何が起きたか
この事故で流出した、または流出したおそれがある情報は、登録時に付く内部識別番号、決済手段、決済代行会社名、通貨、購入額、取消額、購入と返金の日時、購入の状態。42万2584アカウント分。氏名・連絡先・カード番号は含まれないと説明です。その後の対応と影響は、決済APIのアクセス制御を強め、外部に出るデータから内部識別番号を外した。対象者に通知し、外部に公開しているAPIをすべて点検すると表明した。取得した者にデータの返却を求め、法的責任を問う方針を示したです。
原因になったのは「決済情報を扱うAPIの脆弱性（詳しい内容は公表されていない）」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因報道
外部の者が「異常な攻撃」で決済関連のデータを取得した。運営会社は決済情報を処理するAPIのアクセス制御を強めたと説明しているが、脆弱性の詳しい内容は公表していない。
- 1つ外側 流出した情報報道
登録時に付く内部識別番号、決済手段、決済代行会社名、通貨、購入額、取消額、購入と返金の日時、購入の状態。42万2584アカウント分。氏名・連絡先・カード番号は含まれないと説明。
- いちばん外側 その後の対応と影響報道
決済APIのアクセス制御を強め、外部に出るデータから内部識別番号を外した。対象者に通知し、外部に公開しているAPIをすべて点検すると表明した。取得した者にデータの返却を求め、法的責任を問う方針を示した。
なぜ起きたか
運営会社は、外部の通報者が報告した脆弱性を経由してデータが取得されたと説明した。決済APIのアクセス制御を強めたとしているが、どの設定に不備があったか、いつから取得できる状態だったかは公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年9月3日KISAが、外部の通報者から脆弱性の報告があったと運営会社に連絡する
- 2026年9月4日運営会社が社内点検と緊急対応を行い、KISAに流出を届け出る
- 2026年9月6日代表名義のお知らせで42万2584アカウント分の流出を公表する
- 公表以降決済APIのアクセス制御を強め、外部公開APIの全数点検を進める
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）外部から呼び出せるAPIごとに、ログインした本人の記録だけを返すかを公開前に試験し、返す項目を必要最小限に絞っていれば、第三者が他人の決済記録を取得できる範囲を小さくできた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 自社のアプリやサイトが外部に公開しているAPIを一覧にする
- それぞれのAPIで、別の利用者のIDを指定した時に他人のデータが返らないかを試す
- APIの応答に、画面に表示しない内部ID・決済情報が含まれていないかを確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- HYBE's Weverse confirms data leak affecting 422,584 accounts, including payment and refund details（Music Business Worldwide）2026.09.08
- HYBE Weverse, information on 422,584 accounts leaked（Sports Kyunghyang）2026.09.06
