ユニリタの不正アクセス 続報｜約5.1万件の個人情報の漏えいを確定

システム運用管理ソフトなどを提供するユニリタ（東証スタンダード）は2026年11月11日、社内の SaaS 型の文書管理システムへの不正アクセスについて続報を出し、外部の専門家の調査で分かった漏えいの件数を公表しました（ユニリタの2026年11月11日の発表）。 顧客の従業員や社外の関係者の個人情報は約51,000件です。 ユニリタの製品・サービスの顧客企業と取引先、その従業員、同社の社員・退職者に関係します。

公表された内容

• 漏えいした情報（2026年11月11日の発表、重複を除いた件数）
  • 顧客の従業員・社外の関係者の個人情報 約51,000件（氏名・所属・メールアドレス。マイナンバーは含まない）
  • 契約情報 約6,100件（使用許諾契約・受発注の契約書面の項目）
  • 認証情報 約370件（システムの ID・利用者名など）
  • そのほか約2,500件（見積書・提案書の項目）
  • 同社の社員（退職者を含む）の情報 約910件（氏名・住所・電話番号・メールアドレス・生年月日など）
• 件数は今後の精査で変わる可能性があるとしています
• 攻撃者のサイト：10月12日に盗まれた情報の公開を把握し、削除を求めて削除を確認した。複製が残っている可能性は否定できないとしています。11月11日の時点で、別のサイトでの公開と二次被害は確認されていません
• 原因・手口：システムの名前や攻撃の手法は、さらなる不正アクセスを招くおそれがあるとして公表しないとしています

経緯

• 2026年9月28日：第三者が同社の機密情報を盗んだとする公表を確認し、文書管理システムへの不正アクセスとデータの持ち出しが判明
• 2026年9月29日：第1報を同社サイトに掲載
• 2026年10月9日：適時開示
• 2026年10月14日：第3報。10月12日に攻撃者が盗んだ情報を公開し、そこに同社の情報が含まれていると確認
• 2026年11月11日：続報。漏えいの項目と件数を公表し、残る対象者への通知を11月24日から始めると発表

会社の対応

• 取引先と個人には調査の途中で分かったことから順に連絡しており、残る対象者には2026年11月24日からメールか郵送で知らせるとしています。連絡がつかない人には、この開示で通知に代えるとしています
• 専用の問い合わせ窓口を設け、個人情報保護委員会などへの報告を続けています
• 調査の結果と再発防止策は、調査が終わってから知らせるとしています

中小企業が今日からできること

• 取引先に渡した自社の ID・パスワードを変える：ユニリタに限らず、システムの導入や保守のために取引先へ渡している ID は、事故の知らせがあったらすぐ変えられるよう一覧にしておく
• 社員の名前とメールアドレスを使った詐欺メールに注意する：所属と名前が漏れると、取引先を名乗るもっともらしいメールが届きやすくなります。添付ファイルとリンクは送り主に別の手段で確かめる
• 契約書・見積書を置くクラウドの権限を見直す：誰が見られるかを絞り、多要素認証を付け、退職者のアカウントを残さない
• 取引先からの通知の受け口を決めておく：「御社の社員の情報が漏えいした」という知らせを誰が受け、社員にどう伝えるかを決めておく