- 重要度
- 重要度：5段階中4 最大12,661人
- 公表日
- 2026.11.04
- 原因の分類
- 自社実装の脆弱性、認証・アクセス設定
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- OSIROで会員IDや表示名などの一部情報が、ログインなしで外部から閲覧できる状態だった。
- 2017年5月からの設定不備で、外部者が複数のコミュニティの会員一覧を見ていた。
- 本名を表示名にした会員は変更を求められ、不審な連絡にも注意が呼びかけられた。
2017年5月の機能追加時から、会員ID・表示名・アイコン画像URLがログインなしで閲覧できる設定になっていた。2026年10月の点検で判明し、修正された。第三者が複数のコミュニティの会員一覧にアクセスしており、対象は最大12,661人である。悪用や二次被害は現時点で確認されていないとされる。
確認された経路・公表元の推定
- 2017年5月の機能追加時から、会員ID・表示名・アイコン画像URLがログインなしで利用できる設定になっていた。
- 第三者がログインせずに機能を使い、複数のコミュニティの会員一覧にアクセスした。
- 同じアクセス元はアカウントへのログインも試みたが、いずれも失敗した。
- 2026年10月19日のセキュリティ点検で会員情報の一部が閲覧可能だと判明し、システムを修正した。
- 2026年10月28日にアクセスログを照合し、外部者による会員情報へのアクセスを確認した。
根拠の要点
公表元は、2017年5月の機能追加時から会員情報の一部がログインなしで利用できる設定だったと説明し、アクセス記録の調査で第三者が複数コミュニティの会員一覧にアクセスしたことを確認したとしている。
資料の基準時点：2026年11月4日の公表時点
当時、対策できたのか
対策の欠落を確認
資料によると、会員情報の一部は2017年5月の機能追加時から、ログインしていない状態でも利用できる設定になっていた。この認証設定の例外が、攻撃時点での対策の欠落にあたる。
公表された対策
- 当該の不備を発覚当日に修正し、外部から会員情報を閲覧できない状態にした。
- 同様の不備が他にないことを点検で確認した。
- 個人情報保護委員会への報告を完了した。
- 不審な通信の監視体制を強化し、定期的な脆弱性診断を行う方針を示した。
- 会員に、不審な連絡への注意と、本名を表示名にしている場合の表示名変更を呼びかけた。
まだ分からないこと
- 侵入・アクセスの具体的な日時は資料に書かれていない。
- アクセス元の正体や攻撃の目的・手口は資料に書かれていない。
- 閲覧された会員情報が第三者に実際に利用されたかは、資料の時点では確認されていない。
- 影響を受けたコミュニティの数や名称は資料に書かれていない。