STANDS「Onboarding」で管理者権限を悪用した不正アクセス―複数顧客の設定情報取得・不正変更を確認

株式会社STANDSは2026年10月16日、ノーコードのUI/UX改善サービス「Onboarding（オンボーディング）」の管理画面に対する不正アクセスについて第一報を公表しました。同社によると、第三者が管理者権限を利用し、複数の顧客の利用環境で設定情報を取得したほか、一部の設定を不正に変更していました。AIチャット機能の接続情報も取得され、設定が変更されたことが確認されています。

STANDSは10月14日に不正アクセスを確認し、管理画面とAI機能の提供を一時停止しました。一方、Onboardingのガイド機能には影響がなく、引き続き稼働しているとしています。管理画面に登録された顧客担当者の氏名、メールアドレス、権限情報には閲覧された可能性があり、情報が実際に取得・保存されたかどうかは調査中です。

STANDS「Onboarding」不正アクセス・第一報のサマリー

• 2026年10月14日：Onboardingの管理画面で第三者による不正アクセスを確認。
• 10月16日：提供元のSTANDSが調査結果の第一報を公表。
• 第三者が管理者権限を利用し、複数の顧客環境で設定情報を取得、一部設定を不正変更。
• 管理画面上の一部レポート情報について、不正な取得操作が確認された。
• AIチャット機能で使用する接続情報の取得と、設定の不正変更が判明。
• 顧客担当者の氏名・メールアドレス・権限情報は、第三者に閲覧された可能性が高い。
• Onboardingの管理画面とAI機能を一時停止。ガイド機能は継続稼働。
• STANDSは認証情報の変更、アクセス制限、設定の点検、アクセス履歴の調査を進めている。
• 影響が確認された顧客には個別に調査結果を通知中。管理画面・AI機能の再開時期は未定。

複数顧客の利用環境で設定情報を取得、一部設定を不正変更

今回の公表で明らかになったのは、単なる管理画面への不正ログインにとどまらず、第三者による操作が複数の顧客環境に及んでいたことです。STANDSによれば、攻撃者は管理者権限を利用して設定情報を取得し、一部の設定を不正に変更していました。

管理画面上の一部レポート情報に対する不正な取得操作も確認されています。ただし、レポート情報について具体的にどの項目が取得されたか、外部への情報流出がどの範囲まで確認されたかは第一報に示されていません。

今回の第一報では、管理者権限の利用という事実を確認した一方、その権限が攻撃者に渡った経緯や認証突破の手法は明示していません。脆弱性の悪用、パスワードの窃取、内部不正など特定の手法に結び付ける根拠は現時点ではありません。

AIチャットの接続情報を取得、設定も不正変更

STANDSは被害内容の一つとして、AIチャット機能に関する接続情報の取得と設定の不正変更を挙げています。これは、管理画面上の設定値だけでなく、外部機能との接続に関係する情報が不正操作の対象になっていたことを示しています。

もっとも、公式発表は「接続情報」の具体的な内訳を示していません。APIキーや外部クラウドの認証情報そのものが流出した、AIチャットの会話履歴が窃取されたなどとは断定できません。

STANDSは被害拡大の防止に向け、AI機能を一時停止し、関連する認証情報の変更とアクセス制限を進めています。利用企業にとっては、自社テナントのAIチャットがどの外部サービスと連携しているか、設定値が正規の状態に維持されているかを確認する契機となります。

顧客担当者の氏名・メールアドレス・権限情報に閲覧の可能性

STANDSによると、Onboardingの管理画面に登録されている顧客担当者について、氏名、メールアドレス、権限情報が第三者に閲覧された可能性が高い状況です。

一方、これらの担当者情報を攻撃者が実際に取得・保存したかどうかは10月16日時点で確認できていません。「閲覧された可能性」と「情報が取得・保存された事実」は区別する必要があります。影響が確認された顧客には、STANDSが個別に調査結果と影響範囲を伝えています。

対象の顧客企業数、担当者数、各社の影響範囲について、STANDSは第一報で具体的な数字を公表していません。

Onboardingは管理画面・AI機能を一時停止、ガイド機能は稼働

不正アクセスの確認後、STANDSは次の対応を進めています。

• Onboarding管理画面へのアクセスを一時停止
• AI機能を一時停止
• 関連する認証情報を変更し、アクセスを制限
• 不正に変更された設定を調査・修正
• アクセス履歴を調べ、影響範囲を特定

同社は、Onboardingのガイド機能には影響がなく稼働を続けていると説明しています。管理画面とAI機能については、安全性を確認したうえで再開する方針ですが、10月16日時点では再開時期を示していません。

また、STANDSやOnboardingを装う不審なメール・連絡を受けた場合、記載されたURLや添付ファイルを開かず、同社に連絡するよう呼びかけています。

勤怠管理「レコル」への影響は別記事で整理

Onboardingを組み込む外部サービスの一つである勤怠管理クラウド「レコル」は、2026年10月14日12時30分ごろからAIチャットを一時停止しています。ただし、レコルの勤怠・給与データへの不正アクセスや情報流出が確認されたとする発表ではありません。

レコル側の停止経緯とサービスへの影響は、「STANDS『Onboarding』で不正ログイン、勤怠管理『レコル』がAIチャットを停止」で整理しています。本記事は、STANDSの10月16日付第一報で判明した管理権限の悪用と複数顧客環境への不正操作を主題としています。

利用企業の情報システム部門が確認したい事項

Onboardingを利用する企業では、STANDSからの個別連絡を確認したうえで、管理画面へのアクセス権限、設定変更履歴、AIチャットの接続先、関連する認証情報の取り扱いを点検できます。複数テナントにまたがる不正操作が確認されているため、管理者アカウントを利用できる範囲と、サービス事業者が行う変更の記録・通知方法も確認対象です。

利用中のガイド機能については、同社が稼働継続を説明しています。停止している管理画面・AI機能と分け、実際の業務影響を把握したうえで利用者への案内を行う必要があります。

出典

• Onboardingへの不正アクセスに関するお詫びとご報告（第一報、2026年10月16日）－株式会社STANDS
• レコルAIチャットの一時利用停止について（2026年10月14日）－中央システム株式会社