UPSIDER：2026年4月1日のシステム障害に関する第三者による不正アクセス事案

影響件数

公表に記載なし

対象となった情報

記載なし

侵入経路

不明・非公表

漏えいの確認

可能性あり

調査中

株式会社UPSIDERは2026年4月10日、同月1日に発生した同社サービスの決済やログイン機能等の停止について、同社が利用しているオープンソースソフトウェアに第三者によって悪意あるプログラムが混入され、それを通じて同社環境への不正アクセスが行われたことが原因であると公表した。3月24日に当該ソフトウェアを利用したデバイスを起点として攻撃が実行され、3月31日にクラウドサービス提供元からの通知により被害防止措置が作動し、社内調査を開始した。4月1日午前3時40分から午前10時49分のカード決済・ログイン等の停止は被害拡大を防ぐための措置で、攻撃によるシステムダウンではないとしている。カード情報の漏えいは確認されておらず、カード番号はトークン化され、暗証番号とセキュリティコードは侵害のあった領域に保持していない。個人情報・法人情報も社内調査の範囲では漏えいは確認されていないとして外部の専門機関を交えた調査を進め、個人情報保護委員会等へ報告した。6月12日の最終報告では、悪意のあるプログラムが混入されたオープンソースパッケージの実行により開発者端末が侵害されたこと、4月1日にシステム保護機能が作動して『UPSIDER』『PRESIDENT CARD』『AI経理』が一時停止し4月9日までに復旧したこと、情報の流出を示す事実は確認されず流出の可能性は極めて低いと判断したことを公表した。

組織

株式会社UPSIDER企業

業種

金融業，保険業 · 金融

所在地

東京都

発生（判明）期間

2026-03-24 〜

根拠:「3月24日: 当該ソフトウェアを利用したデバイスが起点となって攻撃が実行された」[s1]

検知日

2026-03-25

根拠:「2026年3月25日　一部認証情報の漏えい通知を受領」[s3]

第1報の公表日

2026-04-10

根拠:「2026年4月10日」[s1]

復旧日

2026-04-09

根拠:「2026年4月9日まで　全機能を段階的に復旧」[s3]

影響件数

公表に記載なし

対象となった情報

記載なし

漏えいの確認状況

可能性あり

根拠:「外部への情報流出を示す事実は確認されませんでした」[s3]

侵入経路

不明・非公表

原因（公表の記述）

システム開発で使用していた外部ソフトウェア（オープンソースパッケージ）に悪意のあるプログラムが混入されるサプライチェーン攻撃を端緒に、当該パッケージの実行により開発用端末が侵害され、これを経由してシステム内部へのアクセスが可能となった。3月25日と3月31日に認証情報の漏えい通知を受領。サービス停止は不正アクセスに伴う異常を検知したシステム保護機能の作動によるもの。

業務への影響

法人カード「UPSIDER」、PRESIDENT CARD、AI経理（2026-04-01〜2026-04-09）

根拠:「システム保護機能が作動し、全サービスが一時停止」[s3]

公表文の記載項目

原因 あり件数 なし時系列 あり最終報告 なし

1. 発生2026-03-24
2. 1 日中央値 2 日検知2026-03-25
3. 7 日業務停止2026-04-013 業務
4. 8 日中央値 4 日復旧2026-04-09
5. 1 日第1報2026-04-10
6. 63 日続報2026-06-12
7. 最終報告未公表

検知から第1報まで 16 日（全事案の中央値 3 日）

記録にある日付だけを置いています。「未公表」は当サイトが該当する公表を確認していないことを示し、公表されていないことの断定ではありません。中央値は統計ページの全期間の値です。

1. 2026-04-01サービス停止【障害報告】UPSIDER｜決済および機能における不具合のお知らせ

   株式会社UPSIDERは2026年4月1日、同日3:40頃から一部のカード決済、UPSIDER Web管理画面、UPSIDERモバイルアプリ、Slack・Microsoft Teamsへの通知、会計ソフトへの連携などの機能に不安定な状況が発生していると公表した。原因・影響範囲の調査と安定化対応を最優先で行い、詳細が分かり次第改めて報告するとした。この時点では不正アクセスには言及していない。

   原文 · 保存版（当サイト）
2. 2026-04-10第1報【続報】2026年4月1日のシステム障害に関する調査結果および第三者による不正アクセスの発生についてのご報告

   UPSIDERは2026年4月10日、4月1日のサービス停止は、利用するオープンソースソフトウェアに混入された悪意あるプログラムを通じた不正アクセスが原因で、停止は被害拡大を防ぐ措置だったと公表した。3月24日に攻撃が実行され、3月31日に被害防止措置が作動。カード情報の漏えいは確認されず、個人情報・法人情報も社内調査の範囲では漏えいを確認していないとして、第三者機関の調査を進めるとした。

   原文 · 保存版（当サイト）
3. 2026-06-12続報【最終報告】2026年4月1日のシステム障害に関する不正アクセス事案に関する調査結果のご報告

   UPSIDERは2026年6月12日、外部専門機関の調査を踏まえた最終報告を公表した。3月24日に悪意のあるプログラムが混入されたオープンソースパッケージの実行で開発者端末が侵害され、4月1日3:40にシステム保護機能が作動して全サービスが一時停止、4月9日までに全機能を復旧。カード情報・個人情報・法人情報とも流出を示す事実は確認されず、流出の可能性は極めて低いと判断した。

   原文 · 保存版（当サイト）

この事案に結びついた攻撃グループの記録はありません。

不明・非公表: 公表に記載がない

公表に侵入経路の記載はありません。手口ごとの兆候と備えの要点は手口の解説にあります（この事案の手口を推定するものではありません）。

AI関与: 未評価

公表文に AI への言及はなく、評価はまだ行っていません。

• 同じ組織: 2026-10-27 Breakthrough GRID | 不正アクセスおよび情報漏えいのお詫びとお知らせ
• 同じ業種（金融）: 2026-10-29 八十二長野銀行：「Wallet+」のメール配信委託先における情報漏えいに関するお詫びとお知らせ
• 同じ業種（金融）: 2026-10-28 クレディセゾン：株式会社ベネフィット・ワンが提供する「トク買」における個人情報漏えいについて
• 同じ業種（金融）: 2026-10-28 鹿児島銀行：Ｐａｙどんへの不正アクセスによる個人情報漏えいの可能性に関するお知らせとお詫び
• 同じ業種（金融）: 2026-10-28 ライフカード：外部メール配信サービスへの不正アクセスに伴うお客さま情報漏えいの可能性について
• 同じ業種（金融）: 2026-10-27 りそな銀行：外部委託先への不正アクセスによるお客さま情報の漏えいの可能性について

一覧で探す: 2026年の統計 · 金融業，保険業の事案 · 東京都の事案