日本ビジネスシステムズ（JBS）への不正アクセス（管理サーバー・従業者貸与PCへの特定アカウントからのアクセス、顧客情報の漏洩は確認されず）
公表日
日本ビジネスシステムズ（JBS）の管理サーバーと従業者貸与PCに、特定のアカウントから不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。がありました。顧客情報の漏洩は確認されず、一部従業者の情報が閲覧された可能性はあったものの、被害は確認されていません。
対象者は？
影響の可能性が示されたのは、JBSの一部の従業者の情報です。攻撃者が閲覧した可能性があったものの、被害は確認されていないとされています。人数や情報の種類は発表されていません。顧客情報の漏洩やファイルの持ち出しの痕跡は確認されておらず、顧客情報は対象に含まれていません。
本人への個別の連絡方法は発表されていません。最新の状況は、JBSの公式のお知らせで確認できます。
何が起きたのか
JBSは2025年10月29日、サイバー攻撃の恐れがある不審な通信を見つけました。すぐに調べたところ不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。だとわかり、関係するシステムや機器を直ちに遮断しました。11月5日に第1報、14日に続報、27日に最終報を公表しています。外部の専門家との調査で、管理サーバーと従業者に貸与しているパソコンに、特定のアカウントから不正アクセスやその試みがあったことが確認されました。記録を調べた結果、顧客情報が漏れたことや、ファイルが持ち出された跡は見つかりませんでした。攻撃者が一部従業者の情報を見た可能性はありましたが、被害は確認されていません。警察と個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くのはこのためです。は済んでいます。
なぜ起きたのか・なぜ広がったのか
侵入に使われた経路や、アカウントがどのように使われたかは、まだ発表されていません。
いまの状況2025-11-27 時点
2025年11月27日の最終報の時点で、顧客情報の漏洩やファイル持ち出しの痕跡は確認されていません。JBSは、外部の専門家の協力を得ながら、セキュリティの強化に努めるとしています。侵入経路や、閲覧された可能性がある従業者情報の件数は、まだ発表されていません。
企業として考えたいこと
自社の管理サーバーや社員のパソコンに、見慣れないアカウントからのアクセスがあったとき、その日のうちに見つけて遮断し、社員の情報が見られたかどうかを記録から確かめられるでしょうか。
技術的な要約
日本ビジネスシステムズ株式会社（JBS）は2025年10月29日、サイバー攻撃の恐れがある不審な通信ログを検知し、初動調査で不正アクセスが判明したため、関係するシステム・機器を即時遮断した。11月5日に第1報、11月14日に続報、11月27日に最終報を公表した。外部専門家との共同調査で、管理サーバーおよび従業者貸与PCに対し特定のアカウントから不正アクセス・アクセスの試みがあったことが確認された。ログ等の証跡では顧客情報の漏洩やファイルが持ち出された痕跡は確認されず、一部従業者の情報が閲覧された可能性はあったが被害は確認されていない。警察と個人情報保護委員会への報告は完了している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表では、管理サーバーおよび従業者貸与PCに対し特定のアカウントから不正アクセス・アクセスの試みがあったと確認されたとされるが、侵入経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 2025年11月5日時点でサービス提供への影響は確認されていない。関係するシステム・機器は即時遮断された。
- データ
- おそれ上限 —確定 —従業員情報顧客情報の漏洩やファイルが持ち出された痕跡は確認されなかった。一部従業者の情報が閲覧された可能性があったが、被害は確認されていない。件数は非公表。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
公表された経過と対応 事実
JBSは2025年10月29日にサイバー攻撃の恐れがある不審な通信ログを検知し、直ちに初動調査を実施した。その結果、不正アクセスが判明したため、関係するシステム・機器を即時遮断した。その後は外部専門家の協力のもと、原因と影響範囲の調査を進めた。公表は11月5日の第1報、11月14日の続報、11月27日の最終報の3回である。第1報の時点では、情報漏洩の事実およびサービス提供への影響は確認されていないとされた。続報の時点で、警察と個人情報保護委員会への報告は完了している。続報では、外部専門家から11月末に最終報告を受ける予定であることも示された。最終報では、外部専門家の協力を得ながら一層のセキュリティ強化に努めるとしている。
確認されたアクセスと情報への影響 事実
