Integral Security Reportインテグラル セキュリティ レポート
← 一覧に戻る
2026-nttpc-webarena通信最終確認 2026-10-13 10:00

NTTPCコミュニケーションズ「WebARENA」大容量ファイル転送機能・SuiteX一部サーバーへの不正アクセス（1,510契約・メールアドレス7,446件・ファイル4,463件に漏えいのおそれ、約8か月停止とサーバー廃止）

公表日

株式会社NTTPCコミュニケーションズ（NTTドコモビジネス株式会社）
続報あり不正アクセスサプライチェーンサプライチェーン：起点

NTTPCコミュニケーションズのレンタルサーバー「WebARENA」で、大容量ファイル転送の機能と一部のサーバーが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受けました。利用者のメールアドレス最大7,446件や、送られたファイル4,463件などが漏えいしたおそれがあります。

対象者は？

WebARENAの大容量ファイル転送機能を使っていた1,510契約の利用者です。2019年3月から2026年4月までに使った方のメールアドレス最大7,446件と、2026年4月19日〜30日に送られたファイル4,463件、ダウンロード用のパスワードやURLが対象です。また、サーバー「dc70.etius.jp」を使っていた385契約では、メールやWebのアカウントとパスワードなども対象です。いずれも漏えいの痕跡は確認されていませんが、可能性は否定できないとされています。

影響のある契約者には、契約IDを書いたうえで会社から個別に連絡が行われています。取引先からこの機能でファイルを受け取った方は、送り主の会社からの連絡を確認してください。

WebARENA 停止に関するお詫びとご報告（2026年6月23日） ↗dc70.etius.jp の提供停止について（2026年8月5日更新） ↗大容量ファイル転送の提供停止について ↗

いますぐできること

  • dc70.etius.jp を使っていて、同じパスワードを他のメールやWebのアカウントでも使っているなら、そちらも変更する
  • 大容量ファイル転送で送ったファイルに、個人情報や取引先の情報が入っていなかったかを確認する
  • WebARENAを名乗る連絡は、契約IDが書かれているかを確かめ、リンクを開く前に公式サイトで確認する

何が起きたのか

2026年4月29日の深夜、WebARENAの大容量ファイル転送の機能を動かすサーバーに、攻撃とみられる通信が続きました。会社はサーバーへのアクセスを遮断し、機能を止めました。調べたところ、4月21日から第三者が不正にアクセスした痕跡がありました。5月10日には、別のサーバー「dc70.etius.jp」も攻撃を受けて、Webやメールのサービスがすべて止まりました。こちらでは、暗号化された管理情報の一部が見られたことと、7つの契約の領域に不審なファイルが置かれたことが確認されました。

なぜ起きたのか・なぜ広がったのか

どこから、どのように入られたかは、まだ公表されていません。痕跡の始まりから停止までの約8日間、侵入には気づかれていませんでした。ファイル転送のサーバーには、ファイルそのものと、それを受け取るためのパスワードやURLが一緒に保管されていました。また、2019年からの利用の記録も残っていたため、過去に使った方のメールアドレスも対象に含まれました。

いまの状況2026-08-05 時点続報待ち

大容量ファイル転送の機能は、システム全体を作り直したうえで、2026年12月ごろの再開を目指しています。dc70.etius.jp は同じ環境での再開をやめて契約を終了し、希望者には別の環境を初期費用などを減らして提供しています。再発防止として、外部の専門会社による点検や、監視の強化を進めるとしています。侵入の経路や悪用された弱点は発表されていません。

企業として考えたいこと

取引先とのファイルのやりとりに使っているサービスが止まったり、中のファイルが漏れたりしたら、どの取引先に何を知らせる必要があるでしょうか。送ったファイルの記録が手元にあるかを確認しましょう。

