--- title: "スカラコミュニケーションズの不正アクセスと最大71万件：管理サイトから他社へ広げない設計" url: "https://www.issoh.co.jp/tech/details/18209/" published: 2026-10-09 updated: 2026-10-09 categories: ["セキュリティ"] publisher: "株式会社一創" --- # スカラコミュニケーションズの不正アクセスと最大71万件：管理サイトから他社へ広げない設計 スカラコミュニケーションズ（以下SC社）は2026年10月6日、FAQシステム「i-ask」の管理サイトに第三者が不正ログインし、同じサーバーで動いていた利用企業最大5社の問い合わせ情報、延べ最大713,126件が漏えいした可能性があると公表しました。10月7日までに大和証券、シチズン時計、損保ジャパン、東武鉄道が利用企業として名乗り出ています。本記事では5つの公表文を突き合わせて範囲を整理し、1回の不正ログインが複数社へ届いた構造を、SaaSを提供する側の実装に落とす内容です。アップロード先でスクリプトを動かさないnginx設定、実行可能なファイルを洗い出すPython、利用企業ごとのデータベース分離、委託先としての通知の順番までを扱います。 ## まとめ：スカラコミュニケーションズの不正アクセスで確定した事実とSaaS事業者の対策 確定しているのは、10月2日20時30分頃から3日8時頃にかけて、i-askの管理サイトへの不正ログインを起点にサーバー上へ不正なプログラムが置かれ、同一サーバー上の利用企業の環境からデータベースの問い合わせ情報が取得された可能性がある、という点です。発覚の契機はデータベースの監視アラートでした。不正ログインに使われた認証情報の入手経路は、10月9日時点で公表されていません。 SaaS事業者が自社の基盤で先に確かめるのは4点です。管理サイトがパスワードだけで入れる状態になっていないか。アップロードしたファイルがサーバー上でプログラムとして動かないか。ある利用企業の環境で動いたプログラムから、他社のデータベースに届かないか。そして侵害時に、利用企業ごとの影響を当日中に言えるか。SC社が再発防止策に挙げた多要素認証、環境間の分離、監視の強化は、この4点にそのまま対応しています。 | 項目 | 公表されている内容 | | ---------- | -------------------- | | 不正アクセスの時間帯 | 10月2日20時33分頃〜3日8時1分頃 | | 起点 | i-ask管理サイトへの不正ログイン | | 対象 | 同一サーバー上の最大5社 | | 件数 | 延べ最大713,126件（重複含む） | | 発覚の契機 | データベースの監視アラート | | 名乗り出た利用企業 | 大和証券・シチズン時計ほか2社 | | 未公表 | 認証情報の入手経路・5社目 | ## SC社と利用企業4社の公表文を時系列で並べる｜10月2日の不正ログインから7日まで ### SC社の10月6日付お知らせで確定した管理サイト経由の侵入と延べ713,126件 [SC社の2026年10月6日付のお知らせ](https://scala-com.jp/news/2026/10-1/)によると、第三者がi-askの管理サイトに不正にログインし、不正なプログラムを設置したうえで、同一サーバー上の利用企業のシステム環境のデータベースから問い合わせ情報を取得した可能性があります。SC社は10月3日朝、データベースの監視アラートを契機に調査を始め、同日8時頃に遮断し、該当する利用企業には同日中に報告しました。 件数の713,126件は問い合わせ単位の延べ件数で、同じ顧客の複数回の問い合わせを重ねて数えています。実際の人数は名寄せ中です。対象の項目は氏名、メールアドレス、問い合わせ内容などで、利用企業によって異なるとされています。SC社は不正ログインに使われたアカウントと全環境の管理者のパスワードを変え、攻撃元IPアドレスを遮断し、アップロードされたファイルをプログラムとして実行できない設定に変えました。 ### 大和証券・シチズン時計・損保ジャパン・東武鉄道の公表で分かれた影響の範囲 利用企業側の公表は10月5日の大和証券から始まり、7日の2社で4社になりました。同じ侵害でも、預けていた項目と影響の有無は社ごとに違います。 | 利用企業 | 公表日 | 使っていた用途 | 公表された範囲 | | ------ | ----- | ---------------- | ----------- | | 大和証券 | 10月5日 | 問い合わせ管理など | 約11万名・約22万件 | | シチズン時計 | 10月6日 | 3ブランドの問い合わせ | 約10万名 | | 損保ジャパン | 10月7日 | SMILING ROADのFAQ | 延べ約6万件 | | 東武鉄道 | 10月7日 | お客さまセンターのフォーム | 閲覧・取得の形跡なし | [大和証券の公表文](https://ssl4.eir-parts.net/doc/8601/tdnet/2891437/00.pdf)は口座番号を含むとし、[シチズン時計のお知らせ](https://www.citizen.co.jp/release/news/detail/2026/20261006.html)は本文に口座やカード情報を書いた場合はそれも対象としています。[損保ジャパンの公表文](https://www.sompo-japan.co.jp/-/media/SJNK/files/news/2026/20261007%5F1.pdf)によれば、事業者向けドライブレコーダー「SMILING ROAD」の問い合わせで、ドライバーID、運転アラートの種別と発生日時、機器のシリアル番号までが対象に含まれるとの説明です。一方で[東武鉄道の公表文](https://www.tobu.co.jp/cms-pdf/news/20261007153424wpo2m-MJPLTJzWJHnUDkVw.pdf)は、現時点の調査で同社に関する情報の閲覧と取得の形跡は確認されていない、とのSC社の報告を載せています。 ### 10月9日時点で未公表のまま残る認証情報の入手経路と5社目の利用企業 管理サイトのログインに使われた認証情報を、攻撃者がどう手に入れたかは書かれていません。脆弱性の悪用か、パスワードの流出か、推測による突破かで、効く対策は変わります。本記事では手口を特定せず、どの経路で入られても被害を広げない設計の側を扱います。 SC社は対象を「最大5社」としており、4社以外の利用企業はまだ名乗り出ていません。SC社は外部の専門機関とフォレンジック調査を進めているため、経路と5社目は調査結果の公表を待つことになります。委託元の担当者が自社側で確かめられるログの範囲は[不正アクセスのログ確認・解析方法](https://www.issoh.co.jp/tech/details/2788/)で整理しています。 ## 1回の不正ログインが最大5社に届いた構造｜同一サーバーと管理サイトの権限 ### 管理サイトへのファイル配置がサーバー上のプログラム実行につながる型 SC社は不正なプログラムの設置方法を明かしていません。ただ、緊急対応にアップロードされたファイルを実行させない設定変更を入れたことは、管理サイトのファイル機能が対策の対象になったことを示しています。 FAQシステムの管理サイトには、回答に添える画像やマニュアルを上げる機能がよくあります。上げたファイルがWebサーバーの公開ディレクトリに置かれ、拡張子が`.php`などならサーバーはそれをプログラムとして実行します。これが一般にWebシェルと呼ばれる型です。[OWASPのFile Upload Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/File%5FUpload%5FCheat%5FSheet.html)は、許可する拡張子を絞ること、保存先をWebルートの外に置くこと、ファイル名をサーバー側で付け直すことを挙げています。管理者が使う機能だからと検査を省くと、管理者の認証が破られた時点でサーバー上の任意の処理に直結します。 ### 同一サーバーに同居した利用企業の環境とデータベースが一度に読まれる理由 SC社の説明では、利用企業ごとに「システム環境」と「データベース」は分かれていました。それでも最大5社に届いたのは、同じサーバーの上で動いていたからです。i-askの内部構成は公表されていないため、ここでは一般的なWebアプリケーションの構造で説明します。 サーバーに置かれたプログラムは、Webサーバーやアプリケーションと同じOSユーザーの権限で動きます。そのユーザーが各社の環境の設定ファイルを読めるなら、ファイルに書かれたデータベースの接続情報も読めます。データベースが社ごとに分かれていても、接続に必要な情報が1つのOSユーザーから全部見えていれば、分離は不正プログラムに対して働きません。分離の効き目は、データベースの単位ではなく、プログラムが動く権限の単位で決まります。 ### 東武鉄道だけが閲覧・取得の形跡なしと報告を受けられた利用企業別ログの粒度 同じ侵害の報告を受けた利用企業のうち、東武鉄道は閲覧と取得の形跡が確認されていないと伝えられました。利用企業ごとにこう言い切るには、どの環境のデータベースに、いつ、どの接続から読み出しがあったかを社ごとに区別できる記録が要ります。 記録がサーバー全体で1本しかなければ、事業者は最大の範囲を全社に伝えるしかありません。データベースの監査ログやクエリの記録を利用企業の単位で分けて保存しておくと、影響の無い利用企業を早く外せます。