ポケモンカードゲーム専門店「晴れる屋2」を運営する株式会社晴れる屋、抽選の設定不備で28,490件が約7時間閲覧可能に
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年7月23日午後3時20分〜午後10時28分（閲覧可能だった約7時間） |
| 公表日 | 2026年7月30日（報道は2026年8月19日） |
| 対象組織・業界 | 株式会社晴れる屋（ポケモンカードゲーム専門店「晴れる屋2」を運営／小売・EC） |
| 影響件数 | 28,490件。氏名、メールアドレス、電話番号、会員番号、抽選の申込店舗、当落結果 |
| 攻撃手法 | 攻撃なし。「スタートデッキ100 バトルコレクション購入抽選」における設定の不備により、同社が想定していない操作を行うと応募者の個人情報が外部から閲覧可能な状態になっていた |
| 情報源 | ScanNetSecurity（2026年8月19日） |
株式会社晴れる屋は2026年7月30日、ポケモンカードゲーム専門店「晴れる屋2」で実施した「スタートデッキ100 バトルコレクション購入抽選」において、設定の不備が原因で、同社が想定していない操作を行うことで、応募した顧客の個人情報が外部から閲覧可能な状態になっていたと公表しました。
抽選は2026年7月20日から23日にかけて実施され、閲覧可能だったのは7月23日午後3時20分から午後10時28分までの約7時間です。
対象となったのは28,490件で、氏名、メールアドレス、電話番号、会員番号、抽選の申込店舗、当落結果が含まれます。
同社は対象データへの4件のアクセスを確認した一方で、対象データの複製およびダウンロードは行われていないとしています。対象者へ謝罪のメールを送信し、500ポイントを付与しました。再発防止策として、データアクセス制御の厳格化、システム公開・設定変更における承認フローの導入、事前アクセス検証の義務化と権限設定の定期監査を挙げています。
- 2026年7月20日〜23日: 「スタートデッキ100 バトルコレクション購入抽選」を実施
- 2026年7月23日午後3時20分: 設定の不備により、応募者の個人情報が外部から閲覧可能な状態となる
- 2026年7月23日午後10時28分: 閲覧可能な状態を解消
- 調査: 対象データへの4件のアクセスを確認。複製およびダウンロードは行われていないことを確認
- 2026年7月30日: 株式会社晴れる屋が公表。対象者へ謝罪メールを送信し500ポイントを付与
- 2026年8月19日: 報道により広く伝えられる
判明している事実: 抽選における設定の不備により、同社が想定していない操作を行うと応募者の個人情報が外部から閲覧可能な状態になっていたことです。誤った設定の具体的な内容と、「想定していない操作」が何を指すのかは公表されていません。
考えられる原因（推測）
Section titled “考えられる原因（推測）”同社は「想定していない操作」と表現しています。通常の画面遷移では届かない場所へ、別の手順でたどり着けたということでしょう。当落結果を表示する画面のURLに含まれる番号を書き換える、一覧を返す仕組みを直接呼び出す——このあたりが候補になりますが、公表内容からは特定できません。
閲覧可能だった期間は7月23日の午後3時20分から午後10時28分と分単位で示されています。いつ状態が生じ、いつ解消されたかを記録から特定できたということです。抽選の当落発表は7月23日と見られ、その公開に伴う設定変更が起点になった可能性があります。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. 抽選や発表など、公開のタイミングが決まっている機能は設定変更が集中する
Section titled “1. 抽選や発表など、公開のタイミングが決まっている機能は設定変更が集中する”当落発表のように「この時刻から見せる」機能では、公開の直前に設定変更が立て込みます。危ない瞬間が事前に分かっているのだから、そこに確認を挟めばよい。同社が再発防止に「システム公開・設定変更における承認フロー」を挙げているのは、まさにこの瞬間を押さえるためでしょう。
2. 想定した画面遷移以外の到達経路を、公開前に試す
Section titled “2. 想定した画面遷移以外の到達経路を、公開前に試す”「想定していない操作」で到達できたということは、正規の画面から辿る確認では見つからなかったということです。URLを直接指定する、他人の識別子を入れてみる、一覧を返す仕組みを直接呼ぶ——こうした確認を公開前の工程に入れる必要があります。同社が挙げた「事前アクセス検証の義務化」は、この作業を必須にするということでしょう。
3. 応募情報と当落結果を、同じ場所に置かない
Section titled “3. 応募情報と当落結果を、同じ場所に置かない”今回の対象には当落結果が含まれています。誰が当選し誰が落選したかは、応募者本人以外に知られる前提の情報ではありません。応募の受付に必要なデータと、発表のために生成した結果は、性質が違います。同じ範囲でまとめて扱う必要があるかは、抽選を設計する段階で検討できます。
本件は原因・影響範囲・再発防止策のいずれも公表され、対象者への謝罪と補償も実施されています。追加公表の予定は示されていません。
- 参考: 誤った設定の具体的な内容と、「想定していない操作」の詳細は公表されていません
| 日時 | 内容 |
|---|---|
| 2026-08-19 | 2026年7月30日の公表内容および2026年8月19日の報道をもとに記事を公開 |