要点
発表された事実
- 株式会社UPSIDERは2026年10月27日、会員制サービス「Breakthrough GRID」の会員向けサービスサイトが同日に第三者の不正アクセスを受け、保存されていた情報が持ち出されたと公表した（UPSIDER）。
- 対象は会員本人の情報（氏名・メールアドレスなど）、所属企業の情報（企業名・部署など）、イベントに関する情報、ディスカッションの議事録など。退会済みの人も含む（同）。
- 日本経済新聞は、一部退会者を含む187社・計544人の情報が漏えいしたと報じた（日本経済新聞）。
- 法人カード「UPSIDER」「PRESIDENT CARD」など他サービスの会員情報・カード情報・利用明細・決済情報を管理するシステムへの不正アクセスや流出はないことを確認した（UPSIDER）。
- 会員サイトの全機能を停止し、外部からのアクセスを遮断した。再開時期は未定で、原因は調査中（同）。
わかったこと
- 【2026-11-13追記】UPSIDERは11月12日の続報で、会員向けサービスサイトを再開せず、運用を終了（閉鎖）したと発表した。サイトはすでに外部からアクセスできない（UPSIDER 続報）。
- 【2026-11-13追記】ディスカッションなどオフライン形式のイベントは11月19日に再開する。日程の案内や申し込みは事務局が個別に受け付ける。閉鎖したサイトについては外部の専門機関による調査を続ける。二次被害は確認されていない（同）。
わかっていないこと
- 不正アクセスの原因と侵入経路
- 持ち出された情報の正確な件数（公式発表には件数の記載がない）
- 2026年4月の別の不正アクセス事案との関係の有無
会員サイトの再開時期（【2026-11-13追記】再開せず閉鎖）と、他サービスの点検結果
関係しそうな既知の手口
- （考察）発生当日に公表し、持ち出された情報を「持ち出されたものとみなし」て対応している。攻撃者側からの接触や公開、または持ち出しを示すログなど、持ち出しを確信できる材料があった可能性があるが、公表されていない。
概要
- 企業の経営幹部・事業責任者が集まる会員制コミュニティの会員サイトが不正アクセスを受け、会員情報とディスカッションの議事録などが持ち出された。
- 報道では187社544人分。経営層の名前・所属と、議論の中身がまとめて外に出たことになる。
- 法人カードなど主力事業への影響はないとし、会員サイトは止めたまま原因を調べている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-03-24〜04-01 | （別事案）開発で使っていたOSSパッケージへのサプライチェーン攻撃から開発者端末が侵害され、法人カードなどのサービスが一時停止（UPSIDER 最終報告） |
| 2026-06-12 | 4月の事案の最終報告を公表。個人情報・法人情報の流出の可能性は「極めて低い」と判断（同） |
| 2026-10-27（火） | Breakthrough GRIDの会員サイトが不正アクセスを受け、情報が持ち出される。同日、全機能を停止して公表（UPSIDER） |
| 2026-11-12 | 会員サイトを再開せず閉鎖したと発表。オフラインのイベントは11月19日に再開（【2026-11-13追記】）（UPSIDER 続報） |
発表内容の整理
事実（UPSIDER）
| 項目 | 内容 |
|---|---|
| 対象サービス | 「Breakthrough GRID」の会員向けサービスサイト |
| 発生日 | 2026年10月27日 |
| 持ち出された情報 | 会員本人の情報（氏名・メールアドレスなど）、所属企業の情報（企業名・部署など）、イベントに関する情報、ディスカッションの議事録など（会員と退会済みの人） |
| 影響がないとした範囲 | 法人カード「UPSIDER」「PRESIDENT CARD」をはじめ、Breakthrough GRID以外のサービスの会員情報・カード情報・利用明細・決済情報を管理するシステム |
| 対応 | 会員向けサービスサイトの全機能を停止し外部からのアクセスを遮断。原因究明と再発防止策の策定、他サービスの点検 |
| 二次被害 | 現時点で確認されていない |
- 対象者には個別にメールで詳細を送っている。同社や関係者を装った不審なメール・電話・SNSメッセージに注意するよう呼びかけ、同社からパスワードやカード番号を尋ねることはないとしている。問い合わせはBreakthrough GRID事務局（grid@up-sider.com）（UPSIDER）。
事実（日本経済新聞）
- UPSIDERはみずほ銀行傘下で法人クレジットカード事業などを手がける。一部退会済みを含む187社・計544人の情報が対象と報じた（日本経済新聞）。
考察
件数は多くないが、漏れた情報の性質は重い。経営幹部の氏名・メールアドレス・所属・部署がそろった名簿は、経営層を装う詐欺メール（ビジネスメール詐欺）や標的型メールの宛先として価値が高い。さらにディスカッションの議事録には、参加企業の課題や計画など、外に出す前提でない話が含まれている可能性がある（考察）。
UPSIDERは4月にもサプライチェーン攻撃による不正アクセスを受けているが、今回の発表は4月の事案に触れておらず、関係があるかはわからない。別のサービスで別の原因である可能性も十分ある（考察）。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月8日に公開し、その後更新している注意喚起で、国内で相次ぐ不正アクセスの類型として、既知の脆弱性の悪用や、窃取されたAPIキーなどを使った管理用APIへの不正なリクエストを挙げている（JPCERT/CC）。
考察
コミュニティ運営のための会員サイトは、主力サービスに比べて開発・運用の優先度が低くなりがちで、外部のサービスやパッケージで作られていることも多い。今回の侵入経路は公表されていないが、主力の決済システムと切り離されていたことが、影響を会員サイトにとどめた形だ（考察）。
利用者・運用者がいまできること
- Breakthrough GRIDの会員・元会員は、UPSIDERからの個別メールを確認する。UPSIDERや会員企業の幹部、イベント関係者を名乗る連絡で、送金・ファイルの開封・ログインを求められたら、別の経路で本人に確認する。
- 議事録で話した内容に機密性の高いものがあった企業は、社内で影響を確認し、関係者に共有しておく。
- 企業向けコミュニティやイベントの会員サイトを運営する事業者は、主力システムと同じ水準で、会員情報や議事録へのアクセス権限と外部から届く入口を点検する。
参考リンク
- 株式会社UPSIDER「【重要】Breakthrough GRID | 不正アクセスおよび情報漏えいのお詫びとお知らせ」（2026年10月27日）
- 株式会社UPSIDER「【重要】Breakthrough GRID | サービス再開のお知らせ（不正アクセスおよび情報漏えいに関する続報）」（2026年11月12日）
- 日本経済新聞「UPSIDER、経営幹部の交流サイトに不正アクセス 544人の情報漏洩」（2026年10月27日）
- 株式会社UPSIDER「【最終報告】2026年4月1日のシステム障害に関する不正アクセス事案に関する調査結果のご報告」（2026年6月12日）
- JPCERT/CC「直近で相次いでいる国内組織における不正アクセスに関する注意喚起」