テモナ「たまごリピート」への不正アクセス（脆弱性悪用・個人情報の外部送信痕跡は未確認・障害対応費用を特別損失計上）
公表日
ECカートシステム「たまごリピート」の一部サーバーに第三者が不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。しました。個人情報が外に送られた証拠やカード情報の漏えいは確認されておらず、対応費用は2026年9月期の第2四半期累計で55,779千円が特別損失になりました。
何が起きたのか
2025年10月24日、テモナ株式会社は、ECカートシステム「たまごリピート」のサーバーのログを監視していて、一部のサーバーで異常なアクセスを見つけました。調べたところ、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。とみられる痕跡があり、該当サーバーをネットワークから切り離しました。第1報は10月26日に公表されました。12月4日には外部の専門機関による調査が終わったと発表されました。その後、2026年5月に対応費用を特別損失として計上すると公表し、6月には保険金を受け取ったことも発表しました。
なぜ起きたのか・なぜ広がったのか
調査では、攻撃者が当時存在していた脆弱性（システムの弱点）を悪用して、一部のサーバーに入り込んだことが分かりました。ただし、どの製品のどの弱点だったのかは、参照した報道には書かれていません。侵入した日も公表されていません。
いまの状況2026-07-01 時点
2026年7月1日の報道時点で、個人情報が外部に送られた具体的な証拠は見つかっておらず、クレジットカード情報の漏えいや、悪用などの二次被害も確認されていないと伝えられています。被害のあったサーバーは新しいサーバーで作り直され、外部機関によるセキュリティ診断が行われています。対応費用は、2026年9月期の第2四半期累計で55,779千円が特別損失になりました。報道では、障害対応費3,034万円に対して保険金3,540万円を受け取ったとされています。影響を受けた件数や、悪用された弱点の詳細は、まだ発表されていません。
企業として考えたいこと
もし自社の公開サーバーに脆弱性が見つかったら、異常を検知してから、サーバーを切り離し、通信記録で外部への送信の有無を確かめるまでを、すぐに実行できるでしょうか。
技術的な要約
テモナ株式会社は、ECカートシステム「たまごリピート」の一部サーバーで2025年10月24日にサーバーログ監視中に異常なアクセスを検知し、第三者による不正アクセスとみられる痕跡を確認した。該当サーバーはネットワークから切り離され、2025年10月26日に第1報が公表された。2025年12月4日に外部専門機関の調査完了が公表され、攻撃者は当時存在していた脆弱性を悪用していたと判明したが、具体的な脆弱性は本文に記載がない。個人情報が外部に送信された具体的なログや証跡、クレジットカード情報の漏えい、二次被害は確認されていない。対応費用は2026年9月期第2四半期累計で55,779千円を特別損失に計上し、後に保険金3,540万円を特別利益として計上した。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 公開サーバの脆弱性報道・研究者フォレンジック調査により「攻撃者は当時存在していた脆弱性を悪用し、「たまごリピート」の一部サーバーに不正アクセスを行っていたことが判明しました。」と報じられている。具体的な脆弱性（製品名・CVE等）は記載がない。カテゴリは脆弱性悪用の事実から選んだもので、公開サーバか否かの詳細は公表されていない。
- 脆弱性
- CVE 非公表報道・研究者当時存在していた脆弱性が悪用されたとされるが、製品名・CVEは非公表。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 不正アクセスによるシステム障害が発生したと報じられ、被害サーバーは新規サーバーで環境を再構築した。中核業務の停止日数や範囲は公表されていない。
- データ
- なし上限 —確定 —個人情報が漏えいする可能性はあったが、外部に送信された具体的なログや証跡は確認されなかった。クレジットカード情報は非保持・非通過の仕組みで、漏えいは確認されていない。件数は公表されていない。
- 波及先
- —
- 金銭影響
