投稿日時: 2026年07月15日更新日時: 2026年07月21日

ファブリカホールディングス子会社メディア4u、SMS送信システムへの不正アクセスで9万件超の情報漏洩

投稿日時: 2026年07月15日更新日時: 2026年07月20日

東証スタンダード上場の株式会社ファブリカホールディングス(証券コード:4193)は2026年7月14日、連結子会社の株式会社メディア4uが提供するSMS送信システムにおいて第三者によるサイバー攻撃(不正アクセス)を受け、システムの管理コンソールに登録された情報の一部が外部に漏洩したこと、および同システムを通じて不正なSMS送信が行われたことが判明したと公表しました。メディア4uは7月17日、対応状況の続報とよくある質問(FAQ)をまとめた第2報を公表し、不正送信の発生範囲や個人情報保護法上の整理状況など、第1報時点で調査中とされていた点の一部を明らかにしています。

サマリー

ファブリカホールディングスは2026年7月14日、連結子会社メディア4uが提供するSMS送信システムへの不正アクセスと、それに伴う情報漏洩・不正SMS送信について公表しました
不正アクセスは2026年6月24日に確認され、確認後直ちに遮断措置とログ保全を行い、外部専門機関と連携して侵入経路の特定・影響範囲の確定・原因究明を進めてきたとしています
外部に漏洩したことが確認されている情報は、SMS送信システムの管理コンソールに係るアカウント管理情報の一覧ファイルで、アカウントID・企業名/営業所名・担当者名・都道府県/郵便番号・通知用メールアドレス等が含まれます
当該ファイルの総レコード数は95,412件で、このうち担当者名や個人を識別しうるメールアドレス等、個人情報に該当しうる情報を含む可能性があるレコードは22,928件です
パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求に関する情報、およびSMS配信先であるエンドユーザーの電話番号・氏名・送信本文等は、いずれも流出ファイルに含まれていないことが確認されています
不正アクセスにより、第三者が本システムを通じて不正にSMSを送信した事実も確認されており、確認されている不正送信件数は280件です。7月17日公表の第2報で、この不正送信は侵入口となった特定1社のクライアントアカウントを通じて行われたものであり、他のクライアントアカウントからの不正送信は確認されていないことが明らかにされました
流出した情報が個人情報保護法上の「個人データ」に該当するかどうかについては、本稿執筆時点で個人情報保護委員会と協議・確認中とされています
予防的措置として全顧客アカウントの認証情報リセット・パスワード再設定を実施済みで、あわせてパスワードポリシーの強化も予定しているとしています

整理表

項目	内容
公表日	2026年7月14日(第1報)、2026年7月17日(第2報)
発表主体	株式会社ファブリカホールディングス(証券コード4193、東証スタンダード)、株式会社メディア4u
被害を受けたシステム	連結子会社・株式会社メディア4uのSMS送信システム(Aurora SMS等)
不正アクセス確認日	2026年6月24日
漏洩情報	管理コンソールのアカウント管理情報一覧(アカウントID・企業名/営業所名・担当者名・都道府県/郵便番号・通知用メールアドレス等)
総レコード数	95,412件
個人情報該当の可能性があるレコード数	22,928件
含まれない情報	パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求情報、SMS配信先エンドユーザーの個人情報
不正SMS送信件数	280件(特定1社のクライアントアカウント経由に限定と第2報で確認)
個人データ該当性	個人情報保護委員会と協議中、確定次第公表予定
実施済みの措置	侵入経路の遮断、全顧客アカウントの認証情報リセット、脆弱性の修正、ログイン監視強化、監督官庁等への報告
予定されている追加措置	パスワードポリシーの強化

何が起きたか

ファブリカホールディングスの発表によれば、2026年6月24日、連結子会社メディア4uが提供するSMS送信システムに対する外部からのサイバー攻撃(不正アクセス)が確認されました。確認後直ちに、当該不正アクセスの遮断およびログの保全を行うとともに、外部の専門機関と連携し、侵入経路の特定、影響範囲の確定、原因究明を進めてきたとしています。事実関係の確認・影響範囲の精査に一定の期間を要したため、発生確認から約3週間後の7月14日の公表に至ったとしています。

調査の結果、外部に漏洩したことが確認されている情報は、SMS送信システムの管理コンソールに係るアカウント管理情報の一覧ファイルです。主な項目はアカウントID、企業名/営業所名、担当者名、都道府県・郵便番号、通知用メールアドレス等で、総レコード数は95,412件にのぼります。このうち、担当者名や個人を識別しうるメールアドレス等、個人情報に該当しうる情報を含む可能性があるレコードとして精査された件数は22,928件です。同社はこれらの件数についてアカウント管理上のレコード数または精査対象件数であり、対象となる本人の数とは一致しない場合があると注記しています。パスワード、パスワードハッシュ、APIキー、認証トークン、決済・請求に関する情報は当該一覧ファイルには含まれていないとしています。あわせて、SMS配信先であるエンドユーザーの電話番号・氏名・SMS送信本文・問い合わせ内容等についても、今回流出が確認されたファイルには含まれておらず、現時点で流出の事実は確認されていません。同社はそもそも配信先リストを保存するアドレス帳機能自体を持たず、配信先の情報を恒常的に保持していない旨も説明しています。

不正SMS送信の発生-B2Bインフラ事業者特有のリスク

今回の事案で特に注目すべきは、情報漏洩にとどまらず、この不正アクセスにより第三者が本システムを通じて実際に不正なSMSを送信した事実が確認されている点です。第1報の時点では、確認されている不正送信の件数は280件とされ、送信の内容・送信元アカウント・受信者への影響については調査中とされていました。7月17日公表の第2報では、この280件の不正送信が、侵入口となった特定1社のクライアントアカウントを通じて行われたものであり、それ以外のクライアントアカウントからの不正送信は確認されていないことが明らかにされています。したがって、同社から個別の連絡を受けていない契約企業については、不正送信が行われた事実はないとされています。

