コタ、ランサムウェアの被害で延べ10万9,147件の個人情報と株主情報5万5,408件など外部から閲覧の恐れ

コタ株式会社は2026年8月20日、3月27日に発生したランサムウェアの被害について、外部専門家による調査結果を踏まえ、保存されていた個人情報が第三者に閲覧された可能性を完全には否定できないと公表しました。

対象には、従業員・退職者、採用応募者、直送サービス利用者、取引先関係者、株主、IRイベント応募者などの情報が含まれます。公表された8区分の件数を単純合計すると延べ109,147件となりますが、区分間の重複有無は明らかにされていないため、ユニークな対象者数や「漏えい件数」として扱うことはできません。

同社は現時点で、個人情報の漏えいやその他の情報が不正利用された被害は確認されていないとしています。一方、第三者による閲覧可能性を完全には否定できないことから、法令に従い対象者への通知などを実施します。対象情報にクレジットカード情報は含まれていません。

コタのランサムウェア被害続報のサマリー

• 【確認済み】コタは2026年8月20日、3月に発生したサイバー攻撃について個人情報に関する続報を公表しました。
• 【確認済み】発端は3月27日に確認された一部社内PC端末の動作不良で、調査の結果、第三者による不正アクセスが確認されました。
• 【確認済み】その後の調査で、一部サーバーや社内PC端末がランサムウェアに感染し、データが暗号化されていたことが判明しています。
• 【確認済み】8月20日時点で、個人情報の漏えいやその他の情報が不正利用された被害は確認されていません。
• 【確認済み】一方、第三者に閲覧された可能性を完全には否定できず、法令に従い対象者へ通知などを行います。
• 【確認済み】対象情報には、株主情報55,408件、直送サービス利用者情報35,274件、取引先関係者情報16,133件などが含まれます。
• 【確認済み】8区分の公表件数を単純合計すると延べ109,147件ですが、重複の有無は公表されていません。
• 【確認済み】対象情報にクレジットカード情報は含まれていません。
• 【確認済み】同社は個人情報保護委員会への報告と警察当局への通報・相談を行っています。
• 【確認済み】現時点で二次被害は確認されていません。
• 【確認できず】侵入経路、使用されたランサムウェアの種類、攻撃者、身代金要求の有無は今回の公表では確認できませんでした。
• 【確認できず】第三者が実際にどの情報を閲覧したか、また情報を外部へ持ち出したかは確認されていません。

第三者に閲覧された可能性を否定できない情報

コタが8月20日時点で公表した対象情報は次の通りです。

各区分を合計すると109,147件になります。

ただし、コタは区分間で同一人物が重複しているかを明らかにしていません。例えば、株主が製品モニターやIRイベントに参加している可能性も考えられるため、この数字を「109,147人」や「漏えい件数」と表現することは適切ではありません。

また、1件ごとに表中のすべての情報項目が含まれているわけではないとしています。

個人情報漏えいは「確認されていない」　閲覧可能性との違い

今回の続報で最も重要なのは、「個人情報漏えいが確認された」という公表ではない点です。

コタは、外部専門家による調査の結果、8月20日時点で個人情報の漏えいやその他の情報が不正に利用された被害は確認されていないとしています。

一方で、不正アクセスを受けた環境に個人情報が保存されていたことから、第三者に閲覧された可能性を完全には否定できないと判断しました。

このため、本件は現段階では「個人情報流出が確認された事案」ではなく、「第三者に閲覧された可能性を否定できない事案」と整理する必要があります。

情報の閲覧可能性、外部への持ち出し、インターネット上での公開、不正利用は、それぞれ異なる状態です。今回の資料では、実際のデータ持ち出しや公開が確認されたとは記載されていません。

3月27日に不正アクセスを確認　ランサムウェアでデータを暗号化

今回の事案は3月27日に始まりました。

コタは一部の社内PC端末で動作不良を確認し、直ちに社内調査を実施しました。その結果、第三者による不正アクセスが判明したため、被害拡大を防ぐ目的ですべてのサーバーや社内PC端末などをネットワークから遮断しました。

その後、外部専門家と連携して被害状況の把握、調査・解析、システム復旧を進めています。

コタは3月30日に第一報を公表し、その後の調査でランサムウェア感染が判明しました。6月5日の第4報では、外部からの不正アクセスにより一部サーバーや社内PC端末がランサムウェアに感染し、データなどが暗号化されていたと説明しています。

セキュリティ対策Labでは、第一報についてコタ、サイバー攻撃でシステム障害　個人情報流出の有無を含め調査で、ランサムウェア感染判明後についてはコタ、システム障害はランサムウェアの感染が原因で取り上げています。

6月時点では漏えい未確認　8月に「閲覧可能性を否定できない」と判断

6月5日の第4報では、個人情報などの漏えいは確認されていないとされていました。

8月20日の続報でも、「個人情報の漏えいが確認された」という結論には変わっていません。

ただし、外部専門家による調査を進めた結果、対象情報について第三者が閲覧した可能性を完全には否定できないと判断し、対象情報の種類と件数を具体的に公表しました。

この点は、第4報から今回の続報で明確になった重要な変化です。

「漏えい確認」には至っていない一方、対象となる可能性がある情報の範囲が特定されたことで、通知や二次被害対策のフェーズへ移行したとみられます。

個人情報保護委員会への報告と警察への通報・相談を実施

コタは、3月27日の不正アクセス確認後、個人情報保護委員会への報告と警察当局への通報・相談を速やかに行ったとしています。

また、第三者閲覧の可能性を完全には否定できないことから、法令の定めに従って対象者へ本事案に関する通知などを実施します。

個人情報保護法上、漏えいが確定していなくても、漏えい等が発生した「おそれ」があり、一定の要件に該当する場合には個人情報保護委員会への報告や本人通知が必要になるケースがあります。

