シンカ、kaiwa.cloudに複数の不正プログラム　個人情報流出の恐れ、「カイクラ」本体は影響なし

株式会社シンカは2026年8月28日、サービス紹介サイト「kaiwa.cloud」に第三者が複数の不正プログラムを設置し、サーバー内に保存されていた情報の一部が外部からアクセス可能な状態になっていたと公表しました。

8月24日に不正プログラムを検知し、25日の社内分析で、そのうち1件がサーバーから情報を取得可能にするものだったことが判明しました。対象サーバーには、過去にセミナーやウェビナーへ申し込んだ人、問い合わせを行った人の氏名、会社名、メールアドレス、電話番号などが保存されていました。

現時点で情報の外部持ち出しや第三者による閲覧痕跡は確認されていません。一方、サーバーへの外部アクセスの有無を確認できていないため、シンカは個人情報へ外部からアクセスされた可能性を否定できないとしています。

シンカの不正アクセスのサマリー

• 確認済み：2026年8月24日、サービス紹介サイト「kaiwa.cloud」に複数の不正プログラムが設置されていることを検知しました。
• 確認済み：8月25日の分析で、不正プログラムのうち1件がサーバーから情報を取得可能にするものと判明しました。
• 確認済み：8月26日、リスク拡大を避けて調査するため「kaiwa.cloud」へのアクセスを停止しました。
• 確認済み：対象サーバーには、セミナー・ウェビナー申込者や問い合わせ者の氏名、会社名、メールアドレス、電話番号等が保存されていました。
• 未確認：個人情報の外部持ち出しは確認されていません。
• 未確認：第三者による個人情報の閲覧痕跡も確認されていません。
• 未確認：サーバーへの外部アクセスの有無を確認できていないため、個人情報へアクセスされた可能性は否定されていません。
• 調査中：侵入経路、不正アクセスの手口、影響範囲、対象データ、対象期間は調査中です。
• 確認済み：主力サービス「カイクラ」は侵害されたサイトとは異なるクラウド環境で、影響は確認されていません。
• 確認済み：個人情報保護委員会への報告を完了しています。
• 確認済み：2026年度の業績への影響は軽微と見込んでいます。

項目	内容
公表日	2026年8月28日
検知日	2026年8月24日
対象組織	株式会社シンカ
対象サイト	カイクラサービス紹介サイト「kaiwa.cloud」
インシデント	第三者による複数の不正プログラム設置
侵入経路	調査中
外部からアクセスされた可能性のある情報	氏名、会社名、メールアドレス、電話番号等
情報流出	現時点で確認されていません
第三者による閲覧	現時点で痕跡は確認されていません
対象件数	確認できませんでした
「カイクラ」への影響	なし
個人情報保護委員会への報告	報告済み
業績への影響	軽微の見込み

kaiwa.cloudに複数の不正プログラムを検知

シンカによると、2026年8月24日、同社のサービス紹介サイト「kaiwa.cloud」に複数の不正プログラムが設置されていることを検知しました。

翌25日に社内で分析した結果、不正プログラムのうち1件は、同サイトが稼働するサーバーから情報を取得することを技術的に可能にするものだったことが分かりました。

同社は8月26日、リスクの拡大を避けて調査を進めるため、サイトへのアクセスを一時停止しました。現在は外部の専門機関へ調査を依頼し、ログ解析などを通じて侵入経路や影響範囲、原因の特定を進めています。

第一報では、不正プログラムがいつ設置されたのか、どの脆弱性や認証情報が悪用されたのか、攻撃者が実際にプログラムを操作したのかといった点は明らかにされていません。

セミナー申込者・問い合わせ者の個人情報へアクセスされた可能性

不正アクセスの対象となったサーバーには、過去に「kaiwa.cloud」を経由してシンカのセミナーやウェビナーへ申し込んだ人、同社へ問い合わせを行った人などの情報が保存されていました。

対象となる可能性がある情報は、氏名、会社名、メールアドレス、電話番号等です。対象期間や対象人数は第一報では公表されておらず、外部調査機関による調査が続いています。

ここで注意が必要なのは、「サーバーから情報を取得可能にする不正プログラムが設置されていた」ことと、「情報が実際に持ち出された」ことは別である点です。

シンカは、現時点で個人情報が外部へ持ち出された事実や、第三者が閲覧した痕跡は確認していないとしています。一方、当該サーバーへ外部からアクセスがあったかどうかを確認できていないため、外部から個人情報へアクセスされた可能性を否定できないとしています。

