日本脆弱性総合ポータル

ファンくる：会員登録で使うAPIの脆弱性で会員情報4,217,663件が流出

重要度
業務やサービスの停止・4,217,663件
公表日
2026.11.02
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. ファンくるの会員情報4,217,663件が流出した。
  2. 会員登録で使うAPIの脆弱性を突かれ、不正アクセスされた。
  3. 会員は不審なメールのURLを開かず、情報を入力しないよう注意する。

ファンくるで2026年11月1日に異常アクセスが検知され、サービスが緊急停止された。会員登録フローで使う参照Web API（1エンドポイント）のプログラムの脆弱性を突かれ、直接会員とパートナー連携会員の情報4,217,663件が流出した。11月5日にサービスを再開し、現時点で不正利用や二次被害は確認されていない。

確認された経路・公表元の推定

  1. 2026年11月1日に異常なリクエストトラフィックが検知され、通信が遮断された。二次被害防止のため「ファンくる」システムが緊急停止された。
  2. 会員登録フローで使う特定の参照Web API（1エンドポイント）のプログラムの脆弱性が、不正アクセスに使われた。
  3. 共通の会員識別子や基本属性データが参照対象に含まれる結果となり、会員情報が流出した。
  4. 11月5日に原因が特定され、該当プログラムの修正・検証と全Web APIのソースコード監査（SAST）が完了し、サービスが再開された。

根拠の要点

公表元は、会員登録フローで使う特定の参照Web API（1エンドポイント）のプログラムに脆弱性があったと判明し、原因を特定したと説明している。該当APIに認可制御を実装し、攻撃再現テスト（PoC検証）で未認証リクエストの遮断を確認したとしている。共通の認証基盤や他機能には問題がないとしている。脆弱性が混入した時期は示されていない。

資料の基準時点：2026年11月9日時点（第三報）

当時、対策できたのか

判定保留

第三報は、原因の修正と全件監査が11月5日に完了したと説明しているが、脆弱性が混入した時期や攻撃時点での対応状況は示していない。対策の欠落を資料が明示しているわけではないため、判定を保留する。

公表された対策

  • 二次被害防止のため「ファンくる」システムを緊急停止した。
  • 該当APIに、アクセス権限を厳密に検証する認可制御を実装した。
  • 攻撃再現テスト（PoC検証）で未認証リクエストが遮断されることを確認した。
  • 全Web APIエンドポイントのアクセス制御について全件監査（SAST）を実施し、同種の脆弱性がないことを確認した。
  • 不正侵入検知システムとログ監視体制を強化した。
  • 外部の専門ベンダーによる第三者脆弱性診断の準備を進めている。
  • 個人情報保護委員会へ速報を提出し、警察へ相談・被害報告を行った。
  • 身に覚えのない不審メールのURLクリック、添付ファイルの開封、情報入力を行わないよう呼びかけている。
  • モニター提出期限とポイント有効期限を2026年11月9日まで延長した。

この事例を理解するための動画

まだ分からないこと

  • 脆弱性が混入した時期と、そのAPIの実装経緯
  • 侵入・攻撃の開始日時（資料には11月1日の検知のみ）
  • 攻撃者の身元と、攻撃の詳細な手順
  • パートナー連携先ごとの個別の対応状況（各事業者が発信）
  • 第三者脆弱性診断の結果（準備中と記載）

関連する事例

同じ原因分類の事例

事例の一覧に戻る