株式会社Gunosyは2026年10月26日、第三者が社内業務用アカウントの認証情報（ID・パスワード）を用いて不正ログインし、クラウド環境や業務ツール等へアクセスした事案を公表した。調査により、メールの一部が閲覧され、取引先担当者25名および同社の役職員等107名の氏名・メールアドレス等が流出したことが判明している。
事案の詳細
Gunosyの発表によると、事案は2026年10月21日午後に発生した。第三者が不正に入手した同社の社内業務用アカウントの認証情報（ID・パスワード）を用いてログインし、同社がサービスの運営や社内業務に利用しているクラウド環境や業務ツール等にアクセスしたことを、同社の監視システムが検知した。認証情報の入手経路は調査中としている。
同社は同日中に当該アカウントを停止し、不正なアクセスを遮断した。
その後の調査で、当該アカウントのメールボックスに保管されていたメールの一部が第三者に閲覧されたこと、ならびに同社の業務用ツールに登録された利用者の情報が取得されたことが判明した。
影響と背景
流出した情報の対象は、お取引先の担当者25名および同社の役職員等107名。取引先担当者については、当該アカウントとの間のメールに記載された氏名、メールアドレス、署名欄に記載された会社名・所属・役職・連絡先が含まれる。また、当該アカウントとの間のメールの一部で本文が閲覧された。添付ファイルが開かれた記録はないとしている。
役職員等については、業務用ツールに登録された氏名、メールアドレス等が流出した。同社は対象者への連絡を進め、関係機関への報告など必要な対応を行っている。
対策・今後の展望
- ID・パスワードでのログインが成立してしまう業務アカウントが攻撃対象になり得るため、社内業務用アカウントの管理状況を点検し、多要素認証の導入や不要なアカウント・権限の停止を進めることが重要となる。
- 監視システムでの検知は被害の早期把握につながるため、クラウド環境や業務ツール等へのアクセス状況を継続的に確認できる体制を整え、異常の早期発見につなげることが求められる。
- メールボックスや業務用ツールに情報が蓄積される運用では、閲覧・取得された場合の影響が大きくなり得る。保存される情報の範囲や保管方法を見直し、必要性に応じた管理を徹底することが課題となる。
CSRIからのアドバイス
同種の事案では、第三者が入手したID・パスワードで業務アカウントにログインし、クラウド環境や業務ツール、メールボックスへ横断的にアクセスが広がりやすい点が要注意だ。ひとつの業務アカウントが複数のサービスに結びついていると、影響範囲が大きくなりやすい。
例えるなら、社内の「合鍵（ID・パスワード）」が外部に渡り、入口だけでなく倉庫や書庫（業務ツールやメール）まで開けられてしまうようなものだ。つまり、ログインが一度許されると、保存された情報が閲覧・取得される可能性が現実的になるということだ。
まず社内業務用アカウントがどのクラウド環境・業務ツールに紐づいているかを洗い出し、担当者に共有する。次に、メールボックスに保管されている情報の範囲を確認し、不要な保存を減らす運用に切り替える。あわせて、多要素認証の導入、権限の最小化、アクセスの異常を見つけた際の連絡先と初動手順を整備しておく。