セカンドリテイリング、社内システムへの不正アクセスでゲオ・セカストのアプリを一斉停止 調査の結果「漏えいは確認されず」

事案の概要データ

図解：この事故の構造

何が起きたのか

セカンドリテイリングは2026年10月17日、社内システムへの不正アクセスを公表し、その2日後の10月19日に調査結果を発表したと報じられました。

報道によれば、同社は2026年10月15日に社内システムへの第三者からの不正アクセスを確認。10月17日21時から、アプリとWebサービス（セカンドストリート、ゲオなどを含む）を停止してシステムメンテナンスに入りました。

外部のセキュリティ専門機関と連携して原因究明と影響範囲の調査を進めた結果、「個人情報および機密情報の外部漏えいは確認されなかった」と発表。「データベースサーバへの不審な外部接続や直接アクセスの形跡はなく」とされています。

なお、本記事の時点では同社の公表文ページにアクセスできず、内容は報道にもとづきます。

「止めて、調べて、シロだった」という事例

2026年10月に起きた事案のほとんどは、漏えいが確認されたものでした。本件は数少ない「漏えいが確認されなかった」事例です。

だからといって、記録する価値がないわけではありません。むしろ逆です。中小企業が自社で同じ状況になったとき、この順番で動けるかが問われるからです。

本件の流れを整理します。

10月15日：不正アクセスを確認。 まず「入られた」と認識しました。

10月17日21時：サービスを停止。 全国のセカンドストリートやゲオの利用者が使うアプリとWebサービスを止めました。営業時間が終わる時間帯です。

10月19日：調査結果を発表。 外部の専門機関と組んで調べ、漏えいは確認されなかったと公表しました。

確認から停止まで2日、停止から結果公表まで2日。合計4日です。

ここで考えてほしいのは、「漏えいしていないかもしれないのに、なぜ止めたのか」という点です。止めればアプリで買い物ができず、売上が落ち、問い合わせも増えます。それでも止めたのは、「入られたかもしれない状態で動かし続けるほうが危ない」と判断したからです。

結果としてシロでした。しかし、止めなければシロだと言い切ることもできなかったはずです。動いているシステムを調べるのは難しく、調査中に状況が変わるからです。

「漏えいなし」と言い切るには根拠がいる

報道に出ている表現を、もう一度見てください。

「データベースサーバへの不審な外部接続や直接アクセスの形跡はなく」

これは「調べたけど何も見つからなかった」ではありません。どこを調べて、何がなかったかを書いています。データベースサーバという調査対象を名指しし、外部接続と直接アクセスという2つの観点を挙げています。

「漏えいは確認されていません」という一文だけの公表文をよく見かけます。しかし読む側は、「どこまで調べたのか」が分からないと安心できません。調べていないから確認されていないのか、調べた上で確認されなかったのかで、意味がまったく違います。

中小企業が「漏えいはありませんでした」と言うためには、次の3つが必要です。

①ログが残っていること。 誰がいつどこにアクセスしたかの記録がなければ、「なかった」ことを示せません。ログの保存期間が1週間では、発覚が遅れた時点で何も分かりません。最低でも3か月、できれば1年は残してください。

②調べた範囲を言えること。 サーバー、ファイルサーバー、メール、クラウドサービス。どこまで見たかを書きます。

③外部の目を入れること。 自社だけの調査では「見落としていないか」を証明できません。本件も外部のセキュリティ専門機関と連携しています。

特に①は、事故が起きてからでは絶対に手に入りません。今日できることは、ログの保存期間の確認です。レンタルサーバーやクラウドサービスの管理画面で、アクセスログが何日分残る設定になっているかを見てください。

グループ全体のサービスが同時に止まる

もう1つ見ておきたいのが、影響範囲の広さです。

セカンドリテイリングはゲオホールディングスのグループ会社で、停止したサービスにはセカンドストリートやゲオが含まれていたと報じられています。社内システム1つの事案で、複数ブランドの店舗アプリが同時に止まったことになります。

これは、グループでシステムを共通化している会社に共通する構造です。共通化は効率がよく、コストも下がります。しかし、1か所の事故が全ブランドに同時に及びます。

中小企業でも、複数の店舗や事業を持っている場合は同じです。1つの予約システム、1つの顧客管理ソフト、1つのPOSを全店で使っているなら、止まるときも全店同時です。

対策は「分ける」ことだけではありません。むしろ止まったときに店舗単位で業務を続けられるようにしておくほうが現実的です。レジが使えないときの手書き伝票、予約が見られないときの電話対応、在庫が分からないときの棚の確認。店舗ごとに紙の手順を1枚用意しておけば、全社停止でも営業は続けられます。

時系列で見る経過

• 2026年10月15日社内システムへの第三者からの不正アクセスを確認
• 2026年10月17日事案を公表（初報）
• 2026年10月17日 21時アプリ・Webサービス（セカンドストリート、ゲオ等を含む）を停止し、システムメンテナンスを開始
• （その間）外部のセキュリティ専門機関と連携し、原因究明と影響範囲の調査を実施
• 2026年10月19日調査結果を発表。個人情報および機密情報の外部漏えいは確認されなかったと公表

中小企業が学ぶべきポイント

1. 漏えいが確定していなくても止める。動いているシステムは調べにくく、調査中に状況が変わる。
2. 止めなければ「漏えいはなかった」と言い切ることもできない。
3. 「漏えいは確認されていません」だけでは不十分。どこを調べて何がなかったかを書く。
4. 「なかった」ことを示すにはログがいる。保存期間が短いと、発覚が遅れた時点で何も分からない。
5. アクセスログは最低3か月、できれば1年残す。設定は今日確認できる。
6. 自社だけの調査では見落としを証明できない。外部の目を入れる。
7. グループでシステムを共通化していると、1か所の事故で全ブランドが同時に止まる。
8. 全社停止に備えて、店舗単位で業務を続ける紙の手順を1枚用意しておく。

出典・参考

• セカンドリテイリングに不正アクセス（ScanNetSecurity）