UPSIDERへのソフトウェアサプライチェーン攻撃（開発者端末侵害・全サービス一時停止、情報流出の痕跡なし）
公表日
法人カード等を提供するUPSIDERで、開発者の端末が不正なプログラム入りのOSSにより侵害され、2026年4月1日に全サービスが一時停止した。顧客のカード情報・個人情報・法人情報が外部に流出した事実は確認されていない。
対象者は？
2026年4月1日にカード決済やログインなどを一時停止されたサービス（法人カード「UPSIDER」、PRESIDENT CARD、AI経理など）の利用者。顧客のカード情報・個人情報・法人情報の外部流出を示す事実は確認されていない。累計導入は10万社以上（2025年11月時点）とされるが、停止の影響を受けた社数は発表されていない。
個別の利用者向けの確認方法は、提供された情報にはなく、まだ発表されていません。
何が起きたのか
2026年3月24日、UPSIDERがシステム開発に使っていたOSS（誰でも使える公開ソフト）に悪意のあるプログラムが混入されており、それが実行されて開発者の端末が侵害されました。この時点では会社は気づいていませんでした。3月25日と3月31日に、外部のクラウドサービス提供元から認証情報の漏えいの通知を受け、2回目の後に対策本部を設置しました。4月1日3時40分、異常を検知した保護機能がサーバを強制停止し、カード決済やログインを含む全サービスが一時停止しました。ログインは10時57分、カード決済は12時20分に復旧し、4月9日までに全機能が段階的に戻りました。
なぜ起きたのか・なぜ広がったのか
原因は、開発に使っていた外部のOSSに悪意あるプログラムが混入されたことだと、最終報告で説明されています。サービス停止は、攻撃そのものによるシステムダウンではなく、被害拡大を防ぐための保護機能の作動だったとされています。3月25日から31日までの間に実際に何が起きていたのかは、公表内容からは読み取れません。混入したOSSの名称や攻撃者については、まだ発表されていません。
いまの状況2026-06-12 時点
2026年6月12日に最終報告が公表されました。外部専門機関の調査（4月10日〜5月20日）では、顧客のカード情報・個人情報・法人情報の外部流出を示す事実は確認されていません。一部の外部サービス上の情報にアクセスし得た期間はありましたが、閲覧・取得の痕跡は確認されていないとされています。再発防止として、入口での侵害防止の強化、最小権限の徹底や開発者端末から本番環境へのアクセス経路の制限などの内部アクセス制御の厳格化、分析基盤と体制の強化を進めるとしています。補償や金銭的な影響については、まだ発表されていません。
企業として考えたいこと
自社の開発者が使う外部ソフトウェアに不正なプログラムが混ざっていた場合、その端末に保存された認証情報を、どこまで、どれくらい早く入れ替えられるでしょうか。
技術的な要約
2026年3月24日、UPSIDERがシステム開発に使っていたOSSパッケージに悪意あるプログラムが混入されており、その実行によって開発者端末が侵害された。3月25日と3月31日に外部（クラウドサービス提供元）から認証情報漏えいの通知を受け、2回目の通知後に対策本部を設置した。4月1日3時40分にシステム保護機能（サーバの強制停止）が作動し、カード決済とログインを含む全サービスが一時停止した。ログイン機能は同日10時57分、カード決済機能は12時20分に復旧し、4月9日までに全機能を段階的に復旧した。4月10日から5月20日の外部フォレンジック調査の結果、顧客のカード情報・個人情報・法人情報の外部流出を示す事実は確認されず、2026年6月12日に最終報告が公表された。
公開情報が限られている点について
攻撃の分類
- 侵入口
- ソフトウェアサプライチェーン公表で確認システム開発で使用していた外部ソフトウェア（オープンソースパッケージ）に悪意あるプログラムが混入された「ソフトウェアサプライチェーン攻撃」。2026年3月24日、当該パッケージの実行により開発者端末が侵害され、この時点では侵害に気づいていなかった。
- 脆弱性
- CVE 非公表公表で確認システム開発で使用していた外部OSSパッケージ（名称は提供された情報に記載なし）脆弱性ではなく、OSSパッケージへの悪意あるプログラム混入が原因。CVEの記載なし。
