アルプスアルパインの外部VPNシステムへの不正アクセス（役員・従業員等の個人情報が閲覧された可能性）
公表日
アルプスアルパインが、外部VPNシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。で、役員・従業員などの一部の個人情報が閲覧された可能性があると2026年4月27日に公表しました。対象人数はまだ発表されていません。
対象者は？
社内システムにアクセスするために登録されていた役員・従業員（退職者を含む）と、委託先企業の従業員の一部です。閲覧された可能性があるのは、ログインID（社員番号を一部含む）・氏名・会社メールアドレス・役職・部門名・システムIDです。パスワードは暗号化して管理され、取得された事実は確認されていません。クレジットカード・銀行口座・マイナンバーは保存されておらず、顧客情報・取引先情報も当該システムには保存されていません。
個別の連絡の有無や問い合わせ窓口は、渡された情報ではまだ分かりません。該当しうる方は、勤務先や関係する会社からの案内を確認してください。
いますぐできること
- アルプスアルパインの関係者を名乗るメールや連絡が届いたら、リンクや添付ファイルを開く前に、別の方法で相手を確認してください。
- 社内システムのパスワードを使い回している場合は、変更してください。会社から変更の案内があれば従ってください。
何が起きたのか
2026年3月18日、同社の社内システムの保守管理を任されている会社から、外部VPNシステムに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。の跡があるとの連絡がありました。VPNは、社外から社内システムに安全につなぐための仕組みです。その後、委託先の調査で4月13日に同社のサーバーにも不正アクセスがあったと分かり、社内システムに登録された個人情報が閲覧された可能性が確認されました。同社は4月27日に公表しました。現時点で、外部への流出や二次被害は確認されていません。
なぜ起きたのか・なぜ広がったのか
原因は、外部VPNシステムへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。と判明しているとされています。VPNの製品名や、どのような方法で入られたのかは、まだ発表されていません。外部の専門機関と一緒に詳しい調査が続いています。
いまの状況2026-05-01 時点続報待ち
2026年5月1日時点で、詳しい原因調査が続いており、最終的な結果はまだ発表されていません。同社は、VPNの利用停止、セキュリティ設定の見直し、全従業員とグループ会社従業員へのパスワード変更の通知をすでに行ったとされています。今後は、監視体制の強化、個人情報の取扱いルールの再点検、情報セキュリティ教育の継続を予定しているとのことです。補償については、まだ発表されていません。
企業として考えたいこと
あなたの会社で外部から社内システムにつなぐVPNなどの入口は何か所あり、委託先から異常の連絡が来たとき、誰がどの時点で止めるか決まっていますか。
技術的な要約
アルプスアルパイン株式会社は2026年4月27日、同社が利用する外部VPNシステムへの不正アクセスにより、社内システムアクセス用に登録された役員・従業員（退職者含む）および委託先企業従業員の一部の個人情報が閲覧された可能性を否定できないと公表した。3月18日に社内システムの保守管理を委託する事業者から不正アクセスの痕跡確認の連絡を受け、4月13日の委託先調査で同社サーバーへの不正アクセスが判明した。閲覧された可能性のある情報はログインID（社員番号を一部含む）・氏名・会社メールアドレス・役職・部門名・システムIDで、パスワードは暗号化管理され取得の事実は確認されていない。顧客情報・取引先情報は当該システムに保存されておらず、外部流出や二次被害は確認されていない。外部専門機関と連携した詳細原因調査が継続している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- VPN/境界機器公表で確認公表では「同社が利用している外部VPNシステムへの不正アクセス」が原因と判明しているとされる。製品名・脆弱性・侵入手口の詳細は記載がなく、外部専門機関と詳細原因を調査中。
- 脆弱性
- CVE 非公表不明VPN製品名・脆弱性の詳細は公表されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 当該VPNシステムの利用停止が行われたが、業務停止の有無・範囲は公表されていない。
- データ
- おそれ上限 —確定 —会員ID氏名メール従業員情報その他対象は社内システム登録の役員・従業員（退職者含む）および委託先企業従業員の一部。件数は公表されていない。ログインID（社員番号を一部含む）・氏名・会社メールアドレス・役職・部門名・システムID。パスワードは暗号化管理され取得の事実は未確認。クレカ・口座・マイナンバーは保存なし。顧客・取引先情報は保存されておらず外部流出は未確認。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 社内システムの保守管理を委託する事業者が不正アクセスの痕跡を最初に検知し連絡した。委託先従業員の個人情報も対象に含まれる。委託先が侵入経路だったとは公表されていない。
時系列
技術解説
発覚から公表までの経緯 事実
報道によると、2026年3月18日に社内システムの保守管理等を委託する事業者から、外部VPNシステムへの不正アクセスの痕跡を確認したとの連絡をアルプスアルパインが受けた。その後、委託先事業者が調査した結果、4月13日に同社サーバーへの不正アクセスが判明し、社内システム登録者の個人情報が閲覧された可能性を確認した。同社は4月27日に、個人情報が外部の攻撃者に閲覧された可能性を否定できないとして公表した。最初に痕跡を検知したのは同社自身ではなく委託先事業者であったと報じられている。侵入日やVPN製品名は、渡された出典には記載がない。
