ベーシックの不正アクセス 第2報｜ferret Oneの範囲を特定、2万件超

ベーシック（東証グロース）は2026年11月4日、マーケティングの仕組み「ferret One」への不正アクセスについて、調査の結果と再発防止策をまとめた第二報を公表しました（ベーシックの適時開示）。 不正アクセスの範囲が特定され、ログイン用メールアドレスなど4,317件と、導入企業3社が ferret One で管理していた問い合わせなどの個人情報計16,970件が閲覧・取得されたとしています。 ferret One を使っている会社と、その会社に問い合わせをした人に関係します。

公表された内容

• ログイン用メールアドレス・サイト名：ferret One の利用者の4,317件（2026年11月4日の発表）
• 導入企業の情報：1社の見込み客・問い合わせの情報（氏名・連絡先など）16,968件と、別の2社の問い合わせ各1件。計16,970件
• 個人情報を含まない情報：上の3社を含む4社の、非公開のページの情報
• 含まれないもの：ferret One のログイン用パスワードと、クレジットカードなど決済の情報は、閲覧・取得の事実を確認していないとしています
• 原因：システムにあった複数の不備（脆弱性）を第三者が組み合わせて悪用したとしています。攻撃の手法の詳しい中身は、同じ攻撃を防ぐため公表を控えるとしています
• 経路：①不正ログイン、②不正ログインを起点にした脆弱性の悪用、③ログインを伴わない脆弱性の悪用の3つ
• 気づくまで：10月13日以降、外からの不審な通信を検知していたものの、防御の仕組みで遮られていたため、その時点では不正ログインとの関係をつかめなかったとしています
• 二次被害：11月4日の時点で確認されていません。ferret One 以外の同社のサービスは、システムが分かれているため影響はないとしています

経緯

• 2026年10月13日〜14日：第三者が、社内向けの処理の管理画面に不正にアカウントを作る
• 10月16日・19日：一部の導入企業のサイトの非公開ページの情報が取得される
• 10月19日の午前：同社と導入企業のアカウントに不正ログインし、情報を閲覧・取得
• 10月21日〜27日：ログインの試みが続くが、いずれも失敗
• 10月26日：不審な通信を調べる中で発見。不正なアカウントの削除と経路の遮断を始める
• 10月27日：第一報を公表。全利用者のログインで2段階認証を有効にする
• 10月28日：不正ログインに関わる不備の修正を終え、個人情報保護委員会と総務省に速報を報告
• 10月29日〜30日：ページ情報への不正アクセスを見つけ、その不備も直す
• 11月4日：調査の結果をまとめた第二報を公表

会社の対応

• 悪用された不備は10月30日までにすべて直したとしています
• 全利用者のログインで2段階認証を有効にし、新しく登録する利用者も標準で有効にしました
• 社内向けの管理機能へのアクセスを絞り、ログインを試せる回数を制限しました
• 今後、ソースコードの脆弱性診断、外部の専門家による疑似的な攻撃での検査、不正な通信と不審なログインの監視の強化、外部の専門機関による調査を行うとしています
• 情報が取られた4社には個別に報告し、本人への対応は各社と相談して進めるとしています。警察にも相談しています

中小企業が今日からできること

• 使っている SaaS の管理者アカウントを棚卸しする：マーケティングや問い合わせの管理に使うサービスで、知らない管理者や使っていないアカウントがないかを確かめ、要らないものは消す
• 2段階認証をすべての担当者に設定する：サービス側で任意になっていても、自社の決まりとして全員に有効にする
• SaaS に預けている問い合わせ・見込み客の情報の量を把握する：何件・どの項目を預けているかを一覧にし、古い問い合わせは定期的に消す
• 「防いだ通信」も見直す：UTM やサービスの記録で、遮断された不審な通信が続いていないかを見る。続いているときは、ログインの記録と合わせて確かめる
• 委託先から報告を受けたときの流れを決めておく：サービスの会社から「情報が取られた」と連絡が来たときに、本人への連絡・個人情報保護委員会への報告を誰がするかを決めておく