概要

2026年10月2日20時30分頃から10月3日8時頃にかけて、第三者がi-askの管理サイトに不正ログインし、同社管理サーバー上に不正なプログラムを設置したうえで、同一サーバー上で稼働する利用企業環境のデータベースから問い合わせ情報を取得した可能性がある。10月3日朝にデータベース監視アラートで検知し、同日8時頃に遮断。対象は最大5社の問い合わせ情報で延べ最大713,126件（氏名、メールアドレス、問い合わせ内容等）。利用企業として大和証券（約11万名、約22万件）、シチズン時計（約10万名分）、損害保険ジャパン（約6万件）、オリックス生命保険（約26,500件、医療情報含む）が漏えいの可能性を公表し、東武鉄道もサービス利用を公表（閲覧・取得の形跡は未確認）。大和証券の提携先である岩手銀行・四国銀行も注意喚起を掲載。親会社スカラは対策本部を設置し、フォレンジック調査が進行中。

経緯

経緯情報は未登録です。

原因

第三者がi-askの管理サイトに不正ログインし、サーバー上に不正プログラムを設置して同一サーバー上の利用企業環境のデータベースから情報を取得した。不正ログインの経緯の詳細は公表されていない。

攻撃手法

公表情報で確認できる攻撃手法はありません（推測による割り当ては行っていません）。

影響範囲

影響を受けたユーザー数

不明

サービス停止

不明

金銭的被害

不明

対象システム

i-ask管理サイト、利用企業向け環境のデータベースサーバー

漏洩した情報

• 可能性あり氏名
• 可能性ありメールアドレス
• 可能性あり問い合わせ内容
• 可能性あり住所
• 可能性あり電話番号
• 可能性あり口座番号（大和証券）
• 可能性あり生年月日・証券番号・医療情報（オリックス生命保険）
• 可能性あり勤務先情報・ドライバーID（損害保険ジャパン）

同一サーバー上の利用企業最大5社の問い合わせ情報、延べ最大713,126件が取得された可能性（実人数は名寄せ中）。大和証券約22万件、シチズン時計約10万名分、損害保険ジャパン約6万件、オリックス生命保険約26,500件。公表時点で二次被害は未確認。

対応

10月3日に不正アクセスを遮断し利用企業へ第一報。親会社スカラはグループ対策本部を設置し、外部専門機関とフォレンジック調査を実施中。利用企業は顧客へ個別連絡。

• 不正ログインに使用されたアカウントのパスワード変更
• 攻撃元IPアドレスからのアクセス遮断
• 設置された不正プログラムの隔離
• 全環境における管理者アカウントのパスワード変更
• アップロードファイルをプログラムとして実行できない設定変更
• 今後、多要素認証導入等の管理者認証強化、環境間の分離、監視体制強化、第三者による定期的な脆弱性診断を実施予定

教訓・対策

• SaaSの管理サイトには多要素認証を導入する
• マルチテナント環境では利用企業ごとの環境分離を徹底する
• アップロードファイルの実行を防止する設定を行う
• データベース監視アラートが早期検知に有効
• 委託先SaaSに保管された問い合わせ情報も漏えいリスクとして管理し、不要データは削除する

参考資料

1. スカラコミュニケーションズへの不正アクセスについてまとめてみた
   piyolog公開日: 2026-10-07報道二次情報取得日: 2026-11-01
2. 株式会社スカラコミュニケーションズ、最大71万件超の問い合わせ情報漏えいのおそれ
   サイバーセキュリティ.com公開日: 2026-10-06報道二次情報取得日: 2026-11-01

関連情報

関連するCVE

関連付けられたCVEはありません。

関連組織

株式会社スカラコミュニケーションズ

関連するインシデント

関連付けられたインシデントはありません。