- システム障害対応費用として2026年9月期第2四半期連結会計期間に25,431千円、第2四半期連結累計期間で55,779千円を特別損失に計上（主な内訳は外部専門機関の調査費用やシステム復旧作業等の費用）。報道によれば障害対応費3,034万円に対し保険金3,540万円を受給し、特別利益として計上した。
- サプライチェーン
- 委託先経由や他社への波及は公表されていない。
時系列
- 2025-10-24
- 2025-10-24
- 2025-10-24
- 2025-10-26不正アクセスについて第1報を公表した。3
- 2025-12-022025年9月期決算説明資料で不正アクセスとその影響を説明。調査中で、顧客情報流出の有無は不明、追加コストは合理的な見積りが困難で2026年9月期の連結業績予想は未定とした。2
- 2025-12-04
- 2026-05-14システム障害対応費用を特別損失に計上すると公表（第2四半期連結会計期間25,431千円、累計55,779千円）。6
- 2026-06-18特別利益（受取保険金）の計上を発表した。5
- 2026-07-01報道で障害対応費3,034万円に対し保険金3,540万円の受給が伝えられた。5
技術解説
検知から封じ込め、調査完了までの流れ 事実
2025年10月24日、テモナはECカートシステム「たまごリピート」のサーバーログを監視していたところ、一部サーバーで異常なアクセスを検知した。調査の結果、第三者による不正アクセスとみられる痕跡を確認し、該当サーバーをネットワークから切り離した。被害拡大の可能性があるサーバーも一時的に隔離し、プログラム診断や確認作業を並行して進めたと報じられている。外部専門機関に影響範囲の特定と原因調査を依頼し、顧問弁護士の助言を踏まえて個人情報保護委員会など関係機関へ報告した（報告日は記載がない）。第1報は10月26日に公表され、12月4日に外部専門機関による調査完了が発表された。
調査で判明した内容と影響範囲 事実
外部専門機関のフォレンジック調査により、攻撃者は当時存在していた脆弱性を悪用して「たまごリピート」の一部サーバーに不正アクセスしていたことが判明した。ただし、具体的な脆弱性（製品名・CVE等）は本文に記載がない。被害サーバーの通信記録の分析では、個人情報が漏えいする可能性はあったものの、外部に送信された具体的なログや証跡は確認されなかった。同サービスはクレジットカード情報を保持・通過させない仕組みで、カード情報の漏えいも確認されていない。不正利用などの二次被害も確認されておらず、その他のサーバーには不正アクセスの痕跡は確認されなかった。影響件数に関する記載は、参照した範囲にはない。
対応費用と業績への反映 事実
2025年12月2日の決算説明資料でテモナは、調査費用などの追加コストは合理的な見積りが困難として、2026年9月期の連結業績予想を未定とした。その後、2026年5月14日の適時開示で、2026年9月期第2四半期連結会計期間に25,431千円、第2四半期連結累計期間では55,779千円をシステム障害対応費用として特別損失に計上すると公表した。主な内訳は外部専門機関の調査費用とシステム復旧作業等の費用である。この影響は2026年1月13日公表の通期業績予想に織り込み済みとされた。6月18日には受取保険金の特別利益計上を発表し、報道では障害対応費3,034万円に対し保険金3,540万円を受給したと伝えられた。
「証跡が確認されなかった」という表現の読み方 解釈
公表内容は「外部に送信された具体的な証跡は確認されなかった」というものである。これは、漏えいがなかったと断定する表現とは異なる。一方で、個人情報が漏えいする可能性はあったと併記されており、確認できた範囲と、確認できなかった範囲を分けて伝える書き方になっている。読者としては、この表現を「問題なし」と受け取らず、調査で何を根拠にどこまで確認できたのかを見る必要がある。通信記録の保存範囲や保存期間が、こうした判断の確度に影響する可能性もある。ただし、調査の具体的な方法は参照した範囲では示されていない。
被害が限定的にとどまった要因として考えられる点 解釈
参照した範囲で確認できる事実から、影響が抑えられた可能性のある要素を挙げる。第一に、サーバーログ監視で異常を検知し、発見直後に該当サーバーの切り離しと周辺サーバーの隔離を行っている点である。第二に、クレジットカード情報を保持・通過させない設計により、最も機微な情報が対象から外れていた点である。ただし、これらが結果にどれだけ寄与したかを示す情報はない。また、悪用された脆弱性の内容や侵入日が公表されていないため、検知までの滞留期間や、同種の弱点が他の環境にもあったかは評価できない。あくまで公表情報に基づく推測であり、確定した因果ではない。
