i-ask不正アクセスで大和証券など5社に波及 — 委託先1社への侵入は、なぜ大企業の情報漏えいになったのか

i-ask不正アクセス事件の概要

2026年10月2日、株式会社スカラコミュニケーションズが提供するFAQシステム「i-ask」のサーバーが不正アクセスを受け、利用企業最大5社の問い合わせ情報が漏えいした可能性があることが分かりました。対象は問い合わせ1件ごとに数えた延べ件数で最大71万3126件にのぼり、大和証券、シチズン時計、損保ジャパン、オリックス生命、東武鉄道が相次いで影響を公表しています。

i-ask は、企業のWebサイトに「よくある質問」や問い合わせの受付窓口を設けるクラウドサービスです。利用企業が受け付けた問い合わせの履歴はスカラコミュニケーションズのサーバーに保存されており、今回はそのサーバーが攻撃者に侵入されました。利用企業のシステムそのものは不正アクセスを受けていません。

発覚から公表までの経緯

不正アクセスは10月2日（金）の夜に行われ、翌朝、データベースの監視アラートをきっかけに発覚しました。スカラコミュニケーションズは同日中に不正アクセスを遮断して利用企業へ報告し、10月5日の大和証券を皮切りに、各社が順に公表しています。

影響を受けた企業と、漏えいした可能性のある情報

漏えいした可能性のある情報は、各社が i-ask を何に使っていたかによって異なります。証券口座の番号、医療に関する申告内容、ドライブレコーダーの運転情報など、問い合わせの内容に応じて重要な情報が含まれていました。

シチズン時計は、問い合わせの受付を別のシステムへ移行している途中で、i-ask は一部の継続対応のために限定的に使っている段階でした。10月中旬に利用を終え、保管しているデータをすべて削除する予定だったとしています。利用を終える直前のシステムにも、過去の問い合わせ情報が残っていたことになります。

不正な取引や二次被害の可能性

大和証券は、漏えいした可能性のある情報では、オンライントレードを含めて口座へのアクセスや取引はできないと説明しています。公表時点で、不正な取引や、情報がインターネット上に公開・拡散された事実は確認されていません。

一方で注意が必要なのは、漏えいした情報を悪用した詐欺です。氏名や問い合わせの内容を知っていれば、実在の企業を装った電話やメールにも説得力が生まれます。大和証券をはじめ各社は、自社を名乗る不審な電話やメールに注意するよう呼びかけています。

なぜ委託先1社への不正アクセスが5社に波及したのか

被害が5社に広がったのは、①管理サイトがIDとパスワードだけで入れる状態だったこと、②1台のサーバーで複数の利用企業の環境が動いていたこと、③問い合わせ情報が長期間、委託先に保存されていたこと、の3つが重なったためです。大和証券、シチズン時計、損保ジャパンはいずれも、自社システムへの不正アクセスは確認されていないと発表しています。

管理サイトへの不正ログインが入口になった

攻撃者は i-ask の運営に使う管理サイトに不正ログインし、サーバーに不正なプログラムを設置したうえで、データベースから問い合わせ情報を取得したとみられています。スカラコミュニケーションズは、不正ログインに使われたアカウントと全環境の管理者アカウントのパスワードを変更し、攻撃元のIPアドレスを遮断、不正なプログラムを隔離しました。アップロードされたファイルをプログラムとして実行できない設定に改め、外部の専門機関とフォレンジック調査を進めるとともに、個人情報保護委員会への報告と警察への相談を行っています。

ログインに使われた認証情報が攻撃者の手に渡った経緯は、2026年10月21日時点で公表されていません。管理画面への不正ログインは一般に、他のサービスから流出したパスワードの使い回し、フィッシングによる窃取、端末に感染したマルウェアによる抜き取りといった経路で起こります。IDとパスワードだけで入れる管理画面は、パスワードが一度外に漏れれば、文字列の複雑さに関係なく突破されてしまいます。同社が再発防止策として最初に多要素認証の導入を挙げているのは、このためです。

1台のサーバーを複数の利用企業で共用していた

被害が1社で止まらなかった直接の理由は、1台のサーバー上で、複数の利用企業の環境が稼働していたことです。多くの企業に同じ仕組みを提供する SaaS では、費用と運用の効率から、こうした共用の構成が広く採用されています。ただしこの構成では、管理サイトが突破されると、同じサーバーにある各社のデータベースにまとめて到達されてしまいます。スカラコミュニケーションズは再発防止策として、多要素認証とあわせて「環境間の分離」、監視体制の強化、第三者による定期的な脆弱性診断を挙げています。

