セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

株式会社リンクバルは2026年8月14日、同社が運営するイベントECサイト「machicon JAPAN」で、システム改修の不具合により、一部の利用者のマイページに別の利用者の個人情報が表示される事象が発生したと公表しました。 不具合は2026年8月4日15時25分頃に実施したシステム改修を契機に発生し、複数の利用者からのリクエストをサーバー側で同時処理する際、本来利用者ごとに分離すべき情報を取り違える場合がありました。 さらに一部のブラウザでは、ログイン状態を証明する情報まで別の利用者のものと取り違えられ、他人としてログインした状態になるケースが発生しました。その結果、別の利用者が登録していた決済手段で購入処理が行われた事例や、意図せずサービスを退会した状態となった事例も確認されています。 個人情報が漏洩した利用者は約50名で、氏名、電話番号、メールアドレス、年齢、購入・利用履歴、イベント主催者とのメッセージ履歴が対象です。リンクバルは、外部からの攻撃や不正アクセスによるものではないと説明しています。 machicon JAPANの個人情報漏洩事案のサマリー 株式会社リンクバルは2026年8月14日、「machicon JAPAN」で個人情報漏洩が発生したと公表しました。 原因は2026年8月4日に実施したシステム改修の不備です。 サーバーが複数利用者のリクエストを同時処理する際、利用者ごとの情報を取り違える場合がありました。 一部の利用者のマイページに、別の利用者の氏名などが表示されました。 一部ブラウザではログイン状態を証明する情報も取り違えられ、別の利用者としてログインした状態になる事象が発生しました。 他の利用者が登録した決済手段を使って決済された事例が確認されています。 意図せずサービスを退会した状態になった事例も確認されています。 事象が発生し得た期間は2026年8月4日15時25分頃から8月8日21時00分頃までです。 発生の大半はアクセスが集中した8月8日17時58分頃から19時30分頃に集中していました。 個人情報が漏洩した利用者は約50名です。 対象情報は氏名、電話番号、メールアドレス、年齢、購入・利用履歴、イベント主催者とのメッセージ履歴です。 ログインID・パスワードは使用しない認証方式のため、これらのデータは保有していません。 クレジットカードなどの決済情報は決済代行事業者のみが保管し、リンクバルは保有していません。 外部からのサイバー攻撃や不正アクセスが原因ではありません。 リンクバルは原因プログラムの修正と全利用者のログインセッションのクリアを実施しました。 個人情報保護委員会へ速報報告を行っています。 現時点で、サービス外への情報流出やサービス外での不正利用の痕跡は確認されていません。 項目 内容 公表日 2026年8月14日 対象組織 株式会社リンクバル 対象サービス machicon JAPAN 発生し得た期間 2026年8月4日15時25分頃～8月8日21時00分頃 主な発生時間帯 8月8日17時58分頃～19時30分頃 原因 8月4日のシステム改修におけるプログラム上の不備 事象 別利用者の個人情報表示、認証状態の取り違え、別利用者としての購入・退会操作 漏洩情報の内容 氏名、電話番号、メールアドレス、年齢、購入・利用履歴、イベント主催者とのメッセージ履歴 件数 約50名 ログインID・パスワード サービスが使用しない認証方式のためデータなし クレジットカード情報 決済代行事業者のみが保管し、リンクバルは保有せず 外部攻撃・不正アクセス 原因ではない サービス外での不正利用 現時点で痕跡なし 対応状況 原因プログラム修正、全利用者のログインセッションをクリア、対象者へ個別連絡 個人情報保護委員会への報告状況 速報報告済み 業績への影響 現時点では軽微と見込む サービス・イベントへの影響 運営およびその後のイベント開催への影響なし システム改修後、複数利用者の情報を取り違える状態に リンクバルによると、「machicon JAPAN」は、利用者が画面を開くたびにサーバー側で表示内容を組み立ててブラウザへ送信する仕組みを採用しています。 