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり 2026年4月1日3時40分、システム保護機能（サーバの強制停止）が作動し、カード決済・ログインを含む全サービスが一時停止した。会社は攻撃そのものによる停止ではなく被害拡大防止のための措置としている。10時57分にログイン、12時20分にカード決済を復旧し、4月9日までに全機能を段階的に復旧した。カード決済の停止は約9時間であり、core_daysは停止が生じた暦日数として1とした。期間：カード決済・ログインは2026-04-01 3:40頃〜同日12:20頃までに復旧。全機能の復旧は2026-04-09まで
- データ
- なし上限 —確定 —外部専門機関の全ログ精査で、顧客のカード情報・個人情報・法人情報の外部流出を示す事実は確認されなかった。カード関連情報はトークン化された識別子のみで管理し、カード番号・暗証番号・CVVは保持していない。一部の外部サービス上の情報にアクセスし得た期間はあったが、閲覧・取得の痕跡は確認されていない。外部サービスの仕様上ログ検証が困難な領域は、外部ベンダーへの直接照会等で総合評価している。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- UPSIDERがシステム開発に使用していた外部OSSパッケージに悪意あるプログラムが混入され、これを起点に同社の開発者端末が侵害された。当該OSSの名称や混入経路は提供された情報に記載がない。
時系列
技術解説
攻撃の流れ：OSS経由で開発者端末が侵害された 事実
最終報告によると、不正アクセスの原因は、システム開発で使用していた外部ソフトウェア（オープンソースパッケージ）に悪意あるプログラムが混入されたソフトウェアサプライチェーン攻撃だった。2026年3月24日、混入されたOSSパッケージが実行され、そのパッケージを使っていた開発者の端末が侵害された。この時点でUPSIDERは侵害に気づいていなかった。3月25日にクラウドサービス提供元から一部の認証情報の漏えい通知を受け、無効化と刷新の一次対応を完了した。3月31日21時37分には、システム内部の異なる認証情報が窃取された兆候を検知し、対策本部を設置した。混入したOSSの名称は、提供された情報には記載がない。
全サービス停止と復旧の経過 事実
2026年4月1日3時40分、不正アクセスに伴う異常を検知したシステム保護機能（サーバの強制停止）が作動し、カード決済とログインを含む全サービスが一時停止した。同日4時から10時にかけて、対象デバイスの隔離、攻撃経路の遮断、全本番環境サーバのクリーンアップと整合性チェックを実施した。10時57分にログイン機能、12時20分にカード決済機能を復旧し、4月9日までに全機能を段階的に復旧した。会社は、この停止を攻撃そのものによるシステムダウンではなく、被害拡大を防ぐための制限措置だったと説明している。停止中は、Web管理画面、モバイルアプリ、Slack・Teamsへの通知、会計ソフトへの連携なども不安定になっていた。
情報流出に関する調査結果 事実
外部フォレンジック調査（4月10日〜5月20日）の結果、顧客のカード情報・個人情報・法人情報の外部流出を示す事実は確認されなかった。カード関連情報はトークン化された識別子のみで管理され、カード番号・暗証番号・セキュリティコードは保持していないという。一方で、攻撃者が一部の外部サービス上の情報にアクセスし得た期間はあったが、閲覧・取得の痕跡は確認されていない。外部サービスの仕様上ログ検証が困難な領域については、外部ベンダーへの直接照会や、二次被害・不審な挙動の報告実績を含めて総合評価したとされる。件数は公表されておらず、流出確定件数も上限件数も示されていない。
3月25日から31日までの6日間をどう読むか 解釈
3月25日の一次対応の後も、3月31日に別の認証情報の漏えい通知が届いている。この間に何が起きていたかは、公表内容から確定できない。記者も、報告書からは25日の対応後も開発者端末を通じて攻撃者が6日間システム内部を探索したのかどうかは読み解けないと指摘している。ここでは、一次対応で刷新した認証情報の範囲と、侵害された端末が保持していた情報の範囲の関係が、論点になりうると考える。ただし、これは公表情報からの読み解きであり、実際の経緯を示すものではない。この点は他組織にも当てはまる論点で、特定の対応の良し悪しを断じるものではない。
公表の評価と読み取れる限界 解釈
4月10日に原因と調査状況を公表し、外部調査の完了後の6月12日に最終報告を出しており、段階的に説明がなされている。復旧時刻や対応内容が時刻つきで示された点も、読み手が経過を追いやすい。一方で、流出の痕跡が確認されていないという表現は、流出がなかったことの証明とは異なる。ログ検証が困難な領域は総合評価で補っているため、結論の確度はその評価の前提に依存すると考えられる。また、混入したOSSの名称や混入経路、攻撃者像、金銭的影響は、提供された情報では確認できなかった。この評価は報道経由の情報に基づく暫定的なものである。
