日本脆弱性総合ポータル

トイポ：トイポアプリの不正アクセスで一部利用者の個人情報が漏えい

重要度
一部のお客様
公表日
2026.10.29
原因の分類
自社実装の脆弱性
対策可能性
判定保留

この記事の3行まとめ

  1. トイポのシステムで第三者が不正アクセスし、一部の利用者の個人情報が外部に漏れた。
  2. 他人の情報を取得できるアクセス制御上の脆弱性があり、悪用されていた。
  3. フィッシングに注意し、心当たりのないURLを開かないよう呼びかけている。

2026年10月4日に、トイポのシステムへの第三者による不正アクセスが確認された。一部システムに、認証された利用者が他人の情報を取得できるアクセス制御上の脆弱性があり、第三者がこれを利用したことで、電話番号などの個人情報が漏えいした。パスワードや決済情報は漏えいした事実が確認されておらず、現時点で本件に起因する具体的な二次被害は確認されていない。

確認された経路・公表元の推定

  1. 第三者が、一部システムのアクセス制御上の脆弱性を利用して不正アクセスした。
  2. 2026年10月4日に、当社システムへの第三者による不正アクセスを確認した。
  3. アクセス記録等の調査で、第三者がユーザー情報を取得した記録を確認した。
  4. 不正アクセスに利用されたアカウントを停止し、脆弱性を修正した。

根拠の要点

公表元は、アクセス記録等の調査で、第三者が当該脆弱性を利用し、ユーザー情報を取得したことを示す記録を確認したと説明している。原因は一部システムのアクセス制御上の脆弱性とされている。

資料の基準時点：取得日2026年10月29日時点（資料に公表日の記載なし）

当時、対策できたのか

判定保留

資料は、原因となった脆弱性を修正済みと述べている。一方、脆弱性がいつから存在したか、攻撃時点で既知だったか、発覚時に未発見だったかは書かれていない。

公表された対策

  • 不正アクセスに利用されたアカウントを停止し、原因となった脆弱性を修正した。
  • 関連するアクセスログ等を保全し、対象のお客様と影響範囲の詳細を調査している。
  • 同様の問題が他のシステムに存在しないか確認し、アクセス制御を見直している。
  • 不正アクセスの検知・遮断機能を強化している。
  • 個人情報保護委員会へ報告している。
  • 心当たりのない連絡のURLにアクセスせず、パスワード等を入力しないよう注意を呼びかけている。

この事例を理解するための動画

まだ分からないこと

  • 侵入の日時（2026年10月4日は不正アクセスを確認した日で、侵入の日付は書かれていない）
  • 資料には公表日の記載がなく、publishedには取得日を入れた
  • 脆弱性がいつから存在し、攻撃時点で既知だったかどうか
  • 修正が完了した日時
  • 影響を受けたお客様の人数と、漏えいした情報の詳細（調査継続中）
  • 不正アクセスを行った者と目的

関連する事例

同じ原因分類の事例

事例の一覧に戻る