閲覧された可能性のある情報と範囲 事実
閲覧された可能性のある情報は、ログインID（社員番号を一部含む）、氏名、会社メールアドレス、役職、部門名、システムIDである。対象は社内システムアクセス用に登録された役員・従業員（退職者を含む）と、委託先企業の従業員の一部とされる。パスワードは暗号化管理されており、取得された事実は確認されていない。クレジットカード情報・銀行口座情報・マイナンバーはシステム上に保存されていない。顧客情報・取引先情報も当該システムに保存されておらず、外部流出の事実は確認されていない。対象者の件数は渡された出典に記載がない。
委託先による検知が示すこと 解釈
今回の経緯からは、検知と原因調査の両方で委託先事業者が重要な役割を担ったことが読み取れる。自社の監視だけでなく、保守を委託する事業者の観測が早期の手がかりになりうる一例といえる。一方で、3月18日の連絡から4月13日の判明、4月27日の公表までには数週間の間隔がある。この間に何が調査され、どの時点でVPNが停止されたのかは出典から分からず、期間の長短を評価することはできない。また、委託先が侵入経路だったとは述べられていない。委託先は検知した側であり、侵入口として扱うべきかは今後の調査結果を待つ必要がある。
影響の見立てと対応の方向性 解釈
閲覧の可能性がある項目はID・氏名・メールアドレス・役職・部門といった識別情報である。金銭被害に直結する情報は保存されていないとされるが、これらは社内関係者を装うメールや連絡の材料になりうる。不審メールへの注意喚起は、この点に沿った対応と考えられる。また、全従業員・グループ会社従業員へのパスワード変更通知は、仮に認証情報が悪用された場合の被害を抑える手段として理にかなう。ただし詳細な原因調査は外部専門機関と継続中であり、侵入手口や影響範囲の確定的な評価は、続報や最終報の公表を待つ必要がある。
対応
- 封じ込め
- 当該VPNシステムの利用停止・セキュリティ設定の見直し、外部専門機関による技術的調査、全従業員・グループ会社従業員へのパスワード変更通知（公表以前に実施済み）。再発防止策としてVPNを含むシステム全体のセキュリティ対策・監視体制の強化、個人情報の取扱い・管理ルールの再点検、情報セキュリティ教育の継続実施を挙げている。
- 公表の仕方
- 2026年4月27日に公表。社内・グループ会社内の関係者へ状況説明を行った。閲覧された可能性のある情報の項目と、保存されていない情報を明示した。
- 当局対応
- 関係機関への相談・報告（具体的な機関名は公表されていない）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部公開のVPNは侵入口になりうるため、利用状況の可視化と停止判断の基準を事前に決めておく。 | VPN装置の認証ログ・接続元IP・接続時間帯をSIEMに集約し、通常時と異なる接続を検知するルールを設定する。侵害疑い時にVPNを停止する判断者と手順をランブックに記載して訓練する。 |
| 保守委託先の観測が検知の起点になりうるため、委託先との連絡経路と情報共有の取り決めを整える。 | 委託契約に、異常検知時の通知期限・連絡先・ログ提供範囲を明記する。委託先から受けたアラートを受け付ける窓口を平日夜間・休日も含めて定義し、年1回の連絡訓練を行う。 |
| 社内システム用の識別情報が閲覧されても被害が広がらないよう、パスワードの保護と多要素認証を徹底する。 | VPN・社内システムのログインにFIDO2やTOTPなどの多要素認証を必須とする。パスワードは強度の高いハッシュ方式で保存し、侵害疑い時に全アカウントを一括失効・再設定できる手順を用意する。 |
| 識別情報は標的型の不審メールの材料になりうるため、関係者向けの注意喚起と受信側の対策を併せて実施する。 | メールゲートウェイで社内ドメインのなりすまし検知（SPF/DKIM/DMARC）を有効にし、不審メールの報告ボタンと報告先を整備する。漏えいの可能性がある項目を従業員へ具体的に周知する。 |
| システムに保存する情報の種類を絞り込み、侵害時の影響範囲を事前に限定しておく。 | 社内システムごとに保存項目の棚卸しを行い、不要な個人情報は削除または保存しない設計にする。保存データと保存場所の一覧を維持し、侵害時に影響範囲をすぐ特定できるようにする。 |
自組織などでの確認項目
- 自社の外部VPNや リモートアクセス装置は何台あり、製品名・バージョン・管理者・ログ保管期間を即答できますか。
- 保守を委託している事業者から不正アクセスの痕跡を知らされた場合、誰が受け、何時間以内に誰が利用停止を判断するかが決まっていますか。
- 社内システムに登録されたID・氏名・メールアドレス・役職などが外部に閲覧された場合、どのような不審メールが従業員や委託先に届くと想定し、見分け方を周知していますか。
未解明点
- 不正アクセスの対象となったVPN製品名、悪用された脆弱性や認証情報の有無、侵入手口はどうだったのか。
- 実際の侵入日と、攻撃者が滞在していた期間はいつからいつまでか。
- 閲覧された可能性のある個人情報の対象者数は何人か。また、対象者への個別連絡は行われたのか。
- 3月18日の連絡後、VPNを停止した日付と、業務への影響の有無・範囲はどうだったのか。
- 外部専門機関による詳細原因調査の最終結果は公表されるのか。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-04-30報道本文確認済
- 2ScanNetSecurity2026-05-01報道本文確認済