シチズン時計は2026年10月6日、ブランドサイトのお問い合わせ受付に利用していたシステムの提供元である株式会社スカラコミュニケーションズのサーバーが不正アクセスを受け、約10万人分の氏名、住所、電話番号、メールアドレスなどが不正に取得された可能性があると発表した。前日の10月5日には大和証券も、同じスカラコミュニケーションズへの不正アクセスで顧客約11万人分の情報が漏えいした可能性を公表している。両社が説明する不正アクセスの発生時間帯は一致しており、スカラコミュニケーションズの親会社であるスカラは、同一サーバー上で稼働していた最大5社の環境から問い合わせ情報が漏えいした可能性があるとしている。
時計メーカーと証券会社、共通点は「問い合わせ受付」の委託先
シチズン時計の発表によると、対象となったのは、シチズン、ブローバ、フレデリック・コンスタントの各ブランドのWebサイトに設置したお問い合わせフォームから寄せられた問い合わせ情報である。スカラコミュニケーションズから2026年10月3日に報告を受けたもので、同社によれば不正アクセスは10月2日20時33分頃から10月3日8時1分頃にかけて発生した。
漏えいした可能性があるのは、10月3日時点でシステムに保存されていた約10万人分の氏名、住所、電話番号、メールアドレスなどである。問い合わせ内容の欄に銀行口座情報やクレジットカード情報などを書き込んでいた場合は、それらも漏えいした可能性があるという。ECサイトや会員制サービス、生産システム、社内ネットワークなど、シチズン時計自身のシステムへのアクセスは確認されておらず、発表時点で二次被害も確認されていない。
一方、大和証券が10月5日に公表した内容によると、インターネット経由の問い合わせ内容の管理などに使っていたスカラコミュニケーションズのサービスで、約11万人分の氏名、メールアドレス、口座番号などが漏えいした可能性があるという。個人を特定できない問い合わせも含めると約22万件になる。同社が示した不正アクセスの時間帯も、10月2日20時33分頃から10月3日8時1分頃までで、シチズン時計の説明と同じである。
業種も顧客層も異なる2社だが、Webサイトに届いた問い合わせを外部のサービスで受け付け、その履歴を委託先のサーバーに保存していた点が共通している。
委託先の説明：FAQシステムの管理サイトに不正ログイン
スカラは10月6日、連結子会社であるスカラコミュニケーションズが提供するFAQシステム「i-ask」が不正アクセスを受けたと発表した。それによると、第三者が10月2日20時30分頃から10月3日8時頃にかけてi-askの管理サイトに不正にログインし、サーバー上に不正なプログラムを設置したうえで、同じサーバー上で稼働していた利用企業向け環境のデータベースから問い合わせ情報を取得した可能性があるという。10月3日朝にデータベースの監視アラートをきっかけに調査を始め、同日8時頃に不正アクセスを遮断した。
漏えいした可能性があるのは、同一サーバー上で稼働していた最大5社分の環境に保存されていた問い合わせ情報で、件数は最大71万3,126件とされる。これは問い合わせ単位の延べ件数で、同じ人による複数回の問い合わせを重複して数えており、実際の人数については、同じ人物の重複をまとめる「名寄せ」の作業を進めている段階である。スカラは利用企業名の公表を控えている。シチズン時計と大和証券の発表には「i-ask」の名称は出てこないが、両社とも委託先をスカラコミュニケーションズとしており、不正アクセスの時間帯も一致している。
スカラコミュニケーションズは、不正ログインに使われたアカウントのパスワード変更、攻撃元IPアドレスからのアクセス遮断、設置された不正プログラムの隔離、全環境の管理者アカウントのパスワード変更などを実施した。外部の専門調査機関によるフォレンジック調査（侵害の痕跡を調べる調査）を進めており、個人情報保護委員会へも報告済みとしている。なお、管理サイトへのログインに使われた認証情報がどのように入手されたのかは、現時点で公表されていない。
「1社の侵害」が複数の委託元に同時に及ぶ構造
今回の事案で注目すべきは、1つの委託先への侵害が、互いに関係のない複数の企業の顧客情報に同時に及んだ点である。問い合わせ受付やFAQのようなSaaS（インターネット経由で利用するソフトウェア）は、複数の企業が同じ基盤を共有して使う形が一般的である。スカラの説明によれば、今回は管理サイトへの不正ログインを起点に、同じサーバー上の複数社の環境へ被害が広がった可能性がある。委託元から見れば、自社のセキュリティ対策とは無関係のところで情報が流出した可能性があることになる。
シチズン時計は別システムへの移行を進めている最中で、問題のシステムは新規の問い合わせ受付には使っていなかったが、一部の継続的な対応のために限定的に利用しており、問い合わせ情報も保存されていた。同社は2026年10月中旬に利用を終了し、保管されている個人情報は全て削除する予定としている。利用終了が決まったシステムでも、データを削除するまでは顧客情報が保存され続けている点には注意が必要だ。
問い合わせフォームは、どの企業のWebサイトにもある身近な窓口だ。そこに寄せられた情報が、どの委託先の、どのサーバーに、どれだけの期間保存されているのか。複数社で基盤を共有しているのか、管理画面へのログインに多要素認証が使われているのか。委託先の一覧を作るだけでなく、こうした具体的な点まで把握しておくことが、委託元に求められている。
同じ手口に、自社は備えられていますか？