incidentlog.jp最終更新 2026-10-25
IncidentLogインシデントログ

2026-10-20 公表 · globee-20261020

Globee：第三者による不正アクセスおよび個人情報漏えいのおそれに関するお詫びとお知らせ

不正アクセス情報漏えい第1報AI関与: 未評価
公開データ JSON（CC BY 4.0）
影響件数
1万834アカウント
個別通知を進めているアカウントのうち、漏えいした可能性のあるメールアドレスおよびハッシュ化されたパスワードの対象アカウント · 可能性 · 他 1 区分
対象となった情報
氏名、メールアドレス、パスワード（ハッシュ）
侵入経路
設定不備・公開不備
公表に明記
漏えいの確認
可能性あり
第1報

要約

公表文の事実のみ

株式会社Globeeは2026年10月20日、同社が運営する英語学習サービス「abceed」の関連システムに第三者が不正アクセスし、顧客の個人情報の一部が漏えいした可能性があると公表した。同社は10月17日に不正アクセスを検知し、設定等を悪用した侵入を確認した。個別通知を進めているアカウントのうち、ユーザー名が90アカウント、メールアドレスとハッシュ化パスワードが10,834アカウントで、90アカウントは10,834アカウントの内数である。実人数は未確認である。同社は不正アクセス経路の遮断、該当機能の停止、アクセス権限の見直し、認証情報の変更、不正利用が疑われるログイン状態の解除を行い、個人情報保護委員会へ報告した。対象の顧客には電子メールで個別に連絡している。原因と影響範囲は調査中である。

組織
株式会社Globee企業
業種
教育，学習支援業 · 教育
検知日
2026-10-17
根拠:「2026 年 10 月 17 日、当社の関連システムへの不正アクセスを検知」[s1]
第1報の公表日
2026-10-20
根拠:「2026 年 10 月 20 日」[s1]
影響件数
個別通知を進めているアカウントのうち、漏えいした可能性のあるユーザー名の対象アカウント 90アカウント（可能性） / 個別通知を進めているアカウントのうち、漏えいした可能性のあるメールアドレスおよびハッシュ化されたパスワードの対象アカウント 10,834アカウント（可能性）
根拠:「ユーザー名：90 アカウント」[s1]「メールアドレスおよびハッシュ化されたパスワード：10,834 アカウント」[s1]
対象となった情報
氏名、メールアドレス、パスワード（ハッシュ）
漏えいの確認状況
可能性あり
侵入経路
設定不備・公開不備 公表に明記
根拠:「関連システムにおける設定等を悪用した不正アクセス」[s1]
原因（公表の記述）
関連システムにおける設定等を悪用した不正アクセスが行われたことを確認したとしている。
業務への影響
該当機能
根拠:「該当機能の停止とアクセス権限の見直し」[s1]
公表文の記載項目
原因 あり件数 あり時系列 あり最終報告 なし

経過

日数差は全事案の中央値と並べる（統計 §初動の相場）
  1. 検知2026-10-17
  2. 3 日中央値 4 日第1報2026-10-20
  3. 復旧未公表
  4. 最終報告未公表

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

影響を受ける可能性のある人へ

公表文の記載からの整理。推測は含まない

対象になりうる人

  • 漏えいの可能性があるとされている。公表文に記載された対象の範囲は「個別通知を進めているアカウントのうち、漏えいした可能性のあるユーザー名の対象アカウント」、「個別通知を進めているアカウントのうち、漏えいした可能性のあるメールアドレスおよびハッシュ化されたパスワードの対象アカウント」。

すべきこと

  • その組織を名乗るメール・SMS・電話に注意する。リンクは開かず公式サイトから確認する。
  • そのサービスのパスワードを変え、同じパスワードを使っている他のサービスも変える。多要素認証が使えるなら有効にする。

公表文・続報

公表の時系列

各行に原文と保存版へのリンク
  1. 2026-10-20第1報2026 年 10 月 20 日

    株式会社Globeeは2026年10月20日、英語学習サービス「abceed」の関連システムへの第三者による不正アクセスで、顧客情報が漏えいした可能性があると公表した。10月17日に検知し、対象はユーザー名90アカウント、メールアドレスとハッシュ化パスワード10,834アカウントである。同社は経路の遮断や該当機能の停止を行い、原因を調査中である。

    原文 · 保存版（当サイト）

背景と関連情報

報道・分析・公的機関の出典から · 2026-10-20

公表によれば、Globeeは2026年10月17日に「abceed」の関連システムへの不正アクセスを検知し、調査の結果、関連システムの設定等を悪用した不正アクセスが行われたことを確認した[s2]。同社は不正アクセス経路の遮断と該当機能の停止を行い、アクセス権限の見直し、関連システムの認証情報の変更、不正利用が疑われるログイン状態の解除も実施した[s2]。公表は10月20日18時30分付の適時開示で、個人情報保護委員会への報告も済んでいる[s2]。

ロケットボーイズ（rocket-boys.co.jp）の記事によれば、10月20日付の開示は具体的な設定項目や攻撃手法、侵入した第三者の属性を示していない。同記事は、「設定などを悪用した」という説明だけでは、特定のソフトウェア脆弱性の悪用や、利用者のパスワードを使ったログインが原因だったと断定できないと指摘している[s3]。

