メディア4uのSMS送信システムへの不正アクセス（アカウント管理情報95,412件漏洩・不正SMS280件）
公表日
ファブリカホールディングスの子会社メディア4uが提供するSMS送信システムが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、管理コンソールのアカウント管理情報の一覧ファイル(総レコード数95,412件)が漏れ、不正なSMS送信280件が確認されました。
対象者は？
メディア4uのSMS送信システム(Aurora SMS等)の管理コンソールに登録されたアカウント管理情報が対象です。主な項目はアカウントID、企業名/営業所名、担当者名、都道府県・郵便番号、通知用メールアドレス等です。総レコード数は95,412件で、個人情報に当たる可能性があるレコードは22,928件です(対象本人の数とは一致しない場合があります)。パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求情報、SMS配信先の電話番号・氏名・送信本文は含まれないことが確認されています。
メディア4uは、OEM・販売代理店経由の契約企業を含めて個別確認と順次の連絡を進めているとしています。エンバーポイント(SMSPublisher)やブロードリーフ(.cシリーズ、.NSシリーズ)経由で利用している場合は、各社の案内も確認してください。
いますぐできること
- 管理コンソールのパスワードを変更する(ログインIDと同じもの、推測されやすいもの、他サービスと使い回しているものは特に早めに)。
- パスワード強化オプション機能を使い、アクセス許可IPアドレス(IP制限)を設定する。
- 本件に乗じた不審なメールやSMSに注意する。
何が起きたのか
2026年6月24日、メディア4uが提供するSMS送信システムへの外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。が確認されました。確認後すぐに遮断とログ保全が行われ、外部の専門機関と調査が始まりました。7月14日にファブリカホールディングスとメディア4uが公表し、管理コンソールのアカウント管理情報の一覧ファイルが漏れたことと、不正なSMS送信があったことを明らかにしました。7月17日の第2報では、不正送信280件は侵入口となった特定1社のクライアントアカウントを通じたもので、他のアカウントからの不正送信は確認されていないと説明されました。その後、OEM提供先のエンバーポイントが7月15日に、連携先のブロードリーフが8月3日に、それぞれ発表しています。
なぜ起きたのか・なぜ広がったのか
侵入口となったのは特定1社のクライアントアカウントとされています。企業名や具体的な攻撃手法は、当事者保護や調査への影響などの理由で公表されておらず、原因はまだ分かっていません。このシステムはOEM提供や他社サービスとの連携を通じても使われていたため、エンバーポイントやブロードリーフも発表を行う形になりました。
いまの状況2026-08-26 時点続報待ち
2026年8月26日時点で、メディア4uは侵入経路の特定・遮断、全顧客アカウントの認証情報リセットとパスワード再設定、再発防止策の検討を進めており、パスワードポリシーの強化を予定しています。公表までに約3週間かかった点については、通知基準と連絡フローを見直すとしています。流出情報が個人データに当たるかは個人情報保護委員会と協議中で、結果はまだ発表されていません。業績への影響についても、続報はまだ発表されていません。
企業として考えたいこと
自社が使っているSMS配信などの外部サービスの管理画面で、もし1つのアカウントが不正に使われた場合、気づく仕組みと、提供元・取引先へ連絡する手順は用意できているでしょうか。
技術的な要約
ファブリカホールディングスの連結子会社メディア4uが提供するSMS送信システム（Aurora SMS等）に対し、2026年6月24日に外部からの不正アクセスが確認された。管理コンソールに係るアカウント管理情報の一覧ファイル（総レコード数95,412件、うち個人情報に該当しうる可能性のあるレコードは22,928件）が漏洩し、不正なSMS送信280件も確認された。280件は侵入口となった特定1社のクライアントアカウントを通じて行われ、他のクライアントアカウントからの不正送信は確認されていない。同社は2026年7月14日に公表し、7月17日に第2報とFAQを出した。OEM提供先のエンバーポイントや連携先のブロードリーフにも影響が及んだことが報じられている。個人データへの該当性は個人情報保護委員会と協議中で、確定後に公表するとされている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明280件の不正送信は「侵入口となった特定1社のクライアントアカウント」を通じて行われたと第2報で説明されている。侵入口となった企業名や具体的な攻撃手法は、当事者保護、調査への影響、他の契約企業の保護の観点から開示が差し控えられている。
- 脆弱性
- CVE 非公表不明脆弱性の悪用に関する公表はない。攻撃手法自体が非開示。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし システム停止などの中核業務への影響は公表されていない。第三者による不正SMS送信が280件確認されている。
- データ
