スカラコミュニケーションズのFAQシステム「i-ask」への不正アクセス（最大5社・問い合わせ情報最大71万3126件）
公表日
FAQシステム「i-ask」を提供するスカラコミュニケーションズに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。があり、利用企業最大5社の問い合わせ情報が最大713,126件（延べ件数）漏えいした可能性があります。
対象者は？
i-askを使う企業の問い合わせ情報が対象です。公表されているのは、大和証券（約11万人、個人を特定できない問い合わせを含め約22万件）、シチズン時計のシチズン・ブローバ・フレデリック・コンスタントのお問い合わせフォーム（約10万人）、損保ジャパンのSMILING ROADの問い合わせ（延べ約6万件）です。東武鉄道は閲覧・取得の形跡は確認されていないとの報告を受けています。シチズン時計のECサイトや会員制サービスなど同社のシステム、損保ジャパンの口座・クレジットカード・マイナンバーカードの情報は含まれないとされています。ただし、シチズン時計の問い合わせ内容欄に銀行口座やカード情報を書いていた場合は、その情報も漏えいした可能性があります。
対象のお客様には各社から個別に連絡が来ます。シチズン時計は専用の問い合わせ窓口を設けています。東武鉄道の問い合わせ窓口は電話0120-983-861（受付9:00〜18:00、土休日も含む）です。
いますぐできること
- 関係者を装った不審なメール、SMS、電話には個人情報を伝えず、リンクを開いたり添付ファイルを開いたりしない。
- 上記の企業に問い合わせをしたことがある場合は、各社からの個別連絡や公式のお知らせを確認する。
- 問い合わせ内容欄に口座やカードの情報を書いた覚えがある場合は、公式の専用窓口に相談する。
何が起きたのか
2026年10月2日の夜から3日朝にかけて、第三者がi-askの管理サイトに不正にログインし、サーバーに不正なプログラムを置きました。そのうえで、同じサーバーにある利用企業のデータベースから問い合わせ情報を取り出した可能性があります。スカラ社は3日朝にデータベースの監視アラートに気づいて調査を始め、同日8時ごろに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を止めました。10月5日以降、大和証券、シチズン時計、損保ジャパン、東武鉄道が順に発表しました。
なぜ起きたのか・なぜ広がったのか
どうやって入られたのか、攻撃の原因や侵入経路の詳細はまだ発表されていません。ログインに使われた情報をどう入手したのかも分かっていません。複数の企業の情報が同じサーバー上にあったことが、影響が複数社に及んだことに関係している可能性があります。
いまの状況2026-10-07 時点続報待ち
スカラ社は調査を続けており、対象人数は名寄せ作業中です。緊急のセキュリティ強化を実施し、その後に新たな不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。は確認されていないとされています。再発防止策として、管理者認証の強化、多要素認証の導入、環境間の分離などを挙げています。シチズン時計は10月6日時点、損保ジャパンは7日時点で、二次被害や不正利用は確認されていないとしています。影響を受けた企業の全体像と原因の詳細は、まだ発表されていません。
企業として考えたいこと
自社が使っている外部サービスの管理画面は、多要素認証などで守られていますか。また、そこに預けている顧客情報の種類と量を把握できていますか。
技術的な要約
