アルビオンで従業員情報5613人分漏洩か、外部システムへの不正アクセスが原因

脅威ニュース

アルビオンで従業員情報5613人分が漏洩した可能性。外部システムプロバイダーへの不正アクセスが原因。企業を狙うサプライチェーン攻撃の対策方法を現役CSIRTが解説します。

2025.10.26

コーセー傘下の化粧品会社アルビオンで、従業員や退職者など5613人分の個人情報が漏洩した可能性があることが明らかになりました。この事件は、アルビオン自体への攻撃ではなく、同社にシステムを提供する外部会社への不正アクセスが原因という点で、現代のサイバーセキュリティ脅威の典型例と言えるでしょう。

事件の概要と被害状況

2025年10月9日昼過ぎ、アルビオンにシステムサービスを提供する外部会社が不正アクセスを受けました。漏洩した可能性のある情報は以下の通りです：

幸い、顧客情報やクレジットカード情報、マイナンバーなどの機密度の高い情報は含まれていませんでした。現時点で具体的な被害も確認されていません。

今回のアルビオンの事件は、典型的な「サプライチェーン攻撃」の事例です。現役のCSIRTメンバーとして数多くのインシデント対応を行ってきた経験から言うと、この手の攻撃は近年急激に増加しています。

サプライチェーン攻撃とは、標的企業を直接攻撃するのではなく、その企業と取引関係にある第三者企業（サプライヤー）を攻撃し、そこを足がかりに本来の標的にアクセスする手法です。

大企業は自社のセキュリティ対策を強化していますが、取引先の中小企業やシステム提供会社のセキュリティレベルは様々です。攻撃者は「最も弱い輪」を狙って攻撃を仕掛けてきます。

実際のフォレンジック調査では、以下のような経路で攻撃が行われるケースを多く確認しています：

基本中の基本ですが、アンチウイルスソフトの導入は必須です。特に外部システムと連携している企業では、マルウェアの侵入を防ぐ最初の防御線となります。リアルタイム検知機能やヒューリスティック検知を備えた製品を選ぶことが重要です。

リモートワークが一般的になった現在、VPN を使用した通信の暗号化は欠かせません。特に外部システムへアクセスする際は、通信経路での盗聴や中間者攻撃を防ぐため、信頼できるVPNサービスの利用を強く推奨します。

自社のWebサイトが攻撃の入り口にならないよう、定期的なWebサイト脆弱性診断サービスの実施が重要です。SQLインジェクション、クロスサイトスクリプティング、設定不備など、様々な脆弱性を事前に発見・修正することで、サプライチェーン攻撃の標的になるリスクを軽減できます。

アルビオンの対応を見ると、迅速なシステム遮断と透明性のある情報開示が行われており、インシデントレスポンスの観点では評価できます。しかし、今回の事件から学ぶべき教訓があります：

外部システム提供会社のセキュリティレベルを定期的に評価し、契約時にセキュリティ要件を明確に定めることが不可欠です。また、インシデント発生時の連絡体制や責任範囲についても事前に取り決めておく必要があります。

一つのセキュリティ対策に頼るのではなく、複数の防御策を組み合わせた多層防御が重要です。ネットワーク監視、エンドポイント保護、ユーザー教育など、様々な角度からセキュリティを強化する必要があります。

今回のアルビオンの事件は、現代のサイバー脅威の複雑さを物語っています。どれだけ自社のセキュリティを強化しても、サプライチェーン全体でセキュリティレベルを向上させなければ、完全な防御は困難です。

個人や中小企業の皆さんには、基本的なセキュリティ対策の徹底と、信頼できるセキュリティソリューションの導入をお勧めします。サイバー攻撃は他人事ではありません。今すぐできる対策から始めることが、将来の大きな被害を防ぐ第一歩となるでしょう。