- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.04.23
- 原因の分類
- 侵入口未公表
- 対策可能性
- 判定保留
この記事の3行まとめ
- 会員専用サーバーへの不正アクセスで会員情報が漏えいした
- アプリ用のAPIを悪用され、会員情報が取得された
- 不審なメールやSMSのリンク、添付ファイルは開かないよう呼びかけ
2りんかんの会員専用サーバーに第三者が不正アクセスし、APIを悪用されて会員情報が取得された。特定された対象は3,179,454名分で、第二報時点の最大3,455,754名分から下方修正された。漏えいした可能性のある項目は、氏名、住所、電話番号、生年月日、メールアドレス、アプリパスワード、車両情報などである。クレジットカード情報は外部の決済システムを利用しており社内に保持していないため、漏えいはないとしている。
確認された経路・公表元の推定
- 会員専用サーバーへの不正アクセスがあった。発生時期は資料に記載がない
- 第三者の調査会社によるログ解析で、APIを悪用した不正アクセスと特定された
- 会員情報が取得されたことが特定され、件数は最大3,455,754名分から3,179,454名分に下方修正された
- 2026年4月23日に第一報が公表され、2026年6月19日に最終報が公表された
根拠の要点
最終報は、詳細なログ解析の結果、APIを悪用した不正アクセスにより会員情報が取得されたことを特定したと説明している。侵入口となった具体的な弱点は記載されていない。
資料の基準時点：2026年6月19日（最終報）
当時、対策できたのか
判定保留
攻撃時点の防御条件、侵入に使われた脆弱性の内容、修正版の適用時期は資料に記載がない。対策の欠落の有無を判断できないため、判定保留とした。
公表された対策
- アプリ本体のセキュリティ強化や通信の監視強化などのシステム再構築を行い、2026年10月を目途に再開を準備している
- 外部専門家の助言のもと、システムおよびセキュリティ体制の再構築に取り組んでいる
- 全アプリ会員を一斉ログアウトさせ、再開時に新しいパスワードの設定を求める
- 対象の可能性がある顧客へ、電話・メール・アプリ通知・SMS・書面などで個別にお詫びと注意喚起を実施した
- 個人情報保護委員会へ最終報告（確報）を提出し、所轄警察へ被害申告して捜査に協力している
- 不審なメールやSMSのリンクや添付ファイルは開かないよう呼びかけている
まだ分からないこと
- 侵入口となった具体的な弱点と、悪用されたAPIの機能
- 不正アクセスが行われた日時（侵入日）
- 漏えいした会員情報が実際に悪用されたかどうか
- アプリの具体的な再開日（2026年10月を目途とのみ記載）