日本脆弱性総合ポータル

ステップゴルフ：業務システムと予約システムへの不正アクセスと会員情報の漏えいのおそれ

重要度
114,605件
公表日
2026.11.07
原因の分類
侵入口未公表
対策可能性
判定保留

この記事の3行まとめ

  1. 業務システムに第三者が不正アクセスし、個人情報が外部に漏えいした可能性が極めて高い。
  2. 侵入口と原因は未公表で、外部の専門機関が調査を続けている。
  3. 対象の方は、不審な連絡に注意し、身に覚えのない引き落としがないか確認する。

2026年11月5日に異常な処理を検知し、調査の結果、第三者による不正アクセスが判明した。過去の記録では2026年10月23日と25日にも不正アクセスがあり、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いとされる。対象は無料体験の申込者と現在・過去の会員で、登録件数は個人情報114,605件、顔写真107,781件、銀行口座情報12,707件とされる。現時点で本件に起因する二次被害は確認されていない。個人情報保護委員会へ報告し、警察に相談している。

確認された経路・公表元の推定

  1. 2026年10月23日および25日に、業務システムへの不正アクセスが行われた
  2. 2026年11月5日に当社システムで異常な処理を検知し、調査の結果、第三者による不正アクセスが判明した
  3. 過去のアクセス記録から、個人情報を含むデータベースのバックアップファイル等が外部に漏えいした可能性が極めて高いと確認された
  4. 2026年11月7日の第一報で公表し、個人情報保護委員会へ報告し、警察に相談し、外部のセキュリティ専門機関に調査を依頼した
  5. 2026年11月10日の第二報で、個人情報114,605件、顔写真107,781件、銀行口座情報12,707件の登録件数を示した

根拠の要点

公表元は、2026年11月5日に異常な処理を検知して調査し、第三者による不正アクセスが判明したと説明している。過去の記録から10月23日と25日にも不正アクセスがあり、個人情報を含むバックアップファイル等が外部に漏えいした可能性が極めて高いと評価している。侵入口と原因は資料に記載がなく、外部のセキュリティ専門機関が調査中である。

資料の基準時点：2026年11月10日時点（第二報）

当時、対策できたのか

判定保留

侵入口と攻撃時点の防御条件が資料に書かれていないため、攻撃時点で既知の脆弱性に未対応だったか、認証設定に例外があったかを判断できない。第二報は再発防止としてログイン時の認証機能とセキュリティ対策の強化を挙げるが、それが攻撃時点の欠落を示すとは書かれていない。修正版の時期も資料にないため、判定を保留する。

公表された対策

  • 不正アクセスの遮断と不審なプログラムの無効化を実施した
  • 認証情報の変更とアクセス制限の強化を実施した
  • システムの安全性を高める対策を実施した
  • 今後、ログイン時の認証機能とセキュリティ対策を強化する
  • 不要な個人情報を削除し、適切なデータ管理体制を整備する
  • システムの監視体制とセキュリティ管理体制を強化する
  • 外部のセキュリティ専門機関と連携し、原因の究明と影響範囲の特定を進める

まだ分からないこと

  • 侵入口と原因は未公表で、外部のセキュリティ専門機関が調査中
  • 最初の侵入日時や、2026年10月23日と25日以外の不正アクセスの有無
  • 実際に漏えいした件数と対象人数は未確定。件数は登録件数で、同一人物の複数登録があるため一致しない
  • 第一報の最大21.5万件が、第二報の項目別の登録件数とどう関係するかは資料からは分からない
  • 含まれる情報の種類は対象者によって異なる
  • 一覧にある2026年10月23日付「PHP」脆弱性報道のお知らせは本文が資料になく、本件との関係は確認できない
  • 電話の問い合わせ窓口は準備中で、開設時期は示されていない

関連する事例

同じ原因分類の事例

事例の一覧に戻る