forty three（ゼットン運営）旧メールシステムへの不正アクセス（個人情報1万8553件流出の恐れ）
公表日
飲食店「forty three」（岐阜市）の旧メールシステムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、最大1万8553件の個人情報が流出した可能性があると、運営するゼットンが発表した。
対象者は？
2018年6月〜2025年9月に予約サイトや直接メールで同店を予約した顧客、メールで連絡していた取引先、旧メールシステムを使っていた従業員、2022年12月〜2025年9月にパーティーを依頼した顧客と参加予定者。クレジットカードなどの決済情報とマイナンバー情報は含まれていない。
ゼットンの公式お知らせで対象の範囲を確認してください。個別の連絡方法については、まだ確認できていません。
いますぐできること
- 同店や関係先を装った不審なメールのURLや添付ファイルは開かず、削除する。
- 対象期間に同店へ予約や連絡をした心当たりがあれば、公式のお知らせを確認する。
- 不審な連絡を受けたときは、メールのリンクではなく公式サイトの窓口から確認する。
何が起きたのか
2025年9月18日、店舗で使っていたパソコン1台がウイルスに感染し、旧メールシステムのアカウントのIDやパスワードが盗まれました。11月27日からは海外から繰り返し不正にログインされ、そのアカウントから複数の宛先へメールが送られていました。2026年2月18日、従業員が不審なメールに気づいて報告し、問題が分かりました。端末はすぐネットワークから切り離されました。ゼットンは3月27日に公表しました。
なぜ起きたのか・なぜ広がったのか
盗まれた認証情報を使って、運用を終えた旧メールシステムのアカウントに不正にログインされました。ウイルスの種類と感染のしかたは、まだ発表されていません。
いまの状況2026-03-27 時点続報待ち
2026年3月27日の公表時点で、個人情報が公開された事実は確認されていません。流出が確定した件数は発表されていません。旧メールシステムの全ユーザーのパスワードリセットとアカウント停止が完了し、外部の専門機関によるフォレンジック調査が行われました。旧システムの遮断・廃止、新しいセキュリティ対策の導入、従業員教育も実施されたとのことです。個人情報保護委員会にも報告済みです。現行システムとグループ会社への影響はないとされています。続報はまだ確認できていません。
企業として考えたいこと
自社で使い終えた旧システムやメールのアカウントが、誰にも気づかれないまま有効な状態で残っていないでしょうか。
技術的な要約
株式会社ゼットンは2026年3月27日、運営する店舗forty three（岐阜県岐阜市）で過去に使用していた旧メールシステムのアカウントへの外部からの不正アクセスにより、個人情報が流出した可能性が否定できないと公表した。2025年9月18日に店舗のPC端末1台がマルウェアに感染して認証情報が窃取され、同年11月27日から海外からの継続的な不正ログインと複数の宛先へのメール送信が行われた。2026年2月18日に従業員から不審メールがメールボックスにある旨の報告があり発覚し、対象端末をネットワークから隔離した。対象アカウントは2件で、流出の可能性が否定できない個人情報は合計1万8553件（氏名、住所、電話番号、メールアドレス、アレルギー情報、予約内容等）である。クレジットカードなどの決済情報とマイナンバー情報は含まれず、個人情報が公開された事実は確認されていない。現行システムとグループ会社の環境への影響はないとされ、個人情報保護委員会へ報告済みである。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用公表で確認公式発表では、2025年9月18日に該当店舗で利用していたPC端末1台がマルウェアに感染し、該当端末で使用していた旧メールシステムのアカウント認証情報が窃取された。その後、2025年11月27日より海外からの継続的な不正ログインが行われた。マルウェアの種類・感染経路は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 本件は運用を終了していた旧システムでの事象で、現行のシステムおよびグループ会社のシステム環境への影響はないことを確認していると公表。中核業務の停止は公表されていない。
