VOISING、BIツールの既知の脆弱性を突かれ約17万件が漏えい

事案の概要データ

図解：この事故の構造

何が起きたのか

VOISINGは2026年9月30日、社内で利用していたBIツールの既知の脆弱性を悪用され、約17万件の個人情報が漏えいしたことを公表しました。対象には氏名・住所・購買履歴などが含まれます。

「既知の脆弱性」とは、すでに公表され、修正プログラム（パッチ）も提供されていた弱点のことです。つまり、更新していれば防げた攻撃でした。

BIツールは「全部のデータが集まる場所」

BIツール（ビジネスインテリジェンスツール）は、売上・顧客・在庫など社内のあらゆるデータを集めて分析するための道具です。便利な反面、「社内で最も多くのデータが一か所に集まる場所」でもあります。

そのため、基幹システムそのものより、BIツールのほうが攻撃者にとって価値が高い場合があります。1つ破れば、各システムを個別に攻撃する手間なく、まとまったデータが手に入るからです。

中小企業でも、Excelやクラウドの分析ツールに全社のデータを集約していることがあります。「どこに一番データが集まっているか」を把握し、そこを重点的に守るという発想が必要です。

なぜパッチを当てられないのか

多くの企業で脆弱性が放置される理由は、悪意や怠慢ではありません。「更新すると業務が止まるかもしれない」「誰が管理しているか分からない」「そもそも脆弱性情報を見ていない」という、運用上の問題です。

現実的な対処は、(1)社内で使っているソフトの一覧（台帳）を作る、(2)それぞれの管理担当者を決める、(3)月1回、提供元のお知らせを確認する日を決める、という3段階です。

特に(1)がないと、何を更新すべきかすら分かりません。まずは紙1枚の台帳から始めるのが現実的です。

時系列で見る経過

• （時期不明）BIツールに既知の脆弱性が存在したまま運用が続く
• 2026年9月脆弱性を悪用した不正アクセスを受ける
• 2026年9月30日約17万件の個人情報が漏えいしたことを公表

中小企業が学ぶべきポイント

1. 社内で使っているソフト・ツールの一覧（台帳）を作る。知らないものは更新できない。
2. ツールごとに管理担当者を決め、月1回は提供元のお知らせを確認する日を作る。
3. BIツールのように「データが集まる場所」は、基幹システムと同じレベルで守る。
4. 既知の脆弱性による被害は、言い訳が立たない。パッチ適用の遅れは経営リスク。

出典・参考

• 2026年9月 サイバー攻撃の被害 事例 まとめ - セキュリティ対策Lab