スカラコミュニケーションズは2026年10月6日、FAQシステム「i-ask」が不正アクセスを受け、同一サーバー上の利用企業最大5社の問い合わせ情報が最大713,126件（問い合わせ単位の延べ件数）漏えいした可能性があると発表した。第三者は2026年10月2日20時33分頃から10月3日8時1分頃にかけて管理サイトに不正ログインし、不正なプログラムを設置したうえで、データベースから問い合わせ情報を取得した可能性がある。同社は10月3日朝のデータベース監視アラートで調査を開始し、同日8時頃に不正アクセスを遮断した。影響は大和証券（約11万人）、シチズン時計（約10万人）、損保ジャパン（延べ約6万件）などの利用企業に波及し、シチズン時計の問い合わせ内容欄には銀行口座やクレジットカード情報が含まれる可能性がある。攻撃原因や侵入経路の詳細、影響を受けた企業の全体像は公表されておらず、スカラ社は調査を継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 管理画面/API公表で確認第三者がi-askの管理サイトに不正ログインし、サーバー上に不正なプログラムを設置したと公表されている。ログインに用いられた認証情報の入手方法や侵入経路の詳細は公表されていない。再発防止策として管理者認証の強化・多要素認証の導入などが挙げられている。
- 脆弱性
- CVE 非公表不明i-ask（スカラコミュニケーションズ提供のFAQシステム）脆弱性やCVEの有無は公表されていない。攻撃原因・侵入経路の詳細は非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし スカラ社サービスの停止有無は公表されていない。シチズン時計は自社のECサイト、会員制サービス、生産システム、社内ネットワークへのアクセスは確認されていないとしている。損保ジャパン・東武鉄道も自社システムへの不正アクセスは確認されていないとしている。
- データ
- おそれ上限 713,126確定 —件氏名住所電話メール口座クレカその他スカラ社公表は最大5社・問い合わせ単位の延べ最大713,126件で、実際の対象人数は名寄せ作業中。内容は利用企業により異なる。シチズン時計は約10万人分（氏名・住所・電話番号・メールアドレス等。問い合わせ内容欄に記載があれば銀行口座・クレジットカード情報も）。大和証券は約11万人（氏名・メールアドレス・口座番号など）、個人を特定できない問い合わせを含め約22万件。損保ジャパンは延べ約6万件（氏名・電話・住所・メール・勤務先・ドライバーID・運転アラート情報・機器情報・申込番号・問い合わせ本文等。口座・クレジットカード・マイナンバーカードに関する情報は含まれないとされる）。東武鉄道は情報の閲覧・取得の形跡は確認されていないとの報告。シチズン時計は10月6日時点で二次被害は確認されていない。
- 波及先
- 5 社（最大）
- 大和証券（約11万人、約22万件）
- シチズン時計（約10万人）
- 損害保険ジャパン（SMILING ROAD、延べ約6万件）
- 東武鉄道（お問い合わせフォームで利用。閲覧・取得の形跡は確認されていないとの報告）
- 金銭影響
- —
- サプライチェーン
- スカラコミュニケーションズ提供のi-askの同一サーバー上で稼働する複数の利用企業環境が影響を受け、大和証券、シチズン時計、損保ジャパンが漏えいの可能性を公表した。東武鉄道も報告を受けたが、閲覧・取得の形跡は確認されていないとしている。
時系列
- 2026-10-02 20:33
- 2026-10-03
- 2026-10-03 08:00
- 2026-10-03
- 2026-10-05
- 2026-10-06
- 2026-10-06
- 2026-10-07
- 2026-10-07東武鉄道が、お問い合わせフォームの提供元であるスカラ社から報告を受けたと公表。同社に関する情報の閲覧・取得の形跡は確認されていないとの報告。7
- 2026-10
技術解説
攻撃の経過と公表されている範囲 事実
スカラコミュニケーションズによると、第三者は2026年10月2日20時33分頃から10月3日8時1分頃にかけてFAQシステム「i-ask」の管理サイトに不正ログインし、サーバー上に不正なプログラムを設置した。その後、同一サーバー上で稼働していた利用企業のデータベースから問い合わせ情報を取得した可能性がある。同社は10月3日朝にデータベースの監視アラートを確認して調査を開始し、同日8時頃に不正アクセスを遮断した。INTERNET Watchは開始時刻を20時30分頃と記載しているが、他の報道や利用企業の公表は20時33分頃としている。ログインに使われた認証情報の入手方法、侵入経路、攻撃原因の詳細は公表されていない。
件数と対象情報の内訳（上限と確定の区別） 事実
