店舗向けPOS「FreePOS」や勤怠・経費精算「MOT」のバルテックに不正アクセス、利用企業875社分の売上データなどが流出 — 全サービスでパスワードを強制リセット、使い回しを今日断つ
POSレジ「FreePOS」や勤怠管理・経費精算の「MOT」シリーズを提供する株式会社バルテックは2026年10月26日、不正アクセスの第三報を公表した。第三者が同社サービスのプログラムの脆弱性を突いてサーバーに入り、不正なプログラム（マルウェア）を置いて、一部のデータを外部へ送っていた。流出したのは、サービス契約企業の企業情報1,213件と、875社分の売上などのデータである。POSや券売機では、ログインID・パスワード・氏名・電話番号・メールアドレスまで対象になった。飲食店や美容室、小売店など、店の会計や従業員の勤怠をクラウドに預けている中小企業にとって、他人事ではない事案である。
背景
バルテックの公表をたどると、経緯は次のとおりである。
- 10月22日（第一報）：第三者の不正アクセスで顧客情報が流出したとみられる事実を確認し、MOT/Cloud、WEB予約、MOT経費精算、MOT勤怠管理、POSシステム全般、FreePOS管理サイトなど20以上のサービスを停止して緊急メンテナンスに入った
- 同日の第一報では原因を「PHPの脆弱性を標的とした攻撃」としたが、後に誤りと訂正した。別に進めていたPHPの脆弱性対応と混同したもので、実際の原因は同社サービス自体の脆弱性だった
- 10月23日（第二報）：調査状況を報告
- 10月25日時点：停止中のサービスのサーバー内部にマルウェアが置かれ、内部の情報を閲覧できる状態だったことが判明。関連サービスを含む全サーバーを停止し、ネットワークから切り離した
- 10月26日（第三報）：一部のデータが外部へ送られた事実を確認したと公表。脆弱性を修正し、新しく作ったサーバー環境へ移して、同日から順次サービスを再開するとした
第三報によると、サービスごとの状況は次のとおりである。
- 流出を確認：POSシステム（FreePOS）、BeSHOKU、BeSALO、券売機（いずれも一部の顧客）。対象はログインID、パスワード、氏名、電話番号、メールアドレスなどの利用者情報と売上情報
- 流出を確認：MOT/HG、MOT/Cloud管理システム、MOT経費精算、MOT勤怠管理（いずれも一部の顧客）。対象は氏名、電話番号、メールアドレスなどの利用者情報
- アクセスの形跡はあるが流出なし：WEB予約システム、施設予約システム
- 調査中：MOT/REC、MOT/WEB請求書システム、MOT/Shift、MOT文書管理、MOT/SFA、MOT/Hotel、ぱっとスル、私のセミナー、面会予約システムなど
個人情報の流出件数は調査中で、該当する顧客には同社から個別に連絡している。全サービスでアカウントのパスワードを同社側で一括リセット（強制変更）し、変更の手順はサービス再開時に個別に案内するとしている。公表文には、流出したパスワードが暗号化されていたかどうかは書かれていない。
リスクの全体像
今回の事案で利用企業が負うリスクは、大きく3つある。
1つ目は、店の売上データが外に出たことである。日々の売上、商品ごとの売れ行き、時間帯ごとの客数は、店の経営そのものを映す。個人情報ではないため法律上の報告義務は生じにくいが、取引先や競合に知られたくない情報であることに変わりはない。
2つ目は、ログインIDとパスワードの流出である。POSや券売機の管理画面に使っていたパスワードを、メールやネットバンキング、ほかのクラウドサービスでも使っていれば、そちらに入られるおそれがある。バルテックがパスワードを一括でリセットしても、ほかのサービスで同じパスワードを使っていれば、そこは守れない。
3つ目は、従業員や顧客の連絡先が、なりすましの連絡に使われることである。氏名・電話番号・メールアドレスと「バルテックのサービスを使っている店」という事実がそろえば、「パスワード再設定のお願い」「サービス再開のご案内」を装った偽メールや偽電話を作りやすい。同社は再開時に個別に案内すると公表しており、その案内に紛れた偽の連絡が届くことは十分に考えられる。
