マーケティングSaaSの株式会社ジーニー、「GENIEE MA」のクラウド計算資源を不正利用され関連損失1億8,100万円を計上
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年5月15日に外部からの不正利用を認識。侵入の開始時期は公表されていない |
| 公表日 | 2026年5月21日（第一報の適時開示）／2026年8月14日（損失の計上）。報道は2026年9月2日 |
| 対象組織・業界 | 株式会社ジーニー（Geniee, Inc.／東証グロース。マーケティングSaaS・アドテクノロジー／情報通信・IT）。対象はマーケティングオートメーション「GENIEE MA」 |
| 影響件数 | 個人情報の漏えいはなし。不正利用に使われたアカウントは「GENIEE MA」内の特定サービスにのみアクセスできるもので、対象となるサービスにおいては個人情報および機密情報の取り扱いはないとされる。金銭面の影響として**不正アクセス関連損失 1億8,100万円（181百万円）**を計上。サーバー提供元との協議を含む精査を経た同社の費用負担額であり、損失額は確定していない |
| 攻撃手法 | 第三者によるクラウド計算資源の不正利用。侵入経路とアカウントが窃取された経緯は公表されていない |
| 情報源 | 株式会社ジーニー「『GENIEE MA』への不正アクセスに関するお知らせ」（2026年5月21日）、同社「その他の費用」の内容についての開示（2026年8月14日）、ScanNetSecurity（2026年5月29日）、ScanNetSecurity（2026年9月2日） |
マーケティングSaaSやアドテクノロジーを手がける株式会社ジーニー（東証グロース）は2026年5月21日、同社が提供するマーケティングオートメーション「GENIEE MA」において第三者による不正アクセスを確認したと開示しました。
判明したのは、第三者によるクラウド計算資源の不正利用です。同社は2026年5月15日に外部からの不正利用を認識して直ちに調査を開始し、判明後に必要な対処を実施しました。現時点で当該の不正利用は停止していることを確認したとしています。
不正利用に使用されたアカウントについて、同社は「GENIEE MA」内の特定サービスにのみアクセスできるもので、対象となるサービスにおいては個人情報および機密情報の取り扱いはないと説明しています。
5月21日の時点で、同社は業績への影響を「精査中」としていました。その後、サーバー提供元との協議を含めて精査を進めた結果、当該事象に起因する同社の費用負担額として、2027年3月期第1四半期（2026年4月1日〜6月30日）に不正アクセス関連損失1億8,100万円（181百万円）を「その他の費用」に計上しています（2026年8月14日開示）。
同社はこの金額を「現時点において合理的に見積もることが可能な金額を計上したもの」とし、「今後の調査および精査の進展等により、最終的な損失額が変動する可能性があります。そのため、現時点では、本件に係る損失額は確定しておりません」と説明しています。この計上による連結業績予想の変更はないとしています。
- 侵入の開始時期: 公表されていない
- 2026年5月15日: 「GENIEE MA」への外部からの不正利用を認識し、調査を開始
- その後: 第三者によるクラウド計算資源の不正利用が判明。必要な対処を実施し、不正利用が停止していることを確認
- 2026年5月21日: 適時開示として第一報を公表。業績への影響は「精査中」とする
- その後: サーバー提供元との協議を含めて精査を進める
- 2026年8月14日: 2027年3月期第1四半期に不正アクセス関連損失1億8,100万円を「その他の費用」に計上。連結業績予想の変更はないとする
- 2026年9月2日: 報道により広く伝えられる
判明している事実: 「GENIEE MA」内の特定サービスにアクセスできるアカウントが第三者に使われ、クラウド計算資源が不正に利用されたことです。そのアカウントがどこから、どのように第三者の手に渡ったのか、侵入の開始時期、不正利用が何に使われていたのかは、いずれも公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”この事案で盗まれたのは、データではなく処理する力です。クラウドは使った分だけ課金される仕組みなので、他人の環境で計算を回せば、その費用は環境の持ち主に請求されます。計算資源を大量に必要とする用途としては暗号資産の採掘などが知られていますが、本件で何に使われていたかは公表されていません。
