コロナ、クラウドから2万4千人分漏えいか 多要素認証なしのIDが悪用

暖房機器や住宅設備をつくるコロナ(東証スタンダード)は、2026年10月22日、外部のクラウドサービスへの不正アクセスについての第2報を適時開示しました。施工を請け負った案件に関わる約2万4,000人の、氏名・住所・電話番号・施工関連資料が漏えいした可能性があります。

原因として、漏れた認証情報が第三者に使われた可能性が高いとしています。そのアカウントには多要素認証が無く、パスワードも十分な強度ではなかったと、同社は認めています。

何があったか

クラウドサービスの名前は書かれていません。

原因: 多要素認証の無いアカウント

外部の専門家との調査で、特定のアカウントの認証情報が漏れ、そのアカウントからデータがダウンロードされていたことを確かめたとしています。外に漏れた認証情報が第三者に使われた可能性が高いとみています。ほかのアカウントの認証情報の漏えいは確認されていません。認証情報が漏れた経緯は、まだ調べています。

そのうえで同社は、このアカウントには多要素認証が設定されておらず、IDとパスワードだけでログインできる状態だったこと、パスワードも十分な強度ではなかったことを挙げ、これらの認証の管理の不備も、不正アクセスを防げなかった要因の一つだと認めています。

コロナの対応

• 事象を把握したあと、すぐに、そのクラウドサービスのすべての利用者のアカウントを無効にして、設定し直した
• 不正アクセスを受けたアカウントを止め、パスワードを強くし、多要素認証を設定した
• 調査の結果を踏まえ、セキュリティの対策と監視の体制を強め、従業員への教育を徹底する
• 流出した可能性のあるデータを精査して対象者を特定し、順に個別に連絡する

業績への影響は精査中ですが、軽いとみています。

影響する人・会社、しない人・会社

• 影響する: コロナに施工を頼んだ人や、施工の案件に関わる人です。氏名・住所・電話番号・施工関連資料が漏れた可能性があり、同社から個別に連絡が来ます。
• 影響する: 外部のクラウドサービス(ファイルの共有や保管など)を、多要素認証なしで使っている会社です。同じ形で入られる恐れがあります。
• 影響する: 施工や工事、保守などで、顧客の住所や図面をクラウドで取引先とやり取りしている会社です。
• 影響しない: コロナと施工の取引の無い人です。ただし、同社を名乗る不審な電話や訪問には注意します。

会社・情シスが今日やること

1. 社内で使っている外部のクラウドサービス(ファイルの共有、保管、案件の管理など)を洗い出し、すべてのアカウントに多要素認証がかかっているかを確かめます。管理者の画面で、多要素認証を必須にできるなら必須にします。
2. 情シスが知らないアカウントや、部署で作った共有のアカウント、使っていないアカウントが残っていないかを点検し、要らないものは止めます。
3. パスワードの強さの決まりを見直します。短いものや使い回しを禁じ、漏れた認証情報の一覧と照らせる仕組みがあれば使います。
4. クラウドサービスの操作の履歴(ログイン、大量のダウンロード)を、誰がいつ見るかを決めます。今回は外部の専門家の情報提供で気づいており、自社では気づけていませんでした。
5. 顧客の個人情報や施工の資料をクラウドに置くときは、置く期間と、見られる人の範囲を決め、終わった案件の資料は消すか、別の場所に移します。