【インシデント速報】2026年7月27日｜ワサビ開発環境がDB窃取被害・日本オークション協会メール乗っ取りで523件漏えい・富山県立大の学生アカウント乗っ取り
secure2026年7月27日（月）速報
開発・検証環境のDBやポートが外部公開されていないか、今日確認する。127.0.0.1（ローカル）限定が原則。メールボックスは過去のやり取りが残る「個人情報の保管庫」。全メール・クラウドアカウントに多要素認証（MFA）を設定し、重要情報を長期保管しない。認証情報は端末のマルウェア感染から盗まれる。私物端末を含め、業務で使う端末のウイルス対策とOS更新を徹底する。
本日のインシデント（7/3〜24公表分より）
① 株式会社ワサビ：開発環境が外部に丸見え、DBを窃取されランサムメッセージを残される
ECサイト構築サービスなどを手がける株式会社ワサビは2026年7月7日、同社の開発環境端末が外部から不正アクセスを受けたと公表した。発生は7月4日で、開発環境端末上のデータベース（MySQL）とキャッシュサーバ（Redis）に侵入され、データの窃取と削除、さらにランサムメッセージの残置が確認されている。
流出したデータベース内の注文・顧客データはすべてテスト用に作成した架空データ（ダミーデータ）で、実在する顧客の個人情報は含まれていないという。ただし一部のAPIキー、アプリケーションID、テストデータ、「ワサビ管理者アカウント」の情報が盗まれた。管理者アカウントのパスワードはソルト付きSHA-256でハッシュ化されており、本番でも使用していたAPIキーは再発行と旧キーの無効化を完了、不正利用は確認されていないとしている。Redisには暗号資産マイニング目的の不正な設定が書き込まれていたが、コンテナ内に隔離され実行プログラムが存在しなかったため被害はなかった。
原因は、開発用DockerコンテナのDBポートがローカル限定（127.0.0.1）ではなく外部接続可能（0.0.0.0）な設定だったことと、端末をつないでいた自宅ルータの設定・ファームウェアの不具合で当該ポートが外部へ転送・公開される状態になっていたことの二つが重なった点にある。「開発環境が、意図せずインターネットに直結していた」という典型的な事故だ。
中小企業への影響
開発・検証環境は本番より軽く扱われがちだが、そこに本番と共通のAPIキーや認証情報が置かれていれば、開発環境の一穴が本番への入口になる。テレワークで自宅ルータ配下の端末が増えるほど、設定ミス一つで社内システムがインターネットに露出する。「顧客データはダミーだったから助かった」のであって、テストデータに本番の鍵を混ぜていれば結果は変わっていた。
推奨対応
- 開発・検証環境のDBや管理画面のポートを127.0.0.1（ローカル）に限定し、0.0.0.0で全公開していないか今日確認する
- テストデータに本番のAPIキー・パスワード・認証情報を流用しない。ダミー値へ置き換え、本番との紐付きを断つ
- 自宅・拠点のルータのUPnP機能を無効化し、意図しないポート転送（ポート開放）が残っていないか点検する
② 日本オークション協会：メールアカウント乗っ取りで、過去メール内の口座情報など523件が漏えい
株式会社日本オークション協会は2026年6月24日、外部からの不正アクセスによる個人情報漏えいを公表した。同社が査定サービス「らくらく査定」の運用や各種問い合わせ対応に使っていたメールアカウントに第三者が不正アクセスし、そのアカウントで過去に送受信したメールに記載されていた個人情報が閲覧された可能性がある。6月12日にサーバ管理会社から警告通知を受けて調査し、発覚した。
漏えいの可能性があるのは、氏名（個人名・社名・屋号・店舗名・役職）、メールアドレス、住所、電話番号、FAX番号、らくらく査定のID・パスワード、口座情報、クレジットカード番号の下4桁を含む個人情報で、対象は523件。「らくらく査定」のシステム本体やデータベースへの侵害は確認されていない。同社は全メールアカウントのパスワードを変更し、二次被害防止のため6月16〜25日の緊急メンテナンス期間に、らくらく査定会員のパスワードを強制的にリセット（無効化）する措置を取った。
中小企業への影響
メールボックスは「過去のやり取りが丸ごと残った個人情報の保管庫」になりやすい。システム本体が無事でも、メール1アカウントの乗っ取りで口座やカード情報まで漏れる。さらに、乗っ取られたアカウントで各種サービスの「パスワードリセット」機能を悪用され、別システムへ不正ログインされる二次被害の連鎖も起きうる。本件で会員パスワードを一斉リセットしたのは、この連鎖を断つための措置だ。
推奨対応
- メールアカウントに多要素認証（MFA）を設定し、口座・カード・ID/パスワードなどの重要情報をメール本文や添付で長期保管しない運用に切り替える
- 不要になった古いメールは定期的に削除し、万一乗っ取られた際の漏えい範囲を小さくしておく
- アカウント乗っ取りを検知したら、そのアドレスで登録している他サービスのパスワードも直ちにリセットする
③ 富山県立大学：端末のマルウェア感染から学生アカウント2件が乗っ取られ、迷惑メールの踏み台に
富山県立大学は2026年7月3日、学内で使うMicrosoft 365の学生アカウント2名分が第三者に乗っ取られ、迷惑メールの送信や学生団体サイトの侵害に悪用されたと公表した。2026年5月から6月にかけて、英語やドイツ語の迷惑メールが不特定多数に送信され、学生Aのアカウントからは断続的に計4,419件、学生Bのアカウントからは計162件が確認されている。
大学は、学生が所有するPCが悪意あるソフトウェア（マルウェア）に感染し、ID・パスワードが窃取された可能性があるとしている。攻撃の入口は大学のシステムそのものではなく、利用者側の「個人の端末」だった点がこの事案の特徴だ。
中小企業への影響
会社のアカウントでも、それを使う個人の端末がマルウェアに感染すれば、そこからID・パスワードを抜かれてアカウントを乗っ取られる。私物端末や自宅PCで業務アカウントにログインしている場合、会社のセキュリティ対策が届かない端末が弱点になる。乗っ取られれば、自社のアカウントが迷惑メールや不正投稿の発信源になり、取引先や自社ドメインの信用を損なう。
推奨対応
- 業務アカウントに多要素認証（MFA）を設定し、パスワードが盗まれただけでは入れない状態にする
- 業務で使う端末（私物を含む）にウイルス対策ソフトを導入し、OSとソフトを常に最新に保つ
- 私物端末での業務アカウント利用のルールを定め、可能なら会社が管理する端末に限定する
編集部まとめ
今週の3件に共通するのは、認証情報と環境設定という「基本の詰め」が破られた点だ。開発環境の公開設定、メールアカウントの保護、端末経由の認証情報窃取——いずれも高度な攻撃ではなく、設定と運用の穴を突かれている。ポートの公開範囲、全アカウントのMFA、端末のマルウェア対策の3点を今日確認してほしい。派手な対策より、地道な設定の徹底が被害の分かれ目になる。
