Udemy, Inc.への不正アクセス（ソーシャルエンジニアリング起点、最大約140万件のアカウント情報が流出主張・公開）
公表日
オンライン学習サービスUdemyの運営会社で、従業員を狙った攻撃をきっかけに、法人顧客・見込み顧客・講師の一部の連絡先情報が外部に漏れました。件数は公式には示されておらず、外部の情報では最大約140万アカウントとされる一方、約12,000人との報道もあります。
対象者は？
Udemy, Inc.の法人顧客、見込み顧客、講師のうち一部の方。公式が挙げる情報は氏名、メールアドレス、電話番号、勤務先住所です。公式は、クレジットカード情報等の決済情報は保管しておらず漏れていないとしています。学習者向けのUdemyプラットフォームには影響がないとされています。外部の記録では、パスワードはデータ種別に含まれていません。ただし勤務先、役職、講師の支払方法も含まれるとする情報もあります。
Udemy, Inc.の公式お知らせを確認してください。個別の通知の有無はまだ発表されていません。メールアドレスが含まれるかは、Have I Been Pwnedで調べられます。
いますぐできること
- Have I Been Pwnedで、自分のメールアドレスが含まれていないか確認する。
- Udemyを研修などで使っている場合は、認証情報の見直しと多要素認証の有効化を検討する（報道が予防措置として推奨）。
- 連絡先情報が含まれうるため、Udemyを名乗る不審なメールや電話に注意する。
何が起きたのか
2026年4月17日、Udemy, Inc.は従業員を狙った攻撃に関連する不審な動きを見つけ、その従業員のアカウントを無効にしました。4月24日ごろ、ShinyHuntersを名乗るグループが、データを公開すると脅す投稿を行い、140万件超を侵害したと主張しました。4月26日には、Have I Been Pwnedに140万件規模のデータが登録されました。2026年7月1日、Udemy, Inc.は、法人顧客・見込み顧客・講師の一部の連絡先情報が漏れたと公表しました。
なぜ起きたのか・なぜ広がったのか
公式は、標的型のソーシャルエンジニアリング技術ではなく、人の思い込みや焦り、親切心につけこんで情報を引き出す手口の総称です。警察や上司、システム担当者を名乗る電話で、パスワードや資料を送らせる例があります。攻撃（人をだまして情報を引き出す手口）が原因としています。トルコの規制当局への通知を伝える報道では、電話によるだまし（ビッシング）とされていますが、公式は電話とは明記していません。件数が大きく見えた理由や、詳しい手口は発表されていません。
いまの状況2026-07-01 時点続報待ち
2026年7月1日時点で、Udemy, Inc.は、認証情報の無効化、不正に登録された多要素認証デバイスの削除、IPアドレスの遮断、追加の研修などを完了したと説明しています。個人情報保護委員会にも報告済みです。悪用などの二次被害は確認されていないとしています。正確な件数や詳しい手口については、まだ発表されていません。
企業として考えたいこと
自社の従業員が、IT担当者を名乗る電話で認証情報やMFA端末の登録を求められたとき、それを見抜いて止める手順は決まっていますか。
技術的な要約
Udemy, Inc.は2026年4月17日、従業員へのソーシャルエンジニアリング攻撃に関連する不審な動作を検知し、当該アカウントの無効化などの封じ込めを行った。同社は2026年7月1日の公表で、法人顧客・見込み顧客・講師の一部の個人情報（氏名、メールアドレス、電話番号、勤務先住所）が漏えいしたと報告した。ShinyHunters は2026年4月24日頃にリークサイトで「Pay or Leak」を掲載し、140万件超のレコードを侵害したと主張した。Have I Been Pwned には1,401,259アカウント（メール、氏名、住所、電話番号、勤務先、役職、講師の支払方法）が登録された。一方、トルコKVKKへの通知を伝える報道では影響は約12,000人とされ、件数の出典間に差がある。学習者向けプラットフォームへの影響はなく、二次被害は公表時点で確認されていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング報道・研究者公式は「標的型のソーシャルエンジニアリング攻撃に起因する不正アクセス」と記載。SearchInformはKVKK通知として従業員アカウントを狙ったボイスフィッシング（ビッシング）によると報じた。公式はビッシングとは明記していない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- ShinyHunters 被害組織の言及なしリークサイトに「Pay or Leak」を掲載し、PIIや社内データ140万件超を侵害したと主張。対応期限は2026年4月27日。交渉が合意に至らなかったとも主張。
