NEXT STAGEに不正アクセス、最大約4万件の個人情報漏えいの可能性―BIツール「Metabase」で不正アカウント|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月14日更新日時: 2026年10月14日

株式会社NEXT STAGE（証券コード359A、TOKYO PRO Market）は2026年10月13日、社内業務で使用するBI（ビジネスインテリジェンス）ツール「Metabase」への不正アクセスにより、取引先や認定現場監査士の個人情報が最大約4万件、漏えいした可能性があると発表しました。

9月22日から10月9日にかけて、第三者が不正アカウントを利用し、同社サービスに関連するデータベースを検索できる状態になっていました。対象には氏名や連絡先のほか、一部サービスの認証情報、認定現場監査士の住所・生年月日・血液型などが含まれます。同社は不正アカウントを停止してアクセスを制限し、調査を進めています。

NEXT STAGEの不正アクセス・情報漏えいのサマリー

公表日： 2026年10月13日
被害組織： 株式会社NEXT STAGE
対象システム： 社内業務で利用するBIツール「Metabase」
不正アクセス期間： 2026年9月22日～10月9日
発覚日： 2026年10月9日
漏えいの可能性がある件数： 最大約4万件
対象サービス： Qualiz（旧GenKan-NS／TeiKan-NSを含む）、ACRO5
対象情報： 取引先や認定現場監査士の氏名、電話番号、メールアドレスなど。一部に認証情報や住所、生年月日、資格、血液型を含む
確認された状態： 不正アカウントからデータベースを検索可能。データの更新・削除はできず、同社はデータ破壊の被害はないと説明
対応： 対象アカウントの停止、関連データベースへのアクセス制限、ログ調査、個人情報保護委員会への報告など

Metabaseの不正アカウントからデータベースを検索できる状態に

NEXT STAGEによると、10月9日にMetabaseへの第三者による不正アクセスが発覚しました。9月22日から10月9日までの間、不正なアカウントを通じて同社サービスのデータベースに対する検索が可能となっていました。

このアカウントでは検索のみが可能で、データの更新や削除はできなかったため、同社はデータ破壊などの被害は生じていないとしています。一方、第三者による情報の閲覧や持ち出しがどの範囲まで行われたかについては、アクセス記録などを調査しています。

不正利用を確認した後、対象アカウントを停止し、関連するデータベースへのアクセスを制限しました。個人情報保護委員会への報告も進めています。

Qualiz・ACRO5の利用者情報が対象、旧サービスには認証情報も

漏えいした可能性がある情報は、NEXT STAGEが提供する「Qualiz」（旧GenKan-NS／TeiKan-NSを含む）と「ACRO5」に関連する、取引先および認定現場監査士の情報です。

対象	漏えいした可能性のある情報
取引先・認定現場監査士に共通	氏名、電話番号、メールアドレス
旧GenKan-NS／TeiKan-NS	上記に加え、認証情報
認定現場監査士	上記の基本情報に加え、住所、生年月日、資格、血液型

最大約4万件は漏えいの可能性がある情報の件数であり、第三者が取得したと確定した件数や、重複のない実人数を示すものではありません。

なお、対象システムにはクレジットカード情報、銀行口座情報、本人確認書類などの情報は含まれていないと説明しています。

Metabaseでは8月に重大な脆弱性が公表、国内でも注意喚起

Metabaseは、複数のデータベースを接続して集計・分析・可視化に利用できるBIツールです。2026年8月には、認証を必要とせず管理者権限の取得につながるSQLインジェクションの脆弱性「CVE-2026-72898」が公表されました。Metabaseは実際の悪用を確認しており、JPCERT/CCも8月14日に注意喚起しています。

JPCERT/CCは10月8日にも、国内で相次ぐ情報漏えいを伴う不正アクセスに関する注意喚起を発表し、Metabaseの脆弱性悪用を確認された攻撃類型の一つとして取り上げています。

ただし、NEXT STAGEは今回の発表で悪用されたCVE番号やMetabaseのバージョンを特定していません。同社の事案がCVE-2026-72898によるものと断定することはできません。

セキュリティ対策Labでは、MetabaseのCVE-2026-72898に関するJPCERT/CCの注意喚起と、国内で相次ぐWebシステムへの不正アクセスに関する10月8日の注意喚起を報じています。また、9月にはLEAN BODYでもMetabaseを経由した顧客情報の取得が確認されています。

不審メールや電話に注意、旧サービスの認証情報が対象の場合は確認を

NEXT STAGEは、10月13日時点で今回の事案に起因する個人情報の不正利用などの二次被害は確認されておらず、顧客側で直ちに特別な手続きを行う必要はないとしています。関係する顧客には、今後速やかに状況を連絡する方針です。

一方、氏名やメールアドレス、電話番号が悪用されると、同社や取引先を装ったメール・電話に利用される恐れがあります。不審な添付ファイルやURLを開かないことに加え、電話やメールでパスワード、認証コード、銀行口座の暗証番号を求められても応じないよう呼びかけています。

旧GenKan-NS／TeiKan-NSでは認証情報も対象に含まれているため、該当する利用者は同社からの案内を確認し、認証情報の変更などについて正規の窓口で確認することが考えられます。同じパスワードを別サービスでも使用している場合は、その利用状況も点検対象です。

再発防止策は脆弱性改修・監視強化・アクセス権限の見直し

NEXT STAGEは、対象システムの脆弱性改修、監視体制の強化、ネットワークアクセス権限の厳格な見直しを進めるとしています。業績への影響は軽微と認識しており、追加で開示すべき事項が生じた場合は速やかに公表する方針です。

今回のようにBIツールから業務データベースを参照できる構成では、ツール本体の更新に加え、接続先データベースの参照権限やアカウント・APIキーの管理も確認事項となります。侵害が疑われる場合には、Metabase側だけでなく接続先データベースのアクセスログを照合し、閲覧されたデータの範囲を調べる必要があります。