ソディック、サーバー不正アクセスの調査結果を公表ネットワーク機器の脆弱性を悪用|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月06日更新日時: 2026年08月06日

株式会社ソディックは2026年8月5日、同年5月に公表していた同社サーバーへの不正アクセスについて、外部専門機関による調査が完了したとして最終報を公表しました。調査では、海外拠点のネットワークを経由した不正アクセスが確認され、原因はネットワーク機器の脆弱性を利用されたものと説明されています。

同社は情報漏えいや外部流出を示す痕跡は確認されなかったとしています。一方で、慎重を期して、完全には漏えいの可能性を否定できない個人情報の範囲を明示し、対象者には個別連絡を行っています。ネットワーク境界に置かれる機器の脆弱性管理が、改めて企業のインシデント対応で重要な論点になった事案です。

ソディックのサーバー不正アクセス最終報のサマリー

ソディックは2026年8月5日、同社サーバーへの不正アクセスに関する最終報を公表しました。
調査の結果、海外拠点のネットワークを経由した不正アクセスが確認されました。
原因は、当社サーバーに対してネットワーク機器の脆弱性を利用した不正アクセスがあったためと説明されています。
情報漏えいやデータの外部流出を示す痕跡は確認されていません。
漏えいのおそれを完全に否定できない情報として、取引先や従業員などの氏名、住所、電話番号、メールアドレス等が示されています。

項目	内容
公表日	第1報：2026年5月21日、最終報：2026年8月5日
被害企業	株式会社ソディック
発覚日	2026年5月15日
事案の概要	同社一部システムで不審な挙動を検知し、サーバーに対する第三者による不正アクセスの形跡を確認
原因	ネットワーク機器の脆弱性を利用した不正アクセス
侵入経路	海外拠点のネットワークを経由した不正アクセス
漏洩情報の内容	情報漏えいや外部流出を示す痕跡は確認されていないものの、取引先や従業員などの氏名、郵便番号、住所、電話番号、メールアドレスについて漏えいのおそれを完全には否定できないと説明
個人情報保護委員会への報告状況	所轄警察署および個人情報保護委員会へ報告・相談済み
対応状況	該当サーバーの隔離、外部専門機関による調査、対象者への個別連絡、アクセス権限管理の点検、監視体制強化、脆弱性管理とセキュリティアップデートの徹底などを実施
業績への影響	現時点で、同社グループの業績や事業運営への重要な影響は確認されていない

ソディックのサーバー不正アクセスで最終報を公表

ソディックは2026年5月21日、同社サーバーに対する第三者による不正アクセスを検知し、調査の結果、サーバーへの侵入の形跡を確認したと公表していました。初報の時点では、2026年5月15日に一部システムで不審な挙動を検知し、その後の調査で事案が判明したと説明されていました。

今回の最終報では、外部専門機関による調査が完了し、調査結果と再発防止策が明らかにされています。ソディックによれば、不審な挙動の確認後、外部セキュリティ専門会社と連携して該当サーバーを隔離し、侵入経路やアクセスされた形跡などを調査しました。所轄警察署および個人情報保護委員会にも報告・相談を行っています。

本件については、セキュリティ対策Labでも第1報としてソディックのサーバーへ不正アクセス一部システムで不審な挙動を検知し侵入の形跡を確認で取り上げています。今回の公表は、その後の調査結果を示す最終報にあたります。

海外拠点のネットワーク経由で不正アクセス

ソディックの最終報によれば、外部専門機関による詳細な調査の結果、海外拠点のネットワークを経由した不正アクセスが確認されました。調査項目としては、外部の第三者による侵入経路の特定、不正アクセスを受けたサーバー機器の特定、侵害状況および流出の可能性がある情報範囲の特定が挙げられています。

企業ネットワークでは、本社側のセキュリティ対策が一定程度進んでいても、海外拠点やグループ会社、遠隔地のネットワーク機器が相対的に弱い入口になることがあります。今回の公表では具体的な機器名や脆弱性番号までは示されていませんが、原因としてネットワーク機器の脆弱性を利用した不正アクセスがあったと説明されています。

