ウェルネス・コミュニケーションズ子会社の「あしたのサーベイ」における提供元システムへの不正アクセス（209人）
公表日
ウェルネス・コミュニケーションズ子会社が販売するサーベイサービスにおいて、提供元システムの認証情報が悪用され、顧客企業3社の計209名分の情報が不正に取得されました。
対象者は？
あしたのチームを通じて「あしたのサーベイ」を利用していた顧客企業3社の計209名（ウェルネス・コミュニケーションズの自社グループシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。や二次被害は確認されていません）。
対象となる顧客企業に対して個別に連絡・報告が行われているか、契約窓口等を通じた案内を確認する必要があります。具体的な確認方法は公表されていません。
何が起きたのか
ウェルネス・コミュニケーションズの子会社であるあしたのチームが販売していた「あしたのサーベイ」について、システムを実際に提供・運用していたラフールの環境に第三者から不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。がありました。これにより、あしたのチームの顧客企業3社、計209名分の一部顧客情報が不正に取得されました。
なぜ起きたのか・なぜ広がったのか
何者かが不正に利用可能な認証情報を使ってラフールのサーベイシステム環境にアクセスしたことが原因です。認証情報がどのようにして入手されたのかなど、詳しい原因は公表されていません。
いまの状況2026-11-05 時点
ラフール側で不正利用された認証情報の停止と、接続元IPアドレスからの通信遮断が実施されました。ウェルネス・コミュニケーションズグループの自社システムへの侵入や二次被害は確認されていないと発表されています。
企業として考えたいこと
自社が他社から仕入れて提供しているサービスや提携先システムで認証情報が悪用された場合、自社の顧客データを守り切るためのセキュリティ基準や監視体制は十分に整っていますか？
技術的な要約
ウェルネス・コミュニケーションズ株式会社の子会社である株式会社あしたのチームは、OEM提供を受けて販売する「あしたのサーベイ」において、提供元である株式会社ラフールのサーベイシステム環境への不正アクセスが確認されたと報告を受けた。この不正アクセスにより、あしたのチームの顧客企業3社、計209名分の顧客情報が不正に取得された。ラフール側では不正利用された認証情報の停止およびアクセス元IPアドレスからの通信遮断措置が講じられた。ウェルネス・コミュニケーションズグループの自社システムへの不正アクセスや二次被害は確認されていない。本事案は2026年11月5日に掲載・公表された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 認証情報窃取・流用報道・研究者不正に利用された認証情報によりラフールのサーベイシステム環境にアクセスされた。認証情報の窃取経路等の詳細は非公表。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- 確定上限 209確定 209人取引先情報その他顧客企業3社、209名の一部顧客情報が不正に取得された。
- 波及先
- 3 社
- 顧客企業3社
- 金銭影響
- —
- サプライチェーン
- ウェルネス・コミュニケーションズ子会社のあしたのチームがOEM提供を受けていたラフールのサーベイシステム環境が不正アクセスを受け、あしたのチーム顧客企業の情報が不正取得された。
時系列
- 2025-02-27
- 2025-03-01
- 2025-04-01ウェルネス・コミュニケーションズ株式会社の従業員数が216名となる（出向者および臨時従業員を含む）。5
- 2025-09ラフールサーベイの導入社数が、OEMサービスを含め2,300社を突破する。3
- 2026-02-27
- 2026-07-28あしたのチームがウェルネス・コミュニケーションズとの連携強化に関するプレスリリースを公表する。6
- 2026-10-22ラフールサーベイのウェブサイトに「【重要】PHPの脆弱性に関するお知らせ」が掲載される。3
- 2026-11-05情報漏洩まとめ.siteに、あしたのチームが販売する「あしたのサーベイ」の提供元ラフール環境への不正アクセスと顧客情報209名分の不正取得に関する事案が掲載される。2
技術解説
提供元システムにおける不正アクセスと被害の概要 事実
本件は、ウェルネス・コミュニケーションズ株式会社の子会社である株式会社あしたのチームが、株式会社ラフールからOEM提供を受けて販売していた「あしたのサーベイ」に関する事案である。提供元であるラフールのサーベイシステム環境に対して不正アクセスが行われ、あしたのチームの顧客企業3社、計209名分の一部顧客情報が不正に取得されたことが報告されている。被害の判明後、提供元のラフール側において、不正に利用された認証情報の停止と、アクセス元IPアドレスからの通信遮断措置が講じられた。ウェルネス・コミュニケーションズ側では、自社グループのシステムへの不正アクセスは確認されておらず、本件に伴う二次被害も確認されていないことが発表されている。公表・掲載は2026年11月5日に行われた。
