事案の概要データ
| 公表日 | 2026年10月15日 |
|---|---|
| 徴候の検知 | 2026年9月11日 |
| 顧客ID | 155,280件 |
| 受注ID | 231,998件 |
| カード関連 | 延べ1,671件（突合後のアカウント1,305件） |
| 起点 | 取引先1社専用のBIツール |
| 手口 | アプリケーションレベルの不正アクセス（詳細は未公表） |
| 注意 | 区分ごとに数え方が異なるため合算できない |
図解：この事故の構造
何が起きたのか
ACCESSは2026年10月15日、台湾子会社ACCESS AP TAIWANが提供するサービス「CROS」が不正アクセスを受けたことを公表しました。徴候を検知したのは2026年9月11日です。
対象は顧客ID 155,280件、受注ID 231,998件で、カード関連は延べ1,671件（突合後のアカウント1,305件）とされています。区分ごとに数え方が異なるため、これらを合算することはできません。
起点となったのは、取引先1社専用に用意していたBIツールでした。そこからアプリケーションレベルの不正アクセスが行われたとされています。
「1社専用のツール」という盲点
この事案の特徴は、入口が「取引先1社のために用意したBIツール」だった点です。
特定の取引先の要望に応えて、その会社専用の画面やツールを作ることは珍しくありません。「この取引先だけが使うから」という前提で、通常より簡易に作られることもあります。
しかし、インターネット上に公開されている限り、攻撃者にとっては他のシステムと同じ標的です。「1社しか使わない」ことは、守りを緩める理由になりません。むしろ利用が少ない分、異常なアクセスがあっても気づきにくいという問題があります。
中小企業でも、特定の取引先向けに用意した受発注画面や、一時的なキャンペーン用のページが残っていないか確認してください。「ほとんど使われていないもの」ほど、点検から漏れます。
海外子会社とBIツールという2つのテーマ
この事案は、2026年に繰り返された2つのテーマが重なっています。
1つは海外拠点です。10月7日のエイチ・アイ・エス（タイ現地法人・旅券627人分）、6月のサッポロホールディングス（海外子会社2社）、2025年の矢崎総業（海外拠点のVPNから国内へ）。海外拠点は現地の制約から対策が遅れがちです。
もう1つはBIツールです。9月30日のVOISING（既知の脆弱性・約17万件）、10月13日のNEXT STAGE（Metabaseで不正アカウント）。データが集まる場所だけに、破られたときの影響が大きくなります。
この2つが重なると、「本社から見えにくい場所に、データが集まる仕組みがある」という最も危険な状態になります。
時系列で見る経過
- 2026年9月11日不正アクセスの徴候を検知
- 2026年9月〜10月調査を実施し、取引先1社専用のBIツールが起点と判明
- 2026年10月15日顧客ID 155,280件、受注ID 231,998件などへの影響を公表
中小企業が学ぶべきポイント
- 「1社しか使わないツール」も、インターネット上では他と同じ標的になる。
- 特定の取引先向けに作った画面・ツールの一覧を持ち、不要なら閉じる。
- 海外拠点のシステムを本社が把握する。見えない場所にデータが集まる状態を避ける。
- BIツールはデータが集まる場所。利用が少なくても守りを緩めない。
- 区分ごとに数え方が違う件数は合算できない。公表時はその旨を明示する。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。