東芝テック、クラウド型専門店向本部システム「ShopCraft」で他社の顧客情報が閲覧可能に — 手順書への管理者アカウント誤記載で382,123名分が約3か月間
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年3月26日〜2026年6月23日（閲覧できる状態が続いていた約3か月間） |
| 公表日 | 2026年8月3日（報道は2026年8月24日） |
| 対象組織・業界 | 東芝テック株式会社（クラウド型専門店向本部システム「ShopCraft」を提供／情報通信・IT） |
| 影響件数 | 382,123名分。氏名、生年月日、性別、住所、電話番号、メールアドレス |
| 攻撃手法 | 攻撃なし。特定のユーザー1社向けに作成した手順書に管理者権限を有するアカウント情報を誤って記載しており、そのアカウントを使うと同一サーバに登録された他のユーザーの顧客情報を閲覧できる状態だった |
| 情報源 | 東芝テック「顧客情報への不適切なアクセスが可能な状態となっていたことに関するお知らせ」（2026年8月3日）、ScanNetSecurity（2026年8月24日） |
東芝テック株式会社は2026年8月3日、同社が提供するクラウド型専門店向本部システム「ShopCraft」の一部のサーバで、特定のユーザー1社が、同一のサーバに登録されていた他のユーザーの顧客情報を閲覧できる状態にあったと公表しました。
原因は、同社がそのユーザー1社向けに作成した手順書に、管理者権限を有するアカウント情報を誤って記載していたことです。この手順書に書かれたアカウント情報を使うと、通常はアクセスできない他のユーザーの顧客情報まで閲覧できる状態になっていました。
閲覧できる状態にあったのは2026年3月26日から6月23日までの約3か月間です。対象となったのは382,123名分の氏名、生年月日、性別、住所、電話番号、メールアドレスです。
同社は6月23日に問題を把握し、同日に当該アカウントの無効化とパスワードの変更を実施しました。関係するユーザーへの説明を行い、当該特定のユーザー1社からは対象情報を閲覧していない旨の確認を得ています。個人情報保護委員会への報告も実施し、不正利用などの被害は確認されていないとしています。
- 2026年3月26日: 特定のユーザー1社が他のユーザーの顧客情報を閲覧できる状態となる
- 2026年6月23日: 問題が判明。判明の契機は公表されていない
- 2026年6月23日: 当該アカウントを無効化し、パスワードを変更
- その後: 関係するユーザーへ説明を実施。当該ユーザーから対象情報を閲覧していない旨を確認。個人情報保護委員会へ報告
- 2026年8月3日: 東芝テック株式会社が公表
- 2026年8月24日: 報道により広く伝えられる
判明している事実: 特定のユーザー1社向けに作成した手順書に、管理者権限を有するアカウント情報を誤って記載していたことです。誤記載が起きた工程、手順書がどのように点検されていたか、6月23日に判明した契機は、いずれも公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”誤記載そのものは一度の作業ミスです。ただし、そこから382,123名分という規模になった理由は別にあります。手順書に載っていたアカウントが、同一サーバに登録された他のユーザーの顧客情報にまで届いていたからです。書き間違いがなければ露出しなかったとしても、テナントの境界を越えられる管理者アカウントが存在していたこと自体は、誤記載とは別の事実として残ります。
閲覧の有無について、同社は当該ユーザーから「閲覧していない旨の確認」を得たと説明しています。自社のアクセス記録から閲覧がなかったことを示したとは書かれていません。3か月分のアクセスを後から追える記録があったかどうかは、公表内容からは判断できません。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 手順書とマニュアルを、認証情報が載りうる文書として点検する
Section titled “1. 手順書とマニュアルを、認証情報が載りうる文書として点検する”設定手順や運用マニュアルは、動くものを作るために書かれるので、実際に使ったアカウントとパスワードがそのまま例示として残りやすい文書です。顧客に渡す文書を、コードやリポジトリと同じ「認証情報が混入しうる場所」として扱い、渡す前に機械的に検査する。人が読み返して気づくかどうかに委ねると、急いでいるときに抜けます。
2. 他社のデータまで届く管理者アカウントを棚卸しする
Section titled “2. 他社のデータまで届く管理者アカウントを棚卸しする”対象が38万件規模になったのは、1つのアカウントが同じサーバに載っていた他社のデータにまで届いたためです。複数の利用者が同じ基盤を共有するサービスでは、こうしたアカウントが何個あり、誰に渡っていて、最後に見直したのはいつかを答えられる必要があります。運用や保守のために作った便利なアカウントほど、台帳から漏れます。
3. 見られたかどうかを、自社の記録で確かめる
Section titled “3. 見られたかどうかを、自社の記録で確かめる”同社が「閲覧されていない」と言えている根拠は、当該ユーザーからの回答です。回答が正確だったとしても、確かめたのは相手であって自社ではありません。誰がどのデータをいつ参照したかの記録が残っていれば、3か月分を自社の側から検証できます。しかもテナントをまたぐ参照は通常の運用では起きないので、記録さえあれば探すのは難しくありません。対象者に伝える「見られていません」の裏づけが自社の記録か相手の回答かで、その一文の重みは変わります。
- 2026年6月23日に問題が判明した契機
- 閲覧の有無について、アクセス記録による確認が行われるかどうか
- 再発防止策の公表内容
- 対象となった382,123名への通知の範囲と方法
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-08-24 | 2026年8月3日の公表内容および2026年8月24日の報道をもとに記事を公開 |