弊社システムへの不正アクセスに関するご報告

2026年11月1日

お客様各位

モビルス株式会社
代表取締役社長 石井 智宏

弊社システムへの不正アクセスに関するご報告

拝啓

時下ますますご清栄のこととお喜び申し上げます。平素は格別の御高配を賜り、厚く御礼申し上げます。

2026年10月29日（木）よりご報告しております、弊社システムへの不正アクセスおよびサービスレスポンスの低下につきまして、貴社及び貴社ユーザー様、並びに関係者の皆様には多大なるご迷惑とご心配をおかけしておりますことを、深くお詫び申し上げます。

本報告は、2026年11月1日12:00時点で判明している事実と、実施した対策をまとめたものです。

敬具

記

【事象の概要】

2026年10月29日（木）未明、弊社「MOBI VOICE」の一部環境に対して外部からの攻撃が発生し、通信量の増大によりサービスのレスポンスが低下いたしました。同日10:10に攻撃元からのアクセスを遮断し、レスポンスの低下は解消しております。

本件を受けて弊社の全システムを調査した結果、「MOBI AGENT」の脆弱性を悪用した不正アクセスが判明いたしました。また、「MOBI BOT」「MOBI CAST」は、MOBI AGENTの管理機能と連携してご利用いただく仕組みとなっているため、MOBI AGENTを経由して不正アクセスの対象となりました。弊社は同日夜に緊急メンテナンスを実施し、脆弱性への対策を完了しております。

お客様データを保管するデータベースへのアクセスは確認されておらず、お客様データの不正な持ち出しを示す痕跡も確認されておりません。

なお、MOBI BOTの特定の1企業の環境において、攻撃者による不正な操作が行われていたことが判明いたしました。当該環境は復旧済みです。操作は製品のプログラムが改変されたものではございません。エンドユーザー様への影響もございませんでした。

【発生日時】

2026年10月29日（木）04:30

【対象製品】

今回の不正アクセスの対象となった環境で稼働している製品は、以下のとおりです。

• MOBI AGENT（モビエージェント）
• MOBI BOT（モビボット）
• MOBI CAST（モビキャスト）

【影響の範囲】

お客様データの漏洩およびプログラムの不正な改変は確認されておりません。

【お客様に必要なご対応】

現時点で、お客様側でご対応いただく必要はございません。サービスは現在、正常に稼働しております。

なお、カスタマイズ開発により外部システムと連携しているお客様には、個別にご連絡しております。今後の調査により、ご対応をお願いすべき事項が判明した場合は、速やかにご連絡いたします。

【経緯】

【原因】

直接の原因は、弊社サービスの一部の機能に存在した脆弱性（SSRF：サーバーサイドリクエストフォージェリ）です。攻撃者はこの脆弱性を悪用して弊社サーバーを不正に操作し、一部のお客様環境へアクセスできる状態となっておりました。また、今回の攻撃は、弊社の既存の防御の仕組みをすり抜ける手法で行われておりました。

根本的な原因は、脆弱性への対応の優先度を判断する基準にありました。弊社は本脆弱性を事前に認識しており、あらかじめ定めた対応基準（別紙※2参照）に従って、対応の優先度を設定しておりました。しかしながら、この判断基準の設定が十分でなく、根本的な対策が完了する前に攻撃を許す結果となりました。弊社として重く受け止めております。

【緊急メンテナンスで実施した対策】

2026年10月29日（木）の緊急メンテナンスにおいて、以下の対策を実施いたしました。

• システムの防御強化：脆弱性が確認されたシステムのアップデート、サーバーのセキュリティ設定の強化、防御ルール（WAF）の強化
• 予防措置：システムで使用する認証情報の無効化と再発行
• 監視体制の強化：脅威を自動検知するサービス（Amazon GuardDuty）による監視の強化、監視対象範囲の拡大

【恒久対策】

防御ルールの強化にとどまらず、脆弱性そのものを解消する対策を2026年10月29日 21:00に本番環境へ適用いたしました。

【再発防止策】

同様の事象を防ぐため、技術面の対策に加えて、脆弱性への対応ルールそのものを見直しました。

【その他の既知の脆弱性について】

現時点で、危険度「中」以上の未対応の既知脆弱性はございません。危険度「低」以下の脆弱性は、外部からの不正アクセスや情報漏洩に直接つながるものではないと評価しており、サービスへの影響を考慮しつつ、定期的な改修計画の中で対処してまいります。