ネットワークエンジニアの現場感覚で見ると、VPN装置、ファイアウォール、リモートアクセス機器、拠点間接続機器の脆弱性管理は、単なるパッチ運用では終わりません。外部公開面の棚卸し、管理画面のアクセス制御、不要サービスの停止、ログ保全、ファームウェア更新の可否判断まで含めて、継続的に管理する必要があります。

情報漏えいの痕跡は確認されず、一方で漏えいのおそれがある範囲を公表

調査では、情報漏えいやデータの外部流出を示す痕跡は確認されていません。ソディックは、個人情報の漏えい、不正利用による二次被害、攻撃者などによる同社情報の公開も確認されていないと説明しています。

一方で、同社は慎重を期し、可能性が完全に否定できないものを漏えいのおそれがある範囲として取り扱うとしています。対象となる可能性がある個人情報は、同社グループの取引先や従業員などに関する氏名、郵便番号、住所、電話番号、メールアドレスです。

この表現は、フォレンジック調査で明確な流出証跡は得られなかったものの、アクセス可能だった範囲やログの残存状況などから、ゼロとは断定しない判断をしたものと読めます。情報システム部門としては、漏えいの確定有無だけでなく、アクセスされた可能性がある範囲をどこまで保守的に扱うかが、通知や社内説明の実務で重要になります。

対象者への個別連絡と再発防止策

ソディックは、個人情報が漏えいしたおそれのある方に対して個別に連絡を行っているとしています。連絡先が不明な場合など、個別連絡が困難な対象者については、今回の公表をもって同社からの連絡に代えると説明しています。

再発防止策としては、個人情報取扱手順の再確認および見直し、従業員への個人情報保護教育の再徹底、アクセス権限管理の点検、個人情報を取り扱うシステムの監視体制強化、システムやネットワーク機器の脆弱性管理およびセキュリティアップデートの徹底、インシデント発生時の社内報告体制の再整備を挙げています。

技術面だけでなく、個人情報取扱手順や社内報告体制にも踏み込んでいる点は実務上重要です。不正アクセスの入口はネットワーク機器の脆弱性であっても、被害範囲の把握、対象者通知、証跡保全、経営報告、外部機関との連携は、組織的な運用能力に左右されます。

業績や事業運営への重要な影響は確認されず

ソディックは、現時点において本件による同社グループの業績や事業運営への重要な影響は確認されていないとしています。今後、開示すべき事項が発生した場合には速やかに知らせると説明しています。

第1報の時点でも、同社は業務に重大な支障は確認されていないとしていました。最終報で情報漏えいの痕跡や外部公開が確認されていないと整理されたことで、事業継続面での大きな影響は限定的だったと見られます。ただし、海外拠点経由の不正アクセスとネットワーク機器の脆弱性悪用という点は、同様の拠点構成を持つ製造業にとって軽視しにくい教訓です。

情報システム部門への示唆

今回の事案で最も確認すべき点は、海外拠点や遠隔拠点のネットワーク機器が本社と同じ水準で管理されているかです。外部公開されるVPN、ファイアウォール、リモート管理用の管理画面、拠点間接続機器は、攻撃者にとって入口になりやすい領域です。資産台帳上の機器名だけではなく、外部から到達可能なIPアドレス、稼働バージョン、サポート期限、管理画面の公開有無まで棚卸しする必要があります。

脆弱性管理では、OSや業務アプリケーションのパッチ適用だけに目が向きがちです。しかし、境界防御に使うネットワーク機器は侵害された瞬間に認証基盤や内部サーバーへの足場になり得ます。緊急度の高い脆弱性が公開された際に、国内拠点だけでなく海外拠点も含めて更新状況を追跡できる体制を整えておくことが重要です。

監視面では、拠点間通信の異常、通常使われない管理アカウントの利用、海外拠点から本社サーバーへの不自然なアクセス、業務時間外の認証試行などを検知できるログ設計が必要です。ログが残っていなければ、漏えいの有無を断定できず、今回のように漏えいのおそれを広めに扱わざるを得ない場面が出てきます。

二次被害対策として、取引先や従業員の連絡先情報が対象範囲に含まれる場合は、フィッシングメールやなりすまし連絡への注意喚起を早めに出すべきです。情報漏えいが確定していなくても、攻撃者が社名やインシデント情報を悪用し、情報確認、請求書再送、緊急対応、セキュリティ更新などを装った連絡を行う可能性があります。