ペーパーロジック、クラウドサーバーへの不正アクセスを確認　顧客情報や契約書の漏えいは現時点で未確認

電子契約ソリューションのペーパーロジック株式会社は2026年9月1日、同社が提供する「paperlogic」に関連して利用しているシステムの一部で、第三者による不正アクセスを確認したと公表しました。

同社によると、8月27日に利用中のクラウドサーバーで不正アクセスと通常とは異なる動作を検知しました。確認後は外部からのアクセス遮断、関係する認証情報の無効化、システム停止などの緊急措置を実施しています。

その後、クラウドサービス事業者等と連携して調査した結果、顧客等の個人情報や契約書等の秘密情報について、第三者による閲覧や外部への持ち出しを示す痕跡は、9月1日時点で確認されていません。

一方、侵入経路、攻撃者、悪用された脆弱性や認証情報の有無などは公表されておらず、同社は今後さらに精密な調査を進めるとしています。

ペーパーロジック不正アクセスのサマリー

• ペーパーロジックは2026年9月1日、利用するシステムの一部への不正アクセスを公表しました。
• 不正アクセスを検知したのは2026年8月27日です。
• 対象は同社が利用するクラウドサーバーです。
• 第三者による不正アクセスと通常とは異なる動作を検知しました。
• 初動対応として外部アクセス遮断、関係する認証情報の無効化、システム停止などを実施しました。
• 顧客等の個人情報について、第三者による閲覧の痕跡は現時点で確認されていません。
• 契約書等の秘密情報についても、閲覧の痕跡は現時点で確認されていません。
• 個人情報や秘密情報が外部へ持ち出された痕跡も確認されていません。
• 情報漏えいが確認されたとは公表されていません。
• 侵入経路は公表されていません。
• 悪用された脆弱性や認証情報の有無、攻撃者、ランサムウェア使用の有無も公表されていません。
• 同社は追加調査と監視を継続し、必要な事項が判明した場合は改めて公表するとしています。

項目	内容
公表日	2026年9月1日
確認日	2026年8月27日
対象組織	ペーパーロジック株式会社
対象サービス	paperlogic
対象環境	同社が利用するクラウドサーバー
インシデント	第三者による不正アクセス、通常とは異なる動作
侵入経路	確認できませんでした
顧客等の個人情報	閲覧・外部持ち出しの痕跡は現時点で未確認
契約書等の秘密情報	閲覧・外部持ち出しの痕跡は現時点で未確認
情報漏えい	現時点で確認されていません
対象件数	公表されていません
初動対応	外部アクセス遮断、認証情報の無効化、システム停止等
攻撃者	確認できませんでした
ランサムウェア	確認できませんでした
個人情報保護委員会への報告	9月1日の公表資料では確認できませんでした

8月27日にクラウドサーバーへの不正アクセスを検知

ペーパーロジックは8月27日、同社が利用するクラウドサーバーで第三者による不正アクセスと通常とは異なる動作を検知しました。

同社は不正アクセス確認後、外部からのアクセスを遮断し、関係する認証情報を無効化しました。さらに、システム停止などの緊急措置を実施しています。

今回の発表では、「関係する認証情報の無効化」が行われたことは明らかになっていますが、その認証情報が侵入に利用されたのか、侵入後の拡大防止策として無効化されたのかまでは公表されていません。

したがって、認証情報の流出や窃取を侵入原因と断定することはできません。

顧客情報や契約書の閲覧・持ち出し痕跡は未確認

ペーパーロジックは、クラウドサービス事業者等の協力を得ながら、顧客情報の閲覧や外部への持ち出しの有無を調査しました。

対象となる情報として同社が挙げているのは、顧客等の個人情報と契約書等の秘密情報です。

9月1日時点では、これらの情報が第三者に閲覧された痕跡や、外部へ持ち出された痕跡は確認されていません。

したがって、現段階で「paperlogicから顧客情報や契約書が流出した」とすることはできません。

不正アクセス確認と情報漏えい確認は別

今回の事案では、第三者による不正アクセス自体は確認されています。

一方、顧客情報や契約書等の秘密情報については、第三者による閲覧、外部への持ち出し、情報漏えいのいずれも現時点で確認されていません。

「情報流出の痕跡が確認されていない」ことと、「不正アクセスがなかった」ことは別です。

今回のケースでは、システムへの侵入は確認されていますが、その侵入によってどの情報へアクセスされたのか、外部へ転送されたのかについては、現時点で確認できる痕跡が見つかっていない状態です。

侵入経路や攻撃手法は未公表

9月1日の発表では、不正アクセスの具体的な手法は明らかにされていません。

現時点で公表されていない主な項目は、不正アクセス開始日時、侵入経路、悪用された脆弱性の有無、悪用された認証情報の種類、認証情報の取得経路、攻撃元、攻撃主体、マルウェアやランサムウェアの使用有無、影響を受けた具体的なシステム構成です。

このため、「クラウドサービス側の脆弱性が原因」「認証情報が窃取された」「ランサムウェア攻撃だった」といった推測は避ける必要があります。

クラウドサービス事業者と連携して追加調査

ペーパーロジックは、クラウドサービス事業者等の協力を得ながら調査を進めています。

同社は今後さらに精密な調査を行い、顧客への案内が必要な事項が新たに判明した場合には速やかに公表するとしています。

あわせて、監視を継続し、再発防止と情報セキュリティ体制の強化にも取り組む方針です。

現時点では、再発防止策の具体的な内容までは公表されていません。

paperlogicは電子契約・電子文書管理サービス

ペーパーロジックは、電子契約や電子文書管理などを提供しています。

paperlogicでは、契約書をはじめとする企業間取引の文書を電子化・保存する用途があるため、今回のインシデントでは個人情報だけでなく、契約書等の秘密情報に対する影響有無も重要な確認ポイントです。

同社が今回、顧客等の個人情報と契約書等の秘密情報を明示して調査対象としているのも、こうしたサービス特性によるものです。

現時点で閲覧・持ち出しの痕跡は確認されていませんが、今後の調査では、攻撃者がどの権限を取得し、どの範囲のデータへアクセス可能だったのかが重要になります。

情報システム部門への示唆

クラウドサーバーへの不正アクセスが確認された場合、初動では外部アクセスの遮断と認証情報の無効化を迅速に行う必要があります。

ただし、認証情報の無効化はパスワード変更だけで終わらせるべきではありません。クラウド環境では、APIキー、アクセストークン、セッション、サービスアカウント、管理者アカウント、外部連携用の資格情報なども確認対象です。

また、「情報流出の痕跡が見つからない」という判断には、十分な監査ログが保存されていることが前提になります。

認証ログ、API操作ログ、管理画面へのアクセス履歴、データ参照・ダウンロード履歴、外部通信、権限変更、トークン発行などを後から追跡できる状態にしておくことが重要です。

paperlogicのように契約書や業務文書を扱うクラウドサービスでは、インシデントが発生した場合の影響は個人情報だけに限りません。契約条件、取引内容、秘密保持情報、社内承認情報などが保存されている場合、それぞれの情報についてアクセス可能範囲と保存期間を把握しておく必要があります。

今回の事案では情報漏えいは現時点で確認されていません。今後は、侵入経路、影響範囲、顧客情報へのアクセス有無について追加調査で新たな事実が判明するかが確認ポイントになります。

出典

• 当社サービスへの不正アクセスに関するお知らせ – ペーパーロジック株式会社
• paperlogic – ペーパーロジック株式会社