問い合わせ情報が委託先に長く保存されていた

問い合わせフォームの自由記入欄には、企業が集めるつもりのない情報まで書き込まれることがあります。シチズン時計が、問い合わせ欄に銀行口座やクレジットカードの情報が記載されていた場合はそれも漏えいした可能性があるとしているのは、その一例です。問い合わせの履歴が何年分も委託先に残っていれば、そのぶん漏えいしたときの影響も大きくなります。

侵入されていなくても、対応するのは委託元の企業

今回の5社は、どこも自社のシステムを侵入されていません。それでも顧客から見れば「問い合わせた会社から情報が漏れた」ことに変わりはなく、対象者への個別連絡や問い合わせ窓口の設置は、利用企業がそれぞれ担っています。大和証券、損保ジャパン、オリックス生命は、自社の委託先管理のあり方を検証し、管理強化策と実施時期を決めると表明しました。

委託先を経由した被害は、i-ask に限ったものではありません。2026年1月から10月8日までに公表された日系企業のサイバー被害158項目を当社で整理したところ、委託先や連携先、利用しているクラウドを経由したものが10項目ありました（2026年 日系企業のサイバー被害事例一覧）。

サプライチェーン攻撃で委託先が狙われる理由

サプライチェーン攻撃とは、標的の企業を直接攻撃するのではなく、その取引先や委託先、利用しているサービスなど、守りの手薄な組織を経由して侵入する攻撃です。IPA の「情報セキュリティ10大脅威2026」組織編では「サプライチェーンや委託先を狙った攻撃」が2位となり、8年連続で選出されています。

委託先が狙われる背景には、サイバー攻撃の分業化があります。侵入口だけを探して売る「初期アクセスブローカー」と呼ばれる業者が、盗んだIDやパスワード、脆弱なサーバーの情報を闇市場で販売し、それを買った別の実行犯が情報の窃取やランサムウェアによる暗号化を行います。攻撃者にとっては、守りの固い大企業を直接狙うより、対策の手薄な組織から入って大企業のデータにたどり着くほうが効率的です。多くの企業のデータが集まる SaaS や委託先は、一度の侵入で得られる情報が多く、標的に選ばれやすくなります。

統計にも同じ傾向が表れています。IPA の調査では、不正アクセスの被害を受けた中小企業の36.8%が原因として「認証情報の窃取」を挙げ、サイバー被害を受けた中小企業の約7割で、影響が取引先にまで及んでいました。

攻撃の分業の仕組みと、ホームページ・メール・ブラウザという3つの侵入口の守り方は、当社代表・青山による総合解説「サプライチェーン攻撃の起点は中小企業にある」で詳しく解説しています。

委託元の企業が取るべき対策

委託先を経由した被害を防ぐには、自社の対策だけでなく、預けている情報と取引先の状態を把握し、管理の対象に入れることが必要です。具体的には、次の4つから始めます。まず、今回の3つの要因を委託元の立場から見ると、確かめるべき項目がはっきりします。

外部サービスに預けている情報を棚卸しする

まず、顧客の情報をどの外部サービスに、何件、何年分預けているのかを一覧にします。問い合わせ、FAQ、予約、採用、メール配信など、部署ごとに導入したサービスは把握しきれていないことが多く、シチズン時計の例のように、移行を終えかけたシステムにデータが残っていることもあります。この一覧がないと、委託先で事故が起きたときに、自社の顧客が影響を受けるかどうかを判断できません。

預ける情報を減らす

費用をかけずにできる効果の大きい対策が、預ける情報そのものを減らすことです。対応を終えた問い合わせは一定期間で削除する設定にし、問い合わせフォームには「口座番号やカード番号は記入しないでください」と注意書きを添えます。これだけでも、万一漏えいしたときの影響を小さくできます。

委託先との契約で、セキュリティの条件を決める

委託先とは、次の項目を契約で具体的に取り決めておきます。

• 管理画面に多要素認証を設定すること
• 利用企業ごとに環境を分離すること
• 預けたデータの保存期間と、削除の方法
• 事故が起きたときに、何時間以内に誰へ連絡するか

取引先・委託先のWebサイトを定期的に診断する

契約で条件を決めても、実際にその状態が保たれているかは確かめる必要があります。取引先や委託先が公開しているWebサイトの状態は、外部からの脆弱性診断で確認できます。新しい脆弱性は日々見つかっており、WordPress 関連だけでも2025年に新たに報告された脆弱性は1万1334件にのぼります（Patchstack「State of WordPress Security in 2026」）。一度の診断で終わらせず、定期的に確認することが大切です。

なお、SaaS を提供する企業は、利用企業から見れば今回の「委託先」の立場にあります。共用の構成で事故が起きれば、利用企業の数だけ公表が続くことになります。管理画面の多要素認証、利用企業ごとの環境の分離、アップロードされたファイルが実行されない設定の3点は、優先して確認してください。自社のホームページの状態は、77's Check!! で無料で確認できます。

