業務用IT機器やクラウドサービスを手がけるバルテックは2026年10月22日、第三者からの不正アクセスにより、同社が保有する顧客情報の流出とみなされる事実が発生したことを確認したと発表した。原因はプログラミング言語「PHP」の脆弱性を標的としたサイバー攻撃としている。同社は人事労務・勤怠管理・経費精算・POSシステムなど20以上のサービスで、全部または一部の機能を停止して緊急メンテナンスを行っており、影響の範囲は調査中である。
顧客情報の「流出とみなされる事実」を確認
バルテックの発表によると、同社は第三者による不正アクセスで顧客情報の流出とみなされる事実が発生したことを確認し、一部のサービスを停止した。対象となる顧客や情報の件数・項目は明らかにしておらず、影響の範囲は調査中で改めて報告するとしている。
流出の原因として同社は「PHPの脆弱性を標的としたサイバー攻撃」と記している。PHPはWebサイトやWebアプリケーションを動かすために広く使われているプログラミング言語である。ただし、どの脆弱性が悪用されたのか、侵入がいつ始まったのかといった詳細は公表されていない。
停止しているサービスは業務の中核に及ぶ
停止中のサービスとして同社が挙げたのは、クラウド型の人事労務システム「MOT/HG」、飲食店向けの「MOT/Cloud（飲食版）」、WEB予約、ホテル向けの「MOT/Hotel」、「MOT経費精算」「MOT勤怠管理」「MOT/Shift」「MOT文書管理」「MOT/SFA」、施設予約システム、「MOT/WEB請求書」、面会予約システム、POSシステム（レジで販売情報を記録・管理するシステム）全般など20以上にのぼる。券売機の画像・音声ファイルのダウンロード機能や、サロン向けシステムの画像参照機能など、一部の機能だけを止めているものもある。
同社はサービスの復旧を最短で2026年10月26日中と見込んでいるが、状況によって遅れる可能性があるとしている。勤怠管理や経費精算、POSレジは日々の業務に直結するため、利用企業や店舗では当面、手作業などでの代替が必要になる可能性がある。
「修正したから終わり」ではなく、侵害の有無まで確かめる
脆弱性を突かれる攻撃では、修正版を当てる前に侵入されていれば、修正後も攻撃者が仕掛けた不正なプログラムが残っている可能性がある。すでに持ち出された情報は、修正版の適用で取り戻せるわけではない。脆弱性への対応は、修正版の適用と侵害の有無の確認をセットで考える必要がある。
自社でPHPを使ったWebサイトやシステムを運用している企業は、修正版の適用状況を確かめるだけでなく、サーバー上での不審なプログラムの動作や外部への通信、見覚えのないファイルの作成がないかを確認したい。また、バルテックのようなクラウドサービスを業務で利用している企業にとっては、委託先のサービスが止まったときに勤怠や会計、店舗のレジをどう回すかを事前に決めておくことも、事業を止めないための備えになる。
同じ手口に、自社は備えられていますか？