加賀ソルネットのアカデミコナビ、不正アクセスによるサイバー攻撃で16万5,587名分の個人情報漏洩の恐れ|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月18日更新日時: 2026年08月18日

加賀ソルネット株式会社は2026年8月17日、ECサイト「アカデミコナビ」への不正アクセスに関する第二報を公表し、保護者または学生の個人データ16万5,587名分が漏えいしたことを確認したと発表しました。氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報が対象です。

同社は7月1日の第一報で、最大約17万件の情報が流出した可能性があるとしていました。外部専門機関によるフォレンジック調査と社内調査の結果、対象人数と情報項目が確定した一方、マイページのパスワードは漏えいしていないことが確認されました。クレジットカード情報などの決済情報はサイトで保持しておらず、流出の可能性はないとしています。

加賀ソルネット「アカデミコナビ」不正アクセスのサマリー

加賀ソルネットは2026年8月17日、外部専門機関によるフォレンジック調査と社内調査の完了を発表しました
漏えいが確認された個人データは、保護者または学生の合計16万5,587名分です
対象は2021年12月から2026年4月までにアカデミコナビへユーザー登録した利用者です
漏えいした情報は、氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報です
第一報では最大約17万件の「漏えいの可能性」でしたが、第二報では16万5,587名分の漏えいが確認されました
第一報で漏えいの可能性が示されていた暗号化済みマイページパスワードは、調査の結果、漏えいしていないことが確認されました
クレジットカード情報などの決済情報は、アカデミコナビが保持していないため流出の可能性はないとされています
原因は、ECサイトのシステム上の脆弱性を悪用した第三者による不正アクセスです
顧客情報を含むデータが不正に取得され、外部へ送出されたことが確認されています
悪用された脆弱性は対策済みですが、製品名、CVE番号、脆弱性の詳細は公表されていません
別途確認されたデータベースへの攻撃については、流出の有無と情報項目を特定できていません
不審なメールやフィッシングが疑われる連絡について複数の問い合わせがありますが、8月17日時点で本件に起因する被害は確認されていません
アカデミコナビは停止中で、新たなシステム基盤を構築した上で2026年10月末の再開を予定しています
加賀ソルネットは本件を個人情報保護委員会へ報告しています

項目	内容
第二報の公表日	2026年8月17日
第一報の公表日	2026年7月1日
不正アクセスの確認日	2026年6月22日
対象組織	加賀ソルネット株式会社 EMカンパニー
対象サービス	ECサイト「アカデミコナビ」
インシデント	システム上の脆弱性を悪用した不正アクセスとデータの不正取得・外部送出
侵入経路	システム上の脆弱性。具体的な脆弱性、製品、CVE番号は非公表
漏えいが確認された情報	氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報
対象件数	保護者または学生の合計16万5,587名分
対象期間	2021年12月～2026年4月にユーザー登録した利用者
パスワード	漏えいしていないことを確認
決済情報	サイトで保持しておらず、流出の可能性なし
二次被害	2026年8月17日時点で本件に起因する被害は未確認
サービスへの影響	サービスを一時停止中。2026年10月末の再開を予定
対応状況	脆弱性対策、システム基盤の新規構築、個別通知、監視・アクセス制御強化などを実施
個人情報保護委員会への報告	報告済み

最大約17万件の可能性から16万5,587名分の漏えい確認へ

加賀ソルネットは7月1日の第一報で、2026年6月22日に第三者による不正アクセスを確認し、サイトの一時停止とアクセス制限を行ったと説明していました。当時は調査中であり、2021年10月から2026年4月までに登録された最大約17万件の情報が流出した可能性があるとしていました。

今回の第二報では、ログ解析とデータ調査を踏まえ、次のように内容が更新されています。

項目	第一報（7月1日）	第二報（8月17日）
漏えいの状態	流出した可能性	漏えいを確認
対象件数	最大約17万件	16万5,587名分
対象期間	2021年10月～2026年4月	2021年12月～2026年4月
対象者	購入時にユーザー登録した利用者	会員登録した保護者または学生
情報項目	氏名、住所、連絡先、メールアドレス、暗号化済みパスワードなどの可能性	氏名、住所、電話番号、メールアドレス、会員ID、所属校情報、購入情報
マイページパスワード	含まれる可能性	漏えいしていないことを確認
決済情報	サイトで保持せず、流出の可能性なし	変更なし

第一報の段階では、約17万件すべてを「漏えい件数」と断定できませんでした。第二報では16万5,587名分について漏えいの事実が確認されたため、可能性から確定へ公表上の状態が変わっています。

セキュリティ対策Labでは、第一報について加賀ソルネットのアカデミコナビに不正アクセス、最大約17万件の個人情報漏えいの恐れとして報じています。

システム上の脆弱性を悪用し、データを外部へ送出

加賀ソルネットによると、本件はアカデミコナビのシステム上の脆弱性を悪用した第三者による不正アクセスです。攻撃者は顧客情報などを含むデータを不正に取得し、外部へ送出しました。

悪用された脆弱性はすでに対策済みです。ただし、脆弱性が存在した製品や機能、CVE番号、認証の要否、不正アクセスが継続した期間、攻撃者の情報は公表されていません。ランサムウェアや特定の攻撃グループとの関係を示す公式情報も確認できませんでした。