技術的な要約

NTTPCコミュニケーションズのレンタルサーバー／メールホスティング「WebARENA」で、付帯機能の大容量ファイル転送を構成する一部サーバーに2026年4月21日から第三者の不正アクセスの痕跡があり、4月29日深夜に攻撃とみられる断続的な通信を受けて同機能を停止した。当該サーバーには1,510契約分の認証ログ（ユニークメールアドレス7,446件、2019年3月〜2026年4月）、アップロードファイル4,463件、ダウンロード用パスワード・URLを含むアップロード関連情報が格納されており、漏えいの明確な痕跡はないものの可能性は否定できないとされた。5月10日には別のSuiteX収容サーバー dc70.etius.jp（385契約、メールアカウント8,203件・Webアカウント269件）も攻撃を受けて全面停止し、暗号化された管理情報の一部の閲覧と7契約の領域への不審ファイル設置が確認された。6月23日の調査結果公表で、ファイル転送機能はシステム全体を再構築して2026年12月頃の再開を目途とし、dc70は同一環境での再開を断念して契約終了とした。侵入経路・脆弱性は公表されていない。

侵入
2026-04-21
被害発生
2026-04-21
検知
2026-04-29
第1報公表
2026-05-01
最新続報
2026-08-05
侵入 → 検知
8日
侵入日から算出
検知 → 公表
2日
データ（上限）
7,446件
確定 —
波及先
1510
契約（大容量ファイル転送機能。別にdc70.etius.jpの385契約）

攻撃の分類

侵入口
不明
不明。公式は両事案とも「外部からの攻撃と思われる通信が断続的に発生」「第三者による不正アクセスの痕跡を確認」とのみ記載し、侵入経路・悪用された脆弱性・製品名は公表していない。dc70.etius.jpについては「原因の特定と対処は完了」としつつ内容は非公表で、5月時点では「現在調査中のため回答は差し控え」としていた（報道）。再発防止策に「高リスク脆弱性に迅速かつ確実に対処する体制の強化」が含まれることから既知脆弱性の対処遅れが関係した可能性をセキュリティ対策Labが推測しているが、公式の確認はない。
脆弱性
CVE 非公表不明
非公表（大容量ファイル転送機能／SuiteX収容サーバーの構成ソフトウェア）
公式は脆弱性の存在自体を明言していない。再発防止策として高リスク脆弱性への迅速な対処体制の強化を挙げている。2026-10-10時点で製品名・CVEの公表は確認できなかった。
攻撃者
特定・主張なし
ATT&CK
T1105 Ingress Tool TransferT1005 Data from Local System

影響

業務停止
あり 大容量ファイル転送機能：2026年4月29日深夜（サポートサイトの5/1告知では4月30日深夜）から全プランで停止。メール送受信・Webページは影響なし。代替手段の提供なし。システム全体を再構築し2026年12月頃の再開を目途。SuiteX dc70.etius.jp：5月10日からスタンダード契約はWeb・メール・FTP・管理ツールの全サービス、メールプレミアム契約はWeb・FTP・一部管理ツールが停止し、同一環境での再開を断念して契約終了扱い（解約処理は10月以降予定）。代替SuiteX環境を希望者に提供（初期費用全額・基本料金2か月分減免）。
期間：ファイル転送機能：2026-04-29〜（2026年12月頃再開目途、10/10時点で約5か月停止継続）。dc70.etius.jp：2026-05-10〜（再開せず契約終了）
データ
おそれ上限 7,446確定 —件
メール業務データその他（ダウンロード用パスワード・URL、メール/Webアカウントのパスワード〔保存形式非公表〕、IPアドレス、ファイル名、Web/メールコンテンツ）
公式は両事案とも「情報漏えいを示す痕跡は確認されていないが、可能性を完全に否定できるものではない」（おそれ）。大容量ファイル転送機能：1,510契約、認証ログのユニークメールアドレス7,446件（2019-03-05〜2026-04-30、認証日時含む）、アップロードファイル4,463件（2026-04-19〜04-30）、アップロード関連情報（日時、IPアドレス、ファイル名、ダウンロード用パスワード、ダウンロード用URL、メッセージ）、操作ログ、Webサーバログ。dc70.etius.jp：385契約、契約者管理のメールアカウント8,203件・Webアカウント269件、Webコンテンツ（DB含む）、メールコンテンツ、管理者・Web・メールのアカウントとパスワード、メーリングリスト情報、各種ログ、システムアカウントとパスワード。dc70では「暗号化された情報の一部」（NTTPC管理の情報）の第三者閲覧と、7契約の領域への不審ファイル設置が確認されている。パスワード類の保存形式（平文/ハッシュ）は非公表のため、data_typesでは「その他」に分類した。アップロードファイル4,463件の中身は契約者の業務ファイルで、個人情報等の有無は契約者側で判断が必要。records_maxはファイル転送側のメールアドレス7,446件（単位の異なる区分は合算していない）。
波及先
1510 契約（大容量ファイル転送機能。別にdc70.etius.jpの385契約）
  • 大容量ファイル転送機能を利用していたWebARENAメールホスティング／SuiteX契約企業（1,510契約）：送受信したファイル・ダウンロード用パスワードが漏えいのおそれ
  • dc70.etius.jp収容のSuiteX契約者（385契約）：Web・メールの全面停止と契約終了、移行を強いられる
  • うち7契約の顧客領域に不審なファイルが設置された痕跡
金銭影響
dc70.etius.jp利用者の代替SuiteX新規申込みに対し初期費用全額と基本料金2か月分を減免。その他の財務影響は非公表。
サプライチェーン
ホスティング事業者の共用基盤が侵害され、利用企業（大容量ファイル転送1,510契約、dc70 385契約）のファイル・メール・Webコンテンツ・アカウント情報が漏えいのおそれにさらされた。利用企業は、アップロードしたファイルに含まれる個人情報や取引先情報について、自社で個人情報保護委員会への報告要否や取引先への通知を判断する必要が生じた。

時系列

  1. 2026-04-21
    大容量ファイル転送機能を構成する一部サーバーで第三者による不正アクセスの痕跡が始まる（後の調査で判明）29
  2. 2026-04-29
    深夜、外部からの攻撃と思われる通信が断続的に発生。当該サーバーへのアクセスを遮断し大容量ファイル転送機能を停止（サポートサイトの5/1告知では4/30深夜と記載）24
  3. 2026-05-01 18:25
    WebARENAサポートサイトで「大容量ファイル転送」の提供停止を告知。原因特定に1週間以上、再開時期未定410
  4. 2026-05-06 20:05
    原因特定に数週間、その後の再開まで少なくとも1〜2か月程度と更新410
  5. 2026-05-10
    SuiteX収容サーバー dc70.etius.jp で攻撃と思われる通信が断続的に発生。アクセスを遮断し全サービスを停止。20:10に告知、調査に1か月以上かかる可能性を案内3510
  6. 2026-05-11 15:05
    dc70.etius.jp停止期間中の代替手段を更新。安全性が確認できるまで再開しない方針510
  7. 2026-05-21 11:00
    両事案とも調査が想定以上に長期化しているとして、結果報告を6月下旬頃の見込みと告知45
  8. 2026-06-23 11:00
    NTTPCが調査結果を公表。ファイル転送機能は4/21からの不正アクセス痕跡、1,510契約・メールアドレス7,446件・ファイル4,463件が対象、システム全体を再構築し12月頃再開目途。dc70は暗号化情報の一部閲覧と7契約への不審ファイル設置を確認し、同一環境での再開を断念・契約終了12345
  9. 2026-06-23 19:21
    INTERNET Watchが調査結果を報道8
  10. 2026-06-24
    ITmedia NEWSが「再構築へ今後半年間停止」と報道6
  11. 2026-06-26
    @ITが、漏えい確認なしでもサーバーを廃止したNTTPCの判断を解説7
  12. 2026-07-10 11:00
    dc70.etius.jp契約者へ今後の手続き（契約終了・代替環境の減免）を登録メールアドレス宛に個別案内5
  13. 2026-08-05
    dc70.etius.jpの告知ページを更新（解約処理は10月以降予定、料金は発生しない旨）5

