株式会社wren（本社：東京都港区、代表取締役：福島 柊哉）は、内閣官房国家サイバー統括室が2026年11月5日に公表した注意喚起を受けて、当社のコーポレートサイトと社内の運用を点検し、必要な対応を行いました。本お知らせの内容は、2026年11月6日に確認した範囲です。
注意喚起の概要
注意喚起は、ウェブサイトやモバイルアプリで個人情報を扱う事業者とその委託先に向けたものです。設定の不備やサポートの終わったソフトウェアを狙った不正アクセスで個人情報が持ち出される事案が相次いでいることを背景に、資産と脆弱性の把握、公開範囲の最小化、APIの認可やシークレットの管理、委託先の管理などの対策が挙げられています。
コーポレートサイトで点検・対応したこと
- 依存しているライブラリを検査し、ビルドや開発に使うツールの間接依存に含まれていた深刻度「高」の既知の脆弱性を、修正版へ更新しました。あわせて、更新を定期的に提案する仕組み（Dependabot）を設定しました。
- リポジトリにAPIキーなどのシークレットが含まれていないことを確認し、変更のたびにシークレットの有無を自動で検査する仕組みを追加しました。
- お問い合わせ・資料請求フォームの入力値について、社内向けの通知でもエスケープ処理を行うよう修正し、送信回数の制限を実際の接続元で数えるよう改めました。
- 設定ファイルなどが外部から読み取れないこと、フォームのAPIが想定外の操作を受け付けないことを確認し、他サイトへの埋め込みを防ぐ設定を追加しました。
社内の運用で実施していること
- 業務用端末のディスク暗号化
- 業務で使うクラウドサービスへの二段階認証の設定
- 業務委託先との秘密保持契約の締結
- サービスでお預かりするデータの日本国内リージョンでの保管と、複数リージョンでの自動バックアップ
- サービスの死活監視
- セキュリティ研修の受講
- 個人情報を含むデータを生成AIサービスに入力する場合は、入力データがAIの学習に使われない契約・設定のサービスに限定
プライバシーポリシーの改定
プライバシーポリシーを改定し、事業者情報、業務の委託と外国にある事業者の利用、受託業務で取り扱う個人情報、安全管理措置、開示等の請求の手続き、生成AIサービスの利用に関する記載を追加しました。サービスのセキュリティについてはセキュリティポリシーをご覧ください。
今後の取り組み
当社は受託開発やCS運用の代行で、お客様の委託先としてシステムや個人情報をお預かりしています。今回の点検で整えた仕組みを継続して運用し、脆弱性の公表や制度の改正があった際は、同様に点検と見直しを行います。Webサービスのセキュリティ対策の進め方は、ブログ記事「Webサービス事業者のセキュリティ対策」でも紹介しています。
お問い合わせ
セキュリティに関するご質問や、自社サイトの点検のご相談は、お問い合わせフォームからご連絡ください。