スカラコミュニケーションズへの不正アクセス 5社の公表を比べる

2026年10月5日から8日にかけて、大和証券、シチズン時計、損保ジャパン、東武鉄道、オリックス生命の5社が、同じ委託先の株式会社スカラコミュニケーションズ(以下SC社)のサーバーへの不正アクセスについて公表しました。5社は、件数の数え方も項目も、対応の書き方も違います。

この記事は、各社とSC社の公式の発表だけを使い、違いを表に並べます。そのうえで、問い合わせやFAQを外部に預けている会社の情シスが、委託先に確かめることを整理します。各社の記事は大和証券、シチズン時計、損保ジャパンでも書いています。

SC社が10月6日に公表したこと

SC社は10月6日、同社のFAQシステム「i-ask」(よくある質問と回答を扱う仕組み)が不正アクセスを受けたと公表しました。第三者が管理サイトに不正にログインして不正なプログラムを設置し、同じサーバー上で動いていた利用企業(最大5社)のデータベースから、問い合わせ情報を取得された可能性があります。

SC社は、不正ログインに使われたアカウントのパスワード変更、攻撃元IPアドレスの遮断、不正プログラムの隔離、全環境の管理者アカウントのパスワード変更を済ませたと書いています。アップロードしたファイルをプログラムとして実行できない設定への変更も、実施済みです。

原因と被害の技術的な調査(フォレンジック調査)は、外部の専門機関と進めています。多要素認証の導入などの管理者認証の強化、環境間の分離、監視の強化、第三者による定期的な脆弱性診断は、調査結果に基づいて行う今後の対策です。導入済みという意味ではありません。個人情報保護委員会へは報告済みで、警察にも相談しています。

5社の公表を並べて比べる

5社はいずれも、委託先をSC社と書いています。ただし「i-ask」という名前を使っているかは、社によって違います。大和証券、シチズン時計、東武鉄道の発表には、i-askの名前がありません。損保ジャパンは、SC社のお知らせのURLを載せています。オリックス生命は、SC社のお知らせへのリンクを載せ、リンクの題にi-askの名前があります。

このため、5社の対象が全部i-askだと、各社の発表から言い切ることはしません。以下の表は、各社が書いたとおりに並べています。

何に使っていたか

使い方は、どれも「顧客や利用者からの問い合わせを受け付けて、保管する」ものです。顧客に見えるのは各社の窓口ですが、入力された内容は、委託先のサーバーに残っていました。

件数と項目

件数は、人数と延べ件数が混ざっています。ここを読み違えると、被害の大きさを誤って伝えます。

オリックス生命の項目には、問い合わせの中で申告された医療情報等が含まれます。問い合わせの自由記述欄は、書く側が何を入れるか決められません。損保ジャパンの発表にも、問い合わせの件名・本文が含まれています。項目の一覧を作るときは、フォームの項目だけでなく、自由記述の中身も対象にします。

個別の連絡と対応

「個別に連絡する」と書いている会社でも、方法は違います。損保ジャパンは、連絡できない人に対して、公表で連絡に代える考えを示しています。委託元として自社が公表する場合も、連絡が届かない人への扱いを先に決めておく必要があります。

東武鉄道だけが違うところ

東武鉄道の発表は、ほかの4社と書き方が違います。同社は、SC社から、SC社のサーバーへの不正アクセスの報告を受けました。SC社の説明では、不正アクセスは10月2日20時33分頃から10月3日8時1分頃で、現時点の調査では、東武鉄道に関する情報の閲覧・取得の形跡は確認されていません。

ほかの4社は、情報が漏えいした可能性があると公表しています。東武鉄道は、サービスの提供元が被害を受けたことを知らせたうえで、同社の情報の形跡は未確認としています。

委託先の事故では、委託元が「うちの情報があるのか」を自分で確かめる手段が少なくなります。形跡が確認されていないという報告は、委託先の調査の結果です。委託元は、委託先がどこまで調べ、いつまでに最終の報告を出すのかを、自分で確かめる必要があります。

