台湾のフィットネスクラブ運営会社で、委託先が運用する外部向けシステムが自動化攻撃を受け、会員と従業員の個人情報の一部が抜き取られた

この記事の内容

1. 何が起きたか 2. なぜ起きたか 3. どうすれば防げたか 4. 自社に同じ原因があるか出典と更新の履歴

何が起きたか

この事故で流出した、または流出したおそれがある情報は、従業員と会員の個人情報の一部。項目と件数は公表されていないです。その後の対応と影響は、個人情報事故の手順で対策会議を開き、監督官庁へ通報した。公式サイト、Facebook、Instagram、会員アプリ、SMSで会員に詐欺への注意を呼びかけた。委託先に原因の見直しと対策を求め、委託先の管理を強めるとしたです。

原因になったのは「委託先が運用する外部向けシステムへの自動化攻撃」です。公表された内容では、生成AIは事故に関わっていません。

中心　直接の原因確定
委託先が運用する外部向けサービスのシステムが自動化攻撃を受け、顧客データの表がページ単位で抜き取られた。
1つ外側　流出した情報確定
従業員と会員の個人情報の一部。項目と件数は公表されていない。
いちばん外側　その後の対応と影響確定
個人情報事故の手順で対策会議を開き、監督官庁へ通報した。公式サイト、Facebook、Instagram、会員アプリ、SMSで会員に詐欺への注意を呼びかけた。委託先に原因の見直しと対策を求め、委託先の管理を強めるとした。

（確定）は当事者が発表した内容、（報道）は報道にもとづく内容、（不明）は公表されていない内容です。

なぜ起きたか

会社の説明では、委託先から攻撃の通知を受けて事故を知った。攻撃の入口になった弱点や、抜き取りが続いた期間は公表されていない。

原因の種類は「委託先での事故」です。業務を任せていた会社のシステムで起きた事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は40件あります。

事故が起きてから公表されるまで

2026年9月23日委託先が、外部向けシステムへの自動化攻撃を会社に通知する
2026年9月23日会社が重大訊息で公表し、監督官庁に通報する
同日以降公式サイト、SNS、会員アプリ、SMSで会員に詐欺への注意を呼びかける

どうすれば防げたか

上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。

止められた可能性がある所（当社の見立て）
外部向けのシステムで、同じ相手から短時間に大量の照会が来た時に止める仕組みと通知があれば、表の抜き取りを早い段階で止められた可能性がある。委託先にその監視を契約で求め、定期的に報告を受けることも一つの方法である。

この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。

自社で確認する3つの手順

上から順に、短い時間で確認できるものを並べています。

委託先が運用している外部向けシステムと、そこに置かれている個人情報の種類を一覧にする
同じ接続元からの大量の照会や、ページ送りの連続した取得を検知・遮断する設定があるか委託先に確認する
委託先から事故の通知を受ける期限と連絡先を、契約か覚書で決めておく

自社に同じ原因があるか

当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。

委託先が運用する外部向けシステムに、どの個人情報が入っているか把握していますか？同じ相手から短時間に大量のデータ取得があった時に、自動で止める設定がありますか？委託先が事故に気づいた時、何時間以内に自社へ知らせるか決まっていますか？

結果はこの画面にだけ表示されます。入力した内容は送信されません。

出典と更新の履歴

2026.09.23記事を掲載