調査完了最終更新 2026-09-01

株式会社シーエスエム

サービス（BPO・コンタクトセンター・システム開発）／中小企業／群馬

不正アクセス

株式会社シーエスエム（群馬県高崎市）は2026年7月24日、同社ネットワークへの第三者による不正アクセスを公表した。7月13日に群馬県警から「FortiBleed」において同社IPアドレスの存在が確認されたとの連絡を受け、保守委託先ベンダーの調査で7月16日にFortiGate上に意図しない管理者アカウントが存在することが確認された。原因はFortiGateのプログラム上の脆弱性の悪用と判明した。同社は当該機器を撤去して別のファイアウォールに入れ替え、専門調査会社によるファスト・ディープフォレンジック調査とダークウェブ調査を実施。9月1日の最終報告で、不正アクセスはFortiGateへのアクセスにとどまり、社内ネットワークへの侵入、マルウェア感染、顧客情報等の漏えい・流出を示す事実は確認されなかったと公表した。

用語をタップで解説 ›

きっかけ・侵入経路

公式発表侵入経路

同社のネットワーク環境に設置したセキュリティ機器FortiGateに対し、外部の第三者が同機器のプログラム上の脆弱性を悪用して不正アクセスし、FortiGate上に意図しない管理者アカウントが作成されていた。機器の運用・保守と管理者権限の管理は保守ベンダーに全面委託しており、同アカウント作成は同社内部の操作や人為的な設定ミスによるものではないことを確認したとしている。

攻撃者不明（攻撃者は公表されていない）

被害・漏洩

公式発表

漏洩件数

推定・上限（漏洩の可能性）

なし（調査の範囲で漏えい・流出を示す事象は確認されなかった）

実際の漏洩はこれより少ない場合があります

確認済み（確定値）

未確認（最終報告で、お客様情報その他の情報資産の漏洩・流出を示す事実は確認されなかったと公表）

組織が把握できていないこと

脆弱性のCVE番号、不正アクセスの発生日時は公表されていない。「FortiBleed」は群馬県警からの連絡内容として最終報告に記載された名称。7月24日掲載の報告PDFは文書番号CSM-K002（7月23日付）であり、それ以前に顧客向けの報告があった可能性があるが、ウェブ上では確認できない。

対応と結末

公式発表経営層への説明に効く

身代金の要求

不明

身代金の支払い

不明

身代金要求がなかったため

復旧手段

不正アクセス検知後、直ちに該当システムへのアクセスを遮断。不正アクセスがあったFortiGateを撤去し別のファイアウォールに入れ替え。専門調査会社（デジタルデータソリューション社）によるフォレンジック調査・ダークウェブ調査を実施。警察・個人情報保護委員会等の関係機関に報告。7月23日付報告で、メール送受信を含め業務再開を妨げる要因は認められないとの専門調査会社の見解を受け、業務を再開することが妥当と判断したとしている。

再発防止策

グローバルIPアドレスの変更、海外からの通信を中心に不要なパケットを破棄するサイバー攻撃・不正通信対策の導入、クラウド連携型ネットワーク防御の導入による多層防御化を実施。保守ベンダーの助言を受けながら情報セキュリティ対策・監視体制の見直し・強化を継続するとしている。