セキュリティ情報漏洩のニュースサイトセキュリティ対策Labの運営とBtoB マーケティングコンサル支援|合同会社ロケットボーイズ

2.5次元アイドルグループのプロデュースやファン向けサービスを展開する株式会社VOISINGは2026年8月18日、社内で利用するBIツールへの不正アクセスにより、顧客の個人情報およびプライバシーに関する情報が漏えいしたと公表しました。 同社は、8月16日夕方から夜にかけてBIツール内のデータが不正にダウンロードされたことを確認しています。氏名、住所、購買履歴、応援対象タレントを示す「推し」の選択情報などが漏えいした可能性がありますが、対象件数や詳細な影響範囲は調査中です。 VOISINGの個人情報漏えいのサマリー 【確認済み】2026年8月10日1時2分頃から、VOISINGが社内で利用するBIツールへの不正アクセスが始まりました 【確認済み】8月16日18時47分から20時21分にかけて、BIツール内のデータが不正に取得・ダウンロードされました 【確認済み】同社は同日23時55分に事態を把握し、8月17日1時55分までにシステムの停止とネットワークからの遮断を完了しました 【確認済み】VOISINGは、顧客の個人情報およびプライバシーに関する情報が漏えいした事実を確認しています 【調査中】対象データの件数と、顧客ごとに漏えいした具体的な情報項目は確定していません 【漏えいの可能性】氏名、住所、電話番号、メールアドレス、生年月日、性別が含まれる可能性があります 【漏えいの可能性】購入日時や商品などの購買履歴、決済金額の記録、サービス加入状況が含まれる可能性があります 【漏えいの可能性】応援対象タレントを示す「推し」の選択情報が含まれる可能性があります 【確認済み】対象者には、退会済み・休眠中の利用者を含む、対象サービスを利用したすべての顧客が含まれます 【確認済み】クレジットカード番号、口座情報、パスワードは対象システムに保持されておらず、漏えいしていません 【確認済み】2026年8月18日11時時点で、漏えい情報の不正利用などの二次被害は確認されていません 【対応中】外部専門機関によるフォレンジック調査と個人情報保護委員会への報告手続きを進め、警察への相談・通報は完了しています 項目 内容 公表日 2026年8月18日 発生日・確認日 不正アクセス開始は8月10日1時2分頃。データの不正ダウンロードは8月16日18時47分～20時21分。事態把握は同日23時55分 対象組織 株式会社VOISING 対象システム 社内で利用するBIツール（製品・サービス名は非公表） インシデント BIツールへの不正アクセスと、保存データの不正取得・ダウンロード 侵入経路 原因とみられる脆弱性に修正プログラムを適用済み。脆弱性の詳細、CVE番号、具体的な侵入方法は公表されていません 漏えいした情報 顧客の個人情報およびプライバシーに関する情報の漏えいを確認。顧客ごとの具体的な項目は調査中 漏えいした可能性がある項目 氏名、住所、電話番号、メールアドレス、生年月日、性別、購買履歴、決済金額記録、サービス加入状況、「推し」の選択情報 対象件数 調査中 対象者 VOISING ID、VOISING CONNECT、VOISING ONLINE STORE、「いれらぶ」、旧VOISINGアカウント、旧オンラインストアを利用したすべての顧客。退会済み・休眠中の利用者を含みます クレジットカード・口座情報 対象システムに保持しておらず、漏えいしていません パスワード 対象システムに保持しておらず、漏えいしていません 二次被害 2026年8月18日11時時点で確認されていません 対応状況 システム停止・ネットワーク遮断、修正プログラム適用、パスワード・アクセスキーの無効化と変更、フォレンジック調査を実施 本人通知 登録メールアドレスへ個別連絡を順次実施予定 個人情報保護委員会への報告 報告手続き中 警察への相談 所轄警察署への相談・被害通報を完了 8月10日に不正アクセスが始まり、16日にデータをダウンロード VOISINGによると、BIツールへの外部からの不正アクセスは2026年8月10日1時2分頃に始まりました。その後、8月16日18時47分から20時21分にかけて、ツール内に保存されていたデータが不正に取得・ダウンロードされました。 同社が事態を把握したのは同日23時55分です。発覚後、8月17日1時55分までに該当システムを停止し、ネットワークから遮断しました。不正なダウンロードの終了から事態把握までは約3時間半、事態把握から遮断完了までは約2時間でした。 公表資料では、BIツールの製品名や提供事業者、攻撃者、脆弱性の種類、認証情報がどのように突破されたかは明らかにされていません。VOISINGは「不正アクセスの原因とみられる脆弱性」に対する修正プログラムを適用したとしていますが、CVE番号や影響バージョンは確認できませんでした。 退会済み・休眠中を含む全利用者が対象 VOISINGが漏えいの対象者として挙げたのは、次のサービスを利用したすべての顧客です。退会した利用者や、一定期間利用していない休眠利用者も含まれます。 VOISINGアカウントサービス「VOISING ID」 公式ファンコミュニティサービス「VOISING CONNECT」 公式オンラインストア「VOISING ONLINE STORE」 いれいす公式ファンクラブ「いれらぶ」（リニューアル前を含む） 旧VOISINGアカウント 旧オンラインストア「いれいすとあ」「すたぽらしょっぷ」「クロノストア」「ブラフラショップ」 対象者の範囲は広く示されていますが、対象となる人数やデータ件数は調査中です。サービス別の対象人数、退会済み・休眠利用者の内訳、どの期間に登録・利用した顧客が含まれるかも公表されていません。 