あっぷらぼのメールサーバーに不正アクセス、管理用経路を絞っていない設定不備

事案の概要データ

図解：この事故の構造

何が起きたのか

あっぷらぼは2026年10月12日、メールサーバーへの不正アクセスを10月11日に確認したことを公表しました。メールアドレスと、暗号化して保存していたパスワードの一部が参照された可能性があるとされています。

原因は、管理用の接続経路が絞られていなかったという自社の設定不備です。

「管理用の入口を絞る」という基本

サーバーには、利用者が使う入口と、管理者が設定変更などを行うための入口があります。後者は、本来ごく限られた場所からしかアクセスする必要がありません。

この事案では、その管理用の経路が絞られていなかった——つまり、インターネット上のどこからでもアクセスできる状態になっていたとされています。

対策は難しくありません。(1)管理用の接続を特定のIPアドレスからのみ許可する、(2)VPN経由でないとアクセスできないようにする、(3)多要素認証をかける、のいずれかです。多くのサーバーやクラウドサービスで、設定画面から数分で変更できます。

2026年10月13日のNEXT STAGE（社内BIツールへの不正アカウント）も、社内向けの仕組みが外から触れる状態だったことが背景にあります。

「自社の設定不備」と明記した

この公表では、原因が自社の設定不備であることが明記されています。

攻撃の高度さや、委託先の問題を強調する公表文が多いなかで、自らの設定不備と明示するのは勇気のいる判断です。しかし、利用者にとっては何が起きたのかが正確に伝わります。

そして同業他社にとっても、「自社の管理用経路はどうなっているか」を確認する具体的な契機になります。原因を率直に書くことは、業界全体への貢献でもあります。

2024年の岡山県精神科医療センターが調査報告書で「十分に防げた人災」と結論づけたことも、同じ性質の誠実さでした。

時系列で見る経過

• 2026年10月11日メールサーバーへの不正アクセスを確認
• 2026年10月12日事案を公表。管理用経路を絞っていない設定不備が原因と説明

中小企業が学ぶべきポイント

1. 管理用の接続は、特定のIPアドレスやVPN経由に限定する。数分で設定できる。
2. 管理画面・管理用ポートがインターネットから誰でも触れる状態になっていないか確認する。
3. 原因が自社の設定不備なら、そう明記する。利用者にも同業他社にも正確に伝わる。
4. パスワードを暗号化して保存していても、参照されれば解析される可能性がある。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope