ケイ・ウノ、不正アクセスでシステム操作の可能性 — オンラインサービス新規利用を一時制限
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年12月29日17時半〜21時頃 |
| 対象組織・業界 | ケイ・ウノ（ジュエリー・時計の製造販売） |
| 攻撃手法 | 不正アクセス（経路は未公表） |
| 情報源 | Security NEXT（2026年1月6日） |
ジュエリーと時計の製造販売を手がけるケイ・ウノは、2025年12月29日17時半から21時頃にかけて不正アクセスを受け、システムの一部が操作された可能性が高いことを、2026年1月6日に公表しました。
同社はオンラインサービス「お試しデザイン提案サービス」と「ネットでオーダーメイド」の新規利用を一時制限し、管理者パスワード変更・セキュリティ強化を実施のうえ、ログ解析と影響範囲の特定を進めています。個人情報の外部流出の痕跡は現時点で確認されていません。
- 2025年12月29日17時半〜21時頃: 不正アクセス発生
- 不正アクセスの経路を遮断
- 管理者パスワード変更・セキュリティ強化を実施
- 外部協力のもと調査を実施
- 2026年1月6日: Security NEXTが報道
- オンラインサービスの新規利用を一時制限中
侵入経路については記事に明記されておらず、「不正アクセスの経路を遮断」した旨のみ記載されています。「システムの一部が操作された可能性が高い」という表現から、認証を伴う何らかの管理系機能への不正アクセスが示唆されます。
考えられる原因（推測）: 「システムの一部が操作された」「管理者パスワードを変更した」という文脈から、(a) 管理画面への認証情報流用（パスワードリスト攻撃・使い回し）、(b) 管理系アカウントを狙ったフィッシング、(c) 公開管理画面への総当たり、が典型的な経路として考えられます。17時半〜21時という時間帯は、業務終了後で監視の目が薄くなる時間でもあり、攻撃者側がタイミングを選んで実行した可能性もあります。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「新規利用の一時制限」という被害緩和策
Section titled “1. 「新規利用の一時制限」という被害緩和策”本件でケイ・ウノは、オンラインサービス全停止ではなく「新規利用の一時制限」を選択しています。既存顧客の利用は継続しつつ、新たな不正アクセスの入り口を絞る、という段階的な対応で、事業影響と安全確保のバランスを取る判断として合理的です。
2. 短時間（3.5時間）の不正アクセスでもシステム操作は可能
Section titled “2. 短時間（3.5時間）の不正アクセスでもシステム操作は可能”本件の不正アクセス時間は17時半〜21時頃の約3.5時間という短時間ですが、その間に「システムの一部が操作された可能性が高い」状態に至っています。攻撃者が短時間で目的を果たすことが可能な、目的の明確な攻撃だった可能性があります。「短時間だから被害は限定的」ではなく、目的次第で短時間でも重大な操作が完了することを前提とした検知体制が求められます。
3. 「流出痕跡なし」を証明するログの残し方
Section titled “3. 「流出痕跡なし」を証明するログの残し方”「個人情報の外部流出の痕跡は確認されていない」との説明ですが、これが「アウトバウンド通信のログを見て、外部への転送がなかったことを確認した」ことなのか、「そもそも該当ログが不足していて確認できない」ことなのかで意味は大きく異なります。前者を証明するには、アウトバウンド通信・DB書き出し・大量ダウンロードのログを平時から取得している必要があります。
ヤグラの視点 — クリック率でなく報告率をKPIに：異常に気づいた人が声を上げやすい組織か
Section titled “ヤグラの視点 — クリック率でなく報告率をKPIに：異常に気づいた人が声を上げやすい組織か”本件で興味深いのは、被害検知の契機が具体的に公表されていないことです。しかし「システムの一部が操作された可能性が高い」と気づけたということは、何らかの異常が検知される仕組み・気づきの経路があったことを示します。
多くのインシデントは、監視ソフトが警告を出す前に、現場の誰かが「なんか変だ」と気づくタイミングがあります。管理画面のログイン履歴、注文データの不整合、システム挙動の違和感——それを「これは報告すべきかどうか」で迷わせず、すぐに報告できる文化があるかどうかが、初動の速さを決めます。
セキュリティ訓練のKPIとして「フィッシング訓練のクリック率」を追いかける組織は多いですが、より重要なのは「不審に気づいたときに報告する率（報告率）」です。訓練で報告した人を評価し、報告のハードルを下げ、「叱らない文化」を築くことが、実戦での初動速度に直結します。
ヤグラの ヤグラ アウェアネス は、訓練でクリックした従業員にAIが自動で教育フォローする仕組みを持ち、「怒られる」ではなく「学ぶ」体験に置き換えます。同時に、PhishAI のワンクリック報告と組み合わせることで、報告のハードルそのものを下げ、報告率をKPIにできる基盤を作れます。
ログ解析と影響範囲特定の進捗、オンラインサービスの新規利用制限の解除タイミングが焦点です。外部流出の有無の確定も継続調査中です。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（1月6日Security NEXT報道時点） |