2026年10月6日に公表いたしました「FAQシステム『i-ask』への不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（以下、「既報」といいます）につきまして、外部のセキュリティ専門機関によるフォレンジック調査が完了いたしましたので、調査結果および再発防止策をお知らせいたします。
対象となるお客様、利用企業様ならびに関係者の皆様に多大なるご迷惑とご心配をおかけしておりますことを、改めて深くお詫び申し上げます。なお、本日時点において、本件に起因する個人情報の不正利用等の二次被害は確認されておりません。

1. 調査の概要

不正アクセスの対象となったFAQシステム「i-ask」（以下、「i-ask」といいます）について、外部のセキュリティ専門機関に依頼し、フォレンジック調査を実施いたしました。

2. 調査結果

1.不正アクセスの経緯
2026年10月2日20時32分、外部のIPアドレスから管理サイトへのログイン試行が開始され、20時34分に攻撃者がログインに成功しました。
20時36分、画像アップロード機能を悪用して不正なプログラム（WebShell）が設置されました。

2.攻撃者の操作
10月2日20時39分から10月3日8時01分にかけて不正プログラムへのアクセスがあり、設定ファイル・ソースコードの閲覧、内部ネットワーク・データベース接続先の探索、データベースの照会・複製、OSコマンドの実行等が行われました。
3.発生原因
本件の主な原因は以下の通りです。・i-askのアカウント（管理者含む）の初期パスワードの変更、および管理サイトへのアクセス元制限を、利用企業様ごとに任意設定としており、未設定でも利用できる状態でありました。そのため、当社が発行した初期パスワードのまま運用されていた一社様から不正ログインされる事象に至りました。・アップロードされたファイルがプログラムとして実行されることを禁止する設定が、不十分な状態となっておりました。これらはいずれも当社のサービス管理上の不備によるものであり、その責任を重く受け止めております。

4.外部に持ち出された情報
情報を含む圧縮ファイルが攻撃者により外部へ持ち出されたことを確認しており、情報が窃取されたものと判断いたしました。対象は、利用企業様4社※、延べ552,179件です。主な内容は以下の通りです。・お問い合わせ内容およびお問い合わせ者情報（氏名、住所、電話番号、メールアドレス等）・FAQ・ナレッジ・i-askの利用者・管理者のアカウントおよび認証情報なお、漏えいした項目は利用企業様により異なります。対象となる情報の詳細は、各利用企業様からご案内しております。※既報では、最大5社とご報告しておりましたが、調査の結果、うち1社については情報が外部へ持ち出されていないことを確認いたしました。

3. 再発防止策

既報でお知らせした対策に加え、調査機関からの報告を踏まえ、以下の対策を実施してまいります（一部実施済）。

1.発生原因となったアップロードファイルの実行防止設定の対策（実施済）
2.i-ask管理サイトにおける二要素認証の導入、および強度の高いパスワード設定・接続元IPアドレスの制限の標準化（12月28日までに完了予定）
3.利用企業様のテナント間のセキュリティ管理上の強度強化（12月28日までに完了予定）
4.AIを活用した異常検知の導入および監視対象範囲の拡大（実施済）
5.当社の全サービスにおいて、高リスク国・地域からのアクセスを遮断（11月18日実施予定）
6.従来の脆弱性診断に加え、外部専門機関による定期的なペネトレーションテスト（疑似攻撃による侵入試験）の実施（12月実施予定）
上記以外にも、利用企業様にも詳細をご報告の上、精緻化を図ってまいります。

4. 組織体制と会社の方針

本件は、初期パスワードの変更徹底をはじめとする基本的な対策が十分に講じられていなかったことにより発生したものであり、当社はこの事実を重く受け止めております。あわせて、不正アクセスの手口は年々高度化・巧妙化しており、従来の管理体制や認証の枠組みだけでは対応しきれないリスクも高まっています。こうした認識のもと、今後は技術的な対策にとどまらず、組織と第三者認証の2つの面から、次の取り組みを進めてまいります。

1.「サイバーセキュリティ統括本部」の新設（2026年11月13日設置）
グループCSO（最高セキュリティ責任者）を本部長とし、各部門の本部長以上で構成する横断組織を設置しました。同本部は、既存サービスおよび新規サービスの脆弱性を早期に検知する仕組みを構築し、問題が顕在化する前に対策を指示・監督します。事業部門の判断を待たずに是正を指示できる権限を持ち、機動的に活動します。
2.ISO/IEC 27017およびISO/IEC 27018の認証取得に向けた取り組み
クラウドサービスの安全性と個人情報の保護について第三者の基準による検証を受けるため、2027年6月の取得を目標に、次の2つの認証の取得に向けた取り組みを開始しました。・ISO/IEC 27017（クラウドサービスの情報セキュリティ）
クラウドサービス事業者として、利用企業様との責任範囲の明確化、テナント間の環境分離、管理者操作の監視・記録について、国際規格に基づく管理を確立します。・ISO/IEC 27018（パブリッククラウドにおける個人情報の保護）
利用企業様からお預かりする個人情報について、目的外利用の禁止、漏えい時の速やかな通知、委託先の透明性、契約終了時のデータ返却・削除等を、国際規格に基づき運用します。

5. お客様へのお願い

当社または利用企業様を装った不審なメールやお電話にご注意ください。記載されたURLや添付ファイルは開かず、パスワード等をお伝えにならないようお願いいたします。また、i-askの利用者アカウントと同じパスワードを他のサービスでもお使いの場合は、念のため変更をお願いいたします。

6. お問い合わせ窓口

内部統制・情報セキュリティ推進本部
電話：03-6418-3973（受付時間：平日 9:00〜17:00）
メール：incident@scala-com.jp

今後、新たな事実が判明した場合には、速やかにお知らせいたします。
改めまして、多大なるご迷惑とご心配をおかけしておりますことを、心より深くお詫び申し上げます。