外部専門家との共同調査により、管理サーバーおよび従業者に貸与しているパソコンに対し、特定のアカウントから不正アクセス・アクセスの試みがあったことが確認された。11月14日時点では、クリティカルな事象は報告されていないとされた。同日の続報では、顧客情報の漏洩は確認されていないが、一部従業者の情報が第三者から閲覧された可能性があり、調査を継続するとされた。11月27日の最終報では、ログ等の証跡確認の結果、顧客情報の漏洩やファイルが持ち出された痕跡は確認されなかった。攻撃者が一部従業者の情報を閲覧した可能性はあったが、被害は確認されていないとされた。侵入経路や対象となる従業者の人数は、今回の情報の範囲では示されていない。
公表内容から読み取れること 解釈
「特定のアカウントから」という表現からは、アカウントの利用が攻撃の中心にあった可能性が考えられる。ただし、そのアカウントが正規のものか、どのように使われたか、認証情報がどう入手されたかは公表されておらず、断定はできない。管理サーバーと従業者貸与PCの双方が対象だった点は、管理系の環境と端末の両方が確認の対象になったことを示す。一方で、不審な通信ログの検知から遮断までが同日に行われ、顧客情報の漏洩やファイル持ち出しの痕跡が確認されなかったことは、早期の検知と遮断が被害の限定に寄与した可能性を示唆する。ただしこれは公表文面からの推測であり、侵入期間や検知の仕組みが示されていないため、効果の程度は評価できない。段階的な3回の公表は、調査の進み具合を読者が追いやすい形だったと考えられる。
対応
- 封じ込め
- 不審な通信ログの検知後、関係するシステム・機器を即時遮断し、外部専門家の協力のもと原因・影響範囲の調査、対象機器の保護と復旧を進めた。外部専門家の協力を得ながらセキュリティ強化に努めるとしている。
- 公表の仕方
- 2025-11-05に第1報、11-14に続報、11-27に最終報を自社サイトで公表した。
- 当局対応
- 警察
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 不審な通信ログの検知から同日に初動調査と遮断を行えたことが、影響範囲の把握と限定につながる可能性がある。 | EDR・プロキシ・認証基盤のログをSIEMに集約し、管理サーバーへの異常ログインや特権アカウントの異常利用に対する検知ルールを整備する。検知から隔離までの手順をランブック化し、机上演習で所要時間を計測する。 |
| 管理サーバーや従業者貸与PCに対し、特定のアカウントからのアクセスが確認されており、アカウント管理が重要な論点になる。 | 管理サーバーへのアクセスには多要素認証を必須とし、特権アカウントを分離する。踏み台経由に限定し、未使用アカウントの棚卸しと権限の最小化を定期的に実施する。 |
| ログ等の証跡で、ファイルの持ち出しがなかったことを確認できたことが、顧客情報の漏洩なしという結論の裏付けになった。 | ファイルサーバー・クラウドストレージ・プロキシのアクセスログと送信量ログを、調査に十分な期間保存する。ログの改ざん防止と、フォレンジックで使える形式での保全手順を決めておく。 |
| 従業者の情報が閲覧された可能性という、顧客以外のデータも調査対象になる。 | 人事・勤怠・従業者情報を扱うシステムのアクセス権限を棚卸しし、閲覧ログの取得と定期レビューを行う。従業者向けの通知文面と窓口を、事案発生前に用意しておく。 |
| 第1報から最終報まで段階的に公表したことで、状況の推移が把握しやすかった。 | インシデント対応計画に、公表の節目（第1報・中間報・最終報）と、調査結果が出る予定時期の見通しを示す手順を盛り込む。規制当局への報告時期もチェックリスト化する。 |
自組織などでの確認項目
- 自組織の管理サーバーや従業者貸与PCに、特定のアカウントから通常と異なるアクセスがあった場合、何のログで、誰が、どれくらいの時間で気づけますか。
- 従業者の情報が閲覧された可能性が生じた場合、自組織では閲覧ログから対象者や件数をどこまで特定できますか。また、従業者への通知手順は決まっていますか。
- 不審なログを検知したとき、関係するシステム・機器を即時に遮断する判断は誰が行えますか。その際、事業への影響をどう評価する手順になっていますか。
未解明点
- 侵入経路や、不正アクセスに使われた特定アカウントがどのように入手されたかは、公表されていない。
- 閲覧された可能性がある従業者情報の件数・種類・対象者の範囲や、本人への連絡の有無は、公表されていない。
- 不正アクセスが始まった時期（侵入日）と、検知までの期間は、公表されていない。
- 最終報で示された再発防止策の具体的な内容は、公表されていない。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-11-18報道本文確認済
- 2ScanNetSecurity2025-12-10報道本文確認済
- 3日本ビジネスシステムズ株式会社2025-11-05公式本文確認済
- 4日本ビジネスシステムズ株式会社2025-11-14公式本文確認済
- 5日本ビジネスシステムズ株式会社2025-11-27公式本文確認済