- 重要度
- 重要度：5段階中4 14,034件
- 公表日
- 2026.10.27
- 原因の分類
- 自社実装の脆弱性
- 対策可能性
- 判定保留
この記事の3行まとめ
- SNSキャンペーンツールOWNLYで参加者情報14,034件が閲覧された形跡があった
- 2026年10月16日未明、ファイルアップロードの不備から侵入された
- 当選連絡を装った不審なメッセージに注意し、対象かは問い合わせで確認できる
SNSキャンペーンツール「OWNLY」に第三者が不正にアクセスし、キャンペーンに参加した人の情報が外部から見られた。公表元は、2026年10月16日未明に検知した不正アクセスで参加者情報14,034件が閲覧・ダウンロードされた形跡を確認したとしている。その後の調査で、2026年10月18日から21日の間に、本来は外部から閲覧できないはずの経路からの不正アクセスがあり、応募者の情報最大479件が見られた可能性があると11月13日に公表した。二次被害は確認されていない。
確認された経路・公表元の推定
- 2026年10月16日未明、OWNLYのファイルアップロード機能の不備を侵入経路とした不正アクセスを監視システムが検知した。
- 通知設定の不備により、開発担当者による把握は検知より遅れた。
- 同日中に侵入経路を遮断した。
- 2026年10月18日から21日の間に、本来は外部から閲覧できないはずの経路から不正なアクセスがあった。
- 2026年10月21日、個人情報保護委員会と総務省の関係機関に報告した。
- 2026年10月27日、サーバー上の参加者情報が閲覧・ダウンロードされた形跡を確認したとして公表した。
- 2026年11月13日、応募者の情報最大479件が外部から見られた可能性を公表した。
根拠の要点
公表元は、OWNLYのファイルアップロード機能の不備を侵入経路とした不正アクセスを監視システムが検知し、参加者情報が閲覧・ダウンロードされた形跡を確認したと説明している。2026年10月18日から21日の不正アクセスについては、本来は外部から閲覧できないはずの経路からのアクセスだったとするが、その経路の具体的な内容は示されていない。
資料の基準時点：2026年11月13日時点（最新のお知らせの掲載日）
当時、対策できたのか
判定保留
10月27日の公表は、侵入経路となったファイルアップロード機能に不備があったと説明し、受け付けるファイル形式の限定などで修正したとしている。ただし、その不備が攻撃時点で既知だったか、発覚時に未発見だったかは書かれていない。通知設定にも不備があったとしている。11月13日の公表は、2026年10月18日から21日の不正アクセスの経路を「本来は外部から閲覧できないはずの経路」とだけ書き、具体的な内容を示していない。そのため判定を保留する。
公表された対策
- OWNLYのファイルアップロード機能を修正し、受け付けるファイル形式を限定した。
- 社内点検で類似の不備を探したが、現時点で未検出とした。
- 全アカウントについて不正アクセスの有無を点検したが、現時点で未検出とした。
- OWNLYを利用する全企業に、ログインパスワードの変更、多要素認証、IPアドレスの制限などの設定を依頼した。
- 監視システムが異常を検知した際の通知設定を見直した。
- 今後、ログインのセキュリティ向上策として多要素認証の種類の追加などを年内に検討する予定とした。
- 参加者情報のダウンロード手順を見直す予定とした。
- 外部調査機関を起用したOWNLYの総点検について、要否の検討と実行を予定した。
- 11月13日の公表で、不正アクセスの経路は遮断済みとした。
- 個人情報保護法に基づき関係機関へ報告した。
- アクセス制御の見直し、脆弱性診断の実施、監視体制の強化などを進める。
- 当社やキャンペーン事務局を装った不審なメッセージへの注意を呼びかけた。
まだ分からないこと
- 10月16日の侵入経路と、10月18日から21日の不正アクセスの経路が同じかどうかは資料で示されていない。
- 10月18日から21日の経路の具体的な内容と、外部から閲覧できる状態になった理由。
- 不正アクセスを行った者や手口。
- 参加者情報が外部へ実際に持ち出されたかどうか。
- 14,034件と最大479件の関係（重複の有無）。
- 年内に検討予定の対策の結果や実施時期の詳細。
- 調査の進展により判明する新たな事項。