エコカーパック、車検チェーン店の顧客管理システムPWが海外攻撃で流出
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年8月30日（パスワード流出） / 9月3日（発覚） |
| 対象組織・業界 | 株式会社エコカーパック（車検のコバック 一関川崎店・一関インター店 / 車検チェーン店） |
| 攻撃手法 | 海外からのサイバー攻撃による認証情報流出 |
| 情報源 | Security NEXT（2025年12月5日） |
「車検のコバック」フランチャイズ加盟店の一関川崎店・一関インター店を運営する株式会社エコカーパックは、顧客管理システムのログインパスワード1件が、海外からのサイバー攻撃により流出したことを公表しました。発覚のきっかけは、Googleパスワードマネージャーからのパスワード侵害警告でした。
対象アカウントを無効化し、パスワード運用を見直した結果、現時点で不正ログインや外部での情報の流通・不正利用は確認されていません。ただし顧客管理システムには、氏名・連絡先・車検証記載情報が保存されており、認証情報流出のインパクトは軽視できません。
- 2025年8月30日: 海外からのサイバー攻撃により、顧客管理システムのパスワード1件が流出
- 2025年9月3日: Googleパスワードマネージャーからパスワード侵害警告を受け、事態が発覚
- 発覚後: 対象アカウントを無効化し、パスワード見直しを実施
- 発覚後の調査: 不正ログイン・外部での情報流通・不正利用は確認されず
- 2025年12月5日: Security NEXTが報道。同社が経緯を公表
流出したパスワードそのものが「どのようにして」攻撃者の手に渡ったかは公表されていません。同社は「海外からのサイバー攻撃」と説明していますが、具体的な攻撃経路（情報窃取型マルウェアへの感染・フィッシングでの認証情報詐取・パスワードの使い回し先で発生した侵害の流用など）は明らかにされていません。
考えられる原因（推測）: 従業員のPCが情報窃取型マルウェア（InfoStealer）に感染し、ブラウザ保存の認証情報が抜かれた、あるいはプライベート含む他サービスとパスワードを使い回していたアカウントが別サイトの侵害で漏えいし、パスワードリスト型攻撃で照合された、といったシナリオが考えられます。Googleパスワードマネージャーが警告を出せた点から、流出したパスワードがダークウェブ等の漏えいデータベースに掲載されたことは確度が高い状況です。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「1件」の認証情報流出でも公表判断された事実の重さ
Section titled “1. 「1件」の認証情報流出でも公表判断された事実の重さ”実害としては1アカウント・パスワード1件のみで、不正ログインも確認されていない事案です。それでも公表判断された背景には、顧客管理システムへのアクセス権を持つ認証情報が漏れた時点で「顧客情報流出のリスクが顕在化した」と評価する姿勢があります。フランチャイズ加盟店単位で顧客情報を扱う事業者にとって、認証情報の管理は「システムそのものの防御」と同等の重みで見るべきです。
2. パスワードマネージャーからの侵害通知を活かせるかどうか
Section titled “2. パスワードマネージャーからの侵害通知を活かせるかどうか”本件はGoogleパスワードマネージャーの警告という、無料で得られる侵害通知シグナルが決め手になりました。同種のサービス（1Password Watchtower、iCloudキーチェーン、Have I Been Pwned等）を業務PCで有効化し、警告が出た際に情シスへ即エスカレーションできる仕組みは、コストゼロで初動速度を上げる有効な手段です。従業員教育の中で「パスワード警告が出たら情シスに連絡」を明示的にルール化する価値があります。
3. 顧客情報流出リスクの二次波を先読みする
Section titled “3. 顧客情報流出リスクの二次波を先読みする”顧客管理システムには氏名・連絡先・車検証情報が入っており、これらは車検業界を装ったフィッシング・オレオレ詐欺の材料になりうる情報です。実際の不正利用が確認されていない今の段階でも、対象顧客に「万一、当店を騙る不審連絡が来た場合の連絡先」を案内するなど、二次被害が現れる前の予防的通知が信頼維持の鍵になります。
ヤグラの視点 — 二次攻撃の連鎖を断つ：認証情報流出が「1件」でも次の攻撃準備は進む
Section titled “ヤグラの視点 — 二次攻撃の連鎖を断つ：認証情報流出が「1件」でも次の攻撃準備は進む”認証情報の流出は、それ自体が終着点ではなく次の攻撃の入り口です。「不正ログインは確認されていない」という現時点のステータスは、流出したパスワードで攻撃者が別アカウントに横展開を試みる、あるいは顧客情報を材料に対顧客フィッシングを組み立てる時間軸で見れば、まだ被害が「起きていないだけ」の可能性があります。
「同じパスワードを社内の誰が使っていたか」「同じ攻撃キャンペーンで他のメールが誰に届いていたか」を素早く特定し、二次波が本格化する前に封じ込める仕組みが必要です。ヤグラの PhishAI は、報告された不審メールをAIが分析し、同種メールの社内到達範囲・認証情報入力の有無まで自動調査することで、1件の流出を「1件で止める」ための連鎖遮断を支援します。
同社は対象アカウントを無効化し、パスワード運用の見直しを実施済みです。ただし、流出経路（マルウェア感染か・使い回し先の侵害か）が公表されていないため、根本原因が絶たれていない可能性が残ります。他店舗（車検のコバック加盟店全体）での同種チェックの有無を含め、続報を注視します。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（2025年12月5日の公表を元に、アーカイブ整備の一環として記事化） |