株式会社Sallyで2件の不正アクセス、自社メールアカウント乗っ取りで544名 使うのをやめたStudio経由で404名

事案の概要データ

図解：この事故の構造

何が起きたのか

株式会社Sallyは2026年10月21日、「お問い合わせ情報の漏えいのおそれ」について公表しました。1つの公表文の中に、原因の違う2件の不正アクセスが入っています。

1件目は、自社のメールアカウントです。 「2026年10月14日、当社のメールアカウントが第三者に不正に利用され、お問い合わせの管理システムに社員になりすましてログインされました」。対象は2026年3月30日から10月14日までの問い合わせで、544名。項目はメールアドレス、電話番号、問い合わせの内容（ユーザーID、添付ファイルを含む）です。

2件目は、Studioです。 「以前Webサイトの制作に利用していたサービス『Studio』を運営するStudio株式会社のクラウド環境」に、2026年9月30日から10月1日にかけて不正アクセスが発生。Sallyは10月16日にStudio株式会社から報告を受けました。対象は2026年4月までに自社サイトのフォームから送信された404名で、項目は氏名、メールアドレス、問い合わせの内容（フォームによっては会社名、部署名、役職、電話番号を含む）です。

ウズのアカウントに登録の連絡先、アプリ内のメッセージ、クレジットカード情報は含まれていないとしています。544名と404名の重複の有無については、公表文に記載がありません。

「以前利用していたサービス」に、データは残っていた

この事案で、中小企業がいちばん持ち帰るべきなのは2件目です。

公表文の表現をもう一度読んでください。「以前Webサイトの制作に利用していたサービス『Studio』」。そして、対応の欄には「現在の当社Webサイトは Studio を利用していません」と書かれています。

つまり、もう使っていないサービスから漏れました。 対象は「2026年4月までに sally-inc.jp のフォームから送信された」問い合わせです。サイトを作り替えてStudioから離れたのに、過去にフォームから送られたデータは、Studio側に残っていたわけです。

これは、ほとんどすべての中小企業に当てはまる話です。考えてみてください。

ホームページを作り替えたとき、前の制作会社・前のサービスに預けていたデータはどうなったか。 問い合わせフォームに届いた3年分のメール。会員登録の名簿。アンケートの回答。資料請求のリスト。

多くの場合、誰も消していません。 「使わなくなった」だけで、消す手続きはしていない。サービスの解約もせず、無料プランのまま放置されていることもあります。そしてデータは、相手のサーバーに残ったままです。

解約したつもりでも、データが消えているとは限りません。 利用規約には「解約後◯日でデータを削除します」と書かれていることが多いのですが、実際に消えたかどうかを確認している会社はまずありません。

今日やれることは2つです。①過去5年で使うのをやめたITサービスを、思い出せるだけ紙に書き出す。 ホームページ制作ツール、フォーム作成ツール、メール配信、オンラインストレージ、名刺管理、グループウェア、アンケート、予約システム。②その中に個人情報を入れていたものがあれば、提供元に「データの削除」を依頼する。

②は、メール1通で済みます。「◯年◯月に解約した◯◯のアカウントについて、当社が登録・送信したデータの削除をお願いします。削除完了のご連絡をいただけますでしょうか」。これだけです。

そして、削除完了の返信を保存してください。 それが、後から「あのサービスにはもうデータがない」と言える唯一の根拠になります。

メールアカウントが1つ乗っ取られると、その先のシステムまで開く

1件目に戻ります。こちらも重要です。

起きたことの順番はこうです。①メールアカウントが第三者に不正利用された。②そのメールアカウントを使って、社員になりすまして問い合わせ管理システムにログインされた。③問い合わせ情報544名分が見られた。

注目してほしいのは、②の部分です。攻撃者は、問い合わせ管理システムのパスワードを盗んだわけではありません。メールアカウントを握ったので、その先に入れたのです。

なぜそうなるか。多くのクラウドサービスが、メールアドレスを使った本人確認を採用しているからです。「パスワードを忘れた」を押すと、再設定のリンクがメールに届く。あるいは「このメールアドレスでログイン」のボタンを押すだけで入れる。メールアカウントは、他のすべてのサービスの合鍵になっています。

だから、メールアカウントの乗っ取りは「メールが読まれる」で終わりません。そのメールアドレスで登録してあるサービスのすべてが、同時に危なくなります。 クラウド会計、クラウド給与、グループウェア、ECの管理画面、SNSの企業アカウント。

