サカタのタネ、国内・米国子会社の不正アクセス「最終報」 侵入口はどちらも公開サーバーだった

まず初めに

国内の発覚が2025年11月、米国子会社が2026年1月。別々の時期・別々の大陸で起きた2つの事件が、同じ日に「最終報」としてまとめて片付けられた格好だ。しかも侵入経路を見比べると、片方は「リモートアクセス用の公開サーバー」、もう片方は「リモートアクセスの認証情報」と、驚くほど似た顔つきをしている。会社も国も違うのに、狙われた穴のタイプが同じというのは偶然にしては出来すぎている。種を育てる会社が、まさか自社のリモートアクセス管理まで雑草だらけになっていたとは思いたくないが、9カ月かけて出てきた結論がこれだ。※個人の感想です

何が起きているのか

株式会社サカタのタネは、野菜・花の種苗を扱う国内大手のメーカーで、世界各国に事業を展開しています。同社は2025年11月11日、国内のサーバー内データへの不正なアクセスの痕跡を確認したことを受けて調査を開始し、第1報・第2報を経て、2026年8月19日に調査完了を伝える最終報を公表しました。

国内の事案は、リモートアクセス用に外部公開していたサーバーを起点として、第三者が管理者権限を取得した可能性が高いとフォレンジック調査で判断されました。最終報の段階でも、この経路とは異なる侵入経路は確認されなかったとしています。対象となった個人情報は、卸売業務に関係する顧客・取引先が約4万4000件と最も多く、これにキャンペーン応募者約2500件、採用試験応募者約5000件、従業員等約5000件が続きます。さらに最終報の段階で、これまでの発表になかった「その他取引先」に関する情報約200件が新たに対象として追加されました。

一方、米国連結子会社のSakata America Holding Company, Inc.では、2026年1月21日に不正アクセスが検知されました。調査の結果、リモートアクセスに使う認証情報を起点として、社内ネットワークへ侵入された可能性があると判断されています。影響は同子会社の一部システムに限られ、サカタのタネ本体や他の国内外グループ会社への影響は確認されていないとしています。同社は両事案とも、現時点で情報の不正利用などの二次被害は確認されていないとしており、再発防止策として、ネットワーク管理体制の見直し、管理者権限の厳格な運用、24時間監視体制の強化、セキュリティ教育の徹底を進めているとしています。

なぜ重要なのか

今回の最終報が示すのは、国内・米国という離れた場所で、時期もずらして発生した2つの事案が、いずれも「リモートアクセス」という共通の弱点を突かれていたという点です。リモートアクセスは、社外から社内システムに接続するための仕組みで、テレワークの普及とともに多くの企業で利用が広がっています。しかし、外部に公開せざるを得ない性質上、常に攻撃者の標的になりやすい入り口でもあります。国内外に拠点を持つグローバル企業では、こうした管理の甘さが、本社だけでなく海外子会社にも同様の形で表れることがあるという教訓を、今回の事案は示しています。

私たちへの影響

サカタのタネと卸売業務で取引のある事業者、同社のキャンペーンに応募したことがある方、採用試験を受けたことがある方、同社の従業員・元従業員などが今回の対象に含まれる可能性があります。心当たりのある方は、サカタのタネからの通知の有無を確認するとともに、身に覚えのない連絡やメールには注意してください。両事案とも、公表時点で情報の不正利用による実害は確認されていないとされています。

初心者が知っておくべきこと

「リモートアクセス」とは、社外にいる従業員などが、インターネット経由で社内のシステムやサーバーに接続できるようにする仕組みのことです。テレワークや出張先からの業務に欠かせない一方、外部からアクセスできるようにしている以上、認証情報が漏れたり、サーバー自体の脆弱性を突かれたりすると、そのまま社内ネットワークへの侵入口になってしまいます。

「管理者権限」とは、システムの設定変更やデータの閲覧・操作を制限なく行える、最も強い権限のことです。この権限を第三者に奪われると、通常はアクセスできないはずの情報にまで自由に触れられてしまうため、被害が広範囲に及びやすくなります。

IT Postの見方

IT Postでは、国内外の別々の事案が、そろって「リモートアクセス」という同じ弱点を起点にしていたという事実は、サカタのタネという一企業の問題にとどまらず、グローバルに展開する企業のリモートアクセス管理全般に共通する課題を映し出していると考えます。最終報の段階で「その他取引先」約200件が新たに対象に加わった点も、当初の調査で見落とされていた範囲が後から見つかるという、この種の事案でよくあるパターンを示しています。二次被害が確認されていないという点は安心材料ですが、9カ月という調査期間の長さそのものが、被害の全容確認にどれだけの手間がかかるかを物語っているとIT Postは考えます。※個人の感想です

今後どうなりそうか

サカタのタネは、今回の最終報を踏まえて、ネットワーク管理体制の見直しや24時間監視体制の強化といった再発防止策を進めていくとみられます。両事案とも「最終報」として一区切りがついた形ですが、対象者への個別の対応状況や、再発防止策の実施状況について新たな情報が明らかになれば、IT Postではあらためて取り上げます。