東芝テック「ShopCraft」での顧客情報の越境閲覧可能状態（最大382,123名分、閲覧事実は未確認）
公表日
東芝テックが提供するお店向けのクラウドシステム「ShopCraft」で、利用企業の1社が、ほかの利用企業の顧客情報を見られる状態になっていました。対象は最大382,123名分です。同社は、実際に見られたことや悪用は確認されていないとしています。
対象者は？
ShopCraftを使っている専門店のうち、問題のサーバーにデータが登録されていた店の顧客、最大382,123名です。対象の情報は、氏名、生年月日、性別、住所、電話番号、メールアドレスの6項目です。公表された項目に、これら以外の情報は挙げられていません。インターネット上で誰でも見られる状態だったわけではありません。
対象の店の名前や、個人ごとに確認する方法は、まだ発表されていません。東芝テックの公式のお知らせと、自分が会員登録している専門店からの案内を確認してください。
いますぐできること
- 東芝テックの公式のお知らせと、会員登録している専門店からの案内に目を通す。
何が起きたのか
2026年3月26日から、ShopCraftの一部のサーバーで、利用企業の1社が、同じサーバーにあるほかの利用企業の顧客情報を見られる状態になっていました。6月23日にこの状態がわかり、その日のうちに対策がとられました。東芝テックは8月3日にこの件を公表しました。
なぜ起きたのか・なぜ広がったのか
東芝テックがその1社のために作った手順書に、管理者用のアカウント情報が誤って書かれていました。このアカウントを使うと、ふだんは見られないほかの利用企業の顧客情報まで見られる状態でした。手順書の誤りに3か月近く気づかなかった理由は公表されていません。
いまの状況2026-08-24 時点続報待ち
問題のアカウントは使えなくなり、パスワードも変更され、見られる状態は解消されています。その1社からは情報を見ていないとの確認を得ていて、悪用や被害は確認されていないとされています。東芝テックは関係する利用企業に説明し、個人情報保護委員会に報告して対応を協議しています。再発防止策として、情報管理体制の強化、作業手順の改善、社内への周知徹底を挙げています。対象者への個別の連絡や補償については、まだ発表されていません。
企業として考えたいこと
自社が取引先に渡している手順書や資料の中に、管理者のIDやパスワードが紛れ込んでいないと、いま確かめられますか？
技術的な要約
東芝テックは2026年8月3日、クラウド型専門店向本部システム「ShopCraft」の一部サーバーで、特定のユーザー1社が同一サーバーに登録された他ユーザーの顧客情報を閲覧できる状態にあったと公表した。原因は、同社が作成した特定ユーザー1社向けの手順書に、管理者権限を有するアカウント情報を誤って記載したことである。閲覧可能となった日は2026年3月26日、発覚・対策日は2026年6月23日で、対象の顧客情報数は382,123名（氏名、生年月日、性別、住所、電話番号、メールアドレス）。インターネット上で不特定多数の第三者が閲覧できたものではなく、当該ユーザーは対象情報を閲覧していないと確認しており、閲覧事実・不正利用・被害は確認されていない。同社は当該アカウントの無効化とパスワード変更を実施し、関係ユーザーへの説明と個人情報保護委員会への報告を行って対応を協議している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表で確認外部からの侵入は公表されていない。公式発表では、特定ユーザー1社向けの手順書に管理者権限を有するアカウント情報を誤って記載しており、そのアカウント情報を用いると通常はアクセスできない他ユーザーの顧客情報を閲覧できる状態だったとされる。インターネット上で不特定多数の第三者から閲覧可能だったものではない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし 業務停止は公表されていない。
- データ
