# ＰＲ　ＴＩＭＥＳ（3922） PR TIMES、不正アクセスによる情報漏えいの可能性に関するお詫びとご報告

Source: Komori (komori.app) — https://komori.app/company/3922/disclosure/20250507532864
種別: 発生事実
開示日: 2025-05-07
Komoriの読み（0-100）: 62
企業ページ: https://komori.app/company/3922

## 何が変わったか

PR TIMESの管理者画面に第三者が不正アクセスし、個人情報や発表前のプレスリリース情報などが漏えいした可能性が判明した。サービス自体は停止せず、現在も調査と再発防止対応を進めている。

## 会社が挙げた理由

会社は、リモートワーク移行時に追加された経緯不明の許可IPアドレスが侵入経路に使われ、普段使われていない社内管理の共有アカウントが利用されたと説明している。

## 開示の要点

- 事象の名称: PR TIMES、不正アクセスによる情報漏えいの可能性に関するお詫びとご報告
- 発生日: 2025年4月24日～25日（PR TIMES管理者画面への第三者による不正アクセス）
- 認知日・通知受領日: 2025年4月25日（不審なファイルを検知）
- 対象となる主体: 株式会社PR TIMES（提出会社）
- 対象拠点・対象製品: プレスリリース配信サービス「PR TIMES」のサーバーおよび管理者画面。企業ユーザー、メディアユーザー、個人ユーザー、インポートリスト、当社スタッフ、発表前プレスリリース情報、メディアリスト等
- 原因: コロナ禍のリモート移行時にアクセスを許可するIPアドレスを増やしたが、追加の経緯が不明のIPアドレスが存在し、そのIPアドレスが侵入経路に使われた。また、認証には普段使われていない社内管理の共有アカウントが使われた。
- 業績への影響額: not_disclosed
- 計上する会計期間: 2026年2月期
- 業績予想への影響: 本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えている。改めて開示が必要な場合には、別途速やかに知らせる。
- 訴訟・手続きの種類: サイバー攻撃の被害申告、警察への事件相談、個人情報保護委員会およびJIPDECへの速報報告
- 裁判所・当局: 所轄警察署、個人情報保護委員会、JIPDEC（一般財団法人日本情報経済社会推進協会）
- 原告: not_disclosed
- 被告: not_disclosed
- 提訴日・処分日: 2025年5月7日（所轄警察署へサイバー攻撃の被害を申告し、事件相談として受理）
- 請求額・課徴金額: not_disclosed
- 回収不能または回収遅延のおそれが生じた債権の額: not_disclosed
- 停止した業務: not_disclosed（プレスリリース配信等のサービス機能は正常稼働を継続）
- 再開予定日: not_disclosed（サービスは停止していない）
- 調査体制: 株式会社PR TIMESと外部セキュリティ専門機関が影響範囲等を調査。外部専門機関の名称および第三者委員会の設置はnot_disclosed。
- 再発防止策: 管理者画面のアクセス許可IPアドレスを、社内からの接続とVPN（仮想の専用回線）からの接続のみに制限し、攻撃者がアクセスできないようにする対応を行いました。また、今回バックドアファイルが配置された箇所で、不正なファイルを実行できないようにする設定の追加を現時点で完了しております。また、現在導入しているWAF（Web Application Firewall）の設定の見直しと、2022年より進めているセキュリティをより担保しやすい新管理者画面への移行を、2025年中に予定しております。新管理者画面では、共有アカウントの利用は無くなる予定です。
- 役員の責任: not_disclosed
- 異動前の議決権所有割合: not_disclosed
- 異動後の議決権所有割合: not_disclosed
- 今後の見通し: 今後も継続調査を実施するとともに捜査機関に協力し、不正行為については断固たる措置をとる。新たな事実が判明した場合は速やかに知らせる。WAF設定の見直しと新管理者画面への移行は2025年中に予定している。
- 続報の予定: 新たな事実が判明した場合、または改めて開示が必要な場合には、別途速やかに知らせる。