取引先のセキュリティ対策でガーディアンが支援できること

取引先や委託先の対策を進めようとすると、多くの企業が次の4つの課題に直面します。当社代表の青山はこれを「四重のジレンマ」と呼んでいます。

当社は、取引先のWebサイトを「見つける」「見続ける」「直す」の3段階で支援しています。

SCAN DOG ライト版：取引先100社まで無料で一括診断

SCAN DOG ライト版は、取引先のホームページを外部から一括で診断し、対策を急ぐべき取引先を洗い出すサービスです。取引先のURL一覧をお預かりするだけで、次の点を診断し、危険度の高い取引先から順に並べたレポートを約10営業日でお届けします。

• すべてのページが SSL で暗号化されているか
• 管理画面の URL やログインIDが、外部から見える状態になっていないか
• CMS が古いバージョンのまま放置されていないか

サーバーへのインストールや設定の変更は不要で、通常のアクセスと同じ方法で診断するため、取引先のサイトの表示に影響はありません。100社までは無料で、レポートはそのまま取引先への説明資料としても使えます。

SCAN DOG 正規版：取引先のWebサイトを継続して診断

SCAN DOG 正規版は、大企業が取引先・委託先・グループ会社の公開Webサイトを一括で契約し、継続的に診断するサービスです。OWASP Top 10 や IPA「安全なウェブサイトの作り方」などに沿った300項目を診断し、今回の事件の入口となった管理画面の認証の不備、二要素認証の回避、総当たり攻撃への対策といった認証まわりの項目も含まれます。

SCSC Dog：修正が難しい取引先のホームページを移行

診断で見つかった問題は、取引先が自社で修正するのが基本です。ただ、制作会社に任せたままで更新の担い手がいない、修正してもしばらくすると同じ指摘が出る、という取引先も少なくありません。そうした取引先には、ホームページの更新と監視を当社が引き受ける SCSC Dog への移行をご提案しています。移行後は正規版の再診断で、指摘が減ったこと、解消したことを確認します。

SCSC Dog は、セキュリティだけのサービスではありません。当社が26年間手がけてきた「儲かるホームページ」の考え方のもと、集客・SEO・成果計測を備えたホームページの土台を安全にするサービスです。セキュリティのためだけに費用をかけるのではなく、成果を生むホームページに守りがついてくるため、中小企業でも対策を続けやすくなります。WordPress からの移行を検討する際の判断のしかたは、WordPressとCMSの選び方で解説しています。

SCS評価制度で問われる「委託先管理」

委託先の管理は、SCS評価制度でも評価の対象になります。経済産業省・内閣官房・IPA が進める「SCS評価制度（サプライチェーン強化に向けたセキュリティ対策評価制度）」は、企業のセキュリティ対策の水準を★の数で示す制度で、★3・★4の申請受付は2026年度末（2027年1〜3月頃）に始まる予定です。

★3の要求事項には、「2-1-2 機密情報の取扱い」と「2-1-4 セキュリティインシデント発生時の役割・責任」が含まれています。預けた情報の扱い方や、取引終了時の返却・廃棄の方法、事故が起きたときに委託元と委託先のどちらが何をするのかを、取引を始める前に取り決めておくことが求められます（IPA「★3・★4 要求事項・評価基準」）。

SCAN DOG の診断レポートと指摘への対応履歴は、取引先が★3・★4の評価を受ける際に、脆弱性の管理に取り組んできたことを示す証跡の一部として活用できます。制度の全体像と対応の進め方は、SCS評価制度への対応で解説しています。

よくある質問

まとめ

i-ask の不正アクセスでは、委託先1社の管理サイトが突破されたことで、大和証券など5社の問い合わせ情報が漏えいした可能性があります。利用企業のシステムは侵入されていませんが、顧客への連絡や問い合わせ対応は利用企業が担うことになりました。

委託先を経由した被害を防ぐには、次の4つが基本です。

• 外部サービスに預けている情報を棚卸しする
• 預ける情報を減らす
• 委託先との契約で、多要素認証や環境の分離、事故時の連絡を取り決める
• 取引先・委託先のWebサイトを定期的に診断する

取引先の状態を把握するには、まず SCAN DOG ライト版で、取引先100社までを無料で診断してください。継続的な確認には SCAN DOG 正規版、修正が難しい取引先には SCSC Dog で対応できます。

あわせて読みたい

• 
  総合解説

  サプライチェーン攻撃の起点は中小企業にある
• 
  事例一覧

  2026年 日系企業のサイバー被害事例一覧
• 
  SCS評価制度

  SCS評価制度への対応