- 確定上限 95,412確定 95,412件会員ID取引先情報氏名住所メール漏洩したのは管理コンソールのアカウント管理情報の一覧ファイルで、総レコード数95,412件。主な項目はアカウントID、企業名/営業所名、担当者名、都道府県・郵便番号、通知用メールアドレス等。うち個人情報に該当しうる可能性のあるレコードは22,928件だが、対象本人の数とは一致しない場合がある。担当者名欄は正式な氏名でなくても登録でき、氏名やメール未登録のレコードも多数含まれる。パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求情報、SMS配信先の電話番号・氏名・送信本文は含まれないことが確認されている。
- 波及先
- 2 社
- エンバーポイント株式会社（SMSPublisherのOEM提供先）
- 株式会社ブロードリーフ（「.cシリーズ」「.NSシリーズ」が連携）
- 金銭影響
- 業績への影響について開示された続報はなく、開示すべき事項が生じた場合は速やかに公表するとしている。
- サプライチェーン
- OEM提供先のエンバーポイント（SMSPublisher）と、連携先のブロードリーフ（.cシリーズ、.NSシリーズ）にも影響が報じられた。OEM・販売代理店経由の契約企業についても個別確認と順次連絡を進めている。
時系列
- 2026-06-24
- 2026-07-14
- 2026-07-15エンバーポイントが、OEM提供元でのSMSPublisherの情報漏えいについて発表した。3
- 2026-07-17メディア4uが第2報とFAQを公表。280件の不正送信は侵入口となった特定1社のクライアントアカウント経由で、他のアカウントからの不正送信は未確認と説明した。1
- 2026-07-17公表までに時間を要した理由を説明し、通知基準と連絡フローを見直すとした。パスワードポリシーの強化も予定と発表した。1
- 2026-07-28ScanNetSecurityが、メディア4uのSMS送信システムへの攻撃で個人情報漏えいと不正SMS送信を確認したと報道した。2
- 2026-07-29ScanNetSecurityが、エンバーポイントのSMSPublisherにも影響したと報道した。3
- 2026-08-03ブロードリーフが、連携するAurora SMS CONSOLEへの不正アクセスについて発表した（「.cシリーズ」「.NSシリーズ」が連携）。4
- 2026-08-26ScanNetSecurityが、連携していたブロードリーフの「.cシリーズ」「.NSシリーズ」にも影響したと報道した。4
技術解説
漏洩した情報の内容と数字の読み方 事実
漏洩が確認された情報は、SMS送信システムの管理コンソールに係るアカウント管理情報の一覧ファイルである。主な項目はアカウントID、企業名/営業所名、担当者名、都道府県・郵便番号、通知用メールアドレス等で、総レコード数は95,412件。このうち個人情報に該当しうる情報を含む可能性があるレコードとして精査された件数は22,928件とされる。同社は、これらがアカウント管理上のレコード数または精査対象件数であり、対象本人の数とは一致しない場合があると注記している。担当者名欄は正式な氏名でなくても登録でき、氏名やメール未登録、識別記号のみのレコードも多数含まれるため、全レコードが個人情報に該当するわけではないと説明されている。
不正SMS送信と侵入口についての公表内容 事実
第三者が本システムを通じて不正にSMSを送信した事実が確認されており、確認されている不正送信件数は280件である。2026年7月17日の第2報で、この280件は侵入口となった特定1社のクライアントアカウントを通じて行われ、それ以外のクライアントアカウントからの不正送信は確認されていないことが明らかにされた。一方で、侵入口となった企業名や具体的な攻撃手法は、当事者保護、調査への影響、他の契約企業の保護の観点から開示が差し控えられている。そのため、侵入経路や攻撃手法の詳細は、報じられている範囲では分からない。
対応と公表の経過 事実
不正アクセスは2026年6月24日に確認され、確認後直ちに遮断とログ保全を行い、外部専門機関と連携して調査を進めたとされる。7月14日にファブリカホールディングスとメディア4uが公表し、7月17日に第2報とFAQを出した。公表まで約3週間を要した理由について、影響範囲が判明していない段階で不確かな情報を伝えることは適切でないと判断し、調査と封じ込めを優先したためと説明し、通知基準や連絡フローを見直すとしている。あわせて、全顧客アカウントの認証情報リセットとパスワード再設定、パスワードポリシー強化の予定も示されている。
OEM・連携先への広がり 事実
エンバーポイントは7月15日に、同社サービス「SMSPublisher」のOEM提供元での情報漏えいについて発表した。ブロードリーフは8月3日に、同社の「.cシリーズ」「.NSシリーズ」と連携するメディア4uのSMS配信サービス「Aurora SMS CONSOLE」への不正アクセスを発表した。メディア4uは、OEM・販売代理店経由でサービスを利用している契約企業についても、個別確認と順次の連絡を進めているとしている。なお、これら各社の顧客や利用者にどのような影響が出たかの具体的な範囲は、ここで参照できる情報には含まれていない。
「漏れなかった情報」が被害の広がりを抑えた可能性 解釈
