グローバー：当社システムへの不正アクセスに関するお知らせ

公表によれば、グローバーは2026年11月5日、「QナビORDER」のチャットAPIの一部に不備があり、ログインしていない第三者でも添付ファイルの読み取りと書き込みが可能な状態だったと明らかにした。外部からのアクセスは計17件で、発生は10月30日22時33分、発覚は11月1日20時40分、対処完了は11月2日0時11分である [s3][s4]。

rocket-boys.co.jp（セキュリティ対策Lab）の記事によれば、「QナビORDER」は外食・小売などの店舗の設備トラブルやメンテナンス案件を管理するサービスである。同社の製品案内に基づき、店舗・本部・修理を担当する協力業者の間で、発注、進捗、日程調整、見積書や作業報告書などを共有できるとしている。問題のチャットAPIは、取引先と協力業者がメンテナンス業務の連絡を行うための機能である [s4]。

同記事は、17件は同社が確認したアクセスの件数であり、17人分の個人情報が閲覧された、17個のファイルが取得されたという意味ではないと整理している。どの操作が行われ、どのファイルの内容が持ち出されたかについて、確定した内容は公表されていない [s4]。

同記事の分析では、今回の問題は、ログインしなければ使えないはずの添付ファイル操作を未認証の第三者も行えた点にある。読み取りの不備は関係者以外による閲覧の危険を生む。書き込みの不備は、ファイルの上書きや不正な内容の登録が許される設計だった場合、修理内容の取り違えや作業指示の混乱にもつながり得るとしている。ただしこれは一般的なリスクの説明であり、実際にファイルが改ざんされたという公表ではない [s4]。同記事は、OWASPの「API Security Top 10 2023」で認証の不備とデータや機能に対する認可の不備が主要なリスクとされていることにも触れている。一方でグローバーはCVE番号やOWASPの分類を発表していないため、今回の欠陥を特定の分類に断定することはできないとしている [s4]。

同記事は、同社が10月23日にPHPの脆弱性への対応完了を別途発表していると記したうえで、今回の原因はチャットAPIの認証・アクセス制御上の不備であり、両者を同一の脆弱性によるものとする根拠はないとしている [s4]。攻撃者のリークサイトへの掲載や犯行声明に関する記述は、参照した出典にはない。

実務面で同記事は、店舗名と担当者の氏名が知られた場合に備え、保守業者や本部担当者を装った連絡（見積書の差し替え、振込先の変更依頼、作業報告書の再ダウンロード依頼など）に注意するよう促している。これは情報流出時に考えられる悪用例であり、今回そうした詐欺が確認されたものではないとも断っている。対策として、既存の連絡先や正式なシステム上の案件情報で照合し、振込先の変更をメールだけで受け付けないことを挙げている [s4]。

SaaSや業務システムの提供側に対しては、未ログインでのファイル取得・更新ができないか、他社・他店舗のファイルを扱えないか、読み取りと書き込みの権限が分離されているか、閲覧・更新操作を追跡できるログがあるか、修正後に複数の権限条件で再検証したか、といった点の確認を挙げている [s4]。