- 重要度
- 重要度：5段階中4 15,129件
- 公表日
- 2026.10.19
- 原因の分類
- 製品・サーバーの脆弱性、サプライチェーン
- 対策可能性
- 判定保留
この記事の3行まとめ
- 外部サービスが不正アクセスを受け、Voicyのフォーム送信情報が流出した可能性がある
- サービスの脆弱性が悪用され、暗号化された情報を読むための鍵も読み出された
- 会員情報や支払い情報は対象外だが、心当たりのない連絡のリンクは開かないよう呼びかけ
Voicyのサイトで一部利用されていた外部サービスStudioのクラウド環境が、脆弱性を悪用した不正アクセスを受けた。Voicyのパーソナリティ応募フォームと法人向けお問い合わせフォームの送信内容が流出した可能性があるが、第三者による取得の事実は確認されていない。Voicyアプリの会員情報や支払い情報は対象外である。
確認された経路・公表元の推定
- 2026年9月30日から10月1日にかけて、Studioの一部機能の脆弱性が悪用され、クラウド環境に不正アクセスがあった
- 環境内のデータは、10月14日にStudio社が対処するまで外部から取得できる状態だった
- フォームの送信内容は暗号化されていたが、復号に必要な鍵も読み出された
- Voicyは10月16日にStudio社から報告を受け、本件を把握した
根拠の要点
Studio社によると、同社サービスの一部機能の脆弱性が悪用され、2026年9月30日から10月1日にかけて同社のクラウド環境へ不正アクセスがあった。Voicyはこの説明を受けて本件を把握したもので、攻撃に使われた脆弱性の詳細や攻撃時点の状態は資料に書かれていない。
資料の基準時点：2026年10月20日の追記まで
当時、対策できたのか
判定保留
資料は脆弱性がすでに修正され、不正アクセスの経路も遮断されたと述べている。一方、攻撃時点で脆弱性が既知だったか、修正版がいつ提供されたか、攻撃時点の防御条件は書かれていない。そのため判定を保留する。
公表された対策
- 脆弱性はすでに修正され、不正アクセスの経路も遮断された
- Voicyは外部サービスとの連携を解除・再設定し、管理アカウントの整理とパスワードの変更を行った
- Studio上に保存されていた送信内容を削除し、Studio社にシステム上の情報の削除を依頼している
- 対象となる方へメールで個別に連絡し、個人情報保護委員会への報告を進めている
- 心当たりのない連絡のリンクや添付ファイルは開かないよう呼びかけている
この事例を理解するための動画
【警告】クラウド環境に潜む「見えない」侵入経路まだ分からないこと
- 情報が第三者に実際に取得されたかは確認されていない
- 二次被害の有無は、Studio社が引き続き調査している
- 脆弱性の具体的な内容や、攻撃時点での修正状況は資料に書かれていない
- 流出件数は不明である。フォームの送信件数は、パーソナリティ応募15,129件、法人向け問い合わせ289件で、対象人数とは一致しない