日本脆弱性総合ポータル

STARTDASH：ログ管理画面の不正アクセスによる利用者情報の漏えい

重要度
実際に被害が出た事例
公表日
2026.04.14
原因の分類
認証・アクセス設定
対策可能性
判定保留

この記事の3行まとめ

  1. 海外からの不正アクセスで一部のユーザー情報が外部へ漏えいした可能性がある。
  2. 内部のログ管理画面に第三者が無断で入れる状態だった。
  3. 不審な電話やメールに注意し、他サービスでも使っていたパスワードは変更する。

2026年4月1日から4月6日にかけて、内部ログ管理画面に第三者が無断でアクセスできる状態だったことが判明した。海外からの不正アクセスが確認され、2026年3月25日以降に利用した3万9,267名の利用者情報（アカウント情報など）が外部へ漏えいした可能性がある。原因の脆弱性は修正済みとされる。

確認された経路・公表元の推定

  1. 2026年4月1日から4月6日にかけて、内部ログ管理画面のログデータに第三者が無断でアクセスできる状態だった。
  2. 海外からの不正アクセスが確認され、送信されたログ転送量とデータ内容が把握された。
  3. 2026年4月11日、一部のユーザー情報が海外サイトで販売されているとの情報を把握した。
  4. 海外サイトで公開されたサンプルデータと送信データが一致し、一部のユーザー情報が外部へ漏えいした可能性があるとされた。
  5. 2026年4月14日、個人情報保護委員会へ報告し、原因となったサーバーの遮断措置を確認した。
  6. 2026年4月24日、影響範囲と原因の調査が完了し、脆弱性とセキュリティヘッダーの修正を完了した。
  7. 2026年8月31日、個人情報保護委員会から本件対応の終了について連絡を受けた。

根拠の要点

資料は、専門機関と連携した原因調査が完了し、漏えいの原因となった脆弱性が修正済みだと説明している。漏えいの可能性は、送信されたログ転送量とデータ内容が、海外サイトで公開されたサンプルデータと一致したことを根拠としている。

資料の基準時点：2026年8月31日（最終更新日）

当時、対策できたのか

判定保留

資料は、侵入時点で脆弱性が未発見だったか、攻撃時点でどの防御が欠けていたかを説明していない。ログ管理画面が第三者から無断でアクセスできる状態だったことは書かれているが、修正時期や攻撃時点の防御条件についての記述が不足するため判定保留とした。

公表された対策

  • 不正アクセスの原因となったサーバーを遮断・隔離した
  • 脆弱性の修正およびアクセス制御を強化した
  • セキュリティ監視体制を強化した
  • サイト上の不適切なコンテンツと外部広告タグを削除した
  • 外部アプリのインストール導線を撤去した
  • 2026年5月8日から14日にかけて、対象ユーザーのパスワードを強制変更した
  • Google Safe Browsingへ再審査を申請した

この事例を理解するための動画

まだ分からないこと

  • 脆弱性の具体的な種類と、侵入に使われた経路
  • 不正アクセスを行った主体と、具体的な手口
  • 海外サイトでの販売先と販売範囲の詳細

関連する事例

同じ原因分類の事例

事例の一覧に戻る