- データ
- おそれ上限 18,553確定 —件氏名住所電話メール健康情報その他対象アカウントは2件で、流出の可能性が否定できない個人情報は合計18,553件。内訳は氏名、住所、電話番号、メールアドレス、アレルギー情報（健康情報に分類）、予約内容等（その他）。対象は、2018年6月〜2025年9月に予約サイト経由または直接メールで該当店舗を予約した顧客、メール連絡していた取引先、旧メールシステムを利用していた従業員、2022年12月〜2025年9月にパーティーを依頼した顧客と参加予定者。クレジットカード等の決済情報とマイナンバー情報は含まれず、公開された事実は現時点で確認されていない。流出確定件数は公表されていない。
- 波及先
- —
- 不正アクセス後に該当アカウントから複数の宛先へメールが送信されていたことが調査の範囲で確認されている。公式は不審メールのURLや添付ファイルを開かず削除するよう注意喚起している。
- 金銭影響
- —
- サプライチェーン
- 現行システムおよびグループ会社のシステム環境への影響はないことを確認していると公表されている。
時系列
- 2018-06流出の可能性がある個人情報の対象期間の始期（2018年6月〜2025年9月に予約した顧客等）。5
- 2022-12パーティー依頼顧客・参加予定者の対象期間の始期（2022年12月〜2025年9月）。5
- 2025-09-18
- 2025-11-27
- 2026-02-18
- 2026-02-18発覚後即時に個人情報保護委員会へ報告した（公式発表の記載。報告日の明記はなく、発覚後即時とされる）。5
- 2026-03-27
- 2026-03-27
- 2026-03-30セキュリティ対策Labが、1万8553件の個人情報流出の恐れとして報道。3
- 2026-04-01セキュリティ対策Labが2026年3月の個人情報漏洩事例まとめに本件を掲載。2
- 2026-04-09ScanNetSecurityが、マルウェア感染・認証情報窃取・海外からの不正ログイン・メール送信として報道。4
技術解説
攻撃の構造：端末感染から旧メールアカウントの不正利用まで 事実
公式発表によれば、2025年9月18日に店舗で利用していたPC端末1台がマルウェアに感染し、その端末で使用していた旧メールシステムのアカウント認証情報が窃取された。その後、2025年11月27日から海外からの継続的な不正ログインが行われ、該当アカウントから複数の宛先へメールが送信されていたことが判明している。対象アカウントは2件である。マルウェアの種類や感染経路は、渡された出典では公表が確認できない。また、攻撃者の名称や主張についても記載がない。
影響範囲と数値の読み方 事実
流出の可能性が否定できない個人情報は合計1万8553件で、対象アカウントは2件とされる。この件数は「可能性が否定できない」範囲の数であり、流出が確定した件数は公表されていない。含まれる情報は氏名、住所、電話番号、メールアドレス、アレルギー情報、予約内容などである。クレジットカードなどの決済情報とマイナンバー情報は含まれず、個人情報が公開された事実は現時点で確認されていない。現行システムとグループ会社の環境への影響はないと確認しているとされる。
被害が長引いた背景についての見方 解釈
発表上、感染日の2025年9月18日から発覚の2026年2月18日までは約5か月、不正ログイン開始の同年11月27日からでも約2.7か月ある。発覚の契機は従業員による不審メールの報告であった。こうした経過から、運用を終えた旧システムのアカウントは日常の利用者が少なく、異常に気づく機会が限られていた可能性がある。ただしこれは公表された日付からの推測にすぎず、ログ監視や多要素認証の有無といった実際の運用状況は公表されていないため、断定はできない。
公表内容の見方 解釈
