シンカのサービス紹介サイトへの不正アクセス｜公表と調査結果のまとめ

何が起きたか

2026年8月24日、シンカ（東証グロース、証券コード149A）は、サービス紹介サイト（kaiwa.cloud）のサーバーに複数の不正なプログラムが置かれていることに気づきました。翌25日に、そのうち1つがサーバーから情報を取り出せるものだと確かめ、26日に関係する4つのサイトを止め、28日に第一報を出して個人情報保護委員会に速報しました。対象になり得たのは、セミナー・ウェビナーの申し込みや問い合わせをした人の氏名・会社名・メールアドレス・電話番号などです。

9月17日の調査結果の開示によると、デジタルフォレンジックの専門会社が調べた結果、不正なプログラムがデータを外に送った形跡はなく、個人情報の漏えいは確認されませんでした。原因は、サイトで使っていたCMSのプラグインの脆弱性を突かれ、サーバーに侵入されて不正なプログラムを置かれたことと特定しています。クラウド電話のサービス「カイクラ」は別の環境で動いており、影響はないとしています（シンカの2026年9月17日の開示）。

会社の対応

• 安全を確かめた新しいサーバーにサイトを移し、9月1日までに順次再開。9月2日に警察に相談し、9月17日に個人情報保護委員会へ確報
• 管理画面などの認証の情報を全部変え、管理画面に追加の認証を設定。改ざんを検知して知らせる仕組みを入れた
• サイトで受け取った個人情報をサーバーからすべて消し、サーバーに残さない設定に変えた
• 今後は、サーバーの管理が要らない SaaS 型の CMS に移り、古い環境を止めて消す。管理のアカウントの権限の基準を決め、定期的に見直すとしています

この事例から中小企業が学べること

• 自社のサイトのCMSとプラグインを一覧にし、使っていないものは消し、残すものは更新を当て続ける
• 問い合わせフォームで受けた個人情報を、サイトのサーバーに残したままにしない
• サイトのファイルが書き換えられたら知らせが来る仕組み（改ざんの検知）を入れる
• サービス紹介サイトと本業のサービスの環境・管理者・認証を分け、サイトが侵入されても本業に及ばない形にする