- 重要度
- 重要度：高 実際に被害が出た事例
- 公表日
- 2026.10.16
- 原因の分類
- 認証・アクセス設定
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- 777CON-PASSの利用者情報218万8657件が外部から不正に取得された
- 一部の機能で認証・アクセス制御に不備があったことが原因
- 利用者は心当たりのない電話やSMSに応じず、URLへのアクセスを控えるよう呼びかけ
777CON-PASSの運営会社が、2026年9月25日および9月30日に発生した不正アクセスの調査を終え、最終報を公表した。アクセスログの解析で、利用者情報が外部から不正に取得されたことを確認したとしている。取得が確認された項目は、ユーザーIDのほか性別、生年月日、ニックネーム、アイコン画像、行動エリア、電話番号など。氏名、クレジットカード情報、ログイン用のメールアドレスとパスワード、認証用顔画像は漏えいしていないとされる。
確認された経路・公表元の推定
- 2026年9月25日、ユーザーデータに対する不正アクセスが発生
- 9月30日、不審なアクセスを検知し調査を開始。公開しているホールデータでも痕跡を確認
- 9月30日20時、攻撃元IPアドレスからのアクセスを遮断
- 9月30日22時頃、不正なアクセスに情報を返さない仕様へ緊急リリース
- 10月2日に第一報と続報を公表し、10月15日に調査が完了
根拠の要点
公表元は、発生原因を一部の機能における認証・アクセス制御の不備と説明している。アクセスログ解析で、9月25日と9月30日に情報が外部から不正に取得されたことを確認したとしている。どの機能がどの手口で悪用されたかは資料に記載がない。
資料の基準時点：2026年10月16日公表の最終報
当時、対策できたのか
対策の欠落を確認
資料は、一部の機能で認証・アクセス制御に不備があったことを発生原因として明示している。そのため、攻撃時点の認証・アクセス設定に欠落があったと判断した。
公表された対策
- 攻撃元IPアドレスを特定し、アクセスを遮断（実施済み）
- 不正なアクセスに情報を返さない仕様へ変更し緊急リリース（実施済み）
- 外部の専門機関による脆弱性診断で、全機能の認証・アクセス制御を点検（今後実施）
- 不審なアクセスを早期に検知できるよう監視体制を強化（今後実施）
この事例を理解するための動画
【情報漏洩と脆弱性】APIキー・クラウド設定・共有リンク｜事故が起きる3つの入口まだ分からないこと
- 一部の機能がどの機能を指すかは資料に記載がない
- 攻撃者の手口や侵入経路の詳細は資料に記載がない
- 漏えい情報が詐欺などに悪用されたかは資料に記載がない