被害額が1億8,100万円という規模に達している点からは、不正利用がある程度の期間続いていたことが読み取れます。5月15日に認識したのが「外部からの不正利用」であって「侵入」ではないという書き方も、使われている状態のほうが先に目に付いたことを示していると考えられます。
金額が確定しない理由は、同社の説明のなかに出てきます。精査には「サーバー提供元との協議」が含まれていたとされ、計上されたのは当該事象に起因する「当社の費用負担額」です。つまり、不正に使われたぶんの課金をどこまで自社が負うかは、事業者とのやりとりを経て決まる部分があることになります。使われた量を積み上げる作業に加えて、その扱いを協議する時間も必要だったため、5月の認識から8月の計上まで3か月かかったとみられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 守る対象の一覧に、データだけでなく「使える資源」を入れる
Section titled “1. 守る対象の一覧に、データだけでなく「使える資源」を入れる”個人情報の棚卸しは多くの組織で行われていますが、クラウドの計算資源、ストレージ、外部APIの呼び出し枠といった「使われると費用が発生するもの」まで数えている組織は多くありません。本件では個人情報の漏えいはなく、それでも1億8,100万円の損失が出ています。守るべきものを情報だけで定義していると、この形の被害は想定の外に置かれます。
2. 使用量のしきい値を決めて、超えたら通知させる
Section titled “2. 使用量のしきい値を決めて、超えたら通知させる”クラウドの利用量は、事業者側の管理画面で時間単位の推移として見られます。普段の業務であれば計算資源の使用量には上限の目安があり、そこを大きく超えれば異常として拾えます。中身を解析する必要はなく、しきい値を置いて通知させるだけで気づける種類の異常です。請求書が届いてから気づく状態と、その日のうちに気づく状態では、金額が変わります。
3. 不正利用された分の課金をどう扱うか、事業者との間で先に確認しておく
Section titled “3. 不正利用された分の課金をどう扱うか、事業者との間で先に確認しておく”同社の精査には「サーバー提供元との協議」が含まれ、計上されたのは協議を経た自社の費用負担額でした。不正利用によって発生した課金の全額を、必ず利用者が負うとは限りません。契約上どういう扱いになるのか、申し出の窓口と期限はどこにあるのか。事案が起きてから調べ始めると、金額の確定はそのぶん先に延びます。取引条件を確認しておく対象に、この項目を入れておく必要があります。
ヤグラの視点 — 発見までの時間：止めるまで、課金は増え続ける
Section titled “ヤグラの視点 — 発見までの時間：止めるまで、課金は増え続ける”この形の被害は、止めるまで増え続けます。データの持ち出しなら、出たものは出たきりでそれ以上は増えません。計算資源は違います。気づかずに置いた時間が、そのまま金額になります。1億8,100万円という数字は、使われた量の積み上げです。
にもかかわらず、情報の持ち出しを見張る監視には、この動きは映りません。異常として現れるのは、リソースの使用量、見慣れない地域からのAPI呼び出し、普段は動かない時間帯の処理といった別の記録のほうです。それらを人手で毎日突き合わせるのは、人員の問題として成り立ちません。散らばった記録を1か所に集めてAIが常時見る、検知から初動までを数時間〜数日ではなく数分の単位に引き下げる——被害額が時間に比例して積み上がる攻撃では、この差がそのまま金額の差になります（→ ヤグラ AI SOC）。
- 損失額の確定と、サーバー提供元との協議の結果
- アカウントが第三者に渡った経緯と、侵入の開始時期
- 不正利用が続いていた期間
- 再発防止策の公表内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-03 | 2026年5月21日の適時開示、2026年8月14日の「その他の費用」に関する開示および2026年9月2日の報道をもとに記事を公開 |