2026年8月4日15時25分頃に実施したシステム改修に不備があり、サーバーが複数の利用者から届いたリクエストを同時に処理する際、本来は利用者ごとに用意すべき情報を取り違える場合が生じました。 この結果、一部利用者のマイページに別の利用者の氏名などが表示されました。 同社は原因について、外部からの攻撃や不正アクセスではなく、自社のシステム改修における不備だと明記しています。 事象が発生し得た期間は8月4日15時25分頃から、原因箇所を改修前の状態へ戻した8月8日21時00分頃までです。 ただし、発生の大半はアクセスが集中した8月8日17時58分頃から19時30分頃に集中していました。 個人情報の誤表示だけでなく、他人として決済・退会操作も発生 今回の不具合で影響したのは画面表示だけではありません。 一部の利用者が使用していたブラウザでは、ログイン状態を証明する情報も別の利用者のものと取り違えられ、ブラウザが別利用者としてログインした状態になりました。 その状態で操作した結果、別の利用者が登録していた決済手段を使って決済された事例が確認されています。 また、意図しない利用者がサービスを退会した状態になったケースもありました。 今回の事象は、個人情報の「閲覧」にとどまらず、別利用者の権限でサービス上の処理が実行された点が重要です。 リンクバルは、こうしたサービス内での誤操作については対応を完了したとしています。また、当社サービス外で決済情報などが不正利用された痕跡は確認していません。 氏名・電話番号・購入履歴・メッセージ履歴など約50名が対象 リンクバルが確認した個人情報漏洩の対象者は約50名です。 漏洩した情報には以下が含まれます。 氏名 電話番号 メールアドレス 年齢 購入・利用履歴 イベント主催者とのメッセージ履歴 「machicon JAPAN」はイベント参加を扱うサービスであるため、購入・利用履歴や主催者とのメッセージ履歴は、単なる連絡先以上にプライバシー性の高い情報となる場合があります。 一方、同サービスではログイン時にログインIDやパスワードを使わない認証方式を採用しており、リンクバルはログインID・パスワードのデータを保有していません。 クレジットカードなどの決済情報についても決済代行事業者だけが保管しており、リンクバル側では保有していないとしています。 そのため、今回公表された漏洩情報にクレジットカード番号やログインパスワードは含まれていません。 全利用者のログインセッションをクリア、個人情報保護委員会へ速報報告 リンクバルは発覚後、原因となったプログラムを修正するとともに、全利用者のログインセッションをクリアしました。 取り違えられたログイン情報についても、8月8日21時00分頃にすべて無効化しています。 現在はサービスを正常に利用できる状態です。 個人情報保護委員会には速報報告を行い、対象となった利用者への個別連絡を順次進めています。 同社によると、現時点でサービス外への情報流出や、「machicon JAPAN」外での不正利用の痕跡は確認されていません。 なお、サービス上で別利用者として決済などが行われた事実自体は確認されているため、「外部流出なし」は個人情報漏洩そのものがなかったという意味ではありません。 ドットマネーでもセッション取り違えにより他人の情報表示・操作が発生 利用者ごとのセッションや認証状態が取り違えられ、別利用者の情報が表示・操作可能になる事象は過去にも発生しています。 2026年2月には、サイバーエージェントが運営する「ドットマネー by Ameba」で、サーバー側のセッション管理機構の不具合により、最大18,936件のアカウントで別利用者の情報が表示・操作できる可能性がある状態となりました。 ドットマネー、システム不具合で最大18,936件に他人の情報表示と操作が可能な状態に この事案でも、外部からのサイバー攻撃ではなくシステム側の不備が原因で、ユーザーセッションが別利用者と誤って紐付けられる問題が発生していました。 