VOISINGは対象者に対し、登録メールアドレス宛てに個別の連絡を順次行う予定です。 氏名や購買履歴、「推し」の選択情報が漏えいした可能性 2026年8月18日11時時点で、漏えいした可能性があるとされる情報は次のとおりです。 情報区分 漏えいした可能性がある項目 基本情報 氏名、住所、電話番号、メールアドレス、生年月日、性別 利用履歴 購入日時・購入商品などの購買履歴、決済金額の記録、サービス加入状況 プライバシーに関する情報 応援対象タレントを示す「推し」の選択情報 同社は個人情報とプライバシーに関する情報の漏えい自体を確認しています。一方、上記の各項目が対象者全員について漏えいしたと確定したわけではありません。対象データの件数と詳細な情報項目は、フォレンジック調査によって確認が進められています。 特に「推し」の選択情報は、単体では決済やアカウントへの不正ログインに使える情報ではありません。しかし、氏名、メールアドレス、購買履歴、加入サービスなどと組み合わされると、対象者の関心に合わせた精度の高いフィッシングやなりすましに利用されるおそれがあります。 例えば、所属タレントの公式案内、限定グッズの再販売、ファンクラブの更新、イベント当選、決済エラーなどを装った連絡が想定されます。これらは今後考えられるリスクであり、現時点で本件に起因する詐欺や不正利用が確認されたという意味ではありません。 決済金額の記録は対象、カード番号・口座情報は漏えいせず 漏えいした可能性がある情報には「決済金額記録」が含まれますが、クレジットカード番号や銀行口座情報などの決済情報は含まれません。 VOISINGは、クレジットカード番号、口座情報、パスワードに関するデータを、今回不正アクセスを受けたBIツールに一切保持していなかったと説明しています。このため、これらの情報について漏えいの事実はないとしています。 「購入した金額や商品」と「支払いに使用したカード番号・口座情報」は異なります。購買履歴や決済金額の記録が漏えいした可能性はありますが、カード情報や口座情報まで漏えいしたと解釈しないよう注意が必要です。 パスワードも漏えいしていないため、本件だけを理由にVOISINGのパスワードが攻撃者へ渡った事実は確認されていません。ただし、不審なメールやSMSから偽のログイン画面へ誘導し、パスワードを新たに入力させるフィッシングには注意が必要です。 脆弱性修正とアクセスキーの無効化・変更を実施 VOISINGは、発覚後に次の対応を実施しています。 対象システムの停止とネットワークからの遮断 原因とみられる脆弱性への修正プログラムの適用 関連するすべてのパスワードとアクセスキーの無効化・変更 外部サイバーセキュリティ専門機関によるデジタルフォレンジック調査 個人情報保護委員会への報告手続き 所轄警察署への相談と被害通報 対象顧客への個別通知の準備 同社は、不正アクセスの遮断とサービス利用に関する安全対策を完了したとしています。今後、新たな事実が判明した場合は、コーポレートサイトと公式Xで公表する方針です。 利用者はファンクラブや限定商品を装う連絡に注意 VOISINGは、漏えいしたメールアドレスや電話番号を悪用し、同社や関連企業を装ったフィッシングメール、SMS、迷惑電話が届く可能性があるとして注意を呼びかけています。 利用者は、VOISINGや所属タレント、オンラインストアなどを名乗る連絡を受け取った場合でも、本文中のURLや添付ファイルをすぐに開かないことが重要です。アカウントや購入状況を確認する場合は、メッセージ内のリンクではなく、公式サイトや普段利用しているアプリ、保存済みのブックマークからアクセスしてください。 特に次のような連絡には注意が必要です。 ファンクラブの会費や決済に問題があるとして、再ログインを求める連絡 限定グッズの再販売や優先購入を案内し、カード情報の入力を求める連絡 イベントや抽選への当選を装い、手数料の支払いを求める連絡 「推し」の所属グループやタレント名を使い、公式企画であるかのように見せる連絡 漏えい確認や補償の手続きとして、パスワードや認証コードを求める連絡 2026年8月18日11時時点で二次被害は確認されていません。被害が発生したと断定せず、今後想定されるリスクとして警戒する必要があります。 情報システム部門への示唆 BIツールは、複数の業務システムからデータを集約して分析するため、元のシステム以上に多種類の情報が一か所へ集中する場合があります。本件では、連絡先だけでなく、購買履歴、加入状況、嗜好に関する情報が同じ分析基盤に保存されていました。 情報システム部門とデータ管理部門は、BIツールを単なる可視化・集計システムとして扱わず、重要な顧客データを保有するシステムとして管理する必要があります。 BIツールへ連携するデータを棚卸しし、分析に不要な氏名、住所、電話番号などを取り込まない 退会済み・休眠利用者を含め、データの保存期間と削除基準を定める 利用者、管理者、サービスアカウントの権限を最小化し、多要素認証や接続元制限を適用する APIキーやアクセスキーを定期的に更新し、コードや設定ファイルへの平文保存を避ける 大量の検索、エクスポート、ダウンロード、通常と異なる時間帯のアクセスを検知する 操作ログと認証ログをBIツール外へ転送し、攻撃者が削除できない環境で保管する データを取得された場合に、対象者と情報項目を迅速に特定できるようデータ系統を管理する 今回の公表では、具体的な対象件数や侵入経路の詳細が残っています。今後のフォレンジック調査で、対象人数、サービス別の影響、脆弱性の内容、二次被害の有無が明らかになるかが確認点となります。 出典 当社が利用するBIツールへの不正アクセスおよび個人情報漏えいに関するお詫びとお知らせ並びに不審な連絡等への注意のお願い - 株式会社VOISING

ブログ