NEXT STAGEの不正アクセス｜公表と続報のまとめ

何が起きたか

2026年10月13日、NEXT STAGE は、社内業務で使っている BI ツール（Metabase 社のもの）に第三者がアカウントを不正に使ってアクセスし、同社サービスのデータベースを検索できる状態だったと公表しました（NEXT STAGE の発表）。 不正アクセスの期間は2026年9月22日〜10月9日で、気づいたのは10月9日です。関係するサービスは Qualiz（旧 GenKan-NS・TeiKan-NS を含む）と ACRO5 です。 漏えいのおそれがあるのは、取引先と認定現場監査士の氏名・電話番号・メールアドレスなど最大約40,000件です。旧 GenKan-NS・TeiKan-NS は認証情報も、認定現場監査士は住所・生年月日・資格・血液型も含むとしています。データの更新・削除はできない状態だったとしています。

会社の対応

• 対象のアカウントを止め、関係するデータベースへのアクセスを制限
• アクセスの記録などを調べ、個人情報保護委員会へ報告
• 関係する顧客に早めに状況を知らせるとしています
• 対象システムの脆弱性の改修、監視の強化、ネットワークのアクセス権限の見直しを行うとしています

この事例から中小企業が学べること

• 社内で立てた BI・集計ツールも、外に出ているシステムとして管理し、修正版を当てる
• 集計ツールに持たせるデータベースの権限を、要る項目の読み取りだけに絞る
• ツールのアカウントの一覧を定期的に見て、見覚えのないものを消す
• 取引先に発行している ID・パスワードが漏れたときの連絡の手順を決めておく