ユニリタの社内文書管理システム（SaaS）への不正アクセス（顧客の契約書・システム認証情報・個人情報を含む情報窃取、件数非公表）
公表日
IT企業のユニリタが社内の文書管理に使っていたクラウドサービスに不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を受け、顧客との契約書や、顧客のシステムにログインするための情報、顧客企業の従業員の個人情報などが盗まれました。件数は公表されていません。
対象者は？
ユニリタの顧客・取引先企業の従業員や社外の関係者、ユニリタの社員です。個人情報にマイナンバーは含まれていないとされています。件数や、影響を受けた顧客企業の数は公表されていません。
ユニリタは、システムのパスワードなどが漏えいした顧客企業に個別に連絡しています。問い合わせ窓口（ml-security2609@unirita.co.jp）も設けられています。
いますぐできること
- ユニリタの製品やサービスを使っている会社の担当者は、ユニリタから連絡が来ていないかを確認し、依頼されたパスワード変更を済ませる
- ユニリタや取引先を名乗り、契約や業務の内容に触れて本物らしく見せるメールにも注意し、別の手段で相手に確かめる
何が起きたのか
2026年9月28日の午後、ユニリタは、自社の機密情報を盗んだとする情報がWebサイトに出ているのを見つけました。調べたところ、社内の文書管理に使っていたクラウドサービスに第三者が不正にアクセスし、データの一部を盗んでいたことが分かりました。9月29日に公表し、10月9日の続報で、顧客との契約書、顧客や社内のシステムのパスワードなどの認証情報、顧客企業の従業員などの個人情報、社員の個人情報など7種類の情報の漏えいを確認したと発表しました。
なぜ起きたのか・なぜ広がったのか
どのように侵入されたのか、いつから入り込まれていたのかは、まだ公表されていません。文書管理のサービスに顧客の契約書やシステムのパスワードも保管されていたため、ユニリタだけでなく顧客企業にも影響が及びました。犯行グループ「Everest」は約128GBのデータを盗んだと主張していますが、ユニリタはこれを認めていません。
いまの状況2026-10-09 時点続報待ち
不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。を遮断し、9月29日以降は新たな不正アクセスは確認されていません。社内システムのパスワードを変え、ログインの方式を強化しました。個人情報保護委員会と警察にも報告・相談しています。盗まれた情報の公開や悪用は確認されていないとしています。件数、侵入の方法、再発防止策は、まだ発表されていません。
企業として考えたいこと
社内で使っている文書管理のクラウドサービスに、取引先のシステムのパスワードなど、特に大切な情報が置かれたままになっていないでしょうか。
技術的な要約
東証スタンダード上場のユニリタは、2026年9月28日13時30分頃、同社の機密情報を窃取したとする情報がWebサイト上で公表されているのを確認し、調査の結果、特定のSaaS型文書管理システムへの第三者による不正アクセスと一部データの窃取を確認した。9月29日に第1報を公表し、10月9日の続報（適時開示）で、顧客・取引先との契約書、顧客のシステム認証情報、顧客企業の従業員・社外関係者の個人情報など7区分の情報漏えいを確認したと公表した。件数・容量・侵入経路は非公表で、ランサムウェアグループEverestはリークサイトで約128GB・15万9,901ファイルの取得を主張しているが、ユニリタはこの帰属や数値を認めていない。システム障害や業務への支障、漏えい情報の公開・不正利用は10月9日時点で確認されていないとしている。顧客のシステム認証情報が含まれるため、認証情報が漏えいした顧客へ個別連絡しパスワード変更を依頼している。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明不明。公式は「特定のSaaS型文書管理システム」への「第三者による不正アクセス」とのみ説明し、侵入方法（SaaSアカウントの認証情報窃取・流用か、SaaS側の脆弱性か等）とシステム名は非公表。対応として社内システムのパスワード変更と「認証方式の強化」を実施しており、認証まわりが関係した可能性はあるが推測にとどまる。暗号化（ランサムウェア感染）は公表されていない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- Everest（主張） 被害組織は認めていないランサムウェアグループEverestがリークサイトに「UNIRITA」を掲載（9/30にセキュリティ対策Labが確認）。「unirita.co.jp 127 GB DataBase」と表記し、127.964GB・15万9,901ファイル・2万2,338フォルダの取得を主張。データ分類として契約・法務資料、顧客向けプロジェクト資料、製品開発・テスト・品質保証文書、人事・財務資料、証明書・秘密鍵関連ファイルに言及（報道）。
