株式会社Gunosyの社内業務用アカウント不正アクセスによる個人情報流出（132人）
公表日
株式会社Gunosyで社内業務アカウントが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、取引先担当者や役職員等132名の個人情報が流出しました。
対象者は？
侵害されたアカウントとメールのやりとりがあった取引先の担当者25名、および同社の役員・従業員・退職者等107名（計132名）。グノシー等の一般サービス利用者の情報は含まれていません。
対象となる方には、2026年10月26日より同社（notice@gunosy.com）から電子メールで個別に連絡が行われています。
何が起きたのか
2026年10月21日午後、何らかの手段で社内業務用アカウントのIDとパスワードを入手した第三者が、Gunosyの社内環境に不正ログインしました。同社の監視システムがこれを検知し、同日中にアカウントを停止しました。その後の調査で、アカウント内のメールや業務ツールの登録情報が閲覧され、取引先担当者25名と役職員等107名、合わせて132名分の氏名や連絡先などが流出したことが確認されました。
なぜ起きたのか・なぜ広がったのか
第三者が社内業務用アカウントの認証情報を不正に入手し、悪用したことが原因です。認証情報の入手経路については調査中とされています。また、再発防止策として共有アカウントの廃止や多要素認証の徹底が挙げられていることから、アカウント運用の見直しが進められています。
いまの状況2026-10-26 時点続報待ち
流出したアカウントは即日停止され、アクセスは遮断されています。2026年10月23日に個人情報保護委員会への報告一定の個人情報の漏えいが起きた場合、企業は国の機関である個人情報保護委員会への報告と、本人への通知が法律で義務づけられています（2022年4月から）。漏えいの通知が届くことが多いのは、このためです。が行われ、10月26日から対象者への個別連絡が実施されています。現時点で流出情報の悪用や公開は確認されていません。
企業として考えたいこと
自社内で複数人が共有して使っている業務用アカウントや、パスワードだけでログインできる設定が残っていませんか？
技術的な要約
株式会社Gunosyは2026年10月21日午後、第三者による社内業務用アカウントへの不正アクセスを監視システムにより検知した。攻撃者は不正に入手したID・パスワードを用いてログインし、クラウド環境や業務ツール等にアクセスした。調査の結果、アカウント内のメール閲覧や業務用ツールの情報取得により、取引先担当者25名および役職員・退職者等107名の計132名の個人情報流出が判明した。「グノシー」をはじめとする一般サービス利用者の情報流出や、流出情報の悪用・公開は確認されていない。同社は検知当日にアカウントを停止してアクセスを遮断し、個人情報保護委員会への報告と対象者への個別連絡を実施するとともに再発防止策を進めている。
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認第三者が不正に入手した社内業務用アカウントの認証情報（ID・パスワード）を用いてログインした。認証情報の入手経路については調査中と公表されている。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 132確定 132人氏名メール取引先情報従業員情報その他取引先の担当者25名（氏名、メールアドレス、署名欄記載の会社名・所属・役職・連絡先）および役員・従業員・退職者等107名（氏名、メールアドレス、一部は復旧用連絡先を含む）の計132人。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
技術解説
不正アクセスの発生と初動対応の経緯 事実
2026年10月21日午後、第三者が社内業務用アカウントのIDおよびパスワードを用いてログインし、同社が利用するクラウド環境や業務ツール等へアクセスしたことを監視システムが検知した。同社は検知当日のうちに侵害されたアカウントを停止して不正アクセスを遮断し、関連する認証情報の無効化および変更を実施した。調査の結果、当該アカウントのメールボックス内のメール一部が閲覧されたほか、業務ツール上の利用者情報が取得され、取引先担当者25名および役職員・退職者等107名の計132名分の個人情報流出が判明した。一般向けサービスの利用者情報の流出や、流出情報の悪用・公開は公表時点で確認されていない。同社は10月23日に個人情報保護委員会へ報告し、10月26日に事態を公表するとともに対象者への個別連絡を開始した。