スカラ社は10月6日、最大5社の問い合わせ情報が合計最大713,126件漏えいした可能性があると公表した。件数は問い合わせ単位の延べ件数で、実際の対象人数は名寄せ作業中とされる。利用企業ごとの公表では、大和証券が約11万人（氏名、メールアドレス、口座番号など。個人を特定できない問い合わせを含め約22万件）、シチズン時計が約10万人（氏名、住所、電話番号、メールアドレス等。問い合わせ内容欄に記載があれば銀行口座・クレジットカード情報も）、損保ジャパンが延べ約6万件（同一顧客の複数回の問い合わせを含み、約6万人ではない。口座・クレジットカード・マイナンバーカードの情報は含まれないとされる）である。東武鉄道はSC社から、情報の閲覧・取得の形跡は確認されていないとの報告を受けている。いずれも「可能性」で、流出が確定した件数は公表されていない。
利用企業とスカラ社の対応 事実
シチズン時計は10月3日にスカラ社から報告を受け、10月6日に公表した。個人情報保護委員会へ報告し、所轄の警察署へ相談している。対象者へ順次個別連絡し、専用の問い合わせ窓口を設置した。問い合わせ受付は別システムへ移行中で、本件システムは新規受付に使われておらず、10月中旬に利用を終了して保存された個人情報を全て削除する予定とされる。損保ジャパンは10月3日に連絡を受け、10月7日に公表し、対象者へ個別連絡する。連絡困難な場合は公表をもって通知に代える。両社とも自社システムへの不正アクセスは確認されておらず、公表時点で二次被害や不正利用は確認されていない。スカラ社は再発防止策として、管理者認証の強化、多要素認証の導入、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断などを挙げている。
複数社に影響が及んだ構造（解釈） 解釈
以下は公表事実からの解釈であり、確定した因果ではない。i-askは複数の利用企業の環境を同一サーバー上で稼働させており、管理サイトという共通の入口から不正なプログラムを設置された結果、複数社のデータベースが同時に影響範囲に入った可能性がある。スカラ社が再発防止策に「環境間の分離」を挙げている点は、この構造が影響範囲に関わっていた可能性を示唆するが、同社が原因をそう説明したわけではない。また、利用企業は自社システムに不正アクセスがなくても、委託先の管理画面が破られれば顧客の問い合わせ情報が影響を受けうる。問い合わせフォームの自由記述欄には、想定外の口座やカード情報が書き込まれることがあり、シチズン時計の公表でもその可能性が示されている。侵入経路が非公表のため、これ以上の推測はできない。
公表の進み方と限界（解釈） 解釈
以下は解釈である。公表は利用企業側から段階的に行われた。10月5日に大和証券、6日にスカラ社とシチズン時計、7日に損保ジャパンと東武鉄道が公表し、全体像が少しずつ見えてきた。侵入時刻を分単位で示し、調査開始と遮断の経緯を明らかにし、件数が延べ件数で人数ではない点も明記されていることは、利用者が状況を判断する助けになる。一方で、渡された出典にスカラ社自身の公式発表は含まれず、同社の内容は報道と利用企業の発表を通じて確認した。影響企業の全体数、名寄せ後の人数、侵入経路は未公表である。各社の数え方も人数、延べ件数、個人を特定できない問い合わせを含む件数と異なるため、単純に合算して全体像を示すことは難しい。
対応
- 封じ込め
- スカラ社は10月3日朝の監視アラートを契機に調査を開始し、同日8時頃に不正アクセスを遮断。経路の遮断などの緊急対応と緊急セキュリティ強化を実施し、実施後に新たな不正アクセスや情報漏洩は確認されていないとされる。再発防止策として管理者認証の強化、多要素認証の導入、環境間の分離、監視体制の強化、第三者による定期的な脆弱性診断などを挙げている。シチズン時計は問い合わせ受付を別システムへ移行済みで、本件システムは10月中旬に終了し、保存情報を全て削除する予定。
- 公表の仕方
- 2026年10月5日に大和証券、10月6日にスカラ社とシチズン時計、10月7日に損保ジャパンと東武鉄道が公表。シチズン時計は注意喚起、対象者への個別連絡、専用問い合わせ窓口の設置を行っている。損保ジャパンは対象者へ個別連絡し、連絡困難な場合は公表をもって通知に代えるとしている。スカラ社は調査を継続し、影響人数は名寄せ作業中。攻撃原因・侵入経路の詳細と影響企業の全体数は公表されていない。
