株式会社STANDS（以下「当社」）は、2026年10月15日に公表いたしました当社サービス「Onboarding」への不正アクセスに関しまして、その後の調査により判明した事実および対応状況について、下記のとおりご報告いたします。

このたびの不正アクセスにより、ご利用企業の皆様ならびに関係者の皆様に多大なるご心配とご迷惑をおかけしておりますことを、深くお詫び申し上げます。

1. 不正アクセスの概要と対応経緯

2026年10月14日 午前2時20分頃から午前6時25分頃にかけて、当社が提供する「Onboarding」の管理画面において、第三者による不正アクセスが発生しました。

調査の結果、第三者がシステム管理者アカウントのパスワード再設定機能に対してブルートフォース攻撃（総当たり攻撃）を行い、管理者権限を不正に取得したことが判明しております。

本件は、パスワード再設定時の確認コードに対する試行回数の制限など、不正な操作を防止するための対策が十分でなかったことにより発生したものです。第三者は取得した管理者権限を利用し、複数のご利用企業様の管理画面において、情報の閲覧・取得や一部設定の変更などを行いました。

主な対応経緯

2026年10月14日 午前2時20分頃 ：第三者による不正アクセスが発生

2026年10月14日 午前10時頃 ：不正アクセスを検知し、調査を開始

2026年10月14日 午後1時40分頃 ：管理画面アクセスおよび関連機能を停止し、被害拡大防止措置を実施

2026年10月14日 午後2時05分頃 ：Onboardingをご利用の全お客様に対し管理画面へのアクセスおよび一部機能の停止についてご連絡

2026年10月14日 午後2時50分頃 ：不正に変更された設定の確認・対応、認証情報の変更および影響範囲の調査を実施

2026年10月14日 午後7時00分頃 ：Onboardingをご利用の全お客様に対し、その時点で判明している事実および対応状況をご報告

2026年10月15日 午後5時以降 ：影響の大きいお客様から順次、個別の影響範囲や不正アクセスの経緯などについて詳細をご報告

2026年10月16日 ：個人情報保護委員会へ漏えい等報告（速報）を提出。ならびに当社サイトよりお知らせとして掲載

現在 管理画面の復旧作業とともに、再発防止に向けたシステムの改修およびセキュリティ管理体制の強化を推進。

2. お客様への影響

これまでの調査により、以下の情報への不正なアクセスや、一部情報の取得が確認されております。

なお、影響を受けた情報の種類や範囲はご利用企業様ごとに異なり、すべてのお客様に同様の影響が生じたものではありません。

（1）第三者による取得が確認された情報

① AIを活用した機能の設定情報（一部のご利用企業様）

外部AIサービスと連携するための認証情報の一部、設定情報(システムプロンプト)が第三者に取得された可能性が高いことを確認しております。

当該設定は復旧済みであり、対象となる認証情報についても無効化・変更を実施していますが10月21日現在は停止を行なっております。

また第三者による影響が確認されたお客様には全て個別でご連絡済みです。

② 利用状況レポートのダウンロード用URL（一部のご利用企業様）

管理画面から発行された利用状況レポートのダウンロード用URLが、第三者に取得されたことを確認しております。

なお、当該レポートのデータ本体が実際にダウンロードされたかどうかについては、技術的に確認することが困難であるため、情報が取得された可能性があるものとして対応しております。

（2）第三者に閲覧・取得された可能性がある情報

① 管理画面をご利用のご担当者様の情報

• 氏名

• メールアドレス

• 利用者ID

• アカウント名（会社名）

管理画面のパスワードそのものが第三者に閲覧・取得された事実も確認されておりません。

② エンドユーザー様に関する情報（一部のご利用企業様）

• IPアドレス

• 端末情報

• UUID（端末や利用者等を識別するための識別子）

• ユーザーエージェント（ブラウザやOSなどの利用環境に関する情報）

• その他、ご利用企業様が設定・連携された情報のうち、対象データに含まれるもの

なお、②に関して、対象となる情報はご利用企業様の設定やサービスの利用状況によって異なります。

（3）その他の確認状況

・エンドユーザー様向けに表示されるガイド等の内容が第三者によって改ざんされた痕跡はございません。

・AIを活用した機能におけるエンドユーザー様との会話内容や利用履歴について、第三者の指定する外部送信先への送信を確認できる記録は見つかっておりません。

3. 実施した対応と再発防止策

当社では、不正アクセスの検知後、管理画面および関連機能の停止、不正に作成されたアカウントや設定の削除、認証情報の変更など、被害拡大を防止するための対応を実施しました。

現在は、今回の発生原因を踏まえ、以下のセキュリティ対策および管理体制の強化を進めております。

• 認証機能の強化： パスワード再設定機能における確認コードの試行回数制限など、ブルートフォース攻撃への対策強化

• 管理者権限の保護： 二要素認証の必須化および管理機能へアクセスできる環境の制限

• セキュリティ管理体制の強化： アクセス権限の管理、異常なアクセスの検知、認証機能を含むセキュリティ対策全般の見直し

必要な対策の実装と安全性の検証を進め、同様の事象の再発防止に取り組んでまいります。

4. サービスの稼働状況と再開の見通し

現在、Onboardingの管理画面およびAIを活用した一部機能については、安全性を確認するため、一時停止しております。

一方、エンドユーザー様向けのガイド表示など、一部の機能については引き続きご利用いただける状態です。

管理画面の再開日時は現時点では未定ですが、必要なセキュリティ対策と安全性の検証を完了したうえ、再開する予定です。AIを活用した一部機能については、管理画面の再開後に安全性を確認し、順次再開する方針です。

再開に伴い、ご利用企業様に動作確認や設定変更などをご依頼する場合には、具体的な手順を個別にご案内いたします。

5. お客様へのご案内と今後の対応

（1）影響を受けたお客様への個別のご報告

情報の流出または流出の可能性が確認されたご利用企業様には、対象となる情報の種類、件数、期間など、確認できた内容を個別にご報告しております。

また、エンドユーザー様への通知や個人情報保護委員会への報告など、ご利用企業様において必要となる対応についても、当社が把握している情報をご提供し、適切にご対応いただけるよう支援してまいります。

（2）不審なメール等へのご注意

今回、管理画面に登録されたご担当者様の氏名やメールアドレスなどが閲覧・取得された可能性があります。

当社やOnboardingを装った不審なメール、心当たりのないアカウント確認やパスワード変更の依頼などを受け取られた場合には、メール内のURLや添付ファイルを安易に開かず、当社窓口までご確認ください。

（3）今後の対応とご報告

本件に関する調査については、現時点で必要な調査を概ね実施しており、確認された事実およびお客様への影響について、対象となるご利用企業様への個別のご報告を進めております。

現在は、管理画面および一時停止している機能の復旧に向けた対応と、再発防止のためのセキュリティ対策の開発・実装、ならびに管理・運用体制の見直しを重点的に進めております。

個人情報保護委員会に対しては、提出済みの報告を踏まえ、引き続き必要な確認および報告に適切に対応してまいります。

今後、新たに重要な事実が判明した場合や、サービスの再開に関する進展があった場合には、速やかにご利用企業様へお知らせするとともに、必要に応じて公表内容を更新してまいります。

当社は、今回の事態を厳粛に受け止め、サービスの安全な再開と再発防止策の徹底に取り組み、お客様からの信頼回復に努めてまいります。

このたびは、ご利用企業の皆様ならびに関係者の皆様に多大なるご心配とご迷惑をおかけしておりますことを、重ねて深くお詫び申し上げます。

株式会社STANDS

本件に関する連絡先：info@stands.ai