マクアケ、クラウドファンディング「Makuake」でサービス内メッセージ機能悪用のフィッシング — 会員を装いフィッシングサイトへ誘導

項目	内容
発生日	公表日以前（発生日詳細は非公表）
対象組織・業界	株式会社マクアケ（購入支援型クラウドファンディング「Makuake」）
攻撃手法	新規アカウント作成 + 既存会員へのパスワードリスト攻撃 + サービス内メッセージ機能でのフィッシング誘導
情報源	Security NEXT（2026年7月9日）

概要

株式会社マクアケが運営する購入支援型クラウドファンディングサービス「Makuake」で、サービス内メッセージ機能を悪用したフィッシングが発生しました。攻撃者は同サービスの窓口や会員を装い、同社とは無関係のフィッシングサイトへ誘導するメッセージを送信していました。

同社によると、攻撃者は次の複数の手口を組み合わせていました:

• 新規アカウント作成による公式窓口への偽装
• 既存会員アカウントへのパスワードリスト攻撃による乗っ取り
• 上記アカウントからサービス内メッセージ機能でURL付きメッセージを送信

同社は悪用されたアカウントの停止、フィッシング誘導メッセージの非表示化、URLを含むメッセージ送信の一部制限、利用者への注意喚起を実施しています。

経緯

• 発生時期: 公表日（2026年7月9日）以前。詳細は非公表
• 同社の初動: 悪用アカウントの停止、当該メッセージの非表示化、URL含むメッセージ送信の一部制限
• 2026年7月9日: 公表・利用者への注意喚起

原因

攻撃者側の手口として同社が公表している内容:

1. 公式窓口への偽装: 新規アカウントを作成し、同社のサポート窓口や運営を装う
2. 既存会員の乗っ取り: パスワードリスト攻撃（他サービスから漏えいした認証情報の使い回し前提の総当たり）で既存会員アカウントを乗っ取り、そのアカウントからメッセージを送信
3. サービス内メッセージ機能の悪用: 上記アカウントから、他の利用者に対してフィッシングサイトへのURL付きメッセージを送信

サービス側の脆弱性を突いた侵入ではなく、「サービスの正規機能」を組み合わせた運用型の攻撃である点が特徴です。

考えられる原因（推測）

以下は公表事実から考えられる仮説であり、同社が公表したものではありません。

1. プラットフォーム型サービスの構造的な難しさ: 会員間のコミュニケーション機能を持つプラットフォーム（フリマ・クラウドファンディング・SNS）は、「機能を悪用する内部利用者」への統制が難しい構造があります。悪意ある新規アカウント作成をどこまでゼロにできるか（本人確認・電話番号紐付け・SMS認証等）が、悪用の総量を左右します
2. パスワードリスト攻撃対策の実装差: MFA・不審ログイン検知・ログイン試行回数制限などの実装状況によって、既存会員のアカウント乗っ取りされやすさは大きく変わります

対策

組織が学ぶべきこと（プラットフォーム運営者）

1. 「悪意ある機能利用」を、サービスの脅威モデルに正式に位置づける

本件は、脆弱性の悪用ではなく正規機能の悪用です。プラットフォーム運営者は、外部からの攻撃だけでなく、「利用者を装う攻撃者が正規機能を使う」というシナリオを脅威モデルに含める必要があります。メッセージ機能・レビュー機能・プロジェクト立ち上げ機能など、外部と接触する機能はすべて悪用リスクの対象です。

2. 検知と対処の初動を「日次」の解像度で回す

サービス内メッセージ機能を使った攻撃は、「攻撃者にとってスケール可能」（1つのアカウントから多数の利用者にメッセージが送れる）である点でメール型フィッシングと似ています。異常なメッセージ送信パターン（短時間の大量送信、外部URL含有率の急増）を機械的に検知し、日次で対処に回す運用が必要です。

3. 利用者側の教育

プラットフォーム内での「サービスからの連絡」と「他利用者からの連絡」を利用者が見分けられるUI/UX（公式アカウントバッジ、警告表示、外部URLへの遷移確認）の設計が、被害拡大を抑える防波堤になります。

利用者が取るべき対策

1. サービス内メッセージでも外部URLは疑う: 公式サービスからのメッセージだからと言って、外部リンクを無条件にクリックしない。公式サポートは通常、パスワード・カード情報を要求しません 2. パスワードを他サービスと使い回さない: パスワードリスト攻撃の起点は、他サービスの過去漏えい情報です。同じパスワードの使い回しは、1つの漏えいが複数サービスの侵害に連鎖します 3. MFAの有効化: サービスがMFA（多要素認証）を提供している場合、必ず有効化する

ヤグラの視点 — 訓練のマルチチャネル化：メール一本足では、もう防げない

サイバーインシデントの74%は人的要因に起因し、生成AIで「人を騙す能力」は急速に上がっています。従来のセキュリティ意識向上訓練は「怪しいメールをクリックしない」に集中してきましたが、本件のように攻撃はメール以外のチャネル——サービス内メッセージ、SMS、電話、SNS DM、コラボツール——に拡散しています。メール型フィッシングだけを訓練する組織は、「メールは疑うが、Makuake内のメッセージは信じてしまう」という訓練のブラインドスポットを残したままになります。

ヤグラの アウェアネス は、AIが最新の攻撃手口を反映したマルチチャネル型の訓練シナリオを継続的に生成します。認証情報詐取・SMS/電話を使った攻撃・プラットフォーム内メッセージ悪用・ClickFix型など、実際に観測されている手口を訓練に取り込むことで、「見たことがないから引っかかる」構造を減らすアプローチです。訓練対象のチャネルを広げることは、企業内の情報伝達手段が多様化した現代環境に合った対策の基本方向と言えます。

今後の対応

同社は悪用アカウントの停止と機能制限を継続中。被害件数・二次被害の有無・機能制限の解除時期などの続報を注視し、判明次第、本記事に追記します。

更新履歴

日時	内容
2026-08-03	初稿公開（アーカイブキュレーション batch25）