覆面調査サービス「ファンくる」にリスト攻撃、506万回の試行で59,389アカウントが不正ログイン — 2件でポイントの不正交換も
| 項目 | 内容 |
|---|---|
| 発生日 | 2026年8月20日22時〜8月24日13時（不正ログインが行われた期間） |
| 公表日 | 2026年8月24日（第一報）／2026年8月25日（第二報・調査結果）。報道は2026年9月9日 |
| 対象組織・業界 | 株式会社ファンくる（覆面調査サービス「ファンくる」を運営／専門サービス） |
| 影響件数 | ログイン試行 5,060,270件、不正ログインが成立したアカウント 59,389件。閲覧された可能性があるのはマイページの会員情報で、氏名、生年月日、郵便番号、電話番号、メールアドレス。加えて2アカウントで第三者によるポイントの不正交換を確認 |
| 攻撃手法 | リスト攻撃（他所から入手した認証情報を使い、利用者本人になりすましてログインを試みる手口）。同社内部から認証情報が流出した痕跡は確認されていない |
| 情報源 | 株式会社ファンくる「【重要】不正ログインに関する調査結果、サービス再開および今後の対応について（第二報）」（2026年8月25日）、第一報（2026年8月24日）、Security NEXT（2026年9月9日） |
株式会社ファンくるは2026年8月25日、同社が運営する消費者参加型の覆面調査サービス「ファンくる」が外部の第三者によるリスト攻撃を受けたと公表しました。
不正ログインが行われたのは2026年8月20日22時から8月24日13時までです。この間のログイン試行は5,060,270件にのぼり、そのうち59,389件のアカウントで不正ログインが成立しました。
閲覧された可能性があるのはマイページの会員情報で、含まれるのは氏名、生年月日、郵便番号、電話番号、メールアドレスです。加えて、2アカウントにおいて第三者によるポイントの不正交換が確認されています。
同社は8月24日にサービスを一時停止して第一報を公表し、メンテナンスを実施したうえで8月25日12時にサービスを再開しました。あわせてログイン画面へ不正アクセス対策機能を導入し、監視体制を強化しています。警察および個人情報保護委員会へ報告し、対象となる会員へは個別にメール等で連絡してパスワードの再設定を案内しています。
認証情報の出所については流出した可能性も踏まえて調査するとしつつ、同社内部から流出した痕跡は確認されていないとしています。
- 2026年8月20日22時: リスト攻撃による不正ログインが始まる
- 2026年8月20日〜24日: ログイン試行が5,060,270件にのぼり、59,389件のアカウントで不正ログインが成立
- 2026年8月24日13時: 不正ログインが確認された期間の終了
- 2026年8月24日: サービスを一時停止し、第一報を公表
- 2026年8月25日12時: メンテナンスを実施したうえでサービスを再開
- 2026年8月25日: 第二報として調査結果を公表。ログイン画面への不正アクセス対策機能の導入と監視体制の強化を実施
- 2026年9月9日: 報道により広く伝えられる
外部の第三者によるリスト攻撃です。他所から入手した認証情報を使い、利用者本人になりすましてログインを試みる手口で、同社のシステムが侵害されたわけではありません。
認証情報の出所について、同社は流出した可能性も踏まえて調査するとしていますが、内部から流出した痕跡は確認されていないとしています。攻撃元や、使われた認証情報がどこから入手されたものかは公表されていません。
組織が学ぶべきこと
Section titled “組織が学ぶべきこと”1. ログイン試行の回数そのものを、異常として拾う
Section titled “1. ログイン試行の回数そのものを、異常として拾う”506万件という試行は、通常の利用では起こりません。中身を見なくても、単位時間あたりの試行回数だけで異常と判定できる規模です。同社が対策として「ログイン画面へ不正アクセス対策機能を導入」を挙げているとおり、しきい値を超えた試行を遮断する仕組みは、認証を強くすることとは別に置ける層です。
2. ポイントや残高が動く操作に、ログインとは別の確認を挟む
Section titled “2. ポイントや残高が動く操作に、ログインとは別の確認を挟む”今回、実際の被害が出たのはポイントの不正交換2件です。ログインが通れば交換まで到達できる構成だったことになります。ログインの成功と、資産が動く操作の実行は分けて考えられます。交換や出金の前に追加の認証を求める、金額や頻度に上限を置く、といった設計で、侵入されたあとの被害を抑えられます。
3. 攻撃を受けた事実と、自社から漏れた事実を分けて説明する
Section titled “3. 攻撃を受けた事実と、自社から漏れた事実を分けて説明する”同社は「内部から流出した痕跡は確認されていない」と明記しています。リスト攻撃は他所で漏れた認証情報を使う手口なので、攻撃を受けたことと、自社が漏らしたことは別です。ただし利用者から見れば、どちらも「あのサービスで個人情報が見られた」という同じ出来事に見えます。この区別を最初の公表で示せるかどうかで、その後の説明のしやすさが変わります。
ヤグラの視点 — 発見までの時間：3日半で506万回、それでも認証は「成功」していた
Section titled “ヤグラの視点 — 発見までの時間：3日半で506万回、それでも認証は「成功」していた”数字を並べると構造が見えてきます。8月20日22時から8月24日13時までの約3日半で506万件の試行、うち59,389件が成功。単純に割ると1秒あたり十数回の試行が、3日以上続いていたことになります。
この規模でも見つけにくいのは、攻撃の大半が「正常なログイン」として処理されるからです。59,389件は認証に成功しています。パスワードは合っていて、システムから見れば本人がログインしたのと変わりません。失敗した約500万件のほうは記録に残りますが、それはログイン失敗という、どのサービスでも日常的に発生する事象の中に混ざります。1件ずつ見ていては区別がつきません。
見えるのは、束ねたときだけです。単位時間あたりの試行回数、接続元の分布、失敗と成功の比率、成功した直後にどのページへ進んだか。これらは認証の記録、アクセスの記録、業務システムの操作記録といった別々の場所に現れます。それを人手で毎日突き合わせるのは、人員の問題として成り立ちません。24時間分のログをすべて読む担当は置けないので、実際にはアラートが上がったものを業務時間内に順に確認する形になります。散らばった記録を1か所に集めてAIが常時見る、検知から初動までを数時間〜数日ではなく数分の単位に引き下げる。3日半を数時間に縮められれば、成功するアカウントの数もポイントが動く件数も変わってきます（→ ヤグラ AI SOC）。
- 使われた認証情報の出所
- ポイントの不正交換2件に対する補償の対応
- 対象会員への個別連絡の進捗
- 追加の再発防止策の公表内容
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-09-10 | 2026年8月24日の第一報、8月25日の第二報および2026年9月9日の報道をもとに記事を公開 |
