ファブリカホールディングス：連結子会社における不正アクセスに関する調査完了のお知らせ（最終報）

公表によれば、メディア4uが提供するSMS配信システムへの不正アクセスが確認されたのは2026年6月24日で、同社とファブリカホールディングスが初報を出したのは7月14日だった[s4][s2]。and-secureの整理では、6月24日に経路の遮断、緊急メンテナンス、ログの保全を行い、外部の専門機関と調査を始めた。6月24日から7月13日にかけては管理用の認証情報をすべて無効にして発行し直し、原因の脆弱性を修正し、ログインの監視を強めたという[s6]。7月17日に第2報が出され、全契約でのパスワード変更などが勧められた。その後8月1日にセキュリティ対応の専門組織が置かれ、10月30日にメディア4uが最終報を出した[s6]。and-secureによれば、公表まで時間がかかった点について、同社は連絡の基準と流れを見直すとしている[s6]。初報の時点では、外部専門機関と原因を調査し、多要素認証の導入やアクセス監視体制の強化を進める方針が示されていた[s3]。

公表によれば、外部に流出したのは管理コンソールのアカウント管理情報の一覧ファイルで、項目はアカウントID、企業名・営業所名、担当者名、都道府県・郵便番号、通知用メールアドレスなどである[s4]。総レコード数は95,412件で、そのうち個人情報に該当し得るものを含む可能性があるのは22,928件だった。これらはアカウント管理上のレコード数または精査対象件数であり、対象となる本人の数とは一致しない場合があるとされている[s4]。このファイルにパスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求情報は含まれていなかった[s4]。また、SMS配信先の電話番号、氏名、送信本文なども、確認された流出ファイルには含まれていなかったという[s4]。and-secureによれば、最終報で個人データの漏えい範囲が初報の最大値を超えないことが確かめられた[s6]。

攻撃者のリークサイトへの掲載や犯行声明、グループの特定に関する記述は、今回の出典には見当たらない。

影響面では、第三者がシステムを通じて不正にSMSを280件送信していた。公表によれば、これは特定の1社のクライアントアカウントを通じたもので、他のクライアントのアカウントからの不正送信は確認されていない[s4]。and-secureによれば、入り口になった会社名や攻撃手口の詳細は公表を控えるとしている[s6]。同じ記事では、原因の脆弱性を修正したと整理されている[s6]。対応として、全顧客アカウントの認証情報がリセットされた[s3]。最終報では、ログイン失敗時にIPアドレスを自動で遮断する機能の追加とパスワードポリシーの強化が示された。さらに、セキュリティ診断の範囲拡大と手法の見直しといった恒久対策と監視の継続が挙げられている[s6]。

注意喚起として、メディア4uは取引先に対し、本件に関連すると思われる不審なSMS、メール、電話等への注意を呼びかけている[s4]。and-secureは中小企業向けの実務として、利用中のSMS配信サービスの棚卸し、管理画面のパスワード変更とIP制限の設定、退職者アカウントの削除、自社名を騙るSMSへの周知文の準備、委託先から事故連絡を受ける窓口の決定を挙げている[s6]。同じ2026年7月には、KDDIウェブコミュニケーションズのメールサービスで第三者製ソフトウェアの脆弱性悪用による125万件超のメールアドレス漏えいなど、他社の情報漏えいも報じられている[s5]。