勤怠管理や経費精算のデータには従業員の個人情報が入る。従業員の情報が流出していれば、利用企業は委託元として、従業員への説明や個人情報保護委員会への報告の要否を判断する立場になる。
チェックリスト
バルテックのサービスを使っている企業は、まず次の点を確かめる。
- 自社が使っているサービス名（FreePOS、BeSHOKU、BeSALO、券売機、MOTの各サービスなど）と、それぞれが第三報のどの区分（流出確認・流出なし・調査中）に入るか
- バルテックから個別の連絡が届いているか。届いていなくても、サポートヘルプデスク（0120-863-366、平日9:00〜17:30）に該当の有無を確認したか
- 管理画面のパスワードを、ほかのサービス（メール、ネットバンキング、ECモール、会計ソフトなど）でも使っていないか
- POSや勤怠管理に、従業員や顧客の氏名・電話番号・メールアドレスをどれだけ登録しているか
- パスワード再設定の案内が届いたとき、本物かどうかを何で確かめるか（同社サイトの告知、契約時の担当者、公表されている電話番号）を店のスタッフに伝えたか
打ち手
最初にやるべきことは、管理画面と同じパスワードを使っているほかのサービスのパスワードを変えることである。バルテック側のリセットを待つ必要はない。店長やオーナーが複数の店舗や業務で同じパスワードを使い回していることは多い。今日のうちに洗い出し、二段階認証を設定できるサービスでは有効にしておく。
次に、店のスタッフに「バルテックを名乗るメールや電話でパスワードを聞かれても答えない」「再設定のリンクはメールから開かず、公式サイトから操作する」と伝える。パスワードを変える場面は、偽の連絡が最も効く場面でもある。
従業員の情報が流出の対象に入っていた場合は、従業員に事実を伝え、不審な連絡に注意するよう呼びかける。個人情報保護委員会への報告が必要かどうかは、バルテックからの連絡内容を元に、顧問の弁護士や社労士と判断する。
中長期では、業務クラウドの提供元で事故が起きたときの段取りを決めておく。どのサービスに何の情報を預けているか、事業者から連絡が来たときに社内で誰が判断し、誰に知らせるかを一覧にしておけば、今回のような公表があっても慌てずに済む。
あわせて読みたい
- デジタルアーツのi-FILTER@Cloudなどクラウド6サービスに不正アクセス、痕跡は2025年7月から — 全利用者に管理者・利用者のパスワード変更を要請
- ECサイト構築サービス「futureshop」に不正アクセス、1店舗の会員約315万件が流出 — SaaS型ECで出店する中小企業が確かめること
- 第一生命の人事システムに不正アクセス、従業員と退職者約12万人分の情報が流出か。自社の人事・勤怠システムと退職者データの確認点
- コメ兵グループの注文情報473件がEC一元管理システム「WASABI SWITCH」経由で流出、返金を装う詐欺メールも — 複数モールの受注をまとめる中小EC事業者の確認点
Omamori AI の結論
- 事実: バルテックのサービスの脆弱性を突かれ、契約企業の企業情報1,213件と875社分の売上などのデータが外部へ送られた。POSや券売機ではログインIDとパスワードも流出の対象になった。
- 判断軸: 提供元がパスワードをリセットしても、同じパスワードを使うほかのサービスは守れない。自社で使い回しを断てるかを問う。
- 打ち手: 使い回しているパスワードを今日中に変え、二段階認証を有効にする。店のスタッフには、再設定を装う偽の連絡への注意を伝える。
経営者視点で考えるべきこと
POSレジや勤怠管理は、導入したら毎日使うだけで、どの会社のどのサーバーに何が置かれているかを意識することは少ない。しかし今回、利用企業は何もしていないのに、売上データと従業員の連絡先を外に出され、パスワードの変更とスタッフへの注意喚起を負うことになった。経営者は、自社の会計・勤怠・予約を支えるクラウドサービスを一覧にし、それぞれに何を預けているか、提供元で事故が起きたら誰が対応するかを決めておきたい。年に一度、パスワードの使い回しがないかを確かめる日を設けるだけでも、被害の広がりは大きく変わる。