また、2026年1月のソフトバンク、プロキシーサーバーの不具合で他人情報の誤表示や送信元入れ替えが発生では、複数処理が同時に大量発生する特定条件下で、要求と応答の対応関係が崩れ、一部利用者が別利用者として扱われる事象が確認されています。 今回のリンクバルの事案も、アクセス集中時に複数利用者のリクエストを同時処理する中で発生しており、ユーザーごとの状態を確実に分離する設計とテストの重要性を示しています。 再発防止では「利用者間で共有される状態」を自動検出 リンクバルは再発防止策として、3つの技術的な対策を公表しています。 1つ目は、サーバー側で利用者間に共有される状態が生じる記述を、自動検査によって検出する仕組みの導入です。 2つ目は、利用者ごとの情報が混在しないことを確認する自動テストの追加です。 3つ目は、実装後だけではなく、システム改修を提案した段階で同種の不備を自動的に検出する仕組みの導入です。 今回の不具合は通常の単一利用者による操作だけでは発見しにくく、複数のリクエストが同時に処理された際に顕在化しました。 そのため、単体テストだけでなく、複数ユーザーが同時アクセスする状況を再現し、「ユーザーAの情報や認証状態がユーザーBへ渡らないか」を確認する並行処理・負荷テストが重要になります。 フィッシングやなりすましなど二次被害にも注意 リンクバルは現時点で、サービス外への情報流出やサービス外での不正利用の痕跡は確認していません。 一方、漏洩した情報には氏名、電話番号、メールアドレスに加え、購入・利用履歴やイベント主催者とのメッセージ履歴が含まれています。 仮に閲覧した第三者がこれらの情報を保存していた場合、machicon JAPANやイベント主催者を装い、「申込内容の確認」「決済のやり直し」「イベント変更」などを理由としたフィッシングメールやSMS、電話によるなりすましに悪用される可能性があります。 利用したイベントや過去のやり取りを知っている相手から連絡が来れば、一般的な迷惑メールよりも本物らしく見える可能性があります。 対象利用者は、machicon JAPANやイベント主催者を名乗る連絡であっても、支払いや追加の個人情報入力を求められた場合には、メールやSMS内のURLを直接開かず、公式サイトや正規の問い合わせ窓口から確認することが望まれます。 情報システム部門への示唆 今回の事案では、外部からの侵入ではなく、自社が行ったシステム改修によって利用者間のデータ分離が崩れました。 情報システム部門や開発部門では、認証の成功・失敗だけではなく、「認証済みの利用者が常に本人のデータだけへアクセスしているか」をテストする必要があります。 特にサーバー側で状態を保持するWebアプリケーションでは、リクエスト単位でユーザーコンテキストを確実に分離し、共有変数や共有オブジェクトなどに利用者固有の情報を残さない設計が重要です。 アクセス集中時のみ発生する競合状態は、通常の動作確認では再現しないことがあります。複数利用者による同時アクセス、短時間の大量リクエスト、セッション切り替えなどを含むテストをCI/CDへ組み込むことが有効です。 また、利用者Aのセッションで利用者BのIDやデータが返された場合に検知できるよう、アプリケーションログや監視ルールを設計しておくことも検討すべきです。 決済や退会など、本人への影響が大きい操作については、サーバー側で「現在の認証主体」と「操作対象の所有者」が一致していることを処理直前にも検証する防御策が重要になります。 リンクバルは今回、利用者間に共有される状態を生じさせる記述の自動検査、利用者情報の混在を確認する自動テスト、改修提案段階での同種不備の検出を再発防止策として挙げています。 外部からの攻撃だけでなく、アプリケーション内部の実装ミスによって認証境界が崩れることを前提に、設計、コードレビュー、自動テスト、監視の各段階で多層的に確認することが重要です。 出典 システムの不具合による個人情報の表示に関するお詫びとお知らせ - 株式会社リンクバル ドットマネー、システム不具合で最大18,936件に他人の情報表示と操作が可能な状態に - セキュリティ対策Lab ソフトバンク、プロキシーサーバーの不具合で他人情報の誤表示や送信元入れ替えが発生 - セキュリティ対策Lab

ブログ