使っていた人が、いますぐやること
- 1
大和証券・シチズン・損保ジャパン・オリックス生命に問い合わせたことがある人各社からの個別の連絡を待つ。連絡を装ったメールのURLや添付ファイルは開かず、各社の公式サイトに載っている窓口へ自分から問い合わせる
- 2
全員「先日のお問い合わせの件で」といった電話やメールでも、パスワードや暗証番号は伝えない
- 3
問い合わせフォームに口座やカードの番号を書いた人銀行やカード会社の明細をしばらく確かめる
被害にあっているときの手順を見る →
漏れた可能性がある情報同じサーバーで動いていた利用企業（最大5社）の問い合わせ情報。最大713,126件（延べ件数）。実際の人数は名寄せ中
含まれていないもの利用各社は、自社のシステムへの不正アクセスは確認されていないとしている。大和証券は、この情報では証券口座へのアクセスや取引はできないとしている
いまの状況（調査中）外部の専門調査機関とフォレンジック調査（記録を調べる調査）中。二次被害は確認されていない
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことで2026年10月2日夜から3日朝にかけて、FAQシステム「i-ask」の管理サイトに第三者が不正にログインし、サーバーに不正なプログラムを置きました。同じサーバーで動いていた利用企業（最大5社）のデータベースから、お客様の問い合わせ情報が取られた可能性があります。件数は問い合わせ単位の延べで最大713,126件です。大和証券、シチズン時計、損害保険ジャパン、オリックス生命保険が、それぞれ自社のお客様の情報が対象になったと発表しました。
1スカラコミュニケーションズ ・ FAQシステム「i-ask」管理サイトへの不正ログインと不正なプログラムの設置
サプライチェーン攻撃とは →
- STEP 1管理サイトに不正ログイン
10月2日20時30分頃、第三者がi-askの管理サイトに不正にログインした
- STEP 2不正なプログラムを置く
会社が管理するサーバーに、不正なプログラムが置かれた
- STEP 3問い合わせ情報を取る
同じサーバーで動く利用企業（最大5社）のデータベースから、問い合わせ情報が取られた可能性がある
- STEP 4監視で気づき遮断
10月3日朝、データベースの監視アラートで気づき、8時頃に遮断した
くわしい内容を見る ↓
手口第三者がi-askの管理サイトに不正にログインし、サーバーに不正なプログラムを置きました。このプログラムを使って、同じサーバーで動いていたほかの利用企業のデータベースからも問い合わせ情報を取ったとみられます。どうやってログインに必要な情報を手に入れたかは公表されていません。会社は、アップロードされたファイルをプログラムとして動かせない設定に変えたとしています。
- 侵入
- 10月2日20時30分頃〜10月3日8時頃（利用企業の発表では20時33分頃〜8時1分頃）
- 発覚
- 10月3日朝。データベースの監視アラートで調査を始め、8時頃に遮断。利用企業に同日中に報告
- 公表
- 10月6日（スカラコミュニケーションズ）。利用企業は10月5日〜8日に発表
- 影響の範囲
- 同じサーバーで動いていた利用企業（最大5社）の問い合わせ情報。最大713,126件（延べ件数）。実際の人数は名寄せ中
- 情報の種類
- 氏名、メールアドレス、問い合わせの内容など。項目は利用企業によって違う
- 利用企業ごとの発表
- 大和証券 約11万名（約22万件）、シチズン時計 約10万名分、損害保険ジャパン 約6万件（延べ）、オリックス生命保険 約26,500件（延べ、医療情報を含む問い合わせ内容も）
- 含まれないもの
- 利用各社は、自社のシステムへの不正アクセスは確認されていないとしている。大和証券は、この情報では証券口座へのアクセスや取引はできないとしている
- いまの状況
- 外部の専門調査機関とフォレンジック調査（記録を調べる調査）中。二次被害は確認されていない
- i-ask
第三者が管理サイトに不正ログインし、不正なプログラムを置く
- i-ask
朝にデータベースの監視アラートで気づき、8時頃に遮断。利用企業に報告
- 大和証券
外部委託先への不正アクセスでお客様情報が漏えいした可能性があると発表（約11万名）
- i-ask
スカラコミュニケーションズが公表（最大713,126件）
- シチズン時計
3ブランドのWebサイトの問い合わせ情報（約10万名分）について発表
- 損害保険ジャパン
事業者向けドライブレコーダー「SMILING ROAD」の問い合わせ情報（約6万件）について発表
- オリックス生命保険
公式サイトからの問い合わせ情報（約26,500件）について発表
被害を広げない不正ログインに使われたアカウントのパスワードを変え、攻撃元のIPアドレスを遮断し、置かれた不正なプログラムを隔離した
全環境の見直し全環境の管理者アカウントのパスワードを変え、アップロードされたファイルをプログラムとして動かせない設定に変えた
調査外部の専門調査機関とフォレンジック調査を進めている
今後の対策管理者の認証の強化（多要素認証など）、環境どうしの分離、監視の強化、第三者による定期的な脆弱性診断を行うとしている
関係機関への報告個人情報保護委員会に報告し、警察に相談している
窓口特設窓口（内部統制・情報セキュリティ推進本部、03-6418-3973、incident@scala-com.jp）を設けた
07ABOUT THE COMPANY
どんな会社？
企業向けのクラウドサービス（SaaS/ASP）や、ソフトウェアの開発・販売・保守をしている会社です。エンジニアの派遣や企業の内製の支援もしています。株式会社スカラの子会社です。
事業
- クラウドサービス（SaaS/ASP）
- ソフトウェアの開発・販売・保守
- エンジニア派遣・内製支援
- 会社名
- 株式会社スカラコミュニケーションズ
- 設立
- 2004年4月5日
- 本社
- 東京都渋谷区渋谷2-21-1 渋谷ヒカリエ32F
- 代表者
- 代表取締役 新田 英明
- 資本金
- 80百万円
- 株主
- 株式会社スカラ
出典：会社の公式サイト「会社概要」
