要点
発表された事実
- 株式会社ベーシックは2026年10月27日、マーケティングプラットフォーム「ferret One」の内部管理機能に不備があり、第三者による不正アクセスが発生したと公表した（ferret One）。
- 10月14日に内部の管理機能で第三者が不正にアカウントを作成し、同社は10月26日にそれを見つけて削除、経路の遮断と不備の修正を行った（同）。
- 導入企業のログイン用メールアドレスが閲覧または取得された可能性がある。氏名などそれ以外の登録情報は含まれない（同）。
- 同社と顧客のアカウント計6件で不正ログインを確認し、パスワードを初期化した。これらのアカウントを通じて閲覧・取得された情報の有無と範囲は調査中（同）。
- 2段階認証の必須化と、管理機能へのアクセス制限の強化を行った。サービスは引き続き使える（同）。
- 【2026-11-05追記】ベーシックは11月4日の第二報で調査結果を公表した。閲覧・取得されたのは、ferret Oneのログイン用メールアドレスとサイト名4,317件、顧客1社のリード・問い合わせ情報16,968件、顧客2社の問い合わせ情報各1件（計2件）。パスワードや決済情報は含まれない（ferret One 第二報）。
- 【2026-11-05追記】経路は、①不正ログイン、②不正ログインを起点とした脆弱性の悪用、③ログインを伴わない脆弱性の悪用の3つ。複数の脆弱性を組み合わせて悪用された。③では顧客4社の非公開ページの情報（個人情報を含まない）が10月16日と19日に取得された（同）。
- 【2026-11-05追記】不正ログインは10月19日10時3分〜11時20分頃に限られ、6件の内訳は同社4アカウントと顧客1社2アカウント。同社2アカウントでは同社の情報のみが閲覧された。10月21日以降のログインの試みはすべて失敗し、悪用された不備は10月30日までにすべて修正した。二次被害は確認されていない（同）。
- 【2026-11-05追記】同社は10月13日以降、外部からの不審な通信を監視で検知していたが、防御の仕組みで遮断されていたため不正ログインとの関連を把握できず、発見は10月26日になったとしている。攻撃手法の詳細は公表しない（同）。
わかっていないこと
- 内部管理機能の「不備」の具体的な内容と、外部から不正アカウントを作成できた経路（【2026-11-05追記】第二報で「複数の脆弱性を組み合わせて悪用」とされたが、攻撃手法の詳細は同種の攻撃を防ぐため公表しないとした）
メールアドレスが閲覧・取得された可能性のある導入企業・アカウントの数（【2026-11-05追記】ログイン用メールアドレスとサイト名4,317件）不正ログインされた6アカウントで閲覧・取得された情報（ferret Oneに蓄積された問い合わせ・リード情報を含むか）（【2026-11-05追記】顧客1社のリード・問い合わせ情報16,968件を含む）10月14日〜26日の12日間に不正アカウントで行われた操作（【2026-11-05追記】不正アカウント作成は10月13〜14日、非公開ページ情報の取得が16日・19日、不正ログインが19日午前）
わかったこと
- 【2026-11-05】第二報で影響範囲が確定した。メールアドレス等4,317件、顧客1社の個人情報16,968件、顧客2社各1件。ほかに顧客4社の非公開ページ情報（個人情報なし）（ferret One 第二報）。
- 【2026-11-05】悪用された不備は10月30日までにすべて修正。二次被害は確認されていない（同）。
- 【2026-11-05】再発防止策として、ソースコードの脆弱性診断、外部専門家による疑似攻撃検査、不正通信の検知・遮断と不審ログイン監視の強化、外部の専門機関による調査を挙げた（同）。
関係しそうな既知の手口
- （考察）運営者向けの内部管理機能で第三者がアカウントを作れたことから、管理機能のアカウント作成処理の認可不備か、管理機能そのものが外部から届く状態にあった可能性がある。6件の不正ログインの方法（取得したメールアドレスへのパスワード試行か、管理機能からの操作か）は公表されていない。
概要
- BtoB向けのCMS・マーケティングツール「ferret One」で、運営会社向けの内部管理機能に不備があり、第三者が不正なアカウントを作った。
- 導入企業のログイン用メールアドレスが見られた可能性があり、ベーシック社内と顧客のアカウント計6件に不正ログインされた。
- 不正アカウントは12日間気づかれなかった。2段階認証が必須になり、詳しい原因と影響範囲は調査中。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-14（水） | 内部の管理機能で、第三者により不正にアカウントが作成される（ベーシック） |
| 10-26（月） | ベーシックが不正アカウントを確認し、削除・経路の遮断・不備の修正を行う（同） |
| 10-27（火） | 関係機関への報告・相談、対象顧客への個別連絡を順次開始。14時40分に東証で適時開示、第一報を公表（同、適時開示） |
| 10-13〜14 | 【2026-11-05追記】第三者が社内向けのバッチ処理管理画面に不正にアカウントを作成（ferret One 第二報） |
| 10-16・19 | 【2026-11-05追記】ログインを伴わない脆弱性の悪用で、顧客4社の非公開ページ情報が取得される（同） |