- ATT&CK
影響
- 業務停止
- なし 学習者向けUdemyプラットフォームには影響はなく、引き続き正常に運用していると公式が説明している。
- データ
- 確定上限 1,401,259確定 —アカウントメール氏名電話住所その他公式は法人顧客・見込み顧客・講師の「一部の方」の氏名、メールアドレス、電話番号、勤務先住所が漏えいしたと公表し、件数は示していない。1,401,259アカウントはHIBP/TRACEDの数値。一方、SearchInformはKVKK通知として影響は現在および見込みの顧客約12,000人と報じており、件数に差がある。HIBP等は勤務先、役職、講師の支払方法（PayPal・小切手・銀行振込への言及）も含むとする（その他に分類）。パスワードはデータ種別に含まれない。公式はクレジットカード情報等の決済情報は保管しておらず漏えいの可能性はないとしている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2026-04-17
- 2026-04-18KVKK通知を伝える報道によれば、2日間の侵害期間が終了。この間に攻撃者が個人データにアクセスし外部へ持ち出した。3
- 2026-04-24
- 2026-04-26
- 2026-04-27ShinyHunters が設定した対応期限。6
- 2026-04-28Help Net Security が ShinyHunters の主張を報道。この時点でUdemyは公式声明を出していない。7
- 2026-04-29フォーラム利用者が「Udemy 2026」データセット（1.4百万件のユニークなメールアドレス）を投稿。Botcrawlは4月のShinyHunters関連事案に関連づけられると評価。Udemyの確認は示されていない。1
- 2026-05-27KVKK通知を伝える報道によれば、侵害が検知された日（侵害から1か月以上後）。公式の4月17日検知とは食い違う。3
- 2026-06-10SearchInformが、KVKKへの通知に基づきUdemy Inc.のデータ侵害（ビッシング起因、約12,000人）を報道。3
- 2026-07-01Udemy, Inc.が「不正アクセスに関するご報告」を公表。個人情報保護委員会へ報告済みで、認証セッション・認証情報の無効化、不正登録MFAデバイスの削除、IPアドレス遮断、追加のセキュリティ研修などを完了と説明。5
技術解説
公式が公表した内容 事実
Udemy, Inc.の公表（2026年7月1日）によると、2026年4月17日に従業員へのソーシャルエンジニアリング攻撃に関連する不審な動作を検知し、当該従業員のアカウントを無効化して外部からのアクセスを制限した。標的型のソーシャルエンジニアリング攻撃に起因する不正アクセスにより、法人顧客・見込み顧客・講師の一部の個人情報（氏名、メールアドレス、電話番号、勤務先住所）が漏えいしたと説明している。外部専門機関に依頼し、認証セッションと認証情報の無効化、不正に登録された多要素認証デバイスの削除、IPアドレスの遮断、追加の研修を完了した。学習者向けプラットフォームに影響はなく、クレジットカード情報等の決済情報は保管していないとしている。
件数と日付が出典間で食い違っている 事実
公式は漏えいを「一部の方」とし、件数を示していない。Have I Been Pwnedは1,401,259アカウントを登録しており、ShinyHuntersも140万件超のレコードを侵害したと主張している。これらは公式確認ではなく、確定件数は不明である。一方、SearchInformはKVKK（トルコ個人データ保護機関）への通知として、影響は現在および見込みの顧客約12,000人と報じている。日付も異なる。公式は4月17日に検知としたが、同報道は侵害を4月17〜18日の2日間、検知を5月27日と伝え、HIBP系の出典はインシデント日を4月24日としている。これらの差の理由は公表されていない。
侵入経路についての見立て 解釈
公式は「標的型のソーシャルエンジニアリング攻撃」とだけ書き、ボイスフィッシングとは明記していない。ボイスフィッシングとする情報はKVKK通知を伝える報道にあり、ShinyHuntersがビッシングで知られているという報道もある。ただし後者は一般的な評価であり、本件の手口を示すものではない。公式が「不正に登録された多要素認証デバイスの削除」を対策に挙げている点からは、従業員の認証が悪用され、MFAが突破または迂回された可能性も考えられる。ただしこれは公表文からの推測にすぎず、確認はできない。手口の詳細は今後の公表を待つ必要がある。
公表時期と情報の流れ 解釈
