メディア4uのSMS配信システムに不正アクセス 最終報｜調査を終え収束

法人向けの SMS 配信サービスを提供するメディア4u（ファブリカホールディングスの子会社）は、SMS 配信システム「Aurora SMS CONSOLE」への不正アクセスについて、第三者の専門機関の調査が終わったとする最終報を出しました（メディア4u の2026年10月30日の発表、ファブリカHD の11月2日の適時開示）。 外部に持ち出されたファイルは特定済みで、個人データの漏えいの範囲は、初報で「漏えいし得る最大値」として伝えた件数を超えないとしています。 SMS で予約の確認や督促などを送るために、配信サービスを使っている会社に関係します。

公表された内容

• 何が流出したか：同社が契約企業のアカウントを管理するために持っていた、管理コンソールのアカウント管理情報の一覧のファイル。アカウント ID・企業名や営業所名・担当者名・都道府県と郵便番号・通知用のメールアドレスなどが入っていたとしています（2026年7月14日の発表）
• 件数：一覧のファイルは95,412件。うち個人情報にあたり得る情報を含む可能性があるのは22,928件で、本人の数とは一致しない場合があるとしています（7月14日）。最終報で、この範囲を超えないことを確かめたとしています
• 流出していないもの：パスワード、SMS の送り先（エンドユーザー）の電話番号・氏名・送った本文、決済・請求の情報は流出が確認されていないとしています。メディア4u のほかのサービスへの影響もないとしています
• 不正な SMS の送信：第三者がシステムを通じて SMS を不正に送ったことも確認され、件数は280件で、入り口になった特定の1社の契約アカウントを通じたものとしています（7月14日）。入り口の会社名や攻撃の手口の詳しい内容は、公表を控えるとしています
• 調査の結果：第三者の専門機関によるログの調査（ログフォレンジック）で、同社の社内の調査の内容と食い違いがないことを確かめたとしています
• 今の状況：2026年6月24日の封じ込めのあと、新たな不正アクセスと二次被害は確認されておらず、収束したと判断しています。サービスは通常どおり動いているとしています
• 業績への影響：2027年3月期の連結業績への影響は今のところ軽微と見込み、精査を続けるとしています

経緯

• 2026年6月24日：不正アクセスを確認。経路の遮断と緊急のメンテナンス、ログの保全を行い、外部の専門機関と調査を始める
• 2026年6月24日〜7月13日：管理用の認証情報をすべて無効にして発行し直し、原因の脆弱性を直し、ログインの監視を強める
• 2026年7月14日：初報。ファブリカHD も適時開示
• 2026年7月17日：第2報。対応の状況とよくある質問を公表し、全契約でのパスワードの変更などを勧める
• 2026年8月1日：セキュリティの対応の専門の組織を置く
• 2026年10月30日：メディア4u が最終報。11月2日にファブリカHD も適時開示

会社の対応

• ログインに失敗したときに IP アドレスを自動で止める機能を足し、パスワードの決まりを強めたとしています
• セキュリティの診断の範囲を広げ、手法を見直すなどの恒久の対策と、監視を続けるとしています
• 公表まで時間がかかったことについて、連絡の基準と流れを見直すとしています（7月17日）

中小企業が今日からできること

• 使っている SMS 配信サービスを確かめる：予約の確認・督促・本人確認のコードなどを送っている SMS 配信サービスの名前と、管理画面のアカウントの数を書き出す
• 管理画面のパスワードを変え、IP の制限をかける：配信サービスの管理画面のパスワードが、ほかのサービスと同じや推測しやすいものになっていないかを確かめて変え、サービスにあれば接続元の IP の制限を設定する
• 担当者の登録を減らす：異動や退職した担当者のアカウントが残っていないかを確かめ、使っていないものは消す
• 自社名の不審な SMS に備える：配信サービスが不正に使われると、自社の名前で SMS が届くことがある。「SMS でパスワードやカード番号を聞くことはない」という知らせを、ホームページに出せるよう用意する
• 委託先から連絡が来たときの窓口を決める：配信サービスなどの委託先から事故の連絡が来たとき、社内のだれが受け、何日以内に客へ知らせるかを決めておく