使っていた人が、いますぐやること
- 1
UPSIDERを使う会社4月1日ごろに決済できなかった支払いが、あとで正しく処理されたか明細で確かめる
- 2
ソフトを開発する会社使っているオープンソースのパッケージに不正なものが混ざっていないか、注意情報を確かめる
- 3
全員カード会社を名乗って、カード番号や暗証番号を聞く連絡には答えない
被害にあっているときの手順を見る →
いまの状況（調査完了）5月20日に外部専門機関の調査が完了。6月12日に最終報告
02HOW THEY WERE HACKED
どんなハッキングをされた？
ひとことで2026年4月1日の早朝から午前中にかけて、法人カード「UPSIDER」のカード決済やログインなどが止まりました。原因は、開発で使っていた外部のソフト（オープンソースのパッケージ）に第三者が不正なプログラムを混ぜた「サプライチェーン攻撃」でした。開発者のパソコンが乗っ取られ、そこからシステムに入り込まれたため、被害を広げないための保護機能が自動で働いてサービスを止めました。会社は、カード情報・個人情報・法人情報が外へ流出した痕跡は見つからず、流出の可能性は極めて低いとしています。
- STEP 1外部ソフトに混入
開発で使うオープンソースのパッケージに、第三者が不正なプログラムを混ぜた
- STEP 2開発者のパソコンが侵害
3月24日、そのソフトを動かした開発者の端末が乗っ取られた
- STEP 3認証情報が盗まれる
3月25日と31日に、それぞれ別の認証情報の漏えいの通知を受けた
- STEP 4保護機能でサービス停止
4月1日3時40分、被害を広げないための保護機能が自動で働き、全サービスが止まった
くわしい内容を見る ↓
手口システム開発で使っていたオープンソースのパッケージに、第三者が不正なプログラムを混ぜていました。そのパッケージを動かした開発者の端末が侵害され、そこからシステムの内側に入れる状態になりました。3月25日に一部の認証情報を無効にしましたが、3月31日には別の認証情報の漏えいの通知を受けています。どのパッケージだったかは公表されていません。
- 侵入
- 2026年3月24日。不正なプログラムが混ざった外部ソフトの実行で、開発者の端末が侵害された
- 発覚
- 3月25日に一部の認証情報の漏えいの通知を受け、無効にした。3月31日にクラウドサービス提供元から別の認証情報の漏えいの通知を受け、対策本部を設置
- 公表
- 4月1日（障害報告）。4月10日に不正アクセスと公表。6月12日に最終報告
- サービスへの影響
- 4月1日3時40分から全サービスが一時停止。10時57分にログインと管理画面、12時20分にカード決済が復旧。4月9日までに全機能が復旧
- カード情報
- 侵害されたネットワークではトークン化した識別子だけで管理。カード番号・暗証番号・セキュリティコードは持っておらず、持ち出しの跡もない
- 個人情報・法人情報
- 外部への流出を示す事実は確認されず。会社は流出の可能性は極めて低いと判断
- いまの状況
- 5月20日に外部専門機関の調査が完了。6月12日に最終報告
- UPSIDER
不正なプログラムが混ざった外部ソフトの実行で、開発者の端末が侵害される
- UPSIDER
一部の認証情報の漏えいの通知を受け、すぐに無効にする
- UPSIDER
別の認証情報の漏えいの通知を受け、対策本部を設置。全体の調査を始める
- UPSIDER
3時40分に保護機能が働き全サービスが停止。12時20分にカード決済が全面復旧。障害報告を公表
- UPSIDER
全機能を段階的に復旧
- UPSIDER
不正アクセスと公表し、外部専門機関の調査を始める
- UPSIDER
外部専門機関による全ログの精査と影響範囲の特定が完了
- UPSIDER
最終報告を公表
初期対応攻撃の起点になった端末を隔離・確保し、本番環境へのアクセス制限を厳しくした
当局への報告個人情報保護委員会などの関係当局に報告
外部の調査社内調査とは別に、フォレンジック調査会社に調べてもらい、全ログを確かめた
再発防止内部のアクセス制御をさらに厳しくし、攻撃の予兆を早く捉える分析の仕組みと体制を強める
07ABOUT THE COMPANY
どんな会社？
法人カード「UPSIDER」や、成長企業向けのオンライン融資「UPSIDER キャッシュブースト」などを提供する会社グループの持株会社です。株式会社UPSIDERは2018年に設立され、2024年にホールディングス化しました。
事業
- 法人カード
- 企業向けのオンライン融資
- 法人カード基盤の外部提供
- 会社名
- 株式会社UPSIDERホールディングス
- 設立
- 2024年5月（株式会社UPSIDERの設立は2018年5月）
- 本社
- 東京都目黒区下目黒一丁目8番1号 ARCO TOWER 5階
- 代表者
- 宮城 徹
- 資本金
- 95百万円
出典：会社の公式サイト「会社概要」