チップス
どんぐり大学卒、一般企業の情報システム部で働く若手エンジニア。
入社1〜3年目らしい悩みを抱えつつ、日々の運用やセキュリティ対応に奮闘中。慌てんぼうだが素直で吸収力が高く、ボスに鍛えられながら着実に成長している。
ボス
セキュリティ、インフラ、運用の修羅場をくぐってきた歴戦のエンジニア。サイバーセキュリティラボの所長でボスと呼ばれている。
現場視点と経営視点の両方から、本当に使えるセキュリティとキャリア戦略を叩き込む。口は悪いが面倒見はよく、若手育成と実践的な情報発信に力を注いでいる。
@boss_sec_labo
「アソビューの予約システムから2万7千件って、うちが行った施設のデータも漏れたんでしゅか？」
「パートナー認証情報を踏み台にされるって、SaaS事業者にとって他人事じゃないでしゅよね？」
チップスレジャー施設の予約データに自分の名前や住所が入ってると思うと、ちょっと怖いでしゅ……。
ボスふふふ、SaaS型予約システムへの攻撃は、二段構造で進む。中身を順に解いていこう。
本記事ではアソビューの予約管理SaaS「satsuki」で起きた多段不正アクセスの構造と、SaaS事業者・利用者双方の対策を解説します。
SaaSのテナント間境界をどう守るか、現場で動かせる視点が最後まで読めば手に入ります。
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
5月20日の検知から5月28日の公表までの流れを整理します。
アソビューは2026年5月20日にパートナー向け予約管理SaaS「satsuki」への不審アクセスを検知しました。
調査の結果、satsuki経由で予約者27,163件の氏名・性別・生年月日・電話番号・住所・予約情報が流出した可能性が判明しています。
パートナー側では、不正ログインが確認された111件と、その他14,400件分の会社名・住所・代表者氏名・請求担当者氏名・口座情報・メールアドレスも漏洩しました。
クレジットカード情報は含まれていませんでしたが、口座情報まで含まれる点は深刻です。
被害件数の内訳は以下のとおりです。
| 区分 | 件数 | 主な情報 |
|---|---|---|
| 予約者 | 27,163件 | 氏名・住所・電話・予約情報 |
| 不正ログイン確認パートナー | 111件 | 会社情報・口座情報 |
| その他パートナー | 14,400件 | 会社情報・代表者・請求担当 |
続報はINTERNET Watchの記事とアソビュー公式リリースで公開されています。
同社は検知翌日の5月21日に個人情報保護委員会へ報告し、警察当局にも相談したうえで被害届の準備を進めています。
悪用による具体被害は公表時点で確認されていないものの、口座情報と請求担当者情報の組み合わせは振込先変更詐欺の格好の素材です。
該当パートナーは振込先確認の二重チェックを当面継続するべきでしょう。
チップス口座情報と請求担当者がセットで漏れると、ビジネスメール詐欺（BEC）に直結するんでしゅね……
ボスそうだ。BECの素材として理想的に揃ってしまっている。だから振込変更依頼の口頭確認を、半年は徹底すべきだ。
攻撃手口を整理し、SaaS事業者として備えるべき視点をまとめます。
攻撃者はsatsukiの一部パートナーアカウントへ不正ログインしたうえで、その認証情報を悪用して別パートナーのデータにもアクセスしました。
マルチテナントSaaSではよく見られる「アカウント奪取→横展開」の典型パターンです。
テナント間のデータ境界が論理的にしか分かれていない場合、認証情報1つの漏洩が全テナントへ波及するリスクをはらみます。
権限設計と監査ログ設計が、テナント境界を実効的に支える最後の砦になります。
SaaS事業者として確認したい監査項目は以下のとおりです。
すぐ動かせるのは、パートナー側へのMFA強制と、リスト型試行に対する閾値ベースの遮断です。
加えて、テナント横断クエリを実行できるユーザーを最小限に絞り、操作の都度承認フローを通す設計にしてください。
パートナーアカウントの放置は、自社のリスクと顧客の信用を同時に削っていきます。
チップスSaaSはテナント境界の設計次第で、被害規模が桁違いになるんでしゅね！
ボスその通り。論理境界は便利だが、運用で守らないと一気に崩れる。設計と運用は車の両輪だ。
アソビューの事案は、パートナー認証奪取から別テナントへ横展開する、SaaS特有のリスクを実例で示しました。
予約者の住所・連絡先と、パートナーの口座情報がセットで漏れた以上、振込変更詐欺やBECへの即時警戒が必要です。
事業者はテナント境界の権限とログ分離、MFA強制を、利用者は身元不明な振込先変更依頼の口頭確認を徹底してください。
SaaSは便利さの裏で、設計と運用の両輪が崩れた瞬間に被害が連鎖する仕組みでもあります。
ボステナント境界を守るのは設計と運用、どちらが欠けても崩れる。両輪を回し続けろ。
チップス振込先変更は必ず電話で確認する、これ忘れないでしゅ！
オススメ求人・フリーランス案件
【脆弱性管理・診断基盤の内製化推進】東京都（フルリモート）／ツール導入・セキュリティ運用
【セキュリティ企画推進・コンサルタント】大阪（リモート併用）／セキュリティ戦略・ポリシー策定
【セキュリティ基準準拠・運用改善支援（NIST・ISMS）】豊洲（リモート併用）／PMO
【社内セキュリティ技術コンサルティング】東京・渋谷（常駐）／インフラ全般・設計レビュー・最新技術調査
【セキュリティサービス基盤の環境改善支援】東京・武蔵小杉（フルリモート）／AWS・マルチクラウド・構成改善
【インフラセキュリティ・脅威検知構築】東京・六本木（常駐）／Azure・ゼロトラスト・AD
【Zscalerゼロトラストネットワーク運用】東京・調布（リモート併用）／設計・構築・運用
【特権ID管理システム導入支援（Secret Server）】東京・京橋（常駐）／要件定義・設計・構築
【Splunk CloudおよびSplunk ES環境におけるSOC運用】全国（フルリモート）／セキュリティログ解析・監視
【銀行向けサイバーセキュリティチーム支援】中野（原則オンサイト）／AI悪用対策・SOC・CSIRT・インシデント対応
社内SE【年収700～1500万円】セキュリティ・インフラの構築・運用
【東証プライム】情報セキュリティマネージャー候補・事業成長支援（850～1100万円）
【年収500〜800万円】日立グループ｜自動車サイバーセキュリティコンサルタント（横浜・在宅可）
【三菱地所グループ】セキュリティエンジニア（マネジメント・エンジニアリング）年収628〜1200万円
【社内セキュリティ推進室長】800〜1100万円｜人材大手ディップ・リモートOK
KADOKAWAグループ向けセキュリティコンサルタント｜個人情報管理・相談対応（テレワーク）
【年収750〜1200万円】グローバル7拠点・プロダクトセキュリティエンジニア（東京）
情報セキュリティ・プライバシーガバナンス スペシャリスト【900～1300万】
セキュリティ・プライバシー基盤構築【600～1000万円】
【1000～2400万円】EDR/エンドポイントセキュリティ領域のリード採用
