株式会社Joshinへの不正アクセスによるシステム障害（詳細は未公表）
公表日
Joshin（旧・上新電機）が2026年10月16日に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を認識し、一部のサービスが止まっています。個人情報が漏れた可能性も否定できないとされていますが、範囲はまだ調査中です。
対象者は？
今わかっている範囲では、一部のサービスが止まっていることと、個人情報が漏れた可能性を否定できないことが公表されています。対象になるデータの種類、人数、漏れたかどうかは、まだ確認できていません。
Joshinの公式サイトのお知らせで、最新の情報を確認してください。対象の方への個別の連絡方法は、確認できた情報には書かれていません。
いますぐできること
- Joshinの公式サイトのお知らせで、最新の情報を確認する。
- Joshinを名乗る不審なメールや電話、SMSが届いても、すぐにリンクを開いたり情報を伝えたりせず、公式サイトで内容を確かめる。
何が起きたのか
Joshinは2026年10月16日（金）に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を見つけました。外部からのアクセスを制限するなどの対策をとり、その結果、一部のサービスが提供できない状態になっています。10月17日付で「不正アクセスによるシステム障害発生のお詫びとお知らせ」を出し、個人情報が漏れた可能性も否定できないとして、個人情報保護委員会へ第一報を入れました。10月19日付でも同じ題名のお知らせを続報として載せています。報道によると、止まっているサービスの再開時期は決まっていません。同社は2026年4月1日に上新電機から社名を変えています。
なぜ起きたのか・なぜ広がったのか
原因や侵入の経路は、まだ発表されていません。被害が広がったかどうかも、調査中のため分かっていません。
いまの状況2026-10-19 時点続報待ち
2026年10月19日時点で、一部のサービスが止まっており、再開時期は未定と報じられています。個人情報が漏れたかどうか、その件数、侵入の経路、再発防止策は、まだ発表されていません（続報待ち）。
企業として考えたいこと
自社で不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が疑われたとき、個人情報が漏れた「可能性」の段階で、いつ誰が当局や利用者に知らせるか、最初の知らせに何を書くかを決めてありますか。
技術的な要約
株式会社Joshin（2026年4月1日に上新電機株式会社から商号変更）は、2026年10月16日（金）に不正アクセスを認識し、外部からのアクセスを制限するなどの対策をとった。この結果、一部のサービスを提供できない状態となっている。同社は2026年10月17日付で「不正アクセスによるシステム障害発生のお詫びとお知らせ」を公表し、10月19日付で同題のお知らせを続報として掲載した。個人情報漏洩の可能性も否定できないとして、監督当局へ第一報を入れている。報道によると、停止中のサービスの再開時期は未定で、影響範囲は調査中である。侵入経路、影響を受けたサービスの具体名、流出の有無と件数は、現時点で確認できていない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明公表題名は「不正アクセスによるシステム障害発生」だが、侵入口に関する情報は渡された根拠に含まれない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
- —
影響
- 業務停止
- あり 不正アクセスを認識後に外部からのアクセスを制限するなどの対策をとった結果、一部のサービスを提供できない状態となっている。報道によると停止中のサービスの再開時期は未定。停止しているサービスの具体名や業務への影響の範囲は確認できていない。
- データ
- 調査中上限 —確定 —個人情報漏洩の可能性は否定できないとされている。流出の有無、対象データの種類、件数は確認されておらず、影響範囲は調査中である。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や取引先を経由した事案であることを示す情報は根拠にない。
時系列
技術解説
公表された事実：認識日と初動 事実
株式会社Joshinは、2026年10月16日（金）に不正アクセスを認識した。公式のお知らせは、認識後に速やかに外部からのアクセスを制限するなどの対策をとったと記している。その結果、一部のサービスを提供できない状態となっている。産経ニュースとCNET Japanも、10月16日に不正アクセスを確認し、アクセス制限などの対策の結果として一部サービスが停止したと伝えている。産経ニュースによると、停止中のサービスの再開時期は未定である。公表された時点で、停止しているサービスの具体名は確認できていない。
公表された事実：個人情報と当局への報告 事実
