サンメッセのサイバー攻撃 最終報｜発注システムの利用者1,474件が流出
公開
印刷会社のサンメッセが2026年10月28日、購買発注システム「WEB 発注システム」がサイバー攻撃を受けた件の最終報を公表しました。 運用の委託先の調査が終わり、海外のサーバーを経由した第三者の不正アクセスだったこと、利用者マスタの全件 1,474件が対象だったことが分かったとしています（サンメッセの発表）。 このシステムで同社と取引している会社は、ログインのパスワードの扱いを確かめる必要があります。
公表された内容
- 原因：海外のサーバーを経由した第三者の不正アクセス（2026年10月28日の最終報）。侵入の具体的な手口は公表されていません
- 対象の情報：氏名・メールアドレス・ログインID・パスワード・権限区分
- 件数：1,474件。利用者マスタの全件で、削除済み・利用停止中の利用者を含みます
- 影響の範囲：このシステムのサーバーに限られ、ほかのサーバーへの影響はないとしています
- 二次被害：最終報には書かれていません
経緯
- 2026年9月8日：第一報。運用の委託先からの報告で攻撃が分かり、システムの利用を停止。一部のユーザー情報が漏えいした可能性があると公表
- 2026年9月9日：第二報。システムの利用を再開し、調査を続けると公表
- 2026年10月28日：最終報。不正アクセスの経路と、利用者マスタ全件 1,474件が対象と公表
会社の対応
- 対象のサーバーを作り直し、脆弱性への対策として最新のパッチを当て、安全を確かめてから利用を再開
- 運用の委託先は、脆弱性への対応と監視の体制を見直して強化
- サンメッセは、委託先との情報共有と連携の体制、事故のときの対応手順を見直し、情報セキュリティの教育を続けるとしています
中小企業が今日からできること
- 取引先のシステムと同じパスワードを使っていないか確かめる：発注システムのパスワードを、自社のメールや別のサービスでも使っていたら、すぐ変える
- 使わなくなったアカウントを消す：今回は削除済み・利用停止中の利用者も対象になった。退職者や取引の終わった相手のアカウントは、止めるだけでなく情報も消す
- 委託先のパッチの当て方を契約で決める：運用を任せているシステムは、脆弱性の修正をいつまでに当てるか、報告をどう受けるかを決めておく
- 取引先に使ってもらうシステムの一覧を持つ：利用者の数と連絡先を一覧にし、事故のときにすぐ知らせられるようにしておく