ハルメク、社員1名のIDとパスワードを不正利用され管理画面に5回のアクセス

事案の概要データ

図解：この事故の構造

何が起きたのか

ハルメクホールディングスは2026年9月11日に初報を出し、10月15日に調査結果を公表しました。社員1名のIDとパスワードが不正に利用され、「HALMEK up」の管理画面へ計5回の不正アクセスがあったとされています。

情報の閲覧・取得・外部転送の痕跡は発見されていません。なお「5」は不正アクセスの回数であり、人数や件数ではありません。

被害が出なかった事案を公表する意味

情報の持ち出しが確認されていないにもかかわらず、同社は調査結果を公表しました。

2026年10月に公表された事案の多くは、数十万件から数千万件規模の漏えいでした。そのなかで、この事案は「侵入はされたが、被害は確認されていない」というものです。

公表の判断としては難しいところです。実害がなければ黙っていてもよい、という考え方もあります。しかし公表することで、利用者は自分のアカウントを点検でき、同業他社は「自社は大丈夫か」と確認する契機を得られます。

また、初報（9月11日）から調査結果（10月15日）まで約1か月。途中で説明を止めなかった点も評価できます。「調査中」のまま続報が出ない事案は少なくありません。

「社員1名のID・パスワード」から始まる

入口は、社員1名のIDとパスワードでした。どのように入手されたかは公表されていません。

考えられるのは、フィッシングで入力させられた、他サービスから漏えいしたパスワードを使い回していた、業務用端末がマルウェアに感染していた、といった経路です。

いずれの場合も、多要素認証があればログインは成立しませんでした。管理画面にアクセスできるアカウントには、例外なく多要素認証をかけることが基本になります。

2026年10月だけでも、ローソン、NEXT STAGE、東日本三菱自動車販売、そして本件と、管理画面やアカウントの乗っ取りを起点とする事案が続いています。

時系列で見る経過

• 2026年9月社員1名のID・パスワードを不正に利用され、管理画面へのアクセスが行われる
• 2026年9月11日初報を公表
• 2026年9月〜10月調査を実施し、不正アクセスが計5回であることを確認
• 2026年10月15日調査結果を公表。情報の閲覧・取得・外部転送の痕跡は発見されずと説明

中小企業が学ぶべきポイント

1. 管理画面にアクセスできるアカウントには例外なく多要素認証をかける。
2. 被害が確認されなくても公表することで、利用者と同業他社が点検する契機になる。
3. 初報を出したら、調査結果まで続報を出す。「調査中」で終わらせない。
4. 「5回」は回数であり件数ではない。公表された数字が何を数えたものか確認する。

出典・参考

• 情報漏洩・不正アクセスの企業一覧（随時更新） - SmartScope