技術解説

公表された事実：2つのサーバー侵害と異なる結末 事実

NTTPCは6月23日、WebARENAの2つの停止事案の調査結果を同時に公表した。①大容量ファイル転送機能：4月21日から一部サーバーに第三者の不正アクセス痕跡があり、4月29日深夜の断続的な攻撃通信を契機に遮断・停止した。サーバーには1,510契約分の認証ログ（ユニークメールアドレス7,446件、2019年3月5日〜2026年4月30日）、4月19日〜30日にアップロードされたファイル4,463件、ダウンロード用パスワード・URL・IPアドレス等が格納されていた。②SuiteX dc70.etius.jp：5月10日に攻撃通信を受けて全面停止し、第三者の不正アクセス痕跡、NTTPC管理の暗号化情報の一部の閲覧、7契約の領域への不審ファイル設置を確認した。いずれも漏えいを示す痕跡は確認されていないが可能性は否定できないとされ、侵入経路・脆弱性は公表されていない。①はシステム全体を再構築し12月頃再開目途、②は同一環境での再開を断念し契約終了とした。

検知までの8日間と、ファイル転送サービス特有のリスク 解釈

痕跡の始まり（4/21）から停止（4/29深夜）まで約8日間、侵入は検知されていなかった。停止の契機は「断続的な攻撃通信」であり、侵入そのものではなく攻撃の顕在化で気づいた形である。ファイル転送サービスは、受け渡し期間中のファイル本体とダウンロード用パスワード・URLを同じサーバーに置く構造になりやすく、サーバーを掌握されると「鍵と金庫」が同時に取られる。本件でもアップロード関連情報にダウンロード用パスワードとURLが含まれていた。また認証ログが2019年3月から約7年分保持されていたことで、直近の利用者だけでなく過去の利用者のメールアドレスまで対象に含まれた。ファイル転送製品は2023年のMOVEit、GoAnywhere等で大規模悪用が続いた攻撃対象であり、製品名は非公表ながら、同種の公開サーバー脆弱性が悪用された可能性がある（推測）。

「漏えい確認なし」でも再構築・廃止を選んだ判断 解釈

dc70.etius.jpでは不審ファイルの設置（Webシェル等の永続化手段の可能性）とNTTPC管理の暗号化情報の閲覧が確認されており、攻撃者がOSやミドルウェアの深い権限を得ていた可能性がある。このような状況では、痕跡を除去しても見落としたバックドアが残るリスクを否定しきれないため、同一環境での再開を断念し、利用者を別環境へ移す判断は技術的には妥当といえる。ファイル転送機能もパッチ適用ではなく「システム全体の再構築」を選び、約8か月の停止を受け入れた。一方で、385契約の利用者はWeb・メールが5月10日から長期停止したうえで移行を強いられ、代替のファイル転送手段も提供されなかったため、事業者の安全側判断のコストは利用企業が負担した構図である（評価）。

利用企業側に残る判断：個人情報保護法上の報告要否 解釈

NTTPCの公表は、格納されていた情報の種類と件数を示したが、個々の契約者のアップロードファイルの中身はNTTPCには分からない。したがって、ファイルに個人情報（特に要配慮個人情報や財産的被害のおそれがある情報）や取引先の秘密情報が含まれていた場合、個人情報保護委員会への報告や本人通知の要否は、個別通知を受けた各利用企業が判断する必要がある。漏えいは「おそれ」の段階だが、個人情報保護法の報告義務は「おそれ」も対象とするため、利用企業にとっては自社の判断と説明が求められる。NTTPC自身の当局報告の有無は公表されていない。

対応

封じ込め
4/29深夜にファイル転送サーバーへのアクセスを遮断・停止、5/10にdc70.etius.jpのアクセスを遮断・停止。外部セキュリティ専門会社と調査し、ファイル転送はシステム全体を再構築（12月頃再開目途）、dc70は同一環境での再開を断念し契約終了・代替環境を提供。dc70と同一パスワードを使う利用者にメール・Web・Webコンテンツのパスワード変更を推奨。再発防止策として外部専門会社によるセキュリティ診断、高リスク脆弱性への迅速な対処体制、不審アクセスの監視・検知・遮断の仕組みと監視体制の強化、経営層主導の継続的改善を表明。
公表の仕方
5/1（ファイル転送）・5/10（dc70）にWebARENAサポートサイトで停止を告知し、5/6・5/11・5/18・5/21・6/4に経過を更新。6/23にNTTPC公式サイトで調査結果を公表し、影響契約者には契約IDを記載して順次個別連絡（フィッシングとの混同防止の注意付き）。侵入経路・脆弱性・当局報告は非公表。
当局対応
—