OEM提供およびサプライチェーン構造におけるセキュリティリスク 解釈
自社が開発・運用していない外部システムを自社ブランドまたは提携サービス（OEM）として顧客に提供する場合、サービス提供基盤の運用実態やセキュリティインシデントへの対応は一次提供元に依存することになる。本件では、あしたのチームが自社サービスとして販売していたものの、基盤システムはラフール側で管理されていたため、システム侵害が一次提供元で発生しながらも、影響は再販元である子会社の顧客企業へ波及した。サプライチェーンを構成する事業者間で顧客情報を共有・保管する形態では、再委託先や提供元での認証情報管理の不備や侵害がそのまま自社顧客の被害につながる。契約上の責任分界点を明確にするとともに、OEM提供元のセキュリティ運用水準や監視態勢を定期的に評価・把握する仕組みが重要となる。
認証情報の適切な管理とアクセス制御の課題 解釈
本事案における初期侵入には、不正に利用された認証情報が用いられたとされている。正規の認証情報が悪用された場合、侵入検知システムや一般的な境界防御での識別が難しく、正規ユーザーの操作との区別がつかないまま情報が取得されるリスクが生じる。事後対応として認証情報の停止および接続元IPアドレスの遮断が実施されたが、そもそも認証情報がどのような経路（漏洩、推測、フィッシング、あるいは公開脆弱性の悪用等）で入手されたのかの究明が欠かせない。また、単一のID・パスワードのみに依存しない多要素認証（MFA）の義務付けや、接続元制限、異常な振る舞いやIPからのアクセスを即座に制限する仕組みが講じられていたかどうかが、侵害予防および被害極小化の観点から検証されるべき論点となる。
対応
- 封じ込め
- ラフールにより不正に利用された認証情報が停止され、アクセス元IPアドレスからの通信が遮断された。
- 公表の仕方
- 2026年11月5日付で事案情報が掲載・公表された。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| OEM提供元やSaaS事業者などサプライチェーン上のサービス基盤に対するセキュリティ監査体制を構築する | 外部ベンダーからOEM提供を受ける際は、ISO27001などの認証取得状況の確認にとどまらず、委託先選定時および定期的なセキュリティ評価チェックシートの実施、認証基盤の設定基準の確認を行う。 |
| 外部公開システムや管理環境における正規アカウントの不正利用を防止する | システム管理者および利用者のアクセス環境において多要素認証（MFA）を必須化し、推測容易なパスワードの禁止とパスワード再利用の排除をポリシーとして適用する。 |
| 不正アクセス発生時の迅速な封じ込め体制を確立する | 侵害が疑われる認証情報を即時に無効化するフローと、アクセス元IPアドレスや不審な通信をネットワーク境界で遮断する手順を策定し、緊急対応手順書（SOP）として整備する。 |
| 提供元と販売元（再販元・OEM元）の間でインシデント通報および連携フローを定義する | 提携・OEM契約において、セキュリティ事象発生時の通知義務、調査範囲、影響顧客の特定手順および対外公表の調整プロセスをあらかじめ契約書やSLAに取り決めておく。 |
自組織などでの確認項目
- 自社が再販やOEM提供を行っているサービス、または外部から導入しているSaaS環境において、認証基盤の管理責任とセキュリティ統制状況は定期的に評価されているか。
- 管理画面や社内システムへのアクセスにおいて、多要素認証（MFA）の義務化や不審なIPアドレスからのアクセスを制限・検知する仕組みが導入されているか。
- 外部提携先やクラウドベンダーのシステムが侵害された際、自社顧客への影響有無や漏洩範囲を迅速に特定できる情報連携・調査体制が整っているか。
未解明点
- ラフールのサーベイシステム環境で不正利用された認証情報は、どのような経路（漏洩リストの流用、フィッシング、脆弱性悪用など）によって窃取されたのか。
- 不正取得された「一部顧客情報」には、顧客企業の従業員氏名、メールアドレス、回答データなど具体的にどのような項目が含まれていたのか。
出典
- 1株式会社ラフール2025-02-27公式本文確認済
- 2情報漏洩まとめ.site2026-11-05報道本文確認済
- 3lafool Inc.公式本文確認済
- 4株式会社あしたのチーム2025-02-27公式本文確認済
- 5株式会社あしたのチーム2026-02-27公式本文確認済
- 6株式会社あしたのチーム公式本文確認済