## 評価の根拠

- 会社自身が述べる影響の程度はどの水準か。: 予想は据え置き（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- この事象は損失をもたらすものか、利益をもたらすものか。: 小幅な下振れ（原文: 「「個人情報と発表前プレスリリース情報を中心とする保有情報が漏えいした可能性があることが判明」／「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 業績予想との関係について、この書類は何と書いているか。: 予想は据え置き（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 示された影響額は、会社の利益・売上の規模に対してどの程度か。: 相対規模は不明（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 影響が及ぶ範囲はどこまでか。: 単一セグメント（原文: 「「プレスリリース配信サービス『PR TIMES』において、2025年4月24日(木)より第三者によるサーバー内部への不正アクセスとサイバー攻撃が行われたことを確認」」）
- 出荷・生産・販売の停止、拠点の閉鎖、サービスの停止が生じたと書かれているか。: なし（原文: 「「プレスリリース配信等のサービス機能につきましては、本件による影響は当初から全くなく、正常稼働を続けています。」」）
- 継続企業の前提、債務超過、上場維持基準、債務の履行のいずれかに言及があるか。: なし（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 影響額の開示状況はどれか。: 金額の記載なし（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 影響がどの会計期間に計上されるかが明示されているか。: あり（原文: 「「本件による当社グループの連結業績（2026年2月期）への影響は現時点で軽微と考えております。」」）
- 事象の発生日または会社が認知した日が、特定の日付で示されているか。: あり（原文: 「「4月24日～25日にPR TIMES管理者画面へ第三者による不正アクセスが行われていたことが認められました。」／「2025年4月25日にPR TIMESのサーバーに不審なファイルが配置されていることを検知」」）
- 相手方・対象拠点・対象製品・対象契約が固有名で特定されているか。: あり（原文: 「「株式会社PR TIMES」／「プレスリリース配信サービス『PR TIMES』」／「企業ユーザー22万7023件、メディアユーザー2万8274件、個人ユーザー31万3920件」」）
- 主要な事実に数値と時期がついているか。: 数値と時期あり（原文: 「「2025年4月24日～25日」／「個人情報は最大で90万1603件」／「5月7日：所轄警察署へサイバー攻撃の被害を申告」／「2025年中に予定しております。」」）
- 肝心の数値を、別紙・同日開示の他資料・決算短信に委ねているか。: なし（原文: 「「個人情報は最大で90万1603件あり」／「4月24日時点で発表予定日時が設定されていたプレスリリース発表前情報（4月24日時点）は、1182社1682件です。」」）
- 事象はどこまで収束しているか。: 調査中（原文: 「「当社は今後も継続調査を実施すると共に捜査機関に協力」／「具体的なログが残されていないために断定はできません」」）
- この書類は、この事象についての何度目の開示か。: 初報（原文: 「「現時点までに判明した事実についてご報告するとともに、今後新たな事実が判明した場合には速やかにお知らせいたします。」」）
- 前回の開示と比べて、事象は拡大したか、収まったか。: 初報のため比較なし（原文: 「「現時点までに判明した事実についてご報告」」）
- 続報の予定はどう書かれているか。: 続報を約束（原文: 「「今後新たな事実が判明した場合には速やかにお知らせいたします。」／「改めて開示が必要な場合には、別途速やかにお知らせいたします。」」）
- 第三者委員会・特別調査委員会・外部専門家の関与が示されているか。: あり（原文: 「「外部セキュリティ専門機関と共にその影響について調査を進める」」）
- 影響についての記述はどれだけ断定的か。: 確定を避けている（原文: 「「漏えいした可能性があることが判明」／「具体的なログが残されていないために断定はできません」／「現時点で軽微と考えております。」」）
- 事象の原因はどこにあるか。: 内部管理（原文: 「「追加の経緯が不明のIPアドレスが存在し、そのIPアドレスが侵入経路に使われていました。」／「認証には普段使われていない社内管理の共有アカウントが使われていました。」」）
- 事象はどの主体で起きたか。: 提出会社（原文: 「「株式会社PR TIMES（東京都港区、代表取締役：山口拓己、東証プライム：3922）は」」）
- 法的・行政的な手続きはどの段階にあるか。: 当局の調査対象（原文: 「「所轄警察署へサイバー攻撃の被害を申告し、事件相談として受理されました。」／「今後も継続調査を実施すると共に捜査機関に協力」」）
- 当局から期限付きの報告・改善義務が課されたと書かれているか。: なし（原文: 「「個人情報保護委員会とJIPDECに対し、個人情報漏えいの可能性があることを速報として報告いたしました。」」）
- 自社の開示手続きについて、この書類は何を認めているか。: 開示の遅延・取消を自認（原文: 「「警察への被害申告の後にお客様へのご案内を行う方針でおりましたので、ご連絡が遅くなった」」）
- 再発防止についてどこまで書かれているか。: 具体的な再発防止策（原文: 「「管理者画面のアクセス許可IPアドレスを、社内からの接続とVPNからの接続のみに制限」／「WAFの設定の見直し」／「新管理者画面への移行を、2025年中に予定」」）
- 役員報酬の減額、処分、辞任など、責任の所在に踏み込んだ記載があるか。: なし（原文: 「「５．再発防止策」ではアクセス制限やシステム移行等が記載されているが、役員の処分等は記載されていない。」）
- 株主・顧客・関係者への謝罪の文言があるか。: あり（原文: 「「お客様にはご心配をお掛けする事態となりましたことを、深くお詫び申し上げます。」／「皆様には、多大なるご心配をお掛けする事態となりましたことを、改めてお詫び申し上げます。」」）