ビジュアルアーツ、クラウドストレージの認証情報窃取で約1.3万件の個人情報が流出 — マイナンバーや本人確認書類画像、未発売ゲームのマスターデータも

項目	内容
検知日	2026年4月19日（未発売ゲームのマスターデータが海外サイトにアップロードされているのを確認）
公表日	2026年6月5日
対象組織・業界	ビジュアルアーツ（ゲームコンテンツの制作・販売）
攻撃手法	クラウドストレージの認証情報の窃取による不正アクセス（窃取手法は未公表）
影響件数	個人顧客 約8,643件 / 個人取引先 約2,343件 / 法人取引先 約1,452件 / 採用応募者 約1,007件 / 従業員・退職者 約114件
情報源	Security NEXT（2026年6月5日）

概要

ゲームコンテンツの制作・販売を手がけるビジュアルアーツは2026年6月5日、クラウドストレージの認証情報が第三者に窃取され、ストレージ内部に保存されていた社内情報が流出したことを公表しました。

発覚の契機は2026年4月19日、未発売ゲーム「anemoi」のマスターデータが海外のウェブサイトへアップロードされているのを確認したことでした。調査の結果、クラウドストレージの認証情報が窃取されており、マスターデータを含む社内情報が流出していたことが判明しました。

流出した可能性がある個人情報は、個人顧客 約8,643件、個人取引先 約2,343件、法人取引先 約1,452件、採用応募者 約1,007件、従業員・退職者 約114件です。含まれる情報項目は氏名やメールアドレスをはじめ、住所、電話番号、生年月日で、さらにマイナンバー（個人取引先 約484件、従業員 約114件）および本人確認書類の画像データが含まれます。

経緯

• 2026年4月19日: 未発売ゲーム「anemoi」のマスターデータが海外のウェブサイトへアップロードされているのを確認
• 調査の結果、クラウドストレージの認証情報が第三者に窃取されていたことが判明
• ストレージ内部に保存されていたマスターデータを含む社内情報が流出していたことを確認
• 2026年6月5日: 事案を公表。流出した可能性のある個人情報の内訳を明らかに

原因

同社は「クラウドストレージの認証情報が第三者に窃取された」と説明しています。認証情報がどのような手法で窃取されたか（フィッシング、情報窃取型マルウェアへの感染、認証情報の使い回しによるパスワードリスト攻撃、開発リポジトリや設定ファイルへの認証情報の平文保存など）は公表されていません。

考えられる原因（推測）: クラウドストレージの認証情報が第三者の手に渡る経路としては、(a) 従業員がフィッシングサイトに認証情報を入力した、(b) 業務端末が情報窃取型マルウェア（インフォスティーラー）に感染し、ブラウザ保存の認証情報やセッションクッキーが窃取された、(c) アクセスキーやAPIトークンがソースコード・設定ファイル・共有ドキュメントに平文で保管され、そこから漏れた、(d) 他サービスで漏えいした認証情報の使い回し、が典型です。本件では多要素認証（MFA）の適用状況が公表されていません。認証情報の窃取だけで大量のデータ取得まで到達している点は、当該ストレージへのアクセスがID・パスワードのみで成立していた、あるいはセッションを丸ごと奪われる形の窃取であった可能性を示唆します。ただしこれは公表事実からの推測であり、確定した原因ではありません。

対策

組織が学ぶべきこと

1. クラウドストレージが「社内の全部」を抱えている構造

本件で流出した情報の内訳を見ると、個人顧客・個人取引先・法人取引先・採用応募者・従業員/退職者という、事業のあらゆる関係者が含まれています。さらに未発売ゲームのマスターデータという、事業の中核をなす知的財産も同じストレージに置かれていました。これは特殊な運用ではなく、クラウドストレージを全社共通の置き場として使う組織で自然に発生する状態です。しかし結果として、認証情報1組の窃取が、顧客情報から人事情報から未発売製品までを一度に持ち出せる状態をつくっていました。用途別のバケット・領域分離と、領域ごとの権限分離が問われます。

2. マイナンバーと本人確認書類画像は「特別な置き方」が必要な情報

流出した情報にはマイナンバー約598件相当（個人取引先 約484件、従業員 約114件）と本人確認書類の画像データが含まれます。マイナンバー（特定個人情報）は番号法上、取扱いの範囲・保管方法・廃棄について通常の個人情報より厳格な管理が求められる情報です。本人確認書類の画像は、それ単体でなりすましによる口座開設・契約締結の材料になり得ます。個人取引先へ報酬を支払う事業（フリーランスのクリエイターへの委託が多い業態では日常的な業務）では、支払い事務の必要上これらを収集することになりますが、支払い事務のためのファイルを汎用クラウドストレージに置いてよいかは改めて問われる論点です。

3. 「未発売製品の流出」が検知の入口になった意味

本件の発覚は、外部の海外サイトに未発売ゲームのマスターデータが上がっているのを確認したことでした。つまり攻撃を検知したのではなく、攻撃の結果が外部で公開されているのを発見した形です。この経路で発覚したということは、認証情報の不正利用そのもの（普段と違う場所からのログイン、大量のダウンロード）が検知されていなかったことを意味します。もし流出したのが個人情報だけで、攻撃者が公開せずに転売していたなら、発覚はさらに遅れていた可能性があります。

ヤグラの視点 — 攻撃面の拡張：クラウドストレージは「境界の外にある社内サーバ」である

かつて社内の情報は、社内ネットワークの中のファイルサーバにありました。攻撃者がそこへ到達するには、まず境界を越え、内部を横展開し、権限を上げる必要がありました。何段階もの工程があり、各段階に痕跡が残りました。

クラウドストレージは、その工程を認証情報1組に圧縮します。認証が通れば、攻撃者は「社内」に侵入する必要がありません。インターネットからのアクセスは正当な利用と区別がつかず、境界防御もEDRも通過しません。本件で顧客情報・取引先情報・人事情報・未発売製品データが同時に持ち出されたのは、そこに全部が置かれていたからであり、攻撃者にとっては1つの認証情報が社内サーバの鍵束に相当する構造になっていたからです。

この構造で組織が持てる備えは二つです。第一に、認証情報だけでは通れない設計にすること。多要素認証、アクセス元の制限、機微データ領域への追加認証といった多層化です。第二に、認証が通った後の振る舞いを見ること。普段と異なる地域からのアクセス、平常時とかけ離れた量のダウンロード、深夜帯の一括取得——これらはログを横断的に見れば異常として立ち上がりますが、クラウドサービス個別の管理画面を人が巡回する運用では埋もれます。

ヤグラの AI SOC は、クラウドサービスからオンプレミス機器までのログを集約・相関し、AIが調査を回すことで「認証は正当だが振る舞いが異常」という類型を拾い上げる基盤です。本件のように発覚が外部サイトでの公開であった事案では、検知の起点を自組織側に取り戻すことが最初の課題になります。

今後の対応

同社は流出した可能性のある個人情報の内訳を公表しています。認証情報の窃取手法、多要素認証の適用状況、対象者への個別通知の進捗、マイナンバー流出に関する個人情報保護委員会への報告状況について続報が出る可能性があり、注視が必要です。対象者側では、なりすましメールへの警戒と、本人確認書類の画像流出に伴う不正契約・不正口座開設のリスクへの注意が実務上の対応となります。

更新履歴

日時	内容
2026-08-05	過去アーカイブとして記事化（キュレーション）