フラウ・インターナショナルの業務委託先への不正アクセス（問い合わせ情報最大3,560件、クレジットカード情報1件を含む）
公表日
株式会社フラウ・インターナショナルが利用する外部サービスの運営会社のサーバが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、クレジットカード情報1件を含む問い合わせ情報が最大3,560件、漏えいした可能性があると報じられた。
対象者は？
過去に同社へメールなどで問い合わせた顧客が対象と報じられている。漏えいの可能性がある問い合わせ情報は最大3,560件で、うちクレジットカード情報が1件。漏えいが確定した件数は出典に記載がない。どの項目が含まれ、含まれない情報は何かは、まだ発表されていない。
確認方法は、確認できた報道には書かれておらず、まだ発表されていません。同社からの案内や公式のお知らせをご確認ください。
いますぐできること
- 過去に同社へ問い合わせたことがある場合は、同社からの連絡や公式のお知らせがないか確認する。
- 問い合わせの際にクレジットカード情報を伝えた覚えがあれば、カードの利用明細に身に覚えのない請求がないか確認する。
- 同社を名乗る不審なメールや電話には、すぐに応じず、公式の連絡先で事実を確かめる。
何が起きたのか
6月30日、同社がメールでの問い合わせ対応の管理に使っている外部サービスの運営会社から、運営会社が管理するサーバに第三者が不正にアクセスしたことを確認したという報告が同社にありました。同社は7月7日にこの件を発表し、8月3日に第二報を発表しました。報道によると、クレジットカード情報1件を含む問い合わせ情報3,560件が漏えいした可能性があるとのことです。
なぜ起きたのか・なぜ広がったのか
侵入された日や侵入の経路など、原因の詳細は、確認できた情報には書かれておらず、まだ発表されていません。今回は、同社が利用する外部サービスの運営会社のサーバが対象でした。
いまの状況2026-10-14 時点続報待ち
同社は委託先および外部専門家と連携して、詳しい調査を進めていました。漏えいが確定した件数、再発防止策、補償などについては、まだ発表されていません。
企業として考えたいこと
あなたの会社が問い合わせ対応などで使っている外部サービスでサーバへの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が見つかった場合、どの顧客のどんな情報が影響を受けるのか、すぐに説明できるでしょうか。
技術的な要約
株式会社フラウ・インターナショナルは7月7日、業務委託先への不正アクセスについて発表した。6月30日に、同社がメールでの問い合わせ対応の管理で利用している外部サービスの運営会社から、同運営会社が管理するサーバで第三者の不正アクセスを確認した旨の報告があったという。8月3日の第二報について、記事は、クレジットカード情報1件を含む問い合わせ情報3,560件が漏えいした可能性があると伝えている。同社は委託先および外部専門家と連携して詳細な調査を進めていた。侵入日、侵入経路の詳細、漏えいの確定件数は、提供された出典には記載がない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 委託先経由報道・研究者同社がメールでの問い合わせ対応の管理に利用している外部サービスの運営会社が管理するサーバで、第三者の不正アクセスが確認された。侵入経路の詳細は出典に記載がない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし
- データ
- おそれ上限 3,560確定 —件クレカその他記事見出しによれば、クレジットカード情報1件を含む問い合わせ情報3,560件が漏えいした可能性がある。第一報関連の記事では、過去に問い合わせた顧客の個人情報が漏えいした可能性があるとされている。漏えい確定件数は出典に記載がない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 同社が利用する外部サービスの運営会社が管理するサーバへの不正アクセスにより、同社の問い合わせ情報に影響した可能性がある。
時系列
技術解説
公表されている事実の整理 事実
