ANAグループOCS、海外在住者向け通販「FAMILY LINK SERVICE」がサイバー攻撃で個人情報流出の可能性
| 項目 | 内容 |
|---|---|
| 発生日 | 未公表（2026年7月23日にシステム不具合として検知・停止） |
| 対象組織・業界 | 株式会社OCS（ANAグループ・国際輸送／海外向け通販） |
| 攻撃手法 | サーバへのサイバー攻撃（詳細未公表） |
| 情報源 | Security NEXT（2026年7月28日） / OCS第1報 / OCS第2報 |
ANAグループで国際輸送を手がける株式会社OCSは、海外居住者向けショッピングサイト「OCS FAMILY LINK SERVICE」で発生したシステム不具合について、外部からのサイバー攻撃によるものであり、個人情報・データの一部が外部へ流出した可能性があることを2026年7月24日の第2報で公表しました。
「OCS FAMILY LINK SERVICE」は海外で暮らす日本人向けに、日本の食品・日用品・医薬品・新聞・雑誌・書籍などを販売・配送するショッピングサイトで、個人利用に加え海外駐在員向けの福利厚生サービスとしても利用されているのが特徴です。
- 2026年7月23日: 第1報
- サイト「OCS FAMILY LINK SERVICE」でシステム不具合が発生、サービスを一時停止
- 2026年7月24日: 第2報
- 同社が管理・運用するサーバに外部からサイバー攻撃が行われたと判明
- 一部の個人情報・データが外部へ流出した可能性を公表
- 関連ネットワークを緊急遮断し、警察と連携して調査継続
侵入経路・具体的な攻撃手法は公表されていません。ランサムウェア感染・身代金要求への言及は現時点でなく、「サーバに対する外部からのサイバー攻撃」との説明に留まっています。
考えられる原因（推測）: 会員制ECサイトへの攻撃としては、(a) 公開Webアプリケーション（フォーム・APIエンドポイント）の脆弱性悪用、(b) 管理画面・運用アカウントの認証情報窃取、(c) サイトを支えるSaaS／ミドルウェアの脆弱性、が典型です。海外在住者を対象とするECという特性上、海外拠点から日本の運用基盤へ跨る認証・通信経路が攻撃面となっていた可能性も考えられます。
影響を受けた情報
Section titled “影響を受けた情報”- 種類: 未公表
- 件数: 未公表
- 対象期間: 未公表
第2報時点で、影響を受けた個人情報の項目・件数は明らかにされておらず、調査継続中とされています。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「システム不具合」→「サイバー攻撃」の1日
Section titled “1. 「システム不具合」→「サイバー攻撃」の1日”第1報（7月23日）から第2報（7月24日）まで1日。「システム不具合」の初期通知から「サイバー攻撃・情報流出可能性」へ切り替わる期間は、対象顧客への影響通知の速度を大きく左右します。本件のように24時間以内に判定を切り替えられたのは、初期切り分けと調査体制が機能した結果と評価できます。
2. グループ子会社の公開Web資産が攻撃面になる構造
Section titled “2. グループ子会社の公開Web資産が攻撃面になる構造”ANAグループの本体でなく、国際輸送子会社が運営する海外向け通販が攻撃対象となっています。大手グループの「本体は守れていても、周辺の子会社・関連サービスが手薄」というのは繰り返し起きているパターンで、グループ全体のセキュリティレベルは「最も守りが薄い子会社・サービス」で決まります。
3. 「海外向け」サービス特有のリスク
Section titled “3. 「海外向け」サービス特有のリスク”海外居住者向けECは、日本の運用基盤に対し海外拠点からアクセスする構造をとることが多く、通常のアクセスに海外IPが多数含まれるため、攻撃元の海外IPを異常検知でフィルタしにくい特徴があります。海外拠点・海外顧客が多いサービスでは、地理ベースの検知ルールに頼らない攻撃検知が求められます。
ヤグラの視点 — 攻撃面の拡張：グループ子会社の公開Web資産をどう俯瞰するか
Section titled “ヤグラの視点 — 攻撃面の拡張：グループ子会社の公開Web資産をどう俯瞰するか”大手グループのセキュリティ運用でしばしば起きるのが、「本体は守られているが、子会社・関連会社の公開サービスが把握し切れていない」という状況です。子会社ごとに開発・運用が委ねられ、グループCSIRTがすべての公開資産を掌握できていない、というのは珍しくありません。
この構造への処方箋は、①公開資産の棚卸し（ドメイン・IP・第三者接続を含めた全網羅）と、②到達可能性の観点での優先順位付け（すべての脆弱性を潰すのは不可能だが、攻撃者が実際に到達できる公開資産に絞ればハンドリング可能）です。「攻撃者が実際に到達できるリスクだけを特定する」という考え方は、脆弱性管理の実務を現実的な規模に収めるための前提になりつつあります。
また、侵入検知後の初動と影響範囲特定については、ヤグラの AI SOC が、複数拠点・複数SaaSにまたがるログを横断相関して「どのサーバのどのアカウントから、何が持ち出されたか」を短時間で説明可能な状態にします。
同社は個人情報保護委員会への報告・警察との連携を進めており、影響を受けた情報の種類・件数の続報を注視します。海外在住顧客への通知手段（多言語・国境をまたぐ）にも運用課題があり、続報の対応体制も注目点です。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（7月24日の第2報時点） |