原因が脆弱性の悪用であることは確定していますが、公開情報から具体的な侵入手順や攻撃主体を推測することはできません。

氏名や所属校、購入情報を含む16万5,587名分が対象

漏えいが確認されたのは、2021年12月から2026年4月までにアカデミコナビへユーザー登録した利用者です。会員登録時に保護者または学生のいずれかが登録した情報が対象となります。

対象項目は次のとおりです。

氏名
住所
電話番号
メールアドレス
会員ID
所属校情報
購入情報

マイページのパスワードは、漏えいが確認されたファイルに含まれていませんでした。また、クレジットカード情報などの決済情報は外部の決済サービスで取り扱い、アカデミコナビ側では保持していないため、流出の可能性はないと説明しています。

決済情報を自社サイトで保持しない構成は、今回のインシデントにおける影響範囲の抑制につながりました。一方、所属校情報と購入情報が氏名や連絡先と組み合わされたため、利用者の属性や購入状況を踏まえた、説得力の高いなりすまし連絡に悪用されるリスクがあります。

データベースへの別の攻撃は流出の有無を特定できず

確定した16万5,587名分とは別に、加賀ソルネットはデータベースに対する攻撃も確認しています。同社はログを精査したものの、データが流出したかどうか、どの項目が対象だったかは特定できなかったと説明しました。

同社は、対象が極めて少量のデータであり、攻撃によって有用な情報は取得されなかったと評価しています。ただし、公表内容は「流出がなかったことを確認した」ではなく、「流出の有無と項目を特定できなかった」です。確定した漏えいデータと、流出の有無が未特定のデータを分けて捉える必要があります。

不審メールなどの問い合わせはあるが、二次被害は未確認

加賀ソルネットには、不審なメールやフィッシングが疑われる連絡を受けた利用者から、複数の問い合わせが寄せられています。ただし、2026年8月17日時点で、本件に起因する金銭被害やアカウント侵害などは確認されていません。

今後想定される二次被害には、次のようなものがあります。

加賀ソルネットやアカデミコナビを装うフィッシングメール
学校やPC販売事業者を装うメール、SMS、電話
購入商品や所属校を示して信用させるなりすまし連絡
配送、返金、注文確認、セキュリティ確認を名目とする偽サイトへの誘導
保護者や学生を標的とした詐欺電話やソーシャルエンジニアリング

加賀ソルネットが電話やメールで、パスワード、クレジットカード番号、暗証番号を尋ねることはないと案内しています。不審なメッセージに記載されたURLを開かず、公式サイトを直接確認することが重要です。

今回の漏えい対象にマイページパスワードは含まれていません。ただし、同社は他サービスと同じパスワードを利用している場合、念のため変更を検討するよう呼びかけています。これはパスワード漏えいが確認されたためではなく、使い回しに伴う一般的なリスクを抑えるための予防措置です。

対象者へ個別通知、サイト再開は2026年10月末を予定

加賀ソルネットは、対象者へ電子メールで個別通知を送付済みです。メールが届かなかった利用者については、書面を郵送する準備を進めています。

アカデミコナビは現在もサービスを停止しており、安全性の確認とシステム基盤の新規構築を進めています。再稼働は2026年10月末を予定していますが、新規構築と安全性確認の進捗によって変更される可能性があります。

公表された再発防止策とセキュリティ強化策は次のとおりです。

システム基盤の新規構築とソフトウェア・セキュリティ機能の強化
管理機能へのアクセス制御強化
ログ監視と異常検知体制の強化
サービス再開前の第三者による脆弱性診断
攻撃表面管理（ASM）を用いた継続的な脆弱性確認
インシデント対応手順の見直しとセキュリティ教育の強化

脆弱性の修正だけで既存環境を再開するのではなく、システム基盤を新たに構築し、第三者診断を経て再稼働する方針です。インシデントの影響は情報漏えいだけでなく、6月22日の検知から少なくとも10月末まで続くサービス停止にも及んでいます。

情報システム部門への示唆

今回の事案では、決済情報をECサイト内に保持していなかったことにより、クレジットカード情報の流出リスクが抑えられました。情報システム部門は、個人情報や決済情報を「必要だから保存する」のではなく、保持しない、保持期間を短くする、外部の専門サービスへ分離するといったデータ最小化を進める必要があります。

一方で、氏名や連絡先だけでなく、所属校と購入情報が漏えいしたことで、攻撃者が利用者との関係性を装いやすい状態になりました。漏えい後の注意喚起は「不審メールに注意」だけで終わらせず、どの組織や用件を装う可能性があるかまで具体化することが重要です。

システム運用では、ASMによるインターネット公開資産の把握、脆弱性診断、パッチ管理、管理機能へのアクセス制御を一連の運用として設計します。攻撃を検知した後に流出の有無を判断できるよう、Web、アプリケーション、データベース、認証基盤、外部通信のログを、改ざんされにくい環境へ必要な期間保管することも必要です。

また、復旧計画ではシステムの修正だけでなく、全面再構築が必要になった場合の期間と代替業務も想定する必要があります。ECサイトの長期停止は、売上だけでなく、学校や学生への納品、問い合わせ対応、取引先との調整にも影響します。事業継続計画とインシデント対応計画を分離せず、再開条件、第三者診断、経営判断、利用者への通知まで事前に定めておくことが求められます。