NEXT STAGEに不正アクセス｜BIツールから最大約4万件漏えいのおそれ
公開
NEXT STAGE（東京プロマーケット上場）が2026年10月13日、社内業務で使っている BI ツール（データを集計・可視化するツール。Metabase 社のもの）に第三者がアカウントを不正に使ってアクセスし、同社サービスのデータベースを検索できる状態だったと公表しました。 漏えいのおそれがあるのは、取引先と認定現場監査士の情報、最大約40,000件です（NEXT STAGE の2026年10月13日の発表）。 同社は、この BI ツールの脆弱性のリスクが公表されていたことにも触れています。
公表された内容
- 気づいた日：2026年10月9日（2026年10月13日の発表）
- 不正アクセスの期間：2026年9月22日〜10月9日
- 関係するサービス：Qualiz（旧 GenKan-NS・TeiKan-NS を含む）・ACRO5
- 件数：最大約40,000件
- 情報：取引先と認定現場監査士の氏名・電話番号・メールアドレス。旧 GenKan-NS・TeiKan-NS は認証情報も含み、認定現場監査士は住所・生年月日・資格・血液型も含むとしています。カード情報・銀行口座・本人確認書類は含まれないとしています
- 被害の性質：検索だけができる状態で、データの更新・削除はできず、データが壊される被害はないとしています
- 二次被害：不正利用などは確認されていないとしています
- 原因：BI ツールで不正なアカウントが使われたことは公表されていますが、そのアカウントがどう作られたか・使われたかの詳しい経路は公表されていません
経緯
- 2026年9月22日：不正アクセスが始まる
- 2026年10月9日：不正アクセスに気づく。その後、対象のアカウントを止め、関係するデータベースへのアクセスを制限し、個人情報保護委員会へ報告（報告の日付は公表されていません）
- 2026年10月13日：公表（適時開示）。同じ文書を10月21日に同社サイトのお知らせにも掲載
- 公表後の続報は、10月27日時点で同社サイトに出ていません
中小企業が今日からできること
- 社内で使っている BI・集計ツールを一覧にする：Metabase などのダッシュボードの道具を社員が立てていないかを確かめ、インターネットから開ける状態のものは止めるか、社内からだけ開けるようにする
- 製品の脆弱性の知らせを受ける窓口を決める：使っているツールの会社のお知らせや JVN を見る担当を決め、修正版が出たら当てる期限を決める
- データベースにつなぐ権限を絞る：集計ツールに、顧客の連絡先や生年月日まで見える権限を持たせていないかを見直し、要る項目だけが見える読み取り専用の権限にする
- アカウントの一覧を定期的に見る：ツールの管理画面で、見覚えのないアカウントが増えていないかを月に1回は確かめる
- ログイン情報が漏れた取引先に連絡する準備をしておく：自社のサービスで取引先に ID・パスワードを発行しているなら、漏れたときにすぐ変えてもらう手順と連絡先を整えておく