ワサビ（ワサビスイッチ）カスタマーサポート窓口Chatworkの管理スタッフアカウントへの不正アクセス
公表日
リユース業界向けEC管理システム「ワサビスイッチ」を提供する株式会社ワサビで、サポート窓口のChatworkの管理スタッフのアカウントが第三者に不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。されました。流出の有無や件数は、まだ発表されていません。
対象者は？
ワサビスイッチおよび関連サービスの利用企業のうち、ワサビのスタッフと共有していたパスワードや、他サービスと併用しているパスワードを使っている場合が、変更を求められています。流出した情報の種類や件数は、確認できる範囲では公表されていないため、含まれる情報・含まれない情報は不明です。
ワサビからの案内を確認してください。今回参照した出典はすべて報道で、ワサビの公式発表は参照できていません。
いますぐできること
- ワサビスイッチや関連サービスで、ワサビのスタッフと共有していたパスワードがあれば、すぐに変更する。
- 他のサービスと同じパスワードを使っていないか確認し、使い回していれば、それぞれ別のものに変更する。
- ワサビからの案内や、ワサビを名乗る連絡が本物かどうかを、公式の窓口で確認する。
何が起きたのか
2026年3月16日、ワサビスイッチのカスタマーサポート窓口で使っていたChatworkで、ワサビの管理スタッフのアカウントに第三者が不正にアクセスしたと報じられています。ワサビは3月30日にこれを公表し、利用企業にパスワードの変更を求めました。会社側は、重大な管理不備として謝罪していると報じられています。なお、ワサビスイッチ自体のシステム障害や、本番サーバーへの侵入を公表したものではない、と説明されています。
なぜ起きたのか・なぜ広がったのか
アカウントに侵入された手口は、まだ発表されていません。被害が広がったかどうかも、確認できる範囲では分かっていません。パスワード変更の要請は、会社の対策だけでは十分と言い切れず、利用者の安全確保を優先した措置と説明されています。
いまの状況2026-04-10 時点続報待ち
2026年4月10日時点で、侵入の手口、流出した情報の有無や件数、再発防止策は、まだ発表されていません。利用企業へのパスワード変更の要請は続いています。
企業として考えたいこと
自社のサポート窓口で使うチャットのアカウントが乗っ取られたとき、どの顧客の情報や認証情報に影響が出るかを、すぐに説明できますか。
技術的な要約
リユース業界向けEC一元管理システム「ワサビスイッチ」などを提供する株式会社ワサビは、2026年3月30日、カスタマーサポート窓口で利用していたChatwork上の管理スタッフのアカウントが第三者による不正アクセスを受けたと公表した。ScanNetSecurityによれば、不正アクセスがあったのは3月16日である。報道では、会社側はこれを重大な管理不備として謝罪している。本事案はワサビスイッチ自体のシステム障害や本番サーバー侵害を公表したものではなく、サポート業務で使うコミュニケーション基盤のアカウント侵害として説明されている。ワサビは利用企業に対し、スタッフと共有していたパスワードや他サービスと併用しているパスワードの速やかな変更を求めている。侵入経路、流出情報の有無・件数については、参照した出典からは確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明カスタマーサポート窓口で利用していたChatwork上の管理スタッフのアカウントが第三者による不正アクセスを受けた。アカウントへの侵入手口は、参照した出典に記載がない。
- 脆弱性
- CVE 非公表不明Chatwork（管理スタッフアカウント）脆弱性やCVEに関する公表は、参照した出典にない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし ワサビスイッチ自体のシステム障害や本番サーバー侵害を公表したものではないと説明されている。業務停止に関する記載はない。
- データ
- 調査中上限 —確定 —流出した情報の種類・件数は参照した出典に記載がない。ワサビはスタッフと共有していたパスワード等の変更を利用企業に求めている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- ワサビスイッチの利用企業に対し、同社スタッフと共有していたパスワードや他サービスと併用しているパスワードの変更が要請された。利用企業側の認証情報への波及が懸念された対応である。実際の波及は確認できない。
時系列
技術解説
公表内容の整理 事実
