【PR TIMES】不正アクセスによる情報漏えいの可能性
2025年4月、国内最大級のプレスリリース配信サービス「PR TIMES」が、外部からの不正アクセス被害を受けていたことが公表されました。
同社の発表によれば、最大で90万件を超える個人情報や、発表前のプレスリリース情報が外部から閲覧・取得された"可能性"があるといいます。
ちなみにですが、"可能性"という表現はとても大事です。
個人情報保護法では速やかな報告が義務付けられています。
情報漏洩が何件あったか確定できない時は、「最大〇〇件の個人情報の漏えいの可能性」という表現を使います。
覚えておくと何か良いことがあるかもしれません。
ニュースリリースを調べたり、IR情報を探す際に、PR TIMESの記事を目にしたことがある方も多いのではないでしょうか。
仕事で使っている人はもちろん、「あれってPR TIMESだったんだ」と思い当たる方も少なくないはずです。
本記事では、PR TIMES社の公表資料を中心に、技術的背景や企業の対応も交えながら、今回の不正アクセスインシデントの全体像を事実ベースで整理します。
第1章. インシデントの概要
PR TIMESが公表した情報によれば、今回の不正アクセスは2025年4月8日ごろから始まった偵察的なアクセス行為に端を発し、その後、2025年4月24日〜25日にかけて本格的な侵入と情報の取得が行われたとされています。
攻撃者は、PR TIMESの管理者画面に外部からアクセスし、内部に保存されていた情報を閲覧・取得した可能性があります。
この管理者画面は、IPアドレス等によりアクセスが制限されていたはずですが、調査の結果、不明なIPアドレスが許可されており、そのIPアドレスが侵入経路に使われていたことが判明しました。（後ほど解説したいと思います。）
加えて、攻撃者はシステム内にバックドア（不正な裏口）を設置し、2025年4月25日の初回検知後も一部アクセスを継続していたことも報告されています。
被害が公表されたのは2025年5月7日です。
それまでの約2週間、PR TIMESは外部のセキュリティ専門機関と連携し、事実関係の調査と被害の拡大防止に努めていました。
この間に確認された閲覧・取得の対象となった可能性のある情報は、次のとおりです。
最大約90万件の個人情報（登録ユーザー、メディア関係者、インポートリスト、社内スタッフなど）
発表前のプレスリリース原稿 約1,600件（未公開の企業情報）
報道機関などのメディア宛先リスト 約2万件
ハッシュ化されたログイン用パスワード
現時点で、これらの情報が実際に第三者に悪用された事実は確認されていないとされています。
PR TIMESはこの件について、所轄警察署への被害届を提出し、現在は捜査機関と連携した対応を継続しています。
まずは時系列を整理したいと思います。
第2章. 時系列で見る出来事の流れ
PR TIMES社が公表した調査結果によれば、今回の不正アクセスは2025年4月上旬の偵察行為に始まり、4月下旬には実際の侵入と情報取得が行われたことが確認されています。
以下は、PR TIMES社が開示した時系列の概要です。
どういった対策がされていたかについては、次章でより深く掘り下げていきます。
第4章. 技術的な解説をちょっとだけ
PR TIMESの管理システムには、外部からのアクセスを防ぐためにIPアドレス制限、BASIC認証、ログインパスワード認証の三段階の制限が設けられていたとされています。
三段階の制限のイメージ
それぞれの制限は一言で書くとこういうイメージです。
IPアドレス制限
許可されたネットワーク（場所）からでないとアクセスできない制限。
BASIC認証
専用のIDとパスワードを入力しないとログインページが見れない制限。
ログインパスワード認証
管理者用のアカウント情報でさらにログインしないと操作できない制限。
「会社に出勤する」を例にするとこんなイメージです。
ビルの入口で入館証をかざす（部外者が入れないように制限）
執務室のドアロックを解錠する（関係者しか入れないように制限）
PCにID・パスワードでログイン（自分しかログインできないように制限）
PR TIMES社が公表した不正アクセスの経緯
PR TIMES社の公表によれば、「追加の経緯が不明なIPアドレスが存在し、それが侵入経路に使われていた」とのことです。
「追加の経緯が不明なIPアドレス」は、例えるなら、「誰に貸したか分からない社員証」が実は見つかったようなものです。
本来であれば許可されるべきでない経路が、管理の不備によって見落とされ、アクセスを許してしまっていました。
このようなIPアドレスの管理が不十分だったことが、今回の重大なセキュリティリスクにつながったと言えるでしょう。
何段階の壁があっても、「例外」や「見落とし」が弱点になる
なぜ、「追加の経緯が不明なIPアドレスが存在していたか」ということは公表されておりません。
あくまで一般的な見解ですが、壁をたくさん用意すれば良いということではなく、それぞれの壁の強度と運用ルールが重要です。
例えば出社時のプロセスを例にとっても、次のような事態が想定されます。
入館証を紛失し、それを拾った第三者が不正に入館してしまった
ドアロックの暗証番号を、部外者に背後から盗み見られた
PCのパスワードを付箋に貼っており、それを見た他人にログインされた
ゲスト用の入館証をそのまま放置してしまい、後から悪用された
このように3つ壁があると言っても、それぞれの壁の強度が低いと容易に侵入できるケースはあると思います。
第4章. 漏えいした可能性のある情報と株価など
今回の不正アクセスによって、PR TIMESは最大で90万件を超える情報が外部から閲覧・取得された可能性があると公表しました。
対象となるのは、個人情報だけではなく、「発表前のプレスリリース原稿」なども含まれています。
漏えい・閲覧された可能性のある情報（PR TIMES公表）
最大約90万件の個人情報（登録ユーザー、メディア関係者、インポートリスト、社内スタッフなど）
発表前のプレスリリース原稿 約1,600件（未公開の企業情報）
報道機関などのメディア宛先リスト 約2万件
ハッシュ化されたログイン用パスワード
株価への影響（参考情報）
PR TIMES（3922）は東証プライム市場上場企業で、親会社のベクトル（6058）も東証プライム市場上場企業です。
PR TIMESの株価は、不正アクセスの発表直後に一時下落しましたが現在は安定しているようです。
株探のニュースも出ていました。
PR TIMESの株価です。
PR TIMESの5/7にリリースされた内容からは業績への影響は「軽微と考えられる」と発表されております。
一時的に世間の反応はあったのかもしれませんが、現時点で長期的な影響は軽微とされていますが、今後も注視が必要かと思います。
第5章. おわりに 〜今回の事例からの学び〜
PR TIMESのインシデントは、表面的には「IP制限が甘かった」「認証が突破された」といった技術的な問題に見えるかもしれません。
しかし、もう少し抽象化して考えると、「設定を見直していなかった」という運用に起因する盲点が、本質的な原因のひとつだったように思えます。
このような事例は、企業の情シス部門やセキュリティ担当者だけでなく個人にも通じる教訓があります。
使っていないWebサービス退会せずに放置していませんか？
パスワードを他のサービスと使い回していませんか？
Windows UpdateやMac、iOSアップデートは定期的にやっていますか？
セキュリティ対策は、ただ「強い壁」を作るだけでは不十分です。その壁が今もきちんと機能しているか、定期的に見直すこともまた、大切な防御の一部です。
今回の事例をきっかけに、身の回りのセキュリティを一度棚卸ししてみる。それが、個人でできる情報漏えいを防ぐ第一歩になるかもしれません。
いいなと思ったら応援しよう！
ありがとうございます！いただいたチップはクリエイターとしての活動費に使わせていただきます！