要点
発表された事実
- Shippioは、2026年11月1日19時30分頃から11月2日17時頃にかけて、Shippio Platformが複数回不正アクセスを受け、顧客情報等の一部が漏えいし、データの一部が損傷したと公表した（Shippio 第一報）。
- 10月30日から社内業務ツールが不正に利用され、そこに保存されていた認証情報でShippioのシステムへアクセスされた（同）。
- 全顧客の会社名・チーム名・住所などが閲覧され、シップメントを登録するほぼ全顧客のシップメント情報や書類のファイル名・種類が閲覧された。書類ファイル約1,300件がダウンロードされた（第二報）。
- 11月2日10時40分からサービスを停止し、11月5日9時20分頃から再開した。ユーザーパスワードは外部の認証サービスで管理しており取得されていない（同）。
わかっていないこと
- 社内業務ツールがどのように不正利用されたか（ツール名、侵入経路の詳細）。
- ダウンロードされた約1,300件の書類の個別内容と、社内共有ファイルに含まれる顧客情報の確定範囲。
- 再発防止策の確定内容。
関係しそうな既知の手口
- （考察）社内ツールに保管した本番向け認証情報の悪用は、正規の資格情報によるログインに見えるため、境界防御だけでは検知が遅れやすい類型に近い。
概要
- 第一報（11月4日）時点で、不正アカウント・API認証情報の作成（約1,100チーム分）、設定データの書き込み、シップメントへの悪意あるファイルのアップロードも確認されていた（第一報）。
- 第二報（11月5日）ではサービス再開と、漏えい確認済み項目の整理、全ユーザーのパスワードリセット、過去のシップメント共有リンク無効化を案内した（第二報）。
- 11月5日12時13分の更新で、電話番号データは保持しておらず漏えいしていないと訂正した（同）。
この記事では、公式発表で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-10-30 | 社内業務ツールへの不正なアクセスがあったことを確認（のち遮断） | 第一報 |
| 2026-11-01 19:30ごろ〜11-02 17:00ごろ | Shippio Platformが複数回不正アクセスを受ける | 同 |
| 2026-11-02 10:40 | サービスを一時停止 | 同 |
| 2026-11-04 | 第一報を公表 | 同 |
| 2026-11-05 09:20ごろ | サービスを順次再開。第二報を公表 | 第二報 |
| 2026-11-05 12:13 | 電話番号は漏えいしていないと訂正 | 同 |
発表内容の整理
事実（Shippioの発表による）
| 項目 | 内容 |
|---|---|
| 経路 | 社内業務ツールに保存されていた認証情報の悪用 |
| 閲覧が確認された範囲 | 全顧客の会社名・チーム名・住所など。シップメント登録顧客のほぼ全てでシップメント情報・書類のファイル名・種類 |
| ダウンロード | 書類ファイル約1,300件 |
| 取得されていないと説明 | ユーザーパスワード（外部認証サービス管理） |
| データ損傷 | 不正なユーザーアカウント・API認証情報の作成（約1,100チーム）、一部設定の書き込み、悪意あるファイルのアップロード（第一報時点） |
| 再開時の措置 | 全ユーザーのパスワードリセット、過去の共有リンク無効化 |
考察
- 正規認証情報経由のため、ファイアウォール外からの「攻撃らしい」通信だけでは足りず、社内ツール側の権限・シークレット保管と、本番への特権アクセスの監視が論点になる。
関係しそうな既知の手口
事実
考察
- SaaSのカスタマーサポート用・業務用ツールに本番APIキーや管理用セッションを置く運用は、そのツールの侵害が本番侵害に直結する。本件のツール名は未公表だが、構造としてはその類型と整合する。
利用者・運用者がいまできること
- 再開後にパスワードを再設定し、必要なシップメント共有リンクを発行し直す。
- サービス停止前にダウンロードしたデータやAPI経由のデータは、原本と照合してから業務利用する。
- 心当たりのない書類がシップメントに付いていた場合は開かず、Shippioへ連絡する。
- 運用者は、社内ツールに本番認証情報を置かない、置く場合は短命化・保管場所の分離・異常利用検知を入れる。