何が起きたか
この事故で流出した、または流出したおそれがある情報は、メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などの会員情報 22,519,960件が流出した可能性。クレジットカード情報はシステムに保存されていないです。その後の対応と影響は、不正な通信を遮断し、全システムを緊急点検した。10月15日に個人情報保護委員会へ報告し、警察へ被害申告する予定。パスワード再設定を求め、専用窓口を設けたです。
原因になったのは「会員情報取得APIの不正利用」です。公表された内容では、生成AIは事故に関わっていません。
- 中心 直接の原因確定
第三者が会員情報取得APIを不正に利用した。根本原因は外部の専門機関と調査中。
- 1つ外側 流出した情報確定
メールアドレス、パスワード、氏名、住所、電話番号、生年月日、会社名などの会員情報 22,519,960件が流出した可能性。クレジットカード情報はシステムに保存されていない。
- いちばん外側 その後の対応と影響確定
不正な通信を遮断し、全システムを緊急点検した。10月15日に個人情報保護委員会へ報告し、警察へ被害申告する予定。パスワード再設定を求め、専用窓口を設けた。
なぜ起きたか
第三者が会員情報取得APIを不正に利用したことが判明している。APIが使えた経緯は公表されていない。
原因の種類は「不正アクセス」です。第三者がシステムに入り、情報を見たり持ち出したりした事故を指します。このサイトに掲載している事故のうち、同じ種類の原因で起きた事故は131件あります。
事故が起きてから公表されるまで
- 2026年10月9日10時頃第三者による不正アクセスが始まる
- 10月13日9時頃会員情報管理システムへの不正アクセスを確認
- 10月13日13時36分封じ込めを完了
- 10月15日公表し、個人情報保護委員会に報告
どうすれば防げたか
上の流れでは、最初から公表まで、途中で異常に気づいて止める仕組みが働いていません。
止められた可能性がある所（当社の見立て）会員情報を返すAPIに、呼び出す側の認証と1回あたり・時間あたりの取得件数の上限があれば、大量の取得を止められた可能性がある。
この見立ては、公表された原因から当社が考えたものです。当事者の調査の結果とは異なる場合があります。
自社で確認する3つの手順
上から順に、短い時間で確認できるものを並べています。
- 会員情報を返すAPIを一覧にし、それぞれの認証方式を確認する
- APIごとに時間あたりの呼び出し回数と取得件数の上限を設定しているか確認する
- APIの呼び出し記録を残し、異常な件数を通知する設定を確認する
自社に同じ原因があるか
当てはまるものを選んでください。1つでも当てはまれば、この事故と同じ原因が自社にもある可能性があります。
出典と更新の履歴
- 不正アクセスによるお客様情報流出の可能性に関するお詫びとお知らせ2026.10.15
