映像制作の円谷プロダクション（東京都渋谷区）、直営店「ULTRA MART」の購入抽選システムが不正アクセスで改ざん — 当選していた133人が「落選」表示に

2026/09/16 21:12 続報を注視中中程度メディア・エンタメ情報通信・IT #不正アクセス #サプライチェーン

項目	内容
対象組織・業界	株式会社円谷プロダクション（東京都渋谷区／映像制作・キャラクターライセンス）／システム提供: mogily株式会社（デジタル整理券システム「mogily」）
発生日	不正アクセス: 2026年9月9日〜10日／公表: 2026年9月11日
攻撃手法	mogilyの管理システムへの外部からの不正アクセス → 購入抽選の当落データの改ざん
影響件数	「当選」から「落選」に書き換えられた利用者 133人。個人情報（氏名・連絡先等）の漏えいは確認されず
情報源	mogily株式会社公式発表、ITmedia NEWS（2026年9月15日）、ASCII.jp（2026年9月15日）

概要

株式会社円谷プロダクション（東京都渋谷区／映像制作）とmogily株式会社は2026年9月11日、円谷プロダクションの直営店「ULTRA MART」がLINEアプリ上で実施した購入抽選について、当落の結果データが第三者に書き換えられていたと公表しました。対象になったのは2026年9月9日から10日にかけて実施された一部の抽選枠で、商品は「M78ウルトラマンふわふわお座りぬいぐるみ」です。本来「当選」だった133人の状態が「落選」に変わっていました。

侵入を受けたのは円谷プロダクション自身のサイトではなく、抽選に使われていたデジタル整理券システム「mogily」の管理システムです。mogily社は発覚後のログ調査で対象の133人を特定し、全員の状態を「当選」に戻しました。氏名や連絡先といった個人情報が外部に漏えいした形跡は確認されていません。

経緯

2026年9月9日〜10日: ULTRA MARTがLINEアプリ上で実施した購入抽選の一部枠で、mogilyの管理システムが外部から不正アクセスを受け、当落データが改ざんされる
発覚後: mogily社がログ調査を実施し、「当選」から「落選」に書き換えられていた133人を特定
特定後: 対象となった133人の状態をすべて「当選」に復旧
2026年9月11日: 円谷プロダクションとmogily社が事案を公表。侵入経路の特定とセキュリティ強化対策は完了しており、その後の新たな不正アクセスはないと説明

対策

本件の侵入経路は公表されていないため、以下は同種の事案一般に対する対策です。

1. データの変更操作を、どのレコードの値がどう変わったかまで残す

133人を特定して「当選」に戻せたのは、管理システム側に記録が残っていたからです。ログインの成否しか残していなければ、誰の結果が書き換えられたのかを後から言えず、抽選そのものをやり直すほかありません。残すのは「いつ、どのアカウントが、どのレコードの、どの値を、何に変えたか」で、変更前の値も保持しておけば書き換えられた側だけを元に戻せます。抽選・予約・決済のように結果が利用者の権利に直結するデータでは、参照のログより変更のログが重要になります。

2. 管理システムの入口を、業務で使う経路だけに絞る

管理システムは、利用者向けの画面と違って不特定多数がアクセスする必要がありません。接続元のIPアドレスを事業所やVPNの範囲に限定し、管理者アカウントに多要素認証を必須にしておけば、認証情報だけを手に入れた攻撃者は管理画面にたどり着けません。自社の機器だけでなく、利用者のデータを預けているSaaSやシステム提供事業者の管理画面も同じ扱いにします。

ヤグラの視点 — 持ち出されない侵入は、漏えいの監視には映らない

攻撃者がしたのは、データを持ち出すことではなく書き換えることでした。外部への大量送信や見慣れない宛先への通信といった、情報が外に出ていくことを前提にした監視では、この操作は引っかかりにくいと考えられます。かといって管理システムの内側を見ても、当落のフラグを更新する操作は運用担当者が普段行っているものと同じ形をしています。検知された攻撃の79%はマルウェアを使わないという報告があるとおり、正規の認証情報で入られた侵入は正規の利用と区別がつきません。

それでも被害の範囲を確定できたのは、ログが残っていたからです。ただし、後から調べるためのログと、書き換えに気づくためのログは別物です。気づく側に回すには、変更操作の記録を管理システム・認証基盤・ネットワーク機器に分かれたまま置かず、1か所に集めて「同じアカウントが短時間に何件のレコードを更新したか」を平常時の値と比べます。抽選結果が一斉に書き換わった時点で、持ち出しがなくても異常として拾えるようになります。分散したログを人手で毎日突き合わせ続けるのは工数に収まらないため、AIによる24時間365日の横断ログ監視で検知から初動までを数分の単位にするのが現実解になります（→ ヤグラ AI SOC）。

今後の対応

侵入経路の具体的な内容（管理システムへの到達方法、悪用された認証情報や脆弱性の有無）
mogilyを導入する他のクライアント企業、および他の抽選枠・他の日程への波及の有無
「セキュリティ強化対策」として実施された内容
当落が入れ替わったことによる購入機会の取り扱い

判明次第、本記事に追記します。

更新履歴

日時	内容
2026-09-16	第一報を公開