paperlogic不正アクセスの続報会社の調査結果と、残る確認事項

資料で確認できること

8月27日に不正アクセスを検知し、9月1日に初報

ペーパーロジックは2026年9月1日、8月27日に利用中のクラウドサーバーで第三者による不正アクセスと通常とは異なる動作を検知したと公表しました。外部アクセスの遮断、関係する認証情報の無効化、システム停止などの緊急措置を講じたとしています。

初報時点でも、顧客等の個人情報や契約書等の秘密情報について、第三者からのアクセスや外部漏えいの事実は確認されていないと説明していました。ただし、より精密な調査を続け、必要な事項が判明すれば知らせるとしていました。

• 資料 01ペーパーロジック株式会社：当社サービスへの不正アクセスに関するお知らせ

当事者の説明

10月9日の続報は、取得・外部送信を示す事実を認めなかったと説明

ペーパーロジックは10月9日、徹底的な調査と網羅的な検証を行った結果として、顧客が保管した文書、顧客データベース内の個人情報、顧客の認証情報について、攻撃者によるとみられる取得・外部送信などを示す事実は一切認められなかったと公表しました。

同社は、8月27日の封じ込めと緊急対策、9月1日の顧客通知・公表・個人情報保護委員会への報告、9月以降の再発防止策と恒久対策、マルウェア検査による安全性確認を時系列で示しました。さらに、権限・認証情報管理、環境管理、ソースコード内の認証情報検知、ログ・監視、異常通知、定期点検を強化するとしています。

• 資料 02ペーパーロジック株式会社：9月1日付『当社サービスへの不正アクセスに関するお知らせ』の続報

未確認の点

調査方法の詳細や、将来の安全を保証する資料ではない

公開資料には、調査を行った外部機関の名称、対象ログの保存期間、検証手法、侵入者が到達した具体的なシステム範囲、脆弱性や認証情報が悪用された経路の詳細は示されていません。JBJは調査記録や顧客環境を独立に確認していません。

『示す事実は認められなかった』という調査結果は、『不正アクセスがなかった』という意味でも、将来の事故が起きないという保証でもありません。公表文から確認できるのは、同社が調査対象とした顧客文書・個人情報・認証情報についての現在の説明です。

確認の範囲

このコラムの確認範囲

本稿は2026年10月10日に取得したペーパーロジックの9月1日付初報と10月9日付続報、IPAの10月9日付注意喚起を照合したものです。JBJは同社のシステム、ログ、顧客データ、調査報告書を独立に検証していません。掲載画像は初報と調査結果を照合する姿勢を表した説明用イメージで、実際の会社・職員・画面・資料・被害記録ではありません。

• 資料 01ペーパーロジック株式会社：当社サービスへの不正アクセスに関するお知らせ
• 資料 02ペーパーロジック株式会社：9月1日付『当社サービスへの不正アクセスに関するお知らせ』の続報
• 資料 03独立行政法人情報処理推進機構（IPA）：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

初報と続報で、何が確認され、何が残っているか

不正アクセスの初報だけが残ると、顧客の文書や認証情報が流出したと受け取られることがあります。反対に、後日の『取得・外部送信を示す事実は認められなかった』という説明だけを読むと、侵入自体がなかったようにも見えます。

今回の二つの公式発表は、不正アクセスを確認した事実と、調査で顧客情報の取得・外部送信を示す事実が認められなかったという結果を同時に示しています。どちらか一方を消すのではなく、調査の進行として読む必要があります。

JBJの見解

『漏えいなし』という短縮は、調査結果の条件を落としやすい

続報を『漏えいなし』の一語に縮めると、何を調べ、どの表現で結果を示したかが抜け落ちます。逆に、初報の『不正アクセス』だけを残すと、調査で更新された情報が読者へ届きません。

事業者に対し、侵入経路や再発防止の具体性を求める批判は正当です。その批判を支えるためにも、確認された侵入、調査対象、認められなかった証拠、公開されていない事項を分けて示すことが必要です。

JBJの見解

利用者と発信者が残すべき初報・続報・個別通知

利用者は、9月1日の初報、10月9日の続報、個別に届いた案内、サービスの利用状況、不審なログインや通知の有無を分けて保存してください。契約書、認証情報、顧客データなどの内容をSNSへ公開して確認を求めないでください。

記事や投稿を更新する側は、最初に紹介したURLを残し、続報のURLと公表日、確認した日を追記します。以前の表現が現在の説明と食い違う場合は、訂正内容と更新日を明示すると、読者が判断の変化を追いやすくなります。

• 資料 01ペーパーロジック株式会社：当社サービスへの不正アクセスに関するお知らせ
• 資料 02ペーパーロジック株式会社：9月1日付『当社サービスへの不正アクセスに関するお知らせ』の続報

JBJの見解

続報を評価しつつ、残る説明課題も切り分ける

顧客文書・個人情報・認証情報の取得や外部送信を示す事実が認められなかったという続報は、利用者と取引先が判断するための重要な更新です。同時に、不正アクセスが起きた原因、公開されていない調査方法、再発防止策の実施状況を確認する必要は残ります。

IPAも10月9日、相次ぐ不正アクセスを受け、外部公開アプリケーションやアカウント侵害などの点検を呼びかけました。JBJは、一社の続報を過度に一般化せず、組織ごとの公式資料と更新履歴を追うことが信頼回復の基礎だと考えます。

• 資料 03独立行政法人情報処理推進機構（IPA）：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について