タレント事務所を運営する会社で、データ分析ツールの脆弱性を突かれ、約17万件の個人情報が漏洩

何が起きたか

この事故で流出した、または流出したおそれがある情報は、氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額、サービス加入状況、応援するタレントの選択情報など約17万件。カード情報とパスワードは含まれないです。その後の対応と影響は、ツールを停止し、攻撃者が作ったアカウントとAPIキーを無効にした。侵害された環境は廃棄した。警察に通報し、個人情報保護委員会に報告した。社内ツールをインターネットに公開しない方針を示したです。

原因になったのは「社内で使うBIツールの既知の脆弱性（修正の適用前に悪用された）」です。公表された内容では、生成AIは事故に関わっていません。

なぜ起きたか

公表文によると、BIツールの既知の脆弱性に対する修正プログラムを当てる前に不正アクセスを受けた。会社は再発防止策として、脆弱性情報の受け取り体制と対応期限の規定を挙げた。

原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。

事故が起きてから公表されるまで

1. 2026年8月10日BIツールへの不正アクセスが始まる
2. 8月16日ツール内のデータの不正ダウンロードを確認
3. 8月17日ツールを停止し、攻撃者のアカウントとAPIキーを無効化
4. 8月18日第一報を公表
5. 9月30日第四報で約17万件と調査結果を公表

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）

社内向けの分析ツールをインターネットから接続できない場所に置き、脆弱性が公表されたら期限を決めて修正していれば、悪用を防げた可能性がある。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

1. インターネットから接続できる社内ツール（BI・管理画面など）を一覧にする
2. 各ツールの脆弱性情報を誰が受け取り、何日以内に修正するかを決める
3. 分析ツールに置く個人情報を仮名化できるか確認する

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

出典と更新の履歴

• 不正アクセスに関するご報告（第四報）2026.09.30
• 不正アクセスによる個人情報漏えいに関するお知らせ（第一報）2026.08.18