「くふう まちトークβ版」に不正アクセス、308人の生年月日・性別が閲覧可能に
| 項目 | 内容 |
|---|---|
| 発生・公表日 | 不審なアクセスを確認: 2026年10月2日 / 第一報: 10月5日 / 調査結果: 10月13日 |
| 対象組織・業界 | 株式会社くふうカンパニー / Webサービスの運営 |
| 対象サービス | 「くふう まちトークβ版」 |
| 影響件数 | 生年月日・性別が閲覧可能 308人 / うちメールアドレスの取得を確認 1人 |
| 攻撃手法 | システムの一部の脆弱性を突いた不正アクセス（脆弱性の内容は非公表） |
| 情報源 | くふうカンパニー 第一報（2026年10月5日） / 調査結果（10月13日） |
株式会社くふうカンパニーは2026年10月13日、「くふう まちトークβ版」への不正アクセスについて調査結果を公表しました。10月5日の第一報に続く発表です。
同社の調査では、利用者308人の生年月日と性別が外部から閲覧できる状態になっていました。どちらも利用者が登録時に入力した情報です。
このうち1人は、メールアドレスまで外部に取得されていました。同社によると、システムの一部の脆弱性を突いた不正アクセスで、メールアドレスが生年月日・性別と結びつけられる状態になっていたそうです。
残る307人は、生年月日と性別からメールアドレスをたどれない仕組みだったといいます。307人のメールアドレスが閲覧や取得をされていないことも、同社は確認したとしています。脆弱性の内容と不正アクセスの期間は、まだ明らかにされていません。
- 2026年10月2日: 同社がサービスへの不審なアクセスに気づき、調査を開始
- 調査の過程: 第三者による不正アクセスを確認し、被害拡大を防ぐ措置を実施
- 2026年10月5日: サービスを停止し、第一報を公表。少なくとも1人のメールアドレスの漏えいを確認
- 2026年10月13日: 調査結果を公表。閲覧できる状態を解消し、脆弱性への対策を実施
同社は個人情報保護委員会に報告し、対象者には個別に連絡しました。サービスは止めたままで、近日中の再開を目指しているそうです。
今回外から見えたのは、利用者が登録時に入れた生年月日と性別でした。見えていた仕組みは公表されていません。それでも、サービスを公開する前には、外部から取得できる項目を開発者が書き出しておく必要があります。そのうえで、画面に表示しない登録情報が応答に混ざっていないかを確かめます。
β版のように早めに公開するサービスこそ、この確認を公開の条件に入れておくべきです。そうしておけば、脆弱性を突かれたときに外へ出る情報を減らせます。
ヤグラの視点 — 不審なアクセスに気づいた後の判断
Section titled “ヤグラの視点 — 不審なアクセスに気づいた後の判断”くふうカンパニーは10月2日、自社で不審なアクセスに気づきました。調査で不正アクセスを確かめたうえで、5日にサービスを止めています。気づいてから止めるまでの間、担当者は調査を進めながら、いつ止めるかを判断し続けることになります。
この判断を早めるには、どんな状況でサービスを止めるのか、誰が止める権限を持つのかを前もって決めておきます。たとえば「個人情報を返す処理に不審なアクセスがあれば止める」と決めてあれば、影響範囲の調査と並行して止められます。ログの一次調査を自動で回すAI SOCは、止めるかどうかを決める材料を早くそろえるための道具です。（→ ヤグラ AI SOC）
- 悪用された脆弱性の内容と、不正アクセスの期間
- サービス再開の時期と、再開時の対策
- くふうカンパニーを装う不審なメールの発生有無
判明次第、本記事に追記します。
| 日時 | 内容 |
|---|---|
| 2026-10-28 | 第一報を公開 |