公式発表は、時系列、対象者の範囲、含まれない情報、対応内容を具体的に示している。対象期間も2018年6月〜2025年9月などと区切られており、該当する人が自分の関係を判断しやすい内容である。発覚後に端末を隔離し、全ユーザーのパスワードリセット、アカウント停止、外部専門機関によるフォレンジック調査、個人情報保護委員会への報告が行われたとされる。一方、公表は発覚から約5週間後の2026年3月27日であり、この間は調査を進めていたものとみられる。マルウェアの詳細や流出確定の有無は今後の続報が待たれる点である。
対応
- 封じ込め
- 端末の隔離と証拠保全、旧メールシステム全ユーザーのパスワードリセットとアカウントの完全停止、関連サービスのパスワード変更を完了。外部のセキュリティ専門機関によるデジタル・フォレンジック調査を実施。再発防止策として旧メールシステムの遮断・廃止、グループ標準のセキュリティソリューション導入、従業員教育の再徹底を実施。
- 公表の仕方
- 2026年3月27日にゼットンのコーポレートサイトで「当社旧メールシステムへの不正アクセスに関するお知らせとお詫び」を公表。forty threeのサイトにはお詫びとご報告を掲載し、詳細はゼットンのサイトに公開としている。不審メールのURLや添付ファイルを開かず削除するよう注意喚起している。
- 当局対応
- 個人情報保護委員会（発覚後即時に報告）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 廃止したはずのシステムのアカウントが残っていると、侵入口になり得る。 | システム廃止時の手順に、メールを含む全アカウントの無効化・削除と、DNS/MXやIdP連携の撤去を含める。四半期ごとに未使用アカウントの棚卸しを行い、最終ログインが一定期間ない口座を自動で停止する。 |
| 端末のマルウェア感染で窃取された認証情報は、感染から時間をおいて使われることがある。 | EDRを全端末に導入して感染を早期に検知する。感染が疑われた端末で使われたアカウントは、パスワードを即時リセットし、セッションとトークンも失効させる。 |
| 海外からの継続的なログインは、地理や回数の監視で気づける可能性がある。 | メールサービスのサインインログを集約し、国外IPや普段と異なる地域からのログインに対する警告ルールを設定する。可能なら国外IPを条件付きアクセスで制限する。 |
| パスワードだけの認証では、窃取された認証情報がそのまま使われてしまう。 | メールを含むすべてのサービスで多要素認証を必須にし、レガシー認証(POP/IMAP基本認証)を無効化する。 |
| メールボックスには予約内容など個人情報が長期間蓄積しやすい。 | 予約情報を業務システムに集約し、メールの保存期間と自動削除ルールを定める。アレルギー情報など機微な情報はメール本文でやり取りしない運用にする。 |
自組織などでの確認項目
- 自社で運用を終えたシステム（メール、サーバ、SaaS）のアカウントが、いまも有効なまま残っていないか。棚卸しの担当者と頻度は決まっているか。
- 店舗や拠点のPCで使うメールなどのアカウントに、多要素認証は設定されているか。海外からのログインを検知・制限できる設定になっているか。
- 従業員が不審メールや不審な挙動に気づいたとき、誰にどう報告するか決まっているか。報告から端末隔離までの手順は訓練されているか。
未解明点
- 感染したマルウェアの種類と感染経路は何か。公表されていない。
- 流出が確定した個人情報の件数はどれだけか。1万8553件は「可能性が否定できない」件数であり、確定件数は公表されていない。
- 2025年11月27日からの不正ログインで、実際に閲覧・取得されたメールの範囲はどこまでか。
- 不正アクセス後に送信された複数の宛先へのメールの内容と宛先数はどれか。公表されていない。
- 発覚まで約3か月近く気づけなかった要因（監視、認証設定など）は何か。公表されていない。
出典
- 1forty three(株式会社ゼットン運営)2026-03-27公式本文確認済
- 2セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-01報道本文確認済
- 3セキュリティ対策Lab（合同会社ロケットボーイズ）2026-03-30報道本文確認済
- 4ScanNetSecurity2026-04-09報道本文確認済
- 5株式会社ゼットン2026-03-27公式本文確認済