株式会社UPSIDERの「Breakthrough GRID」への不正アクセス（会員情報など544人分漏えい）
公表日
株式会社UPSIDERが運営する会員制交流サイトが不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。を受け、一部退会者を含む187社・計544人分の登録情報やディスカッション議事録が外部へ漏洩しました。
対象者は？
会員制ビジネスリーダー向けコミュニティ「Breakthrough GRID」の会員および退会済みの利用者（法人カード「UPSIDER」などのカード情報・決済情報は含まれません）
対象となる利用者に対して、株式会社UPSIDERから個別に案内メールが送付されています。
いますぐできること
- UPSIDERやコミュニティ関係者を装った不審なメール、電話、SNSメッセージに警戒し、記載されたURLや添付ファイルを安易に開かない。
何が起きたのか
2026年10月27日、ビジネスリーダー向けコミュニティ「Breakthrough GRID」の会員向けサービスサイトに対し、第三者による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。があり、内部に保存されていたデータが外部へ持ち出されたことが判明しました。流出した情報には、会員の氏名、メールアドレス、所属企業・部署情報のほか、イベント関連情報やディスカッションの議事録が含まれていました。なお、同社が提供する法人カードなどの決済サービス基盤への影響はありません。
なぜ起きたのか・なぜ広がったのか
会員向けサービスサイトに対する外部からの不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。外部の攻撃者だけでなく、内部の人が権限を超えて行う場合もあります。日本では「不正アクセス禁止法」で禁止されています。公表文の「不正アクセス」は手口の名前ではなく、どう侵入されたかは別に書かれます。が原因ですが、具体的な侵入経路や技術的な詳細原因は発表されていません。
いまの状況2026-10-28 時点続報待ち
2026年10月28日現在、会員向けサービスサイトの全機能が停止され、外部からのアクセスが遮断されています。対象となる顧客への個別連絡が実施されており、サイトの再開時期は未定です。現時点で本件に起因する二次被害は確認されていません。
企業として考えたいこと
自社が運営するコミュニティや新サービスにおいて、基幹システムとの適切な分離や、退会者のデータ・機密議論ログの保管管理は適切に行われていますか？
技術的な要約
株式会社UPSIDERは2026年10月27日、次世代ビジネスリーダー向けコミュニティ「Breakthrough GRID」の会員向けサービスサイトが第三者による不正アクセスを受け、登録情報や提供された情報が外部へ持ち出されたと発表した。漏えいした情報には、現会員および退会済み顧客の氏名やメールアドレス、所属企業・部署情報のほか、イベント関連情報やディスカッションの議事録が含まれており、報道によれば一部退会済みを含む187社・計544人分に上る。一方、同社が提供する法人カード「UPSIDER」や「PRESIDENT CARD」などの他サービスを管理するシステムへの不正アクセスや情報流出はないことが確認されている。同社は緊急対応として会員向けサービスサイトの全機能を停止して外部からのアクセスを遮断し、対象者への個別連絡を実施したが、サービスサイトの再開時期は未定としている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- 不明会員向けサービスサイトに対する具体的な侵入経路や侵入方法の詳細は公表されていない。
- 脆弱性
- CVE 非公表不明具体的な脆弱性は公表されていない。なお、UPSIDERが2026年10月22日に対応状況を公表していたPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関して、Breakthrough GRIDの自社システムは対象のPHPを利用していないと説明されており、不正アクセスの原因と結び付ける情報は示されていない。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 会員向けサービスサイトの全機能が停止され、外部からのアクセスが遮断された。公表時点で再開時期は未定となっている。期間：公表時点で未定
- データ
- 確定上限 544確定 544人氏名メール取引先情報業務データその他一部退会済みを含む187社、計544人分の情報が外部へ漏洩したと報道されている。漏えい情報には、会員本人の情報（氏名・メールアドレスなど）、所属企業の情報（企業名・部署など）、イベントに関する情報、ディスカッションの議事録などが含まれる。法人カード「UPSIDER」「PRESIDENT CARD」等の会員情報・カード情報・利用明細・決済情報を管理するシステムへの影響はないことが確認されている。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- —
時系列
- 2025-10次世代ビジネスリーダー向けコミュニティ「Breakthrough GRID」が正式リリースされる1
- 2026-09Breakthrough GRIDの累計参加者が400名、参加企業160社、役員・CxO比率64%に達する1
- 2026-10-22UPSIDERがPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）への対応状況を公表。Breakthrough GRID自社システムは対象PHPを利用していないと説明3
- 2026-10-27Breakthrough GRIDの会員向けサービスサイトに対する第三者の不正アクセスがあり、保存されていた情報が持ち出されたことが判明2
