バルテック 不正アクセスで顧客情報に流出とみなされる事実｜PHPの脆弱性が原因と発表、利用者とPHP運用者の対応

社内の仕組みや取引先、使っているソフトウェアが入口になる攻撃の全体像は、サプライチェーン攻撃とは｜手口・防御ツール比較・npm 12の新機構まで実践解説にまとめています。本記事はバルテックの発表の文言の範囲で「何が起きたか」と、利用者・PHPを運用する側がやることに絞ります。

バルテック 不正アクセスで何が起きたか：発表された事実

バルテックの発表によると、2026年10月22日、第三者による不正アクセスを受け、保有する顧客情報について「流出とみなされる事実」を確認したとしています。原因は「PHPの脆弱性を標的としたサイバー攻撃」と説明されています。ニュースでは「バルテック 情報流出」の可能性としても報じられていますが、確定した流出ではなく調査中である点は発表のとおりです。

時系列は次のとおりです。いずれも発表の範囲で、侵入の経路や開始時期は公表されていません。

発表で機能停止が挙がったサービスの種類は、次のとおりです。これは20以上のうち挙げられた例で、全部を網羅したものではありません。

バルテックの主力である法人向け電話の「バルテック MOT」をはじめ、人事労務や勤怠管理など、日々の業務に使うサービスが止まると、利用する企業側の業務も影響を受けます。復旧の見込みは最短で10月26日（月）中とされていますが、状況により遅れる可能性があるため、確定した再開の日時は公式の告知で確かめてください。

流出した件数・情報の項目は、2026年10月22日時点では公表されていません。「流出とみなされる事実」「可能性」「調査中」という発表の言葉は、確定した被害ではなく、調査の途中であることを示しています。確定を待たずに件数や項目を推測で埋めないのが安全です。

原因の「PHPの脆弱性」をどう読むか

発表は原因を「PHPの脆弱性を標的としたサイバー攻撃」としていますが、悪用されたCVE番号は公表されていません。「PHP 脆弱性 攻撃」という言葉だけでは、どの脆弱性が入口になったかは分かりません。2026年10月に修正版が出たPHP本体の重大な脆弱性 php2shell（CVE-2026-109618・CVE-2026-109619）が話題になっていますが、今回の攻撃がこれによるものかは、現時点で特定されていません。発表の文言を超えて入口を断定しないでください。

一方で、CVEが特定されていなくても、PHPを運用する側の備えは今できます。本件とは独立に、PHP本体の既知の重大な脆弱性に対しては、版の確認・修正版への更新・公式の緩和策・ログの痕跡の確認という手順が決まっています。その具体的な修正版と、すぐに更新できないときの公式の緩和策、ログに残る痕跡の探し方は、PHP 脆弱性 CVE-2026-109618・109619｜php2shell の修正版と更新できないときの緩和策で扱っています。本記事では攻撃の手口や侵入経路の推測には踏み込まず、防御の起点を示すにとどめます。

バルテック 不正アクセスで影響を受けるかもしれない人がとる行動

立場でやることが分かれます。自分がどちらか、あるいは両方かを先に決めてください。

バルテックのサービスを使っている人は、まず自分で開いたバルテックの公式サイトで、対象のサービスと影響の範囲を確かめます。流出した項目は未公表なので、「カード番号が漏れた」などと決めつけず、確定した告知を待ちます。本件を口実に暗証番号・パスワード・カード番号を尋ねる連絡（電話・メール・SMS）は、正規の案内を装った詐欺を疑ってください。

正規の告知と詐欺を見分けるときは、届いたメールやSMSのリンク・電話番号をそのまま使わないのが基本です。普段からブックマークしている公式サイトを自分で開く、電話は公式サイトに載っている番号へかけ直す、という順にします。流出の可能性があると知った直後は、不安をあおる連絡に反応しやすくなります。サービスの復旧時期も本記事ではなく公式の続報で確かめてください。

自社でPHPを運用している開発者・情報システム担当は、この事案を「自分のPHP環境を点検する合図」として使えます。本件で悪用されたCVEは未公表ですが、2026年10月に公開されたPHP本体の修正版への更新は、本件と独立に進められます。版の確認・修正版への更新・公式の緩和策・ログの痕跡の確認は、重複を避けてPHPの脆弱性の記事に手順を置いています。

点検の順番としては、まず外から到達できるPHPアプリ（Webサーバーやフォーム）を一覧にし、それぞれのPHPの版と修正状況を確かめます。更新がすぐに難しいものは、連載第15回で扱う仮想パッチのような間に合わせの守りで時間を稼ぎ、同時に監査ログで異常な通信や処理の失敗が残っているかを見ます。他社の事案を、自社のサービスがどのくらい外から攻撃面を見せているかの点検に変えるのが、二次被害を防ぐ近道です。

この事案から学ぶ：Webセキュリティの備え

今回の事案は、連載「事故から逆算するWebセキュリティ」のいくつかの回とつながります。発表の範囲で、運用する側が前もって備えられる点を挙げます。

・更新できないときに時間を稼ぐ：脆弱性が公表されても、すぐに修正版へ更新できないことはあります。間に合わせの防御として、WAFと仮想パッチで時間を稼ぐ（連載第15回）で、修正までの間の守り方を扱っています
・漏えいの第一報の出し方：もし自社が同じ立場になったとき、何をいつ誰に知らせるか。漏えいしたときの報告義務と第一報（連載第18回）で、報告の義務と第一報の書き方を整理しています
・依存とログの基礎：使っているソフトウェアの脆弱性管理（連載第14回「依存パッケージの脆弱性管理」）と、事故のあとに調べられる記録の設計（連載第16回「監査ログの設計」）も、同じ連載事故から逆算するWebセキュリティにあります

これらは本件の原因を推測するものではなく、PHPに限らずソフトウェアを運用する側が、脆弱性の公表と漏えいに前もって備えるための基礎です。

個人情報の漏えいが疑われるときは、事業者には個人情報保護委員会への報告と、対象となる本人への通知が求められます。報告には「速報」と「確報」があり、全体像が固まる前でも、まず分かっている範囲で第一報を出す段階があります。バルテックの「流出とみなされる事実を確認した」「件数・項目は調査中」という発表も、この確定前の第一報にあたる出し方です。自社が同じ立場になったときに何をどの順で出すかは、連載第18回で整理しています。

参照ソース

・株式会社バルテック『不正アクセスによる顧客情報流出の可能性について』（2026-10-22） — 発表の一次資料。不正アクセスの確認・「流出とみなされる事実」・原因（PHPの脆弱性を標的とした攻撃）・停止したサービス・復旧見込み
・PHP 脆弱性 CVE-2026-109618・109619｜php2shell の修正版と更新できないときの緩和策（当サイト） — 修正版・公式の緩和策・ログに残る痕跡の探し方
・情報セキュリティ安心相談窓口・不正アクセスの届出（IPA） — 利用者・事業者の相談と届出の窓口