対策の優先順位は、ここから自動的に決まります。社内のあらゆるIT対策の中で、メールアカウントの多要素認証が最優先です。 Sallyも再発防止策の1行目に「社員アカウントの多要素認証の徹底」を挙げています。

多要素認証とは、パスワードに加えて、スマートフォンのアプリに出る6桁の数字などを入力するしくみです。パスワードが盗まれても、スマートフォンがなければ入れません。Microsoft 365でもGoogle Workspaceでも、管理画面から全社員に強制できます。 費用は追加でかかりません。

設定にかかる時間は、社員1人あたり3分程度です。この3分を、今週のうちに全員分やってください。

2件を1つの公表文にまとめ、連名で報告した

公表の形も見ておきます。同社は原因の違う2件を、1つの公表文に並べて書きました。

これは読み手にとって親切です。問い合わせをしたことがある人は、自分がどちらの対象なのかを1ページで確認できます。別々に公表されると、2つのお知らせを探さなければなりません。

そして、個人情報保護委員会への報告について、こう書いています。「2026年10月17日に報告しました（Studioの件は、Studio株式会社との連名で報告します）」。

連名で報告するという一文は、委託先・利用サービス経由の事故で押さえておきたい実務です。この事案で個人情報の「取扱い」の責任を負うのはSallyですが、原因はStudio側にあります。どちらが報告するのかで揉めると、報告そのものが遅れます。連名にすれば、その問題は消えます。

中小企業が同じ状況になったとき——つまり自社が使っているサービスの提供元が事故を起こしたとき——やることは3つです。

①提供元から「何がどれだけ漏れたか」を文書でもらう。 口頭やチャットでの説明だけでは、顧客に説明できません。

②自社の顧客に、自社の名前で知らせる。 「Studioが事故を起こしたので当社は関係ない」とはなりません。顧客は自社を信じてフォームに入力しています。

③個人情報保護委員会への報告は、提供元と連名にできるか相談する。 原則として個人データを取り扱う事業者に報告義務がありますが、委託元・委託先の双方が関わる事故では連名での報告が認められる場合があります。本件はその実例です。

時系列で見る経過

• 2026年3月30日〜10月14日（事案1の対象期間）この間に寄せられた問い合わせ544名分が対象となる
• 2026年9月30日〜10月1日（事案2）Studio株式会社のクラウド環境に不正アクセスが発生
• 2026年10月14日（事案1）Sallyのメールアカウントが第三者に不正利用され、社員になりすまして問い合わせ管理システムにログインされる
• 2026年10月16日（事案2）Studio株式会社から報告を受ける。2026年4月までのフォーム送信404名分が対象
• 2026年10月17日個人情報保護委員会へ報告（Studioの件はStudio株式会社との連名で報告）
• 2026年10月21日「【重要】お問い合わせ情報の漏えいのおそれに関するお詫びとお知らせ」を公表。2件を1つの公表文にまとめる
• （公表時点）いずれの不正アクセスも遮断済み。社員アカウントの保護とシステムの修正を実施。現在のWebサイトはStudioを利用していない

中小企業が学ぶべきポイント

1. 使うのをやめたサービスに、過去のデータは残っている。「使わなくなった」と「消した」は別。
2. 過去5年で解約・利用停止したITサービスを紙に書き出し、個人情報を入れていたものを洗い出す。
3. 提供元にデータ削除を依頼し、削除完了の返信を保存する。それが唯一の根拠になる。
4. メールアカウントは、他のすべてのサービスの合鍵。パスワード再設定がメールに届くから。
5. 社内のIT対策の中で、メールアカウントの多要素認証が最優先。追加費用はかからない。
6. 多要素認証の設定は1人3分。今週のうちに全員分を終わらせる。
7. 原因の違う複数の事故は、1つの公表文に並べたほうが読み手は確認しやすい。
8. 利用サービスの提供元が事故を起こしたら、文書で内容をもらい、自社の名前で顧客に知らせる。
9. 個人情報保護委員会への報告は、提供元との連名にできる場合がある。揉めて遅れるより連名にする。

出典・参考

• 【重要】お問い合わせ情報の漏えいのおそれに関するお詫びとお知らせ（株式会社Sally・2026年10月21日）
• Sallyに2件の不正アクセス、問い合わせ情報が漏えいした可能性（ScanNetSecurity）