日本脆弱性総合ポータル

オトトイ / OTOTOY：OTOTOYで不正アクセス、会員のメールアドレス等が閲覧された可能性

重要度
業務やサービスの停止・最大約48万件
公表日
2026.10.21
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 不正アクセスにより、最大約48万件の会員情報が見られた可能性があります。
  2. 漏れた可能性のあるメールアドレスは、不審なメールに悪用される恐れがあります。
  3. 不審なメールのURLは開かず、必要なら環境設定でメールアドレスを変更します。

2026年10月18日22時ごろから第三者による不正アクセスがあり、同月19日に把握してサービスを停止した。会員のメールアドレス・内部ユーザーID・登録日時が閲覧・外部流出した可能性があり、件数は最大約48万件とされる。ハッシュ化パスワードや決済情報は形跡がないと説明されている。

確認された経路・公表元の推定

  1. 2026年10月18日22時ごろ、脅威となるアクセスが開始された
  2. 2026年10月19日14時ごろ、本件を把握し、サービスを停止した
  3. 2026年10月20日22時ごろ、原因究明と修正措置を行い、サービスを再開した

根拠の要点

資料は、第三者による不正アクセスで会員情報が閲覧・取得された可能性を説明する一方、侵入口や攻撃手法は示していない。対象は内部ユーザーID、メールアドレス、登録日時に限られ、ハッシュ化パスワード、購入履歴、物販用登録住所、決済情報は形跡がないとする。音源データへのアクセス形跡もなかったとしている。

資料の基準時点：2026年10月21日17時時点

当時、対策できたのか

判定保留

資料は侵入口と攻撃時点の防御条件を示しておらず、対策の欠落や発覚時の状況は確認できない。

公表された対策

  • サービスを停止し、原因究明と必要なシステムの修正措置を行ったうえで再開した
  • 不審なメールや連絡への注意を利用者に呼びかけている
  • 登録メールアドレスやパスワードの変更は、ログイン後に環境設定から行うよう案内している
  • システムのセキュリティ対策、監視体制、情報管理体制を見直すとしている

この事例を理解するための動画

まだ分からないこと

  • 最初に侵入された経路と原因
  • 不正アクセスの手口と実行者
  • 漏えいが確定したデータの件数と範囲。詳細は確認を継続中
  • 修正措置の具体的な内容

関連する事例

同じ原因分類の事例

事例の一覧に戻る