流出ファイルにはパスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求情報、SMS配信先の電話番号・氏名・送信本文が含まれないと説明され、アドレス帳機能も持たないとされる。このため、管理情報の漏洩にとどまり、エンドユーザー側の情報が直接流出する形にはなっていないと読める。ただし、企業名・担当者名・通知用メールアドレスなどは、本件に乗じた不審なメールやSMSの宛先づくりに使われうる。同社が注意喚起を行っているのもその点と整合する。これは公表内容からの解釈であり、悪用の有無は公表されていない。
サプライチェーン上の位置づけと公表のあり方 解釈
本件は、基盤となるSMS送信システムが他社ブランドのOEM提供や他社製品との連携を通じて使われていたため、提供元の事案が複数の事業者の発表へと連鎖した形である。事業者ごとに時期を違えて発表が続いたことは、利用者が自分の契約経路を確認する負担につながりうる。公表まで約3週間を要した点は、同社が調査と封じ込めを優先した結果と説明しており、通知基準の見直しも表明している。侵入口の詳細を伏せる判断には他の契約企業を守る意図が示されている。一方で、利用者が自衛策を判断する材料は限られる。両面を踏まえて評価する必要がある。
対応
- 封じ込め
- 確認後直ちに不正アクセスの遮断とログ保全を実施。侵入経路の特定・遮断、全顧客アカウントの認証情報リセットとパスワード再設定、外部専門機関と連携した調査・原因究明・再発防止策の検討を進めている。パスワードポリシーの強化を予定している。利用者には、パスワード変更、パスワード強化オプションの活用、IP制限の設定、不審なメール・SMSへの注意を呼びかけている。
- 公表の仕方
- 2026-07-14に第1報、2026-07-17に第2報とFAQを公表した。約3週間を要した理由は、影響範囲が不明な段階で不確かな情報を伝えることは適切でないと判断し、調査と封じ込めを優先したためと説明している。侵入口の企業名と攻撃手法は開示を差し控えている。通知基準と連絡フローを見直すとしている。
- 当局対応
- 個人情報保護委員会と、流出情報が個人データに該当するかを協議・確認中（確定後に公表予定）
- 関係する監督官庁・第三者機関への報告を進めている
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 管理コンソールのアカウント1件の乗っ取りが、不正なSMS送信につながりうる。 | 管理コンソールのログインに多要素認証を必須化し、アクセス許可IP制限を既定で有効にする。パスワードポリシー(ログインIDと同一値や推測されやすい値の拒否、漏洩済みパスワードの照合)はサーバ側で強制する。 |
| 不正送信は侵入口となった特定1社のアカウント経由に限られたと説明されている。アカウント単位の異常検知が被害範囲の特定に役立つ。 | クライアントアカウントごとに送信数の上限とレート制限を設け、普段と異なる時間帯・送信元IP・送信量にアラートを出す。認証・送信ログはアカウント単位で検索できる形で保全する。 |
| 配信先リストを保持しない設計や、パスワード・APIキーを管理情報の一覧に含めない設計が、漏洩情報の範囲を限定した。 | 一覧・エクスポート機能で出力する項目を最小化し、秘密情報は別ストアに分離する。管理者向け一括出力は権限・出力件数・取得ログを制御し、大量取得を検知する。 |
| OEM提供や他社製品との連携があると、影響が複数事業者の発表に連鎖する。 | OEM・代理店・連携先ごとの連絡先と、インシデント時の通知手順・期限を契約と運用手順に明記する。連携APIの認証情報はローテーション手順を用意し、全顧客アカウントを一斉に再設定できる運用を平時に訓練しておく。 |
| 影響範囲が不明な段階の公表可否は判断が難しく、公表まで約3週間を要した。 | 段階的公表の基準(事実確認済みの範囲だけを先に出す、続報の予定を明記する)を事前に定める。インシデント対応手順に、確認から社外通知までの判断期限とエスカレーション経路を組み込む。 |
自組織などでの確認項目
- 自組織が使うSMS配信・通知系の外部サービスで、管理コンソールに多要素認証とIP制限が設定されているか。担当者ごとのアカウントや共有アカウントが何件あるか確認できるか。
- 自社サービスがOEM提供や他社製品との連携を通じて使われている場合、提供元・連携先で事案が起きたときに、契約企業へ連絡できる連絡先台帳と通知手順が整備されているか。
- 管理画面からエクスポートできる一覧ファイルに、どの項目が含まれるか。パスワード類や顧客の顧客の情報が混ざらない設計になっているか。大量出力の記録や検知はあるか。
- 影響範囲が分からない段階で、どの条件になったら第1報を出すか。その基準と判断者が文書化されているか。
未解明点
- 侵入口となった特定1社のクライアントアカウントが、どのような手法で不正に利用されたのか(認証情報の入手経路を含む)。開示が差し控えられており、公表されていない。
- 不正アクセスがいつ始まったのか(侵入日)。確認日の6月24日以前の状況は公表されていない。
- 漏洩したファイルが個人情報保護法上の個人データに該当するか、またその確定後の対象人数。個人情報保護委員会と協議中で、結果は公表されていない。
- エンバーポイントやブロードリーフ経由の契約企業・利用者のうち、情報漏洩の対象となった数や範囲。本件の整理に使える情報には示されていない。
出典
- 1セキュリティ対策Lab(合同会社ロケットボーイズ)2026-07-15報道本文確認済
- 2ScanNetSecurity2026-07-28報道本文確認済
- 3ScanNetSecurity2026-07-29報道本文確認済
- 4ScanNetSecurity2026-08-26報道本文確認済