流れを時系列で見ると、4月24日頃にリークサイトの掲載、4月26日にHIBPへの登録、4月28日の報道があり、その時点でUdemyは声明を出していなかった。公式の報告は7月1日で、検知から約2か月半後である。この間は、攻撃者側の主張と第三者のデータベースが先に流通する形になった。調査中は確定できない事項が多く、公表に時間を要すること自体は珍しくない。ただ、件数が示されないままだったため、利用者や法人顧客が影響範囲を自分で判断しにくい状況が続いた。調査の進め方や公表判断の経緯は公表されておらず、評価には限界がある。
対応
- 封じ込め
- 2026年4月17日に不審な動作を検知し、当該従業員のアカウントを無効化、外部からのアクセスを制限。外部の専門機関に調査・封じ込め・是正措置の検討を依頼。その助言に基づき、影響を受けたアカウントの認証セッションおよび認証情報の無効化、不正に登録された多要素認証デバイスの削除、不正アクセスに関連するIPアドレスの遮断、追加のセキュリティ研修の実施等を完了した。
- 公表の仕方
- 2026年4月28日時点でUdemyは公式声明を出していなかった。2026年7月1日付「不正アクセスに関するご報告」で、法人顧客・見込み顧客・講師の一部の個人情報（氏名、メールアドレス、電話番号、勤務先住所）の漏えいを公表。二次被害は現時点で確認されていないとしている。
- 当局対応
- 個人情報保護委員会（Udemy, Inc.が必要な報告を実施と公表）
- KVKK（トルコ個人データ保護機関）への通知があったと報じられている
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 電話を使ったソーシャルエンジニアリングは、技術的な防御をすり抜けて従業員アカウントを直接狙う。 | ヘルプデスクや従業員向けに、電話での依頼ではパスワード・MFAコード・端末登録を受け付けない運用を定める。折り返し確認は台帳記載の番号に限定し、定期的に模擬ビッシング訓練を実施する。 |
| MFAデバイスが不正に登録されると、MFAがあっても攻撃者に長期アクセスを許しうる。 | MFA端末の新規登録・変更時に既存端末とメールへ通知し、一定時間の保留や管理者承認を加える。IdPのログで未知の端末登録を検知するアラートを設定する。 |
| 検知後は、アカウント無効化に加えて、セッション・認証情報・MFA端末の失効まで一括で行う必要がある。 | インシデント手順書に、セッション失効、トークンとAPIキーのローテーション、MFA再登録、関連IP遮断を含めた失効チェックリストを用意し、年に一度は演習で実行する。 |
| 件数や検知日が出典間で食い違うと、被害規模を判断しにくくなる。 | ログ保全と持ち出しデータ量の調査を早期に行い、確定件数と推定上限を分けて整理する。公表文には件数、侵害期間、検知日を可能な範囲で明記する準備をしておく。 |
| 攻撃者の主張や第三者のデータベースが、公式発表より先に情報を広げることがある。 | リークサイトやHIBPなどの外部情報を監視する担当を決め、確認中であることを示す暫定告知の雛形と、広報・法務・CSIRTの承認フローを平時に整える。 |
自組織などでの確認項目
- 自組織で、電話やチャットでの依頼によりパスワードリセットやMFA端末の登録変更が行える経路はあるか。本人確認はどう行っているか。
- 従業員アカウントが乗っ取られた場合、セッション・認証情報・MFA端末の失効を、誰がどの順で実施するか。手順書は直近で演習したか。
- 自社の顧客・講師・取引先の連絡先データは、どのシステムにあり、誰が一括エクスポートできるか。エクスポートの記録は監視されているか。
未解明点
- 漏えいした件数は何件か。公式は件数を示しておらず、約140万アカウントと約12,000人の差の理由は不明である。
- 侵入手口は具体的に何だったのか。ビッシングだったのか、MFA端末登録がどのように行われたのか、公式の説明はない。
- 攻撃者に持ち出されたデータはどのシステムから取得されたのか。また、検知日（公式は4月17日、報道では5月27日）の差は何によるのか。
- ShinyHuntersの主張や、公開されたデータセットと本件の関係を、Udemyが確認しているかは公表されていない。
出典
- 1Botcrawl2026-04-29報道本文確認済
- 2Have I Been Pwned2026-04-26研究者本文確認済
- 3SearchInform2026-06-10研究者本文確認済
- 4TRACED (Public Breach Archive; source: Have I Been Pwned / Troy Hunt)2026-04-26報道本文確認済
- 5Udemy, Inc.2026-07-01公式本文確認済
- 6Cryptika Cybersecurity (Cyber Security News 転載)2026-04-24報道本文確認済
- 7Help Net Security2026-04-28報道本文確認済