- 重要度
- 重要度：5段階中4 14,034 件
- 公表日
- 2026.10.27
- 原因の分類
- 自社実装の脆弱性
- 対策可能性
- 対策の欠落を確認
この記事の3行まとめ
- SNSキャンペーンツールOWNLYで参加者情報14,034件が漏えいした
- ファイルアップロードの不備から侵入され、閲覧・ダウンロードの形跡があった
- 不審な当選連絡などに注意し、対象かは問い合わせ窓口で確認できる
SNSキャンペーンツール「OWNLY」に第三者が不正アクセスし、2026年8月から10月にかけてキャンペーンに参加した人の参加者情報14,034件が外部に漏えいした。氏名や住所、クレジットカード情報などは収集しておらず、漏えいには含まれないとしている。
確認された経路・公表元の推定
- 2026年10月16日未明、OWNLYのファイルアップロード機能の不備を侵入経路とした不正アクセスを監視システムが検知した。
- 通知設定の不備により、開発担当者の把握は検知より遅れた。
- 同日中に侵入経路を遮断した。
- 調査により、サーバー上の参加者情報が閲覧・ダウンロードされた形跡を確認した。
- 2026年10月21日、個人情報保護委員会と総務省の関係機関に報告した。
- 2026年10月27日、本件を公表した。
根拠の要点
資料は、ファイルアップロード機能の不備を侵入経路とした不正アクセスを確認済みとして説明し、参加者情報が閲覧・ダウンロードされた形跡を確認したと書いている。
資料の基準時点：資料に基準時点の記載なし（2026-10-28取得）
当時、対策できたのか
対策の欠落を確認
資料は、侵入経路となったファイルアップロード機能に「不備」があったと説明し、修正で受け付けるファイル形式を限定したと書いている。監視の通知設定にも「不備」があったとしている。
公表された対策
- OWNLYのファイルアップロード機能を修正し、受け付けるファイル形式を限定した。
- 社内点検で類似の不備を探したが、現時点で未検出とした。
- 全アカウントについて不正アクセスの有無を点検したが、現時点で未検出とした。
- OWNLYを利用する全企業に、ログインパスワードの変更、多要素認証、IPアドレス制限等の設定を依頼した。
- 監視システムが異常を検知した際の通知設定を見直した。
- 今後、ログインに関するセキュリティ向上策（多要素認証の種類の追加等）を年内に検討する予定とした。
- 参加者情報のダウンロード手順を見直す予定とした。
- 外部調査機関を起用してOWNLYの不備を総点検することの要否を検討・実行する予定とした。
まだ分からないこと
- 攻撃者の特定や手口の詳細は資料に書かれていない。
- 侵入が始まった正確な日時は資料に書かれていない。
- 漏えいした情報が外部でどのように使われたか、今後の状況は資料に示されていない。
- 今後実施予定の対策について、年内の検討の結果や実施時期の詳細は資料に書かれていない。