対応
- 封じ込め
- 2026-03-25に通知を受けた認証情報を無効化・刷新。4月1日3時40分にシステム保護機能（サーバの強制停止）が作動し、同日4時〜10時に対象デバイスの隔離、攻撃経路の遮断、全本番環境サーバのクリーンアップと整合性チェックを実施した。侵害された可能性のある全認証情報の刷新、侵害端末の隔離、全本番環境サーバの健全性確認を実施済み。恒久対応として、入口での侵害防止強化、内部アクセス制御の厳格化（最小権限の原則の徹底、開発者端末から本番環境へのアクセス経路の制限等）、多角的な分析基盤と体制の強化を進める。
- 公表の仕方
- 2026-04-10に調査結果（原因がOSSへの悪意あるプログラム混入であること等）を公表し、外部フォレンジック調査（4月10日〜5月20日）の完了を受けて2026-06-12に最終報告を公開した。
- 当局対応
- —
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| 依存パッケージの実行は、開発者端末を侵害する入口になりうる | ロックファイルでバージョンとハッシュを固定し、公開直後の新バージョンは一定期間（例：数日）採用しない設定にする。社内レジストリ経由で取得し、インストール時スクリプトは既定で無効化する。CIで依存の差分を検査する。 |
| 認証情報の漏えい通知を受けた際は、刷新の範囲が侵害範囲と合っているかを確認する | 侵害端末が保持し得る全シークレット（APIキー、クラウド認証情報、トークン）を台帳化し、通知対象以外も含めて一括ローテーションできる手順を用意する。通知後は、その端末由来の認証による利用履歴を遡って確認する。 |
| 開発者端末から本番環境へのアクセス経路は絞る | 本番へのアクセスは踏み台やJIT（一時的）権限付与に限定し、端末に長期有効な本番認証情報を置かない。最小権限のIAMロールと短命トークンを使い、端末の認証の異常利用をアラート化する。 |
| 異常時にサーバを止める保護機能は、復旧手順とセットで備える | 強制停止の発動条件、復旧順序（認証→決済など）、整合性チェックの手順を文書化し、定期的に演習する。復旧前にクリーンな状態を確認するチェックリストを持つ。 |
| 外部サービス上の情報は、ログ検証が難しい場合がある | 利用する外部サービスの監査ログの保持期間・粒度・取得方法を契約前後に確認し、ログを自社側に定期保全する。インシデント時にベンダーへ問い合わせる窓口と手順を事前に決めておく。 |
| 機微情報を保持しない設計は、侵害時の影響を減らす | カード番号などはトークン化し、暗証番号やセキュリティコードは保持しない。保持するデータを棚卸しし、侵害され得る領域に置く情報を最小限にする。 |
自組織などでの確認項目
- 自組織の開発者端末で、どのパッケージ管理ツールから外部OSSを取得しているか。バージョン固定や、新バージョンの採用を遅らせる仕組みはあるか。
- 開発者端末に保存されている認証情報（クラウド、APIキー、トークン）を一覧にできるか。侵害が疑われたときに、全件を何時間で刷新できるか。
- 自組織で、開発者端末から本番環境へ到達できる経路は何本あるか。外部サービスの監査ログは、何日分、自社で確認できるか。
未解明点
- 悪意あるプログラムが混入されたOSSパッケージの名称、バージョン、混入された経路は、提供された情報には記載がない。
- 3月25日から31日までの間、攻撃者が開発者端末などを通じてシステム内部で何をしていたのかは、公表内容から読み取れない。
- 攻撃者の名称や主張の有無は公表されていない。金銭的な影響額も確認できなかった。
- アクセスし得たとされる「一部の外部サービス」の具体名と、ログ検証が困難だった範囲の詳細は公表されていない。
出典
- 1ASCII STARTUP（PR TIMES配信・株式会社UPSIDER）2022-08-04公式本文確認済
- 2＠IT（ITmedia）2026-06-12報道本文確認済
- 3ペイメントナビ2025-02-14報道本文確認済
- 4セキュリティ対策Lab(合同会社ロケットボーイズ)2026-04-13報道本文確認済
- 5セキュリティ対策Lab（合同会社ロケットボーイズ）2026-06-15報道本文確認済
- 6ScanNetSecurity2026-04-30報道本文確認済
- 7ScanNetSecurity2026-06-25報道本文確認済