- ATT&CK
影響
- 業務停止
- なし 被害は当該SaaS型文書管理システムに限定され、改ざん・欠損、システム障害、業務への支障は確認されていない（9/29・10/9公表）。
- データ
- 確定上限 —確定 —取引先情報従業員情報業務データその他（顧客のシステム認証情報、社内のシステム認証情報、顧客・取引先との契約書、顧客企業の従業員・社外関係者の個人情報、顧客からの預かり重要情報）10/9続報で漏えいを確認した7区分：①顧客・取引先との契約書、②顧客のシステム認証情報、③顧客の従業員・社外関係者の個人情報（特定個人情報を含まない）、④その他顧客から預かっている重要な情報、⑤社内のシステム認証情報、⑥社員の個人情報（特定個人情報を含まない）、⑦その他の社内の重要な情報。件数・容量は非公表。Everestの主張は127.964GB・159,901ファイル（ユニリタ未確認）。インターネット上での公開・不正利用・二次被害は10/9時点で未確認。
- 波及先
- —
- システム認証情報が漏えいした顧客企業（社名・社数非公表）：ユニリタから個別連絡を受けパスワード変更等を依頼
- 従業員・社外関係者の個人情報が漏えいした顧客企業（社名・社数非公表）
- 金銭影響
- 業績への影響は現時点で不明（10/9適時開示）
- サプライチェーン
- IT企業であるユニリタが顧客から預かっていた契約書、顧客システムの認証情報、顧客企業の従業員・社外関係者の個人情報などが窃取された。顧客企業の社名・社数は非公表だが、顧客システムの認証情報が含まれるため、顧客側システムへの不正ログインという二次的な波及リスクがある（公式は不正利用を未確認としている）。
時系列
- 2026-09-28 13:30
- 2026-09-28調査により特定の社内文書管理システムへの不正アクセスと一部データの窃取を確認。情報セキュリティ対策本部を設置し、外部専門家と調査・アクセス遮断2
- 2026-09-29
- 2026-09-30セキュリティ対策LabがEverestのリークサイトに「UNIRITA」の掲載（約128GB・15万9,901ファイル）を確認3
- 2026-10-01セキュリティ対策LabがEverestの主張を報道3
- 2026-10-02セキュリティ対策Labの9月ランサムウェア事例まとめで、暗号化を伴わないデータ恐喝型として整理4
- 2026-10-09続報（適時開示）。顧客の契約書・システム認証情報・個人情報を含む7区分の漏えいを確認と公表。認証情報が漏えいした顧客へ個別連絡、個人情報保護委員会へ報告、警察へ相談。再発防止策は続報で公表予定2
技術解説
攻撃の構造：SaaS文書管理からの窃取とデータ恐喝 事実
ユニリタ自身が侵害に気づいたのは、攻撃者側が「窃取した」と公表した後（9/28 13:30頃）であり、検知の起点は外部の公開情報だった。侵害範囲は特定のSaaS型文書管理システムに限られ、改ざん・欠損やシステム障害はなく、暗号化も公表されていない。ランサムウェアグループEverestがリークサイトで約128GB・約16万ファイルの取得を主張しているが、ユニリタは帰属・数値を認めておらず、侵入方法・侵入日も非公表である。業務停止を伴わず、データの持ち出しと公開をてこにする「データ恐喝」型の様相を示している（攻撃者の特定は未確認）。
被害の重心は顧客側にある 事実
10/9続報で確認された7区分のうち4区分が顧客由来（契約書、顧客のシステム認証情報、顧客企業の従業員・社外関係者の個人情報、顧客からの預かり重要情報）である。とりわけ顧客のシステム認証情報の漏えいは、ユニリタ自身のシステムではなく顧客企業のシステムへの不正ログインに直結しうるもので、同社は該当顧客へ個別連絡しパスワード変更等を依頼している。顧客企業名・社数・件数は非公表で、漏えい情報の公開や不正利用は10/9時点で未確認とされる。Everestが言及した「証明書・秘密鍵関連ファイル」は攻撃者の主張にとどまり、公式の7区分とは対応関係が示されていない。
なぜ文書管理システムに認証情報があったのか（解釈） 解釈
顧客システムの認証情報が「文書管理システム」から漏れたことは、導入・運用支援の過程で、接続情報やアカウント情報が手順書・設定シート・やり取りの添付ファイルとして文書に埋め込まれ、パスワード管理ツールやシークレット管理基盤ではなく一般の文書ストアに置かれていたことを示唆する。文書管理SaaSは全社横断で検索・共有できるよう設計されることが多く、1アカウントの侵害で大量の文書を一括取得されやすい。対策として社内システムの「認証方式の強化」を挙げていることから、SaaSへのログインが多要素認証やIP制限で十分に守られていなかった可能性もあるが、侵入方法は公表されておらず、いずれも推測である。