漏えいの可能性がある情報について、公表では、メールアドレスとハッシュ化されたパスワードが10,834アカウント、ユーザー名が90アカウントとされ、90アカウントは10,834アカウントの内数である。数値はアカウント数で、実人数は未確認とされている[s2]。同記事は、90と10,834を足した10,924アカウントが対象という意味ではなく、1人が複数アカウントを持つ場合もあるため、数値をそのまま被害人数として扱うことはできないと注意を促している[s3]。

同記事の分析では、ハッシュ化は元のパスワードがそのまま流出したことを意味しない。ただし、パスワードの強度や保存方式によっては、候補を照合して元の文字列を推測される場合がある。開示にはハッシュ方式やソルトの有無、パスワードが解析されたかどうかの説明がなく、取得された可能性と実際に判明した事実は区別する必要があるとしている[s3]。同記事はまた、abceedと同じパスワードを他サービスで使い回している利用者は、使い回し先から優先して変更すべきだとしている[s3]。

公表によれば、同社は利用者や関係する学校・企業に謝罪し、対象の顧客には電子メールで個別に連絡を進めている[s2]。同社は、当社や関係企業を装った不審なメールへの注意を呼びかけ、心当たりのない連絡に記載されたURLや添付ファイルを開かず、公式アプリや公式サイトで確認するよう求めている。また、メールや電話でパスワードやクレジットカード情報を尋ねることはないとしている[s2]。

同記事によれば、この発表は全会員に対するパスワード一斉リセットの実施やサービス全体の停止を公表しておらず、停止されたのは「該当機能」であるが、その具体的な範囲の詳細な記載はない。学校別・企業別の対象件数や、教育機関に保管される成績情報への影響が確認されたという発表でもない[s3]。同記事は、学校や企業の管理担当者が公式通知の確認方法の周知や、学校・業務用システムでの同一パスワード使用への注意喚起を行うことが考えられるとしつつ、これは公表された事故原因を踏まえて必要性が確定した対策ではなく、一般的なアカウント保護対応だと位置づけている[s3]。

公表によれば、原因と影響範囲の調査は継続中で、再発防止策としてアクセス権限の見直しなどを進めている。業績への影響は精査中で、新たに知らせるべき事項が判明すれば速やかに開示するとしている[s2]。

攻撃グループ

帰属の根拠と確度

この事案に結びついた攻撃グループの記録はありません。

手口と痕跡

設定不備・公開不備: アクセス制御の欠落、公開ストレージ、環境設定ファイルやバックアップの露出 · ATT&CK T1530

アクセス制御の欠落や公開設定の不備、環境設定ファイル・バックアップの露出を突く手口。管理が行き届かない公開資産から、認証なしまたは過大な権限で情報を取り出せる点が弱点となる s3s7

兆候と見分け方

  • IPA は、外部公開アプリやサービスのログでエラー出力量や平時との差を見て、直近1ヵ月から3ヵ月へ段階的に範囲を広げて調べるよう求めている s6
  • IPA は、サービス単位でログイン失敗の量、ログイン元 IP アドレス、ログイン時間を平時と比べるよう求めている s6
  • IPA は、作った覚えのないアカウントや、無効化したはずなのに有効なアカウントの有無の確認を求めている s6
  • JPCERT/CC は、curl や python-requests など特徴的な User-Agent（接続元ソフトの識別文字列）からの API アクセスを、不審な送信元 IP とともに例示している s1

備えの要点

  • IPA は、外部公開範囲の見直しと、API 連携など構成要素単位での管理状況や権限付与の見直しを勧めている s6
  • 国家サイバー統括室は、クラウド利用時にサービス仕様を理解し、保存領域やデータベースの公開設定とアクセス権限設定をよく確認するよう求めている s2
  • JPCERT/CC は、非公開 API を含む各 API でアクセス制御を行い、許可された利用者と HTTP メソッドだけを受け付けるよう勧めている s1
  • 国家サイバー統括室は、バックアップデータも適切に保護し、保存データと通信経路を暗号化するよう求めている s2

この手口に共通する一般的な解説で、この事案の公表内容ではありません。出典番号（sN）は手口ページの出典一覧を指し、全文も同ページに。

AI関与の評価

昇格には出典が要る

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

関連

同じ組織・委託先・製品・業種・手口の記録

一覧で探す: 2026年の統計 · 教育，学習支援業の事案 · 設定不備・公開不備の事案

出典

項目別の根拠引用（6）
  • disclosedAt: 「2026 年 10 月 20 日」[s1]
  • counts[0]: 「ユーザー名：90 アカウント」[s1]
  • counts[1]: 「メールアドレスおよびハッシュ化されたパスワード：10,834 アカウント」[s1]
  • detectedAt: 「2026 年 10 月 17 日、当社の関連システムへの不正アクセスを検知」[s1]
  • stoppedServices: 「該当機能の停止とアクセス権限の見直し」[s1]
  • cause.initialAccess: 「関連システムにおける設定等を悪用した不正アクセス」[s1]

この記録について

記録の作成
2026-10-20
更新
2026-10-21
出典の最終取得
2026-10-21
識別子
globee-20261020
  • 2026-10-21更新: 背景と関連情報を出典 3 件で追加（自動）

当サイトが書いた要約・分類・突合の結果は CC BY 4.0 で利用できます（出典と利用条件）。 この記録の訂正・削除を依頼する