ユニリタは、企業のデータ活用や、企業内のITシステムの運用を支えるソフトウェア・サービスを提供する会社です。 例えば、システム運用の自動化や、異なるシステム間のデータ連携などを手がけています（公式会社概要・事業紹介）。
ユニリタは2026年10月14日、攻撃者が公開した情報の中に、同社の情報が含まれていると発表しました。社内システムへの不正アクセスに関する第3報です。
今回の続報で変わったのは、持ち出された情報が外部に公開されていることを、ユニリタ側も確認した点です。 漏えい自体は、10月9日の第2報で既に公表されていました。
取引がある企業では、まず自社に関する通知を社内のIT・情報セキュリティ担当へ共有してください。第2報には、顧客のシステム認証情報も漏えい対象として記載されています。
この記事では、公式発表を基に、漏えいした情報と確認手順を整理します。
※2026年10月15日確認。公表された事実と、当サイトが提案する確認・対処を分けて記載しています。
ユニリタの第3報で何が分かった？
同社は10月12日、攻撃者が同社から窃取したと主張する情報の公開を把握。外部専門家と調べ、14日に自社情報の混在を確認しました。漏えいファイルは特定済みで、内容を解析・整理した後、対象の顧客や関係者へ個別に連絡するとしています。
「漏えい確認」と「公開確認」は時点が違う
| 日付 | 公表・確認されたこと |
|---|---|
| 9月28日 | 情報を窃取したというWeb上の主張を把握 |
| 9月29日・第1報 | 社内文書管理システムへの不正アクセス等について公表 |
| 10月9日・第2報 | 一部データの窃取と漏えい情報の種類を公表。当時はインターネット上の公開を未確認 |
| 10月12日 | 攻撃者が情報を公開していることを把握 |
| 10月14日・第3報 | 公開情報に自社情報が含まれると確認 |
「10月14日に新たな攻撃が起きた」という発表ではありません。9月に判明した事案について、外部公開の確認が進んだという続報です。
何が漏えいした？認証情報も対象に
10月9日の第2報では、確認された被害を特定のSaaS型文書管理システムと説明し、次の情報を漏えい対象に挙げています。
- 顧客・取引先との契約書
- 顧客のシステム認証情報
- 顧客の従業員や社外関係者の個人情報
- 顧客から預かっているその他の重要情報
- 社内のシステム認証情報、社員の個人情報、その他の重要情報
個人情報については、特定個人情報を含まないと記載されています。
取引先として優先したいのは、「自社のどのシステムの認証情報が対象か」という確認です。 認証情報とは、ログインなどの認証に使う情報を指します。対象アカウントや権限によって、必要な対応は変わります。
第2報では、認証情報が漏えいした顧客への個別連絡と、パスワード変更等の依頼を行う方針も示していました。
対象人数や、自社の具体的な情報は？
第3報には、漏えいの総件数・対象人数や、顧客ごとの対象情報の一覧は掲載されていません。自社が対象か、何が含まれるかは、個別通知や専用窓口で確認する必要があります。
ユニリタと取引がある企業が今確認したいこと
以下は、公式発表を踏まえた当サイトの確認手順です。
1．通知をIT担当者と契約窓口で共有する
営業・調達・契約担当に届いた連絡を、IT・情報セキュリティ担当にも共有してください。認証情報の対応は、契約窓口だけでは完結しない場合があります。
問い合わせる際は、次の点を確認すると、その後の作業につながります。
- 自社に関する情報は対象か
- 対象となる情報の種類と、該当する契約・システムは何か
- 認証情報が含まれる場合、対象アカウントと必要な対応は何か
- 追加の調査結果は、どの窓口へ連絡されるか
パスワードそのものを問い合わせメールへ書き込む必要はありません。
2．認証情報が対象なら、管理者と変更・確認する
対象の通知を受けたら、そのシステムの管理者と対応を進めます。ログイン用パスワードなら変更し、同じものを他のサービスでも使っている場合は、使い回し先も別のパスワードへ変更してください。
管理者側では、対象アカウントの権限、不要なアカウントの有無、利用可能なログに不審なサインインがないかも確認するとよいでしょう。多要素認証が使えるシステムでは、設定状況を見直します。
サービス間連携などで使う認証情報は、変更により業務が停止することもあります。対象と依存関係を確認し、管理者が手順を決めて更新してください。
3．取引内容を知っているメールでも、変更依頼は別経路で確認する
契約書などの情報が漏えい対象に含まれるため、今後の連絡では、会社名や取引内容が合っていることだけで信用しないようにしたいところです。
例えば、請求書の再送、振込先変更、認証情報の再登録を求める連絡が届いた場合は、以前から使っている電話番号や担当窓口で確認してください。これは二次被害を防ぐための一般的な対策です。
不審なメールが届いたときの対応
ユニリタも第3報で、漏えい情報を悪用したフィッシングメールやスパムメールへの注意を呼びかけています。
不審な連絡が届いたら、リンクや添付ファイルを開かず、送信元と内容を確認します。業務メールであれば、返信する前に社内のIT担当者へ相談してください。
既にパスワードを入力した場合は、メールのリンクではなく、いつものログイン画面から変更し、管理者へ連絡します。添付ファイルを実行してしまった場合も、そのまま作業を続けず、社内の事故対応手順に従って報告しましょう。
問い合わせ先は、ユニリタ公式の第3報に掲載された「専用お問い合わせフォーム」から確認できます。
「おしごと改革らぼ」の漏えいとの違い
ユニリタは10月13日、オンラインコミュニティ「おしごと改革らぼ」についても情報漏えいを公表しています。こちらは、運営委託先であるコミューン株式会社の「Commune」への不正アクセスに関する発表です。
| 確認する点 | 今回の第3報 | 10月13日の発表 |
|---|---|---|
| 対象 | ユニリタの社内文書管理システム | おしごと改革らぼ |
| 情報の種類 | 契約書、システム認証情報など | メールアドレス、プロフィール情報など |
| 対象人数 | 第3報には記載なし | 最大1,169名・確認中 |
| 発表の位置付け | 9月判明の事案の続報 | 委託先サービスに関する発表 |
「最大1,169名」は、おしごと改革らぼ側の数字です。今回の社内システムの漏えい人数として扱わないよう、受け取った通知の対象を確認してください。
よくある疑問
ユニリタのサービスを使っていれば、全員が対象ですか？
全利用者が対象という発表ではありません。契約・利用しているサービスと個別通知を確認し、不明な場合は公式窓口へ問い合わせてください。
今すぐ全てのパスワードを変更する必要がありますか？
まず、漏えい対象の認証情報を確認してください。対象アカウントと、同じパスワードを使っているアカウントの対応を優先します。会社のシステムは管理者と連携して進めましょう。
自分で公開されたデータを探せば確認できますか？
確認は公式窓口を利用してください。「漏えいデータの確認」をうたう不審なサイトへ、メールアドレスやパスワードを入力しないでください。