Joshinは、現時点では個人情報漏洩の可能性も否定できないとして、個人情報保護委員会へ第一報を入れたと公式のお知らせに記している。産経ニュースによると、影響範囲は調査中である。流出が確認された件数、対象となるデータの種類、侵入経路は、確認できた範囲では示されていない。公表の経過は、2026年10月17日付の第1報「不正アクセスによるシステム障害発生のお詫びとお知らせ」と、2026年10月19日付の同題の続報である。同社は2026年4月1日に上新電機株式会社から株式会社Joshinへ商号を変更している。
漏洩の可能性と確定の区別 解釈
公式のお知らせは、個人情報漏洩を「確認した」とは書いていない。「可能性も否定できない」と書いており、これは「おそれ」の段階である。流出確定の件数は存在せず、公表上限の件数も示されていない。このため、本件は「個人情報が漏れた」と断定することも、「漏れていない」と断定することもできない。個人情報保護委員会への第一報は、可能性の段階でも当局に知らせたことを示している。ただし、その後の詳細報告の有無や時期は、確認できた範囲では分からない。
サービス停止の読み方と評価の限界 解釈
アクセス制限の結果として一部サービスが止まったという書き方から、停止は攻撃による直接の破壊よりも、遮断を伴う封じ込め措置の影響である可能性がある。ただし、公表文にはこの点の明記がなく、推測にとどまる。また、停止しているサービスが顧客向けか社内向けかは不明で、業務全体への影響の大きさも評価できない。題名に不正アクセスと明記して早く公表し、2日後に続報を出した点は、情報提供に動いた姿勢と読める。一方、続報で何が更新されたかは確認できた根拠からは分からず、情報の十分さまでは評価できない。
商号変更に伴う確認上の注意 解釈
同社は2026年4月に商号を変えたばかりである。顧客や取引先が旧社名の上新電機で検索すると、新旧の情報が混在して見える場面があり得る。これは公表された事実からの推測であり、実際に混乱が生じたという根拠はない。いずれにしても、今回の事案の確認では、公式サイトのお知らせにある第1報と続報を、日付と版を確かめながら読むのが確実である。
対応
- 封じ込め
- 2026年10月16日（金）に不正アクセスを認識後、速やかに外部からのアクセスを制限するなどの対策をとった。その結果、一部のサービスを提供できない状態となっている。
- 公表の仕方
- 2026-10-17付で第1報、2026-10-19付で同題の続報を自社サイトのお知らせとして掲載した。個人情報漏洩の可能性も否定できないとして、個人情報保護委員会へ第一報を入れたと記載している。
- 当局対応
- 個人情報保護委員会（第一報）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 個人情報漏洩が「確認」ではなく「可能性」の段階でも、当局への第一報と公表を並行して進められる。 | インシデント対応手順書に、漏洩の可能性を認識した時点で個人情報保護委員会への速報を判断するチェックリストを定める。判断者と連絡先を事前に決め、年1回の机上演習で所要時間を測る。 |
| 初期公表では、確認済みのこと、調査中のこと、未確認のことを分けて書くと、読み手の誤解を減らせる。 | 広報テンプレートに「確認済み／調査中／未確認」の3区分欄を設ける。続報では区分ごとの変更点を明記する運用にし、公開前レビューで必須項目として確認する。 |
| 外部アクセスを制限する封じ込めは被害拡大を抑える一方、サービス停止を招く。停止範囲と再開条件を事前に決めておく必要がある。 | サービスごとに依存関係と遮断単位を一覧化する。遮断手順と再開前の確認項目（ログ確認、認証情報の更新、脆弱性対応）をランブックにまとめ、遮断を実演する訓練を行う。 |
| 続報が出ても、何が更新されたか分からないと利用者の判断材料にならない。 | 続報ページの冒頭に更新履歴（日時と変更点）を置く。題名にも版数（第2報など）を付ける運用を広報手順書に定める。 |
| 侵入経路や影響範囲を早く切り分けるには、平時のログ保全が前提になる。 | 認証ログ、VPN・プロキシログ、EDRテレメトリを集中管理基盤へ転送し、保管期間を定める。インシデント時に参照できるか、定期的に取得テストを行う。 |
自組織などでの確認項目
- 自組織で個人情報漏洩の可能性を認識したとき、個人情報保護委員会へ第一報を入れる判断基準と担当者は決まっているか。
- 自組織で外部アクセスを遮断する場合、どのサービスが止まるかを事前に説明できるか。再開の判断条件は文書化されているか。
- 自組織の第1報のひな形に、「確認済み」「調査中」を分けて書く欄はあるか。続報で更新点を示す手順はあるか。
- 自組織で侵入経路と影響範囲を調べる際、必要なログが保管期間内に取り出せるか。直近で取得を試した日はいつか。
未解明点
- 侵入経路と、不正アクセスを受けたシステム・サービスの範囲はどこか。
- 個人情報漏洩は実際にあったのか。あった場合、対象データの種類と件数はどれか。
- 停止している「一部のサービス」の具体名は何か。再開の時期と見通しはどうか。
- 10月19日付の続報で、第1報から何が更新されたのか。
- 個人情報保護委員会への第一報に続く詳細報告は、いつ、どのような形で行われるのか。
出典
- 1株式会社Joshin2026-10-19公式本文確認済
- 2株式会社Joshin2026-10-17公式本文確認済
- 3産経新聞2026-10-19報道本文確認済
- 4CNET Japan2026-10-19報道本文確認済