委託元にとっては、顧客への通知や報告の要否がこの1行で変わります。 ## アップロード領域でプログラムを動かさない｜nginx設定とPythonによる検出 ### nginxのlocationでアップロード先のスクリプト実行を403にする設定例 PHPで動く管理サイトをnginxで配信している場合の例です。[nginxのlocationの仕様](https://nginx.org/en/docs/http/ngx%5Fhttp%5Fcore%5Fmodule.html)では、最も長く一致した前方一致のlocationに`^~`が付いていると、正規表現のlocationは検査されません。これを使うと、アップロード先のURLはPHPの処理に回らなくなります。 ``` # アップロード先（例: /uploads/）はPHPの処理に回さず、スクリプトの拡張子は403で返す location ^~ /uploads/ { location ~* \.(php|phtml|phar|jsp|aspx|cgi|pl|sh)$ { return 403; } } ``` 外側の`^~`だけで、サーバー直下にある`\.php$`の処理用locationには届かなくなります。内側の403は、静的ファイルとしてソースを返してしまうことも防ぐ二重の止めです。反映前に`nginx -t`で構文を確かめ、PHPのテスト用ファイルを置いて403が返ることを確認してください。根本は保存先をWebルートの外に移すことで、この設定は移すまでの間の手当てと位置付けます。 ### 利用企業ごとのアップロード領域から実行可能なファイルを洗い出すPython 設定を変えても、すでに置かれたファイルは残ります。次の例は、利用企業ごとのディレクトリを順に見て、実行されうる拡張子のファイルと、先頭がスクリプトになっているファイルを洗い出すためのコードです。標準ライブラリの[pathlib](https://docs.python.org/3/library/pathlib.html)だけで動きます。 ``` # アップロード領域に置かれた「実行されうるファイル」を利用企業ごとに洗い出す（Python 3.9以上） import sys import time from pathlib import Path EXEC_EXT = {".php", ".phtml", ".phar", ".jsp", ".jspx", ".asp", ".aspx", ".cgi", ".pl", ".sh"} SIGNATURES = (b" list[str]: reasons = [] suffixes = [s.lower() for s in path.suffixes] if any(s in EXEC_EXT for s in suffixes): reasons.append("拡張子 " + "".join(suffixes)) try: with path.open("rb") as f: head = f.read(4096) except OSError: return reasons + ["読み取り不可（ウイルス対策による隔離の可能性）"] if any(head.lstrip().startswith(sig) for sig in SIGNATURES) or b" int: since = time.time() - hours * 3600 hits = 0 for tenant in sorted(p for p in root.iterdir() if p.is_dir()): for path in tenant.rglob("*"): if not path.is_file(): continue reasons = suspicious(path) if reasons: hits += 1 new = "新規" if path.stat().st_mtime >= since else "既存" print(f"[{tenant.name}] {new} {path.relative_to(root)}: {'／'.join(reasons)}") return hits if __name__ == "__main__": root = Path(sys.argv[1]) hours = float(sys.argv[2]) if len(sys.argv) > 2 else 24 sys.exit(1 if scan(root, hours) else 0) ``` 3社分の模擬ディレクトリに6ファイルを置いて`python upload_scan.py 対象ディレクトリ 24`で実行すると、`banner.php.jpg`の二重拡張子、中身が`)（株式会社一創）