要点
発表された事実
- 電通総研は、FACEREの特定の利用企業の環境で、同社のアクセス権限設定に不備があり、外部から閲覧できる状態だったと公表した（電通総研）。
- 2026年9月10日に第三者によるアクセスがあり、10月29日に判明した（同）。
- 設定を変更してアクセス経路を遮断し、全利用企業の環境を点検した。11月3日時点で、ほかの環境に設定不備は見つかっておらず、情報の不正利用も確認されていない（同）。
わかっていないこと
- 影響を受けた利用企業の名前。
- 閲覧された可能性のある情報の項目と件数。
- 設定不備がいつから続いていたか。
関係しそうな既知の手口
- （考察）クラウド上の環境で権限設定を誤り、認証なしで閲覧できる状態にしてしまう事故は、国内でも繰り返し起きている。
概要
- 不備は利用企業側ではなく、提供元の電通総研の設定によるものと同社自身が説明している（電通総研）。
- アクセスから判明までに約7週間かかっている（同）。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 日付 | 出来事 | 出典 |
|---|---|---|
| 2026-09-10 | 特定の利用企業の環境に第三者がアクセス | 電通総研 |
| 2026-10-29 | 不備と外部からのアクセスが判明、設定を変更して遮断 | 同 |
| 2026-11-03 | 全利用企業の点検で、ほかに不備がないことを確認（この時点） | 同 |
| 2026-11-04 | 公表 | 同 |
発表内容の整理
事実（電通総研の発表による）
- 原因：電通総研によるアクセス権限設定の不備。
- 範囲：特定の利用企業1社の環境。
- 対応：設定変更による遮断、全利用企業の環境の点検。
考察
- 9月のアクセスが10月末まで見つからなかったことから、外部からの閲覧を検知する仕組みが十分でなかった可能性がある。ただし判明のきっかけは発表されていない。
- 影響を受けた利用企業が別途公表すれば、対象者と情報の中身がわかる見込み。
関係しそうな既知の手口
事実
- 本ノートでは2026年11月2日にも、GMOトラスト・ログインのストレージ設定不備で顧客企業の社員情報が取得された事例を取り上げている（本ノートの記事）。
考察
- SaaSやクラウドの提供側が設定を誤ると、利用企業は自社では防げない。提供側の設定監査と外部からの到達性チェックが鍵になる。
利用者・運用者がいまできること
- FACEREの利用企業は、電通総研からの点検結果の連絡内容を確認する。
- 外部サービスを提供する側は、権限設定を変更したときに、認証なしで到達できないかを外部から確かめる手順を持つ。