調査完了最終更新 2026-06-12
株式会社UPSIDER
金融（法人カード・決済） ／ 未公表 ／ 東京
不正アクセスサービス停止
UPSIDERが利用していたオープンソースパッケージに悪意のあるプログラムが混入されたサプライチェーン攻撃を端緒に、2026年3月24日に開発者端末が侵害され、同社システムへの不正アクセスが発生した。3月25日と31日に認証情報の漏えい通知を受領し、4月1日3時40分に被害拡大防止のシステム保護機能が作動して法人カード「UPSIDER」「PRESIDENT CARD」「AI経理」が一時停止した（同日12時20分にカード決済が全面復旧、4月9日までに全機能を段階的に復旧）。同社は4月10日に不正アクセスを公表し、6月12日の最終報告で、カード情報への不正アクセス・持ち出しの痕跡はなく、個人情報・法人情報の流出の可能性は極めて低いと判断したとした。
用語をタップで解説 ›
きっかけ・侵入経路
公式発表侵入経路
システム開発で使用していた外部ソフトウェア（オープンソースパッケージ）に悪意のあるプログラムが混入され、その実行により2026年3月24日に開発者端末が侵害された。これを経由してシステム内部へのアクセスが可能となった。3月25日に一部認証情報の漏えい通知を受けて無効化したが、3月31日に異なる認証情報の漏えい通知を受領した。
攻撃者不明（攻撃者は公表されていない）
被害・漏洩
公式発表漏洩件数
推定・上限（漏洩の可能性）
個人情報・法人情報の流出の可能性は極めて低いと判断（第三者機関の調査評価に基づく同社の判断）。攻撃者が一部の外部サービス上の情報にアクセスし得た期間があったとしている。
実際の漏洩はこれより少ない場合があります
確認済み（確定値）
なし（カード情報・個人情報・法人情報とも外部流出を示す事実・痕跡は確認されなかった）
含まれない情報：カード番号はトークン化された識別子のみで管理し、カード番号・暗証番号・セキュリティコードは侵害ネットワーク内に保持していない。外部調査でもこれらへの不正アクセス・持ち出しの痕跡は確認されなかった。
組織が把握できていないこと
混入されたOSSパッケージ名、漏えいした認証情報の種類、攻撃者は公表されていない。2026年6月10日に同社は法人カード「UPSIDER」システムで「通常とは異なるアクセス急増」を検知し一部機能を一時停止したと告知しているが、本件との関係は公式に示されていないため本件には含めていない。
対応と結末
公式発表経営層への説明に効く身代金の要求
不明
身代金の支払い
不明
身代金要求がなかったため
復旧手段
4月1日10時57分にログイン機能・管理画面、12時20分にカード決済機能が全面復旧し、4月9日までに全機能を段階的に復旧。攻撃の起点となった端末の隔離・確保、本番環境へのアクセス制限の厳格化等の初期対応を完了。個人情報保護委員会をはじめとする関係当局へ報告。外部セキュリティ専門機関によるフォレンジック調査を実施し、5月20日に全ログ精査・影響範囲の特定が完了。
再発防止策
内部アクセス制御の更なる厳格化、予兆を早期に捉える多角的な分析基盤と体制の強化など、技術と運用体制の両面でセキュリティ強化を進めるとしている。
組織自身の分析・教訓
公式発表組織が自ら公表した、被害が拡大・長期化した要因。自社の点検に役立ちます。
原因不正アクセスの原因はOSSパッケージを通じた開発用端末の侵害、サービス停止の原因は不正アクセスに伴う異常検知でシステム保護機能が作動しサーバーが停止したためと説明。4月1日の停止は攻撃によるシステムダウンではなく被害拡大を防ぐ措置だったとしている。
経緯
2026-03-24
初期侵入
悪意のあるプログラムが混入されたOSSパッケージの実行により開発者端末が侵害される。
2026-03-25
検知
一部認証情報の漏えい通知を受領し、当該情報を即時無効化（一次対応）。
2026-03-31
初動対応
異なる認証情報の漏えい通知を受領し対策本部を設置、全域を対象とした調査・緊急対応を開始。
2026-04-01
発生
3時40分、被害拡大防止のシステム保護機能が作動し全サービスが一時停止。同日「決済および機能における不具合のお知らせ」を掲載。
2026-04-01
復旧
10時57分にログイン機能・管理画面、12時20分にカード決済機能が全面復旧。
2026-04-09
正常化
この日までに全機能を段階的に復旧。
2026-04-10
公表
システム障害の原因として第三者による不正アクセスの発生を公表。外部専門機関によるフォレンジック調査を開始。
2026-05-20
調査完了
外部機関による全ログ精査・影響範囲の特定が完了。
2026-06-12
続報
最終報告を公表。カード情報への不正アクセス・持ち出しの痕跡なし、個人情報・法人情報の流出の可能性は極めて低いと判断。
影響
サービス一時停止2026年4月1日3時40分から、法人カード「UPSIDER」「PRESIDENT CARD」「AI経理」の各サービス（カード決済・ログイン等）が一時停止。カード決済は同日12時20分に全面復旧、全機能は4月9日までに段階的に復旧。
出典
最終更新 2026-06-12