影響する人・会社、しない人・会社

• 影響する: 5社の問い合わせフォームやよくある質問から問い合わせた人。損保ジャパンは、主にSMILING ROADを導入している企業の従業員を想定しています。対象の人には、各社が個別に連絡します。
• 影響する: 自社のフォームやFAQを、SC社に預けている会社。SC社の発表は、同じサーバー上の利用企業(最大5社)が対象です。自社がその中に入るかは、SC社か、契約窓口を通して確かめます。
• 影響する: 問い合わせの自由記述に、口座情報や医療情報などを書く欄を作っている会社。項目に無い情報も、本文に書かれてしまうからです。
• 影響しない: 各社の自社システム。5社とも、自社システムへの不正アクセスは確認されていないと発表しています。
• 影響しない: SC社と契約がなく、問い合わせを自社のシステムだけで受けている会社。ただし、ほかの外部サービスに同じ構造がないかは、確かめる価値があります。

委託元の情シスが委託先に確かめる7つのこと

個人情報保護委員会は、委託先の監督で、委託先の選定、委託契約の締結、委託先での取扱状況の把握の3つに留意するよう示しています。同委員会の資料には、次の趣旨も書かれています。

不正アクセスに対するセキュリティ対策について、委託先に任せっきりにせず委託元の事業者も取り組む必要があります。

同資料は、一般的な業務委託契約にはセキュリティの項目が含まれていないことが多いので、確認して盛り込むよう求めています。再委託する場合も、委託先と同様の監督が必要です。以下の7つは、この考え方とSC社の対応を対応させた確認の手順で、公式が示した期限ではありません。

1. 何を預けているか。 問い合わせ・FAQ・チャットなど、外部のサービスに保存している項目を一覧にします。自由記述欄に書かれる内容も含めます。
2. 保存期間と削除。 終わった問い合わせを、いつまで保存するか決めます。シチズン時計は、移行後に旧システムの保管情報を全て削除する予定だと発表しています。
3. 管理画面の認証。 管理サイトの認証に多要素認証があるかを聞きます。SC社の事故は管理サイトへの不正ログインが入口で、多要素認証の導入は、SC社にとって今後の対策です。
4. 他社との同居。 自社のデータが、同じサーバーやデータベースで他社と同居していないかを聞きます。SC社は、環境間の分離をこれから進める方針です。
5. アップロードの制限。 管理画面からファイルをアップロードできる場合、プログラムとして動かせない設定になっているかを聞きます。SC社は事故の後にこの設定へ変更しました。
6. 連絡の窓口と期限。 事故のとき、誰に何時間以内に連絡が来るかを契約で決めます。SC社は10月3日の朝に気づき、同日中に利用企業へ報告しています。公表は大和証券が10月5日、損保ジャパンは10月7日です。
7. 診断と監視の中身。 定期的な脆弱性診断の頻度と、結果を委託元へ共有してもらえるかを確かめます。監視の通知が、誰に届くのかも聞きます。

確認シートは次のテンプレで使えます。

委託先で漏えいが起きたときの報告の期限は、委託先で個人情報が漏えいしたら?報告3〜5日・30日と本人通知の流れで整理しています。

会社・情シスが今日やること

1. 外部サービスの一覧を作る。 問い合わせフォーム、FAQ、チャット、アンケートなど、顧客や従業員の入力を預けているサービスを書き出します。提供元と契約窓口も書きます。
2. スカラコミュニケーションズ(i-ask)との関係を聞く。 該当するサービスの契約先に、SC社のサービスを使っているかを書面で確認します。使っている場合は、自社のデータが今回の対象に入るかの回答と、その期限を求めます。
3. 上の7つを委託先に送る。 回答の日付を記録し、答えられなかった項目は、次の契約更新までの宿題にします。
4. お客様への案内文を用意する。 何が漏れた可能性があるか、人数か延べ件数か、二次被害の確認状況、不審な連絡への注意、窓口を、公式の事実だけで書ける雛形を作っておきます。