株式会社フラウ・インターナショナルは7月7日、業務委託先への不正アクセスについて発表した。6月30日に、同社がメールでの問い合わせ対応の管理で利用している外部サービスの運営会社から、同運営会社が管理するサーバで第三者からの不正アクセスを確認した旨の報告があったというもの。8月3日には7月7日公表の件について第二報を発表し、同社は当該委託先および外部専門家と連携して詳細な調査を進めていた。記事の見出しは、クレジットカード情報1件を含む問い合わせ情報3,560件が漏えいした可能性があると伝えている。侵入日、侵入経路の詳細、漏えいの確定件数は、提供された出典には記載がない。
攻撃の構造（委託先経由とみられる点） 解釈
公表された範囲では、不正アクセスを受けたのは同社自身の環境ではなく、問い合わせ対応の管理に使う外部サービスの運営会社が管理するサーバである。この構図は、委託先や外部サービスの側で起きた侵害が、利用企業の保有情報に及ぶ型と読める。利用企業の側からは、委託先のサーバ内の状態を直接は見られない。そのため、気づく契機が運営会社からの報告になりやすい。ただし、侵入経路や悪用された弱点は出典に書かれていない。ここでの整理は構図の解釈にとどまり、原因の特定ではない。
数字の読み方（上限と確定の区別） 解釈
3,560件という数字は、記事見出しが「漏えいした可能性」として伝えるものである。出典には漏えいが確定した件数の記載がなく、現時点では公表上の上限に近い扱いで読むのが妥当と考えられる。クレジットカード情報1件という内訳は件数としては小さい。一方で、カード情報は高機微データに当たるため、件数の少なさだけで影響を軽く見ることはできない。また、問い合わせ情報にどの項目が含まれるかは、出典の範囲では明らかでない。個人情報の種類や対象期間などの詳細が示されるまでは、断定を避けて受け止める必要がある。
公表経過から読み取れること 解釈
第一報は7月7日で、委託先からの報告があった6月30日から1週間後だった。第二報は8月3日で、第一報の約4週間後に当たる。この間、同社は委託先と外部専門家による調査を進めていたとされる。段階的な公表は、調査の進行に合わせて情報が更新されたことを示すと考えられる。ただし、今回確認できた出典は報道2件のみで、公式発表の本文は確認していない。そのため、対象者への通知方法、再発防止策、当局への報告の有無といった点の評価は、現時点では行えない。
対応
- 封じ込め
- 同社は当該委託先および外部専門家と連携し、詳細な調査を進めていた。遮断措置などの具体的内容は出典に記載がない。
- 公表の仕方
- 7月7日に第一報、8月3日に第二報を発表した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 外部サービスや委託先のサーバで起きた侵害は、自社の情報に及ぶ可能性がある。 | 外部サービスごとに、保管される個人情報の種類・件数・保存期間を台帳化する。委託先の侵害時に影響範囲を即座に絞り込めるようにしておく。 |
| 問い合わせ対応に使うメール管理サービスには、顧客の情報が長期に蓄積されやすい。 | 問い合わせ履歴の保持期間を定め、期限を過ぎたデータは自動削除する。過去の問い合わせデータが蓄積し続けない運用にする。 |
| カード情報のような高機微データは、問い合わせ経路に混入するおそれがある。 | 問い合わせフォームやメール受信時に、カード番号らしき文字列を検知してマスクする仕組みを入れる。入力しないよう画面上で案内する。 |
| 委託先からの侵害報告を受けた際の初動と、公表の段取りを事前に決めておく必要がある。 | 委託先との契約に、侵害の通知期限、通知項目、調査への協力義務を明記する。受領後の影響範囲確認や対外公表の手順を、演習で確認しておく。 |
自組織などでの確認項目
- 自組織が問い合わせ対応などに使っている外部サービスを、すべて洗い出せているか。それぞれに保管されている個人情報の種類と件数を説明できるか。
- 委託先から「サーバで不正アクセスを確認した」と連絡を受けた場合、誰が何時間以内に影響範囲を確認し、公表や通知を判断するか。手順は文書化されているか。
- 顧客からのメールに、カード番号などの高機微情報が書かれて届くことはないか。届いた場合に検知・削除する仕組みや運用があるか。
未解明点
- 不正アクセスはいつ行われ、どのような経路で起きたのか。
- 漏えいが確定した件数と、含まれる情報の項目や対象期間はどうなっているか。
- 対象となる顧客への個別の通知や、問い合わせ窓口は設けられているか。
- 外部サービスの運営会社の名称、および同運営会社の他の利用企業への影響はどうか。
出典
- 1ScanNetSecurity2026-07-17報道本文確認済
- 2ScanNetSecurity2026-08-28報道本文確認済