今回、コタはその法令上の対応として対象者への通知を進める方針を明らかにしています。

現時点で二次被害は確認されず　不審な電話・メール・SMSに注意

コタは2026年8月20日時点で、個人情報の不正利用などの二次被害は確認していません。

一方、対象者に対して、身に覚えのない電話、メール、SMS、郵送物などが届いた場合には十分注意するよう呼びかけています。

今回、影響の可能性がある情報には、氏名、住所、電話番号、メールアドレス、勤務先、部署、役職、生年月日、株主番号などが含まれます。

これらの情報が第三者に取得されていた場合、今後想定されるリスクとして、コタや取引先、証券会社、配送事業者などを装ったフィッシング、なりすまし電話、標的型メール、詐欺的な郵送物などへの悪用が考えられます。

ただし、これは今後想定されるリスクであり、本件でこうした二次被害が実際に確認されたわけではありません。

クレジットカード情報は今回の対象情報には含まれていません。

再発防止へネットワーク・サーバー環境を再構築

コタは再発防止策として、外部専門家と連携しながらネットワークやサーバー環境の再構築と強化を進めています。

あわせて、システム復旧とサイバーセキュリティの一層の強化に取り組むとしています。

今回の公表では、侵入経路や悪用された脆弱性、認証情報の窃取有無、多要素認証の利用状況など、初期侵入に関する技術的な詳細は明らかにされていません。

また、使用されたランサムウェアの名称や攻撃者、身代金要求の有無についても公表されていません。

今後、侵入原因や攻撃経路まで明らかになるかが、再発防止策の実効性を評価するうえでの確認ポイントになります。

情報システム部門への示唆

今回の事案は、ランサムウェア感染でデータが暗号化された場合、情報流出を直接確認できなくても、保存されていた個人情報の閲覧可能性を長期間にわたり調査する必要が生じることを示しています。

情報システム部門では、暗号化されたかどうかだけでなく、攻撃者が侵入後にどのサーバーやファイルへアクセスしたかを追跡できるログを保持しておくことが重要です。

EDR、認証ログ、VPN・ファイアウォールログ、ファイルアクセスログ、クラウド監査ログなどを一定期間保持していなければ、後から「閲覧されたか」「持ち出されたか」を立証できず、今回のように可能性を否定できない範囲が広がることがあります。

また、個人情報の保存範囲と保持期間を把握することも重要です。従業員、採用応募者、顧客、取引先、株主、イベント応募者など、部門ごとに異なるデータを保持している場合、インシデント後の影響調査や本人通知は複雑になります。

平時からデータマッピングを行い、「どのシステムに、誰の、どの情報が、何件保存されているか」を把握できる状態にしておくことが、インシデント対応の迅速化につながります。

さらに、二次被害対策では、本人通知の文面だけでなく、フィッシングやなりすましが発生した場合の問い合わせ窓口、偽サイト・偽メールの監視、取引先への注意喚起まで含めて準備する必要があります。

<!– SEOディスクリプション案: コタが3月のランサムウェア被害について続報。株主5万5,408件、直送サービス利用者3万5,274件などの個人情報に第三者閲覧の可能性を否定できないと公表しました。漏えい・不正利用は未確認で、クレジットカード情報は含まれていません。 –>

出典

• お客さまの個人情報に関するお知らせとお詫び – コタ株式会社
• 企業・投資家情報 – コタ株式会社
• 美容室向け化粧品販売のコタ、サイバー攻撃でシステム障害、個人情報流出の有無を含め調査中 – セキュリティ対策Lab
• 美容室向け化粧品販売のコタ、システム障害はランサムウェアの感染が原因 – セキュリティ対策Lab
• 美容室向けヘアケア製品メーカー・コタ株式会社がランサムウェア被害の第4報 – セキュリティ対策Lab

関連記事

中国の党機関紙・研究機関、沖縄とバタン諸島の帰属に疑義　日比海洋境界交渉を巡るナラティブ戦を分析 同志社大学、筆記試験対策ポータルにランサムウェア　学生のメールアドレス流出の可能性 晴れる屋2のポケモンカード抽選で2万8,490件の個人情報が閲覧可能に、対象データへのアクセス4件を確認 Amazonを騙る「返金完了のお知らせ」フィッシングメールを確認 ブランド名に不可視のUnicodeを埋め込み検知を回避 AIモデルによる実企業への不正アクセスの調査結果 Irregularは名称衝突とネット接続の不備を説明、開示内容に批判 百度（バイドゥ）がDeepSeek 検索を開始、WeChatでもテスト中 RIZAPグループで不正アクセスが相次いで発覚、APORITOはカード情報流出の恐れ、REXTはランサムウェア被害 KBC学園、DM誤送付で2,471名分の個人情報漏洩-行削除ミスで宛名と住所が1行ずれる 医療法人鳳應会グループのMedi Face、管理する医療系Webサイト21件へのサイバー攻撃を公表　SEOポイズニングを確認

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)