株式会社ワサビは2026年3月30日、カスタマーサポート窓口で利用していたChatwork上で、管理スタッフのアカウントが第三者による不正アクセスを受けたと公表した。ScanNetSecurityは、不正アクセスがあったのは3月16日と報じている。報道によれば、会社側はこれを重大な管理不備として謝罪している。本事案は、ワサビスイッチ自体のシステム障害や本番サーバー侵害を公表したものではなく、サポート業務で使っていたコミュニケーション基盤のアカウント侵害として説明されている。侵入手口、流出情報の有無や件数は、参照した出典に記載がない。
パスワード変更要請の内容 事実
ワサビは、ワサビスイッチおよび関連サービスで同社スタッフと共有していたパスワードや、他サービスと併用しているパスワードを使っている場合、速やかに変更するよう利用者に求めている。報道では、この要請は同社の対策だけでは十分と言い切れず、利用者側の安全確保を優先した措置として説明されている。一方で、アカウントの停止など具体的な封じ込め措置や、不正アクセスの検知日については、参照した出典に記載がない。流出が確認された情報の種類も、出典からは分からない。
サポート窓口が持つリスクの構造 解釈
サポート窓口のチャットは、利用企業とのやり取りが蓄積される場である。管理スタッフのアカウントが第三者に使われた場合、過去のやり取りの閲覧や、利用企業になりすました連絡などに悪用される可能性が理論上は考えられる。パスワード変更の要請は、こうした利用企業側への波及を想定した予防的な対応と読める。ただし、実際に何が閲覧・利用されたかは出典に記載がなく、波及の有無は確認できない。この節は事実ではなく、公表内容からの推測である。
業務チャット狙いの攻撃との関係 解釈
報道では、2025年11月以降、法人のビジネスチャットを乗っ取る攻撃が多発し、不正送金の被害も出ているとされる。本件がその流れに属するかは、出典からは判断できない。侵入手口も公表されておらず、同じ手口によるものとは言えない。ただ、業務チャットのアカウントが狙われやすい状況にあることは、本件の位置づけを考える際の背景になる。BtoB事業者は、チャット基盤を顧客情報や認証情報に近い資産として扱う必要があるかもしれない。これは筆者の解釈である。
対応
- 封じ込め
- 参照した出典には、アカウントの停止や遮断などの具体的な封じ込め措置の記載はない。利用企業に対してパスワード変更を要請した。
- 公表の仕方
- 2026年3月30日にワサビが公表した。会社側は重大な管理不備として謝罪している（報道）。パスワード変更要請は、同社の対策だけでは十分と言い切れず、利用者側の安全確保を優先した措置と説明されている。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サポート用チャットの管理アカウントも重要資産として扱う | Chatworkなど外部SaaSの管理者・スタッフアカウントを資産台帳に載せ、全員に多要素認証を必須化する。管理者権限の保有者を最小限にし、四半期ごとに棚卸しする。 |
| 顧客とパスワードや認証情報をチャットで共有しない | サポート手順でパスワード・APIキーの受け渡しを禁止する。必要な場合は一時トークンや権限委任機能を使う。チャットへの貼り付けをDLPや投稿検知で警告する。 |
| パスワードの使い回しを前提に被害範囲を想定する | 顧客向けに、パスワード変更の案内文と手順を事前に用意する。SSOや多要素認証に対応し、強制リセットを即時に実行できる機能を実装しておく。 |
| 不正ログインを早く検知できるようにする | SaaSのログイン履歴や監査ログを定期的に取得し、未知のIPや端末、通常と異なる時間帯のログインをアラート化する。異常時にセッションを失効させる手順を決めておく。 |
| 公表では範囲と未確認事項を分けて示す | 公表文に、確認済みの事実、調査中の事項、利用者への依頼を別項目で書くテンプレートを用意する。続報の予定時期も書く。 |
自組織などでの確認項目
- 自組織で使っている外部のチャットやサポートツールの管理者アカウントは、すべて多要素認証になっているか。
- 顧客やスタッフとの間で、パスワードや認証情報をチャットやメールで共有している場面はないか。
- サポート担当者のアカウントが乗っ取られた場合、どの顧客情報まで見られるか。また、その範囲をすぐ止められるか。
未解明点
- アカウントへの侵入手口（フィッシング、パスワード流用など）は何か。
- 不正アクセスの検知日と、公表までの間にとられた対応は何か。
- チャットの内容や利用企業の情報が閲覧・流出したか。流出した場合の件数と種類は何か。
- 利用企業の認証情報が実際に悪用された事例はあるか。
- ワサビによる公式の発表文と、その後の続報や再発防止策の内容は何か。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-08報道本文確認済
- 2セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-02報道本文確認済
- 3ScanNetSecurity2026-04-10報道本文確認済