ソフツー、検証用サーバの索引データが削除される事象 — セキュリティ環境と第三者プログラム仕様が重なり発生
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年6月22日（公表日） |
| 対象組織・業界 | 株式会社ソフツー（クラウドPBX等のIT・通信サービス） |
| 事案種別 | 検証用サーバ上のデータベース索引データ削除 |
| 情報源 | ScanNetSecurity（2026年7月9日） |
株式会社ソフツーは2026年6月22日、同社の一部検証用サーバにおいて、データベースの検索に用いる索引データが削除された事象を公表しました。同社によれば、この事象は「検証用サーバ固有のセキュリティ環境と、当該サーバで使用していた第三者プログラムの仕様が重なったこと」により発生したとされています。
本番環境ではなく検証環境に限定される事象ですが、通信記録の侵害の可能性についても指摘されており、対象電話番号の確認方法が同社から提供されています。侵入者による意図的な攻撃と特定されているのか、それとも第三者プログラムの動作による意図せぬ削除かは、公表内容からは明確に読み取れません。
- 2026年6月22日: 検証用サーバの索引データ削除事象を公表
- 公表後: 対象電話番号の確認方法を提供、通信記録侵害の可能性について注意喚起
- 2026年7月9日: ScanNetSecurityが報道
同社の説明:
- 検証用サーバ固有のセキュリティ環境と、当該サーバで使用していた第三者プログラムの仕様が重なった
具体的にどの第三者プログラムか、どのようなセキュリティ環境の設定が影響したかの詳細は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”以下は公表事実から考えられる仮説であり、同社が公表したものではありません。
- 検証環境の緩い統制: 検証用サーバは本番環境と比べて、権限管理・アクセス制限・監視の適用が緩い場合が多く、第三者ツールが想定外の権限で動作した結果、意図せずデータを削除した可能性が考えられます
- 第三者プログラムの誤った権限付与: 検証中の第三者プログラム（テスト対象ライブラリ・ミドルウェア）に対して、開発検証の便宜上、広い権限（データベース管理者権限等）が与えられていた可能性
- 意図的な攻撃と偶発的削除の判別困難: 通信記録の侵害可能性が並行して示唆されている点は気になります。索引データ削除が単なるバグ・仕様の相互作用の結果なのか、それとも攻撃者による証跡消去（アンチフォレンジック）の一環なのかは、ログの詳細調査でしか判別できません
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「検証環境」は本番環境と地続きのリスクを持つ
Section titled “1. 「検証環境」は本番環境と地続きのリスクを持つ”検証環境は「本番と切り離されているから安全」と考えられがちですが、同じデータの一部・同じアカウント体系・同じネットワーク経路を持つケースが多く、攻撃面としては本番と地続きです。特に本件のように「通信記録の侵害可能性」が併記される事案では、検証環境が本番のトラフィック情報にアクセスできる設計になっていた可能性があります。検証環境のデータの持たせ方（実データ or マスク済みデータ）、権限の絞り込み、ログ収集を本番同等に設計する運用が求められます。
2. 第三者プログラム導入時の権限最小化
Section titled “2. 第三者プログラム導入時の権限最小化”検証中の第三者プログラム・ライブラリ・SaaSに対して、「動かすためにとりあえず広い権限」を与えるのは検証プロジェクトの典型的な運用ですが、そのプログラムが想定外の動作をした時のブラスト半径を決めるのは付与された権限です。検証段階でも、必要最小権限（Least Privilege）で試すことが、意図せぬ削除・改変の被害を局所化します。
3. 「削除」と「侵害」の判別ログ
Section titled “3. 「削除」と「侵害」の判別ログ”索引データが「削除された」という事象について、削除操作を実行した主体（プログラム名・実行ユーザー・実行時刻）を後から追跡できるログがあるかが、原因究明の質を左右します。データベース監査ログ・OSレベルのプロセス実行履歴・ネットワークログを揃えておけば、「バグによる削除」なのか「攻撃者による削除」なのかを事後に判別できます。
ヤグラの視点 — 攻撃者のいないインシデントも「攻撃と同じ調査」で捉える
Section titled “ヤグラの視点 — 攻撃者のいないインシデントも「攻撃と同じ調査」で捉える”本件は、外部からの攻撃と断定されていない事象です。「第三者プログラムの仕様と検証環境の相互作用」——つまり攻撃者のいないインシデントの可能性が示唆されています。しかし、通信記録の侵害可能性も並行して指摘されており、「攻撃ではない」と結論づけるにも、攻撃と同水準の調査が必要という難しさがあります。
攻撃者のいないインシデントは、SIEM・EDRなどの攻撃検知型セキュリティツールでは捕捉されません。設定不備・仕様の相互作用・想定外のプログラム動作などは、「異常な通信」「不審な挙動」の検知シグネチャに引っかからないためです。捉えるには、正常な状態（ベースライン）を継続的に学習し、「正常ではない状態」に気づける監視——正常/異常の判定を、シグネチャではなく状態変化で行う枠組みが有効です。ヤグラの AI SOC は、100+の連携先ログをデータレイクに集約してベースラインとの差分をAIが継続監視する設計で、攻撃・非攻撃の両方の「状態異常」を早期に捕捉することを目指しています。
同社は原因調査を継続中。第三者プログラムの特定、削除の技術的経緯、通信記録の侵害可能性の確定・否定に関する続報を注視し、判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-03 | 初稿公開（アーカイブキュレーション batch25） |