ピラティス専門店「WECLE」を運営するnobitel、データ管理システムの設定誤りで顧客情報が閲覧可能に
| 項目 | 内容 |
|---|---|
| 発生日 | 公表されていない。社内の点検によって判明した |
| 公表日 | 2025年12月24日 |
| 対象組織・業界 | nobitel（ピラティス専門店「WECLE」を運営／宿泊・観光） |
| 影響件数 | 公表されていない。氏名、性別、年齢、携帯電話番号、メールアドレス、郵便番号など |
| 攻撃手法 | 攻撃なし。データ管理システムの設定の誤りにより、直接ページにアクセスできれば個人情報を閲覧できる状態だった |
| 情報源 | Security NEXT（2025年12月24日） |
ピラティス専門店「WECLE」を運営するnobitelは2025年12月24日、顧客の個人情報がインターネット経由で閲覧できる状態になっていたと公表しました。
データ管理システムに設定の誤りがあり、直接ページにアクセスできれば、個人情報を閲覧できる状態でした。閲覧できたのは氏名、性別、年齢、携帯電話番号、メールアドレス、郵便番号などです。件数は公表されていません。
発覚は社内の点検によるもので、すでに閲覧できない状態になっています。社内関係者以外の第三者によるアクセスは確認されておらず、悪用の報告などもないとしています。
- 設定の誤りが生じた時期: 公表されていない
- 社内の点検により、個人情報が閲覧できる状態であることが判明
- 判明後: 閲覧できない状態に修正
- 2025年12月24日: nobitelが公表。第三者によるアクセスや悪用の報告はないとする
判明している事実: データ管理システムに設定の誤りがあったことです。誤った設定の具体的な内容、閲覧可能だった期間、対象件数は公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”「直接ページにアクセスできれば」という条件が示されている点が、この事案の性格を表しています。トップページから辿れる場所に置かれていたのではなく、URLを直接指定すれば認証なしで開けた状態だったと読めます。管理用の画面や顧客情報の一覧ページに、ログインを要求する設定が漏れていた場合にこの形になります。
この状態は、通常の利用者が偶然たどり着くことは少ない一方で、検索エンジンに収集されていれば外部から到達可能になります。同社が第三者によるアクセスを確認していないとしているのは、アクセス記録を確認した結果と考えられます。
発覚が社内の点検によるものだった点は、外部からの指摘や被害の申告が先行しなかったことを示しています。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 認証の設定は、画面単位ではなく到達経路で確認する
Section titled “1. 認証の設定は、画面単位ではなく到達経路で確認する”管理画面へのリンクを一般利用者に見せていなくても、URLを直接指定されれば開いてしまう構成では、認証をかけたことになりません。リンクの有無ではなく、URLを直接叩いたときに認証が要求されるかを画面ごとに確認する必要があります。
2. 顧客情報を扱うシステムは、公開範囲の点検を定期の作業にする
Section titled “2. 顧客情報を扱うシステムは、公開範囲の点検を定期の作業にする”今回の発覚は社内の点検によるものでした。点検が定期的に行われる仕組みになっていれば、露出の期間は点検の間隔までに抑えられます。設定を変更したときだけでなく、周期を決めて確認する運用が効きます。
3. 収集する項目を、業務に必要な範囲まで絞る
Section titled “3. 収集する項目を、業務に必要な範囲まで絞る”閲覧できたのは氏名・性別・年齢・携帯電話番号・メールアドレス・郵便番号です。予約や会員管理という目的に、これらすべてが必要かは検討の余地があります。保持する項目を減らすことは、露出したときの影響を直接下げます。
ヤグラの視点 — 攻撃者のいないインシデント：誰も侵入していないのに、情報は外から見えていた
Section titled “ヤグラの視点 — 攻撃者のいないインシデント：誰も侵入していないのに、情報は外から見えていた”この事案には攻撃者がいません。侵入も、脆弱性の悪用も、マルウェアもありません。データ管理システムの設定が誤っていて、URLを直接指定すれば顧客情報が見えた——起きたのはそれだけです。それでも、氏名から携帯電話番号までが外部から到達できる場所にありました。
このタイプの事案が検知されにくいのは、すべての操作が正常な記録として残るからです。不正なログインもなく、権限のない操作もありません。仮に誰かがそのページを開いたとしても、記録の上では「公開されているページへのアクセス」になります。侵入を前提に組まれた監視の網には、最初から掛かりません。
今回それを見つけたのは、社内の点検でした。外部からの指摘でも、被害の申告でもありません。設定不備の露出は、能動的に探しにいかなければ見つからないという性質を持ちます。だからこそ有効なのは、監視を厚くすることよりも、公開範囲を確認する工程を業務の中に固定することです。設定を変えたときに確認する、周期を決めて棚卸しする——この2つが回っていれば、露出は「いつか誰かが気づくまで」ではなく「次の点検まで」に収まります。
- 誤った設定の具体的な内容と、閲覧可能だった期間
- 対象となった顧客の件数と、対象者への連絡状況
- 再発防止策の公表内容
| 日時 | 内容 |
|---|---|
| 2026-08-17 | 2025年12月24日の公表内容をもとにアーカイブ記事として作成 |