- 当局対応
- 個人情報保護委員会（シチズン時計およびスカラ社が報告）
- 所轄の警察署（シチズン時計が相談）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 委託先SaaSの管理画面は、利用企業の全データに通じる単一の入口になりうる。 | 管理サイトに多要素認証（FIDO2/TOTP）を必須化し、接続元IP制限またはVPN/ゼロトラストプロキシ経由に限定する。ログイン失敗や新規IPからの管理者ログインを検知してアラート化する。 |
| 複数の利用企業を同一サーバーで動かすと、1社分の侵害が他社に波及しうる。 | テナントごとにDB認証情報・DBユーザー・ネットワークセグメントを分離する。可能ならテナント別に専用コンテナやインスタンスを割り当て、アプリ用DBユーザーに他テナントのスキーマへの権限を与えない。 |
| 管理サイトからサーバー上に不正プログラムを設置される経路を断つ必要がある。 | Webサーバーの書き込み可能ディレクトリでスクリプト実行を禁止し、ファイル整合性監視（FIM）とEDRで新規実行ファイル・Webシェルを検知する。管理機能のアップロード機能は拡張子とパスを制限する。 |
| データベース監視アラートが早期検知と遮断（約12時間）につながった。 | 大量のSELECT、通常と異なるクエリ元、転送量の急増をDB監査ログとSIEMで検知する閾値を設け、夜間・休日も一次対応できる当番体制と遮断手順（Runbook）を用意する。 |
| 問い合わせフォームの自由記述欄に、口座・カード情報など想定外の機微情報が溜まる。 | フォームに機微情報を書かないよう注意書きを表示し、サーバー側でカード番号などのパターンを検出してマスクまたは拒否する。問い合わせデータには保存期間を設け、対応完了後は自動削除またはアーカイブ暗号化を行う。 |
| 利用企業は委託先の侵害時に自社の影響範囲を素早く把握する必要がある。 | 委託先に預けているデータの種類・件数・保存期間を台帳で管理する。契約にインシデント通知期限、ログ提供、MFAなど最低限のセキュリティ要件を盛り込み、定期的に監査・点検を行う。 |
自組織などでの確認項目
- 自組織が使っているFAQ・問い合わせフォーム・CRMなどの外部サービスの管理画面に、多要素認証と接続元制限は設定されているか。管理者アカウントの一覧は最新か。
- 委託先に預けている問い合わせ情報には、どんな種類の個人情報が何件・何年分保存されているか。不要な古いデータを削除する仕組みはあるか。
- 委託先で不正アクセスが起きたと連絡を受けた場合、何時間以内に影響範囲を把握し、個人情報保護委員会への報告や顧客への告知を判断できるか。連絡窓口と手順は決まっているか。
- 自社の問い合わせフォームの自由記述欄に、口座やカード番号が書き込まれた場合、検知・マスクする仕組みはあるか。
未解明点
- 不正ログインに使われた認証情報はどのように入手されたのか（侵入経路・攻撃原因）。
- 影響を受けた利用企業の全体数と名前、名寄せ後の実際の対象人数はどうなるのか（最大5社のうち公表済みは一部）。
- スカラ社の公式発表の詳細と、設置された不正プログラムの内容、実際に取得されたデータの範囲（確定件数）はどうなっているのか。
- 攻撃者の特定や、攻撃者による情報の公開・悪用の有無は今後どうなるのか。
出典
- 1INTERNET Watch（Impress）2026-10-07報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-06報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-10-07報道本文確認済
- 4ScanNetSecurity2026-10-08報道本文確認済
- 5シチズン時計株式会社2026-10-06公式本文確認済
- 6FASHIONSNAP2026-10-07報道本文確認済
- 7東武鉄道株式会社2026-10-07公式本文確認済