Shippio、社内ツールの認証情報を悪用され情報漏えい―書類約1,300件が流出

Shippioは2026年11月4日、国際物流管理サービス「Shippio Platform」への不正アクセスで、顧客情報などの漏えいと一部データの損傷を確認したと公表しました。発表内容は11月3日18時時点の調査結果です。11月2日10時40分からサービスを停止しています。

侵入の起点は、10月30日から不正アクセスを受けた社内業務ツールです。そこに保存していた認証情報が使われ、11月1日19時30分ごろから2日17時ごろにかけてプラットフォームへアクセスされました。ツールの名称や、最初に侵入された詳しい原因は示していません。

全顧客の会社名・チーム名・電話番号・住所が閲覧され、輸送案件を登録した顧客のほぼ全てで輸送情報や書類のファイル名・種類も閲覧されました。約1,300件の書類ファイルは実際にダウンロードされています。利用者の氏名・メールアドレスも閲覧可能な状態でしたが、まとめて取得された形跡は未確認です。利用者のパスワードは外部認証サービスが管理しており、取得されていないとしています。

約1,100チームで不正なユーザーアカウントやAPI認証情報が作成され、一部設定の書き込みと悪意あるファイルのアップロードも確認しました。一方、輸送案件の内容の書き換えや、そのファイルを顧客がダウンロードした形跡は確認していません。

同社は把握した侵入経路を遮断し、認証情報の変更・無効化、不正アカウントやファイルの削除を実施しました。利用者には、停止前に取得したCSVやAPI経由のデータを原本と照合するよう依頼しています。再開後は再ログインと外部API連携のアクセストークン再取得が必要で、APIキーの再発行を求める可能性もあります。