SMS送信システムは、事業者が自社の顧客に向けて通知・認証コード・キャンペーン案内等を送るために利用するB2Bインフラです。このような配信基盤が侵害されると、単に管理者側の情報が漏洩するだけでなく、攻撃者がそのプラットフォームの送信力自体を悪用し、正規の事業者になりすました形でエンドユーザーへ不審なSMS(スミッシング)を送りつけるという、二次的な被害の起点になりうる点が特徴です。今回、不正送信が特定1社の侵害されたアカウント経由に限定されていたことが確認されたのは、被害範囲を評価するうえで重要な進展だといえます。

第2報で判明した追加情報-個人情報保護法上の整理と対応の経緯

メディア4uが7月17日に公表した第2報では、FAQ形式で複数の追加情報が示されています。

まず、流出した情報の個人情報保護法上の該当性について、より詳細な整理が示されました。担当者名欄は正式な氏名でなくても登録可能な仕様になっており、氏名やメールアドレスが登録されていないレコードや、識別記号のみが登録されたレコードも多数含まれているため、流出したレコードのすべてが個人情報に該当するわけではないと説明されています。また、個人情報保護法上の報告・通知義務が生じるのは、個人情報の中でも体系的に構成された個人情報データベース等を構成する個人データの漏えい等についてであるとしたうえで、今回のファイルがこれに該当するかどうかは、本稿執筆時点で個人情報保護委員会と協議・確認中であり、整理が確定次第あらためて公表するとしています。

公表までに約3週間を要した理由についても説明が加えられました。影響範囲が判明していない段階で不確かな情報を伝えることは適切ではないと判断し、被害判明直後から被害範囲の調査と封じ込めを最優先として事実関係の確認を進めていたためだとしており、今回の事案を踏まえてインシデント発生時の通知基準や連絡フローを見直すとしています。なお、侵入口となった企業名や具体的な攻撃手法については、当事者保護、調査への影響、他の契約企業の保護の観点から、詳細の開示を差し控えるとしています。

このほか、契約企業向けの案内として、流出ファイル上のレコードは会社名およびメールアドレスのドメインにより判定・抽出したものであるため、各社の管理コンソール上のユーザー数と一致しない場合があること、OEM・販売代理店経由で同社サービスを利用している契約企業についても個別確認と順次の連絡を進めていることが説明されています。

現在の対応状況と再発防止策

同社グループは本件判明後、直ちに対応体制を構築し、(1)不正アクセスの侵入経路の特定および遮断、(2)不正利用防止のための予防的措置として全顧客アカウントに係る認証情報のリセットおよびパスワード再設定等の安全措置、(3)外部の専門機関と連携した調査・原因究明・再発防止策の検討、(4)関係する監督官庁・第三者機関への報告、を進めています。

第2報では、これに加えてセキュリティ強化の一環としてパスワードポリシーの強化を予定していることが明らかにされました。利用者側に対しても、管理コンソールのパスワード変更(特にログインIDと同一・推測されやすいもの、他サービスとの使い回しがあるものは速やかに)、パスワード強化オプション機能の活用、アクセス許可IPアドレス(IP制限)の設定、そして本件に乗じた不審なメール・SMSへの注意を呼びかけています。同社からの連絡でメール上のパスワード入力を求めることは一切ないとも明記しており、二次被害を狙ったフィッシングへの注意喚起も行っています。該当する顧客には個別に連絡のうえ必要な対応を案内するとしており、本件に関連すると思われる不審な連絡への注意と、心当たりのない連絡への非対応を呼びかけています。業績への影響については、本稿執筆時点で開示された続報はなく、開示すべき事項が生じた場合には速やかに公表するとしています。

情報システム部門への示唆

今回の事案は、当サイトで以前紹介したKDDIのISP事業者向けメールシステムへの不正アクセスとも共通する構造を持っています。いずれも、エンドユーザーに直接見える立場ではなく、他社にインフラ機能(メール配信・SMS配信)を提供する裏側の事業者が侵害されることで、その先にある無数の利用者・受信者にまで影響が及びうるという点です。自組織がこうしたSMS配信・メール配信等のインフラサービスを業務で利用している場合、提供元でセキュリティインシデントが発生した際に、自社が送信元として偽装利用されるリスクや、自社の顧客リストが管理コンソール経由で外部に漏洩するリスクを踏まえ、委託先選定時にはインシデント発生時の通知体制・対応スピードについてもあらかじめ確認しておくことをお勧めします。

また、今回の事案では、不正送信が侵入口となった特定1社のアカウント経由に限定されていたことが後日の調査で確認されており、初報の時点では調査中だった被害範囲が、段階的な調査を経て精緻化されていく過程が見て取れます。委託先からインシデントの一報を受けた際は、その時点の情報だけで安心・危険を判断せず、続報の有無を継続的に確認する姿勢が重要です。

自組織がこうしたB2Bインフラサービスを提供する側である場合、今回のように管理コンソールへの不正アクセスが、直接の契約者情報の漏洩にとどまらず、プラットフォームの機能自体を悪用した不正送信という二次被害に発展しうる点を踏まえ、管理コンソールへのアクセスに対する多要素認証の徹底、送信量・送信先の異常検知の仕組み、そして侵害発生時に迅速に全顧客アカウントの認証情報をリセットできる体制を平時から整えておくことが重要です。今回同社が全顧客アカウントの認証情報を一律リセットし、あわせてパスワードポリシーの強化にも着手した点は、被害拡大防止の観点から妥当な対応だと評価できます。