攻撃者の公開主張と会社の確認を分けるユニリタ第3報から読む確認範囲

資料で確認できること

第1報では特定の社内文書管理システムへの不正アクセスを確認

ユニリタは2026年9月29日の第1報で、前日の28日午後に社内システムからの情報漏えいの疑いを確認したと公表しました。9月28日13時30分ごろ、機密情報を含む各種情報を盗んだとする内容がウェブサイトで公表されている事実を把握したと説明しています。

同日時点で、同社が不正アクセスと情報の窃取を確認した範囲は、特定の社内文書管理システムに限定されていました。機密情報の改ざんや欠損、システム障害、業務への支障は確認されていない一方、他への影響を含む調査は継続中としていました。

• 資料 02株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第1報）

当事者の説明

10月14日に公開物へ自社情報が含まれることを確認

10月14日の第3報でユニリタは、攻撃者が同社環境から盗んだと主張する情報が公開されていることを10月12日に把握し、外部専門家と確認を進めた結果、14日に公開物へ同社の情報が含まれることを確認したと説明しました。関係当局へ必要な報告を行いながら、事実確認と対応を進めているとしています。

ここで確認されたのは、公開物にユニリタの情報が含まれていたという範囲です。攻撃者による説明のすべてが正しいと会社が認めたわけでも、同社が保有するすべての顧客情報が公開されたと発表したわけでもありません。

• 資料 01株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第3報）

未確認の点

漏えいファイルは特定したが、内容と対象者は解析中

10月15日の確認時点で、漏えいしたファイルの具体的な種類、件数、各ファイルに含まれる情報項目、対象となる顧客や関係者の人数、個人情報・機密情報の範囲、悪用や二次被害は、確認した公開資料だけでは確定できません。

ユニリタは漏えいしたファイル自体は特定したとしつつ、内容の解析や整理を進めています。対象となった顧客などには完了後に個別連絡すると説明しており、全顧客・全取引先が対象だと先回りして断定することも、連絡がまだないことを対象外の証明とみなすこともできません。

• 資料 01株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第3報）

確認の範囲

このコラムの確認範囲

本稿は2026年10月15日に取得したユニリタの9月29日付第1報と10月14日付第3報、IPAの10月9日付注意喚起を照合したものです。JBJはユニリタ、顧客、関係者、攻撃者への直接取材、社内システムやログ、公開物の独立調査を行っていません。掲載画像は資料を照合する姿勢を表した説明用イメージで、実際の会社・職員・設備・画面・文書・被害記録ではありません。

• 資料 01株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第3報）
• 資料 02株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第1報）
• 資料 03独立行政法人情報処理推進機構：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

大きな見出しだけでは、自分の情報が対象か判断できない

情報を盗んだとする攻撃者の投稿や、公開されたデータに関する見出しを見ても、顧客や取引先は、自分の情報が実際に含まれるのか、どの項目なのかをすぐには判断できません。会社の説明も調査の進行に合わせて更新されるため、第1報と第3報で確定した範囲が異なります。

本稿は、攻撃者の主張を事実認定の代わりに使いません。ユニリタが公開物を確認した結果と、まだ内容を解析・整理している範囲を分け、対象者への個別連絡を待つ間に残せる記録を整理します。

JBJの見解

公式発表、届いた連絡、取引関係、不審な接触を時系列で残す

関係がある可能性を感じた場合は、ユニリタとの契約・取引・問い合わせの種類、同社へ渡した情報、公式発表のURLと確認日時、個別連絡の有無、不審なメールや電話の受信日時と送信元を分けて記録してください。攻撃者側の公開サイトへアクセスしたり、公開物を再配布したりする必要はありません。

IPAは、公開サービスや外部サービスのログ、アカウント、保有データを点検し、異常を見つけた場合は専門家による詳細調査を進めるよう案内しています。組織側は、利用しているサービス、保有ログ、対象データ、連絡先を整理し、取引先への説明に備えることが重要です。

• 資料 01株式会社ユニリタ：不正アクセスの発生および情報漏えいに関するお知らせ（第3報）
• 資料 03独立行政法人情報処理推進機構：不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について

JBJの見解

説明責任を求めつつ、解析前の対象範囲を広げない

ユニリタには、対象ファイルの内容、顧客・関係者への通知、原因、侵入経路、被害拡大防止、再発防止を継続して説明する責任があります。対象者が自分の情報と必要な行動を判断できるよう、更新日と確認範囲を明示することも必要です。これらを求める批判は正当な論点です。

同時に、攻撃者の主張や公開物の存在だけから、未確認の顧客名、個人名、情報項目を推測して拡散することは避けるべきです。JBJは、会社が確認した範囲と未確認の範囲を分け、流出データそのものの拡散に加担しません。