加賀ソルネット「アカデミコナビ」に不正アクセス、165,587名分の個人情報漏えいを確認 — システムの脆弱性を悪用
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年6月22日に不正アクセスを確認 |
| 公表日 | 2026年7月1日（第一報）／2026年8月17日（第二報）。報道は2026年7月13日および8月24日 |
| 対象組織・業界 | 加賀ソルネット株式会社 EMカンパニー（教育機関向け販売サイト「アカデミコナビ」） |
| 影響件数 | 合計165,587名分（第二報で確定）。氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報。パスワードとクレジットカード情報は含まれない。対象は2021年10月から2026年4月の間に会員登録した保護者または学生の情報 |
| 攻撃手法 | システム上の脆弱性を悪用した第三者による不正アクセス（第二報で判明）。悪用された脆弱性は対策済みとされる |
| 情報源 | 加賀ソルネット 第二報「当社ECサイトに対する不正アクセスに関する続報（第二報）」（2026年8月17日）、第一報、ScanNetSecurity（2026年7月13日）、ScanNetSecurity（2026年8月24日） |
加賀ソルネット株式会社 EMカンパニーは2026年7月1日、同社が運営する販売サイト「アカデミコナビ」が外部からの不正アクセスを受け、顧客の個人情報が流出した可能性があると発表しました。
外部専門機関によるフォレンジック調査と社内調査を経て、同社は2026年8月17日に第二報を公表しました。流出が確認されたのは合計165,587名分の個人データで、対象は2021年10月から2026年4月の間に会員登録した保護者または学生の情報です。
漏えいした項目は氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報です。第一報の時点で「暗号化されたマイページパスワード」が対象に挙げられていましたが、第二報ではパスワードとクレジットカード情報は含まれないと整理されています。
原因はシステム上の脆弱性を悪用した第三者による不正アクセスで、悪用された脆弱性は既に対策済みとしています。再発防止策として、システム基盤の新規構築、アクセス制御の強化、ログ監視体制の強化、脆弱性診断、攻撃表面管理（ASM）の導入、インシデント対応手順の見直しを挙げています。
対象者へは電子メールを送付済みで、未達の場合は書面の郵送を準備中としています。2026年8月17日時点で、本件に起因する被害が確認された事案はないとしています。
委託先の被害が複数の組織に広がった事例は、委託先の被害で影響を受けた企業・自治体の一覧にまとめています。
- 2026年6月22日: 不正アクセスを確認。サイトを一時停止し、アクセス制限を実施
- 2026年6月下旬〜: 外部委託業者と連携して原因調査・システムのログ解析を実施
- 2026年7月1日: 第一報を公表
- 2026年7月13日: 報道により伝えられる。この時点で侵入経路等は調査中
- 2026年7月〜8月: 外部専門機関によるフォレンジック調査と社内調査を実施
- 2026年8月17日: 第二報を公表。漏えい件数を165,587名分と確定し、原因をシステム上の脆弱性の悪用と特定。対象者へ電子メールを送付
- 2026年8月24日: 第二報が報道により広く伝えられる
判明している事実: 2026年8月17日の第二報で、原因はシステム上の脆弱性を悪用した第三者による不正アクセスと公表されました。悪用された脆弱性は既に対策済みとしています。
該当する脆弱性の内容、侵入の開始時期は公表されていません。
本件からの学びを、組織（サービス運営者）と利用者それぞれの視点で整理します。
組織（サービス運営者）が学ぶべきこと
Section titled “組織（サービス運営者）が学ぶべきこと”1. 侵入は前提。検知とログの整備が対応の質を決める
Section titled “1. 侵入は前提。検知とログの整備が対応の質を決める”本件では不正アクセスの確認から即日でサイト停止・アクセス制限に至っており、初動は迅速でした。一方で、影響範囲の特定にはシステムログの解析が中心的な役割を果たします。侵入を100%防ぐことはできない前提に立つと、平時から「ログが取れているか」「異常に気づける監視体制があるか」が、インシデント発生時の被害範囲特定と説明責任の成否を分けます。
