Onboarding不正アクセス管理者権限の取得と利用企業ごとの影響を分ける

資料で確認できること

10月14日未明に不正アクセス、同日13時40分に管理機能を停止

STANDSの説明では、不正アクセスは10月14日2時20分ごろから6時25分ごろまで行われ、同日10時ごろに事象を検知しました。同社は調査と影響範囲の確認を開始し、13時40分に管理画面などの関連機能を停止しています。

同社は10月16日に個人情報保護委員会へ報告し、10月21日に調査結果と対応状況を公表しました。出来事の日、検知・停止の日、委員会への報告日、公表日を分けて確認する必要があります。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

資料で確認できること

管理者パスワードの閲覧やガイド内容の改ざんを示す記録は確認されず

STANDSは、管理者のパスワードが閲覧・取得された事実は確認されていないと説明しています。ガイドの内容が改ざんされた形跡や、AIとの会話・履歴が攻撃者の指定先へ送信された記録も確認されていないとしています。

「確認されていない」は、公開時点の調査で根拠となる記録が見つかっていないという意味です。すべての影響が永久に否定されたことや、対象外の情報まで安全が保証されたことと同じではありません。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

当事者の説明

パスワードリセットの確認コード試行制限が不十分だったと説明

STANDSは、管理システムのパスワードリセット機能で確認コードの試行回数制限が不十分だったため、総当たり攻撃によって管理者権限を不正取得されたと説明しています。取得された権限から、複数の利用企業の管理画面へアクセスされたとしています。

会社の発表は原因をこの機能の不備として説明していますが、JBJはシステムのログ、攻撃コード、フォレンジック報告書を独立に確認していません。技術的な原因の最終評価は、今後の詳しい報告も含めて確認する必要があります。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

当事者の説明

管理者情報、利用状況の情報、設定情報などに閲覧・取得の可能性

会社は、利用企業の管理者の氏名、メールアドレス、ユーザーID、企業アカウント名が閲覧・取得された可能性があるとしています。エンドユーザーについては、IPアドレス、端末情報、UUID、ユーザーエージェント、利用企業が任意に設定した項目が対象として挙げられています。

一部の外部AIサービスの認証情報やシステムプロンプト設定が取得された可能性も示され、対象となる認証情報の無効化・変更とAI機能の停止が行われました。レポートのダウンロードURLが取得されたことも確認されましたが、実際にデータがダウンロードされたかは確認できないため、会社は可能性があるものとして扱っています。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

当事者の説明

不正アカウントを削除し、二要素認証とアクセス制限を導入

会社は、不正に作成されたアカウントや設定の削除、認証情報の変更、試行回数制限の強化、管理者への二要素認証の必須化、管理画面へのアクセス制限などを実施したとしています。影響を受けた利用企業には個別に連絡したと説明しています。

10月21日の発表時点で、管理機能と一部のAI機能は停止が続き、エンドユーザー向けのガイド表示は継続しています。停止機能の再開時期は確定していません。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

未確認の点

企業ごとの対象、実際のダウンロード、二次被害、再開時期は未確認

10月22日の確認時点で、利用企業ごとの具体的な対象項目、レポートデータが実際にダウンロードされたか、取得された情報が第三者に共有・悪用されたか、二次被害の有無、全機能の安全確認と再開時期は公式発表では確定していません。

個別通知を受けていない企業が直ちに対象外だと断定できるか、今後の調査で対象が追加・変更されるかも、公開ページだけでは判断できません。利用企業はSTANDSからの個別連絡と続報を優先してください。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

確認の範囲

このコラムの確認範囲

本稿は2026年10月22日に取得したSTANDSの10月21日付公式発表を確認したものです。JBJはSTANDS、利用企業、管理者、エンドユーザー、外部AI事業者、関係機関、攻撃者への直接取材や、システム・ログ・取得情報の独立調査を行っていません。掲載画像は資料と記録を照合する姿勢を表す説明用イメージで、STANDSや利用企業の実際の職員・利用者・設備・画面・資料・被害記録ではありません。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

JBJの見解

管理者権限の侵害と、利用企業ごとに異なる影響を同時に見る

管理者権限が不正に取得され、複数企業の管理画面へアクセスされたことは重大です。原因とされた試行回数制限の不備、管理機能の停止、影響を受けた企業への通知、再発防止策は具体的に検証される必要があります。

同時に、利用企業ごとに設定や取得された可能性のある情報が異なります。すべての利用企業、すべての管理者、すべてのエンドユーザーに同じ情報漏えいや改ざんが起きたと一括して扱うことはできません。

JBJの見解

契約、設定、通知、停止の影響、不審な動きを分けて記録する

利用企業は、契約・利用している機能、管理者アカウント、任意設定した項目、外部AI連携の有無、STANDSからの個別通知、停止した機能と業務への影響を整理してください。認証情報そのものを相談文や公開投稿へ記載しないでください。

不審なログイン、設定変更、メール、AI連携の動きがあれば、確認日時、画面、ログ、公式窓口へ照会した内容と回答を保存します。エンドユーザーへ案内する場合は、確定した対象と可能性のある範囲を区別します。

• 資料 01株式会社STANDS：当社サービス『Onboarding』への不正アクセスに関するお詫びとご報告

JBJの見解

運営会社の責任を検証し、利用企業や利用者への一括した非難を避ける

管理機能の認証対策が不十分だったとの説明がある以上、STANDSには、影響範囲の確定、個別通知、再発防止策の有効性、安全な再開条件を継続して説明する責任があります。利用企業が具体的な報告と改善を求めることは正当です。

一方、サービスを利用した企業や、その企業の従業員・利用者に攻撃の責任を広げる根拠はありません。JBJは運営会社を無条件に擁護せず、確認された不備と責任を扱いながら、資料にない断定や無関係な人への攻撃を分けます。