ハルメクHDの不正アクセス 最終報｜6月から計5回・流出の痕跡なし

グループの Web サイト「HALMEK up」の管理画面への不正アクセスを公表していたハルメクホールディングスが、2026年10月15日に外部の専門家による調査の結果を最終報として公表しました。 発覚した9月9日より前の6月13日から、計5回の不正アクセスがあったと分かった一方、サーバーのファイルを見たり取り出したりした痕跡はなく、個人情報が外に流出した痕跡も見つからなかったとしています（ハルメクホールディングスの2026年10月15日の発表）。 Web サイトの管理画面を社員の ID とパスワードで運用している会社に関係します。

公表された内容

• 不正アクセスの回数：2026年6月13日・8月7日・9月2日・9月3日・9月9日に各1回、計5回。発覚より前から不正アクセスがあったとしています
• 原因：社員1人の ID とパスワードが不正に使われたと、9月10日に特定したとしています。ID とパスワードがどう盗まれたかは公表されていません
• 流出の有無：5回の不正アクセスについて、サーバー上のファイルを見た・取得した・外へ送ったことを示す痕跡は確認されなかったとしています。個人情報が外部に流出した痕跡も見つかっていません
• 件数：公表されていません
• 対応：管理画面のパスワードの変更、個人情報保護委員会への報告（9月10日）、サイトに置かれていた不審なプログラムの削除（9月10〜12日）、サーバーの手入れとセキュリティ体制の見直し
• 再発防止策：外部の専門家の助言を受けながら、システム・ネットワーク・機器のセキュリティ対策と監視の体制を強めるとしています
• 業績への影響：2027年3月期の連結業績への影響は軽微としています

経緯

• 2026年9月9日：HALMEK up の管理画面への不正アクセスの痕跡を確認し、外部の専門家と調査を開始
• 2026年9月10日：社員1人の ID とパスワードが不正に使われたと特定。パスワードを変え、個人情報保護委員会へ報告
• 2026年9月10〜12日：サイトに置かれていた不審なプログラムをすべて削除
• 2026年9月11日：第一報を公表
• 2026年10月11日：外部の専門家によるフォレンジック調査が完了
• 2026年10月15日：最終報。発覚前を含む計5回の不正アクセスと、流出の痕跡がなかったことを公表

中小企業が今日からできること

• 管理画面のログインの記録を、数か月さかのぼれるように残す：今回は発覚の約3か月前の不正アクセスまで調べられた。Web サイトの管理画面とサーバーのログを、少なくとも半年は残す設定になっているか確かめる
• 管理画面に多要素認証をかける：社員の ID とパスワードだけで入れる管理画面を一覧にし、多要素認証をかけるか、開ける場所（社内のネットワークなど）を絞る
• サイトに知らないプログラムが置かれていないか見る：CMS やサーバーのファイルに、身に覚えのないファイル・プラグイン・管理者アカウントが増えていないかを定期的に確かめる
• 「流出なし」と言えるだけの記録を持つ：ファイルを見た・持ち出したかを後から確かめられるよう、ファイルへのアクセスと外への通信の記録を取っておく。記録がないと、流出の有無を判断できない