cocoloni（ザッパラス子会社）、顧客のメアド・暗号化パスワードが流出 — 占い関連サービス
| 項目 | 内容 |
|---|---|
| 発生日 | 2025年11月27日〜12月13日（影響期間） |
| 対象組織・業界 | 株式会社cocoloni（ザッパラスのグループ会社・占い関連サービス） |
| 攻撃手法 | 外部からの攻撃（具体的手法非公表） |
| 情報源 | Security NEXT（2026年1月23日） |
ザッパラスのグループ会社で占い関連サービスを展開するcocoloniは、2026年1月23日、外部からの攻撃により顧客のメールアドレスと暗号化されたパスワードが流出したと公表しました。流出件数は公表されていません。
流出した情報を用いてログインを試みた痕跡は現時点で確認されていないとしつつ、個人情報保護委員会への報告、システムのセキュリティ対策強化、個人情報の管理体制と監査体制の見直しを実施し、引き続き再発防止策に取り組むとしています。
- 2025年11月27日〜12月13日: 攻撃を受けた期間（影響期間として公表）
- 2025年12月13日: 顧客情報流出の可能性を把握
- 2026年1月23日: 経緯を公表
- 個人情報保護委員会への報告、セキュリティ対策の強化、管理体制・監査体制の見直しを実施
具体的な攻撃手法（Webアプリの脆弱性、SQLインジェクション、認証情報窃取、内部不正等）は公表されていません。
考えられる原因（推測）: 占い・エンタメ系Webサービス事業者への顧客情報流出事案では、(a) Webアプリケーションの脆弱性悪用（SQLインジェクション・認証バイパス等）、(b) 管理画面への不正アクセス（管理者アカウントの認証情報窃取）、(c) データベースサーバへの直接侵入、(d) API経由の情報漏えい、が典型パターンです。パスワードが「暗号化されて」流出したという表現から、平文保存ではなくハッシュ化またはハッシュ+ソルト化されていた可能性が高いと考えられます。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 「暗号化されたパスワード」の解釈と、それでもリスクである理由
Section titled “1. 「暗号化されたパスワード」の解釈と、それでもリスクである理由”本件でパスワードが「暗号化されて」流出したことは、平文流出よりリスクが低いのは事実です。ただし、(a) 暗号化方式が古い（MD5・SHA-1等）だとオフライン解析で復元される可能性が残る、(b) 同じパスワードを別サービスで使い回している顧客はリスト型攻撃の対象になる、(c) 十分に強い暗号化でも将来的な計算能力の向上で復元される可能性がある、といったリスクは残ります。「暗号化されているから安全」ではなく、「暗号化されているが、パスワード変更と使い回し禁止の呼びかけは必須」という理解が正解です。
2. 影響期間「11/27〜12/13」の意味
Section titled “2. 影響期間「11/27〜12/13」の意味”攻撃期間として2週間強が公表されている点は、事業者側が事後のログ調査で「どの期間に何が持ち出されたか」を絞り込めたことを示します。この粒度で説明できるのは、Webアプリ・DB・認証ログを横断で追跡できたためであり、事後のログ体制の投資が事後対応の粒度を決める好例です。
3. 個人情報保護委員会への報告は「起点」であって「終点」ではない
Section titled “3. 個人情報保護委員会への報告は「起点」であって「終点」ではない”本件のように顧客情報が流出した事案では、個情委への報告は最初の一歩に過ぎず、対象顧客への通知・パスワード再設定の強制・二要素認証の追加・監査体制の恒常化まで、複数のフェーズが続きます。「報告済み」を最終ステップと誤解する事業者は少なくありません。
ヤグラの視点 — 二次攻撃の連鎖を断つ：流出パスワードの「使い回し先」まで見る
Section titled “ヤグラの視点 — 二次攻撃の連鎖を断つ：流出パスワードの「使い回し先」まで見る”「メールアドレス＋暗号化パスワード」の組み合わせが流出した事案の最大のリスクは、cocoloniのサービス内での不正ログインではなく、顧客が同じパスワードを他サービスで使い回している場合の連鎖被害です。攻撃者は流出情報リストを持ち回り、複数の主要サービス（EC・金融・SNS）に対してパスワードリスト攻撃をかけ、二次被害・三次被害を作ります。
事業者としてできる封じ込めは、(a) 対象顧客全員に対する強制的なパスワード変更、(b) 二要素認証の必須化、(c) 攻撃者が流出情報を悪用する兆候（他社での不正ログイン・不審な問い合わせ）の早期検知、(d) 顧客への「他サービスでも同じパスワードを使っていた場合は変更を」という明確な呼びかけ、です。ヤグラの PhishAI は、報告されたフィッシング・不審メッセージの影響範囲を自動調査する機能を持ち、認証情報の再利用に起因する二次波に対しても「同種メッセージが誰に届いているか」を短時間で見える化する基盤として応用できます。
流出件数の公表、対象顧客への通知、パスワード再設定の呼びかけの継続、および流出情報を悪用したログイン試行の追加検知が焦点となります。占い・エンタメ系事業者のセキュリティ投資基準見直しも業界横断のテーマです。
| 日時 | 内容 |
|---|---|
| 2026-07-30 | 初稿公開（キュレーション） |