| 10-19（月）10:03〜11:20頃 | 【2026-11-05追記】同社と顧客1社の計6アカウントに不正ログインし情報を閲覧・取得。脆弱性の悪用で顧客2社の情報も取得（同） |
| 10-21〜27 | 【2026-11-05追記】ログインの試みが続くが、すべて失敗（同） |
| 10-28（水） | 【2026-11-05追記】不正ログイン関連の不備の修正を完了。個人情報保護委員会と総務省（関東総合通信局）へ速報（同） |
| 10-29〜30 | 【2026-11-05追記】ページ情報への不正アクセスを確認し、30日までに対応を完了（同） |
| 11-04（水） | 【2026-11-05追記】調査結果と再発防止策をまとめた第二報を公表（同） |
発表内容の整理
事実（ベーシック、10月27日14時30分時点）
| 項目 | 内容 |
|---|---|
| 対象サービス | マーケティングプラットフォーム「ferret One」 |
| 原因 | 内部管理機能の不備。不正アクセスの経路の全容と原因は調査中 |
| 閲覧・取得の可能性がある情報 | 導入企業のログイン用メールアドレス（氏名などは含まない） |
| 不正ログイン | ベーシックと顧客のアカウント計6件。パスワードを初期化し、対象顧客に個別連絡 |
| 対応 | 不正アカウントの削除と不備の修正、2段階認証の必須化と該当アカウントのパスワード初期化、管理機能へのアクセス制限の強化 |
| サービス | 継続して利用可能 |
- 同社は、同社や関係先を装った不審なメールに注意し、ログインはブックマークから行い、他のサービスと同じパスワードを使っている場合は変更するよう呼びかけている。問い合わせは専用フォームとメール（houmu@basicinc.jp）で受け付ける（ferret One）。
- 発表は調査の完了を待たずに出した第一報と位置づけられている（同）。
考察
漏れた可能性があるのはメールアドレスだけとされるが、不正ログインされた6件の中には顧客のアカウントが含まれる。ferret OneはWebサイトのCMSやフォーム、メール配信の機能を持つため、顧客アカウントに入られると、そのサイトに集まった問い合わせやリードの情報、サイトの内容そのものに手が届く可能性がある。6件で何が見られたかは、利用企業にとって最も気になる点だ（考察）。
「内部管理機能」でアカウントが作られたのが10月14日、気づいたのが26日で、12日間の空白がある。運営者向けの管理機能でのアカウント作成は本来まれな操作のはずで、作成の通知や監視がなかったのかは再発防止策で示されるべき点だろう（考察）。
事実（ベーシック第二報、11月4日）【2026-11-05追記】
| 項目 | 内容 |
|---|---|
| 原因 | 当社システムの複数の脆弱性を組み合わせた悪用。手法の詳細は非公表 |
| 経路 | ①不正ログイン、②不正ログインを起点とした脆弱性の悪用、③ログインを伴わない脆弱性の悪用 |
| 個人情報 | ログイン用メールアドレス・サイト名4,317件、顧客1社のリード・問い合わせ情報16,968件（重複除く）、顧客2社の問い合わせ情報各1件 |
| 個人情報以外 | 顧客4社の非公開ページの情報 |
| 含まれないもの | ログイン用パスワード、決済に関する情報 |
| 検知 | 10月13日以降の不審な通信は監視で検知していたが、遮断されていたため関連を把握できず、発見は10月26日 |
| 他サービス | システムが分離されており影響なし |
考察（11月5日追記）
当初「メールアドレスのみ」とされた影響は、顧客1社のリード・問い合わせ情報約1.7万件にまで広がった。第一報の考察で心配した「顧客アカウントからサイトに集まった情報に手が届く」懸念が現実になった形だ。また、遮断できていた不審な通信を「防げたもの」として扱い、その先の不正ログインとの関連づけが遅れた点は、ブロックしたログも攻撃の予兆として追う必要があることを示している（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日に公開し、その後更新している注意喚起で、国内で相次ぐ不正アクセスの類型の一つとして、ユーザー権限の変更を含む、アプリの管理用APIへの不正なリクエストを挙げている（JPCERT/CC）。
- 10月26日には、台東区の障害者支援アプリ「ささえ～る」でも、委託先の仕組みの不備から外部の第三者が管理者アカウントを作れてしまった事案が公表されている（台東区）。
考察
管理用のアカウントを外から作られる事案が国内で続いている。ferret Oneの不備がどの型かは公表されていないが、管理機能でのアカウント作成・権限付与を外部から受け付けてしまう欠陥は、JPCERT/CCの示した類型と同じ方向の問題とみられる。同社が「管理機能へのアクセス制限の強化」を挙げていることも、この見方と矛盾しない（考察）。
利用者・運用者がいまできること
- ferret Oneの導入企業は、ベーシックからの個別連絡の有無を確認し、2段階認証を設定する。同じパスワードを他のサービスでも使っていたら変える。
- 自社のferret Oneで、10月14日以降に覚えのないユーザー追加、ページやフォームの変更、データの書き出しがないかを確認する。
- ferret Oneを名乗るメールのリンクからログインしない。ログインはブックマークから行う。
- SaaSを提供する事業者は、運営者向けの管理機能が外部から届かないようにし、管理アカウントの作成や権限変更を即時に通知・記録する仕組みを持つ。