電子契約・電子文書管理サービス「paperlogic」を提供するペーパーロジック株式会社は2026年10月9日、8月27日に検知した同社システムへの不正アクセスについて、追加調査の結果を公表しました。
同社は調査と検証を行った結果、顧客が保管した文書、顧客のデータベース内の個人情報、顧客の認証情報について、攻撃者によるとみられる取得や外部送信などを示す事実は認められなかったと説明しています。
9月1日の第一報では、クラウドサーバーへの不正アクセスと、顧客情報・契約書などの閲覧や持ち出しの痕跡が確認されていないことを公表していました。今回の続報では調査対象に顧客の認証情報を明示するとともに、個人情報保護委員会への報告日、マルウェア検査、恒久対策の内容を追加しています。
ペーパーロジック不正アクセス続報のサマリー
- 2026年8月27日、同社のクラウドサーバーで第三者による不正アクセスと異常な動作を検知しました。
- 同日、アクセスの封じ込め、関係する認証情報の無効化、緊急調査・対策を実施しました。
- 9月1日、顧客に通知し、公式サイトで第一報を公表しました。
- 同日、個人情報保護委員会にも報告しています。
- 10月9日の続報で、顧客保管文書、顧客データベース内の個人情報、顧客の認証情報について、攻撃者によるとみられる取得・外部送信などを示す事実が認められなかったと説明しました。
- 対象システムのマルウェア検査を行い、安全性を確認したとしています。
- 認証・アクセス権限の管理、開発・本番環境の管理、ソースコード内の認証情報検知、操作ログ監視などを強化します。
| 項目 | 内容 |
|---|---|
| 公表日 | 第一報：2026年9月1日／続報：2026年10月9日 |
| 検知日 | 2026年8月27日 |
| 事業者 | ペーパーロジック株式会社 |
| 対象 | 同社が利用するクラウドサーバーを含むシステムの一部 |
| 事案 | 第三者による不正アクセス |
| 顧客情報の調査結果 | 顧客保管文書、顧客データベース内の個人情報、顧客認証情報について、攻撃者によるとみられる取得・外部送信を示す事実は認められず |
| 個人情報保護委員会への報告 | 2026年9月1日 |
| 対応 | 封じ込め、認証情報無効化、対象システムのマルウェア検査、恒久対策の順次実施 |
9月1日の第一報から何が更新されたのか
8月27日、ペーパーロジックは利用中のクラウドサーバーで不正アクセスと通常とは異なる動作を検知しました。外部からのアクセス遮断、認証情報の無効化、システム停止などを実施し、クラウドサービス事業者などの協力を得ながら調査を進めていました。
9月1日の時点では、顧客等の個人情報や契約書等の秘密情報が第三者に閲覧されたり、外部に持ち出されたりした痕跡は確認されていないと報告していました。
10月9日の発表は、その後の調査を踏まえ、対象情報をより具体的に示しています。対象は「お客様が保管した文書」「お客様のデータベース内の個人情報」「お客様の認証情報」の3区分です。同社はいずれについても、攻撃者によるとみられる取得や外部送信などを示す事実は一切認められなかったと発表しました。
第三者によるシステムへの不正アクセスが確認された事実は変わりません。今回の結果は、調査で対象データの取得・外部送信を示す事実が認められなかったというもので、「侵入自体がなかった」「あらゆる情報について漏えいがないことを完全に証明した」という意味ではありません。
9月1日に個人情報保護委員会へ報告、対象システムを検査
続報では、9月1日に顧客通知とWebサイトでの公表に加え、個人情報保護委員会への報告を行ったことも明らかにしました。
また、9月以降は再発防止策と恒久的なセキュリティ対策を策定し、順次実施しているとしています。対象システムについてはマルウェア検査を行い、安全性を確認したと報告しました。
マルウェア検査の実施は事後対応の一環ですが、同社は今回の続報で、マルウェアの感染が不正アクセスの原因だったとは説明していません。侵入の具体的な手口や悪用された認証情報の有無についても、攻撃原因として特定する記載はありません。
ソースコード内の認証情報検知など6項目の対策を公表
ペーパーロジックが示した今後の継続対策は、次の6項目です。
- アクセス権限および認証情報の管理強化
- 開発環境および本番環境の管理体制の見直し
- ソースコードに含まれる認証情報の検知体制の強化
- システムの操作記録および監視体制の強化
- セキュリティ上の異常を早期に検知する通知体制の整備
- 定期的なセキュリティ点検および運用状況の確認
このうちソースコードに含まれる認証情報の検知体制を強化する方針は、開発時の秘密情報管理にも対策を広げるものです。ただし、今回の攻撃でソースコード内の認証情報が実際に悪用されたことや、ソースコードから情報が漏えいしたことを示す発表ではありません。
開発環境と本番環境の管理体制の見直しも、具体的な侵入経路の確定を意味するものではなく、同社が掲げる再発防止策として捉える必要があります。
情報システム部門が確認したい認証情報・ログ管理
今回の続報では、情報流出を示す事実が認められなかったという調査結果だけでなく、認証情報管理と操作記録の監視が恒久対策として示されました。
業務文書を預けるクラウドサービスを利用する企業では、サービス事業者からインシデント通知を受けた際、次の事項を確認することが考えられます。
- 自社が保存する文書やデータベース情報、利用者アカウントが調査の対象に含まれているか。
- 利用者のパスワード変更、セッションの失効、APIキー更新などについて、事業者から個別に対応指示が出ているか。
- 外部連携アカウントと管理者権限の範囲を把握しているか。
- 監査ログやアクセス履歴について、利用企業がどの範囲まで確認できるか。
上記は利用企業側での一般的な確認項目です。ペーパーロジックが顧客にパスワードの一斉変更などを要請したという事実を示すものではありません。
なお、本件の初報はペーパーロジック、クラウドサーバーへの不正アクセスを確認で扱っています。今回の続報は10月9日に追加された調査結果と対策内容に焦点を当てたものです。
出典
- 9月1日付「当社サービスへの不正アクセスに関するお知らせ」の続報（2026年10月9日）– ペーパーロジック株式会社
- 当社サービスへの不正アクセスに関するお知らせ（2026年9月1日）– ペーパーロジック株式会社
関連記事
Microsoft Exchange ServerのCVE-2026-62911、PoC公開で警戒高まる 約2万2,000台が未更新と報道
Insecamとは 世界のWEBカメラ/監視カメラを閲覧できるサイト
サイバー攻撃集団 ロックビット(LockBit)とは？
I-SOON 中国政府へサイバー攻撃 ツールを提供していた企業から内部リーク
Hugging FaceでAIのバックドア 付き 機械学習モデルを確認
ChatGPTやGeminiなどの文章生成AIで拡散するマルウェア Morris II を研究者が発表
AIや生成AIの悪用事例や事件を解説
富士通で個人情報漏洩の恐れ マルウェア感染も
不正アクセスで「よどいこ！」から個人情報流出の可能性
