STANDS「Onboarding」で不正ログイン、勤怠管理「レコル」がAIチャットを停止―原因・影響範囲を調査|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年10月15日更新日時: 2026年10月15日

勤怠管理クラウド「レコル」を提供する中央システム株式会社は2026年10月14日、レコルAIチャットで利用している外部サービス「Onboarding」に不正ログインが確認されたことを受け、同日12時30分ごろからAIチャット機能を一時停止したと発表しました。Onboardingの提供元は株式会社STANDSです。

レコルの発表によると、STANDS側で不正ログインの原因や影響範囲などを調査しています。再開時期は示されていません。10月14日の告知で停止対象として明示されているのはAIチャット機能であり、レコルの勤怠打刻・勤務集計・給与計算などを含むサービス全体の停止や侵害が発表されたものではありません。

STANDS「Onboarding」不正ログインとレコルAIチャット停止の概要

公表日：2026年10月14日
公表元：勤怠管理クラウド「レコル」（提供会社：中央システム株式会社）
不正ログインが確認された外部サービス：株式会社STANDSの「Onboarding」
利用停止機能：レコルAIチャット
停止開始日時：2026年10月14日12時30分ごろ
停止理由：Onboardingに不正ログインが確認され、安全確保のためレコル側が利用を停止
調査状況：STANDS側で原因、影響範囲、その他の影響を調査中
再開時期：レコル側は詳細判明後に改めて案内する方針
情報漏えい：レコルの10月14日付告知には、有無、対象データ、対象人数についての公表はない

項目	10月14日の公表内容
外部サービス提供元	株式会社STANDS
外部サービス名	Onboarding（オンボーディング）
利用先	レコルAIチャット
確認された事象	Onboardingへの不正ログイン
レコルの対応	AIチャット機能の一時停止
影響調査	Onboarding提供会社が実施中
再開見通し	詳細判明後に改めて告知

10月14日12時30分ごろからAIチャットを停止

レコルは10月14日、「レコルAIチャットの一時利用停止について」と題する案内を掲載しました。レコルAIチャットにはSTANDSのOnboardingが利用されており、同サービスに不正ログインが確認されたため、安全確保の目的でAIチャットの提供を停止したと説明しています。

同社の告知には停止の開始時刻として10月14日12時30分ごろと記されています。この日時はレコルAIチャットに関する事象の発生日時として示されたもので、不正ログインそのものが始まった時刻と同一であるとは限りません。

STANDSは不正ログインの原因と影響範囲、関連するその他の影響を調査中とされます。レコルは調査結果や再開方針を確認でき次第、利用者に改めて通知するとしています。

現段階では、攻撃者がどのアカウントにログインしたのか、どの権限を得ていたのか、データが参照・取得されたのかといった点は公表文からは特定できません。認証情報の窃取、ソフトウェアの脆弱性悪用など、侵入方法を推定して報じる段階ではありません。

「Onboarding」とは―外部SaaSを組み込んだAIチャット

Onboardingは、STANDSが提供するノーコードのUI/UX改善SaaSです。WebサービスにJavaScriptタグを組み込み、操作ガイド、ポップアップ、チュートリアル、生成AIチャットなどを設置できる仕組みで、サービス利用状況の分析機能も備えます。

レコルは勤怠打刻、労働時間の集計、休暇・申請承認の管理、給与計算オプションなどを提供しています。一方、今回停止されたAIチャットは、この外部SaaSを利用した支援機能です。

こうした構成では、機能ごとに委託先・外部サービスが異なる場合があります。今回の告知から確認できるのは、外部SaaSへの不正ログインと、それに伴うレコルAIチャットの停止です。レコルが取り扱う全従業員の勤怠情報や給与情報が侵害されたと判断する根拠はありません。

なお、レコル公式サイトには導入社数「5,500社以上」との掲載があります。この数字はレコルのサービス導入実績を示すものであり、今回の不正ログインの被害企業数・情報漏えい件数ではありません。

STANDSの「Onboarding」は他のWebサービスにも導入―波及範囲の確認が必要

Onboardingはレコル専用の機能ではありません。STANDSが公表した導入事例から、Webサービスの管理画面や予約画面などで利用されていることが分かります。

公開済みの導入事例	STANDSが公表している用途	公表日
レコル	AIチャット（レコルによる今回の告知）	2026年10月14日
日テレWands「FaveConnect」	ファンコミュニティの運営者向け管理画面でのAIによる入稿支援・操作ガイド	2026年8月13日
Hubble	契約業務・管理クラウドの管理画面における操作支援など	2026年9月7日
エアトリ	旅行商品の検索・予約画面を含むUI改善、ポップアップ、AIを用いた支援	2026年9月10日

この表は、STANDSまたはレコルが過去に公表した「Onboardingの導入実績」です。レコル以外の3サービスで今回の不正ログインによる障害や情報漏えいが発生したことを示すものではありません。Onboardingにおける不正ログインの影響が契約企業横断なのか、特定のアカウント・環境に限られるのかは、調査結果によって判断する必要があります。

なお、日テレWandsは同じ10月14日、別途「FaveConnect」の管理画面に対する第三者の不正ログインと、一部ファンクラブ会員情報の閲覧可能性を公表しています。ただし、同社の告知はFaveConnectの管理者アカウントへの不正ログインを説明しており、STANDSのOnboardingへの不正ログインとの共通原因や関連性を示すものではありません。公表日が同じであることやOnboardingの導入実績のみをもって、両事案を同一の攻撃と扱うことはできません。

企業のシステム担当者が確認したい項目

今回のように外部のUI支援ツールやAIチャットを業務システムへ組み込んでいる場合、提供会社からの調査結果を待つだけでなく、自社環境への接続範囲と停止時の業務影響を整理しておく必要があります。以下は本件で攻撃が成立した手法を示すものではなく、利用企業向けの確認項目です。

組み込み状況を確認する：OnboardingのタグやSDK、AIチャットがどの画面・テナント・環境で使われているかを洗い出す。管理画面だけか、一般利用者向け画面にも設置されているかを分ける。
提供元の通知内容を確認する：不正ログイン対象のアカウント種別、付与されていた権限、閲覧・操作されたデータ、調査対象期間、他テナントへの波及の有無を問い合わせる。
AIチャットが扱う情報を整理する：質問文、応答履歴、利用者識別子、業務上の機密情報などが外部サービスへ送信・保存される仕様か、保持期間やアクセス権限も含めて確認する。
画面・設定の変更有無を検証する：外部ツールから表示されるガイド、ポップアップ、チャット内容や設定について、意図しない変更がなかったか管理記録と照合する。変更があったと断定するものではない。
再開判断と代替手段を用意する：提供元から安全確認・是正措置の説明を受けたうえで、AIチャットを再開する。停止中は従来のFAQや正規サポート窓口へ誘導する。

レコルの導入企業では、まず公式告知で停止対象と再開状況を確認し、AIチャット以外の機能の利用可否をサービス画面・正規サポート窓口で確認してください。今回の告知だけを理由に、全従業員のレコルアカウントを一律に変更すべきだと結論づける材料はありません。