- 2026-10-27
- 2026-10-27
- 2026-10-27
- 2026-10-27日本経済新聞が、不正アクセスにより一部退会済みを含む187社・計544人の情報が漏洩したと報道4
- 2026-10-28セキュリティ対策Labが、侵入方法の詳細が発表時点で明らかにされていないことやPHP脆弱性との直接の関連は示されていないことなどを報道3
技術解説
不正アクセスの発覚と漏えいしたデータの内訳 事実
2026年10月27日、株式会社UPSIDERが運営するビジネスリーダー向けクローズド・コミュニティ「Breakthrough GRID」の会員向けサービスサイトに対する第三者の不正アクセスが判明し、保存されていた情報が外部へ持ち出された。報道によると、一部退会済みを含む187社、計544人分の情報が漏洩したとされる。外部へ流出した情報には、会員本人の氏名やメールアドレスのほか、所属企業名や部署情報、イベント関連情報、ならびにディスカッションの議事録が含まれていた。一方で、同社が提供する主力事業である法人カード「UPSIDER」や「PRESIDENT CARD」等の会員情報、カード情報、利用明細、決済情報を管理するシステムへの不正アクセスや情報流出はないことが確認されている。同社は発覚当日にサービスサイトの全機能を停止して外部からのアクセスを遮断し、対象者への個別メール通知を実施した。
クローズドコミュニティにおける機微情報の集中と流出リスク 解釈
本事案で流出したデータの特徴は、氏名やメールアドレスといった連絡先情報にとどまらず、所属企業・部署やディスカッションの議事録が含まれていた点にある。Breakthrough GRIDは役員やCxOの参加比率が高く、規約で守秘義務を課すなど密度の高いビジネス議論を行うクローズドコミュニティとして設計されていた。参加企業の間で共有されたディスカッション議事録には、各社の事業戦略や課題意識など外部非公開の文脈が含まれていた可能性が考えられる。また、退会済みの顧客情報や過去の議事録がサイト上に保存され続けていたことが、一度の不正アクセスにおける被害規模と流出対象データの範囲を拡大させる一因になったと推察される。一般的な会員管理情報と比べて、協議内容そのものを保存するシステムは侵害時の事業的影響が大きくなりやすい。
主力基幹システムとの分離と侵入経路究明の課題 解釈
セキュリティ対応の観点では、金融決済基盤である法人カード事業のシステムとコミュニティサービスサイトが分離して運用されていたことにより、高機微な決済情報やカード会員基盤への横断侵害が防がれた点は評価できる。発覚当日に即座にサイト全機能を停止しアクセス遮断を実施した初動も迅速であった。他方で、侵入経路や悪用された手口の詳細は公表時点において明らかにされていない。なお、発生直前の2026年10月22日に同社はPHPの脆弱性（CVE-2026-109618、CVE-2026-109619）に関する対応状況を発表していたが、当該システムでは対象PHPを利用していないと説明されており、直接的な関連は示されていない。具体的な脆弱性や認証の不備など、どのような経路でサービスサイト内のデータ取得に至ったのかについての検証と説明が今後の焦点となる。
対応
- 封じ込め
- 会員向けサービスサイトの全機能を停止し、外部からのアクセスを遮断した。
- 公表の仕方
- 2026年10月27日に自社公式サイトで不正アクセスと情報漏えいに関する告知を公表し、対象顧客に対して個別のメール連絡を実施した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| サブ事業やコミュニティサービスの基盤は、基幹・決済基盤と物理的・論理的に分離する | 新規サービスや会員向けポータルを構築する際は、本業の基幹ネットワークや認証基盤と完全に独立させ、侵害が発生しても他サービスへ横断的に影響が及ばない境界分離アーキテクチャを適用する。 |
| 退会済みユーザーデータおよび不要となった過去議事録の保管ポリシーを厳格化する | 利用規約およびデータ保持ポリシーに基づき、退会済みユーザーのアカウント情報や終了したイベントのディスカッションログを定期的に自動削除または匿名化・オフラインアーカイブ化するデータライフサイクル管理を実装する。 |
| 機密性の高いディスカッション記録や業務リポジトリへのアクセス制御を強化する | 議事録や経営関連情報などの非公開データが保存されるストレージ・データベースに対して、細粒度のアクセス権設定、保存時暗号化、および異常な一括ダウンロードを検知・遮断するデータ保護機構を導入する。 |
| インシデント発生時にサービスを即時遮断・孤立化できる緊急対応手順を確立する | 外部からの不正アクセスや漏えい兆候を検知した際に、WAFやロードバランサー、DNSレベルでトラフィックを瞬時に遮断し、全機能を安全にサービス停止できる運用手順と権限委譲ルールをあらかじめ整備しておく。 |
自組織などでの確認項目
- 自社のメイン事業とは別に運用している新規サービスやユーザーコミュニティの基盤は、基幹系や決済系のシステムと認証・ネットワーク面で適切に分離されているか。
- 退会済み会員の個人情報や、過去の商談・ディスカッション等の議事録データが、保存期間を超えてWebサーバーやオンラインデータベース上に滞留していないか。
- 機密情報を取り扱うWebアプリケーションにおいて、想定外の権限昇格や大量データのエクスポート・持ち出しを検知して即時にアクセスを遮断できる仕組みが整っているか。
未解明点
- 第三者による不正アクセスはどのような侵入経路（Webアプリケーションの脆弱性、認証情報の窃取・流用、設定不備など）によって行われたのか。
出典
- 1Breakthrough GRID公式本文確認済
- 2株式会社UPSIDER2026-10-27公式本文確認済
- 3セキュリティ対策Lab2026-10-28報道本文確認済
- 4日本経済新聞2026-10-27報道本文確認済