RIZAPグループ株式会社は、同社およびグループ子会社であるRIZAP株式会社が利用するクラウドサービス上においてアクセス権限の設定誤りが判明したことを受け、情報セキュリティに関するお知らせをニュースリリースとして公表した。本件は、顧客情報を含む一部ファイルが、本来アクセス権限を持たない第三者からも閲覧可能な状態となっていた可能性について、事実を公表し、関係者に周知することを目的とした公式な告知である。
事案の詳細
本件は、RIZAPグループ株式会社および子会社のRIZAP株式会社が利用するクラウドサービス上で作成されたファイルにおいて、アクセス権限の設定誤りがあったことにより、顧客情報を含む一部のファイルが、本来アクセス権を持たない第三者にも閲覧可能な状態となっていた事案に関するものである。誤設定は、2024年10月16日に従業員が業務の過程で確認したことをきっかけに判明し、その後、同社が調査を進めたうえでニュースリリースとして公表している。
対象となった情報は、クラウドサービス上で管理されていた顧客情報を含むファイルの一部であり、氏名、住所、連絡先などの個人情報が含まれていた可能性があるとされている。また、外部からの不正アクセスやマルウェア感染による侵害ではなく、クラウドサービス利用時のアクセス権限設定に関する人的なミス（設定誤り）に起因する事案であることが明らかにされている。
判明後、同社は直ちにアクセス権限の再設定や閲覧制限の強化などの対応を行い、当該クラウドサービス上のファイルについて、第三者からの閲覧が継続しないよう技術的な措置を講じている。現時点で、当該設定誤りにより第三者による不正な閲覧や情報の悪用が具体的に確認されたかどうかについては、詳細は現時点で不明とされており、同社は調査結果に応じて追加の公表を行う方針を示している。
なお、概要欄には、本件がクラウドサービスのアクセス権限設定誤りによるものであること、顧客情報を含む一部ファイルが閲覧可能状態となっていた可能性があること、判明日および対応の開始日が記載されているが、被害が確定した件数や、個人情報の悪用事例などの詳細については、現時点で公表されていない。被害状況の確定、対象となる顧客への個別案内の範囲、問い合わせ窓口の詳細などは、同社による今後の調査・公表に委ねられている。
影響と背景
企業が情報セキュリティに関するお知らせを公表すること自体は、関係者への周知や透明性の確保、説明責任の履行という観点で重要な取り組みである。今回RIZAPグループが公表した事案は、攻撃者による不正侵入ではなく、クラウドサービス上のアクセス権限設定誤りに起因するものであり、クラウド環境の利用が一般化する中で、設定ミスによる情報漏えいリスクが顕在化した一例といえる。
入力情報から確認できる範囲では、当該発表は「第三者が閲覧可能な状態となっていた可能性」「アクセス権限設定の誤り」「判明の経緯と当面の対応」などに関するインシデント対応の報告を含むものであり、単なる一般的な注意喚起や方針説明ではなく、具体的な事案に基づいた情報セキュリティ上の重要なお知らせであると位置付けられる。一方で、影響範囲（顧客数、取引先、従業員など）、実際に第三者が閲覧したかどうかの確証、有効な悪用被害の有無などについては、調査継続中として詳細は現時点で不明とされており、確定的な被害状況は今後の公表を待つ必要がある。
対策・今後の展望
- 公式発表の確認：当事者である企業が公表する情報を一次情報として確認し、更新や続報がある場合は最新の内容に基づいて行動する。特に、対象となる顧客や関係者は、企業からの正式な案内（郵送、メール、公式サイトの告知など）を確認し、記載された手順に従って問い合わせや手続き等を行うことが重要である。
- 不審な連絡への警戒：企業名をかたる連絡（メール、電話、SMS等）を受けた場合は、内容をうのみにせず、正規の窓口を通じて真偽を確認する。インシデント公表後は、それを悪用したフィッシングメールや詐欺的な電話が増加することがあるため、公式サイトに記載された連絡先や案内文を参照し、個人情報や認証情報を安易に提供しないよう注意する必要がある。
- 社内外の連絡体制の整備：取引先や利用者への周知が必要となるケースに備え、連絡先の管理や手順を平時から整備する。今回のようなクラウドサービス設定誤りに伴う事案でも、迅速に対象範囲を特定し、必要な説明や謝罪、再発防止策の共有を行うためには、社内のエスカレーション経路と対外的な連絡体制が整備されていることが重要である。
- ログと資産の棚卸し：万一の調査に備え、重要システムのログ保全方針、クラウド設定、端末・アカウントの棚卸しを継続的に実施する。クラウドサービスにおけるアクセス権限設定のレビュー、設定変更時のダブルチェック体制、設定内容の定期的な棚卸し・監査などにより、人的ミスによる誤設定を早期に発見・是正できる仕組みを構築することが望ましい。
CSRIセキュリティ専門家の見解
実際の診断現場では、インシデントの有無以前に「何が資産で、どこにログが残るか」を把握できていない中小企業が少なくありません。中小企業がまず確認すべきは、公式発表に対応して社内の問い合わせ窓口とエスカレーション経路が即時に機能するか、そして重要アカウントの棚卸し・多要素認証・ログ保全が最小限そろっているかです。クラウドサービスの利用が一般化する中で、アクセス権限設定の誤りは特に発生しやすい領域であり、設定内容のレビューや権限設計の見直し、変更作業時のチェック体制の強化など、技術面と運用面を両輪とした対策が求められます。