CRM開発会社が侵害、漏えいなしでも報告義務

【更新 2026-08-06】本記事を見直し、修正しました。主な修正点：同社が7月16日の公表文で個人情報保護委員会への報告を行うと明記していたため、「報告の有無は確認できない」としていた記述を訂正。あわせて7月31日公表の続報（第二報）の内容を時系列・本文・出典に反映しました。

CRMパッケージ「All Gather CRM」を開発・提供するソリッドアドバンス株式会社が、社内の一部システムでマルウェア感染の疑いを検知し、外部クラウド基盤上の法人向け業務システムの一部を停止していると公表しました。同社は情報漏えいの事実は「現時点では確認されていない」としつつ、保有する情報の一部が滅失または毀損した可能性に言及しています。

この「漏えいはまだ確認されていないが、データが失われたかもしれない」という一報は、利用企業の情シスにとって扱いが難しいものです。漏えいゼロなら何もしなくてよい、とは限らないからです。

• 公表された事実と、まだ確定していないことの切り分け
• 個人情報保護法上、「滅失・毀損」も報告対象になりうる理由
• ベンダーからの「調査中」の一報を受けた側が、その日のうちに動くべきこと

何が起きたのか

同社の公表内容と報道から確認できる事実を時系列で整理します。

公表文で明示されているポイントは次の3点です。

• 主力の「All Gather CRM」パッケージに含まれるサービスの利用者に被害はないと説明されている
• 影響が出ているのは外部クラウド基盤に収容された特定の法人向け業務システムの領域に限られると確認されている
• 情報漏えいの事実は調査中であり、現時点では確認されていない。ただし保有情報の一部が滅失または毀損した可能性がある

その後、同社は2026年7月31日に続報（第二報）を公表し、社内に対策本部を設置したうえで、警察および関係当局と連携し、外部の専門調査機関によるフォレンジック調査を継続していると説明しています。第二報の時点でも保有する個人情報・お客様情報・取引先情報の外部への漏えいや不正利用は確認されていないとされる一方、マルウェア攻撃の対象となったシステムは引き続き提供を停止しており、稼働中のサービス環境は安全性を確認のうえ通常どおり提供しているとしています。侵入経路やフォレンジック調査の詳細、停止中システムの復旧時期は、本稿執筆時点の公表資料からは確認できていません。

「滅失または毀損した可能性」とは何を意味するのか

公表文にある「滅失・毀損」は、データが外部に出て行ったのではなく、手元で失われた・壊れた・読めなくなった状態を指す表現です。暗号化されて復号できない、サーバやバックアップごと破壊された、といったケースが典型で、ランサムウェアや破壊型攻撃の被害像と重なります。

ただし今回の公表文はマルウェア感染の「疑い」段階での説明であり、ランサムウェアであるとも、破壊が目的の攻撃であるとも述べられていません。攻撃の種別は現時点で断定できません。

なぜ「漏えいなし」でも報告義務が生じうるのか

個人情報保護法が事業者に求める報告は「漏えい報告」ではなく「漏えい等報告」です。この「等」に、滅失と毀損が含まれます。つまりデータが1件も外部に流出していなくても、報告義務が発生しうるのがこの制度の要点です。

個人情報保護委員会は、報告対象となる事例として「ランサムウェア等により個人データが暗号化され、復元できなくなった場合」を挙げています。外部への流出が確認できなくても、自社で個人データを扱えなくなった時点で本人の権利利益が害されるおそれがある、という考え方です。

報告対象となる4つの類型

実務上、外部からの侵害を受けた事案は③に該当する可能性が高い点に注意が必要です。件数が少なくても、機微な情報を持っていなくても、「不正アクセスによって個人データが毀損した」と評価されれば報告対象になりえます。「うちは数百件だから対象外」という件数だけの判断は危険です。

期限はいつまでか

速報は発覚から3〜5日以内、確報は30日以内です。ただし不正の目的をもって行われたおそれがある場合、確報の期限は60日以内に延長されます。

ここでいう「発覚」の起点は、原因が判明した日ではありません。おそれを認識した時点から時計が動き始めます。調査が終わってから考える、では速報の期限に間に合いません。今回の事案でも、検知から公表まで5日、そのさらに後も調査が続いている状況です。制度上の期限と、技術的な原因究明にかかる時間は、まったく別の速度で進みます。

なお、今回の事案について同社は7月16日の公表文で、保有する情報の一部が滅失または毀損した可能性があることを挙げ、「個人情報の保護に関する法律に基づき、速やかに個人情報保護委員会への報告を行います」と明記しています。漏えいが確認されていない段階での報告表明であり、まさに「漏えい等報告」の枠組みに沿った対応です。

ベンダーからの「調査中」の一報を、利用企業はどう読むべきか

「被害はない」と書かれた範囲と、自社が使っている範囲が一致するかを確認するのが最初の一手です。今回の公表文は「All Gather CRMパッケージの利用者に被害はない」「影響は特定の法人向け業務システムの領域」と、影響範囲を切り分けて書いています。この切り分けは丁寧な説明ですが、裏を返せば自社の契約がどちらの箱に入っているかを、利用企業側が判定しなければならないということでもあります。

