メディア4uのSMS配信システムへの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年6月24日、メディア4u は、SMS 配信システム「Aurora SMS CONSOLE」への第三者の不正アクセスを確認しました（メディア4u の2026年7月14日の発表）。 流出したのは、契約企業のアカウントを管理するために同社が持っていた管理コンソールのアカウント管理情報の一覧のファイルで、95,412件（うち個人情報にあたり得るのは22,928件）。アカウント ID・企業名・担当者名・通知用のメールアドレスなどが入っていたとしています。SMS の送り先の電話番号・氏名・本文、パスワード、決済の情報は含まれていないとしています。 特定の1社の契約アカウントを通じて、SMS 280件が不正に送られたことも確認されました。 2026年10月30日（ファブリカHD は11月2日）に最終報を出し、第三者の専門機関の調査で社内の調査と食い違いがないことを確かめ、漏えいの範囲は初報の件数を超えないとしました。6月24日の封じ込めのあと新たな不正アクセスと二次被害はなく、収束したと判断しています。

会社の対応

• 確認の当日に経路を遮断し、ログを保全して外部の専門機関と調査を開始
• 管理用の認証情報をすべて無効にして発行し直し、原因の脆弱性を修正。ログインの監視を強化
• 全契約にパスワードの変更と IP の制限の設定を勧めた（7月17日の第2報）
• ログインに失敗したときに IP アドレスを自動で止める機能の追加と、パスワードの決まりの強化
• 2026年8月1日にセキュリティの対応の専門の組織を設置。診断の範囲の拡大と監視を続けるとしています

この事例から中小企業が学べること

• SMS やメールの配信サービスの管理画面のパスワードを、ほかと使い回さず、IP の制限をかける
• 異動・退職した担当者のアカウントを配信サービスから消す
• 配信サービスが不正に使われ、自社の名前で SMS が届くことに備え、注意の文を用意する
• 委託先から事故の連絡が来たときの社内の受け手と、客へ知らせるまでの日数を決めておく