UPSIDERは2026年4月10日、4月1日に発生した決済やログイン機能などの停止について、調査結果の続報を公表しました。原因は、同社が利用していたオープンソースソフトウェアに第三者が悪意あるプログラムを混入させ、それを通じて同社環境への不正アクセスが行われたことだと説明しています。
概要
UPSIDERによると、3月24日に当該ソフトウェアを利用したデバイスを起点として攻撃が実行されました。その後、3月31日にクラウドサービス提供元からの通知を受け、システム側の被害防止措置が作動し、同時に社内調査と初期対応を始めたとしています。
その流れの中で、4月1日に決済機能やログイン機能などの停止が発生しました。会社側は、これは攻撃そのものによる停止ではなく、被害の拡大を未然に防ぐための制限措置だったとしています。
影響
現時点の社内調査では、顧客のカード情報について漏えいは確認されていません。UPSIDERは、カード番号 PAN は暗号化 トークン化 されており、暗証番号 PIN とセキュリティコード CVV2 は侵害のあったネットワーク領域には保持していないと説明しています。
また、同社データベースに保管されている顧客の個人情報、法人情報についても、社内調査の範囲では不審なアクセスや漏えいは現時点で確認されていません。ただし、社内調査だけでは検証が難しい領域があるため、外部専門機関を交えた詳細調査を継続するとしています。
情報システム部門が見るべき点
今回の事案が示しているのは、SaaSや金融系サービスであっても、自社開発コードだけでなく、利用しているオープンソースソフトウェアの供給網が攻撃面になり得るということです。特に今回は、悪意あるプログラムが混入したOSSが入口になったと会社自身が説明しており、ソフトウェアサプライチェーン管理の重要性が改めて浮き彫りになりました。
関連記事
テレグラム(Telegram)とは?概要や事例を解説
日本カーソリューションズ、フィッシングメールから社員名簿と連絡先などの情報が流出
法人カード「UPSIDER」で個人情報漏洩 メールの誤送信か
高齢者向けFacebook グループでマルウェアを拡散-端末乗っ取り、資金詐取まで
クラフトビール定期便サービス Otomoni(オトモニ)、最大2万件の個人情報流出の可能性
ランサムウェア グループ Rhysidaが横須賀学院へ不正アクセスし窃取したとする個人情報を公開
WindowsがCrowdStrike(クラウドストライク) のブルースクリーン リカバリーツールをリリース
パスキーとは？メリットや概要を解説
カンタス航空、外部コールセンターのサイバー攻撃で570万人分の個人情報漏洩の可能性