したがって、本件を「個人情報流出が確認された事案」と表現することは適切ではありません。現時点では「個人情報へアクセスされた可能性がある」段階です。

「カイクラ」本体は別のクラウド環境、影響は確認されず

今回侵害されたのはサービス紹介サイトであり、シンカの主力SaaS「カイクラ」本体ではありません。

同社によると、不正アクセスを受けたサイトと「カイクラ」はクラウド環境自体が異なる完全に別のシステムで、今回の事象による「カイクラ」への影響はありません。カイクラなどのサービス運営継続にも問題はないとしています。

一方、安全性を確認するまでの予防措置として、シンカは「カイクラ」サービス紹介サイト、「カイクラ.mag」、「Car Connect」、コーポレートサイトを一時停止しました。

同社は、kaiwa.cloud以外のサイトについて不正プログラムの設置は確認していないとしています。コーポレートサイトについては、安全を確認できる環境への移設を行い、8月28日中に公開を再開する予定としていました。

マーケティングサイトに蓄積された個人情報も保護対象

今回の事案は、本番SaaSとは別のマーケティング用Webサイトで発生した点が特徴です。

企業のサービス紹介サイトには、製品そのものの顧客データが保存されていなくても、問い合わせフォーム、資料請求、セミナーやウェビナーの申し込みなどを通じて、氏名、所属企業、メールアドレス、電話番号などが蓄積される場合があります。

そのため、Webサイトを「広報用の周辺システム」として扱い、基幹システムやSaaS本体よりもセキュリティ対策の優先順位を下げると、個人情報を含む別の攻撃面が残ることになります。

Web CMS、フォーム、プラグイン、サーバー、管理アカウントなども含め、マーケティング基盤を情報資産として棚卸しし、脆弱性管理やアクセス制御、ログ保存を行う必要があります。

不審なメール・SMSへの注意を呼びかけ

シンカは現時点で保有情報の流出は確認していないものの、利用者や関係者に対して、不審なメールやSMSへの注意を呼びかけています。

同社や関係者を装う連絡を受けた場合には、不審なリンクや添付ファイルを開かず、個人情報、パスワード、認証コードなどを求められても回答しないよう求めています。

仮に氏名、会社名、メールアドレス、電話番号などが第三者へ取得されていた場合、実在する組織名や担当者情報を使ったフィッシングやなりすましに悪用される可能性があります。ただし、こうした二次被害が本件で発生したとの発表は現時点ではありません。

個人情報保護委員会へ報告、侵入経路や影響範囲は調査中

シンカは、本件が個人情報保護法に定める報告対象事案に該当するとして、個人情報保護委員会への報告を完了しています。

今後は、外部調査機関とともに、不正アクセスの手口・侵入経路、対象データと対象期間を含む影響範囲を調査します。すでに実施した対策と、今後実施する中長期的な再発防止策、実施予定時期についても整理し、続報で公表する方針です。

同社は「カイクラ」などのサービス運営継続に問題はなく、2026年度の業績への影響は軽微と見込んでいます。

情報システム部門への示唆

本件では、本番サービスとは分離されたサービス紹介サイトが侵害対象となりました。企業では、顧客向けサービス本体だけでなく、コーポレートサイト、製品サイト、オウンドメディア、イベント申込サイトなども含めて攻撃対象領域を把握する必要があります。

特に、問い合わせやセミナー申込情報をWebサーバー上へ長期間保存している場合、侵害時の影響が大きくなります。Webフォームで取得した情報をどこに保存するのか、Webサーバー上に残す必要があるのか、保存期間をどこまで短縮できるのかを確認することが重要です。

また、今回のように「情報取得を可能にする不正プログラムが確認されたが、実際の外部アクセスを確認できない」という状況では、ログの有無が情報流出評価を左右します。Webサーバー、WAF、ロードバランサー、認証、クラウドなどのログを、インシデント調査に必要な期間保存しておく必要があります。

本番環境とマーケティング環境を分離することも有効です。今回シンカでは「カイクラ」と侵害サイトが異なるクラウド環境だったため、同社はカイクラへの影響はないとしています。ネットワークやクラウドアカウント、認証情報、管理権限まで含めて環境を分離し、一つのWebサイトの侵害がサービス本体へ波及しない構成にしておくことが重要です。

出典

• 弊社運営サービス紹介サイトへの不正アクセスに関するお知らせ – 株式会社シンカ
• 会社概要 – 株式会社シンカ