コーフク

確認された経路・公表元の推定

1. 2026年10月4日、トイポのシステムで不正アクセスが確認された
2. 調査の結果、同社システムの一部に権限のない第三者がユーザー情報を取得できる脆弱性があったと判明した
3. 脆弱性は修正が完了し、同様の手法ではアクセスできない状態になった
4. 2026年10月9日、コーフクが顧客への情報漏えいの可能性を公表した

根拠の要点

公表元のコーフクは、委託先トイポのシステムで不正アクセスが確認され、同社システムの一部に脆弱性があったと説明している。侵入口の具体的な種類や侵入の時期は書かれていない。

資料の基準時点：取得日2026-10-15時点の資料

当時、対策できたのか

判定保留

資料は、原因となった脆弱性が既に修正済みだと述べている。一方で、攻撃時点で既知だった脆弱性かどうか、未対応の期間があったか、修正版の時期は書かれておらず、対策の欠落や発覚時の未発見を判断する材料がない。

公表された対策

• 原因となった脆弱性は修正が完了し、同様の手法ではアクセスできない状態になったとされる
• コーフクは委託先における管理・セキュリティ体制を確認し、再発防止に向けた取り組みを徹底する方針
• 利用者に、身に覚えのない連絡のURLへのアクセスや個人情報・パスワードの入力に注意するよう呼びかけ

この事例を理解するための動画

• 【情報漏洩と脆弱性】APIキー・クラウド設定・共有リンク｜事故が起きる3つの入口2026.10.12

まだ分からないこと

• 脆弱性の種類と、侵入の具体的な経路
• 不正アクセスが始まった時期。資料には確認された日だけがある
• 漏えいした件数と、実際に外部へ流出したかどうか
• 脆弱性が攻撃の時点で既知だったかどうか、修正の時期
• 詳細な事実関係。トイポ社のお客様窓口で確認するよう案内されている

同じ原因分類の事例

• 2026.10.14★★★重要度：高GMOリサーチ&AI / infoQinfoQへの不正アクセスで個人情報89万4,082件が外部に持ち出された製品・サーバーの脆弱性判定保留
• 2026.10.14★★★重要度：高アルカディアメール配信サービス事業者への不正アクセスと広島市の職員情報サプライチェーン侵入口未公表判定保留
• 2026.10.14★★★重要度：高トランスコスモス採用選考の動画面接サービスで応募者4,682名の個人情報が漏えい製品・サーバーの脆弱性サプライチェーン判定保留