話帳に登録された二つの区分の情報である。一つは医療機関・代理店の顧客(主に茨城県と栃木県)約200件で、医療機関名または会社名、氏名(基本的に姓のみ)、電話番号。メールアドレスなどは流出していないとされる。もう一つは同社・関係会社の従業員約400件で、氏名、業務用携帯電話番号、メールアドレス。患者および一般の方の情報は含まれないと公表されている。いずれも「流出した可能性」であり、流出が確定した件数は公表されていない。合計600件は両区分を足した計算値である。
公表と対応の内容 事実
同社は2025年12月25日に「不正アクセスによる個人情報流出に関するお詫びとお知らせ」を公表した。個人情報保護委員会へ報告したほか、二次被害を防ぐため可能な限り対象者を特定し、本件従業員と接点があったことが確認できた営業先等のお客さまには順次個別に連絡している。流出した可能性のある電話番号には、同社や関係先をかたる不審な電話やメールが届くおそれがあるとして、応答しない、着信拒否設定をする、不審メールのURLをクリックしないといった対応を依頼している。外部専門家の協力のもとで調査を進め、セキュリティ体制の強化と教育の徹底を図るとしている。
被害の構造についての見方 解釈
公表内容から読み取れる範囲での解釈である。1人分のアカウント認証情報が漏れただけで、端末の電話帳にある約600件の連絡先が影響範囲に入った。連絡先が個々の端末に分散して保存されていたことが、影響の見えにくさにつながった可能性がある。また、攻撃者がセキュリティ情報を書き換えたため、組織側が復旧できなかった点も重要である。アカウントの復旧手段が個人のアカウント設定に依存していると、乗っ取り後に組織が介入しにくくなる。ただし端末の管理方式やMDMの有無は公表されておらず、これらは推測の域を出ない。
対応
- 封じ込め
- Apple Accountの復旧を試みたが、セキュリティ情報が書き換えられていたため復旧できなかった。対象者の特定を進め、本件従業員と接点があった営業先等のお客さまへ順次個別に連絡している。外部専門家の協力のもと事実関係の調査を進め、セキュリティ体制の強化と教育の徹底を図るとしている。
- 公表の仕方
- 2025年12月25日に自社サイトで「不正アクセスによる個人情報流出に関するお詫びとお知らせ」を公表。流出の可能性がある電話番号宛ての不審な電話・メールへの注意（応答しない、着信拒否設定、不審メールのURLをクリックしない、身に覚えのない請求や勧誘は窓口へ連絡）を呼びかけた。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| SMS内のURLから偽サイトでID・パスワードを入力させる手口は、業務用端末でも起こりうる。 | Apple Accountはパスキーや2要素認証を前提に運用し、パスワード入力に依存しない認証へ移行する。あわせて、SMS内のURLを開く前に公式アプリや公式ブックマークから確認する手順を教育し、疑似フィッシング訓練で定着度を測る。 |
| 業務端末のアカウントが個人単位のApple Accountだと、乗っ取り後に組織が端末とアカウントを制御しにくい。 | Apple Business Managerと管理対象Apple Accountを導入し、MDMで端末を監督対象にする。Activation Lockの管理やリモート操作の権限を組織側に持たせ、アカウント復旧手順を事前に文書化して訓練しておく。 |
| 電話帳に取引先や従業員の連絡先が保存されており、1台の乗っ取りで多数の情報が影響範囲に入った。 | 端末ローカルの連絡先に保存する項目を最小化し、顧客情報は認証付きの共有アドレス帳やCRMで管理する。端末への同期・クラウドバックアップの対象をMDMのポリシーで制限し、定期的に連絡先の棚卸しを行う。 |
| アカウント情報の書き換えや端末の初期化が起きてから気づくのでは、対応が後手になる。 | Apple Accountのサインイン通知やパスワード変更の通知を管理者の監視用アドレスにも届くようにする。MDMで端末の異常(消去、登録解除、チェックイン途絶)をアラート化し、従業員が不審SMSを報告する窓口を用意する。 |
| 流出の可能性がある連絡先の範囲を早く特定できると、二次被害の防止に役立つ。 | 端末ごとの連絡先の保存内容と同期先を台帳化しておく。インシデント時に影響対象を抽出できるよう、通知文面や個人情報保護委員会への報告手順を含む対応手順書を整備しておく。 |
自組織などでの確認項目
- 自組織の業務用スマートフォンは、個人のApple AccountやGoogleアカウントで運用されていないか。組織が復旧や遠隔操作を行える管理方式になっているか。
- 端末の電話帳や連絡先に、取引先や従業員の情報が何件ほど保存されているか。端末単位で影響件数を把握できるか。
- 業務用端末にセキュリティを装うSMSが届いたとき、従業員はどこへ報告すればよいか。その窓口と手順は全員に周知されているか。
- アカウントが乗っ取られて復旧できなくなった場合に備え、組織側の連絡手段と対応手順が決まっているか。
未解明点
- 流出が実際に確認された件数や、情報が不正に使われた形跡の有無は公表されていない。
- 業務用携帯電話の管理方式(MDMの利用有無、アカウントの運用ルール)や、当該端末で2要素認証が有効だったかは公表されていない。
- 外部専門家による調査の結果と、具体的な再発防止策の内容は、今後の続報を待つ必要がある。
- 攻撃者についての情報や、同様のSMSが他の従業員にも届いていたかどうかは公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-26報道本文確認済
- 2ScanNetSecurity2026-01-19報道本文確認済
- 3アルケア株式会社2025-12-25公式本文確認済