- 重要度
- 重要度：5段階中5 業務やサービスの停止・8名
- 公表日
- 2026.11.02
- 原因の分類
- 認証情報・シークレット
- 対策可能性
- 判定保留
この記事の3行まとめ
- ふるさと納税サイト「ふるラボ」で会員8名の情報が閲覧可能に
- 第三者が不正入手したメールアドレスとパスワードで不正ログインされた
- 他でも同じ組み合わせを使う会員は変更し、不審な連絡に注意
「ふるラボ」の会員8名のアカウントに、不正に入手されたメールアドレスとパスワードでログインされ、個人情報等が閲覧できる状態にあった。同社は被害の拡大を防ぐため2026年10月26日からサービスを一時停止し、金銭的な被害は確認されていないとしている。
確認された経路・公表元の推定
- 2026年10月20日、不正に入手したメールアドレスとパスワードで会員アカウントにログインされた
- ログインにより、個人情報等が閲覧できる状態となり、クレジットカード情報1件が第三者の操作で削除された
- 2026年10月26日19時30分より、被害の拡大を防ぐためサービスを一時停止した
- その後の調査で、当該日以外の不正ログインやシステムの脆弱性による不正アクセスは確認されなかった
- 対象の8名はパスワードを初期化され、個別に連絡を受けた
根拠の要点
会員アカウントへのログインに、不正に入手されたメールアドレスとパスワードが使われたと資料に記載されている。調査の結果、当該日以外の不正ログインや、システム自体の脆弱性に起因する不正アクセスは確認されなかったとしている。
資料の基準時点：2026年11月2日時点
当時、対策できたのか
判定保留
資料は、不正ログインに使われた情報の入手経路と、攻撃時点のログイン防御の状態（二段階認証の有無など）を示していない。二段階認証の導入は今後の対応として挙げられているため、判定を保留した。
公表された対策
- ログイン時の二段階認証の導入やログイン通知等によるセキュリティ強化と再発防止
- セキュリティ対策と安全性の確認が完了するまでサービスの停止を継続する
- 対象8名のアカウントはパスワードを初期化し、サービス再開後に本人が再設定する
- 対象8名へ個別に連絡する
- 同じメールアドレスとパスワードの組み合わせを他のサービスで使う場合は変更するよう会員に依頼
- 当社や関係先を装った不審なメール、SMS、電話、郵便物に注意し、リンクや添付ファイルを開かず個人情報を入力しないよう呼びかける
まだ分からないこと
- 不正に入手されたメールアドレスとパスワードがどの経路で流出したか
- ログイン時にどのように認証を通過したか（二段階認証の有無を含む）
- 閲覧できる状態だった情報が実際に見られたか、持ち出されたかの範囲
- 削除されたクレジットカード情報1件の扱い
- 不正ログインを行った者の特定や、試行の全体像
- サービスの再開時期