共有アカウント運用の構造的リスクと多要素認証の重要性 解釈
同社が再発防止策として「共有アカウントの廃止」「多要素認証の徹底」「アカウント権限の見直し」を挙げていることから、侵害された業務用アカウントは複数人で共用されていたか、あるいは多要素認証（MFA）が必須化されていなかった可能性が考えられる。共有アカウントは運用上の利便性から設定されることがあるものの、個別の利用者特定が難しくなるだけでなく、パスワードの変更頻度が低下したり、退職者や異動者へ認証情報が残存したりする脆弱性を抱えやすい。また、ID・パスワードのみに依存した単一要素認証では、何らかの経路で認証情報が漏洩した場合に即座に不正ログインを許すことになる。業務ツールやクラウド基盤の認証には、個別アカウント運用とフィッシング耐性のあるMFAの適用が極めて重要である。
被害拡大の抑止要因と監査ログによる影響特定の意義 解釈
本事案において被害が132名にとどまり、一般サービス利用者の情報に及ばなかった背景には、監視システムによる早期検知と同日中のアカウント停止という初動の迅速さが寄与したと考えられる。また、メール本文の一部が閲覧された一方で「添付ファイルが開かれた記録はなかった」と公表されている点は、侵害された環境においてアクセスログや操作履歴が適切に取得・保全されていたことを示している。不正アクセスを受けた際に、攻撃者がどのデータに触れ、どのデータを取得していないかを客観的に立証できるログ監査体制が存在していたことで、被害範囲の局所化とステークホルダーへの正確な説明が可能になったと評価できる。
対応
- 封じ込め
- 2026年10月21日中に対象アカウントを停止して不正アクセスを遮断し、関連する認証情報の無効化および変更を実施した。
- 公表の仕方
- 2026年10月26日に公式ウェブサイトで個人情報流出に関するお詫びとお知らせを公表し、同日より対象者へnotice@gunosy.comから電子メールで個別連絡を行った。
- 当局対応
- 個人情報保護委員会
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 共有アカウントの運用は認証情報の流出リスクと追跡困難性を高める | 業務システムやクラウド環境における共有アカウントを原則廃止し、IdP（ID管理基盤）を用いて個人ごとの個別IDを払い出すとともに、職務に応じた最小権限を付与する。 |
| パスワード認証のみのアカウントは漏洩時に即座に侵入を許す | 社内業務ツールやSaaS、クラウドサービスへのログインには多要素認証（MFA）を必須化し、可能であればFIDO2等のフィッシング耐性を持つ認証方式を導入する。 |
| 退職者や過去の利用者に紐づく復旧用連絡先や資格情報が残存するリスク | 人事異動や退職プロセスとID管理基盤を連動させ、離職時にすべてのアカウント無効化および復旧用連絡先・リカバリーコードの削除・再設定を自動的または確実に実施する運用を整備する。 |
| インシデント発生時の影響特定には詳細なアクティビティログが不可欠である | メールシステムや業務ツールにおいて、ログイン履歴だけでなくメッセージ閲覧や添付ファイルのダウンロード・プレビュー操作まで追跡できる監査ログを有効化し、一定期間安全に保管する。 |
自組織などでの確認項目
- 自社の社内業務ツールやクラウドサービスにおいて、複数メンバーでID・パスワードを共用しているアカウントが存在していないか。
- 全従業員および業務委託者の業務用アカウントで多要素認証（MFA）が例外なく強制されているか。
- 従業員の退職時や異動時に、社内ツール内の個人連絡先（復旧用連絡先等）やアクセス権限を速やかに削除・棚卸しするプロセスが確立されているか。
未解明点
- 社内業務用アカウントの認証情報（ID・パスワード）が第三者へ渡った具体的な流出経路（フィッシング、マルウェア感染、他サービスからの流用など）は特定されたのか。
出典
- 1株式会社Gunosy2026-10-26公式本文確認済
- 2セキュリティ対策Lab2026-10-27報道本文確認済