- おそれ上限 382,123確定 0人氏名生年月日性別住所電話メール対象となる顧客情報数は382,123名。閲覧可能な状態だったが、当該ユーザーは閲覧していない旨を確認しており、閲覧された事実・不正利用・被害は確認されていない（records_confirmed=0はこの公表に基づく）。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- クラウドサービス提供側の手順書の記載誤りにより、同一サーバーに登録された他ユーザーの顧客情報が特定ユーザー1社から閲覧可能な状態だった。委託先経由の侵害ではない。
時系列
技術解説
公表された経緯と影響の範囲 事実
東芝テック株式会社は2026年8月3日、「顧客情報への不適切なアクセスが可能な状態となっていたことに関するお知らせ」を公表した。クラウド型専門店向本部システム「ShopCraft」を構成する一部のサーバーで、特定のユーザー1社が、同じサーバーに登録された他のユーザーの顧客情報を一時的に閲覧できる状態にあったという内容である。対象の顧客情報数は382,123名で、項目は氏名、生年月日、性別、住所、電話番号、メールアドレスの6つ。閲覧できる状態になった日は2026年3月26日、発覚して対策した日は2026年6月23日とされる。同社によると、本件はインターネット上で不特定多数の第三者が閲覧できたものではない。当該ユーザーからは対象情報を閲覧していないとの確認を得ており、情報が閲覧された事実、不正利用、被害は確認されていない。そのため382,123名は閲覧できる状態にあった人数の上限であり、流出が確定した件数ではない。
原因と公表された対応 事実
公式発表は、同社が作成した特定のユーザー1社向けの手順書に、管理者権限を持つアカウント情報を誤って記載していたことを原因としている。そのアカウント情報を使うと、通常はアクセスできない他のユーザーの顧客情報を閲覧できる状態になっていた。同社は発覚を受けて当該アカウントを無効化し、パスワードを変更した。閲覧できる状態は現在解消されているとしている。あわせて関係するユーザーへの説明を行い、個人情報保護法に基づいて個人情報保護委員会に報告し、対応を協議している。再発防止策には、情報管理体制の一層の強化、運用プロセスの改善、顧客情報の重要性と適切な取り扱いについての社内周知の徹底を挙げている。報道ではセキュリティ対策Lab（2026年8月6日）とScanNetSecurity（2026年8月24日）がこの公表内容を伝えた。
構造：手順書に書かれた認証情報がテナント間の境界をまたいだ 解釈
公表内容から見ると、ShopCraftでは同じサーバーに複数のユーザー企業（テナント）のデータが置かれていた。ユーザーの間の分離は、どのアカウントに何の権限を与えるかに大きく頼っていたとみられる。そのため、提供側が持つ管理者権限のアカウント情報が1社向けの文書に紛れ込んだだけで、ほかのテナントの顧客情報まで見える状態になったと考えられる。外部からの攻撃でも脆弱性の悪用でもなく、文書の作成と確認の過程で起きた誤りが、そのままアクセス権の付与と同じ結果を生んだ点がこの事案の特徴である。また公表日付から計算すると、閲覧できる状態は3月26日から6月23日まで約89日間続いていた。手順書の記載内容を確かめる仕組みや、管理者アカウントが想定外の利用者に使われていないかを監視する仕組みが、どこまで働いていたかは公表されていない。
公表のしかたと「閲覧なし」の根拠 解釈
発覚・対策日（6月23日）から公表（8月3日）までは、日付から計算すると約41日である。この間に関係ユーザーへの説明と個人情報保護委員会への報告が行われたとされている。公表では「インターネット上で不特定多数の第三者から閲覧可能であったものではない」と範囲を示し、件数と項目も具体的に書かれていて、読者が影響の範囲をつかみやすい内容になっている。一方で、閲覧がなかったという判断の根拠として明記されているのは、当該ユーザーから得た確認である。アクセスログなどの技術的な記録で裏付けたかどうかは公表されていない。また、手順書を当該ユーザーの社内で誰がどの範囲で共有していたか、対象となった他ユーザーの数、本人への個別の通知を行うかどうかも示されていない。今後の続報で補われるかどうかが注目点になる。
