デジタルアーツのi-FILTER@Cloudなどクラウド6サービスに不正アクセス、痕跡は2025年7月から — 全利用者に管理者・利用者のパスワード変更を要請
Webフィルタリング製品「i-FILTER」やメールセキュリティ製品「m-FILTER」で知られるデジタルアーツは2026年10月21日、クラウドサービスの運用環境と社内環境に不正アクセスの痕跡を見つけたと公表した。運用に使う認証情報を第三者に取得され、i-FILTER@Cloudなどクラウド6サービスの運用環境に侵入されていた。痕跡には2025年7月頃のものも含まれ、一部の利用者の情報が閲覧された可能性がある。同社はクラウド版の全利用者に、管理者用と利用者用のパスワードの変更を求めている。i-FILTERやm-FILTERは国内の中小企業、自治体、学校で広く使われており、クラウド版を契約している組織は今すぐ対応が必要である。
背景
デジタルアーツの発表（10月21日）によると、経緯は次のとおりである。
- 2025年7月頃：痕跡の中で最も古いもの
- 2026年10月9日：AIを使ってシステム・製品・社内環境を総点検し、従来の点検では見つからなかった不正アクセスの痕跡を発見
- 2026年10月21日：公表。全利用者にパスワード変更を依頼
対象は次の6つのクラウドサービスである。
- i-FILTER@Cloud（Webフィルタリング）
- m-FILTER@Cloud（Modern Edition）（メールセキュリティ）
- m-FILTER MailAdviser Microsoft 365対応版（誤送信対策）
- FINAL CODE@Cloud（ファイル暗号化・追跡）
- z-FILTER
- Desk
原因は、同社がクラウドサービスの運用に使う認証情報を第三者に取得され、その認証情報で運用環境に入られたことである。認証情報を取得された経路は公表されていない。閲覧された可能性のある情報の種類も示されていない。10月21日正午時点で、顧客情報の外部への持ち出し、悪用、二次被害は確認されていない。
同社は、不正アクセスに使われた認証情報の無効化、運用に使う認証情報とサーバー認証鍵の交換、不審なプログラムの停止を行い、サービスとネットワークの再構築を進めている。利用企業が自社のサーバーやパソコンに導入しているソフトウェア版は、今回の対象外である。
リスクの全体像
Webフィルタリングやメールセキュリティのクラウドサービスは、社員が見るWebサイトや、送受信するメールが通る場所にある。運用環境には、利用企業の設定、利用者のアカウント、通信やメールの記録が集まる。攻撃者がこの運用環境に入れば、利用企業ごとの環境に1社ずつ侵入しなくても、多くの組織の情報に届く。守りのための製品を提供する会社が、攻撃者にとっては効率のよい入口になる。
今回は、運用担当者の認証情報が使われた。パスワードや鍵が正規のものであれば、侵入は通常のログインと見分けにくい。痕跡が約1年3か月前までさかのぼることは、長期間気づかれなかった可能性を示している。
利用企業側で最も注意すべきは、管理者用パスワードである。管理画面に入られると、フィルタリングの例外設定やメールの転送設定を変えられ、社員が危険なサイトを開ける状態や、メールが外部に転送される状態を作られかねない。同社は持ち出しや悪用は確認していないとしているが、パスワードを変えるまでは、閲覧された可能性のある認証情報が使われる余地が残る。
チェックリスト
対象の6サービスのいずれかを契約している組織は、次の点を確かめる。
- 管理者用パスワードを変更したか。管理者アカウントが複数ある場合は全員分を変えたか
- 利用者用パスワードの変更を社員に周知し、変更が済んだかを確認できるか
- 変更したパスワードが、ほかのサービスや社内システムと同じになっていないか
- 管理画面のログイン履歴に、見覚えのない日時や場所からのログインがないか
- フィルタリングの例外リスト、メールの転送・配送ルール、管理者アカウントの一覧に、覚えのない変更がないか
- デジタルアーツから個別の連絡（追加対応の依頼）が届いていないか。届いたときに受け取る担当者と窓口が決まっているか
打ち手
最初に、管理者用パスワードを変更する。ほかで使っていない、長いパスワードにする。管理画面で二段階認証やアクセス元の制限が使える場合は、あわせて設定する。続いて、社員に利用者用パスワードの変更を依頼する。依頼のメールには、正規の変更手順と、デジタルアーツや情シスを名乗ってパスワードを聞き出す連絡には応じないことを書き添える。
パスワードを変えたら、管理画面のログイン履歴と設定の変更履歴を確かめる。2025年7月以降に、自社の担当者が覚えのない設定変更をしていないかを見る。気になる変更があれば、デジタルアーツの窓口（k-support@daj.co.jp）に連絡し、自社のテナントの調査結果を求める。
中長期では、セキュリティ製品を含むクラウドサービスの契約時に、運用側で侵害が起きたときの連絡期限と、自社の情報がどこまで見られうるかを確認しておく。今回のように運用会社の内部で侵入が起きた場合、利用企業にできるのは、自社のパスワードと設定を守ることと、早く知ることだけである。
あわせて読みたい
- お名前.com デスクトップクラウドに不正アクセス、最大2万6,739台のサーバーから情報が持ち出し、FX口座の不正取引も — クラウドに認証情報を置く中小企業が見直すこと
- メール配信サービス「ブラストメール」から全契約者の情報が持ち出し、配信も停止 — メルマガを外部サービスに頼る中小企業の初動
- 【要確認】Fortinet製品の認証情報漏えい（FortiBleed）― FortiGateの資格情報リセットとMFA有効化を
- 【はじめてのセキュリティ 第2回】パスワードと認証 ― 一番身近で一番大事な守り
Omamori AI の結論
- 事実: デジタルアーツの運用用の認証情報が第三者に取得され、i-FILTER@Cloudなどクラウド6サービスの運用環境に侵入された。痕跡は2025年7月頃までさかのぼり、一部利用者の情報が閲覧された可能性がある。
- 判断軸: セキュリティ製品のクラウド版は、多くの組織の設定と記録が集まる場所である。運用会社が侵害されても、自社のパスワードと設定で被害を止められるかを問う。
- 打ち手: 管理者用と利用者用のパスワードを今すぐ変更し、管理画面のログイン履歴と設定変更を確かめる。ソフトウェア版は対象外である。
経営者視点で考えるべきこと
セキュリティ製品を導入したことで、安心してしまっていないか。今回の事案は、守りのための製品を提供する会社自身が、1年以上前から侵入されていた可能性を示した。経営者は、情シスの担当者に「パスワードの変更は全員済んだか」「管理画面に覚えのない変更はないか」を確認し、その結果を報告させたい。あわせて、自社が使うセキュリティ製品やクラウドサービスの一覧と、それぞれの管理者が誰かを把握しておく。運用会社で事故が起きたとき、すぐに動ける担当者がいるかどうかで、自社の被害の大きさが変わる。
