「開発環境だから心配ない」と思ったら……ある企業の認証情報が抜かれた手口とは？

特別なシステムではなく、情報共有に使うクラウドストレージや従業員が普段使うメール、テストのための開発環境。2026年7月20～24日に公表された不正アクセス事案は、そんな日常の環境が侵害の入り口になった。5件を振り返り、身近なサービスの権限と認証情報の管理を点検したい。

[中村篤志，キーマンズネット] PC用表示関連情報

LINE

Hatena

　2026年7月20～24日にかけて企業や団体が公表したセキュリティインシデントでは、クラウドストレージの共有設定やメールアカウント、開発環境に保存された認証情報など、日常業務で利用される環境が攻撃の対象となった。

　特に注意したいのは、侵害発生後の対応だ。パスワードを変更するだけでは、攻撃者が取得したセッション情報やAPIキー、外部サービスとの認証連携が残り、継続的な不正利用につながる可能性がある。

　今回確認された各事例を基に、攻撃者に悪用されやすい認証情報の種類や、インシデント発生時に確認すべきポイントを詳しく解説する。

1．扶桑電通、クラウドストレージの共有フォルダに不正アクセス

　ネットワーク構築やシステム開発などのICTサービスを手掛ける扶桑電通は2026年7月22日、同社が社外関係者との情報共有に使用していたクラウドストレージサービスの共有フォルダに、第三者による不正アクセスがあったと公表した。不正アクセスを確認したのは7月15日。対象の共有フォルダには、個人情報を含む一部の情報が保存されており、情報が漏えいした可能性があるとしている。

　同社は、不正アクセスを確認した後、対象アカウントの停止やアクセス遮断などの措置を実施した。外部の専門家と連携し、不正アクセスの原因、影響範囲、情報漏えいの有無について調査を進めている。7月22日の第1報では、漏えいした可能性がある情報の具体的な項目や対象人数は公表されていない。情報漏えいが確定したとの発表ではなく、漏えいの可能性を調査している段階だ。

出典：当社が利用するクラウドストレージへの不正アクセスについて（第1報）（扶桑電通）

2．Axcelead、フィッシングを起点に社員のメールアカウントが侵害

　製薬企業や研究機関向けに創薬研究の支援サービスを提供するAxcelead Drug Discovery Partnersは2026年7月22日、従業員1人が使用するメールアカウントに第三者が不正アクセスしたと公表した。

　同社によると、同年4月23日に従業員がフィッシングメールを受信し、誘導先のWebサイトに認証情報を入力した。その後の調査で、当該アカウントへの不正アクセスが確認されたとしている。侵害されたメールアカウント内には、社内外の個人データや機密情報が含まれており、第三者に閲覧された可能性がある。同社は、対象となる可能性がある関係者に個別に連絡している。

　対象アカウントのパスワード変更、セッションの切断、アクセスログの調査などは実施済みで、7月22日時点では、漏えいした可能性がある情報の件数や、不正利用などの二次被害について具体的な情報は示されていない。

出典：当社社員メールアカウントへの不正アクセスについて（Axcelead Drug Discovery Partners）

3．ニチレイ、被害サーバの一部に個人情報を保管

　加工食品や低温物流などの事業を展開するニチレイは2026年7月22日、同月13日に発生した不正アクセスによるシステム障害について、第4報を公表した。

　同社は、被害を受けたサーバの一部に個人情報が保存されていたため、対象者に個別に通知していると説明した。ただし、第4報では対象となる個人情報の具体的な項目や件数、外部への流出が確認されたかどうかは明らかにしていない。システム障害の影響を受けていた入出庫業務と冷凍食品の出荷業務については、7月22日時点で同じ週のうちに全拠点を通常稼働へ移行する予定としている。

出典：当社グループでのシステム障害発生について（第4報）（ニチレイ）

4．ワサビ、開発環境から認証情報を窃取された事案の調査結果を更新

　EC一元管理システムを提供するワサビは、開発環境への不正アクセスについて、2026年7月23日に公式発表を更新した。

　同社が最初に事案を公表したのは7月6日。開発環境で稼働していた「MySQL」データベースと「Redis」キャッシュサーバが不正アクセスを受け、保存されていたデータが窃取された後に削除され、ランサムメッセージが残されていた。

　対象環境に保存されていた注文情報や顧客情報はテスト用のダミーデータであり、同社は実在する顧客の個人情報や機密情報の漏えいはなかったと説明している。一方、一部のAPIキーやアプリケーションID、管理者アカウントに関する情報は窃取されたようだ。攻撃を受けた環境から取得された情報を使い、外部サービスとのOAuth認証を試みた可能性も確認したとしている。

　同社は、関連するAPIキーやパスワードの変更、アカウントの停止、外部サービスとの連携解除と再認証などを実施。原因については、Dockerの外部公開設定と、在宅勤務場所で使用していたルーターの不具合が重なったと説明している。開発環境であっても、本番システムや外部サービスにつながる認証情報を保持していないか確認したい事案だ。

出典：開発環境への不正アクセスによるセキュリティインシデントに関するご報告とお詫び（ワサビ）

5．KDDIウェブコミュニケーションズ、対象メールアカウントのパスワードを強制変更

　法人向けレンタルサーバ「CPI」を提供するKDDIウェブコミュニケーションズは2026年7月21日、同サービスのメールシステムに対する不正アクセスを受け、対象となるメールアカウントのパスワードを強制変更したと公表した。

　同社は7月21日、同年6月18日から7月20日までの間に利用者自身によるパスワード変更が行われていないなど、所定の条件に該当するメールアカウントを対象に強制変更を実施した。パスワードが変更されたアカウントでは、メールソフトに新しいパスワードを設定するまで、メールを受信できない場合がある。ただし、メールサーバで正常に受信されたメールが、強制変更を原因として消失することはないと説明している。

出典：不正アクセスに伴うメールパスワード強制変更を実施しました（KDDIウェブコミュニケーションズ）

侵害後の認証情報をどこまで無効化するか

　今回取り上げた事案では、クラウドストレージの共有フォルダや社員のメールアカウント、開発環境に保存された認証情報などが不正アクセスの対象となった。業務で日常的に利用するクラウドサービスや外部サービスについて、アカウントの権限設定や認証情報の管理状況を改めて確認したい。

　情シス部門では、多要素認証の導入状況だけでなく、共有フォルダに付与された権限、社外関係者用アカウントの管理、退職者や異動者の権限削除、通常と異なる場所からのアクセスを検知できるかを確認する必要がある。

　また、侵害後にパスワードを変更するだけでは、攻撃者が取得したセッションやAPIキー、OAuth連携などが残る場合がある。今回の事案でも、開発環境からAPIキーなどが窃取されたケースや、利用者保護のためメールアカウントのパスワードが強制変更されたケースが確認された。インシデント発生時には、パスワードや、セッション、APIキー、アクセストークン、外部サービスとの連携を含め、どの認証情報を無効化する必要があるかを整理しておきたい。