既に弥生のウェブサイトでは告知をしており、また、影響のあるお客さまには個別にご連絡させていただいていますが、弥生のサーバーに対する不正アクセスがありました。お客さまはもちろん、パートナーである会計事務所の皆さま、連携先である金融機関の皆さまには多大なご心配をおかけし、深くお詫び申し上げます。
不正アクセスは今年の5月から6月にかけて発生しました。攻撃者は、弥生のドメインコントローラー(社内ユーザーを管理するサーバー)に侵入し、バックドア(正当な権限を持たないものによるサーバーの操作を可能にするための「裏口」)を仕掛けようとしたことが判明しています。このバックドア設置については、セキュリティシステムで検知し、未然に防ぐことができています。
一方で、ドメインコントローラーに侵入する経路として利用されたサーバーにおいて、一部のお客さま情報が参照されうる状態で保管されていたことが判明しました。実際に参照されたのかのは判明しておらず、現時点において、情報が外部に流出した、また悪用されたという事象は確認されていません。しかしながら、安全策として、該当するお客さまのパスワードをリセットする措置を取らせていただきました。お客さまにはお手数をおかけし、また大変なご心配をお掛けし、誠に申し訳ありません。
不正アクセス発覚後、様々な調査を実施し、何が起こったのかはある程度判明してきています。弥生としてセキュリティ診断は実施していたものの、それでは発見できなかった脆弱性を攻撃されており、不正アクセスの手口は高度なものです。ただし、一般のユーザー企業と異なり、弥生はITで価値を提供するITのプロです。その立場で何を言っても正直言い訳に過ぎないものと認識しています。また高度な手口であったとしても、こちら側に油断がない限りは攻撃は容易に成功しません。つまり、弥生側に油断があったことは事実だと考えています。
まずはお客さまにおかけするご迷惑を最小化する、心配を解消するのが第一優先だと考えています。しかし、本件は、弥生が今後もITのプロとして信頼されうるのか、重要な試金石だと考えています。起こってしまったことは事実であり、これをなかったことにすることはできません。今後時間をかけて、弥生に対する信頼を一歩ずつ取り戻す取り組みを継続するしかないと考えています。
なお、以上はあくまでも、私が個人として記述したものです。法人としての弥生株式会社によるお知らせはこちらをご参照ください。