教訓と対策

教訓具体的な対策
ファイル本体とダウンロード用パスワード・URLが同じサーバーにあったファイル転送は受取時にのみ復号できるクライアント側暗号化（または鍵をKMSで分離）とし、ダウンロード用パスワードはソルト付きハッシュで保存。ファイルは期限切れ後に即時物理削除する
認証ログが約7年分保持され、過去の利用者まで対象になったアプリサーバー上の認証ログは短期（例:90日）で消し、長期保存が必要なログは書き込み専用のログ基盤（別アカウント・WORM）へ転送して公開サーバーからは参照できないようにする
侵入から停止まで約8日間検知できなかった公開サーバーにEDRとファイル整合性監視（Webルート・設定ディレクトリ）を常時配備し、Webサーバープロセスからのシェル起動や新規ファイル作成をアラート化。ファイル転送製品の脆弱性情報（KEV等）を監視し、高リスクは48時間以内に適用またはサービス停止する運用基準を定める
共用サーバー侵害で多数の利用企業が影響を受けた（利用者側の視点）ホスティング・ファイル転送サービスの利用企業は、送るファイルを事前にパスワード付き暗号化（パスワードは別経路）し、委託先の侵害時に自社の個人情報保護法上の報告要否を判断する手順（何が預けてあるかの台帳）を整備する
侵害後の再利用判断不審ファイル設置や権限昇格の痕跡がある場合は、クリーンアップではなくゴールデンイメージからの再構築を標準手順とし、資格情報（システム・管理者・利用者）を全てローテーションする。再構築期間中の代替サービスを事前に用意しておく

自組織などでの確認項目

  1. あなたの会社が使っているファイル転送サービスが侵害された場合、過去にどの取引先とどんなファイルを送ったかを、何日で洗い出せるか。
  2. 自社が提供する共用サービスで侵害の痕跡が見つかったとき、「漏えい確認なし」でも全面再構築・環境廃止を選ぶ判断基準は何か。その間の顧客の代替手段は用意されているか。
  3. 公開サーバー上のログ・認証情報・ダウンロード用パスワードのうち、侵害時に攻撃者が取得できるものを今の構成で列挙するとどうなるか。
  4. 委託先から「漏えいの可能性は否定できない」と通知されたとき、自社として個人情報保護委員会への報告要否をどう判断するか。

未解明点

  • 侵入経路と悪用された製品・脆弱性（CVE）
  • dc70.etius.jpで閲覧された「暗号化された情報」の内容と、設置された不審ファイルの種類（Webシェル等か）
  • dc70.etius.jpへの不正アクセスの開始時期と、ファイル転送事案との攻撃者・手口の共通性
  • ダウンロード用パスワード・メール/Webアカウントのパスワードの保存形式
  • 個人情報保護委員会・総務省への報告の有無
  • 大容量ファイル転送機能の再開時期の確定（2026年12月頃目途）

出典

  1. 1
  2. 2
    「WebARENA 大容量ファイル転送機能」停止についてのお詫びとご報告
    NTTPCコミュニケーションズ2026-06-23公式本文確認済
  3. 3
  4. 4
  5. 5
    [2026/5/10] 【SuiteX】 dc70.etius.jp の提供停止について（2026/8/5更新）
    WebARENA（NTTPCコミュニケーションズ）2026-05-10公式本文確認済
  6. 6
  7. 7
  8. 8
  9. 9
    NTTPCコミュニケーションズ、WebARENAへの不正アクセスでメールアドレスなど個人情報漏洩の恐れ
    セキュリティ対策Lab（ロケットボーイズ）2026-06-23報道本文確認済
  10. 10
    NTTPC 運営のWebARENA SuiteXへ1か月に2度のサイバー攻撃-情報漏洩の有無は調査中
    セキュリティ対策Lab（ロケットボーイズ）2026-05-12報道本文確認済
  11. 11
    メール基盤に相次ぐサイバー攻撃- KDDI・IIJ・TOKAIコミュニケーションズ・WebARENAの4事案を整理
    セキュリティ対策Lab（ロケットボーイズ）2026-06-24研究者本文確認済
  12. 12
  13. 13