この判定は、思っているより簡単ではありません。

• 契約書上の製品名と、実際に使っている画面・機能の名前が一致しないことがある
• 「外部クラウド基盤に収容された業務システム」のような表現は、利用者側から見て自分がそれに当たるか判別しにくい
• そもそも、その業務システムが情シスの管理台帳に載っていない（事業部門が個別に契約した）ことがある

ベンダー起点の侵害が自社にどう波及しうるかという構図そのものについては、サプライチェーン攻撃とは？仕組みと種類をわかりやすく解説と、委託先のさらに先まで信頼が連鎖するサードパーティリスクの「推移的信頼」とは何かもあわせて参考にしてください。

その日のうちに確認したい3点

1. 該当・非該当の確定：契約している具体的なサービス名・テナント名・環境名を明示して、影響対象に含まれるかをベンダーに書面で問い合わせる。「たぶん違う」で終わらせない
2. 預けているデータの棚卸し：そのシステムに個人データを預けているか、要配慮情報や決済情報が含まれるか。自社が委託元として報告義務を負う可能性を早めに見積もる
3. 止まったときの代替手段：今回のように提供停止が先に来るケースでは、漏えいの有無が決まる前に業務が止まります。停止が数週間続く前提での代替運用を確認しておく

特に3点目は見落とされがちです。委託先が原因でサービスが止まったときの業務継続については、東京都サイト消失、破壊型攻撃と委託先運用の教訓で扱った論点がそのまま当てはまります。

現場目線の課題：一番重いのは「自社は対象か」の判定

この種の一報が出たとき、現場で最も時間を取られるのは技術的な調査ではなく、「うちは関係あるのか」を確定させる作業だというのが率直な実感です。

公表文は法務チェックを経た慎重な言い回しになるため、影響範囲が抽象的に書かれがちです。一方で経営層や事業部門からは「うちは大丈夫なのか」と即答を求められます。その間に立って、契約書を掘り起こし、担当部門に聞いて回り、ベンダーの窓口に問い合わせ、返答が来るまで待つ——この往復に半日から数日が溶けていきます。

さらに厄介なのが、事業部門が個別に契約した業務システムの存在です。情シスが把握していないSaaSや受託システムは、ベンダー側の障害・侵害が起きて初めて表に出てきます。「知らないものは守れないし、影響判定もできない」というのは、限られた人員で回している情シスにとって構造的な弱点です。今回のような一報は、資産台帳の穴を突きつけてくる場面でもあります。

また、「漏えいは確認されていない」という表現は安心材料に見えますが、調査が進んでいないから確認されていないだけという段階もありえます。第一報の文言だけで社内向けに「問題なし」と断定しないほうが安全です。

情シスはどうすべきか（公的指針の使いどころ）

自前で長いチェックリストを作る前に、公的機関の指針を土台にするほうが確実です。

• 個人情報保護委員会「漏えい等の対応とお役立ち資料」：報告対象となる事態の判断基準、速報・確報の期限、報告様式がまとまっています。判断に迷ったらまずここ。法務任せにせず、情シス側も報告のトリガー条件を把握しておくと初動が速くなります
• IPA「セキュリティインシデント対応 机上演習教材」：今回のような「委託先起因で、原因も影響も分からないまま社内から説明を求められる」状況は、演習で一度通しておくと当日の動きがまるで違います
• IPA「中小企業の情報セキュリティ対策ガイドライン」：委託先管理や契約時の取り決め（インシデント時の報告義務・報告期限）の考え方が整理されています。次の契約更新のタイミングで見直す材料になります

あわせて、こうした連絡を受け止めて社内で回す体制そのものも要点です。窓口と判断者が決まっていないと、一報が届いても止まってしまいます。CSIRTとは？役割・SOCとの違いと構築の要点を解説もあわせてご覧ください。

技術的な対策と同じくらい、地道な啓発も効きます。事業部門に対して「業務システムを新たに契約するときは情シスに一報を」と伝え続けることが、結局は影響判定を速くします。

まとめ

1. ソリッドアドバンスは2026年7月11日未明にマルウェア感染の疑いを検知し、外部クラウド基盤上の法人向け業務システムの一部を停止。漏えいは未確認だが、保有情報の滅失・毀損の可能性に言及している
2. 個人情報保護法の報告義務は「漏えい等」が対象で、滅失・毀損も含まれる。外部からの侵害は「不正の目的をもって行われたおそれ」の類型に該当しうるため、件数が少なくても報告対象になりえる。速報は3〜5日以内、確報は30日以内（不正目的のおそれがある場合は60日以内）
3. 利用企業側の初動は、①自社が影響範囲に該当するかの確定、②預けているデータの棚卸し、③停止が長引く前提での代替手段の確認。管理台帳に載っていない業務システムこそ判定が遅れる

出典

• ソリッドアドバンス株式会社「当社システムへの不正アクセスの疑いに関するお知らせ」（2026年7月16日）
• ソリッドアドバンス株式会社「当社システムへの不正アクセス事案に関する続報（第二報）」（2026年7月31日）
• Security NEXT「システム侵害で原因や影響など調査 – CRM開発会社」（2026年8月3日）
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」
• IPA「セキュリティインシデント対応 机上演習教材」