Bカートで利用する外部サービス「Onboarding」（株式会社STANDS提供）への不正アクセスについて

第一報：2026年10月15日(木)

外部サービス「Onboarding」への不正アクセスについて

平素よりBカートをご利用いただき、誠にありがとうございます。

このたび、当社がBカート管理画面の一部機能で利用している外部サービス「Onboarding」（提供元：株式会社STANDS）において、第三者による不正アクセスが確認されました。安全確保のため、当社では2026年10月15日、同サービスとの連携を停止し、Bカート管理画面から設置タグを撤去いたしました。

• 発生事象：外部サービス「Onboarding」の管理画面における第三者による不正アクセス
• 不正アクセス期間：2026年10月14日 午前2時〜同日午前5時頃
• 調査状況：不正アクセスの発生原因および影響範囲については、提供元の株式会社STANDSにて調査中
• 当社の対応（2026年10月15日実施）：外部サービス「Onboarding」との連携停止、およびBカート管理画面からの設置タグの撤去

本件は、Bカートをご利用のすべてのお客様が対象となるものではありません。影響が確認されたお客様には、当社より個別にご連絡いたします。

今後の対応については、詳細が確認でき次第、改めてご案内いたします。ご不便・ご心配をおかけいたしますことを、深くお詫び申し上げます。

株式会社Dai（Bカート）

第二報：2026年10月20日(火)

当社のレポート情報が外部取得された可能性について

2026年10月15日にお知らせした、外部サービス「Onboarding」（提供元：株式会社STANDS、以下「STANDS社」）への不正アクセスの件につきまして、その後のSTANDS社の調査、および当社による確認の結果、当社がBカート内に設定しているチュートリアル（ガイド）の表示状況に関するレポート（「ステップ表示エラーレポート」）が外部取得された可能性があることが判明しましたので、第二報としてお知らせいたします。

1. 判明した事項

• 原因：外部サービス「Onboarding」のパスワード再設定機能を標的としたブルートフォース攻撃（総当たり攻撃）によるものと、STANDS社より報告を受けています。
• 確認された操作：当社の「ステップ表示エラーレポート」（Bカート内に設定しているチュートリアルが、通信環境や画面の影響で途中で止まった際に検知・記録するレポート）について、ダウンロード用URLが第三者に取得されたことが確認されました（＝レポート情報が外部取得された可能性）。
• STANDS社の公表・当局報告：STANDS社においても、2026年10月16日付で本件に関するお知らせを公表し、個人情報保護委員会への報告を行っています。詳しくはSTANDS社の公表をご参照ください：https://onboarding.co.jp/news-list/2026-10-16

2. 外部取得された可能性のある情報（「ステップ表示エラーレポート」に含まれる項目）

当社において当該レポートの実データを確認した結果、含まれ得る項目は、Bカート管理画面の項目名で申し上げると以下のとおりです（万一データ本体が持ち出された場合に対象となり得る項目です）。

(1) 管理画面の登録情報として付随していた項目
・管理者名：多くの場合、「マスター管理者」「管理者」等の役割・権限を示す名称です。管理者名欄に氏名（フルネーム）をご入力されていた場合に限り、それが含まれます。
・会社名
・契約区分・契約日数（当社の内部管理上の区分）

(2) 利用状況・操作に関する情報
・チュートリアル（ガイド）の表示が途中で止まった際の、該当ステップ・発生箇所・日時 等（本レポートが記録する利用状況）。

(3) アクセス環境に関する情報
・IPアドレス、ブラウザ・OS・端末の種別、画面解像度 等（管理画面の入力項目ではなく、アクセス時に記録される情報）。

対象期間：2026年6月1日〜2026年10月14日。対象となる企業数は23社（Bカートをご契約・お試しご利用、またはパートナーとしてご利用の事業者様）です。（本内容は、STANDS社の調査報告および当社による当該レポート実データの精査に基づく、2026年10月20日時点の情報です。）

3. 二次被害・なりすましにご注意ください

現時点で、本件に起因して情報が不正に利用された事実は確認されておりません。もっとも、本件に便乗したなりすましメール・フィッシングが行われる可能性があります。
・メールアドレス自体の流出は確認されておりませんが、念のため、「Onboarding」「STANDS」「Bカート」等をかたる、心当たりのないメール（ユーザー招待、パスワードリセットのご案内、アカウント確認の依頼等）にご注意ください。
・心当たりのないメールは、開かず・本文中のリンクやボタンを操作せず、Bカート管理画面内の「Bカートサポート」までご確認ください。当社からの正規のご連絡の送信元は @bcart.jp です。

4. 当社の対応状況

一次お知らせでご案内のとおり、2026年10月15日に、外部サービス「Onboarding」との連携を停止し、Bカート管理画面から設置タグを撤去しました。これにより、今後、当該サービスへ新たに情報が送信されることはありません。

5. 影響が及んだ可能性のあるお客様への個別のご連絡

影響が及んだ可能性が確認されたお客様には、当社より個別にご連絡いたします。

本件について新たな事実が判明した場合は、改めてご案内いたします。このたびは、多大なるご心配とご迷惑をおかけしますことを、重ねて深くお詫び申し上げます。

株式会社Dai（Bカート）

第三報：2026年10月21日(水)最新

その後の調査結果と対応状況について

2026年10月20日にお知らせした上記の件につきまして、その後の提供元（STANDS社）の追加調査の結果と、当社の対応状況について、第三報としてお知らせいたします。

1. レポート本体が取得されたかどうかについて（追加調査の結果）

2. 対象のお客様への個別のご連絡について

影響が及んだ可能性のある対象のお客様（23社）へ、2026年10月20日に個別にメールにてご連絡いたしました。本件の対象となるお客様には個別にご連絡しておりますので、当社から個別のご連絡がないお客様は、本件の対象ではございません。

3. お問い合わせ

本件に関するお問い合わせは、Bカート管理画面にログインのうえ「Bカートサポート」よりご連絡ください。管理画面にログインできない場合は、support@bcart.jp までご連絡ください。なお、技術的な事項や調査状況等、当社ではご回答が難しい内容については、お客様のご了解を得たうえで、提供元（STANDS社）より直接ご回答・ご連絡を差し上げる場合がございます。

引き続き、提供元に対して影響範囲の確認と再発防止を求めてまいります。本件について新たな事実が判明した場合は、改めてご案内いたします。このたびは、多大なるご心配とご迷惑をおかけしますことを、重ねて深くお詫び申し上げます。

株式会社Dai（Bカート）