対応
- 封じ込め
- 発覚後、速やかに当該アカウントの無効化とパスワード変更を実施し、閲覧可能な状態を解消した。
- 公表の仕方
- 2026年8月3日に東芝テックが公式サイトで公表。関係するユーザーへの説明を実施済み。再発防止策として、情報管理体制の一層の強化、運用プロセスの改善、顧客情報の重要性と適切な取り扱いの社内周知徹底を挙げている。
- 当局対応
- 個人情報保護委員会（個人情報保護法に基づき報告し、対応を協議中）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 顧客向けの手順書や設定ガイドに、提供側の管理者アカウント情報が紛れ込むことがある。 | 顧客に渡す文書をリリースする前に、認証情報を検出するスキャン（パスワード、APIキー、管理者IDのパターンを見つけるもの）をCIや文書管理の手順に組み込む。テンプレートにはダミー値だけを置き、実際の認証情報は文書に書かずにシークレット管理基盤から別の経路で個別に渡す。 |
| 提供側の管理者権限アカウントひとつで、複数テナントのデータを横断して閲覧できる設計だった。 | 運用用の管理者アカウントは、テナントごとに範囲を絞ったロールに分ける。横断的な権限は、申請・承認つきの一時的な昇格（JIT）でだけ使えるようにする。データ層でもテナントIDによる行レベルの制御をかけ、アプリの権限設定だけに頼らない。 |
| 閲覧できる状態が約89日間続いており、想定外の利用者が管理者アカウントを使っても早く気づけなかった可能性がある。 | 管理者アカウントのログインについて、接続元IP、接続元テナント、時間帯のふだんの範囲を決めておき、外れた場合に即時にアラートを出す。特権アカウントは定期的にパスワードを変え、使われていないアカウントは棚卸しする。 |
| 「閲覧していない」という判断が、相手先からの申告に頼りやすい。 | テナントをまたぐデータ参照について、誰がどのテナントのどのレコードを見たかを監査ログとして残し、保存期間を十分に取る。インシデントのときにログから閲覧の有無を客観的に示せるようにしておく。 |
| 個別のユーザー向けに手作業で作る文書は、レビューが手薄になりやすい。 | 顧客ごとに作る手順書にも二者チェックを義務づける。チェックリストに「認証情報が含まれていない」「記載したアカウントの権限範囲が相手テナントの中に限られている」の確認項目を入れる。 |
自組織などでの確認項目
- 自社が顧客や委託先に渡している手順書、設定資料、チケット、共有フォルダの中に、管理者権限のIDやパスワードが残っていないか。検出スキャンをかけたことがあるか。
- マルチテナント型のサービス（自社提供のものも、利用しているものも）で、運用用の管理者アカウント1つで複数テナントのデータを横断して閲覧できる構成になっていないか。
- 特権アカウントが想定外の場所や組織から使われたとき、何日以内に検知できる仕組みになっているか。過去90日分のログで実際に確認できるか。
- 情報が閲覧されていないと説明する必要が出たとき、相手の申告ではなくアクセスログで裏付けられるだけの記録を残しているか。
未解明点
- 閲覧がなかったという判断を、当該ユーザーの申告以外（アクセスログなど）で技術的に裏付けたかどうか。
- 顧客情報が対象となった他のユーザー（ShopCraft利用企業）の数と、対象となった個人本人への通知を行うかどうか。
- 手順書の誤記載が見つかった経緯（6月23日に何がきっかけで発覚したか）と、手順書が当該ユーザーの社内でどの範囲に共有されていたか。
- 個人情報保護委員会との協議の結果と、具体的な再発防止策（管理者権限の設計見直しなど）の内容。
出典
- 1セキュリティ対策Lab（合同会社ロケットボーイズ）2026-08-06報道本文確認済
- 2ScanNetSecurity2026-08-24報道本文確認済
- 3東芝テック株式会社公式本文確認済
- 4東芝テック株式会社2026-08-03公式本文確認済