Fivot「IDARE」、外部ソフトの脆弱性を悪用され129,659人分が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

Fivotは2026年10月13日、カスタマーサポート等に導入していた外部ソフトウェアの脆弱性を悪用され、129,659人分の個人情報が漏えいしたことを公表しました。

取得が行われたのは2026年8月10日から9月27日にかけてで、複数回にわたってデータベースの情報が取得されています。約1か月半にわたる期間です。

「業務ツール」が入口になる

攻撃されたのは、同社の中核サービスそのものではなく、カスタマーサポートのために導入していた外部ソフトウェアでした。

問い合わせ管理、チャットサポート、ヘルプデスク——こうしたツールは、業務効率のために導入されます。しかし、顧客対応に使う以上、顧客データベースと接続されていることが多い。つまり、ツール側が破られれば顧客データに到達されます。

2026年はこのパターンが繰り返されました。9月30日のVOISING（BIツールの既知の脆弱性・約17万件）、10月5〜7日のスカラコミュニケーションズ（問い合わせ管理システム）、10月13日のNEXT STAGE（BIツールMetabase）です。

中小企業でも、チャットツール、分析ツール、問い合わせフォームのサービスなど、本業ではない「補助的なツール」が顧客データとつながっていないか確認してください。

1か月半、複数回の取得

8月10日から9月27日まで、複数回にわたって取得されていました。一度で終わらず、繰り返しアクセスされていたことになります。

これは、攻撃者が「取れる状態が続いている」と認識していたことを意味します。最初のアクセスで遮断されなかったため、継続的に利用されました。

金融系のサービスでは、取得された情報が不正利用に直結する可能性があります。対象となった方は、取引明細の確認と、IDAREを装った連絡への警戒が必要です。

時系列で見る経過

• 2026年8月10日外部ソフトウェアの脆弱性を悪用した情報取得が始まる
• 2026年8月〜9月27日複数回にわたりデータベースの情報が取得される
• 2026年9月〜10月事案を把握し、調査を実施
• 2026年10月13日129,659人分の漏えいを確認したと公表

中小企業が学ぶべきポイント

1. 本業のシステムだけでなく、業務ツール（サポート・分析・チャット）も脆弱性管理の対象にする。
2. 業務ツールが顧客データベースと接続されていないか確認する。
3. 一度のアクセスで遮断できないと、繰り返し取得される。検知と即時遮断が重要。
4. 導入しているソフトウェアの一覧を作り、提供元のお知らせを定期的に確認する。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope