事案の概要データ
| 公表日 | 2026年10月13日 |
|---|---|
| 検索可能だった期間 | 2026年9月22日〜10月9日 |
| 漏えいの可能性 | 最大約40,000件 |
| 対象 | Qualiz／ACRO5 |
| 原因 | 社内BIツール（Metabase）で第三者が不正なアカウントを利用 |
| 認証情報の入手手口 | 未公表 |
図解：この事故の構造
何が起きたのか
NEXT STAGEは2026年10月13日、社内で使っていたBIツール「Metabase」において第三者が不正なアカウントを利用し、2026年9月22日から10月9日までデータベースを検索できる状態になっていたことを公表しました。最大約40,000件が漏えいした可能性があります。
認証情報をどのように入手されたかは公表されていません。
BIツールは「社内のデータが集まる場所」
BIツール（ビジネスインテリジェンスツール）は、売上・顧客・在庫など社内のあらゆるデータを集めて分析するための道具です。Metabaseはその代表的なソフトウェアの一つで、オープンソースのため導入しやすく、中小企業でも使われています。
便利な反面、「社内で最も多くのデータが一か所に集まる場所」でもあります。しかも、分析のために各システムのデータベースへ接続されています。BIツールにログインできれば、接続先のデータを自由に検索できます。
2026年9月30日のVOISING（BIツールの既知の脆弱性・約17万件）も同じ系統です。BIツールは「社内向けだから」と守りが甘くなりがちですが、実際には基幹システムと同等かそれ以上に重要です。
社内ツールをインターネットに出していないか
Metabaseのような社内向けツールは、本来インターネットからアクセスできる必要がありません。社内ネットワークやVPN経由でのみ使えるようにしておけば、外部から不正なアカウントでログインされることはありません。
しかし、在宅勤務への対応や、導入の手軽さから、インターネットに公開したままになっているケースが少なくありません。
確認すべきことは3つです。1つ目は、社内向けツールがインターネットから見える状態になっていないか。2つ目は、アカウント一覧に身に覚えのないものがないか。3つ目は、多要素認証がかかっているか。
特に2つ目は、この事案で起きたことそのものです。「不正なアカウント」が作られていたということは、アカウント一覧を見れば気づけた可能性があります。
時系列で見る経過
- 2026年9月22日第三者が不正なアカウントでBIツールを利用し始める
- 2026年9月22日〜10月9日データベースを検索できる状態が続く
- 2026年10月事案を把握し、調査を実施
- 2026年10月13日最大約40,000件の漏えいの可能性を公表
中小企業が学ぶべきポイント
- 社内向けツールをインターネットに公開しない。VPNや社内ネットワーク経由に限定する。
- アカウント一覧を定期的に確認する。身に覚えのないアカウントは不正の兆候。
- BIツールは社内で最もデータが集まる場所。基幹システムと同じレベルで守る。
- オープンソースのツールも脆弱性管理と更新の対象に含める。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。