この度は、貴社及び貴社ユーザー様に対し多大なご迷惑をお掛けしましたことを、重ねて深くお詫び申し上げます。弊社一同、再発防止に全力で取り組んでまいります。

本件に関するお問い合わせについて
『サポートへのお問い合わせ』フォームをご利用ください。

以上

【別紙】詳細調査情報

1. お客様データの漏洩に関する調査結果

［調査対象期間］ 最大90日間（2026年8月2日〜2026年10月30日）
※AWSのCloudTrail等のログ保存期間が最大90日間であるため

［調査したログと確認内容］

［調査結果に基づく弊社の判断］
お客様テナントのエンドユーザー対応データへの不正なアクセスや外部への持ち出しを示す痕跡は確認されませんでした。これをもってエンドユーザー対応データの漏洩はないものと判断しております。

2. バックドア等の不正な仕掛けに関する調査

• アプリケーションの改ざん確認：GuardDuty、アプリケーション設定等の確認により弊社環境の操作を追跡、確認いたしました。その結果、バックドアや不正なプログラムの設置、改ざんは確認されませんでした。
• 認証情報の全面的な再発行：安全策・予防策として、全製品の認証情報（AWSのアクセスキー、外部連携のAPIキー等）をすべて無効化したうえで再発行いたしました。

カスタマイズ開発により外部システムと連携しているお客様については、認証情報の再発行に関するご協力の依頼と作業調整を並行して進めております。

3. SSRF脆弱性に対する根本的な対策について

［脆弱性の内容］ 外部から指定された通信先のフィルタリング・検証が不十分であったため、攻撃者が弊社サーバーを経由して、内部ネットワーク等の本来アクセスできない宛先へリクエストを送信できる状態となっておりました。

［恒久対策］ WAFによる防御強化にとどまらず、脆弱性そのものの解消を実施いたしました。

• 脆弱性があった機能の改修（パッチ適用）
• サーバーインスタンスメタデータへのアクセス方式の強化、サーバーに付与する権限の制限を実施いたしました。これにより、万一同種の不備が生じた場合でも、被害が広がらない構成としております。

4. SSRF脆弱性の認識時期と、2027年1月対応予定としていた判断について

弊社は、2025年10月に実施した外部脆弱性診断での指摘により、本脆弱性を認識しておりました。当時は危険度「中」（即時対応の必要はないが、他の脆弱性との組み合わせで「高」となるリスクあり ※1）と判定されており、サービス可用性への影響や他の対処事項との優先順位を考慮し、暫定対策として以下を実施しておりました。

• 不審なリクエストに対する監視強化
• サービス運用に必要となる共通基盤の脆弱性対応の強化

2026年10月に再度実施した外部脆弱性診断での指摘では、危険度が「高」に引き上げられたため、サービス可用性への影響が小さいMOBI AGENT以外の該当システムについては速やかに対応を完了しておりました。

一方、MOBI AGENTについては対応にあたってのサービス可用性への影響が大きく、慎重な検証が必要であったことから、2027年1月の恒久対応を予定しておりました。

しかしながら、弊社の判断基準の設定が十分ではなく、根本的な対策が完了する前に攻撃を許す結果となりました。弊社として重く受け止めております。

5. SSRF以外の未修正の既知脆弱性について

現時点で、危険度「中」以上（※1）の未対応の既知脆弱性はございません。危険度「低」以下と評価されている脆弱性は、今回のような外部からの不正アクセスや情報漏洩に直接つながるものではないと評価しており、サービスへの影響を考慮しつつ、定期的な改修計画の中で対処してまいります。

あわせて、脆弱性への対応方針を以下のとおり引き上げました（※2）。

• 危険度「高」：従来の「サービスへの影響を考慮しつつ、早急に対処」から、「緊急」と同等の「最優先で速やかに対処」へ
• 危険度「中」：従来の「サービスへの影響を考慮しつつ、定期的な改修計画の中で対処」から、「高」と同等の「サービスへの影響を考慮しつつ、早急に対処」へ

なお、本報告に記載した事項を超える詳細な情報（システム構成、ログの内容、対策の具体的な設定等）につきましては、新たな攻撃の手がかりとなるおそれがあることから、当社サービスを安全にご利用いただくための措置として、提供を差し控えさせていただきたく存じます。

※1：脆弱性のセキュリティリスクレベルの定義

※2：リスクレベルに対する当社の対応方針

※3：CVSS（Common Vulnerability Scoring System：共通脆弱性評価システム）とは、コンピュータシステムやソフトウェアに見つかったセキュリティ脆弱性の深刻度を数値化して評価するための国際的な共通指標です。特定のベンダーや製品に依存しない中立的な基準として、世界中で広く利用されています。