2. 決済情報の分離保持は被害限定に有効
Section titled “2. 決済情報の分離保持は被害限定に有効”本件でクレジットカード情報の流出が否定できたのは、決済代行サービスを利用し自社で決済情報を保持していなかったためです。「保持しないことが最大の防御」という設計判断は、EC事業者にとって参考になる実践です。
3. 公表と同時の注意喚起で二次被害の連鎖を断つ
Section titled “3. 公表と同時の注意喚起で二次被害の連鎖を断つ”漏えいした連絡先情報は、漏えい元を装ったフィッシング・なりすましの材料になります。本件で同社は公表と同時に利用者への注意喚起を行っており、二次攻撃への備えという点で参考になる対応です。
利用者が取るべき対策
Section titled “利用者が取るべき対策”1. 漏えい元を装う不審な連絡への警戒
Section titled “1. 漏えい元を装う不審な連絡への警戒”流出した可能性のある氏名・連絡先を使った不審メール・SMS・電話（「パスワード再設定」等への誘導）に注意が必要です。連絡が本物か迷う場合は、メッセージ内のリンクではなく公式サイトから確認してください。
2. パスワードの使い回しの解消
Section titled “2. パスワードの使い回しの解消”第一報では流出項目に「暗号化されたマイページパスワード」が挙げられていましたが、2026年8月17日の第二報では、パスワードとクレジットカード情報は漏えいした情報に含まれないと整理されています。ただしパスワードの使い回しは、他サービスからの流出が起点になった場合にも同じリスクを生みます。同じパスワードを複数のサービスで使っている場合は、この機会に変更しておくのが安全です。
ヤグラの視点 — 「侵入後」を支える体制
Section titled “ヤグラの視点 — 「侵入後」を支える体制”サイバーインシデントの74%は人的要因に起因しますが、本件のような技術的侵入（残りの26%）に対しては、ログを緻密に監視して侵入の兆候に気づけるかが勝負になります。従来の人手中心の監視には構造的な限界があります——監視には人と技術への投資が必要で、ログ監視はどうしても部分的になり、検知から初動までに平均数時間〜数日を要します。
ヤグラの AI SOC は、この構造を変えるためのAIセキュリティアナリストです。
- 横断的なログ監視: FW・Proxy・認証サーバ・EDR・クラウド等のログをデータレイクに集約し、24時間365日AIが横断監視。侵入→権限奪取→横展開→情報窃取という攻撃の各段階を、対応するログの相関で捉えます
- 調査と封じ込めの自動化: アラートをAIが自然言語で分析・切り分けし、分析結果に基づく隔離までを自動実行。検知から初動までを平均数分に短縮します
- 影響範囲の特定を高速化: 本件のようなインシデントで最も時間を要する「どこまで侵入されたか」の解析を、AIによるログの深掘り調査とレポート生成で支援します
「侵入されない」ではなく「侵入されても素早く気づき、封じ込め、説明できる」体制づくりを検討している方は、製品ページをご覧ください。
2026年8月17日の第二報で、件数・項目・原因・再発防止策のいずれも公表されました。対象者への連絡も電子メールで実施済み（未達分は書面の郵送を準備中）で、追加公表の予定は示されていません。
- 参考: 悪用された脆弱性の内容と、侵入の開始時期は公表されていません
| 日時 | 内容 |
|---|---|
| 2026-07-13 | 第一報を公開 |
| 2026-09-05 | 2026年8月17日公表の第二報を反映。漏えい件数を最大約17万件から 165,587名分に確定、原因をシステム上の脆弱性の悪用と特定、漏えい項目を第二報の内容（氏名・住所・電話番号・メールアドレス・会員ID・所属校情報・購入情報。パスワードとカード情報は含まない）に更新。再発防止策（システム基盤の新規構築、ASM導入等）と対象者への連絡状況を追記し、status を investigating から resolved に変更 |
