事案の概要データ
| 公表日 | 2026年10月22日 |
|---|---|
| 被害 | お客様情報の流出とみなされる事実が発生したことを確認 |
| 件数 | 公表なし |
| 停止中のサービス | 24項目（MOT/HG、MOT/Cloud、WEB予約ほか） |
| 原因（訂正後） | 同社サービス自体の脆弱性を突かれた |
| 初報の訂正 | 「PHPの脆弱性を標的としたサイバー攻撃」という説明を、同日19時37分に誤報として訂正 |
| 復旧 | 最短で2026年10月26日中の目途 |
| 詳細な原因 | 後日報告 |
図解：この事故の構造
何が起きたのか
バルテックは2026年10月22日、第三者からの不正アクセスにより「お客様情報の流出とみなされる事実が発生したことを確認」したと公表しました。件数は公表されていません。
停止中のサービスは24項目にのぼり、クラウドPBXの「MOT/HG」「MOT/Cloud」、WEB予約などが含まれます。復旧は最短で2026年10月26日中が目途とされています。
注目すべきは原因説明の訂正です。初報では「PHPの脆弱性を標的としたサイバー攻撃」と説明されていましたが、同日19時37分に誤報として訂正され、自社サービス自体の脆弱性を突かれたと説明し直されました。詳細な原因は後日報告とされています。
原因説明が同日中に訂正された
「PHPの脆弱性」と「自社サービスの脆弱性」では、意味が大きく異なります。
前者であれば、PHPという広く使われているプログラミング言語の基盤部分に問題があったことになり、同じ環境を使う他の多くのサービスにも影響が及ぶ話になります。後者は、自社が作ったプログラムの問題です。
この訂正は、初報の段階で原因を特定しきれていなかったことを示しています。調査が進む前に原因を断定すると、こうした訂正が必要になります。
2026年10月16日のスカイチケットも、第1報の「カード番号の流出なし」を第2報で訂正しました。10月の事案では、初報の内容が覆るケースが目立ちます。
訂正すること自体は誠実な対応です。むしろ、誤ったまま放置されるほうが問題です。ただし、初報の段階で「調査中」と留めておけば、訂正の必要もありませんでした。
24サービス停止という広がり
同社はクラウドPBX（電話システム）を中心に、中小企業向けのサービスを多数提供しています。
クラウドPBXが止まると、利用企業は電話が使えなくなります。問い合わせも注文も受けられません。業務への影響は、Webサイトが止まるより直接的です。
復旧が「最短で10月26日中」ということは、公表から4日以上かかる見込みです。その間、利用企業は代替手段で営業を続ける必要があります。
中小企業にとっての教訓は、電話やメールといった基本的な連絡手段をクラウドに集約している場合、それが止まったときの代替をあらかじめ決めておくことです。携帯電話への転送、別の連絡先の案内方法など、紙1枚にまとめておくだけで違います。
時系列で見る経過
- 2026年10月第三者からの不正アクセスを受ける
- 2026年10月22日お客様情報の流出とみなされる事実を確認したと公表。24サービスを停止
- 2026年10月22日 19時37分初報の「PHPの脆弱性を標的とした攻撃」という説明を誤報として訂正し、自社サービス自体の脆弱性と説明
- 2026年10月26日中最短での復旧目途
中小企業が学ぶべきポイント
- 原因が特定できていない段階では「調査中」と留める。断定すると訂正が必要になる。
- 訂正すること自体は誠実。誤ったまま放置するほうが問題。
- クラウドPBXが止まると電話が使えない。Webサイト停止より業務への影響が直接的。
- 電話・メールの代替手段を紙1枚にまとめておく。止まってから考えるのでは遅い。
- 復旧までの見込み日数を示すと、利用企業が代替手段を準備できる。
出典・参考
本記事は、各組織の公表資料および報道をもとに、要点をわかりやすく整理したものです。 被害件数は「漏えいした可能性のある最大件数」として公表されている場合があり、実際に漏えいが確定した件数とは異なることがあります。 また、調査の進展により内容が変わる場合があります。正確な情報は必ず出典元の公式発表をご確認ください。