公表の評価 解釈
第1報（9/29）は外部での公表確認の翌日と早く、続報（10/9）も約10日で顧客情報・認証情報を含む漏えい区分を具体的に開示しており、区分の明示は評価できる。一方で、件数・顧客社数・侵入方法・侵入時期は非公表のままで、顧客側から見ると「自社の認証情報が含まれるか」は個別連絡を待つしかない。顧客のシステム認証情報が漏えいした事案では、顧客側の認証情報ローテーションが完了するまでの時間が実害の分岐点になるため、連絡完了時期や対象社数の開示が望まれる。Everestの主張については肯定も否定もしていない。
対応
- 封じ込め
- 不正アクセスの遮断措置、情報セキュリティ対策本部の設置、外部専門家による影響範囲・原因の調査。社内システムのパスワード変更と認証方式の強化。認証情報が漏えいした顧客へ個別連絡しパスワード変更等を依頼。9/29以降新たな不正アクセスは確認されていない。
- 公表の仕方
- 9/29第1報（Webサイト掲載の確認と社内文書管理システムへの限定、顧客情報は調査中）、10/9続報（適時開示、漏えい7区分を開示）。件数・侵入方法・システム名・攻撃者は非公表。再発防止策は続報で公表予定。専用窓口 ml-security2609@unirita.co.jp を設置。
- 当局対応
- 個人情報保護委員会：報告を行う（10/9公表）
- 警察：連絡・相談
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 顧客システムの認証情報が一般の文書管理システムに保存されていた | 顧客環境の認証情報は文書・スプレッドシートに書かず、顧客ごとに分離したシークレット管理（Vault、1Password Business等）に格納し、アクセスを担当者に限定・監査ログ取得。文書管理SaaSにはDLP／シークレットスキャン（パスワード・秘密鍵・接続文字列のパターン検出）を常時かけ、検出時に隔離する |
| SaaS文書管理の侵害で大量の文書を一括取得された（攻撃者主張で約16万ファイル） | SaaSへのログインはSSO＋フィッシング耐性MFA（FIDO2）＋デバイス／IP条件付きアクセスに限定。共有範囲を顧客案件単位で最小化し、短時間の大量ダウンロード・API経由の一括エクスポートを監査ログからアラート化する |
| 侵害の検知が攻撃者側の公表によるものだった | SaaSの監査ログ（ログイン元、ダウンロード件数、共有リンク作成）をSIEMへ取り込み、平常時のベースラインを超える取得量や新規地域からのログインを検知する。リークサイト・ダークウェブの監視サービスで自社名・ドメインを常時ウォッチする |
| 顧客の認証情報が漏れた場合の顧客側対応が個別連絡頼みになる | 顧客ごとに預かっている認証情報の台帳（どのシステム・どのアカウント・保管場所）を平時から整備し、漏えい時に該当顧客とアカウントを即時特定してローテーション依頼・完了確認まで追跡できる手順を用意する。可能な限り共有パスワードではなく顧客側発行の期限付きアカウントや一時アクセスを使う |
自組織などでの確認項目
- あなたの組織の文書管理やチャット、チケット管理に、顧客環境のパスワードや接続情報が書かれたファイルは残っていないか。今日シークレットスキャンをかけたら何件見つかるか。
- 委託先・開発ベンダーに預けている自社システムの認証情報を、あなたは一覧で把握しているか。ベンダーから「認証情報が漏えいした」と連絡が来たら、何時間で全アカウントをローテーションできるか。
- 自社のSaaSで1つのアカウントが乗っ取られた場合、そのアカウントで何ファイル・何GBを一度に持ち出せるか。それを検知する仕組みはあるか。
未解明点
- 侵入方法（SaaSアカウントの認証情報窃取・流用、MFAの有無、SaaS側の脆弱性等）と侵入時期・期間
- SaaS型文書管理システムの製品名
- 影響を受けた顧客企業の社数・件数と、顧客側での認証情報変更の完了状況
- Everestの主張（約128GB・15万9,901ファイル、証明書・秘密鍵関連ファイル）と公式確認範囲との対応関係
- 再発防止策の具体的内容と業績への影響
出典
- 1ユニリタ2026-09-29公式本文確認済
- 2ユニリタ2026-10-09公式本文確認済
- 3セキュリティ対策Lab（Rocket Boys）2026-10-01報道本文確認済
- 4セキュリティ対策Lab（Rocket Boys）2026-10-02報道本文確認済