対応
- 封じ込め
- 発見直後に該当サーバーをネットワークから切り離し、被害拡大の可能性があるサーバーも一時的に隔離。プログラム診断や確認作業を並行して実施し、被害サーバーは新規サーバーで環境を再構築、外部機関によるセキュリティ診断を実施している。
- 公表の仕方
- 2025年10月26日に第1報、2025年12月4日に調査完了の続報を公表。2025年12月2日の決算説明資料でも言及し、2026年5月14日に特別損失、6月18日に受取保険金の計上を公表した。
- 当局対応
- 個人情報保護委員会など関係機関へ報告
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 公開されたサーバーの脆弱性は、悪用される前に把握して直す必要がある。本件では当時存在していた脆弱性が悪用されたと報じられている。 | 外部公開サーバーを資産台帳で管理し、OS・ミドルウェア・ライブラリの脆弱性スキャンを定期実行する。重大度別にパッチ適用の期限を決め、期限超過を週次で報告する。 |
| ログ監視で異常を早く見つけ、すぐ隔離できる体制が被害拡大の抑制につながる。 | アクセスログやプロセス・認証ログをSIEM等に集約し、異常なアクセスパターンの検知ルールとアラートを整える。検知から切り離しまでの手順をランブックにして、定期的に訓練する。 |
| 外部への送信有無を判断するには、通信記録が残っていることが前提になる。 | プロキシ・FW・フローログを調査に足る期間保存し、改ざん防止のため別環境にも複製する。インシデント時のログ保全手順（取得対象・順序・担当）をあらかじめ決めておく。 |
| カード情報を保持・通過させない設計は、侵害時に漏えいしうる情報の範囲を狭める。 | 機微データの保持を設計段階で見直し、決済はトークン化や外部決済サービスに寄せる。サーバーごとに保持データを棚卸しし、不要なデータは削除またはマスキングする。 |
| 調査・復旧費用は見積りに時間がかかり、業績や開示判断に影響する。保険による回収も別途考える必要がある。 | サイバー保険の補償範囲（調査費用・復旧費用など）と請求手続きを事前に確認する。インシデント時の費用項目を分けて記録する運用を作り、経理・法務・広報と開示判断の流れを共有しておく。 |
自組織などでの確認項目
- 自組織の外部公開サーバーとその上のソフトウェアの一覧は最新か。脆弱性が公表されてから修正を適用するまでの期限は決まっているか。
- 自組織のサーバーログで異常なアクセスを検知した場合、誰がいつ気づき、どの手順で該当サーバーを切り離すか。直近1年でその手順を試したか。
- 個人情報が外部に送信されたかを判断するための通信ログは、何日分、どこに保存されているか。侵害を受けたサーバーとは別の場所にも保管されているか。
- 自組織が扱う機微なデータ（決済情報など）は、本当に自社のサーバーで保持・通過させる必要があるか。保持しない設計に変える余地はあるか。
未解明点
- 悪用された脆弱性の製品名・CVE・種別は何か（本文に記載がない）。
- 侵入が始まった日と、検知（2025年10月24日）までに何日経っていたか。
- 個人情報が漏えいする可能性があった対象の範囲と件数はどれだけか。
- 特別損失（累計55,779千円）と、報道にある障害対応費3,034万円・保険金3,540万円の対象範囲や期間の関係はどうなっているか。
- 個人情報保護委員会など関係機関への報告日はいつか。再発防止策の具体的な内容はどうか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-05報道本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2025-12-02報道本文確認済
- 3ScanNetSecurity2025-11-12報道本文確認済
- 4ScanNetSecurity2025-12-19報道本文確認済
- 5ScanNetSecurity2026-07-01報道本文確認済
- 6テモナ株式会社2026-05-14公式本文確認済