TOKYO FM、情報漏洩は確認できず-ハッカーがサイバー攻撃で約316万件の個人情報窃取を主張|セキュリティニュースのセキュリティ対策Lab

セキュリティニュース

投稿日時: 2026年01月19日更新日時: 2026年01月19日

TOKYO FM、情報漏洩は確認できず-ハッカーがサイバー攻撃で約316万件の個人情報窃取を主張

TOKYO FMは2026年1月15日、「当社へのサイバー攻撃を指摘する投稿に関する事実確認について」の続報を公表し、追加調査の対象としていた外部クラウドサービスについても、データがダウンロードされた形跡は確認されなかったと発表しました。

1 概要
2 発端は「大量の個人情報が流出した」とする投稿の拡散
3 統計分析用データのリスク管理

概要

外部クラウドサービスにあわせて、同社管理のサーバー（旧音声プラットフォームAuDee関連のサーバー等）についても、攻撃や情報流出の痕跡は確認されていない、という従来の結論を改めて示しています。

一方で、続報は「統計分析用データの一部が流出した事実はある」とも明記しています。

ただし、氏名や住所、電話番号、ログインパスワード、クレジットカード情報など、機密性の高い情報は含まれていないとしています。

発端は「大量の個人情報が流出した」とする投稿の拡散

この一連の対応の起点は、2026年1月初旬にSNSやダークウェブ上で「TOKYO FMから大量の個人情報が流出した」とする投稿が拡散したことでした。

TOKYO FMは1月6日時点での調査結果を公表し、自社サーバーへの不正アクセスや情報持ち出しの痕跡は確認できないと説明する一方、ユーザーの統計分析等のために利用していた外部クラウドサービス上のデータの一部について、流出していた事実が判明したと認めていました。

そして今回（1月15日）の続報は、その「外部クラウド側」を追加で調べた結果として、一定期間に不審なIPアドレスからのアクセスは見られたものの、データのダウンロード痕跡は確認されなかった、説明しています。

統計分析用データのリスク管理

今回、焦点となったのは「外部クラウドサービス」に格納されていた「統計分析用データ」です。

本番環境（AuDeeサーバー等）のセキュリティはガチガチに固めていても、マーケティング部門などが利用する分析用DWH（データウェアハウス）やバケットの権限設定が緩くなっているケースがあります。「個人情報は除外しているはず」という前提で運用していても、今回のように「ユーザーネーム欄にメールアドレスが書かれている」といった非構造化データ内のPII（個人識別情報）の混入は、機械的なフィルタリングをすり抜ける厄介な問題です。